Von den mehr als 3.000 Unternehmen, die bis Juni dieses Jahres rechtlich Krypto-Kunden in der EU bedienten, haben weniger als 300 heute das Recht dazu, so der CASP Tracker.
Der Grund dafür ist die Verordnung über Märkte für Krypto-Assets (MiCA), die am 1. Juli 2026 in der gesamten Europäischen Union vollständig in Kraft trat: Ab diesem Datum kann nur ein Unternehmen, das eine Genehmigung als Krypto-Asset-Dienstleister (CASP) besitzt — erteilt von einer Aufsichtsbehörde in einem EU-Mitgliedstaat und in den Rest des Blocks übertragen — EU-Kunden bedienen. Unternehmen, die zuvor unter nationalen Registrierungen als Anbieter virtueller Vermögenswerte (VASP) tätig waren, hatten genau bis zu diesem Datum Zeit, sich umzustellen. Die meisten taten es nicht.
Wir haben mit Ivan Nevzorov, CEO von SBSB Fintech Lawyers, darüber gesprochen, was für sie jetzt tatsächlich übrig bleibt — und warum die Abkürzungen, nach denen die meisten von ihnen zuerst greifen, normalerweise nicht die sind, die Bestand haben.
Fangen wir mit dem Offensichtlichen an. Ein Unternehmen hat heute immer noch keine CASP-Lizenz — was passiert jetzt mit ihm?
Ivan Nevzorov:Schau, hier ist die Sache, die die Leute nicht hören wollen: Die Frist ist bereits abgelaufen. Ab dem 1. Juli ist jeder Tag, an dem du EU-Kunden ohne Genehmigung bedienst, ein Tag, an dem du gegen MiCA verstößt — eine Mindeststrafe von 5 Millionen Euro gemäß Artikel 111, und in Frankreich kann das strafrechtliche Verantwortung für denjenigen bedeuten, der verantwortlich ist. Die Antwort, die jeder erwartet zu hören, „geh einfach und lass dich lizenzieren“, steht für ein Unternehmen, das heute tätig ist, nicht mehr zur Debatte. Du kannst keinen Antrag einreichen, die Lichter monatelang anlassen, während er geprüft wird, und das Compliance nennen.
Das lässt wirklich zwei Wege. Erstens, du stellst den Betrieb ein, weil das Unternehmen den neuen Standard nicht erfüllen kann. Zweitens, du verlegst deinen Sitz — ziehst in eine freundlichere Jurisdiktion um. Obwohl das nur legal bleibt, wenn du das Marketing in die EU komplett einstellst und die Kunden von selbst zu dir kommen, was als umgekehrte Solicitation bezeichnet wird. Wenn du weiterhin EU-Nutzer von außerhalb des Blocks bewirbst, verstößt du gegen dieselbe Regel, nur von einer anderen Adresse aus.
Wir werden auf die Verlagerung zurückkommen, denn das ist wirklich ein eigenes Gespräch. Lass uns mit der Schließung beginnen, da sich die meisten dieser Unternehmen tatsächlich gerade dort befinden — und ehrlich gesagt, es ist schmerzhaft zuzusehen, denn die meisten von ihnen haben nichts falsch gemacht. Sie sind einfach nicht rechtzeitig angekommen, und für viele von ihnen hatten die Gründe nichts damit zu tun, wie gut ihre Compliance tatsächlich war.
Das Herunterfahren klingt zumindest nach dem einfacheren Weg. Ist es das wirklich?
Ivan Nevzorov:Nicht so einfach, wie die Leute denken, und es gibt einen richtigen und einen falschen Weg, es zu tun. Der falsche Weg ist, die App auszuschalten und zu verschwinden – die Kundenvermögen, die in diesen Konten sitzen, verschwinden nicht, und sie zu halten ist an sich eine regulierte Tätigkeit. Für den Regulierer ist das Unternehmen nirgendwo hingegangen. Es operiert weiterhin ohne Lizenz, nur jetzt hört es auch auf, seinen Kunden zu antworten. Der richtige Weg ist eines von zwei Dingen: ein geordneter Rückzug oder die Übertragung Ihrer Kunden an einen bereits autorisierten CASP.
ESMA hat tatsächlich festgelegt, wie ein geordneter Rückzug aussehen muss: keine Neukundenakquise, keine Marketingaktivitäten in der EU, beschränken Sie sich darauf, was bereits offen ist, abzuwickeln. Und die Übertragung von Kunden klingt auf dem Papier einfacher, aber im CASP-Register zu sein, sagt nur aus, dass ein Unternehmen berechtigt ist, Kunden zu übernehmen – es sagt nicht, dass sie tatsächlich in der Lage sind, gleichzeitig ein paar tausend neue Kunden zu onboarden. Viele der Unternehmen, die am schnellsten autorisiert wurden, haben nicht von Grund auf eine Krypto-Compliance-Funktion aufgebaut – sie hatten bereits eine MiFID- oder E-Geld-Lizenz und haben diese einfach umgewandelt, mit weniger strenger Prüfung. Gut für sie, aber das bedeutet auch, dass einige dieser brandneuen CASPs Banken sind, die Krypto als Nebenprodukt betreiben, keine Spezialisten, die eine Welle von migrierenden Kunden aufnehmen können. Jeder einzelne dieser Kunden benötigt immer noch eine vollständige AML- und KYC-Neuüberprüfung, bevor der neue CASP ihr Geld anfassen kann. Das sind Monate harter Arbeit für ein Team, das das jeden Tag macht. Länger für ein Team, das das nicht tut.
