Wie erhält man Kryptolizenzen in Europa und welche MiCA-, AML- und Due-Diligence-Pflichten gelten 2026

Krypto- und Finanzunternehmen in Europa brauchen 2026 mehr als ein gutes Produkt, ein Wallet, eine Handelsplattform oder ein Pitch Deck für Investoren. Sie brauchen Nachweisbarkeit: klare Eigentümerstruktur, belastbare Geldwäscheprävention, dokumentierte IT-Kontrollen, passende Geschäftsleiter, saubere Verträge und eine Lizenzstrategie, die zum realen Geschäftsmodell passt. Genau hier setzt Coredo an: Das Unternehmen unterstützt bei Finanz- und Kryptolizenzen, Legal Opinions, Due Diligence, AML-Beratung sowie beim Kauf und Verkauf regulierter Gesellschaften. Damit wird Regulierung nicht als spätere Formalität behandelt, sondern als Grundlage für Markteintritt, Bankfähigkeit und Unternehmenswert.

Die Frage lautet deshalb nicht nur, wie ein Unternehmen eine Lizenz bekommt. Die wichtigere Frage lautet, ob Produkt, Kundenmodell, Geldflüsse, Verwahrung, Outsourcing und Compliance überhaupt lizenzfähig beschrieben sind. Eine europäische Aufsicht prüft keinen Slogan, sondern Funktionen: Wer hält Kundengelder? Wer kontrolliert private Schlüssel? Wer führt Aufträge aus? Wer berät Kunden? Wer trägt operationelle Risiken? Wer verdient an welcher regulierten Leistung?

Der Unterschied zwischen einem skalierbaren Kryptogeschäft und einem blockierten Projekt liegt oft in der Vorbereitung vor dem ersten Antrag.

Was Kryptolizenzen in Europa rechtlich bedeuten

Der Begriff Kryptolizenzen wird im Markt oft zu allgemein verwendet. Gemeint ist meistens die Zulassung oder Registrierung eines Unternehmens, das Krypto-Dienstleistungen professionell gegenüber Kunden anbietet. Unter der europäischen MiCA-Verordnung geht es vor allem um Crypto-Asset Service Provider, kurz CASP. Dazu können Handelsplattformen, Kryptobroker, Custody-Anbieter, Transferdienste, Tauschdienste, Beratung oder Portfolioverwaltung für Krypto-Assets gehören.

MiCA gilt seit dem 30. Dezember 2024 vollständig; Regeln für Asset-Referenced Tokens und E-Money Tokens bereits seit dem 30. Juni 2024. Die ESMA beschreibt MiCA als einheitlichen EU-Rahmen für Emittenten von Krypto-Assets und CASP. Nationale Insellösungen verlieren an Gewicht, während prüfbare Struktur, Governance und laufende Pflichten wichtiger werden.

Eine Kryptolizenz ist kein dekoratives Siegel. Sie entscheidet über den erlaubten Geschäftsumfang, die Bankfähigkeit, die Investorentauglichkeit und die Frage, ob ein Unternehmen Kunden in mehreren EU-Staaten rechtssicher ansprechen kann. Wer ohne passende Einordnung startet, riskiert nicht nur ein Problem mit der Behörde. Auch Banken, Zahlungsdienstleister, Custodians, Auditoren und Käufer können den Zugang verweigern.

Der erste Fehler vieler Projekte liegt in der Sprache. „Wallet", „Exchange", „Treasury", „Tokenisierung", „Brokerage", „Staking" oder „Custody" sind keine ausreichenden Rechtskategorien. Entscheidend ist die tatsächliche Funktion. Ein Wallet kann reine Software sein, echte Verwahrung, technischer Zugang oder Teil eines regulierten Transfermodells. Dieselbe Bezeichnung kann je nach Ausgestaltung erlaubnisfrei oder erlaubnispflichtig sein.

