MiCA in Österreich: Fahrplan zur CASP-Lizenz für Crypto-Projekte.

Three Essential Documents for Your Licensing Journey

Autor: NEXORA Team, NEXORA Unternehmensberatung GmbH Lesezeit: 12–14 Minuten

Version 1.0 | December 2025

Dieser Artikel richtet sich an Gründer, C-Level-Verantwortliche und Legal/Compliance-Teams von Crypto-Projekten, die in Österreich oder der EU reguliert operieren wollen. Ihr erfahrt, wie sich die MiCA-Verordnung auf eure Geschäftsmodelle auswirkt, wann ihr selbst eine CASP-Lizenz benötigt und wann ein regulierter Partner ausreicht. Der Artikel bietet einen praxisnahen Fahrplan bis Ende 2025, Dokumenten-Checklisten, typische Fehlerquellen und Hinweise auf Download-Templates für eure Vorbereitung.

Die 5 wichtigsten Punkte

• MiCA harmonisiert das EU-Krypto-Regime: Seit 30.12.2024 gelten einheitliche Regeln für Crypto Asset Service Provider (CASP) in allen Mitgliedstaaten. Wer professionelle CASP-Dienste erbringt (Verwahrung, Exchange, Brokerage etc.), braucht eine Zulassung – bisherige nationale VASP-Registrierungen laufen nach derzeitiger Rechtslage in den Mitgliedstaaten befristet aus [Quelle erforderlich – Details zur jeweiligen nationalen Übergangsregelung].

• CASP-Lizenz vs. Partner-Modell: Nicht jedes Crypto-Projekt braucht eine eigene CASP-Zulassung. Wenn du dich auf UI/UX, Community und Marketing konzentrierst und einen lizenzierten CASP/EMI-Partner für regulierte Dienste nutzt, kann ein Modell mit reguliertem Partner ausreichen – sofern dein Projekt selbst keine MiCA-regulierten Dienste erbringt. Entscheidend ist, wer die regulierten Dienstleistungen im eigenen Namen erbringt.

• Realistischer Zeithorizont für Österreich: Das FMA-Zulassungsverfahren ist mehrstufig und erfordert vollständige, qualitativ hochwertige Unterlagen. Von der Fit/Gap-Analyse bis zur Zulassung vergehen typischerweise mehrere Monate – abhängig von Geschäftsmodellkomplexität, Governance-Reife und Outsourcing-Struktur. Frühzeitige Vorbereitung ist essentiell.

• Kerncluster der Dokumentation: Governance & UBO-Nachweise, Geschäftsmodell & Risikoanalyse, AML/KYC-Policies, IT-Security & Outsourcing-Verträge, Fit-&-Proper-Unterlagen für Leitungsorgane. Jedes Cluster muss konsistent und nachvollziehbar sein – die FMA legt Wert auf Substance und klare Verantwortlichkeiten.

• Frühzeitig starten: Projekte, die bis Ende 2025 operieren wollen, sollten jetzt mit einer Fit/Gap-Analyse beginnen. Übergangsfristen laufen national unterschiedlich aus; ESMA betont geordnete Wind-down-Pläne für Anbieter ohne rechtzeitige Lizenz. Je später ihr startet, desto höher das Risiko von Verzögerungen oder unvollständiger Vorbereitung.

MiCA in 90 Sekunden: Was ändert sich für Crypto-Projekte?

Die Verordnung (EU) 2023/1114 über Märkte für Kryptowerte – kurz MiCA oder MiCAR – ist seit Ende 2025 vollständig anwendbar und schafft ein harmonisiertes EU-weites Lizenzregime für Anbieter von Kryptowerte-Dienstleistungen.

Für Crypto-Projekte bedeutet das:

• Einheitliche Regeln statt nationaler Flickenteppich: Bisher hatten Mitgliedstaaten unterschiedliche Ansätze – von einfachen VASP‑Registrierungen unter AML‑Recht bis hin zu komplexeren nationalen Lizenzregimen. MiCA ersetzt diese Fragmentierung durch ein EU‑weit gültiges Zulassungsregime; auf Basis einer in einem Mitgliedstaat erteilten CASP‑Lizenz ist grundsätzlich eine grenzüberschreitende Tätigkeit in anderen EU‑Staaten im Wege des Passportings möglich, vorbehaltlich der in MiCA vorgesehenen Notifikationsverfahren und technischen Standards.​

• CASP‑Dienste nur mit Zulassung: MiCA definiert in Art. 3(1)(16) eine Liste von Dienstleistungen, die ausschließlich zugelassene CASPs erbringen dürfen; welche Dienste konkret erfasst sind (Verwahrung, Betrieb eines Handelsplatzes, Tauschdienste, Ausführung und Übermittlung von Aufträgen, Platzierung, Portfolioverwaltung, Beratung und Transferdienste), sollte jedes Projekt im Lichte seines Geschäftsmodells prüfen.

Dazu gehören unter anderem:

• Verwahrung und Verwaltung von Kryptowerten für Dritte

• Betrieb eines Handelsplatzes für Kryptowerte

• Tausch von Kryptowerten gegen Fiat-Geld oder andere Kryptowerte (Exchange-Dienste)

• Ausführung, Annahme und Übermittlung von Aufträgen für Kryptowerte

• Platzierung von Kryptowerten

• Portfolioverwaltung in Kryptowerten

• Beratung zu Kryptowerten

• Transferdienste im Auftrag Dritter

Umfassende Compliance-Anforderungen: CASP-Zulassungen sind an strikte Vorgaben geknüpft – Governance (inkl. Geschäftsleitung, Aufsichtsorgane, Kontrollgremien), Risikomanagement, AML/KYC-Systeme, IT-Sicherheit, Kapitalanforderungen, Reporting, Beschwerdemanagement, transparentes Outsourcing und laufende Aufsicht. Das Niveau entspricht teils dem von traditionellen Finanzdienstleistern.

