MiCA/CASP Investor Briefing – Risiko & Opportunity

Einleitung

Dieses Briefing richtet sich an professionelle und sophisticated retail Investoren, die ein Exposure zu EU-facing Crypto-Asset Service Providern (CASPs) oder Token-Projekten erwägen. Es erklärt, wie die Markets in Crypto-Assets Regulation (MiCA) die regulatorische Risikolandschaft verändert, wie CASP-Lizenzstatus zu interpretieren ist, welche Red Flags zu beachten sind und wie sich MiCA-Readiness qualitativ auf das Risiko-Rendite-Profil auswirkt.

Stand der Informationen: 3. Januar 2026

Wichtiger Hinweis: Dieses Briefing stellt keine Anlageberatung dar und empfiehlt keine spezifischen Firmen oder Produkte. Es dient ausschließlich der Information über regulatorische Entwicklungen und deren Auswirkungen auf das Risikoprofil von Crypto-Asset-Investments.

MiCA-Kontext für Investoren

Die Markets in Crypto-Assets Regulation (MiCA, Regulation (EU) 2023/1114) markiert einen fundamentalen Wandel: Vom fragmentierten nationalen Flickenteppich zu einem einheitlichen EU-Rahmen. Vor MiCA operierten Crypto-Asset Service Provider unter stark unterschiedlichen nationalen Regimen. MiCA schafft nun einen harmonisierten Zulassungs- und Aufsichtsrahmen, der in allen EU-Staaten gilt und CASPs ermöglicht, ihre Dienste EU-weit anzubieten (Passporting).

Mehr Transparenz, aber nicht MiFID-Level-Schutz: MiCA verbessert die Situation durch verpflichtende White Papers, organisatorische Anforderungen an CASPs (Governance, IT-Sicherheit, Interessenkonflikte), Beschwerdemechanismen und Safeguarding-Regeln. Die European Supervisory Authorities (ESAs) betonen jedoch: MiCA bringt den Schutz nicht auf das Niveau traditioneller Finanzprodukte.

Die ESAs haben im Oktober 2025 und Dezember 2024 gemeinsame Warnungen veröffentlicht: Crypto-Assets bleiben hochriskant und spekulativ; Investoren können ihr gesamtes Kapital verlieren; hohe Volatilität, Betrugs- und Hacking-Risiken bestehen fort; und kein oder nur begrenzter rechtlicher Schutz gilt bei nicht-EU-autorisierten Providern. ESMA warnt zudem vor dem „Halo-Effekt": Nur weil ein CASP für bestimmte Dienstleistungen zugelassen ist, bedeutet das nicht, dass alle seine Produkte unter MiCA fallen.

Die zentrale Botschaft: MiCA reduziert regulatorische Unsicherheit und setzt Mindeststandards – aber es ist kein „Sicherheitsnetz" wie bei traditionellen Finanzprodukten. Die Wahl des richtigen Providers und das Verständnis seines regulatorischen Status sind entscheidende Faktoren des Risikomanagements.

Regulatorische Risk Buckets

Aus Investorensicht lassen sich Crypto-Asset Service Provider qualitativ in drei „regulatorische Risk Buckets" einordnen, basierend auf ihrem MiCA-Lizenzstatus:

Bucket 1: Vollständig MiCA-autorisierter CASP in der EU mit Passporting

Charakteristika: Vollständige CASP-Zulassung gemäß Artikel 62 ff. MiCA von einer nationalen Aufsichtsbehörde (NCA), gelistet im ESMA-Register, EU-weites Passporting möglich.

MiCA-Level-Protections: Organisatorische Anforderungen (Governance, interne Kontrollen, qualifiziertes Personal), Safeguarding (segregierte Verwahrung, vorrangige Ansprüche im Insolvenzfall), funktionierendes Beschwerdemanagement, Conduct of Business-Pflichten (fair, professionell, im Kundeninteresse), IT & Operational Resilience, vollständige EU-AML/KYC und Travel Rule-Compliance.

Wind-Down-Risiko: Niedrig. Allerdings kann auch ein lizenzierter CASP bei schweren Compliance-Verstößen oder finanziellen Problemen die Lizenz verlieren.

Qualitative Risikobewertung: Deutlich reduziertes regulatorisches Risiko, höheres Vertrauen in Governance und IT-Sicherheit (regulatorische Audits durchlaufen), bessere Rechtsbehelfe bei Pflichtverletzungen. Trade-off: Höhere Compliance-Kosten können zu höheren Gebühren oder geringeren Margen führen.