Wie Unternehmen eine Kryptolizenz beantragen

Der Weg zur Lizenz beginnt nicht mit einem Formular, sondern mit einem Regulierungs-Mapping. Jede Tätigkeit wird zerlegt: Wer bietet welche Leistung an, gegenüber welchem Kunden, gegen welches Entgelt, in welchem Land, mit welchem Vermögenswert und über welche Infrastruktur. Erst daraus ergibt sich, ob eine CASP-Zulassung, eine andere Finanzlizenz, eine Kooperation mit einem lizenzierten Partner oder ein angepasstes Geschäftsmodell sinnvoll ist.

Eine MiCA-Prüfung muss die tatsächlichen Dienstleistungen erfassen. Wird eine Handelsplattform betrieben? Werden Krypto-Assets getauscht? Werden Aufträge ausgeführt? Gibt es Beratung? Werden Schlüssel oder Kryptowerte verwahrt? Je mehr Kontrolle ein Anbieter über Vermögenswerte, Kundenzugang und Ausführung hat, desto näher liegt eine regulierte Tätigkeit.

Ein sauberer Lizenzprozess folgt meistens dieser Reihenfolge:

Geschäftsmodell in regulierte und nicht regulierte Funktionen zerlegen. Zielmärkte, Kundengruppen und geplante Volumina festlegen. MiCA-Kategorie, nationale Pflichten und Übergangsregeln prüfen. Gesellschaftsstruktur, Eigentümer, Kapital und Substanzanforderungen planen. Geschäftsleiter, Compliance Officer und Schlüsselpersonen auswählen. AML-Rahmen, KYC-Prozesse und Transaktionsmonitoring entwerfen. IT-, Outsourcing-, Wallet- und Sicherheitsmodell dokumentieren. Verträge, Website, App-Flows, Whitepaper und Kundeninformationen angleichen. Bank-, Payment-, Custody- und Technologiepartner vorbereiten. Antrag mit Nachweisen, Policies und operativer Begründung einreichen.

Der Antrag muss zeigen, dass das Unternehmen nicht nur Papierprozesse besitzt. Die Aufsicht will verstehen, wie Entscheidungen tatsächlich getroffen werden. Wer genehmigt Hochrisikokunden? Wer prüft Sanktions- oder PEP-Treffer? Wer kontrolliert externe Dienstleister? Wer ist für private Schlüssel, Wallet-Zugriffe oder Kundengelder verantwortlich? Jede Rolle sollte einer benannten Person zugeordnet sein, nicht einer abstrakten Abteilung.

Ein Lizenzantrag scheitert selten an einem einzelnen fehlenden Dokument, sondern daran, dass Dokumente, Produkt und tatsächliche Abläufe nicht dieselbe Geschichte erzählen. Widersprüche zwischen Whitepaper, Website und internen Policies fallen einer erfahrenen Aufsicht schnell auf.

MiCA trennt Krypto-Marketing von regulatorischer Realität

MiCA hat die Eintrittsbedingungen für Kryptounternehmen verändert. Früher konnten Anbieter häufig mit nationalen Registrierungen, Grauzonen oder uneinheitlichen Begriffen arbeiten. Unter MiCA zählt stärker, ob das Modell in eine regulierte CASP-Dienstleistung fällt und ob das Unternehmen die laufenden Pflichten erfüllen kann. ESMA führt dazu zentrale Register, darunter Whitepapers, zugelassene CASPs und nicht konforme Anbieter.

Ein Unternehmen, das Wachstum in Deutschland, Frankreich, Spanien, Italien oder den Niederlanden plant, muss erklären können, auf welcher Grundlage es dort Kunden bedient. Ein Hinweis auf eine alte Registrierung reicht nicht, wenn das Modell Kundengelder, Kryptowerte, Transfers oder Beratung umfasst.