Konsequenzen für Projekte ohne Lizenz: Wenn dein Projekt keine eigene CASP-Lizenz hat, darfst du die oben genannten Dienste nicht selbst im eigenen Namen erbringen. Stattdessen musst du mit einem lizenzierten CASP (oder einem E-Geld-Institut mit CASP-Zusatzlizenz) als Partner arbeiten und sicherstellen, dass dein Vertrag, deine Brand-Präsenz und deine Kundenkommunikation klar machen, wer die regulierte Dienstleistung erbringt. Andernfalls riskierst du Bußgelder, Abmahnungen und im schlimmsten Fall strafrechtliche Konsequenzen wegen unerlaubter Geschäftstätigkeit.

Übergangsmechanismen laufen aus: MiCA erlaubt Mitgliedstaaten, nationale Übergangsfristen zu setzen, damit bereits tätige Anbieter sich auf die neuen Anforderungen einstellen können. In Österreich ist nach aktuellem Stand vorgesehen, dass bestehende VASP‑Registrierungen nur befristet weitergenutzt werden können und mittelfristig durch MiCA‑CASP‑Lizenzen abgelöst werden.​ Stand: Dezember 2025 – die nationale Übergangsregelung im MiCA‑Verordnung‑Vollzugsgesetz (MiCA‑VVG) befindet sich noch in Ausarbeitung bzw. kann sich ändern; Projekte sollten daher den jeweils aktuellen Gesetzesstand und die Informationen der FMA prüfen. ESMA betont in ihren Statements zu MiCA‑Transitional Measures, dass Last‑Minute‑Anträge ein hohes Risiko bergen und Marktintegrität sowie Kundenschutz oberste Priorität haben.

Praxisbeispiel 1 – Übergangsfrist verpasst (2025, anonymisiert)

Ein in mehreren EU-Mitgliedstaaten tätiger Krypto-Dienstleister verlässt sich darauf, dass die nationale Übergangsfrist „schon lang genug" ist und reicht seinen MiCA-Antrag erst kurz vor deren Ablauf ein. Die zuständige Aufsicht stellt fest, dass der Antrag nicht rechtzeitig vollständig ist und ordnet an, dass der Anbieter seine betroffenen Services im jeweiligen Mitgliedstaat einstellen muss. Bestehende Kundenbeziehungen müssen geordnet abgewickelt werden (Wind-down), neue Kunden dürfen nicht mehr onboardet werden.

Für das betroffene Unternehmen bedeutet das: kurzfristige Umsatzverluste, erheblicher Kommunikationsaufwand mit Kunden und Partnern sowie ein Reputationsschaden – obwohl das Geschäftsmodell selbst grundsätzlich zulassungsfähig wäre. Die Lehre daraus: Übergangsfristen sind keine Verlängerung des alten Regimes „auf unbestimmte Zeit", sondern ein Enddatum, auf das man aktiv hinarbeiten muss.

CASP vs. Crypto-Projekt: Der Entscheidungsbaum

Nicht jedes Crypto-Projekt muss selbst eine CASP-Lizenz beantragen. Die zentrale Frage lautet: Erbringst du selbst – im eigenen Namen und auf eigene Rechnung – einen oder mehrere der MiCA-definierten CASP-Dienste?

Wann brauchst du eine eigene CASP-Lizenz?

Du benötigst grundsätzlich eine CASP-Zulassung bei der FMA, wenn du professionell einen oder mehrere der folgenden Dienste in Österreich (oder von Österreich aus grenzüberschreitend) erbringst:

• Verwahrung von Kryptowerten: Du hältst Private Keys für deine Kunden und bietest ihnen Wallet-Services an, bei denen sie nicht selbst über ihre Keys verfügen.

• Betrieb einer Exchange: Du stellst eine Plattform bereit, auf der Nutzer Kryptowerte untereinander oder gegen Fiat handeln können – und du bist Betreiber/Marktplatz-Anbieter.

• Brokerage/Tausch: Du kaufst und verkaufst Kryptowerte im eigenen Namen mit deinen Kunden (Dealing on own account) oder vermittelst solche Geschäfte.

• Ausführung/Übermittlung von Aufträgen: Du nimmst Kundenaufträge entgegen und leitest sie an Börsen oder andere Handelsplätze weiter.

• Portfolioverwaltung, Beratung, Transferdienste: Spezialisierte Dienstleistungen, bei denen du aktiv Entscheidungen für Kundenportfolios triffst, Beratungsleistungen erbringst oder Transfers im Auftrag Dritter durchführst.

Prüffrage: Trittst du gegenüber dem Endkunden als derjenige auf, der die Dienstleistung erbringt, verantwortet und abrechnet? Hast du direkten Zugriff auf Kundengelder oder -assets? Dann bist du typischerweise selbst CASP.

Wann reicht ein Partner-Modell (Compliance-by-Contract)?

Viele Crypto-Projekte konzentrieren sich auf UI/UX, Community-Building, Marketing, Education oder dezentrale Protokollentwicklung – sie erbringen aber keine regulierten Dienstleistungen selbst. In diesen Fällen kannst du mit einem bereits lizenzierten CASP oder E-Geld-Institut (EMI mit CASP-Zusatz) zusammenarbeiten. Das nennt man auch „Banking-as-a-Service" (BaaS) oder „Crypto-as-a-Service" (CaaS).

Beispiel: Dein Projekt ist eine DeFi-App mit ansprechendem Frontend. Nutzer können über deine App Kryptowerte kaufen, verkaufen und verwahren. Technisch läuft aber alles über einen lizenzierten CASP-Partner im Backend – dieser hält die Wallets, führt KYC durch, wickelt Transaktionen ab und übernimmt Reporting. Dein Projekt ist „nur" das Frontend und die Brand. In diesem Setup brauchst du selbst keine CASP-Lizenz, musst aber sicherstellen:

• Der Partner hat eine gültige MiCA-Lizenz (oder nationale Lizenz mit Übergangsrecht).

• Verträge, AGB und Kommunikation machen unmissverständlich klar, wer der Dienstleister ist.

• Dein Projekt übernimmt keine Funktionen, die eine Lizenz erfordern würden (z. B. keine eigene Verwahrung, kein eigener Handel im Namen des Projekts).

• Du hältst dich an Werbevorgaben und transparente Kundenkommunikation gemäß MiCA.

