FINMA Aufsichtsbericht 2025: Was er für Crypto Custody und DLT-Handel bedeutet
Die Eidgenössische Finanzmarktaufsicht hat ihren jährlichen Aufsichtsbericht 2025 veröffentlicht, und die Ergebnisse haben direkte Auswirkungen für jedes Institut, das mit digitalen Vermögenswerten zu tun hat. Die FINMA lizenzierte im Berichtsjahr die erste DLT-Handelseinrichtung des Landes, während sie gleichzeitig Crypto-Custody-Risiken, Outsourcing-Mängel und Cyber-Resilienz ins Zentrum ihrer Durchsetzungsagenda stellte. Für Wirtschaftsprüfungsgesellschaften, Revisoren und CFOs, die Schweizer regulierte Unternehmen beraten, ist der Bericht ein Fahrplan, wohin der aufsichtliche Druck als Nächstes gehen wird.
Aufsichtsintensität: In Zahlen
Vor-Ort-Inspektionen und Stresstests
Die FINMA führte 2025 113 Vor-Ort-Inspektionen bei Banken durch, davon 42 allein bei der UBS. Weitere 43 Inspektionen betrafen Versicherungsgesellschaften und 20 Vermögensverwalter. Kritisch ist, dass die Behörde erstmals Liquiditätsstresstests bei Schweizer Investmentfonds durchführte und bei unbefriedigenden Ergebnissen handelte. Die Kapitalplanungsdialoge waren auf die Grösse und das Risikoprofil jedes Instituts zugeschnitten, und systemrelevante Banken mussten glaubwürdige Kapitalminderungsstrategien unter bestimmten Stressszenarien nachweisen.
Durchsetzungsergebnisse
Wo Inspektionen schwerwiegende Mängel aufdeckten, handelte die FINMA schnell. Sie verhängte in 14 Fällen institutsspezifische Kapitalzuschläge und in 7 Fällen Geschäftstätigkeitseinschränkungen in Kombination mit Akquisitionsverboten. In 15 Fällen wurden Durchsetzungsverfahren eröffnet, und die Behörde schloss im Berichtsjahr insgesamt 55 Verfahren über alle Aufsichtsbereiche hinweg ab. Separaten eröffnete die FINMA rund 450 Untersuchungen wegen Verdachts auf unbefugte Finanzmarktaktivitäten, gestützt auf Hinweise aus der Öffentlichkeit, von anderen Behörden und aus ihrer eigenen aufsichtlichen Intelligenz.
Crypto und DLT: Lizenzierung, Custody-Risiko und Kundenschutz
Schweiz erste DLT-Handelseinrichtung
Die Lizenzierung der ersten DLT-Handelseinrichtung des Landes markiert einen konkreten Schritt in der Positionierung der Schweiz als reguliertes Digital-Asset-Zentrum. Die Bereitschaft der FINMA, diese Lizenz zu erteilen, spiegelt ihre erklärte Offenheit für finanzielle Innovationen wider, aber die Regulierungsbehörde machte ebenso deutlich, dass Innovation nicht mit einer geringeren Compliance-Last einhergeht. Jedes Institut, das Crypto-basierte Vermögenswerte verwahrt oder deren Übertragung erleichtert, muss die damit verbundenen operationellen Risiken identifizieren und mindern.
Custody-Risiko als aufsichtliche Priorität
Der Bericht der FINMA hebt die Verwahrung von Crypto-basierten Vermögenswerten als spezifisches Gebiet hervor, in dem beaufsichtigte Institute angemessene Risikokontrollen nachweisen müssen. Dies ist nicht nur eine technische Beobachtung. Aus der Perspektive der Stablecoin-Bilanzierung und der Digital-Asset-Buchhaltungssoftware ist die Implikation klar: Verwahrungsvereinbarungen müssen vollständig dokumentiert sein, die zugrunde liegenden Vermögenswerte korrekt in der Bilanz klassifiziert und die damit verbundenen operationellen Risiken in Risikomanagement-Rahmenwerken erfasst werden. Institute, die auf Drittverwahrer angewiesen sind, stehen vor einer schwierigeren Frage, die weiter unten unter Outsourcing diskutiert wird.
