EU-Dienstleister für Krypto-Assets nach MiCA: Wer lizenziert wurde und wer das Risiko trägt

Die Übergangsfrist von MiCA endete am 1. Juli 2026, und die Zahlen sind eindeutig. Von 1.343 Krypto-Dienstleistern, die im Europäischen Wirtschaftsraum tätig sind, haben nur 281 vor Ablauf der Frist eine vollständige MiCA-CASP-Lizenz erhalten. Die übrigen 1.062 agieren nun außerhalb des Gesetzes, und eine neue Analyse des Blockchain-Intelligence-Unternehmens TRM Labs zeigt, dass sie erheblich riskanter sind als die Firmen, die es geschafft haben. Für Wirtschaftsprüfungsgesellschaften, Prüfer und CFOs, deren Mandanten entweder selbst Krypto-Dienstleister sind oder sich auf sie verlassen, ist dies keine hintergründige Regulierungsgeschichte. Es ist ein Kontrahentenrisiko-Ereignis.

Was die Übergangsfrist tatsächlich bedeutete

Vor Dezember 2024 führte jeder EU-Mitgliedstaat sein eigenes Krypto-Registrierungs- oder Lizenzierungssystem. Die Standards unterschieden sich erheblich. Eine Registrierung in der permissivsten Jurisdiktion hatte die gleiche nominelle Legitimität wie eine vollständige Lizenz von einem der strengeren nationalen Regulierungsbehörden, und die Firmen wählten ihren Sitz entsprechend.

MiCA ersetzte dieses Flickwerk durch einen einheitlichen Autorisierungsstandard gemäß der Verordnung über Märkte für Kryptowerte. Firmen, die bereits vor dem 30. Dezember 2024 unter nationalem Recht tätig waren, erhielten gemäß Artikel 143 Absatz 3 eine Übergangsfrist, um ihre bestehende nationale Registrierung in eine vollständige CASP-Lizenz umzuwandeln. Diese Frist lief bis zum 1. Juli 2026. Ab diesem Datum darf ein Unternehmen ohne MiCA-Autorisierung in der EU keine Krypto-Asset-Dienstleistungen mehr rechtmäßig erbringen.

Das Ausmaß der Nicht-Umwandlung

Die Umwandlungsquote war niedrig. TRM identifizierte 1.343 Firmen, die vor Ablauf der Frist beobachtbare Krypto-Dienstleistungen im EWR anboten. Davon erhielten 281 eine MiCAR-CASP-Lizenz. Das entspricht etwa einem von fünf. Die verbleibenden 1.062 stehen nun vor drei Optionen: geordneter Marktaustritt, Umstrukturierung in eine autorisierte Einheit oder Übertragung ihrer Kundenbeziehungen auf ein Unternehmen mit Lizenz. Keine dieser Optionen ist schnell oder reibungslos, und alle schaffen Compliance-Expositionen für alle beteiligten Parteien.

Welche Jurisdiktionen umwandelten und welche nicht

Die Autorisierungsdaten offenbaren eine deutliche Kluft zwischen Jurisdiktionen, die frühzeitig Lizenzierungskapazitäten aufbauten, und solchen, die unter weniger strengen nationalen Regimen große Register ansammeln ließen.

Jurisdiktionen mit hoher Umwandlung

Die deutsche BaFin autorisierte 55 der 57 lizenzierten Firmen in Deutschland, eine Umwandlungsquote, die die langjährige Anforderung der BaFin nach substanziellen Krypto-Verwahrlizenzen nach dem KWG vor MiCA widerspiegelt. Auch Luxemburg, Zypern, Malta und Irland erzielten im Verhältnis zu ihren Pre-MiCA-Registern hohe Umwandlungsquoten. Malta und Zypern autorisierten jeweils mehr Firmen (20 bzw. 19) als Italien, das nur 9 der 145 auf seinem Register tätigen Firmen autorisierte. Zusammen halten Malta, Zypern, Irland und Luxemburg 63 der 272 identifizierten Heimatautorisierungen des Blocks, ausgehend von nur 101 tätigen Firmen.