Achtung: Die Abgrenzung kann in der Praxis komplex sein. Wenn du etwa Marketing-Material so gestaltest, dass Kunden denken, du bietest die Verwahrung an, kann das aufsichtsrechtlich problematisch werden. Ebenso, wenn du technisch Kontrolle über Wallets oder Transaktionsentscheidungen hast. In Zweifelsfällen ist eine rechtliche Einzelfallprüfung unerlässlich.

Praxisbeispiel 2 – „Alles ist reguliert"? (2025, anonymisiert)

Ein europäischer Anbieter kombiniert MiCA-regulierte CASP-Dienste (z. B. Verwahrung von Kryptowerten) mit zusätzlichen, nicht regulierten Produkten. In der Marketingkommunikation werden jedoch alle Angebote gemeinsam als „voll reguliert" dargestellt – ohne klar zu unterscheiden, welche Services tatsächlich unter die MiCA-Lizenz fallen und welche nicht. Die Aufsicht stuft diese Kommunikation als irreführend ein, weil Kunden davon ausgehen könnten, dass sie für sämtliche Produkte den gleichen aufsichtsrechtlichen Schutz genießen.

Die Konsequenz: Der Anbieter muss seine gesamte Marketing- und Vertragsdokumentation überarbeiten, Klarstellungen auf der Website veröffentlichen und mit einer verschärften Aufsicht rechnen. Für Crypto-Projekte heißt das: Eine saubere Trennlinie zwischen regulierten und nicht regulierten Services ist nicht nur juristische Detailarbeit, sondern zentral für Kundenvertrauen und Aufsichtsrisiko.

Entscheidungslogik (vereinfacht)

• Erbringen Sie einen CASP-Dienst im eigenen Namen?

• Ja → Sie brauchen eine CASP-Lizenz (oder müssen das Geschäftsmodell so anpassen, dass Sie keinen Dienst erbringen).

• Nein → Prüfen Sie weiter.

• Haben Sie direkten Zugriff auf Kunden-Kryptowerte oder -Fiat (Custody, Keys, Geldflüsse)?

• Ja → Wahrscheinlich CASP-Dienst; rechtliche Prüfung erforderlich.

• Nein → Prüfen Sie weiter.

• Arbeiten Sie mit einem lizenzierten CASP/EMI-Partner, der alle regulierten Dienste übernimmt?

• Ja → Partner-Modell ist möglich; achten Sie auf saubere vertragliche und kommunikative Abgrenzung.

• Nein → Klärungsbedarf: Wer erbringt die Dienstleistung? Ohne Lizenz riskieren Sie unerlaubte Geschäftstätigkeit.

• Sind Sie unsicher?

Dann konsultieren Sie Rechts- und Compliance-Berater mit MiCA-Expertise. Die finale Einordnung kann nur individuell erfolgen und hängt stark von Ihrem konkreten Geschäftsmodell, der technischen Architektur und den vertraglichen Arrangements ab.

Österreich als Standort: Was man realistisch einplanen sollte

Österreich bietet als MiCA-Jurisdiktion einige Vorteile: eine etablierte Finanzaufsicht (FMA), rechtliche Klarheit durch das MiCA-Verordnung-Vollzugsgesetz (MiCA-VVG), zentrale Lage in der EU und Zugang zu qualifizierten Fachkräften. Gleichzeitig solltest du wissen, worauf du dich einlässt, wenn du eine CASP-Lizenz bei der FMA anstrebst.

Rolle der FMA und Erwartungen an Antragswerber

Die Finanzmarktaufsicht (FMA) ist die zuständige Behörde für CASP-Zulassungen in Österreich. Sie prüft Anträge auf Grundlage der MiCA-Verordnung und des nationalen Vollzugsgesetzes. Die FMA legt nach derzeitiger Aufsichtspraxis besonderen Wert auf:

• Klarheit und Vollständigkeit der Antragsunterlagen: Unvollständige, widersprüchliche oder qualitativ minderwertige Anträge führen zu Verzögerungen durch Nachforderungen (Verbesserungsaufträge).

• Substance und Governance: Es reicht nicht, formell eine Gesellschaft zu gründen. Die FMA erwartet, dass du nachweislich über die notwendigen Strukturen, Prozesse und Ressourcen verfügst, um die geplanten Dienste sicher und compliant zu erbringen.

• Fit & Proper der Leitungsorgane: Geschäftsführung, Aufsichtsrat (falls vorhanden) und Schlüsselfunktionen (Compliance, Risk, AML, IT-Security) müssen fachlich geeignet und persönlich zuverlässig sein. Die FMA führt im Zulassungsverfahren ein Hearing durch, bei dem Fit-&-Proper-Aspekte erörtert werden.

• Transparente Outsourcing-Arrangements: Falls du Kernfunktionen auslagerst (z. B. IT-Betrieb, Custody-Technologie, KYC-Provider), müssen diese Arrangements klar dokumentiert, kontrollierbar und jederzeit kündbar sein. Die FMA hat in ihren Informationsformaten (z. B. „Reden wir über Aufsicht") betont, dass Auslagerungen bei CASP besondere Anforderungen erfüllen müssen – insbesondere darf die Auslagerung nicht dazu führen, dass die FMA die effektive Aufsicht verliert.

Was Zeit kostet – realistische Einschätzung

Ein CASP-Zulassungsverfahren durchläuft typischerweise mehrere zeit- und ressourcenintensive Phasen. Die Hauptfaktoren, die Zeit beanspruchen:

• Aufbau von Substance: Du brauchst eine österreichische Rechtsform (typischerweise GmbH), ein Büro, Geschäftsleitung vor Ort, funktionierende interne Strukturen. Das bedeutet: Gesellschaftsgründung, Firmenbucheintrag, UBO-Registrierung, Mietvertrag, Personalaufbau.

• Framework-Entwicklung: Policies, Prozesse, Rollen und Verantwortlichkeiten müssen definiert, dokumentiert und operationalisiert werden. Jedes Dokument muss konsistent sein und auf dein Geschäftsmodell passen.

• Bankkonto und Zahlungsverkehrsanbindung: CASPs brauchen ein Geschäftskonto, oft auch ein segregiertes Konto für Kundengelder (je nach Dienst). Banken in Österreich verlangen umfangreiche Due-Diligence-Unterlagen. Rechne mit erheblichem Zeitaufwand für eine erfolgreiche Kontoeröffnung.

