Inhalt dieses Artikels
Ihr könnt eine Wallet, einen Token oder eine Handelsfunktion technisch in wenigen Wochen bauen. Die eigentliche Hürde liegt woanders. Wenn ihr ein Krypto-Startup gründen wollt, zählt aufsichtsrechtlich nicht das Marketinglabel eures Produkts, sondern was euer Unternehmen tatsächlich für Kund:innen tut, kontrolliert oder vermittelt.
Krypto-Startup gründen bedeutet in der EU seit MiCAR: Vor dem Launch die eigene Rolle bestimmen. Emittiert ihr einen Kryptowert, erbringt ihr Kryptowerte-Dienstleistungen für Kund:innen oder liefert ihr nur Technologie? Aus dieser Einordnung folgen Whitepaper-, Zulassungs-, AML- und IT-Pflichten.
Inhaltsverzeichnis
- Von der Produktidee zur regulatorischen Landkarte
- Erst die Rolle klären: Emittent, Dienstleister oder Technikteam?
- Das Modell an fünf realistischen Fällen testen
- Was vor einem Marktstart behördlich relevant werden kann
- Informationspflichten sind kein Marketing-PDF
- Compliance und Betriebsfähigkeit von Anfang an bauen
- Banking als Vertrauens- und Dokumentationstest
- Der 30-Tage-Plan vor dem ersten öffentlichen Launch
- Typische Fehlannahmen, die Zeit und Budget kosten
- Fazit und FAQ
Von der Produktidee zur regulatorischen Landkarte
Viele Teams, die ein Krypto-Startup gründen, starten mit dem Code und klären die Regulierung später. Das rächt sich, weil die aufsichtsrechtliche Einordnung direkt auf Produktentscheidungen zurückwirkt: Wer Schlüssel verwahrt, Aufträge ausführt oder Token öffentlich anbietet, baut ein anderes Produkt als ein reiner Softwareanbieter.
Dieser Beitrag hilft euch, typische Modelle vorzusortieren, möglichen Whitepaper- und Erlaubnisbedarf zu erkennen und die ersten 30 Tage strukturiert vorzubereiten. Er ersetzt keine Rechts-, Steuer- oder Compliance-Beratung im Einzelfall. Bei Kundengeldern, Kundenkryptowerten, Token-Emissionen, Stablecoin-Nähe oder tokenisierten Anlagerechten solltet ihr früh spezialisierte Beratung einbeziehen.
Deshalb findet ihr hier bewusst keine pauschalen Urteile. Stattdessen arbeiten wir mit Prüffragen: Was kann relevant sein, was muss anhand der konkreten Ausgestaltung geprüft werden, was gehört früh fachlich eingeordnet?
Erst die Rolle klären: Emittent, Dienstleister oder Technikteam?
MiCAR ist die EU-Verordnung über Märkte für Kryptowerte. Sie regelt bestimmte Kryptowerte, öffentliche Angebote, Handelszulassungen und sogenannte Kryptowerte-Dienstleistungen. Bevor ihr Anforderungen abarbeitet, braucht ihr daher eine saubere Rollenklärung.
Emittent: Ihr bietet einen Kryptowert öffentlich an oder strebt dessen Zulassung zum Handel an. Dann rücken je nach Token-Kategorie Informations- und Whitepaper-Fragen in den Mittelpunkt.
Dienstleister: Ihr erbringt Leistungen rund um Kryptowerte für Kund:innen, etwa Verwahrung, Betrieb eines Handelsplatzes, Ausführung oder Vermittlung von Aufträgen, Tausch oder Beratung. Im EU-Kontext heißt diese Kategorie Crypto-Asset Service Provider. Ein CASP Deutschland ist entsprechend ein in Deutschland ansässiger beziehungsweise dort beaufsichtigter Anbieter in diesem Rahmen.