Jurisdiktionen mit niedriger Umwandlung

Litauen und Polen sind die deutlichsten Beispiele für die gegenteilige Dynamik. TRM beobachtete 383 Firmen, die unter litauischer Registrierung Krypto-Dienstleistungen anboten, und über 1.800 Einträge im polnischen Register, obwohl die meisten polnischen Registranten nie beobachtbare Krypto-Dienste betrieben. Litauen autorisierte acht Firmen aus diesem Register von mehr als 400. Polen autorisierte keine. Auch Griechenland und Portugal gaben keine eigenen Heimatautorisierungen heraus. Diese Zahlen verdeutlichen genau das Arbitrageproblem, das MiCA beseitigen sollte: Nationale Regime mit niedrigen Hürden zogen viele Registranten an, und der strengere Standard von MiCA hat nun die meisten von ihnen herausgefiltert.

Passporting und Aufsichtskonzentration

Passporting ermöglicht es einem in einem Mitgliedstaat autorisierten Unternehmen, im gesamten Block tätig zu sein. Das ist beabsichtigt, aber die Daten zeigen einen Nebeneffekt: Die Aufsichtsverantwortung konzentriert sich schneller als die Marktpräsenz. Eine Handvoll Regulierungsbehörden, insbesondere die BaFin, die Zentralbank von Irland, die Malta Financial Services Authority und die Commission de Surveillance du Secteur Financier in Luxemburg, werden zu den wichtigsten Aufsichtsbehörden für Firmen, die Kunden in Ländern bedienen, in denen keine Heimatautorisierungen erteilt wurden. Dies ist die Bedingung hinter den Warnungen der EU-Geldwäschebekämpfungsbehörde (AMLA) vor uneinheitlichen AML/CFT-Standards und Regulierungsarbitrage im Binnenmarkt.

Die Risikolücke zwischen autorisierten und nicht autorisierten Firmen

Autorisierungsstatus und Risikoprofil sind nicht unabhängig. Die Risikobewertungen von TRM, angewendet auf aktive Firmen in den zwölf Monaten bis zum 6. Juli 2026, zeigen eine klare und signifikante Lücke zwischen den beiden Kohorten.

Hohe und schwere Risikobewertungen

Zwölf Prozent der nicht autorisierten Firmen tragen eine hohe oder schwere TRM-Risikobewertung. Bei autorisierten Firmen liegt dieser Wert bei 2%. In absoluten Zahlen fallen 30 von 244 bewerteten nicht autorisierten Firmen in die Kategorie „Hoch“ oder „Schwer“, gegenüber nur 2 von 90 bewerteten autorisierten Firmen. Entscheidend ist: Jede „Schwer“-Bewertung im gesamten Datensatz gehört zu einem Unternehmen, das keine Autorisierung erhalten hat. Weitere 20 nicht autorisierte Firmen tragen eine mittlere Bewertung, was die Lücke bei Betrachtung der gesamten Verteilung weiter vergrößert.

Direkte illegale Exposition

Illegale Gelder erreichen beide Gruppen mit ähnlichen aggregierten Raten. Nicht autorisierte Firmen sendeten 0,09% ihres Volumens direkt an illegale oder Hochrisiko-Kontrahenten; autorisierte Firmen 0,07%. Auf dieser Ebene wirkt der Unterschied moderat. Aber die Aggregation verbirgt einen relevanten Tail.

Die meisten Firmen in beiden Gruppen haben eine vernachlässigbare direkte illegale Exposition. Eine kleine Anzahl nicht autorisierter Firmen ist anders: Einige senden zwischen 1% und 12% ihres Gesamtvolumens direkt an illegale Adressen. Keine autorisierte Firma überschreitet die 1%-Schwelle. Dieser Tail ist es, der das akute Kontrahentenrisiko für jede Firma schafft, die nicht autorisierte Kunden übernimmt.

Sanktionsexposition

Die signifikanteste Abweichung zwischen den beiden Gruppen ist die Sanktionsexposition. Nicht autorisierte Firmen sendeten etwa dreimal so viel Volumen direkt an sanktionierte Kontrahenten wie autorisierte Firmen. Die größten Expositionen in beiden Kohorten konzentrieren sich auf Hochrisiko-Börsen und Glücksspieldienste, aber die Sanktionslücke ist die Zahl, die zuerst die Aufmerksamkeit von Compliance-Beauftragten und Regulierungsbehörden auf sich ziehen wird.

Was AMLA laut eigenen Angaben als Nächstes erwartet

Die AMLA hat eine beratende Mitteilung zum Ende der Übergangsfrist von MiCAR herausgegeben, die drei strukturelle Konsequenzen identifiziert: Nicht autorisierte Firmen verlassen den Markt, große Volumina von Kundenbeziehungen werden übertragen oder beendet, und Krypto-Aktivitäten konzentrieren sich auf weniger autorisierte CASPs. Die AMLA charakterisiert diese als erhebliche Auswirkungen auf die Funktionsweise des EU-Krypto-Marktes.

