Der 1. Juli 2026 markiert das Ende der Übergangsfrist nach Artikel 143 Absatz 3 der Verordnung (EU) 2023/1114. Ab diesem Datum dürfen Krypto-Dienstleister ohne erteilte CASP-Zulassung im EU-Binnenmarkt nicht mehr tätig sein. Die Übergangsfrist gilt nur für Unternehmen, die vor dem 30. Dezember 2024 unter nationalem Recht registriert waren und bis spätestens 1. Juli 2025 einen vollständigen Lizenzantrag gestellt haben. Ein anhängiger Antrag verlängert die Betriebsbefugnis nicht automatisch: Nur die tatsächlich erteilte Zulassung erlaubt den weiteren Betrieb.

MiCA verlangt mehr als dokumentierte Absichtserklärungen. Die Verordnung definiert Anforderungen funktional, nicht dokumentorisch. Artikel 68 der Verordnung (EU) 2023/1114 legt organisatorische Anforderungen fest, die operative Kontrollen, klare Verantwortlichkeiten und wirksame Risikomanagement-Systeme einschließen. Regulierungsbehörden wie die BaFin prüfen bei Audits und Inspektionen nicht die Vollständigkeit von PDF-Handbüchern, sondern die Wirksamkeit implementierter Prozesse und deren laufende Überwachung.

Die Unterscheidung zwischen dokumentierter und gelebter Compliance ist entscheidend. Dokumentierte Compliance bedeutet, dass Prozesse, Richtlinien und Verfahren schriftlich festgehalten sind. Gelebte Compliance bedeutet, dass diese Prozesse tatsächlich umgesetzt, überwacht und bei Bedarf angepasst werden. Regulierungsbehörden fokussieren seit 2025 zunehmend auf die operative Lücke zwischen beiden: Unternehmen, die hervorragende Compliance-Dokumentation vorweisen, aber keine nachweisbaren Kontrollen implementiert haben, werden mit Bußgeldern und Betriebsuntersagungen konfrontiert.

In Deutschland endete die nationale Übergangsfrist bereits am 30. Dezember 2025. Krypto-Dienstleister, die nach diesem Datum ohne CASP-Lizenz tätig sind, handeln rechtswidrig. Die BaFin hat angekündigt, ab Juli 2026 verstärkt Inspektionen durchzuführen und nicht lizenzierte Anbieter aus dem Markt zu entfernen. Unternehmen sollten nicht darauf vertrauen, dass ein eingereichte Antrag als Schutz wirkt: Nur die erteilte Zulassung sichert den Fortbestand des Geschäftsbetriebs.

Das Risikomanagement-System nach Artikel 68 der Verordnung (EU) 2023/1114 muss aktiv funktionieren, nicht nur in Handbüchern existieren. Regulierungsbehörden erwarten nachweisbare Risikoidentifikation, Bewertung, Steuerung und Überwachung. Unternehmen, die zwar Risikoinventare erstellt, aber keine laufende Risikobewertung oder Eskalationsprozesse implementiert haben, werden bei Inspektionen als nicht compliant eingestuft.

KYC- und AML-Prozesse nach der 6. EU-Geldwäscherichtlinie (Richtlinie (EU) 2015/849) erfordern echte Datenverifizierung und kontinuierliches Monitoring. Artikel 13 der 6. Geldwäscherichtlinie verlangt, dass Verpflichtete ihre Kunden kennen, die wirtschaftlich Berechtigten identifizieren und das Geschäftsverhältnis laufend überwachen. Bloße Formulare, die Kunden ausfüllen, erfüllen diese Anforderung nicht. Regulierungsbehörden prüfen, ob Unternehmen tatsächlich Identitätsdokumente verifizieren, Sanktionslisten durchsuchen und verdächtige Transaktionen melden.

Compliance-Personal nach Artikel 12 der Verordnung (EU) 2023/1114 muss über nachweisbare Schulungen und Kompetenzen verfügen. Die Verordnung verlangt, dass CASP jederzeit über qualifiziertes Personal verfügen, das die Einhaltung der Anforderungen sicherstellt. Bloße Zertifikate ohne nachvollziehbaren Wissenstransfer führen zu Bußgeldern. Regulierungsbehörden erwarten dokumentierte Schulungsprogramme, Kompetenztests und regelmäßige Fortbildungen, die den aktuellen Stand der Regulierung widerspiegeln.

Transaction Monitoring ist ein weiteres Beispiel für operative Lücken. MiCA verlangt von Handelsplattformen nach Artikel 77 der Verordnung (EU) 2023/1114, dass sie Systeme zur Überwachung von Marktmissbrauch implementieren. Diese Systeme müssen verdächtige Handelsmuster erkennen, Anomalien flaggen und Berichte an die zuständige Behörde übermitteln. Unternehmen, die zwar eine Policy zur Marktmissbrauchsüberwachung dokumentiert haben, aber keine Monitoring-Software einsetzen, erfüllen die Anforderung nicht.

Der Fall OKX illustriert die Konsequenzen operativer Lücken. Die Regulierungsbehörde stellte fest, dass das Unternehmen zwar umfangreiche Compliance-Dokumentation vorgelegt hatte, aber systematische Defizite bei der tatsächlichen Umsetzung bestanden. Die verhängten Sanktionen fokussierten nicht auf einzelne Verstöße, sondern auf den systematischen Abstand zwischen dokumentierten Prozessen und deren realer Anwendung. Dieser Ansatz ist typisch für die neue Regulierungsphilosophie: Behörden strafen nicht das Fehlen von Papieren, sondern das Fehlen funktionierender Kontrollen.