Die schwierigsten Fälle sind hybride Modelle: Ein Unternehmen kombiniert Fiat-Zahlungen, Stablecoins, Krypto-Verwahrung, Tokenisierung, Brokerage und B2B-Infrastruktur. Jedes Element kann eine andere regulatorische Funktion haben. Werden sie im Antrag vermischt, wirkt das Modell unklar. Werden sie sauber getrennt, lässt sich begründen, welche Lizenzpflichten entstehen und welche Funktionen nur technische Dienstleistungen bleiben.

Auch Stablecoin-Modelle brauchen besondere Aufmerksamkeit. Asset-Referenced Tokens und E-Money Tokens unterliegen eigenen Anforderungen. Unternehmen müssen prüfen, ob ein Token Wertstabilität verspricht, ob ein Anspruch gegen einen Emittenten besteht, ob eine Rückzahlung möglich ist und welche Rolle der Anbieter spielt. Gerade bei Stabilitätsversprechen entscheidet die Einordnung oft über das gesamte Geschäftsmodell, weil sie zusätzliche Kapital-, Reserve- und Berichtspflichten auslösen kann.

AML wird zum Prüfstein für Bankfähigkeit

Geldwäscheprävention entscheidet in Kryptogeschäften oft früher über den Markteintritt als die finale Lizenz. Banken, Zahlungsdienstleister und Custodians verlangen klare Antworten, bevor sie Konten, Zahlungswege oder Verwahrbeziehungen eröffnen. Eine starke AML-Struktur zeigt, welche Kunden akzeptiert werden, welche Länder ausgeschlossen sind, wann zusätzliche Nachweise nötig werden und wie verdächtige Muster behandelt werden.

Das europäische AML-Paket verschärft diese Bedeutung. Die neue AMLA sitzt in Frankfurt am Main und ist Teil des EU-Rahmens gegen Geldwäsche und Terrorismusfinanzierung. AML wird nicht isoliert betrachtet: Es gehört zur Lizenzstrategie, zur Bankfähigkeit und zur späteren Due Diligence.

Eine belastbare AML-Architektur beginnt mit der Unternehmensrisikoanalyse. Sie sollte konkrete Risikokategorien enthalten: Länder, Kundentypen, Produkte, Transaktionsgrößen, Wallet-Exposures, Vertriebskanäle und technische Risiken. Danach folgen KYC, KYB, Screening, Monitoring, Eskalation, Dokumentation und laufende Überprüfung. Jede Stufe muss an die nächste anschließen, sonst entstehen Lücken, die Banken sofort erkennen.

Die typischen Schwachstellen sind fast immer praktisch: Hochrisikoländer werden nicht klar definiert. KYC-Provider ersetzen interne Entscheidungen. Source-of-Funds-Prüfungen bleiben bei hohen Volumina oberflächlich. Wallet-Risiken werden technisch erkannt, aber nicht rechtlich bewertet. Treffer aus Sanktions- oder PEP-Screening werden schlecht dokumentiert. Kundenakten zeigen nicht, warum ein Risiko akzeptiert wurde. Schulungen existieren, aber Verantwortlichkeiten bleiben unklar.

Für Kryptounternehmen kommt eine zusätzliche Ebene hinzu. Blockchain-Analyse kann Hinweise auf Mixer, Bridges, gehackte Wallets, sanktionierte Adressen oder Hochrisikobörsen liefern. Ein Tool zeigt Signale; die Entscheidung über Risikoakzeptanz, Verdachtsmeldung oder Kundenbeendigung bleibt beim Unternehmen. Wer diese Entscheidung nicht dokumentiert, kann später weder gegenüber Aufsicht noch Bank belegen, dass ein Risiko bewusst getragen wurde.

Legal Opinion als Grundlage für Produkt, Lizenz und Bankgespräch

Eine Legal Opinion ist eine begründete rechtliche Einordnung eines konkreten Produkts, Tokens, Zahlungsflusses oder Geschäftsmodells. Sie beantwortet keine abstrakte Frage, sondern eine operative: Braucht dieses Modell eine CASP-Zulassung? Ist ein Token als E-Money Token oder Asset-Referenced Token einzuordnen? Liegt Anlageberatung vor? Ist das Wallet-Modell echte Verwahrung?