Risiken, die die AMLA für autorisierte Firmen hervorgehoben hat

Wenn nicht autorisierte Firmen unter komprimierten Zeitplänen abgewickelt werden, geraten ihre AML-Kontrollen unter Druck. Autorisierte CASPs, die deren Kunden übernehmen, sehen sich plötzlichen Verschiebungen in ihren eigenen Risikoprofilen und unmittelbarem Druck auf ihre Transaktionsüberwachungssysteme ausgesetzt, die auf einen anderen, engeren Kundenstamm kalibriert sind. Die Aufsichtsbehörden verlieren in der Zwischenzeit die Sicht auf die Übertragungen zwischen den beiden Gruppen, gerade wenn diese Sicht am wichtigsten ist.

Die AMLA hat die nationalen Aufsichtsbehörden gebeten, die Überwachung von Ausstiegsplanung und Kundenübertragungen zu priorisieren und grenzüberschreitend zu koordinieren, während Kunden migrieren. Die TRM-Daten geben dieser Bitte eine quantitative Grundlage: Die 30 mit „Hoch“ oder „Schwer“ bewerteten nicht autorisierten Firmen sind jetzt identifizierbar, bevor Übertragungen stattfinden, und sie repräsentieren die schärfste Risikokonzentration, die autorisierte CASPs und ihre Aufsichtsbehörden managen müssen.

Bilanzielle und Compliance-Implikationen für Firmen und CFOs

Die MiCA-Trennung schafft konkrete Arbeit für Wirtschaftsprüfungsgesellschaften, Prüfer und CFOs mit EU-Krypto-Exposition. Drei Bereiche stechen hervor.

Kontrahenten-Due-Diligence und Onboarding

Jede autorisierte CASP, die Kundenbeziehungen von einer nicht autorisierten Firma übernehmen will, muss ihren Kontrahentenrisiko-Rahmen überarbeiten, bevor Übertragungen stattfinden, nicht danach. Die Risikodaten zeigen, dass die Population der migrierenden Kunden nicht homogen ist. Eine kleine Teilmenge trägt überproportionale illegale und Sanktionsexposition. Standard-KYC-Prozesse, die für das Retail-Onboarding entwickelt wurden, sind möglicherweise nicht kalibriert, um diese konzentrierte Tail-Risiko rechtzeitig zu erkennen. Wirtschaftsprüfungsgesellschaften, die CASPs bei diesem Übergang beraten, sollten die erweiterten Due-Diligence-Auslöser und Transaktionsüberwachungsschwellen ihrer Mandanten jetzt überprüfen. Unser detaillierter Blick auf die Entwicklung eines AML-Rahmenwerks für das VASP-Onboarding zeigt, wie ein robuster Prozess unter den aktuellen regulatorischen Erwartungen aussieht.

Prüfungs- und Abschlussexposition

Für Prüfungsteams ist die relevante Frage, ob ein Mandant wesentliche Krypto-Assets auf einer Plattform hält, die ihre MiCA-Autorisierung verloren hat oder sich im Abwicklungsprozess befindet. Auf einer nicht autorisierten Firma gehaltene Vermögenswerte können Abhebungsbeschränkungen, Insolvenzrisiken oder Betriebsunterbrechungen während eines überstürzten Ausstiegs unterliegen. Dies ist eine Frage der Unternehmensfortführung und der Werthaltigkeit von Vermögenswerten, die bei jedem Engagement mit Krypto-Bilanzexposition auf der Prüfungsplanungsagenda stehen sollte. IFRS und EU-GAAP enthalten keine spezifischen Leitlinien zum Verwahrrisiko nicht autorisierter Intermediäre, aber der allgemeine Rahmen für Wertminderungen und Angaben ist klar genug: Wenn wesentliche Unsicherheit über die Werthaltigkeit eines Vermögenswerts besteht, muss dies offengelegt werden.

AML- und Sanktionsscreening-Pflichten

Die dreifache Sanktionsexpositionslücke zwischen nicht autorisierten und autorisierten Firmen ist die Zahl, die die Aufmerksamkeit am schnellsten schärfen sollte. EU-AML-Pflichten gelten für Verpflichtete, die Transaktionen mit Krypto-Dienstleistern durchführen, unabhängig davon, ob der Kontrahent nach MiCA autorisiert ist. Wenn ein Mandant nach Juli 2026 weiterhin Transaktionen über eine nicht autorisierte Firma leitet, trägt diese Beziehung nun eine erhöhte Sanktionsscreening-Pflicht und einen potenziellen Meldeauslöser. Wirtschaftsprüfungsgesellschaften, die zugleich AML-Meldepflichtige sind, müssen bewerten, ob ihre eigenen Verfahren dieses Szenario angemessen abdecken.