Unterstützung von Gesetzesreformen für Gläubiger- und Anlegerschutz
Die FINMA signalisierte auch ihre Unterstützung für eine Änderung des Schweizer Rechts, die darauf abzielt, den Schutz von Crypto-Gläubigern und -Anlegern zu stärken. Die Regulierungsbehörde hat den Gesetzesentwurf nicht als Teil dieses Berichts veröffentlicht, aber ihre öffentliche Unterstützung deutet darauf hin, dass strengere gesetzliche Regeln zum Crypto-Kundenschutz eine kurzfristige legislative Priorität sind. Unternehmen, die mit Stablecoin-Bilanzierung oder breiterer Crypto-Buchhaltung befasst sind, sollten diesen Gesetzgebungsprozess genau verfolgen, da neue Verpflichtungen direkt in Compliance-Workflows und Kundenoffenlegungen einfliessen werden.
Outsourcing und Cyber-Risiko: Das Lieferkettenproblem
Drittparteien-Exposition und Dokumentationsmängel
Eines der auffälligsten Ergebnisse im Bericht 2025 ist die Konzentration von Cyber-Vorfällen bei Dienstleistern und Outsourcing-Partnern. Bei fast der Hälfte aller Cyberangriffe, die der FINMA von beaufsichtigten Instituten gemeldet wurden, war der erste Kompromittierungspunkt ein externer Anbieter und nicht das beaufsichtigte Institut selbst. Die FINMA stellte fest, dass einige Institute ausgelagerte Funktionen nicht angemessen erfassten, dokumentierten oder überwachten – genau die Lücke, die Angreifer ausnutzen.
Für Unternehmen, die Institute beraten, die Teile ihrer Crypto-Operationen auslagern, sei es Verwahrung, Transaktionsüberwachung oder Bereitstellung von Digital-Asset-Buchhaltungssoftware, hat dieser Befund direkte Relevanz. Outsourcing-Vereinbarungen müssen kartiert, durch klare vertragliche Verpflichtungen geregelt und einer laufenden Überwachung unterzogen werden. Die FINMA ging über die isolierte Prüfung von Instituten hinaus: Sie führte gezielte Vor-Ort-Inspektionen bei Outsourcing-Partnern selbst durch, um die Lieferkettenmanagement-Praktiken zu bewerten. Daher ist das Verständnis, wie eine gründliche Due-Diligence-Prüfung der Datenqualität von Blockchain-Analysen auf Drittparteienebene aussieht, Teil des operationellen Risikobildes und kein optionales Extra.
IKT-Krisenszenarien
Die FINMA verlangt von beaufsichtigten Instituten, robuste Krisenszenarien für Informations- und Kommunikationstechnologie zu unterhalten. Der Bericht 2025 macht klar, dass diese Erwartung sich auf Cyber-Abwehren erstreckt, die Lieferkettenangriffen standhalten können. Institute, die ihre IKT-Krisenpläne nicht gegen Drittparteien-Ausfallszenarien stresstestet haben, werden im kommenden Jahr wahrscheinlich aufsichtliche Aufmerksamkeit auf sich ziehen.
Vermögensverwaltung, Greenwashing und Verhaltenspflichten
Intensivierte Vermögensverwalter-Überwachung
Eine wachsende Zahl von Vermögensverwaltern wurde 2025 einer intensiven Überwachung unterstellt, wobei Mängel häufig mit der Einhaltung von Verhaltensregeln zur Geeignetheit zusammenhingen. Dieser Trend ist für jeden Vermögensverwalter mit Digital-Asset-Allokationen relevant: Dieselben Geeignetheitspflichten, die für traditionelle Portfolios gelten, gelten auch für Crypto-Bestände, und die FINMA hat gezeigt, dass sie handelt, wenn diese Pflichten nicht erfüllt werden.
Greenwashing-Durchsetzung
Die Anti-Greenwashing-Arbeit der FINMA setzte sich 2025 fort, wobei die Behörde darauf fokussierte sicherzustellen, dass Anleger nicht durch Nachhaltigkeitsbehauptungen getäuscht werden. Der Bericht spezifiziert keine Crypto-bezogenen ESG-Produkte, aber das aufsichtliche Prinzip gilt gleichermassen: Wenn ein Produkt mit Nachhaltigkeitsmerkmalen vermarktet wird, müssen diese Behauptungen substantiiert und dokumentiert sein.