• Qualifiziertes Personal: Du musst Personen für Compliance, AML/CFT-Officer, Risk Management und IT-Security finden, die nachweislich Erfahrung in regulierten Umfeldern haben.

• FMA-Verfahren: Laut FMA-Informationsschreiben zum CASP-Zulassungsverfahren läuft das Verfahren in mehreren Schritten ab: Antragseinbringung, Eingangsbestätigung, Vollständigkeitsprüfung, ggf. Verbesserungsauftrag/Nachforderung, inhaltliche Prüfung, Hearing/Fit-&-Proper-Gespräch, materielle Entscheidung. In der Praxis können Nachforderungsschleifen das Verfahren deutlich verlängern – insbesondere, wenn Unterlagen unklar oder widersprüchlich sind.

Fahrplan bis Ende 2025: Ein praxisorientiertes Phasenmodell

Um bis Ende 2025 eine CASP-Lizenz zu erhalten – oder zumindest einen soliden Antrag bei der FMA eingereicht zu haben – brauchst du eine strukturierte Vorgehensweise. Hier ist ein fünfphasiges Modell, das dir hilft, die Komplexität zu managen.

Phase 0: Fit/Gap-Analyse

Ziel: Verschaffe dir Klarheit darüber, wo du stehst und was fehlt.

Kern-Aktivitäten:

• Bestandsaufnahme Geschäftsmodell (Dienste, Jurisdiktionen, Kundensegmente, Rechtsform, Team, Infrastruktur)

• Mapping auf MiCA-CASP-Dienste gemäß Art. 3(1)(16) MiCA

• Gap-Analyse: IST-Zustand vs. MiCA-Anforderungen

• Entscheidung CASP vs. Partner-Modell

Ergebnis: Priorisierte Roadmap mit identifizierten Lücken.

Phase 1: Target Operating Model (Governance, Rollen, Policies)

Ziel: Definiere dein Ziel-Betriebsmodell.

Kern-Aktivitäten:

• Rechtsform und Corporate-Struktur (GmbH, Gesellschafterstruktur, UBO-Transparenz, Kapitalausstattung)

• Organigramm und Rollen (Geschäftsleitung, Aufsichtsorgane, Schlüsselfunktionen gemäß Art. 68 MiCA – dieser Artikel regelt die Anforderungen an Mitglieder des Leitungsorgans, u. a. Zuverlässigkeit und ausreichende Erfahrung)

• Governance-Rahmenwerk und Risikomanagement-Grundstruktur

• Policy-Landkarte erstellen

Wichtig: Die Kapitalausstattung muss den Vorgaben des Art. 67 MiCA entsprechen. Dieser Artikel sieht je nach Dienstleistung unterschiedliche Mindestkapitalanforderungen vor – konkrete Beträge und Berechnungsgrundlagen sind dort detailliert geregelt.

Ergebnis: Target Operating Model mit Organigramm, Rollenbeschreibungen, initialem Governance-Framework.

Phase 2: AML/KYC & Risk Framework

Ziel: Baue ein funktionsfähiges AML/KYC-System und umfassendes Risikomanagement auf.

Kern-Aktivitäten:

• AML/KYC-Richtlinie (Customer Due Diligence, Risikoklassifizierung, Ongoing Monitoring, PEP-/Sanktionsprüfung, Verdachtsmeldungen)

• Integration von KYC-Tools und Screening-Software

• Risikomanagement-Framework mit KRIs und Reporting-Strukturen

Ergebnis: Vollständige AML/KYC-Policy, funktionierendes KYC-Onboarding, dokumentiertes Risikomanagement-Framework.

Praxisbeispiel 3 – Regulierungsverstoß als Zivilrisiko (2025, angelehnt an veröffentlichte Rechtsprechung)

Ein großer europäischer Anbieter von Krypto-Dienstleistungen versäumt es, sich rechtzeitig unter dem jeweils anwendbaren Regime zu registrieren bzw. zu lizenzieren, obwohl er professionell Dienstleistungen für Endkunden erbringt. Parallel dazu bleiben wesentliche Teile des AML/KYC-Frameworks unterentwickelt – insbesondere das laufende Monitoring und die Dokumentation von Verdachtsfällen. In einem späteren Gerichtsverfahren argumentieren Geschädigte, dass schon die fehlende Registrierung bzw. Lizenzierung eine Verletzung von Schutzgesetzen darstellt und die Haftung des Anbieters begründet – unabhängig davon, ob im Einzelfall „klassische" Sorgfaltspflichtverletzungen nachweisbar sind.

Das Gericht folgt dieser Argumentation teilweise und stellt klar: Wer ohne erforderlichen Status operiert und dabei AML/KYC-Pflichten nicht ernst nimmt, setzt sich nicht nur administrativen Sanktionen, sondern auch zivilrechtlichen Ansprüchen aus. Für CASP in spe heißt das: Lizenz- und AML-Themen sind zwei Seiten derselben Medaille – wer sie trennt oder nacheinander denkt, trägt ein erhebliches Haftungsrisiko.

Phase 3: IT/Security/Outsourcing Readiness

Ziel: Stelle sicher, dass deine IT-Infrastruktur, Sicherheitsmaßnahmen und Outsourcing-Arrangements den Anforderungen entsprechen.

Kern-Aktivitäten:

• IT-Sicherheitskonzept gemäß Art. 73 MiCA (Zugriffskontrolle, Verschlüsselung, Logging, Incident Response, Backup & Business Continuity)

• Outsourcing-Strategie mit Vendor Risk Management

• Auslagerungsverträge und Kontrolmechanismen

Ergebnis: IT-Sicherheitskonzept, Outsourcing-Register, Incident-Response-Plan, Business-Continuity-Plan.

Phase 4: Antragsdokumente & Einreichung

Ziel: Stelle alle erforderlichen Unterlagen zusammen und reiche den Antrag bei der FMA ein.

Kern-Aktivitäten:

• Vollständige Antragsunterlagen gemäß FMA-Antragsformular und Informationsschreiben

• Kapitalausstattungsnachweis gemäß Art. 67 MiCA

• Einreichung über FTAPI (Secure File Exchange)

• Begleitung durch Verfahrensschritte (Vollständigkeitsprüfung, Nachforderungen, Hearing)

Ergebnis: CASP-Lizenz oder Verfahren in finaler Phase.