Bucket 2: Provider unter nationalem VASP/DASP-Regime oder Übergangsregime (landesspezifische Enddaten 2025–2026)

Charakteristika: Operiert unter nationalem Registrierungs- oder Zulassungsregime (z.B. VASP, DASP) vor vollständiger MiCA-Autorisierung. MiCA erlaubt Mitgliedstaaten Übergangsfristen von 6–18 Monaten ab 30.12.2024: Österreich/Deutschland: 12 Monate (bis 31.12.2025); Frankreich/Luxemburg: 18 Monate (bis 30.06.2026/01.07.2026). Hinweis: Exakte Fristen variieren je Mitgliedstaat (z.B. Niederlande/Finnland: 6 Monate) und sollten bei NCAs (FMA, BaFin, AMF, CSSF) geprüft werden.​

MiCA-Level-Protections: Während der Übergangszeit primär nationale Regeln (oft AML/KYC-fokussiert), nicht die vollen MiCA-Anforderungen. ESAs betonen: Kunden profitieren nicht von MiCA-Protections während des Übergangs. Nach Ablauf: CASP-Lizenz erforderlich oder Wind-Down.​

Wind-Down-Risiko: Hoch. Ohne CASP-Lizenz zum Fristende muss der Provider EU-Geschäfte einstellen. ESMA warnt: CASPs ohne Autorisierung sollen Wind-Down-Pläne aktivieren. Für Investoren: Liquiditätsrisiko (Kontenschließungen, verzögerte Auszahlungen) und Reputationsrisiko.​

Qualitative Risikobewertung: Mittleres bis hohes regulatorisches Risiko abhängig vom CASP-Zulassungsprozess-Status. Schwächere Governance, IT-Sicherheit und Marktüberwachung als Bucket 1. Investoren sollten CASP-Roadmap-Status genau prüfen und sich auf mögliche Disruptionen vorbereiten – besonders in Ländern mit abgelaufenen Fristen wie Österreich/Deutschland.​

Bucket 3: Nicht-EU oder nicht-autorisierter Provider (inkl. „Reverse Solicitation")

Charakteristika: Keine EU-Lizenz (weder MiCA-CASP noch nationales Übergangsregime). Operiert aus Drittland oder behauptet „Reverse Solicitation" (Kunde kontaktierte angeblich ausschließlich aus eigener Initiative).

MiCA-Level-Protections: Keine. ESAs warnen: Bei nicht-EU-autorisierten Providern sind Investoren nicht durch MiCA geschützt. Im Schadensfall oft keine rechtlichen Möglichkeiten (grenzüberschreitende Klagen in Drittstaaten problematisch).

Wind-Down-Risiko: Extrem hoch. NCAs können jederzeit Maßnahmen ergreifen (Website-Blocking, Warnungen, Strafverfahren). Provider könnte plötzlich EU-Markt verlassen.

Qualitative Risikobewertung: Sehr hohes regulatorisches Risiko. Keine Governance- oder IT-Sicherheitsstandards. Maximales AML/KYC-Risiko, Betrugs- und Hacking-Risiko deutlich höher ohne Aufsicht. Reverse-Solicitation-Mythos: ESMA stellt klar, dass diese Ausnahme sehr eng ist – aktives Marketing disqualifiziert sie. Für die meisten Investoren nicht ratsam, selbst bei hohen erwarteten Renditen.

Signale aus Rechtsprechung und Enforcement

Die regulatorische Landschaft verändert sich nicht nur durch Gesetzgebung, sondern auch durch Gerichtsentscheidungen und Enforcement-Maßnahmen. Ein wegweisendes Urteil zeigt, dass Regulierungsverstöße direkte zivilrechtliche Folgen haben können:

Court of Appeal of Grenoble (26. Juni 2025): Bitstamp Europe – Failure to Register as DASP

Im Fall eines Kunden der Krypto-Börse Bitstamp Europe entschied das französische Appellationsgericht Grenoble, dass die Nichtregistrierung als DASP (Digital Asset Service Provider) unter dem französischen PACTE-Regime eine zivilrechtlich haftungsbegründende Pflichtverletzung darstellt – unabhängig davon, ob zusätzlich technische oder operative Fehler vorlagen.

Sachverhalt (stark vereinfacht):

• Bitstamp Europe bot in Frankreich Krypto-Dienstleistungen an, hatte sich aber nicht bis zur gesetzlich vorgeschriebenen Frist (19. Dezember 2020) als DASP bei der AMF (Autorité des Marchés Financiers) registriert.