Der Wert einer Legal Opinion entsteht besonders früh. Sind Website, App, Tokenomics und Investorenpräsentation bereits veröffentlicht, kann sie viele Risiken nur noch dokumentieren. Vor dem Marktstart kann sie Produktdesign, Vertragsstruktur, Kundensegmentierung und Marketing beeinflussen. Dadurch sinkt das Risiko, dass der spätere Antrag Widersprüche enthält.

Eine belastbare Legal Opinion enthält normalerweise: Beschreibung des konkreten Sachverhalts, Darstellung der technischen und wirtschaftlichen Abläufe, präzise Rechtsfragen, Prüfung der einschlägigen EU- und nationalen Regeln, Ergebnis mit Annahmen und Grenzen sowie Konsequenzen für Lizenz, AML, Vertrieb, Verträge und Dokumentation.

Bei Token-Projekten ist die Einordnung besonders sensibel. Es reicht nicht, im Whitepaper von Utility, Governance oder Community zu sprechen. Entscheidend sind Rechte der Inhaber, Stabilitätsmechanismen, Rückzahlungslogik, Handelbarkeit, wirtschaftliche Erwartungen und Art des öffentlichen Angebots. Die Analyse muss mit Smart Contract, Website, Terms, Vertrieb und realer Nutzung zusammenpassen.

Auch im Bankgespräch ist die Legal Opinion nützlich. Banken wollen verstehen, ob das Modell erlaubnispflichtig ist, welche Risiken bestehen und welche Kontrollen greifen. Eine klare Opinion übersetzt komplexe Krypto-, Zahlungs- oder Tokenmodelle in eine Sprache, die Risikomanagement und Compliance der Bank prüfen können.

Due Diligence entscheidet über Kaufpreis und Haftung

Eine Lizenz ist nur dann wertvoll, wenn sie zum realen Geschäft passt. Deshalb ist Due Diligence bei Finanz- und Kryptounternehmen deutlich tiefer als bei gewöhnlichen Softwarefirmen. Käufer prüfen nicht nur Umsatz, Kunden, Code und Verträge, sondern Lizenzumfang, Behördenkommunikation, AML-Akten, Beschwerden, Outsourcing, Datenschutz, IT-Risiken, Bankbeziehungen und historische Compliance.

Drei Fragen stehen im Zentrum. Darf das Unternehmen tun, was es tatsächlich tut? Hat es in der Vergangenheit so gearbeitet, wie es Behörden, Banken und Kunden dargestellt wurde? Kann der Käufer das Geschäft nach Closing ohne neue Genehmigungsrisiken fortführen? Wenn eine dieser Fragen offenbleibt, sinkt der Unternehmenswert.

Verkäufer sollten regulatorische Due Diligence nicht erst vorbereiten, wenn ein Käufer Exklusivität verlangt. Ein sauberer Datenraum erhöht die Verhandlungsmacht. Vollständige AML-Akten, klare Aufsichtskommunikation, aktuelle Policies und geprüfte Outsourcing-Verträge stabilisieren den Kaufpreis.

Für Käufer gilt umgekehrt: Eine bestehende Lizenz ist kein Freifahrtschein. Soll eine Gesellschaft, die bisher einfache Zahlungsdienste erbracht hat, nach dem Erwerb Krypto-Verwahrung, Stablecoin-Transfers oder Brokerage anbieten, kann eine Erweiterung oder neue Zulassung erforderlich werden. Der Kauf spart nur dann Zeit, wenn Lizenzumfang, Historie, Eigentümerwechsel und Integrationsplan zusammenpassen.

Praktische Checkliste vor dem Lizenzantrag

Ein regulierter Markteintritt beginnt nicht mit der Gesellschaftsgründung, sondern mit der Trennung zwischen kommerziellem Wunsch und rechtlicher Funktion. Erst wenn diese Trennung sauber dokumentiert ist, kann die passende Struktur entstehen.

