MiCA + FMA Realität für ein österreichisches Web3-Startup 2026

Wenn du aus Österreich ein Web3-Produkt entwickelst, beginne nicht beim Wort „Krypto“ und unterstelle, daraus folge eine einzige Lizenz. Stelle zuerst vier Fragen: Welches Asset ist betroffen, welche Tätigkeit erbringt das Unternehmen, für wen erbringt es sie und welche Rechtseinheit kontrolliert den Dienst? MiCA kann die Tätigkeit regeln, ein anderes EU-Finanzmarktregime kann gelten oder das Modell kann außerhalb von MiCA liegen.

Dies ist ein Engineering-Leitfaden, keine Rechtsberatung. Qualifizierte Rechtsberatung sollte die regulatorische Einordnung verantworten. Engineering muss sie in konkrete Anforderungen für Verwahrung, Berechtigungen, Aufzeichnungen, Offenlegung, Resilienz und Kundenabläufe übersetzen.

Wer benötigt in Österreich eine CASP-Zulassung?

MiCA nennt zehn Kryptowerte-Dienstleistungen: Verwahrung und Verwaltung, Betrieb einer Handelsplattform, Tausch gegen Geldbeträge, Tausch gegen andere Kryptowerte, Ausführung von Aufträgen, Platzierung, Annahme und Übermittlung von Aufträgen, Beratung, Portfolioverwaltung und Transferdienste im Namen von Kunden. Wer eine oder mehrere dieser Dienstleistungen gewerblich erbringt, benötigt vor Betriebsaufnahme grundsätzlich eine Zulassung als Anbieter von Kryptowerte-Dienstleistungen (CASP).

Damit ist die Einordnung nicht abgeschlossen. MiCA bietet bestimmten bereits regulierten Finanzunternehmen für festgelegte gleichwertige Dienstleistungen einen Mitteilungsweg. Kryptowerte, die Finanzinstrumente sind, fallen statt unter MiCA unter bestehendes Finanzmarktrecht. Die Ausgabe eines Tokens macht den Emittenten nicht automatisch zum CASP, dennoch können eigene Regeln für Emittenten, öffentliche Angebote, Handelszulassung, ARTs oder EMTs gelten. Die Hinweise der FMA für Antragsteller beschreiben das österreichische Zulassungsverfahren, die Dienstleistungskategorien, die zuständige Behörde und den Mitteilungsweg nach Artikel 60 (FMA-Informationen für CASP-Antragsteller).

Welche aufsichtsrechtlichen Sicherheiten gelten?

MiCA Anhang IV ordnet den zugelassenen Dienstleistungen dauerhafte Mindestkapitalanforderungen zu:

Die aufsichtsrechtliche Sicherheit entspricht dem höheren Wert aus dem geltenden dauerhaften Mindestbetrag und einem Viertel der Fixkosten des Vorjahres, vorbehaltlich der Berechnungs- und Anpassungsregeln von MiCA. Sie kann durch Eigenmittel, eine geeignete Versicherung oder eine Kombination erfüllt werden. Ein neues Unternehmen verwendet prognostizierte Fixkosten. Behandle dies als Finanz- und Aufsichtsrechnung, nicht als einzeilige Engineering-Budgetposition.

Was gilt nach Ende der österreichischen Übergangsphase?

Österreichs MiCA-Übergangsphase endete am 1. Juli 2026. Laut FMA sollte ein nicht zugelassener Anbieter Onboarding und Marketing einstellen, seine Tätigkeit auf das für eine geordnete Abwicklung Notwendige begrenzen, Kunden informieren und während des Ausstiegs wirksame Schutzmaßnahmen erhalten. Ein anhängiger Antrag erlaubt für sich allein keinen normalen Betrieb. Kläre die konkreten Pflichten der Rechtseinheit und Dienstleistung mit Rechtsberatung. Die FMA veröffentlichte die österreichische Position zum Ende der Übergangsphase (FMA-Mitteilung vom 23. Juni 2026).