Phase 5: Post-Licensing Betrieb

Ziel: Halte nach Erteilung der Lizenz alle regulatorischen Pflichten ein.

Kern-Aktivitäten:

• Operativer Start mit funktionierenden Systemen

• Laufendes Reporting an FMA

• Governance und Risk Reviews (mindestens jährlich)

• Vorbereitung auf Vor-Ort-Prüfungen und Audits

Besonders wichtig im laufenden Betrieb: Die Aufsicht erwartet kontinuierliche Überwachung nicht nur interner Prozesse, sondern auch der Marktaktivitäten selbst – insbesondere bei Handelsplattformen und Exchange-Diensten.

Praxisbeispiel 5 – Unterschätzte Marktüberwachung (2025, anonymisiert)

Ein Handelsplatz für Kryptowerte verfügt formal über ein Überwachungssystem für Handelstransaktionen, konzentriert sich aber vor allem auf klassische Indikatoren wie Volumen- und Preisspitzen. Komplexere Muster – etwa wiederkehrende Wash-Trading-Strukturen, koordinierte Pump-&-Dump-Kampagnen über Social Media oder bestimmte MEV-ähnliche Strategien – werden nicht systematisch erfasst oder analysiert. Die Aufsicht kritisiert, dass der Anbieter seine Pflichten zur Marktüberwachung unter MiCA nur unzureichend erfüllt, verhängt Maßnahmen und verlangt den Ausbau der Surveillance-Funktionen.

Für den Betreiber bedeutet das: zusätzliche Investitionen in RegTech-Tools, Verstärkung des Compliance- und Marktüberwachungsteams sowie engere Abstimmung mit der Aufsicht. Für andere CASPs ist die Botschaft klar: Marktmissbrauchsüberwachung ist kein „Nice-to-have", sondern integraler Bestandteil des Operating Models – technisch, organisatorisch und personell.

Ergebnis: Stabiler, compliant CASP-Betrieb mit kontinuierlicher Weiterentwicklung.

Dokumente & Nachweise: Die Checkliste

Hier ist eine strukturierte Übersicht der Dokumentcluster, die du für einen CASP-Antrag vorbereiten musst.

Corporate / UBO / Governance

• Gesellschaftsvertrag / Satzung

• Firmenbuchauszug

• UBO-Register-Nachweis

• Lebensläufe aller Geschäftsführer und Aufsichtsratsmitglieder

• Führungszeugnisse / Strafregisterauszüge

• Fit-&-Proper-Erklärungen

• Organigramm

• Stellenbeschreibungen für Schlüsselrollen

Geschäftsmodell & Risikoanalyse

• Geschäftsplan (Business Plan)

• Programm der Tätigkeiten (Programme of Operations)

• Finanzplanung (Umsatzprognosen, Kostenstruktur, Cashflow-Prognose)

• Kapitalausstattungs-Nachweis

• Risikoanalyse und Risk Appetite Statement

Policies / Prozesse

• Governance-Policy

• Risikomanagement-Policy

• Compliance-Policy

• AML/KYC-Richtlinie

• Complaint Handling Policy

• Conflicts-of-Interest-Policy

• Remuneration Policy

• IT-Security Policy

• Business Continuity & Disaster Recovery Plan

• Outsourcing-Policy

IT / Security / Incident / BCP

• IT-Architektur-Beschreibung

• Informationssicherheitskonzept

• Zugriffs- und Berechtigungskonzept

• Logging- und Monitoring-Konzept

• Incident-Response-Plan

• Backup- und Recovery-Strategie

• Business-Continuity-Plan

Outsourcing / Vendor Management

• Auslagerungsregister

• Auslagerungsverträge

• Vendor Due Diligence

• Risikoanalyse pro Auslagerung

• Überwachungskonzept

• Exit-Strategie

Typische Fehler von Crypto-Projekten

• Unklare Abgrenzung, ob CASP oder nicht: Viele Projekte gehen davon aus, dass sie keine CASP-Lizenz brauchen, weil sie „nur" ein Frontend entwickeln. Aber wenn du faktisch Verwahrung, Tausch oder andere regulierte Dienste erbringst, kann das problematisch sein.

• Späte Auseinandersetzung mit Governance und Substance: Projekte unterschätzen den Aufwand für den Aufbau einer echten Corporate-Struktur. Governance ist nicht „ein paar Dokumente", sondern gelebte Organisation.

• Unterschätzung von AML/KYC-Pflichten: Die FMA erwartet ein durchdachtes Risikomanagement, Screening gegen Sanktionslisten, Ongoing Monitoring, Verdachtsmeldewesen, Dokumentationspflichten.

• Unstrukturierte Outsourcing-Modelle ohne klare Verantwortlichkeiten: Wenn du unklar formulierst, wer wofür verantwortlich ist, oder wenn Auslagerungsverträge lückenhaft sind, gibt's Nachforderungen.

• Whitepaper / Tokenomics ohne MiCA-Perspektive: Viele Whitepapers bieten keine regulatorische Einordnung. Wenn dein Whitepaper Begriffe wie „Staking Rewards" verwendet, ohne zu erklären, wie das mit MiCA zusammenpasst, wird die FMA skeptisch.

• Fehlende Fit-&-Proper-Nachweise: Wer keine einschlägige Finanzdienstleistungserfahrung hat, keine Referenzen vorweisen kann oder in der Vergangenheit regulatorische Probleme hatte, hat schlechte Karten.

• Mangelhafte IT-Sicherheitsdokumentation: Die FMA will konkrete Beschreibungen: Wie sind Zugriffsrechte geregelt? Wo liegen die Private Keys? Wie funktioniert Backup?

• Unvollständige oder inkonsistente Antragsunterlagen: Dokumente widersprechen sich. Die FMA merkt das und fordert nach – das verzögert das Verfahren erheblich.

• Zu optimistische Zeitplanung: Wer auf kurze Übergangsfristen setzt, ohne rechtzeitig mit der Vorbereitung zu beginnen, riskiert, dass diese ablaufen, bevor die Lizenz erteilt ist.