• Ein Kunde erlitt Verluste durch betrügerische Aktivitäten auf seinem Konto (vermutlich durch Phishing oder Kompromittierung seiner Zugangsdaten).

• Das Erstgericht wies die Klage ab und argumentierte, dass Bitstamp technisch angemessene Sicherheitsvorkehrungen getroffen habe (Warnsystem bei verdächtigen Log-ins) und dass die regulatorische Nichtregistrierung für den zivil rechtlichen Anspruch irrelevant sei.

Entscheidung des Appellationsgerichts:

• Das Appellationsgericht kehrte das Urteil um und verurteilte Bitstamp Europe zur Zahlung von Schadenersatz.

• Kernargument: Das Gericht stellte fest, dass Bitstamp rechtswidrig tätig war, weil es ohne die erforderliche DASP-Registrierung operiert hatte. Diese regulatorische Pflichtverletzung wurde als eigenständige zivilrechtliche Schuld (stand-alone regulatory fault) anerkannt.

• Das Gericht argumentierte, dass das Fehlen der Registrierung kausal für den Schaden sein konnte: Wäre Bitstamp ordnungsgemäß registriert und unter AMF-Aufsicht gewesen, wären möglicherweise höhere Sicherheitsstandards und bessere Governance-Mechanismen in Kraft gewesen, die den Verlust hätten verhindern können.

• Wichtig: Das Gericht musste nicht nachweisen, dass Bitstamp technisch oder operativ fahrlässig gehandelt hatte. Die bloße Tatsache, dass der Provider rechtswidrig ohne Lizenz tätig war, genügte für die Haftung.

Was bedeutet das für Investoren unter MiCA?

Diese Entscheidung ist ein starkes Signal mit potenziell weitreichenden Folgen:

• Regulatorische Compliance wird zu einer privat­rechtlichen Pflicht: Gerichte können Verstöße gegen Zulassungspflichten (wie das Fehlen einer CASP-Lizenz unter MiCA) als eigenständige Pflichtverletzung werten, die Schadensersatzansprüche begründet.

• Erhöhtes Litigation-Risiko für nicht-compliant Provider: CASPs, die ohne erforderliche Lizenz operieren (Bucket 3) oder nach Ablauf der Übergangsfrist (Bucket 2) weiterarbeiten, setzen sich einem erheblichen Haftungsrisiko aus. Kunden können argumentieren, dass Verluste nicht nur auf technische Fehler, sondern auch auf die mangelnde regulatorische Compliance zurückzuführen sind.

• Beweislastverschiebung: Investoren müssen möglicherweise nicht mehr im Detail nachweisen, welche konkreten operativen Fehler zum Schaden geführt haben – die Tatsache, dass der Provider illegal tätig war, kann ausreichen.

• Wert der CASP-Lizenz aus Investorensicht: Die Wahl eines vollständig lizenzierten CASP (Bucket 1) reduziert nicht nur regulatorisches Risiko, sondern auch das Litigation-Risiko für den Provider – was indirekt die Stabilität und Vertrauenswürdigkeit des Providers erhöht.

Early Enforcement in anderen Mitgliedstaaten

Obwohl detaillierte Gerichtsentscheidungen zu MiCA noch ausstehen (da MiCA erst seit Ende 2024 vollständig anwendbar ist), zeigen erste Enforcement-Maßnahmen nationaler Aufsichtsbehörden eine ähnliche Richtung:

• BaFin (Deutschland): Mehrere Warnungen vor nicht-lizenzierten Providern; Maßnahmen gegen Firmen, die ohne erforderliche Erlaubnis Krypto-Dienstleistungen anbieten.

• ESMA: Veröffentlichung von „Non-Compliant Entities"-Listen; Aufforderung an NCAs, Last-Minute-Anträge kritisch zu prüfen und gegen unerlaubte Anbieter vorzugehen.

• AMF (Frankreich): Konsequente Durchsetzung der DASP-Registrierungspflicht; mehrere Verwarnungen und Delistings.

Die Botschaft ist klar: Regulatorischer Status wird zu einem zentralen Element der Investor Protection. Die erste Prüfung eines Investors sollte sein: Ist der Provider im ESMA-Register gelistet? Wenn nicht, warum nicht, und welche Risiken birgt das?

DD-Fragenkatalog aus regulatorischer Sicht

Professionelle Investoren sollten bei der Bewertung von CASPs oder Token-Projekten einen strukturierten Due-Diligence-Prozess durchführen:

1. Lizenzstatus & Roadmap

• Besitzen Sie bereits eine vollständige CASP-Zulassung gemäß MiCA? Sind Sie im ESMA-Register gelistet?