Technologieanbieter: Ihr liefert Software oder Infrastruktur, ohne selbst die regulierte Kundenleistung zu erbringen oder Kundenschlüssel und Kundenwerte zu kontrollieren. Auch das ist kein Automatismus, sondern muss anhand der realen Rolle geprüft werden.
Der wichtigste Satz dieses Abschnitts: „Wallet“, „DEX“, „Token-Plattform“ oder „dezentral“ sind Produktbegriffe, keine rechtlichen Freifahrtscheine.
Dazu kommt eine Abgrenzung, die viele unterschätzen. MiCAR gilt nicht für alle digitalen Werte. Ist ein Token etwa als Finanzinstrument einzuordnen, können andere Regelwerke maßgeblich sein. Tokenisierung verändert die rechtliche Einordnung des zugrunde liegenden Rechts nicht automatisch.
Quellen: Verordnung (EU) 2023/1114 (MiCAR) | ESMA zum MiCAR-Anwendungsbereich
Das Modell an fünf realistischen Fällen testen
Beginnt die Prüfung nicht mit der Produktbezeichnung, sondern pro Funktion mit fünf Fragen: Wer kontrolliert Schlüssel? Wer nimmt Aufträge entgegen? Wer führt Transfers aus? Wer handelt mit Kund:innen? Welche Rechte vermittelt der Token?
| Typischer Fall | Prüffragen | Warum früh prüfen? |
|---|---|---|
| Non-custodial oder custodial Wallet | Kontrolliert ihr Private Keys, Wiederherstellungsmechanismen oder Transaktionsfreigaben? | Je stärker die Kontrolle über Kundenkryptowerte, desto eher kann Verwahrung oder eine andere regulierte Leistung relevant werden. |
| Brokerage/Exchange | Werden Aufträge vermittelt oder ausgeführt, ein Handelsplatz betrieben oder Kryptowerte gegen Geld bzw. andere Kryptowerte getauscht? | Diese Funktionen gehören früh auf mögliche Kryptowerte-Dienstleistungen geprüft. |
| Custody-/Verwahrmodell | Wie sehen Kontrollketten, Mehrparteienfreigaben, Auszahlungsprozesse, Schlüsselverlust und Notfallwiederherstellung aus? | Diese Punkte gehören bereits in das Betriebskonzept, nicht erst in den Antrag. |
| Stablecoin-nahes Projekt | Ist der Wert an eine offizielle Währung oder mehrere Vermögenswerte gekoppelt oder stabilitätsorientiert ausgestaltet? | Früh prüfen lassen, ob ein E-Geld-Token (EMT) oder vermögenswertereferenzierter Token (ART) vorliegt. |
| Tokenisierung | Werden Forderungen, Anteile, Anlageelemente oder ähnliche Rechte abgebildet? | Nicht voraussetzen, dass nur MiCAR gilt. Die substanzielle Einordnung entscheidet. |
Die Token-Kategorien kurz erklärt: Ein EMT ist ein Kryptowert mit Bezug auf den Wert einer amtlichen Währung. Ein ART nimmt auf andere Werte oder Rechte beziehungsweise eine Kombination davon Bezug. Alles Weitere fällt unter sonstige Kryptowerte, und „Utility Token“ ist dabei keine automatische Ausnahme.
Die praktische Konsequenz: Euer Produkt-Canvas braucht eine feste Spalte „regulatorische Funktion, Kontrolle und Gegenpartei“. Dann seht ihr pro Feature sofort, wo es heikel wird.
Was vor einem Marktstart behördlich relevant werden kann
Das Thema BaFin Zulassung Krypto taucht in fast jedem Gründungsgespräch auf, oft zu früh oder zu pauschal. Richtig eingeordnet heißt es: MiCAR regelt für bestimmte Kryptowerte-Dienstleistungen Zulassungspflichten, Ausnahmen und Verfahren. Ob euer konkretes Modell betroffen ist, hängt von dessen Ausgestaltung ab.