• Keine Bankkonto-Strategie: Ohne Geschäftskonto kein operativer Betrieb. Wer sich erst nach Lizenzerteilung um ein Konto kümmert, verliert weitere Zeit.

• Irreführende Kommunikation: Alle Angebote werden als „voll reguliert" dargestellt, obwohl nur ein Teil tatsächlich MiCA-regulierte CASP-Dienste sind. Kunden verstehen den Unterschied nicht – und die Aufsicht reagiert empfindlich.

Was tun als Nächstes? – Drei Pfade für dein Projekt

Pfad 1: Quick Check (Selbstdiagnose)

Strukturierter Fragenkatalog zur ersten Orientierung. Am Ende: grobe Einschätzung „CASP-relevant: ja/nein", „Reife-Level: niedrig/mittel/hoch", „Top 3 Gaps".

Für wen: Projekte in der frühen Orientierungsphase.

Pfad 2: Readiness Workshop

Kompakter Workshop mit deinem Team und externen Experten. Gemeinsam durchleuchtet ihr Geschäftsmodell, Governance, AML/KYC, IT und Outsourcing.

Für wen: Teams, die schnell Klarheit wollen und bereit sind, in einen intensiven Kick-off zu investieren.

Pfad 3: End-to-End Begleitung

Expertenteam begleitet dich durch alle Phasen – von Fit/Gap-Analyse bis Post-Licensing Support.

Für wen: Projekte mit wenig Erfahrung in regulierten Geschäftsmodellen, die schnell und sicher zur Lizenz kommen wollen.

FAQ – Häufig gestellte Fragen

1. Kann ich mit meiner bestehenden VASP-Registrierung einfach weitermachen?

Nein, nicht unbegrenzt. MiCA ersetzt nationale VASP‑Registrierungen durch ein EU‑weites Lizenzregime. In vielen Mitgliedstaaten gibt es eine befristete Übergangsphase, in der bereits registrierte Anbieter unter bestimmten Bedingungen weiterarbeiten können, müssen aber rechtzeitig einen MiCA‑Antrag stellen oder ihr Geschäftsmodell anpassen.​ In Österreich ist nach aktuellem Stand eine befristete Übergangsregelung für bestehende VASP‑Registrierungen vorgesehen; unter bestimmten Voraussetzungen können diese Anbieter vorübergehend weiterarbeiten, müssen aber rechtzeitig einen MiCA‑CASP‑Antrag stellen und sich auf einen möglichen geordneten Wind‑down vorbereiten, falls die Lizenz nicht rechtzeitig erteilt wird.​ Stand: Dezember 2025 – die konkrete Ausgestaltung (Fristen, Bedingungen) der österreichischen Übergangsregelung kann sich noch ändern; bitte den jeweils aktuellen Stand auf der FMA‑Website prüfen. ESMA betont in ihren Statements zu MiCA‑Transitional Measures, dass Anbieter, die bis zum Ende der Übergangsphase keine MiCA‑Lizenz erhalten, ihre CASP‑Dienste einstellen und Kundenbeziehungen geordnet abwickeln müssen.

2. Brauche ich einen Sitz in Österreich, um eine CASP-Lizenz bei der FMA zu bekommen?

Grundsätzlich ja. Nach derzeitigem Verständnis der österreichischen Aufsichtspraxis musst du eine in Österreich ansässige Gesellschaft (typischerweise eine GmbH) gründen oder halten, wenn du eine CASP‑Lizenz bei der FMA beantragen willst. Die FMA erwartet, dass die Geschäftsleitung in Österreich ansässig ist und die laufende Verwaltung tatsächlich von Österreich aus erfolgt – also Büro, Geschäftsadresse und operative Substanz vor Ort; reine „Briefkasten‑Sitze“ genügen nicht.​ Die konkreten Substance‑Anforderungen ergeben sich aus dem MiCA‑Verordnung‑Vollzugsgesetz (MiCA‑VVG), dem Finanzmarktaufsichtsbehördengesetz sowie der gelebten FMA‑Aufsichtspraxis und können sich im Zeitverlauf weiterentwickeln. Stand: Dezember 2025 – für konkrete Projekte sollten der jeweils aktuelle Gesetzesstand und die Informationen der FMA geprüft werden, idealerweise ergänzend zu einer individuellen rechtlichen Beratung.

3. Welche Funktionen muss ich intern besetzen (Compliance, AML, Risk)?

MiCA verlangt, dass CASPs über bestimmte Schlüsselfunktionen verfügen. Nach Art. 68 MiCA und der FMA-Praxis gehören dazu typischerweise:

• Compliance Officer

• AML/CFT Officer

• Risk Manager

• IT-Security Responsible

Diese Funktionen können von separaten Personen ausgefüllt werden oder – in kleineren CASPs – in Personalunion, sofern die FMA das im Einzelfall akzeptiert.

4. Kann ich IT und Operations komplett auslagern?

Grundsätzlich ja, aber nur unter klaren Auflagen. MiCA erlaubt die Auslagerung wichtiger Funktionen, verlangt aber, dass der CASP die Gesamtverantwortung behält und die ausgelagerten Bereiche wirksam steuern und überwachen kann. Weder Governance noch Risikomanagement oder Compliance dürfen faktisch an den Dienstleister „abgegeben“ werden.​ Die FMA betont in ihren Informationsformaten, dass insbesondere bei CASPs kritische Funktionen (z. B. IT‑Betrieb, Custody‑Technologie, KYC‑Provider) nur so ausgelagert werden dürfen, dass die Aufsicht jederzeit Einblick und Zugriff auf die relevanten Informationen behält; reine „Black‑Box‑Modelle“ sind problematisch. Auslagerungsverträge sollten daher klare Leistungsbeschreibungen, Kontroll‑ und Audit‑Rechte, Exit‑Strategien und Regelungen zur Datenverfügbarkeit enthalten.​ Stand: Dezember 2025 – welche Funktionen im Einzelfall noch als „Kernfunktionen“ gelten und nicht vollständig ausgelagert werden sollten, ergibt sich aus MiCA, dem MiCA‑VVG und der gelebten FMA‑Praxis; hier empfiehlt sich eine projektspezifische rechtliche Prüfung.