Was erfordert die Token-Ausgabe?

Trenne den Token-Pfad vom CASP-Pfad. Bei einem Kryptowert, der weder vermögenswertreferenzierter Token (ART) noch E-Geld-Token (EMT) ist, kann Titel II vor öffentlichem Angebot oder Handelszulassung ein regelkonformes Whitepaper, die Mitteilung an die zuständige Behörde, Veröffentlichung und konsistente Marketingmitteilungen verlangen. Ausnahmen hängen von Angebot, Token, Netzwerk und Zielgruppe ab. Für ARTs und EMTs gelten andere Emittenten- und Zulassungsregeln. Ein Token, der ein Finanzinstrument ist, liegt außerhalb von MiCA und muss nach dem einschlägigen Wertpapierrecht beurteilt werden.

Im allgemeinen Verfahren nach Titel II wird das Whitepaper mindestens 20 Arbeitstage vor Veröffentlichung mitgeteilt. Retail-Inhaber können ein 14-tägiges Rücktrittsrecht haben, doch MiCA legt Bedingungen und Ausnahmen fest, etwa wenn der Kryptowert bereits vor dem Kauf zum Handel zugelassen war. Mache aus diesen Fristen keine universelle Launch-Checkliste. Die konsolidierte Verordnung ist die maßgebliche Quelle für Dienstleistungsdefinitionen, Ausnahmen, aufsichtsrechtliche Regeln, Angebotsregeln und Übergangsbestimmungen (Verordnung (EU) 2023/1114).

Liegen NFTs außerhalb von MiCA?

Nur Kryptowerte, die tatsächlich einzigartig und nicht fungibel sind, sind auf dieser Grundlage ausgenommen. Bruchteile eines einzigartigen Kryptowerts gelten nicht als einzigartig, und die Ausgabe einer großen Serie oder Sammlung ist ein Hinweis auf Fungibilität. Weder die Größe einer Sammlung noch ein „1/1“-Label entscheidet allein. Wirtschaftlicher Gehalt, Rechte, Abhängigkeiten und tatsächliche Nutzung sind relevant. Rechtsberatung sollte die Einordnung dokumentieren, statt sich auf Tokenstandard oder Kunstwerk zu verlassen.

Entfällt MiCA durch Dezentralisierung?

MiCA hält fest, dass Dienstleistungen, die vollständig dezentral ohne Intermediär erbracht werden, nicht in ihren Anwendungsbereich fallen sollten. Das ist enger als die Bezeichnung DAO. Admin-Schlüssel, Upgrade-Rechte, ein kontrolliertes Frontend, Gebührenerhebung, Order-Routing, Kundensupport oder ein identifizierbarer Betreiber können die Beurteilung ändern. Engineering muss jeden Kontrollpunkt und jede Dienstleistung abbilden, statt aus einem Governance-Label eine Ausnahme abzuleiten.

"Regulatorische Abgrenzung wird erst dann zu brauchbarem Engineering-Input, wenn sie Asset, Dienstleistung, Rechtseinheit, Kundenablauf und Kontrollpunkte benennt."

Was sollte ein FMA-Workstream enthalten?

Die FMA beschreibt die CASP-Zulassung als gebührenpflichtiges, mehrstufiges Verfahren. Eine allgemeine Pflicht zur Bestellung eines Rechtsvertreters besteht nicht. Umfang und Nachweise des Antrags hängen von Dienstleistungen und Geschäftsmodell ab. Baue einen nachvollziehbaren Workstream rund um:

1. Eine schriftliche Abgrenzung für jedes Asset, jede Dienstleistung, Rechtseinheit, Jurisdiktion und Kundengruppe.
2. Eine Verantwortungsmatrix, die Governance, Fit-and-proper-Verantwortung, Richtlinien, Kontrollen und technische Nachweise verbindet.
3. Architekturnachweise für Verwahrung, Trennung, Schlüsselverwaltung, Auftragsabwicklung, Preisbildung, Aufzeichnungen, Beschwerden, Konflikte und gegebenenfalls Auslagerung.
4. Finanzprognosen und eine reproduzierbare Berechnung der aufsichtsrechtlichen Sicherheit.
5. Einen Zulassungs-, Mitteilungs- oder Emittentenpfad mit Annahmen, Verantwortlichen, Abhängigkeiten und Regulatorfragen.
6. Ein Launch-Gate, das regulierte Tätigkeiten verhindert, bevor der erforderliche Status wirksam ist.