Wenn eine Zulassung relevant wird, verläuft der Weg laut BaFin grob so:
- Antrag nach dem aktuellen elektronischen Verfahren vorbereiten und einreichen.
- Erforderliche Unterlagen nach MiCAR sowie den einschlägigen technischen Regulierungs- und Durchführungsstandards zusammenstellen.
- Die BaFin prüft zunächst die Vollständigkeit, danach folgt die fachliche Prüfung mit möglichen Rückfragen und Nachforderungen.
- Gebühren richten sich nach dem tatsächlichen Aufwand und der FinDAGebV. Fristen und Kosten deshalb ausschließlich anhand aktueller offizieller Informationen prüfen.
- Nach einer Zulassung kann EU-Passporting nach vorheriger Anzeige relevant werden.
Typische Unterlagenfelder sind Geschäftsplan, Eigentümer- und Organisationsstruktur, Angaben zur Geschäftsleitung, Risikomanagement und interne Kontrollen, Auslagerungen, IT- und Sicherheitskonzept, Geschäftskontinuität, geldwäscherechtliche Prozesse sowie DORA-Nachweise. Diese Liste erhebt keinen Anspruch auf Vollständigkeit.
Daraus folgt eine Reihenfolge, die Zeit spart: Schreibt nicht zuerst den Antrag. Dokumentiert zuerst Produktfunktionen, Verantwortlichkeiten und Kontrollflüsse belastbar. Der Antrag ist dann weitgehend eine Übersetzungsleistung.
Quellen: BaFin zu Kryptowerte-Dienstleistungen
Informationspflichten sind kein Marketing-PDF
Bei öffentlichen Angeboten oder einer angestrebten Handelszulassung bestimmter Kryptowerte kann ein Kryptowerte-Whitepaper erforderlich sein. Die konkreten Anforderungen richten sich nach Token-Kategorie und Einzelfall.
Für sonstige Kryptowerte umfasst das Whitepaper unter anderem Angaben zu Emittent, Projekt und Technologie sowie zu Rechten, Pflichten und Risiken. Es ist grundsätzlich vor der Veröffentlichung zu übermitteln, wird bei sonstigen Kryptowerten aber nicht generell durch die BaFin genehmigt.
Daraus folgt eine klare Abgrenzung: Pitch Deck, Website, US-Template oder Vertriebspräsentation ersetzen kein MiCAR-konformes Whitepaper. Bei EMT-nahen Modellen ist ein Kryptowerte-Whitepaper nach den MiCAR-Vorgaben einzureichen. Wer in die Nähe von ART oder EMT kommt, sollte rechtliche und Compliance-Beratung vor Produkt- und Marketingstart einplanen.
Gute Vorarbeit heißt: Token-Nutzen, technische Funktionsweise, Risiken, Rechte, Beschränkungen, Mittelverwendung, Freigabeprozesse und die Verantwortung für Aktualisierungen schriftlich festhalten. Diese Dokumente braucht ihr ohnehin, egal wie die Einordnung ausfällt.
Quellen: BaFin zur Emission von ART und EMT | BaFin MiCAR-Workshop 2025
Compliance und Betriebsfähigkeit von Anfang an bauen
Hinter dem Stichwort AML KYC Krypto stecken zwei Dinge: AML steht für Geldwäscheprävention, KYC für die Identifizierung und Prüfung von Kund:innen. In Deutschland zählen Anbieter von Kryptowerte-Dienstleistungen und Emittenten vermögenswertereferenzierter Token zu den geldwäscherechtlich Verpflichteten. Bei diesen Modellen ist AML/KYC also kein späteres Tool-Projekt, sondern Teil des Betriebsmodells.
Praktisch heißt das:
- Eine dokumentierte Risikoanalyse nach Kundengruppen, Ländern, Produkten und Transaktionsmustern entwickeln.
