Wer in Deutschland Krypto anbieten darf: Lizenzen und Aufsicht in Zahlen

Wer die Krypto-Aufsicht in Deutschland führt

Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) ist die zuständige Behörde für die Beaufsichtigung von Krypto-Anbietern in Deutschland. Wer hierzulande gewerblich Kryptowerte verwahrt, handelt oder vermittelt, braucht dafür eine Zulassung — genau wie eine Bank oder ein Wertpapierhaus. Für dich als Anleger ist das ein echter Fortschritt: Der Kryptomarkt ist damit kein rechtsfreier Raum mehr, sondern ein regulierter Finanzmarkt mit klaren Regeln.

Die rechtliche Grundlage bilden zwei Bausteine. Auf EU-Ebene gilt die Verordnung (EU) 2023/1114 über Märkte für Kryptowerte, kurz MiCAR (Markets in Crypto-Assets Regulation). Sie trat im Juni 2023 in Kraft und ist seit dem 30. Dezember 2024 vollständig anwendbar. Die Regeln für Stablecoins — also E-Geld-Token und vermögenswertereferenzierte Token — gelten sogar schon seit dem 30. Juni 2024.

Auf deutscher Ebene ergänzt das Kryptomärkteaufsichtsgesetz (KMAG) die EU-Verordnung. Es trägt den offiziellen Titel „Gesetz über die Aufsicht über Märkte für Kryptowerte“, umfasst 8 Kapitel mit 51 Paragraphen und benennt die BaFin ausdrücklich als zuständige Aufsichtsbehörde. Das KMAG regelt unter anderem, wie die BaFin gegen unerlaubte Geschäfte vorgeht, welche Anzeige- und Meldepflichten gelten und wie die Übergangsfristen für Altanbieter aussehen.

Warum eine Verordnung statt vieler nationaler Gesetze?

Eine EU-Verordnung gilt unmittelbar in allen 27 Mitgliedstaaten — ohne dass jedes Land ein eigenes Gesetz beschließen muss. Vor MiCAR hatte jeder Staat eigene Krypto-Regeln oder gar keine. Deutschland war dabei früh dran: Bereits seit dem 1. Januar 2020 war das Kryptoverwahrgeschäft im Kreditwesengesetz (KWG) als erlaubnispflichtige Finanzdienstleistung verankert. MiCAR hebt dieses Schutzniveau nun auf die gesamte EU — und du profitierst davon, dass für jeden Anbieter im Binnenmarkt dieselben Mindeststandards gelten.

Das KMAG stattet die BaFin dabei mit weitreichenden Befugnissen aus: Sie kann unerlaubte Geschäfte untersagen, Geschäftsräume durchsuchen lassen, Abwicklungen anordnen und Verstöße mit empfindlichen Bußgeldern ahnden. Kapitel 7 des Gesetzes enthält eigene Straf- und Bußgeldvorschriften — wer ohne Zulassung Kryptowerte-Dienstleistungen erbringt, begeht keine Bagatelle, sondern riskiert ein Strafverfahren. Ergänzend gelten seit Anfang 2025 die Anforderungen der EU-Verordnung DORA an die digitale Betriebsstabilität, inklusive Meldepflicht für schwerwiegende IT-Vorfälle.

Einen Überblick über die Verordnung selbst findest du in unserem Beitrag zur MiCA-Regulierung.

CASP-Zulassung: Die Voraussetzungen in Zahlen

Wer Kryptowerte-Dienstleistungen anbieten will, braucht seit dem 30. Dezember 2024 eine Zulassung als CASP (Crypto-Asset Service Provider, deutsch: Anbieter von Kryptowerte-Dienstleistungen). MiCAR definiert dafür 10 regulierte Dienstleistungen — von der Verwahrung über den Betrieb einer Handelsplattform bis zur Anlageberatung zu Kryptowerten. Wer auch nur eine davon gewerblich erbringt, fällt unter die Zulassungspflicht.