• Falls keine CASP-Lizenz: Unter welchem nationalen Regime operieren Sie? Wie lange ist die Übergangsfrist gültig?

• Haben Sie einen CASP-Antrag gestellt? Bei welcher NCA? In welcher Phase?

• Was ist Ihr Roadmap zu vollständiger MiCA-Compliance?

Red Flags: Vage oder defensive Antworten, kein CASP-Antrag trotz ablaufender Frist, Behauptung „Reverse Solicitation" ohne klare Dokumentation.

2. AML/KYC-Framework

• Wie ist Ihr KYC-Prozess strukturiert? (Onboarding, Ongoing Monitoring, Enhanced Due Diligence)

• Welche Sanctions Screening-Tools verwenden Sie?

• Wie erfüllen Sie die Travel Rule? Welche technische Lösung?

• Haben Sie kürzlich AML/KYC-Prüfungen durch Ihre NCA durchlaufen?

Red Flags: Oberflächliche KYC-Prozesse, keine Travel Rule Compliance, ungelöste AML-Findings.

3. Governance & Schlüsselpersonen

• Wer ist verantwortlich für Compliance, Risk und IT-Security?

• Haben Sie unabhängige Kontrollfunktionen?

• Wie ist Ihr Board zusammengesetzt? Gibt es unabhängige Mitglieder mit Regulierungserfahrung?

• Wie managen Sie Interessenkonflikte?

Red Flags: Compliance/Risk von derselben Person „nebenbei", Board nur aus Gründern, keine Interessenkonflikt-Policies.

4. IT & Outsourcing

• Welche kritischen Funktionen haben Sie ausgelagert?

• Haben Ihre Outsourcing-Verträge Audit Rights für CASP und NCA, Data Access, Sub-Outsourcing-Kontrolle, Exit-Pläne?

• Wo werden Daten physisch gespeichert (EU vs. Non-EU)? GDPR-Compliance?

• Haben Sie kürzlich Penetration Tests oder Security Audits durchgeführt?

Red Flags: Kritische Funktionen ausgelagert ohne Audit Rights, Cloud in Non-EU ohne GDPR-Compliance, „Letter-Box"-Struktur.

5. Whitepaper & Offenlegung (für Token-Projekte)

• Hat der Token ein MiCA-konformes White Paper? Wurde es notifiziert/genehmigt (für ARTs/EMTs)?

• Sind Risikofaktoren ausgewogen dargestellt?

• Wie ist die Tokenomics strukturiert? Gibt es konzentrierte Holdings?

Red Flags: Kein White Paper oder „Coming Soon", übertriebene Rendite-Versprechen ohne Risk Disclosures, irreführende Governance-Claims.

Generell: Vage oder defensive Antworten sind Red Flags. Ein seriöser, MiCA-ready Provider sollte diese Fragen klar und transparent beantworten können.

Wie MiCA-Readiness Risiko & Bewertung beeinflusst (qualitativ)

Aus Investorensicht ist MiCA-Readiness ein qualitativer Faktor, der das Risiko-Rendite-Profil beeinflusst:

Vorteile von MiCA-Readiness

Reduzierte regulatorische Unsicherheit: Vollständig lizenzierte CASPs haben geringeres Risiko abrupter Shutdowns oder EU-Marktzugangsverluste. Planbarkeit für langfristige Investitionen.

Bessere Bankability und institutionelle Akzeptanz: Leichterer Zugang zu Banking-Services und Payment-Prozessoren. Institutional Investors haben oft Compliance-Vorgaben, die nur Investments in regulierte Entities erlauben.

Höheres Kundenvertrauen und bessere Retention: Reputation durch Aufsicht, Schutz vor regulatorischen Crackdowns.

Langfristiger Marktzugang: EU-Passporting ermöglicht Zugang zu 450 Millionen Einwohnern. Skalierbarkeit ohne ständige regulatorische Hürden.

Nachteile und Trade-Offs

Höhere Fixkosten: Compliance-Teams, Legal, Risk Management, IT-Security, externe Audits erhöhen Kosten deutlich.

Potenziell niedrigere Margen: Höhere Kosten bedeuten entweder höhere Gebühren oder niedrigere Margen. Geringere kurzfristige Profitabilität, aber höhere langfristige Stabilität.

Weniger spekulativer Upside: Unregulierte Provider können aggressivere Geschäftsmodelle fahren. MiCA-ready CASP agiert konservativer – weniger „wilde" Gewinne, aber deutlich reduziertes Tail-Risk.