Man könnte denken, die größeren Plattformen hätten das mittlerweile gelöst. Ist das tatsächlich der Fall?
Ivan Nevzorov:Weniger als die Leute denken, und Binance ist tatsächlich ein faires Beispiel dafür. Eine Plattform mit jahrelanger europäischer Betriebsgeschichte und enormen rechtlichen und Compliance-Ressourcen hatte immer noch echte MiCA-Lizenzprobleme — die gleiche Hürde, die viele viel kleinere Unternehmen treffen. Das sagt dir etwas, über das es sich lohnt, nachzudenken: Das ist keine Lücke, die du einfach schließen kannst, indem du Geld oder Personal investierst. Wenn ein Unternehmen in dieser Größenordnung es nicht geschafft hat, alles rechtzeitig zu klären, sollte ein kleinerer Betreiber nicht davon ausgehen, dass er einfach durchkommt.
Lass uns für einen Moment zurückspulen — nur ein paar hundert Unternehmen haben es tatsächlich geschafft, während das noch möglich war. Was lief bei den anderen schief?
Ivan Nevzorov:Ehrlich gesagt, es sind selten die Unterlagen. Ein technisch korrektes Antragsformular bringt dich nur in den Raum — es gewinnt dir nicht die Entscheidung. Wir haben gesehen, dass ein Antrag abgelehnt wurde, weil das Stammkapital nicht korrekt eingezahlt wurde, und diese Anforderung steht nicht einmal irgendwo im MiCA. Der Regulierer hat einfach eine Formalität erfunden, die nicht im Text steht. Das ist das Muster, das ich immer wieder sehe: Der Grund, den sie auf Papier bringen, ist fast nie der wahre. Der wahre Grund kommt informell zu dir, wenn er überhaupt kommt, und es geht darum, wie sie das Unternehmen wahrnehmen — verstehst du dein eigenes Risikomodell, wer für was verantwortlich ist, wer deine Kunden wirklich sind. Eine Compliance-Politik, die von einer Vorlage kopiert wurde, beantwortet nichts davon. Das ist das erste, was ich anspreche, wenn jemand mit einer solchen Vorlage zu SBSB kommt.
Und die zweite Sache, die die Leute völlig unterschätzen: Wo Sie eingereicht haben, war fast genauso wichtig wie das, was Sie eingereicht haben. Das war kein einheitlicher Prozess in der EU — es waren siebenundzwanzig Versionen davon, die mit völlig unterschiedlichen Geschwindigkeiten und ganz unterschiedlichen Neigungen, Nein zu sagen, vorankamen. Deutschlands BaFin war da nicht schüchtern: Ihre erste MiCA-Durchsetzungsmaßnahme war die Ablehnung von Ethenas Antrag und die anschließende Zwangsauflösung des deutschen Betriebs des Unternehmens sowie die Rückzahlung seiner Tokens. Italiens Regulierungsbehörde ging den anderen Weg — sie verbrachte den Großteil des Übergangszeitraums, ohne überhaupt jemanden autorisiert zu haben, sodass die Einreichungen dort einfach liegenblieben. Gleiche Regulierung, völlig unterschiedliche Chancen, je nachdem, an welche Tür Sie geklopft haben. Einige Länder haben nicht einmal die Tür gebaut — Polen ist das lauteste Beispiel, es ging mit keiner Behörde, die CASP-Lizenzen ausstellt, in die Frist — aber das ist das extreme Ende eines Spektrums, auf dem der gesamte Markt saß.
Lassen Sie uns über die Unternehmen sprechen, die tatsächlich den Lizenzierungsprozess durchlaufen — einen ersten Antrag in einem Markt, den sie noch nicht berührt haben, oder eine Rückkehr später nach einem geordneten Ausstieg. Wie sieht eine Strategie aus, die tatsächlich funktioniert, in der Praxis aus?
Ivan Nevzorov:Ehrlich gesagt, es beginnt, bevor Sie ein einziges Formular berührt haben. Sie sprechen zuerst mit dem Regulierer, finden heraus, was genau von einem Unternehmen wie diesem erwartet wird, und erst dann bauen Sie die Struktur um diese Antwort herum auf — die AML-Politik, die Governance, die Dokumentation. MiCA ist eine Richtlinie, was bedeutet, dass jedes Land sie ein wenig anders umsetzt, sodass ein Compliance-Paket, das in einem Mitgliedstaat funktioniert hat, erneut überprüft wird, bevor Sie es irgendwo anders wiederverwenden. Die Leute überspringen diesen Schritt ständig, und das kostet sie.
