Markteintritt in die EU im Jahr 2026: MiCA und PSD3/PSR als neuer Regulierungsrahmen für FinTech und Crypto

Autor: NEXORA Unternehmensberatung GmbH Datum: Januar 2026 Lesezeit: ca. 9 Minuten

Kurz zusammengefasst

• 2026 wird in vielen EU‑Staaten zu einem praktischen „Filter“: Ohne CASP‑Lizenz nach MiCA wird es für die meisten kommerziell relevanten Geschäftsmodelle zunehmend schwieriger, Crypto‑Dienstleistungen anzubieten.

• Das PSD3/PSR‑Paket befindet sich nach politischer Einigung in der Phase der formalen Verabschiedung: Payment‑FinTechs sollten die neuen Anforderungen bereits jetzt in Produktdesign und IT‑Architektur mitdenken.

• Österreich bleibt eine attraktive Jurisdiktion für FinTech/Crypto, aber die Erwartungen der FMA an Substance (tatsächliche Präsenz) und Governance (Unternehmensführung und Kontrollen) steigen spürbar.

• Die Strategie „Abwarten bis zur Deadline“ wird 2026 in vielen Konstellationen zu einem regulatorischen, Reputations‑ und Geschäftsrisiko – insbesondere für B2B‑ und White‑Label‑Modelle.

Was ändert sich 2026?

Die EU tritt 2026 mit einem weitgehend abgeschlossenen Regelwerk für Krypto‑Assets und Zahlungsverkehr ein. Für neue Marktteilnehmer bedeutet dies höhere Eintrittshürden, aber auch deutlich mehr Rechtssicherheit und Planbarkeit. Österreich positioniert sich dabei als potenzieller Hub – mit klarer FMA‑Aufsicht, erprobten Verfahren und EU‑weitem Marktzugang über Passporting‑Mechanismen.

Typische adressierte Unternehmen sind u. a. Crypto‑Börsen, Broker, Wallet‑/Custody‑Provider, Payment‑Gateways, Banking‑as‑a‑Service‑Plattformen sowie hybride Geschäftsmodelle (Crypto + Fiat).

1. MiCA: Warum 2026 zum „Filter“ für CASP wird

MiCA (Markets in Crypto‑Assets Regulation) führt eine einheitliche Lizenz für Crypto‑Asset Service Providers (CASP) mit EU‑weitem Passporting ein.

Wichtige Timeline-Aspekte:

• Das Hauptregime für CASP gilt seit dem 30. Dezember 2024.

• Bestimmte Kategorien von Stablecoin‑Emittenten unterliegen MiCA bereits seit Juni 2024.

Betroffene: Alle, die professionell Dienstleistungen mit Krypto‑Assets erbringen – etwa Tausch, Custody‑Verwahrung, Orderausführung, Brokerage, Betrieb von Handelsplattformen, Platzierung von Token oder ähnliche Services.

Praktische Konsequenz: Selbst Modelle wie „wir verwahren nur Schlüssel“ oder „wir führen nur Orders aus“ lassen sich zunehmend schwerer mit der Aufsichtspraxis und Markt­erwartung vereinbaren, wenn keine CASP‑Autorisierung vorliegt.

Zu Übergangsregelungen (Grandfathering): MiCA sieht Übergangsregelungen für Provider vor, die bereits als VASP nach nationalen AML‑Regimen registriert waren, bevor MiCA vollständig zur Anwendung kam. Die Dauer der Übergangsfrist bestimmen die Mitgliedstaaten (bis zu 18 Monate nach vollständiger Anwendung von MiCA); entsprechend variieren die faktischen Deadlines zwischen 2025 und 2026 je nach Jurisdiktion. In einigen Ländern ist die Nutzung des Übergangsregimes zudem daran geknüpft, dass innerhalb einer bestimmten Frist ein vollständiger CASP‑Antrag eingereicht wird.

Für neue Player heißt das: Der EU‑Markt entwickelt sich in Richtung eines „lizenzpflichtigen Clubs“ – mittel‑ bis langfristig wird ein nachhaltiges Crypto‑Geschäft ohne CASP‑Status nur noch in eng begrenzten Nischen denkbar sein.

2. PSD3/PSR: Die nächste Stufe für Zahlungsinstitute

Das Paket aus PSD3 und Payment Services Regulation (PSR) ist die Weiterentwicklung der PSD2. Es führt das E‑Geld‑Regime näher an das Zahlungsverkehrsregime heran, präzisiert Verhaltensregeln und stärkt den Verbraucherschutz.

Status am 29. Januar 2026: Die politische Einigung zwischen Europäischem Parlament und Rat wurde Ende 2025 erzielt. Die formale Verabschiedung der finalen Texte wird für 2026 erwartet; anschließend ist mit einer Übergangsfrist zu rechnen, deren genaue Dauer und Ausgestaltung von der endgültigen Fassung abhängen.