Die Anforderungen sind gestaffelt: Je sensibler die Dienstleistung, desto höher die Hürden. MiCAR teilt die Anbieter dafür in drei Klassen mit unterschiedlichen Mindestkapitalanforderungen nach Anhang IV der Verordnung ein. Zusätzlich müssen die Eigenmittel dauerhaft mindestens ein Viertel der fixen Gemeinkosten des Vorjahres abdecken — je nachdem, welcher Wert höher ist.

Wie lange dauert das Zulassungsverfahren?

MiCAR gibt der Aufsicht feste Fristen vor: Nach Eingang des Antrags prüft die Behörde innerhalb von 25 Arbeitstagen, ob die Unterlagen vollständig sind. Ist der Antrag komplett, muss sie innerhalb von 40 Arbeitstagen in der Sache entscheiden. In Deutschland läuft dieses Verfahren bei der BaFin, die dabei mit der Deutschen Bundesbank zusammenarbeitet. Für dich heißt das: Jeder Anbieter mit CASP-Zulassung hat ein behördliches Prüfverfahren zu Kapital, Geschäftsleitung, IT und Verwahrkonzept durchlaufen.

Das ESMA-Register: Alle EU-Anbieter auf einen Blick

Die europäische Wertpapieraufsicht ESMA führt seit dem 30. Dezember 2024 ein zentrales Register für den gesamten EU-Kryptomarkt. Dieses sogenannte Interim MiCA Register wird wöchentlich aktualisiert und speist sich aus den Meldungen der nationalen Aufsichtsbehörden — für Deutschland also aus den Daten der BaFin.

Das Register umfasst fünf Kategorien:

• Zugelassene CASPs: Alle Anbieter von Kryptowerte-Dienstleistungen mit gültiger Zulassung in der EU.
• Emittenten von E-Geld-Token: Herausgeber von Stablecoins, die an eine Währung gekoppelt sind.
• Emittenten vermögenswertereferenzierter Token: Herausgeber von Token mit anderen Referenzwerten.
• Kryptowerte-Whitepaper: Die Pflichtdokumente zu öffentlich angebotenen Kryptowerten.
• Nicht konforme Anbieter: Unternehmen, vor denen nationale Behörden warnen.

Besonders die letzte Kategorie ist für dich wertvoll: Das Register zeigt nicht nur, wer zugelassen ist, sondern bündelt auch die Warnlisten aller EU-Aufsichtsbehörden an einem Ort.

Passporting: Eine Zulassung für 27 Staaten

Eine CASP-Zulassung gilt dank des sogenannten EU-Passporting im gesamten Binnenmarkt. Ein Anbieter mit BaFin-Zulassung darf seine Dienstleistungen in allen 27 EU-Mitgliedstaaten erbringen — und umgekehrt darf ein in Frankreich oder Österreich zugelassener CASP auch deutsche Kunden bedienen. Grenzüberschreitende Tätigkeiten müssen der Aufsicht vorab angezeigt werden; bei der BaFin läuft das über ein formales Anzeigeverfahren.

Neben dem Register veröffentlicht die BaFin zusätzlich Whitepaper-Meldungen: Wer in Deutschland einen Kryptowert öffentlich anbieten will, muss der Aufsicht 20 Arbeitstage vor Veröffentlichung ein Kryptowerte-Whitepaper übermitteln — ein standardisiertes Informationsdokument zu Projekt, Technik und Risiken. Die BaFin genehmigt diese Whitepaper zwar nicht inhaltlich, sie werden aber registriert und sind über das ESMA-Register auffindbar. Sobald ein Kryptowert zum Handel zugelassen wird, greifen außerdem die Marktmissbrauchsregeln der MiCAR: Insiderhandel und Marktmanipulation sind dann auch bei Kryptowerten ausdrücklich verboten.