Für Firmen, die sich mit dem breiteren MiCA-Compliance-Bild befassen, behandelt unsere frühere Analyse der Auswirkungen von MiCA auf Stablecoin-Buchhaltungsteams die Asset-Klassifikationsaspekte, die neben der Lizenzierungsgeschichte stehen.

Häufig gestellte Fragen

Was geschah mit Firmen, die bis zum 1. Juli 2026 keine MiCA-Autorisierung erhalten hatten?

Ab dem 1. Juli 2026 dürfen diese Firmen in der EU keine Krypto-Asset-Dienstleistungen mehr rechtmäßig erbringen. Sie müssen zwischen einem geordneten Marktaustritt, einer Umstrukturierung in eine autorisierte Einheit oder der Übertragung ihrer Kundenbeziehungen auf eine lizenzierte CASP wählen. Die AMLA erwartet, dass diese Übergänge erhebliche Marktstörungen verursachen, und hat die nationalen Aufsichtsbehörden gebeten, die Ausstiegsplanung genau zu überwachen.

Warum hatten einige Jurisdiktionen sehr niedrige MiCA-Umwandlungsquoten?

Jurisdiktionen wie Litauen und Polen hatten unter relativ permissiven Pre-MiCA-Regimen sehr große nationale Register angesammelt. Viele Registranten betrieben nie beobachtbare Krypto-Dienstleistungen, und diejenigen, die es taten, erfüllten oft nicht die strengeren Autorisierungsanforderungen von MiCA. Die niedrige Umwandlungsquote spiegelt sowohl den Filtereffekt höherer Standards als auch das Erbe der Regulierungsarbitrage im früheren Flickwerk-Regime der EU wider.

Wie viel riskanter sind nicht autorisierte Firmen im Vergleich zu autorisierten?

Laut TRM Labs tragen 12% der nicht autorisierten Firmen eine hohe oder schwere Risikobewertung gegenüber 2% der autorisierten Firmen. Jede „Schwer“-Bewertung im Datensatz gehört zu einer nicht autorisierten Firma. Eine kleine Teilmenge nicht autorisierter Firmen sendet außerdem zwischen 1% und 12% ihres Volumens direkt an illegale Adressen – eine Schwelle, die keine autorisierte Firma überschreitet.

Was bedeutet Passporting für die aufsichtsrechtliche Überwachung nach MiCA?

Passporting ermöglicht es einer autorisierten CASP, Kunden in allen EU-Mitgliedstaaten von einer einzigen Heimatautorisierung aus zu bedienen. Infolgedessen konzentriert sich die Aufsichtsverantwortung in einer kleinen Anzahl von Mitgliedstaaten, insbesondere in Deutschland, Irland, Malta, Zypern und Luxemburg, deren Regulierungsbehörden nun für die Überwachung von Firmen verantwortlich sind, die Kunden in Ländern bedienen, in denen keine Heimatautorisierungen erteilt wurden. Die AMLA hat diese Konzentration als Treiber potenzieller AML/CFT-Inkonsistenzen im Block gekennzeichnet.

Was sollte eine Wirtschaftsprüfungsgesellschaft oder ein CFO jetzt tun?

Drei sofortige Schritte sind sinnvoll. Erstens: Identifizieren Sie jeden Mandanten oder jedes Portfoliounternehmen, das Vermögenswerte auf einer nicht autorisierten CASP hält, und bewerten Sie die Auswirkungen auf Werthaltigkeit und Offenlegung. Zweitens: Prüfen Sie, ob autorisierte CASP-Mandanten planen, Kunden von nicht autorisierten Firmen zu übernehmen, und stellen Sie sicher, dass deren Due-Diligence- und Transaktionsüberwachungsrahmen für das erhöhte Tail-Risiko in dieser migrierenden Population kalibriert sind. Drittens: Überprüfen Sie, ob bestehende Kontrahentenbeziehungen nicht autorisierte Firmen umfassen, da EU-AML-Pflichten und Sanktionsscreening-Anforderungen unabhängig vom MiCA-Status des Kontrahenten gelten.

Quelle: TRM Labs