Kernpunkte:

• Angleichung von E‑Geld und Zahlungsverkehr: E‑Geld‑Emittenten bewegen sich in Richtung einheitlicher Autorisierungs‑, Kapital‑ und Governance‑Anforderungen mit Zahlungsinstituten.

• PSR als unmittelbar anwendbare Verordnung: Ein Großteil der Verhaltensregeln, Transparenzpflichten, SCA‑Anforderungen, Betrugskontrollen sowie Open‑Banking‑Verpflichtungen wird EU‑weit direkt gelten – mit weniger nationalen Abweichungen.

• Stärkung von Verification of Payee und Open Banking: Erweiterte API‑Zugangsanforderungen, klarere Haftungsregeln für betrügerische Transaktionen und ausgestaltete Kompensationsmechanismen für Kund:innen.

• Synergie mit MiCA: In den Entwürfen wird darüber diskutiert, die Autorisierung zu vereinfachen bzw. zu optimieren, wenn Akteure bereits als CASP lizenziert sind und zusätzliche Zahlungsdienste hinzufügen wollen; die konkreten Bedingungen hängen jedoch vom finalen Text ab.

Fazit für das Produkt- und Geschäftsdesign: Zahlungsverkehrs‑ oder Hybrid‑Modelle (Crypto + Fiat, Account‑to‑Account‑Lösungen, Embedded‑Payments) sollten so konzipiert werden, als ob PSD3/PSR bereits „vor der Tür steht“. Wer heute nur für PSD2 optimiert, riskiert kostspielige Umbauten innerhalb der nächsten 12–24 Monate.

3. Österreich als Hub: Lizenzierung und Substance-Anforderungen

Die österreichische FMA führt seit mehreren Jahren ein VASP‑Register und stellt nun Schritt für Schritt auf das MiCA‑Regime um, indem sie CASP‑Verfahren und nationale Präzisierungen vorbereitet. Das zentrale Signal an den Markt: Unternehmen, die 2025–2026 von Österreich aus tätig sein wollen, sollten mit einer vollwertigen CASP‑Autorisierung rechnen – nicht mit einer „minimalistischen“ AML‑Registrierung.

3.1 Lizenzierungsoptionen

• CASP unter MiCA mit EU‑weitem Passporting (Tausch, Custody‑Verwahrung, Brokerage, Handelsplattformen, Token‑Platzierung usw.).

• Zahlungsinstituts‑/E‑Geld‑Lizenz (unter Berücksichtigung des künftigen PSD3/PSR‑Rahmens) für klassische Zahlungsverkehrs‑ und Open‑Banking‑Modelle.

• Kombinationsmodell (CASP + Zahlungsinstitut in einer Gruppe) mit durchdachtem Governance‑, Risikomanagement‑ und AML‑Framework – insbesondere für Unternehmen, die Crypto‑ und Fiat‑Ströme integrieren.

Frühzeitige Entscheidungen über die Ziel‑Lizenz und die Gruppenkonfiguration sparen späteren Umbaubedarf.

3.2 Substance: Was wird geprüft

MiCA und das künftige PSD3/PSR legen besonderen Wert auf tatsächliche Präsenz im Lizenzierungsstaat. Im Fokus der FMA stehen u. a.:

• Geschäftsleiter, die das Geschäft faktisch von Österreich aus führen – keine reinen „Briefkasten“‑Konstruktionen.

• Angemessen ausgestaltete Compliance‑, AML‑Officer‑, Risikomanagement‑ und interne Revisionsfunktionen, die in Geschäftsprogrammen und Richtlinien klar beschrieben sind.

• IT‑ und Sicherheitsprozesse, die den Erwartungen an operationelle Resilienz und digitale Risiken entsprechen (inkl. Berücksichtigung von DORA für Finanzinstitute).

Die FMA empfiehlt in der Praxis einen frühen Dialog, um Erwartungshorizont, Dokumentationsumfang und Zeitachsen abzustimmen und „böse Überraschungen“ im eigentlichen Bewilligungsverfahren zu vermeiden.

3.3 Praktischer Fahrplan für die FMA-Interaktion

• Pre‑Assessment: Erstanalyse des Geschäftsmodells – welche Dienstleistungen fallen unter MiCA/PSD3, welche Art von Lizenz ist realistisch und sinnvoll.

• Erstkontakt mit der FMA: Kurzbeschreibung des Modells, erste Fragen zu Substance, Governance und geplanten Strukturen (ggf. informelles Feedback).

• Paketvorbereitung: Geschäftsprogramm, IT‑/Sicherheitsbeschreibung, AML‑Policy, Risiko‑Framework, Finanzplan, Gruppenstruktur, Organisations‑ und Funktionsmatrix.

• Antragstellung: Formaler CASP‑/Zahlungsverkehrsantrag einschließlich Beantwortung von Rückfragen des Regulators und eventueller Modell‑Feinjustierungen.