Für dich bedeutet das: Der Anbieter deiner Wahl muss nicht zwingend eine deutsche Lizenz haben. Entscheidend ist, dass er überhaupt eine gültige CASP-Zulassung einer EU-Aufsichtsbehörde besitzt — denn die materiellen Anforderungen sind durch MiCAR überall dieselben.

Vom KWG zum KMAG: Der deutsche Übergang in Daten

Deutschland hatte schon vor MiCAR ein eigenes Aufsichtsregime für Krypto-Anbieter. Der Übergang in das neue EU-System folgte einem klaren Fahrplan — und der lief strenger ab als in vielen Nachbarländern.

Seit 1. Januar 2020: Das Kryptoverwahrgeschäft ist im Kreditwesengesetz (KWG) als Finanzdienstleistung verankert. Wer in Deutschland Kryptowerte für Kunden verwahrte, brauchte seither eine BaFin-Erlaubnis nach § 32 KWG. Deutschland gehörte damit zu den ersten Ländern der EU mit einer eigenen Krypto-Verwahrlizenz.

30. Dezember 2024: MiCAR wird vollständig anwendbar, zeitgleich tritt das KMAG als deutsches Ausführungsgesetz in Kraft. Ab diesem Stichtag ist die CASP-Zulassung der neue Standard.

Bis 31. Dezember 2025: § 50 KMAG regelte den deutschen Bestandsschutz. Anbieter, die vor dem Stichtag rechtmäßig am Markt waren, durften ihre Dienstleistungen übergangsweise weiter erbringen — mussten aber parallel die neue CASP-Zulassung beantragen. MiCAR hätte den Mitgliedstaaten eine Übergangsfrist bis zum 1. Juli 2026 erlaubt; Deutschland verkürzte sie bewusst auf Ende 2025.

Seit 1. Januar 2026: Der Bestandsschutz ist ausgelaufen. Wer jetzt in Deutschland Kryptowerte-Dienstleistungen anbietet, braucht eine CASP-Zulassung nach MiCAR — oder eine gültige EU-Zulassung mit Passporting nach Deutschland.

Warum die kurze Frist ein Vorteil für dich ist

Die verkürzte deutsche Übergangsfrist bedeutet: Der Markt hat sich schneller konsolidiert als im EU-Durchschnitt. Anbieter, die die Anforderungen an Kapital, Governance und Verwahrung nicht erfüllen wollten oder konnten, mussten ihr Deutschland-Geschäft früher einstellen. Was übrig bleibt, ist ein Markt aus geprüften Unternehmen unter laufender Aufsicht — ein Schutzniveau, das es im Krypto-Bereich vor wenigen Jahren schlicht nicht gab. Alt-Erlaubnisse nach dem KWG konnten dabei im Zulassungsverfahren berücksichtigt werden: Wer bereits als Kryptoverwahrer unter BaFin-Aufsicht stand, hatte viele Nachweise zu Geschäftsleitung, Organisation und IT schon einmal erbracht — das Verfahren ließ sich dadurch spürbar verschlanken. Mehr zum Besitzverhalten deutscher Anleger findest du in unserer Krypto-Rubrik.

Lizenziert vs. unlizenziert: Was dich konkret schützt

Der Unterschied zwischen einem zugelassenen und einem unregulierten Anbieter ist kein Formalismus — er entscheidet darüber, welche Rechte du im Ernstfall hast. Die folgende Übersicht zeigt die wichtigsten Unterschiede aus Verbrauchersicht.

Was die Lizenz nicht leistet

Eine CASP-Zulassung ist ein Qualitätsnachweis für den Anbieter — kein Schutz vor Marktrisiken. Kursverluste deiner Kryptowerte fängt keine Lizenz auf. Und ein Punkt ist besonders wichtig: Die gesetzliche Einlagensicherung gilt nicht für Kryptowerte. Die Sicherung von 100.000 Euro pro Kunde und Institut nach dem Einlagensicherungsgesetz schützt ausschließlich Bankeinlagen wie Guthaben auf Giro- oder Tagesgeldkonten. Kryptowerte bei einem Verwahrer fallen nicht darunter — auch nicht bei einem voll lizenzierten Anbieter.