Vor einem Lizenzantrag sollten Unternehmen mindestens diese Punkte klären: Welche konkrete Dienstleistung wird gegenüber Kunden erbracht? Wer hält Geld, Kryptowerte, private Schlüssel oder Kontozugang? Wer entscheidet über Ausführung, Preis, Auswahl oder Beratung? Welche Länder werden aktiv adressiert? Welche Kundengruppen sind ausgeschlossen? Welche Lizenz oder Registrierung passt zur Tätigkeit? Welche Geschäftsleiter und Schlüsselpersonen sind erforderlich? Welche AML-Kontrollen greifen vor und nach dem Onboarding? Welche IT- und Outsourcing-Risiken sind kritisch? Welche Unterlagen brauchen Banken, Investoren und Behörden?

Die Reihenfolge ist wichtig. Wer zuerst Marketing und Vertrieb baut, zwingt die Rechtsstruktur später in ein fertiges Versprechen. Wer zuerst regulatorisch kartiert, kann Produkt, Website, Verträge und technische Prozesse von Anfang an auf dieselbe Linie bringen. Regulierung ist kein Gegner guter Produkte; sie bestraft vor allem Produkte, die ihre eigene Risikologik nicht erklären können.

FAQ

Wie erhält man Kryptolizenzen in Europa? Zuerst wird das Geschäftsmodell regulatorisch kartiert. Danach folgen Jurisdiktionswahl, Gesellschaftsstruktur, Geschäftsleiter, AML-Rahmen, IT- und Outsourcing-Dokumentation, Kundeninformationen, Bankvorbereitung und Antragstellung bei der zuständigen nationalen Behörde. Entscheidend ist, dass Produkt, Verträge, Website und interne Prozesse zusammenpassen.

Braucht jedes Kryptounternehmen eine MiCA-Zulassung? Nein. Der Bedarf hängt von der konkreten Tätigkeit ab. Reine Softwareentwicklung kann anders zu bewerten sein als Verwahrung, Tausch, Übertragung, Beratung oder Betrieb einer Handelsplattform. Entscheidend sind Kontrolle über Vermögenswerte, Kundenbeziehung, Entgeltmodell und tatsächliche Funktion.

Warum ist AML für Kryptounternehmen so wichtig? AML entscheidet über Lizenzfähigkeit, Bankzugang und Investorentauglichkeit. Kryptounternehmen müssen nicht nur Identität prüfen, sondern auch Wallet-Risiken, Transaktionsmuster, Sanktionsbezüge, Mittelherkunft und Hochrisikokunden kontrollieren.

Wann ist eine Legal Opinion sinnvoll? Eine Legal Opinion ist sinnvoll vor Produktstart, Token-Angebot, Bankgespräch, Lizenzantrag, Investorenrunde oder Unternehmenskauf. Je früher sie erstellt wird, desto stärker kann sie Produktstruktur, Marketing, Vertragswerk und Lizenzstrategie beeinflussen.

Ist der Kauf einer lizenzierten Gesellschaft schneller als ein Neuantrag? Manchmal. Der Vorteil hängt davon ab, ob Lizenzumfang, Historie, AML-Akten, Bankbeziehungen, Eigentümerwechsel und geplantes Geschäftsmodell zusammenpassen. Ein gekauftes Unternehmen mit falscher Lizenz oder schwacher Compliance kann langsamer werden als ein sauber vorbereiteter Neuantrag.

Was ist der wichtigste erste Schritt? Der wichtigste erste Schritt ist ein präzises Regulierungs-Mapping. Jede Tätigkeit, jeder Geldfluss, jede Kundenrolle und jede technische Kontrollfunktion muss beschrieben werden. Erst danach lässt sich entscheiden, welche Lizenz, Gesellschaftsstruktur, AML-Architektur und Markteintrittsstrategie tragfähig sind.