• Operativer Start: Implementierung der genehmigten Struktur, Aufbau von Berichtswesen, internen Kontrollen und eines klaren Aktualisierungs‑ und Review‑Zyklus der Richtlinien.

Unternehmen, die noch keine klare Lizenzierungsstrategie haben, sollten in den nächsten Monaten zumindest einen strukturierten Options‑Check durchführen – beispielsweise gemeinsam mit spezialisierten Beratungs‑ oder Rechts­partnern.

4. „Abwarten oder handeln?“: Warum die Abwartestrategie riskant wird

In den Jahren 2024–2025 wirkten die Übergangsregelungen zunächst attraktiv: VASPs konnten ihre Tätigkeit unter nationalen Rahmenwerken fortsetzen und sich parallel auf die CASP‑Lizenz vorbereiten. 2026 wird „bis zum letzten Moment warten“ jedoch in vielen Konstellationen zunehmend zu einer Wette gegen Aufsichtspraxis und Markt­entwicklung.

Warum das Risiko steigt:

• Unterschiedliche Deadlines zwischen Ländern: Die Dauer der Übergangsfristen variiert; in einigen Jurisdiktionen musste zur Aufrechterhaltung des Übergangsregimes innerhalb kurzer Frist ein vollständiger Antrag gestellt werden. Wer diese Fristen verpasst, verliert den Schutzschirm.

• Strengere Aufsicht über „leichte“ VASP‑Modelle: Minimalistische AML‑Registrierungen ohne sichtbare Fortschritte in Richtung MiCA erhöhen das Risiko von Anordnungen, Beschränkungen oder geordneter Einstellung des Geschäfts.

• Risiko des Marktverlusts: Die ersten CASPs gewinnen Vertrauen von Banken, institutionellen Kunden und Partnern – insbesondere im B2B‑ und White‑Label‑Segment. Späte Antragsteller laufen Gefahr, wichtige Kooperationsfenster zu verpassen.

• Verlust potenzieller Synergien mit PSD3/PSR: Wenn MiCA‑Lizenzierung aufgeschoben wird, können sich künftige Vereinfachungen beim Hinzufügen von Zahlungsdiensten (soweit sie im finalen PSD3/PSR‑Text vorgesehen werden) kaum nutzen lassen.

Die Abfrage lautet daher 2026 nicht mehr „Brauchen wir eine Lizenz?“, sondern „Mit welcher Geschwindigkeit und in welcher Jurisdiktion gehen wir auf sie zu?“ – und welche Optionen wir uns durch Nichtstun bereits heute verschließen.

Checkliste für 30/60/90 Tage (Die folgenden Schritte sind bewusst generisch gehalten und müssen an das konkrete Geschäftsmodell und die jeweilige Rechtslage angepasst werden.)

• 30 Tage: Dienstleistungs‑Mapping (MiCA/PSD3), Definition der Zielländer, erste Gap‑Analyse der Richtlinien (AML, Risiko, IT/Sicherheit), Grundsatzentscheidung über den Lizenzierungsweg.

• 60 Tage: Design der Substance‑Struktur (Geschäftsleiter, Schlüsselfunktionen), Entwürfe der wichtigsten Richtlinien und Geschäftsprogramme, Vorbereitung eines vorläufigen Regulatoren‑Kontakts.

• 90 Tage: Finalisierung des Dokumentenpakets, Einrichtung interner Kontrollverfahren, organisatorische und inhaltliche Bereitschaft für formale Einreichung oder Voreinreichung.

5. Zentrale Schlussfolgerungen

• MiCA erhöht die Vorhersehbarkeit des Marktes für Crypto‑Dienstleistungen in der EU, schließt aber den Raum für halbregulierte Modelle: Ohne CASP‑Lizenz wird für die meisten Geschäftsmodelle ein langfristig tragfähiges EU‑Geschäft kaum möglich sein.

• PSD3/PSR bilden die nächste Stufe für Zahlungsverkehr und Open Banking. Neue Anträge sollten diese Regeln bereits heute reflektieren, um Doppelarbeiten und spätere Umbauten zu vermeiden.

• Österreich kann ein starker Hub für FinTech/Crypto sein, aber die FMA erwartet reale Präsenz, reife Governance‑Strukturen und einen frühen, transparenten Dialog – keine „Briefkasten“‑Konstruktionen.

• 2026 ist daher weniger die Frage „Ob wir eine Lizenz brauchen“, sondern „Wie schnell und von welchem Standort aus wir unsere Lizenzierungs‑ und Transformationsstrategie umsetzen“.

Haftungsausschluss: Dieser Text ist informativer Natur und stellt keine individuelle Rechts‑ oder Anlageberatung dar. Für die konkrete Strukturierung des Geschäftsmodells und die Wahl der Jurisdiktion ist eine gesonderte fachliche Beratung erforderlich.

Nexora Unternehmensberatung GmbH Strategische Beratung | Regulatorische Compliance | Digitalisierung Wien, Österreich | www.nexora-consulting.at