So prüfst du jeden Anbieter selbst — in wenigen Minuten

Du musst der Werbung eines Anbieters nicht glauben — du kannst seinen Status selbst nachschlagen. Drei amtliche Quellen reichen dafür aus.

Schritt 1 — BaFin-Unternehmensdatenbank: Die BaFin führt eine öffentlich zugängliche Datenbank aller beaufsichtigten Unternehmen. Dort suchst du nach dem Firmennamen und siehst, ob und für welche Dienstleistungen eine Erlaubnis besteht. Wichtig: Prüfe den exakten Firmennamen inklusive Rechtsform, denn Betrüger nutzen teilweise die Namen echter, lizenzierter Firmen und ändern nur Details — die BaFin warnt regelmäßig vor solchem Identitätsmissbrauch.

Schritt 2 — ESMA-Register: Bietet ein Unternehmen aus einem anderen EU-Land seine Dienste in Deutschland an, findest du es im zentralen MiCA-Register der ESMA. Dort steht auch, welche nationale Behörde die Zulassung erteilt hat und welche Dienstleistungen abgedeckt sind.

Schritt 3 — Warnungen und Meldungen: Die BaFin veröffentlicht auf ihrer Website laufend Warnungen vor Unternehmen, die ohne Erlaubnis Finanz- oder Kryptogeschäfte anbieten. Ein Blick in die aktuellen Meldungen gehört vor jeder Kontoeröffnung dazu.

Wenn etwas schiefläuft: Deine Beschwerdewege

Auch nach der Kontoeröffnung bist du nicht auf dich allein gestellt. Jeder lizenzierte CASP muss ein internes Beschwerdeverfahren vorhalten und deine Beschwerde ordentlich bearbeiten. Kommst du dort nicht weiter, kannst du dich direkt bei der BaFin beschweren — das geht formlos und kostenfrei. Hast du Hinweise auf ernsthafte Verstöße bei einem Anbieter, nimmt die BaFin außerdem Hinweise über ihre Hinweisgeberstelle entgegen, auf Wunsch anonym.

Verdacht auf ein unerlaubtes Geschäft solltest du der BaFin immer melden — jede Meldung hilft der Aufsicht, schwarze Schafe schneller vom Markt zu nehmen. Genau diese Mechanik aus Zulassungspflicht, öffentlichem Register, Warnliste und Beschwerdeweg macht den regulierten Kryptomarkt für dich als Anleger so viel sicherer als den grauen Markt der Vor-MiCAR-Zeit.

Quellen und Methodik

Alle Angaben stammen aus amtlichen Primärquellen: der MiCAR-Verordnung im EU-Amtsblatt, dem Kryptomärkteaufsichtsgesetz, den Aufsichtsseiten der BaFin sowie den Veröffentlichungen der ESMA. Zahlen zu Kapitalanforderungen und Fristen entsprechen dem Verordnungs- bzw. Gesetzestext. Stand: Juli 2026.

• EUR-Lex: Verordnung (EU) 2023/1114 über Märkte für Kryptowerte (MiCAR, 2023)
• gesetze-im-internet.de: Kryptomärkteaufsichtsgesetz (KMAG, 2024)
• gesetze-im-internet.de: Kreditwesengesetz (KWG) — Kryptoverwahrgeschäft seit 2020
• BaFin: Aufsicht über Kryptomärkte nach MiCAR und KMAG (2026)
• BaFin: Unternehmensdatenbank der beaufsichtigten Institute
• ESMA: Markets in Crypto-Assets Regulation — Interim MiCA Register (2026)
• gesetze-im-internet.de: Einlagensicherungsgesetz (EinSiG)