BaFin verschärft Anforderungen an Krypto-Verwahrer ab Juli 2026

Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat am Donnerstag, dem 22. Mai 2026, in einer Veröffentlichung im Bundesanzeiger neue Mindestanforderungen an Krypto-Verwahrer veröffentlicht. Die Regeln treten zum 1. Juli 2026 in Kraft. Betroffen sind sämtliche Anbieter mit einer Erlaubnis für das Kryptoverwahrgeschäft nach § 1 Abs. 1a Satz 2 Nr. 6 KWG — derzeit 17 lizenzierte Häuser in Deutschland, darunter Coinbase Germany, BSDEX und die Bitpanda Custody GmbH.

Was wurde entschieden

Die Aufsicht verlangt mehrere zentrale Änderungen. Erstens müssen mindestens 95 Prozent der verwahrten Kundenwerte im Cold Storage gehalten werden — also auf Wallets ohne durchgehende Internetverbindung. Bisher galt eine Schwelle von 80 Prozent. Zweitens sind quartalsweise externe Sicherheitsaudits durch zugelassene Prüfer mit IT-Sicherheits-Zertifizierung verpflichtend; die Berichte sind innerhalb von 30 Tagen nach Quartalsende an die BaFin zu übermitteln. Drittens müssen Verwahrer eine Insolvenzaussonderungs-Erklärung für sämtliche Kundenwerte vorhalten, die durch ein deutsches Notariat bestätigt wurde.

Eine Sprecherin der Aufsicht erklärte, die neuen Anforderungen orientierten sich an den technischen Standards der EBA und der ESMA unter MiCA, gingen aber in Teilbereichen — insbesondere bei der Audit-Frequenz — bewusst darüber hinaus. Hintergrund seien zwei dokumentierte Custody-Vorfälle bei mittelgroßen europäischen Anbietern in den Jahren 2024 und 2025 mit Gesamtschäden im niedrigen dreistelligen Millionenbereich.

Was das bedeutet

Für deutsche Privatanleger heißt das zunächst: mehr Sicherheit bei der Verwahrung von Krypto-Assets bei lizenzierten Anbietern. Die 95-Prozent-Cold-Storage-Quote reduziert das Schadenspotenzial bei einem Hack-Angriff auf die Online-Infrastruktur deutlich.

Parallel dürften die Verwahrgebühren mittelfristig steigen. Cold Storage ist operativ aufwendiger als Hot Wallets — Auszahlungen brauchen länger, manuelle Freigabeprozesse sind nötig. Die quartalsweisen Audits kosten je nach Anbietergröße zwischen 80.000 und 300.000 Euro im Jahr. Branchenkenner rechnen mit einer Weitergabe von 20 bis 50 Basispunkten an den Endkunden.

Auch operativ ergeben sich Folgen. Wer regelmäßig größere Beträge zwischen Plattformen verschiebt, muss längere Auszahlungszeiten einplanen. Mehrere Anbieter haben bereits angekündigt, ab Juli Auszahlungsfenster auf einen festen Tagesabschnitt zu konzentrieren, um den manuellen Aufwand zu bündeln.

Im Wettbewerb verschieben sich die Karten zugunsten regulierter Player. Anbieter ohne deutsche Lizenz, die deutsche Kunden über EU-Passporting bedienen, müssen die strengeren BaFin-Regeln nicht erfüllen — aber Kunden verlieren im Schadensfall den unmittelbaren Zugriff auf die deutsche Aufsicht. Dieses Spannungsfeld wird die Diskussion über die Harmonisierung von MiCA-Vollzugsregeln in den nächsten Monaten weiter befeuern.

Wie es weitergeht

Die BaFin plant eine Übergangsphase bis zum 1. Oktober 2026, in der Anbieter die ersten Auditberichte einreichen müssen. Sanktionen — von Bußgeldern bis zur Untersagung des Kryptoverwahrgeschäfts — werden erst danach verhängt. Eine Anhörung mit dem Bundesverband Digitale Wirtschaft (BVDW) und dem Bankenverband ist für den 18. Juni 2026 anberaumt; dort dürften vor allem die Audit-Frequenz und die Berichtsfristen erneut zur Sprache kommen.

Auf europäischer Ebene wird die ESMA bis Jahresende 2026 prüfen, ob die deutschen Sonderanforderungen mit dem MiCA-Rahmenwerk vereinbar sind. Eine Stellungnahme der Aufsichtsbehörde wird für Q4 erwartet. Wer beruflich oder als Großanleger mit Krypto-Custody arbeitet, sollte parallel die Veröffentlichungen der österreichischen FMA verfolgen — eine vergleichbare Verschärfung in Wien gilt nach Brancheneinschätzung als wahrscheinlich, aber nicht vor 2027.