5. Wie funktioniert Passporting in andere EU-Staaten?

Sobald du eine CASP‑Lizenz in einem EU‑Mitgliedstaat erhalten hast, kannst du diese Zulassung grundsätzlich nutzen, um deine Dienstleistungen auch in anderen EU‑Staaten zu erbringen. Das geschieht im Wege des sogenannten Passportings: Du meldest deiner Heimataufsicht (in Österreich der FMA), in welchen weiteren Mitgliedstaaten du tätig werden willst; diese informiert wiederum die Aufsichtsbehörden der betroffenen Aufnahmestaaten.​ Das Grundprinzip ist in MiCA selbst angelegt, die Details zu Ablauf, Fristen und technischen Anforderungen werden jedoch durch ergänzende Regulierungs‑ und Durchführungsstandards (RTS/ITS) konkretisiert, die schrittweise von ESMA und der EU‑Kommission finalisiert und in Kraft gesetzt werden.

Stand: Dezember 2025 – wer Passporting nutzen möchte, sollte den jeweils aktuellen Stand der technischen Standards und der einschlägigen Leitlinien von ESMA sowie die Praxis der Heimataufsicht prüfen und im Zweifel fachkundige Beratung einholen.

6. Was passiert, wenn ich bis Ende der Übergangsfrist keine MiCA-Lizenz habe?

Dann darfst du keine CASP-Dienste mehr erbringen. ESMA hat klar gemacht, dass Anbieter einen geordneten Wind-down durchführen müssen: keine neuen Kunden onboarden, bestehende Kunden informieren und abwickeln, keine neuen Transaktionen annehmen. Wer trotz fehlender Lizenz weitermacht, begeht unerlaubte Geschäftstätigkeit – das kann zu Bußgeldern und strafrechtlichen Konsequenzen führen.

7. Welche Kosten kommen auf mich zu?

Das lässt sich nicht pauschal beziffern, weil die Gesamtkosten stark von deinem Geschäftsmodell, deinem Zielmarkt und deinem gewählten Operating Model abhängen. Typische Kostenblöcke sind:​ – Behördliche Gebühren: Für CASP‑Zulassungen fallen Gebühren nach den einschlägigen Tarifen der FMA und den allgemeinen gebührenrechtlichen Vorschriften an; die konkrete Höhe hängt von Art und Umfang des Antrags ab und sollte jeweils den aktuellen Informationen der FMA entnommen werden.​ – Rechts‑ und Compliance‑Beratung: Externe Unterstützung für MiCA‑Analyse, Strukturierung des Geschäftsmodells, Dokumentenerstellung und Begleitung des FMA‑Verfahrens ist in der Regel ein signifikanter Kostenfaktor.​ – IT & Security: Auf- bzw. Ausbau von IT‑Infrastruktur, Custody‑Lösungen, KYC/AML‑Tools, Logging‑ und Monitoring‑Systemen sowie Incident‑Response‑ und BCP‑Kapazitäten.​ – Personal & Organisation: Geschäftsleitung, Compliance, AML/CFT, Risk Management, IT‑Security und Operations – häufig der größte laufende Kostenblock.​ – Büro & Infrastruktur: Physische Präsenz in Österreich (Büro, Ausstattung, laufende Fixkosten) als Teil der erforderlichen operativen Substanz.

8. Ist die CASP-Lizenz unbefristet gültig?

Die CASP-Zulassung ist grundsätzlich unbefristet gültig, solange du die regulatorischen Anforderungen einhältst. Es gibt keine regelmäßige „Renewal" wie bei manchen nationalen Lizenzen. Allerdings kann die FMA jederzeit prüfen und bei schweren Verstößen die Lizenz entziehen.

9. Brauche ich eine MiCA-Lizenz, wenn ich außerhalb der EU sitze?

Das hängt davon ab, ob und wie du EU-Kunden ansprichst. Grundsätzlich gilt: Wer aktiv EU-Märkte bedient, unterliegt den EU-Regeln – auch wenn der Sitz außerhalb der EU ist. Die Aufsichtsbehörden unterscheiden dabei zwischen echter „Reverse Solicitation" (Kunde kommt von sich aus auf dich zu, ohne dass du ihn aktiv angesprochen hast) und aktiver Marktbearbeitung.

Praxisbeispiel 4 – Reverse Solicitation als Bumerang (2025, anonymisiert)

Ein außerhalb der EU ansässiger Krypto‑Anbieter geht davon aus, dass er keine MiCA‑Lizenz benötigt, solange er sich formell auf „Reverse Solicitation“ beruft – also nur auf Kunden reagiert, die von sich aus auf das Angebot zukommen. Auf der Website findet sich ein entsprechender Disclaimer.​ Faktisch betreibt der Anbieter jedoch lokalisierte Websites in mehreren EU‑Sprachen, schaltet gezielte Online‑Werbung in EU‑Märkten und kooperiert mit europäischen Influencern. Die zuständige Aufsicht wertet diese Aktivitäten als aktive Ansprache des EU‑Markts und stuft das Angebot als unerlaubte grenzüberschreitende Erbringung von Krypto‑Dienstleistungen ein.​ Die Folgen: Der Anbieter muss sein Angebot in den betroffenen Ländern einstellen, Marketing‑Maßnahmen stoppen und mit Warnhinweisen und Reputationsschäden rechnen. Dieses Beispiel zeigt, dass sich Projekte nicht auf vermeintliche „Grauzonen“ bei Reverse Solicitation verlassen sollten. Wenn der Zielmarkt faktisch in der EU liegt, sollte frühzeitig geklärt werden, ob eine MiCA‑Lizenz oder eine Zusammenarbeit mit einem regulierten EU‑Partner erforderlich ist.