Bei SBSB sieht ein vollständiges Mandat für uns so aus: Unternehmensgründung, der Antrag selbst, die Bearbeitung der Korrespondenz mit dem Regulierer und dann die Teile, die die meisten Gründer wirklich nicht alleine aufbauen können — Bankbeziehungen, Zahlungsinfrastruktur, Penetrationstests durch unsere Partner, lizenzierte Compliance-Software. Und Personalfragen sind ebenso wichtig. Regulierer überprüfen AML-Zertifizierungen frühzeitig, also klären Sie das, bevor der Antrag eingereicht wird, nicht nachdem Sie ihn bereits eingereicht haben.
Wie sollte ein Unternehmen tatsächlich auswählen, in welchem EU-Markt es sich bewerben soll — Deutschland, Österreich, die Niederlande, Estland?
Ivan Nevzorov:Ich gebe nicht jedem Kunden die gleiche Antwort, ehrlich gesagt, und wenn dir jemand sagt, es gibt eine magische Jurisdiktion, dann vereinfacht er es für dich. Aber die Unterschiede zwischen den Regulierungsbehörden sind real, und mittlerweile sind sie gut dokumentiert. Deutschlands BaFin gibt dir die schwerste Unterschrift in Europa – Unternehmensklienten respektieren sie – aber du zahlst dafür: eine deutsche Einheit, mindestens zwei qualifizierte Direktoren, die tatsächlich im Land anwesend sind, Kapital, das bei der Einreichung eingezahlt wird, und ein Dokumentationspaket, das Hunderte von Seiten umfasst, mit der formellen Einreichung auf Deutsch. Frankreich ist die gegenteilige Geschichte: Die AMF hatte fünf Jahre lang Krypto-Unternehmen unter ihrem eigenen nationalen Regime lizenziert, bevor MiCA existierte, sodass bereits dort registrierte Unternehmen einen wirklich vereinfachten Weg hatten, und die Krypto-Einheit des Regulators weiß, worauf sie schaut. Luxemburg, Irland und Malta wurden die Zentren, die die großen Börsen tatsächlich gewählt haben: Coinbase ging über Luxemburg, Kraken über Irland, OKX und Crypto.com über Malta. Das ist kein Zufall; es ist der Ort, an dem der Prozess reif genug war, um eine Datei dieser Größe zu bearbeiten.
Aber hier ist, was ich den Kunden tatsächlich sage: Die Geschwindigkeit des Regulators sollte nicht entscheidend sein – Ihre eigene Kapazität sollte es sein. Jeder ernsthafte Regulator prüft jetzt dasselbe: ein echtes Büro, echtes Personal vor Ort, einen glaubwürdigen Plan für diesen spezifischen Markt. Wählen Sie die Jurisdiktion, in der Sie ehrlich zeigen können, dass Sie das haben, nicht wer die kürzeste Warteschlange hat – ein schneller Prozess ohne Substanz hinter Ihrem Antrag führt nur zu einer schnellen Ablehnung. Und ja, Deutschland führt derzeit bei den Roh-Lizenzzahlen, aber ein guter Teil davon sind Banken und Broker, die eine Lizenz umwandeln, die sie bereits hatten, nicht kryptonative Unternehmen, die frisch genehmigt werden. „Deutschland hat die meisten CASPs“ und „Deutschland ist der einfachste Ort für ein Krypto-Unternehmen“ sind zwei verschiedene Aussagen, und die Leute verwechseln sie ständig. Ich glaube nicht, dass die Führung eines einzelnen Landes lange anhält – die Kapazität der Regulierungsbehörden ist überall endlich. Wir haben diesen Film schon einmal gesehen, es ist im Grunde das, was mit der Reform der Glücksspiel-Lizenz in Curaçao passiert ist. Sobald das Volumen das übersteigt, was der Regulator tatsächlich verarbeiten kann, wird der Prozess selbst zum Engpass.
Kommen wir zurück zur Verlagerung, dem dritten Weg, den Sie zuvor erwähnt haben. Für Unternehmen, die global denken, wie sollten sie eine EU-Lizenz im Vergleich zu Lizenzen anderswo – Lateinamerika, Asien, Offshore – abwägen?
Ivan Nevzorov:Schau, die sicherste Position ist vollständige Compliance überall, wo du tätig bist — bessere Bankkonditionen, voller Marktzugang, nichts im Graubereich. Aber das erfordert ein Budget, das die meisten Startups einfach nicht haben. In der Praxis laufen die meisten von ihnen also von einem geschäftsfreundlichen Standort aus — El Salvador, Panama, die VAE, Singapur, Mexiko, diese werden ständig genannt — und bedienen EU-Kunden nur durch umgekehrte Anfrage, manchmal mit zusätzlichen Geo-Blockaden für die risikoreicheren Märkte.
Quelle: CryptoPotato