Die reinen Lizenzierungsgebühren beginnen bei 19.900 EUR, aber die Gesamtkosten der MiCA-Compliance liegen deutlich höher. Unternehmen müssen zusätzliche Investitionen in Compliance-Technologie, Schulungen und Personal einplanen. Transaction Monitoring-Software kostet je nach Anbieter und Transaktionsvolumen zwischen 20.000 und 150.000 EUR jährlich. Blockchain-Analytik-Tools wie Chainalysis oder Elliptic schlagen mit 30.000 bis 100.000 EUR pro Jahr zu Buche.

Externe Audits und Rechtsprüfungen werden zum Standard. Artikel 68 der Verordnung (EU) 2023/1114 verlangt wirksame Governance-Regelungen, die regelmäßig überprüft werden müssen. Viele Regulierungsbehörden erwarten jährliche externe Audits durch zugelassene Wirtschaftsprüfer. Diese Audits kosten je nach Unternehmensgröße zwischen 15.000 und 80.000 EUR pro Jahr. Interne Dokumentation allein reicht nicht mehr aus: Die Behörde will Bestätigungen unabhängiger Dritter sehen.

Größere Unternehmen mit über 100 Mitarbeitenden sollten mit vollständigen Reorganisationen von Governance-Strukturen rechnen. MiCA verlangt klare Verantwortlichkeiten, definierte Berichtslinien und wirksame Kontrollen. Viele Krypto-Dienstleister haben informelle Strukturen, die für kleine Teams funktionieren, aber MiCA-Anforderungen nicht erfüllen. Die Neuorganisation erfordert externe Beratung, interne Change-Management-Prozesse und oft personelle Veränderungen. Budgets für solche Reorganisationen liegen zwischen 100.000 und 500.000 EUR, abhängig von der Größe und Komplexität des Unternehmens.

Personalkosten steigen erheblich. Ein qualifizierter Compliance Officer mit MiCA-Erfahrung kostet in Deutschland zwischen 80.000 und 120.000 EUR Jahresgehalt. Größere Unternehmen benötigen ein Compliance-Team mit mehreren Mitarbeitern. Die laufenden Schulungskosten für bestehende Mitarbeiter liegen bei 1.000 bis 3.000 EUR pro Person und Jahr. Regulierungsbehörden erwarten, dass Mitarbeiter nicht nur initial geschult werden, sondern laufend über regulatorische Entwicklungen informiert bleiben.

Die Kosten für Legal Tech und Compliance-Software steigen kontinuierlich. KYC-Verification-Tools kosten zwischen 5.000 und 50.000 EUR jährlich, abhängig vom Transaktionsvolumen. AML-Screening-Software schlägt mit 10.000 bis 60.000 EUR pro Jahr zu Buche. Unternehmen, die mehrere Dienstleistungen anbieten, benötigen integrierte Compliance-Plattformen, deren Kosten schnell 200.000 EUR pro Jahr übersteigen können.

Der GENIUS Act (EU-Verordnung zur Governance und zum Einsatz von KI-Systemen, die auf intelligenten Netzwerken basieren) tritt am 18. Juli 2026 in Kraft und ergänzt MiCA um spezifische Anforderungen an den Einsatz künstlicher Intelligenz im Krypto-Bereich. Krypto-Dienstleister, die KI-gestützte Systeme für Transaction Monitoring, Risikobewertung oder Kundeninteraktion einsetzen, müssen zusätzliche Transparenz- und Kontrollanforderungen erfüllen.

Artikel 13 des GENIUS Act verlangt, dass Anbieter von Hochrisiko-KI-Systemen ein Risikomanagement-System implementieren, das kontinuierlich über den gesamten Lebenszyklus des Systems aktiv bleibt. Für Krypto-Dienstleister bedeutet dies, dass KI-gestützte AML-Screening-Systeme oder Transaction Monitoring-Tools regelmäßig auf Bias, Fehlklassifikationen und Diskriminierung geprüft werden müssen. Regulierungsbehörden erwarten dokumentierte Tests, regelmäßige Audits und Nachweise, dass KI-Systeme keine systematischen Fehler produzieren.

Die Parallelität der Fristen ist kritisch: Während die MiCA-Übergangsfrist am 1. Juli 2026 endet, treten GENIUS Act-Anforderungen am 18. Juli 2026 in Kraft. Unternehmen haben nur 17 Tage, um sicherzustellen, dass ihre KI-Systeme den neuen Anforderungen entsprechen. In der Praxis bedeutet dies, dass beide Regulierungspakete parallel vorbereitet werden müssen. Unternehmen, die erst im Juli 2026 mit der GENIUS Act-Vorbereitung beginnen, werden die Frist nicht einhalten.

Artikel 17 des GENIUS Act verlangt, dass Hochrisiko-KI-Systeme über ein Qualitätsmanagementsystem verfügen, das alle relevanten Prozesse abdeckt. Das schließt Design, Entwicklung, Testing, Deployment und Monitoring ein. Für Krypto-Dienstleister, die KI-gestützte Compliance-Systeme einsetzen, bedeutet dies erhebliche zusätzliche Dokumentations- und Kontrollpflichten. Die Behörde will sehen, dass KI-Systeme nicht als Black Box funktionieren, sondern nachvollziehbar, testbar und kontrollierbar sind.

Die Kombination aus MiCA und GENIUS Act führt zu einer erheblichen Erhöhung der Compliance-Komplexität. Unternehmen müssen nicht nur nachweisen, dass sie MiCA-Anforderungen erfüllen, sondern auch, dass die zur Erfüllung dieser Anforderungen eingesetzten KI-Systeme den GENIUS Act-Standards entsprechen. Diese doppelte Anforderung erfordert spezialisierte rechtliche und technische Beratung, die beide Regulierungspakete integriert betrachtet.