- Kundensorgfalt, Firmenkunden- und wirtschaftlich-Berechtigten-Prüfung, Monitoring, Eskalationen, Verdachtsfälle sowie Aufzeichnung und Aufbewahrung als zusammenhängenden Prozess beschreiben.
- Verantwortlichkeiten, Schulungen, Kontrollrhythmen und nachvollziehbare Dokumentation festlegen.
- Bei Transferfunktionen zusätzlich prüfen, welche Datenprozesse die EU-Regeln zu Angaben bei Kryptowertetransfers erfordern, auch bei Transfers zu oder von selbst gehosteten Adressen.
Dazu kommen Governance und digitale operationale Resilienz. Legt Geschäftsleitung und Freigaberechte klar fest. Baut ein Rollen- und Rechtekonzept für Auszahlungen, Schlüsselverwaltung und sensible Daten. Bewertet Risiken von Cloud-, KYC-, Custody- oder Analytics-Anbietern vor Vertragsschluss, gestaltet Verträge mit Kontroll- und Exit-Regeln und führt ein Register der IKT-Dienstleistervereinbarungen. Ein Incident-Response-Plan für Sicherheitsvorfälle, Schlüsselverlust und Dienstleisterausfall gehört ebenfalls dazu. Auch beim Outsourcing bleibt das regulierte Unternehmen verantwortlich.
Datenschutz ist dabei die notwendige Ergänzung: Bei externen KYC-Anbietern prüft Datenminimierung, Zugriffsrechte und gegebenenfalls die Auftragsverarbeitung.
Quellen: § 2 GwG | BaFin-Auslegungshinweise zum GwG | DORA (EU) 2022/2554 | Verordnung (EU) 2023/1113
Banking als Vertrauens- und Dokumentationstest
Ein Geschäftskonto und das Onboarding bei Zahlungsdienstleistern lösen bei Krypto-Modellen oft mehr Erklärungsbedarf aus als bei einem einfachen Softwaregeschäft. Nicht jede Bank verlangt dieselben Unterlagen, deshalb lohnt sich ein belastbares Banking-Dossier, das ihr flexibel nutzen könnt.
Hinein gehören ein One-Pager zum Geschäftsmodell und zur regulatorischen Arbeitshypothese, Gesellschafts-, Eigentümer- und Finanzierungsunterlagen inklusive nachvollziehbarer Herkunft der Mittel, eine Übersicht über Kundensegmente, Länderbezug und erwartete Zahlungsflüsse, eine Kurzfassung des AML/KYC-, Sicherheits- und Verantwortlichkeitskonzepts sowie ein Diagramm der Fiat-, Token- und Schlüsselbewegungen.
Prüft Alternativen parallel, aber versucht nicht, bank- oder aufsichtsrechtliche Anforderungen zu umgehen. Transparenz und konsistente Unterlagen reduzieren Rückfragen spürbar.
Der 30-Tage-Plan vor dem ersten öffentlichen Launch
Tage 1 bis 7: Geschäftsmodell sichtbar machen. Erfasst Produktfunktionen, Kundengruppen, Länder, Erlösmodell sowie Fiat-, Token- und Schlüsselbewegungen. Haltet fest, ob und wann euer Team Kundenassets kontrolliert oder Aufträge ausführt.
Tage 8 bis 14: Scope als Arbeitshypothese definieren. Ordnet ein, ob ihr Emittent, Dienstleister oder Technologieanbieter sein könntet. Markiert mögliche Kryptowerte-Dienstleistungen, Token-Kategorie, Whitepaper-Bedarf und Abgrenzungen zu MiCAR, KWG oder ZAG in einem Fragenkatalog.
Tage 15 bis 21: Gesellschaft und Betriebsmodell festziehen. Bereitet Rechtsform und Verantwortlichkeiten vor. Dokumentiert AML-/KYC-Scope, Datenschutzrollen, Sicherheitsverantwortung, Auslagerungen und kritische Dienstleister.