NEXORA stellt dir ein kompaktes MiCA CASP Implementation Toolkit zur Verfügung, das direkt an den in diesem Artikel beschriebenen Fahrplan anknüpft. Es umfasst drei zentrale Bausteine, die du für deine Vorbereitung auf eine CASP‑Lizenz in Österreich und der EU nutzen kannst:​ A) CASP Readiness Checklist – Übersichtliche Checkliste mit allen kritischen Bereichen: Governance & Organisation, Geschäftsmodell & Risikoanalyse, AML/KYC, IT‑Security, Outsourcing, Dokumentation, Zeitplan.​ – Jedes Feld kann mit einem Reifegrad (z. B. „nicht gestartet“, „in Arbeit“, „weitgehend erfüllt“) markiert werden und dient als Basis für deine interne Fit/Gap‑Analyse.​ B) Antragsunterlagen – Musterstruktur (Inhaltsverzeichnis) – Strukturierter Aufbau deines FMA‑Antragspakets, orientiert an den typischen Dokumentenclustern: Allgemeine Angaben, Geschäftsmodell & Strategie, Governance & Organisation, Risikomanagement & Compliance, IT & Security, Outsourcing, Kapitalausstattung, Anhänge.​ – Hilft dir, Business Plan, Programme of Operations, Policies und Nachweise so zu ordnen, dass sie konsistent aufeinander aufbauen.​ C) Operating Model Canvas für CASP – Visuelles Canvas mit zehn Bausteinen: CASP‑Dienste, Kundensegmente, Kernprozesse, Rollen & Funktionen, Technologie & Infrastruktur, Compliance & Risiko‑Kontrollen, Outsourcing & Partner, Finanzmodell, Regulatorische Schnittstelle, Implementierungsphasen.​ – Ergänzender Guide mit Beispielen und Formulierungshilfen unterstützt dich dabei, dein Ziel‑Betriebsmodell MiCA‑konform zu dokumentieren – von Onboarding‑Prozessen über AML‑Kontrollen bis hin zu FMA‑Reporting und Wachstumsphasen.

Was tun als Nächstes? – Unsere Angebote für Sie

Nächster Schritt: Wenn du nach der Lektüre dieses Artikels einen strukturierten Einstieg suchst, nutze das MiCA CASP Implementation Toolkit als Ausgangspunkt – mit Readiness‑Checkliste, Musterstruktur für Antragsunterlagen und CASP Operating Model Canvas. In Kombination mit einem kurzen Readiness‑Call oder Workshop lassen sich so innerhalb weniger Tage deine größten Gaps und Prioritäten identifizieren.​ Projekte mit eigenem Compliance‑/Legal‑Team können das Toolkit als Arbeitsgrundlage für die interne Ausarbeitung nutzen; wer wenig Regulierungserfahrung hat, profitiert in der Regel von einer End‑to‑End‑Begleitung, bei der Dokumente und Operating Model gemeinsam mit erfahrenen Beratern aufgebaut werden.

1. MiCA/CASP Readiness-Check (Fixed Scope)

Strukturierte Analyse deines aktuellen Stands mit Executive Summary, priorisierter Gap-Liste und grober Roadmap. Ideal als Entscheidungsgrundlage für Board/Investoren.

2. Regulatory Roadmap & Dokumentenpaket

Detaillierter Fahrplan mit Phasenplanung, Dokumenten-Template-Paket und Checklisten. Für Projekte mit internen Kapazitäten, die Struktur und Templates brauchen.

3. Partner-Screening: Auswahl eines CASP/EMI-Partners

Falls du ein Partner-Modell verfolgst: Markt-Screening, Due Diligence und Begleitung in Vertragsverhandlungen.

Sie möchten Ihr MiCA‑/CASP‑Setup professionell aufbauen oder schärfen?

• Kostenloses 30‑Minuten‑Erstgespräch: Besprechen Sie Ihr Geschäftsmodell, Ihre MiCA‑Fragestellungen und erhalten Sie eine erste Einschätzung zu CASP‑Lizenz vs. Partner‑Modell, Übergangsfristen und Standortwahl in Österreich (unverbindlich, ohne Verpflichtung).​

• MiCA/CASP Readiness‑Assessment (Fixed Scope): Strukturierte Fit/Gap‑Analyse entlang der in diesem Artikel beschriebenen Phasen – Governance & Substance, Geschäftsmodell, AML/KYC, IT‑Security, Outsourcing –, mit priorisierter Maßnahmenliste und Management‑Summary (typisch: 2–3 Wochen).​

• CASP Operating Model & Antragsunterlagen: Entwicklung oder Review Ihres CASP‑Operating‑Modells auf Basis des Operating Model Canvas (Dienste, Kundensegmente, Prozesse, Rollen, IT, Outsourcing, Finanzmodell, FMA‑Schnittstelle) sowie Strukturierung und Qualitätssicherung der Antragsunterlagen für die FMA.​

• Partner‑Modell & Provider‑Auswahl: Unterstützung bei der Entscheidung CASP‑Eigenlizenz vs. regulierter Partner (CASP/EMI), Markt‑Screening geeigneter Anbieter und Begleitung bei der Ausgestaltung vertraglicher und kommunikativer Abgrenzung.

Kontaktieren Sie uns für ein unverbindliches Gespräch:

Jetzt Erstgespräch Vereinbaren

Über NEXORA Unternehmensberatung GmbH:

NEXORA Unternehmensberatung GmbH ist eine auf RegTech, FinTech und strategische Regulatory Guidance spezialisierte Beratung mit Sitz in Wien. Wir unterstützen Unternehmen bei der Navigation durch komplexe regulatorische Anforderungen in Österreich und der EU.

Unsere Schwerpunkte: Market Entry & Standortwahl, Compliance & RegTech (mit Fokus auf MiCA & CASP-Lizenzierung), Digital Transformation & Operating Model Design.

Unser Team kombiniert tiefes regulatorisches Know-how mit praktischer Umsetzungserfahrung.

Disclaimer

Dieser Artikel stellt keine Rechts-, Steuer- oder Anlageberatung dar. Alle Informationen sind allgemeiner Natur und dienen ausschließlich zu Informationszwecken. Die regulatorische Landschaft entwickelt sich kontinuierlich weiter.

Für konkrete Projekte ist eine individuelle rechtliche, steuerliche und regulatorische Prüfung unerlässlich. NEXORA Unternehmensberatung GmbH übernimmt keine Haftung für Entscheidungen, die auf Basis dieses Artikels getroffen werden.

Quellen & weiterführende Links

• Verordnung (EU) 2023/1114 über Märkte für Kryptowerte (MiCA)

EUR-Lex: CELEX 32023R1114

• ESMA – MiCA-Seite

ESMA MiCA Information

• FMA Österreich – CASP-Zulassung

FMA Website