Die FMA Regulatory Sandbox ist ein separater Weg für geeignete innovative Modelle. Unterstelle keinen festen Antragskalender, keine Aufnahme und kein Zulassungsergebnis. DORA kann ebenfalls auf CASPs anwendbar sein, doch Pflichten wie Vorfallsmeldung, Tests und Drittparteien-Risikomanagement hängen von Unternehmen und Sachverhalt ab. Übersetze die rechtliche Schlussfolgerung in eine verantwortete Kontrollmatrix.

Wie sieht die Checkliste für die Umsetzung aus?

1. Verwahrung und Trennung. Definiere Eigentumsaufzeichnungen, Wallet-Architektur, Abstimmung, Zugriff und Verfahren zur Rückgabe von Assets.
2. Schlüsselverwaltung. Dokumentiere Signaturberechtigung, Wiederherstellung, Reaktion auf Kompromittierung, Backups und getestete Kontinuität.
3. Transferinformationen. Die EU-Geldtransferverordnung verlangt Angaben zu Auftraggeber und Begünstigtem für erfasste Kryptotransfers. 1.000 EUR sind für bestimmte Prüfungen bei selbst gehosteten Adressen relevant, nicht als allgemeine Schwelle, unter der erforderliche Transferinformationen entfallen.
4. Auftrags- und Marktkontrollen. Richte Kontrollen nach der Dienstleistung aus, einschließlich Ausführungsaufzeichnungen, Konflikten, Preisbildung, Handelsplatzbetrieb und gegebenenfalls Marktmissbrauchspflichten.
5. Kundenprozesse. Verknüpfe Onboarding, Offenlegung, Beschwerden, Einwilligung, Aufbewahrung und Ausstieg mit Systemzuständen.
6. IKT und Lieferanten. Pflege Systeminventare, Vorfallpfade, Kontinuitätsnachweise, Zugriffsprüfungen und Drittanbieterabhängigkeiten in dem vom anwendbaren Recht geforderten Umfang.

Wie lange dauert es und was kostet es?

Es gibt keine belastbare universelle Dauer und kein universelles Lizenzierungsbudget für ein „CASP-MVP“. Der Umfang variiert mit Dienstleistungsklasse, Verwahrmodell, Token- und Zahlungsflüssen, Jurisdiktionen, bestehendem Regulierungsstatus, Auslagerung, Bestandssystemen, Nachweisqualität und Regulatorfragen. Schätze mindestens vier Bereiche getrennt: regulatorische Einordnung und Rechtsberatung, Zulassungs- oder Mitteilungsarbeit, technische Umsetzung und Behebung sowie unabhängige Prüfung. Nenne Annahmen und Konfidenzbereiche für jeden.

Unsere Rolle ist der technische Workstream: Architektur, Umsetzung, Behebung und Nachweise. Externe Rechtsberatung verantwortet die rechtliche Einordnung und Beratung; unabhängige Prüfer sollten unabhängig bleiben. Unser Blockchain-Engineering-Service deckt die Umsetzung ab, während Scramble Pay ein veröffentlichtes Beispiel für Cross-Chain-Payment-Engineering ist, nicht der Nachweis eines bestimmten Zulassungsergebnisses. Weil regulatorische Abhängigkeiten Änderungen verteuern, solltest du mit unserem Leitfaden zu Vertragsmodellen Umfang und Unsicherheit explizit machen.