Fazit

Für mittel- bis langfristig orientierte Investoren ist MiCA-Readiness ein rationaler Trade-Off: Slightly lower upside (höhere Kosten, konservativere Führung) gegen significantly reduced downside (geringere Risiken von Shutdowns, Betrug, Litigation).

Die ESAs betonen: MiCA ist kein Sicherheitsnetz. Auch lizenzierte CASPs können scheitern. Aber Wahrscheinlichkeit und Ausmaß solcher Ereignisse sind deutlich geringer als bei unregulierten Providern.

Investor-Perspektive: MiCA-Readiness ist ein Qualitätsmerkmal – ähnlich wie Lizenzierung bei BaFin, FCA oder SEC. Es ist keine Garantie, aber ein wichtiger Faktor zur Reduktion der regulatorischen Risikoprämie.

Zusammenfassung und Empfehlungen

Kernbotschaften für Investoren:

• MiCA schafft Klarheit, aber kein MiFID-Level-Schutz: Crypto-Assets bleiben hochriskant. MiCA verbessert Transparenz und setzt Mindeststandards, aber Investoren können weiterhin ihr gesamtes Kapital verlieren.

• Regulatorischer Status ist ein zentraler Risikofaktor: Wählen Sie bevorzugt CASPs aus Bucket 1 (vollständig lizenziert). Bucket 2 (Übergangsregime) ist akzeptabel, wenn ein klarer Roadmap zur Lizenzierung besteht. Bucket 3 (nicht-EU/nicht-autorisiert) sollte vermieden werden, außer Sie haben sehr spezifische Gründe und sind bereit, das volle Risiko zu tragen. Wichtig: Auch vollständig lizenzierte Bucket-1-CASPs bieten keine Garantie gegen Verluste – wie die ESAs in ihren Warnungen betonen, bleiben Crypto-Assets hochvolatil und können technische Pannen, Hackerangriffe oder Missmanagement erleiden.

• Rechtsprechung zeigt: Regulierungsverstöße haben zivil rechtliche Folgen: Der Fall Grenoble/Bitstamp Europe zeigt, dass Gerichte fehlende Lizenzierung als haftungsbegründende Pflichtverletzung ansehen können. Dies erhöht das Litigation-Risiko für non-compliant Provider – und stärkt die Position von Kunden/Investoren bei lizenzierten CASPs.

• Due Diligence ist unerlässlich: Nutzen Sie den obigen DD-Fragenkatalog systematisch. Prüfen Sie Lizenzstatus, AML/KYC-Framework, Governance, IT/Outsourcing und (bei Tokens) White Paper-Qualität. Vage Antworten sind Red Flags.

• MiCA-Readiness als qualitatives Bewertungskriterium: Vollständig lizenzierte CASPs haben höhere Fixkosten, aber deutlich reduziertes regulatorisches und operatives Risiko. Für langfristige Investoren ist dies ein sinnvoller Trade-Off.

Praktische Schritte:

☐ Prüfen Sie den ESMA-Register: Ist Ihr Provider gelistet?

☐ Lesen Sie die ESAs-Warnungen: Verstehen Sie die inhärenten Risiken von Crypto-Assets.

☐ Fragen Sie nach dem Roadmap: Wenn der Provider noch keine CASP-Lizenz hat, wie ist der Stand?

☐ Diversifizieren Sie: Setzen Sie nicht alles auf einen Provider oder ein Token. Streuen Sie Risiko.

☐ Bleiben Sie informiert: MiCA und die Aufsichtspraxis entwickeln sich laufend weiter. Folgen Sie ESMA-Publikationen und nationalen NCA-Updates.

Schlusswort: MiCA ist ein Paradigmenwechsel. Investoren, die diesen Wandel verstehen und nutzen, können informiertere Entscheidungen treffen und ihr Risikoprofil besser steuern. Diejenigen, die MiCA ignorieren und weiterhin unregulierte oder non-compliant Provider nutzen, setzen sich unnötigen Risiken aus – in einer Zeit, in der Gerichte und Aufsichtsbehörden zunehmend durchgreifen.

Über NEXORA Unternehmensberatung GmbH

NEXORA ist eine in Wien ansässige Boutique-Beratungsfirma, spezialisiert auf RegTech, FinTech, strategische Beratung und Compliance-Services für österreichische und internationale Kunden. Unser Team unterstützt sowohl Crypto-Asset Service Provider als auch Investoren bei der Navigation durch MiCA – von der Due Diligence über CASP-Lizenzierung bis zur laufenden Compliance-Beratung.