Was Wirtschaftsprüfungsgesellschaften und CFOs jetzt tun sollten
Prüfungs- und Beratungsprioritäten
Der FINMA-Bericht 2025 gibt Wirtschaftsprüfungsgesellschaften und CFOs eine klare Lektüre der aufsichtlichen Absicht. Mehrere Handlungsbereiche stechen hervor. Erstens benötigen Institute, die Crypto-Custody oder Crypto-basierte Dienstleistungen anbieten, dokumentierte operationelle Risikorahmenwerke, die sowohl interne Kontrollen als auch Drittparteien-Abhängigkeiten abdecken. Zweitens, wo Stablecoin-Bilanzierung oder USDC-Bilanzierung in der Bilanz eines beaufsichtigten Instituts liegt, muss die Klassifizierungsmethodik unter Schweizer Bilanzierungsregeln verteidigbar und mit allen anwendbaren FINMA-Leitlinien konsistent sein. Drittens müssen Outsourcing-Register aktuell und vollständig sein: Die Bereitschaft der FINMA, Outsourcing-Partner direkt zu inspizieren, bedeutet, dass Lücken in der Dokumentation nicht verborgen bleiben.
Die Stablecoin-AML-Risiko- und Illegale-Marktplätze-Durchsetzungslandschaft, die bereits global das aufsichtliche Denken prägt, fügt eine weitere Ebene hinzu: Stablecoin-Positionen, die von Schweizer Instituten gehalten werden, müssen nicht nur auf ihre bilanzielle Behandlung hin beurteilt werden, sondern auch auf das Kontrahenten- und Transaktionsrisiko, das sie tragen. Separaten sollten Unternehmen sicherstellen, dass ihre Crypto-Buchhaltungssoftware oder Digital-Asset-Buchhaltungssoftware prüfungsreife Aufzeichnungen produziert, die eine Vor-Ort-Prüfung ohne Verzögerung unterstützen können.
Quelle: FINMA
FAQ
Die FINMA hob die operationellen Risiken hervor, die mit der Verwahrung von Crypto-basierten Vermögenswerten sowie dem Kauf, Handel und der Übertragung von Kryptowährungen verbunden sind. Sie verlangte von beaufsichtigten Instituten, die diese Dienstleistungen anbieten, angemessene Kontrollen zu haben, und unterstützte Gesetzesreformen zur Stärkung des Gläubiger- und Anlegerschutzes im Crypto-Sektor.
Die Lizenz zeigt, dass die FINMA DLT-basierte Handelsinfrastruktur bewilligen wird, wenn Antragsteller die regulatorischen Anforderungen erfüllen. Sie reduziert die Compliance-Last nicht. Lizenzierte DLT-Handelseinrichtungen bleiben dem vollen Umfang der aufsichtlichen Erwartungen der FINMA unterworfen, einschliesslich Verhaltensregeln, Geldwäschereibekämpfungspflichten und operationellem Risikomanagement.
Die FINMA erwartet von beaufsichtigten Instituten, dass sie alle ausgelagerten Funktionen, einschliesslich solcher mit Crypto-Custody oder Transaktionsverarbeitung, vollständig erfassen, dokumentieren und überwachen. Im Jahr 2025 führte die Behörde direkt Vor-Ort-Inspektionen bei Outsourcing-Partnern durch. Institute mit undokumentierten oder schlecht verwalteten Drittparteien-Vereinbarungen sehen sich einem erhöhten Risiko aufsichtlicher Massnahmen ausgesetzt.
Obwohl der Bericht keine spezifischen Bilanzierungsregeln für Stablecoins vorschreibt, bekräftigt er die Erwartung, dass Institute operationelle Risiken im Zusammenhang mit Crypto-basierten Vermögenswerten, einschliesslich Stablecoins, identifizieren und mindern müssen. Das bedeutet, dass Bilanzklassifizierungen verteidigbar sein müssen, Verwahrungsvereinbarungen dokumentiert und alle damit verbundenen AML- oder Kontrahentenrisiken bewertet und erfasst werden müssen.
Die FINMA eröffnete in 15 Fällen Durchsetzungsverfahren aufgrund schwerwiegender Regelverstösse, die während der Aufsicht festgestellt wurden, und schloss im Berichtsjahr insgesamt 55 Durchsetzungsverfahren über alle Aufsichtsbereiche und Institutsarten hinweg ab. Zudem eröffnete sie rund 450 Untersuchungen wegen Verdachts auf unbefugte Finanzmarktaktivitäten.