Tage 22 bis 30: Unterlagen validieren. Baut das Banking-Dossier auf, prüft Whitepaper- und Informationspflichten und lasst euer regulatorisches Memo durch spezialisierte Rechts- und Compliance-Beratung validieren. Plant MVP, begrenzten Pilot und öffentlichen Launch als getrennte Phasen.
KWG und ZAG tauchen hier bewusst auf: Das Kreditwesengesetz und das Zahlungsdiensteaufsichtsgesetz können neben oder statt MiCAR relevant werden, etwa bei Bank-, Finanzinstrument- oder Zahlungsdienstbezug. Vermischt die Regelwerke nicht und schließt keines vorschnell aus.
Typische Fehlannahmen, die Zeit und Budget kosten
- „Dezentral“ heißt nicht automatisch erlaubnisfrei. Entscheidend bleiben tatsächliche Kontrolle, Leistung und Verantwortlichkeiten.
- US-Vorlagen passen nicht automatisch zur EU. Verträge und Whitepaper müssen zur konkreten MiCAR- und Deutschland-Einordnung passen.
- MiCAR ist nicht immer das einzige Regelwerk. Finanzinstrument-, Zahlungs- und E-Geld-Bezüge gehören separat geprüft.
- KYC erst kurz vor Go-live einzukaufen reicht nicht. Risikoanalyse, Eskalationen und Verantwortlichkeiten müssen vorher stehen.
- Banking erst nach Produktfertigstellung anzusprechen schafft unnötige Reibung. Dokumentiert Zahlungs- und Finanzierungsflüsse früh.
- Beratung erst nach Vermarktungszusagen zu suchen ist zu spät. Besonders bei Verwahrung, Handel, Token-Emission und Stablecoin-Nähe früh validieren.
Häufige Fragen
Braucht jedes Web3-Projekt eine Erlaubnis?
Nein. Entscheidend sind Token-Ausgestaltung, tatsächliche Leistung, Kundenzugang und Kontrolle. Die Einordnung ist modellabhängig und muss im Einzelfall geprüft werden.
Ist ein Whitepaper immer von der BaFin genehmigt?
Nein. Bei sonstigen Kryptowerten wird das Whitepaper grundsätzlich nicht generell durch die BaFin genehmigt. Übermittlungs- und Inhaltsanforderungen können trotzdem gelten.
Reicht ein externer KYC-Anbieter für Compliance?
Nein. Dienstleister können Prozesse unterstützen, die Verantwortung für das eigene Betriebsmodell bleibt beim Unternehmen.
Fazit: Erst einordnen, dann skalieren
Für Teams, die ein Krypto-Startup gründen, sind MiCAR, eine mögliche Einordnung als CASP, Whitepaper-Fragen und AML/KYC keine isolierten Legal-Themen. Sie bestimmen Produktumfang, Personal, Dienstleistersteuerung, Banking und den realistischen Launchzeitpunkt.
Drei Schritte in dieser Reihenfolge: Geschäftsmodell und Flüsse dokumentieren, Erlaubnis- und Whitepaper-Fragen fachlich prüfen lassen, erst dann verbindliche Markt- und Wachstumszusagen machen.
Pro-Tipp: Legt eine einzige Quelle der Wahrheit an, ein regulatorisches Memo mit Architekturdiagramm, Funktionsliste und Arbeitshypothese. Dieses Dokument beschleunigt Beratung, Banking-Gespräche und einen möglichen Antrag gleichermaßen. Zieht bei konkreten Einzelfällen stets qualifizierte Rechts- und Compliance-Beratung hinzu.
Transparenzhinweis: Dieser Beitrag wurde unter Zuhilfenahme künstlicher Intelligenz erstellt und vor der Veröffentlichung redaktionell geprüft. Alle Zahlen und Angaben wurden gegen die im Text verlinkten Primärquellen abgeglichen.
