Kryptomärkteaufsichtsgesetz

Der Text des KMAG beginnt mit Ziel und Geltungsbereich in § 1: Das Gesetz dient der Durchführung der Verordnung (EU) 2023/1114 und erfasst die Kryptowerte nach Artikel 3 Absatz 1 Nummer 5 dieser Verordnung. § 2 definiert ein Institut als Unternehmen, das vermögenswertereferenzierte Token oder E-Geld-Token öffentlich anbietet oder zum Handel zulassen lassen will oder Kryptowerte-Dienstleistungen erbringt. Kapitel 1 regelt dann die Aufgaben und allgemeinen Befugnisse der BaFin und ihre Zusammenarbeit mit der Deutschen Bundesbank, Kapitel 2 setzt den Zulassungsvorbehalt durch, mit dem Einschreiten gegen unerlaubte Geschäfte in § 9 und der Erteilung und dem Entzug der Zulassung in den §§ 11 bis 14.

Kapitel 3 behandelt öffentliche Angebote und die Zulassung zum Handel, Kapitel 4 die Beaufsichtigung der Institute, mit Sonderbestimmungen für Stablecoin-Emittenten in den §§ 27 und 28, für Kryptowerte-Dienstleister in den §§ 29 und 30 und für Handelsplattformen und Marktmissbrauch in den §§ 31 bis 36. Kapitel 5 regelt Rechnungslegung und Abschlussprüfung, Kapitel 6 Maßnahmen in besonderen Fällen wie ein Moratorium, Kapitel 7 die Straf- und Bußgeldvorschriften in den §§ 46 bis 49 und Kapitel 8 die Übergangsvorschriften in den §§ 50 und 51.

§ 3 macht die BaFin zur zuständigen Behörde nach Artikel 93 Absatz 1 MiCAR für die Institute und für den Handel auf Handelsplattformen für Kryptowerte, die Bundesbank übernimmt die Aufgaben, die ihr § 6 zuweist, und die BaFin ist zugleich zuständige Behörde für die digitale operationale Resilienz nach DORA. Nach § 4 darf die BaFin jede Anordnung treffen, die geeignet und erforderlich ist, um Verstöße gegen MiCAR oder das Gesetz zu verhindern oder zu beheben, von jedermann Auskünfte und Unterlagen verlangen und ein Institut öffentlich benennen, das seine Pflichten verletzt, eine Bekanntmachung, die sie spätestens nach fünf Jahren löscht. § 4 Absatz 7 erlaubt ihr, Telekommunikations- und Online-Dienste zur Entfernung von Inhalten, zur Sperrung einer Online-Schnittstelle oder zu einem Warnhinweis zu verpflichten und eine Domain-Registrierungsstelle zur Löschung eines Domainnamens anzuweisen, wenn Kunden schwerer Schaden droht.

§ 9 ist die Vorschrift gegen unerlaubte Geschäfte: Bietet ein Unternehmen vermögenswertereferenzierte Token, E-Geld-Token oder Kryptowerte-Dienstleistungen ohne die nötige Zulassung an, ordnet die BaFin die sofortige Einstellung und die Abwicklung an, kann die Anordnung auf Gesellschafter und Organmitglieder erstrecken und einen Abwickler bestellen, der einen Insolvenzantrag stellen kann. Ihre Zulassungsbefugnisse nutzte die BaFin im Fall der futurum bank 2026, als sie der Betreiberin von bitcoin.de nach mehr als 15 Monaten Prüfung die MiCA-Lizenz verweigerte.

§ 50 KMAG ist die deutsche Entscheidung nach Artikel 143 Absatz 3 MiCAR. Ein Unternehmen mit Erlaubnis nach dem Kreditwesengesetz, dem Wertpapierinstitutsgesetz, dem Zahlungsdiensteaufsichtsgesetz oder dem Kapitalanlagegesetzbuch, das am 29. Dezember 2024 rechtmäßig Kryptowerte-Dienstleistungen erbrachte, durfte nach altem Recht weiterarbeiten, und diese Erlaubnis galt als fortbestehend, bis die BaFin über den MiCA-Antrag entschied oder die Frist nach Artikel 60 ablief, längstens bis zum 31. Dezember 2025. § 50 Absatz 3 öffnete für diese Firmen ein vereinfachtes Zulassungsverfahren, in dem die BaFin nur die Anforderungen prüfte, die gegenüber der alten Lizenz neu waren.

Mit diesem Datum kürzte Deutschland das EU-Maximum von 18 Monaten auf zwölf, wie die MiCA-Übergangsfrist nach Ländern vergleicht. Die BaFin bestätigte in einer Meldung vom 8. Juli 2026, dass Deutschland die Frist auf den 31. Dezember 2025 verkürzt hatte und dass seit dem Ende der EU-weiten Übergangszeit am 1. Juli 2026 nur noch Anbieter mit MiCA-Lizenz Kryptowerte-Dienstleistungen erbringen dürfen. Die nationalen Regeln rund um die Lizenz beschreibt MiCA in Deutschland, und die Verwahrerlaubnis nach dem Kreditwesengesetz gilt nur noch für Kryptowertpapiere.

§ 46 stellt unter Strafe, Kryptowerte-Dienstleistungen ohne Zulassung zu erbringen, einen vermögenswertereferenzierten oder E-Geld-Token ohne Erlaubnis anzubieten, Insiderinformationen zu nutzen oder unrechtmäßig offenzulegen, mit Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe und bis zu drei Jahren bei Fahrlässigkeit in den ersten drei Fällen. § 47 enthält die Bußgelder: bis zu 5 Millionen Euro für eine natürliche Person und bis zu 15 Millionen Euro für eine juristische Person in den schwersten Kategorien, oder bis zu 15 Prozent des Gesamtumsatzes eines Unternehmens mit mehr als 100 Millionen Euro Umsatz, oder bis zum Dreifachen des aus dem Verstoß gezogenen Gewinns, wenn das mehr ist.

Leichtere Verstöße kosten bis zu 700.000 Euro für eine natürliche Person und bis zu 5 Millionen Euro für eine juristische Person, und daneben stehen die Bußgelder der MiCAR selbst, bis zu 5 Millionen Euro oder 5 Prozent des Umsatzes für die Anbieterregeln nach Artikel 111. Die BaFin veröffentlicht ihre Maßnahmen, und MiCA-Compliance nennt die Pflichten, deren Verletzung diese Vorschriften ahnden.

Das Finanzmarktdigitalisierungsgesetz, kurz FinmadiG, ist das Artikelgesetz, das deutsches Recht an drei EU-Texte zugleich anpasste: an die Verordnung über Märkte für Kryptowerte durch das KMAG als Artikel 1, an den Digital Operational Resilience Act durch Änderungen des Kreditwesengesetzes und der anderen Fachgesetze und an die neu gefasste Geldtransferverordnung mit der Travel Rule durch das Geldwäschegesetz. Der Bundestag beschloss es am 18. Dezember 2024 mit Zustimmung des Bundesrates, und der Bundespräsident unterzeichnete es am 27. Dezember 2024, drei Tage bevor Titel V der MiCAR anwendbar wurde.

Für Kryptoverwahrer änderte das FinmadiG auch das Kreditwesengesetz: Das deutsche Kryptoverwahrgeschäft, seit 2020 eine erlaubnispflichtige Finanzdienstleistung, schrumpfte auf das qualifizierte Kryptoverwahrgeschäft für Kryptowertpapiere nach dem Gesetz über elektronische Wertpapiere, während die Verwahrung von Bitcoin, Ether und anderen Kryptowerten zur MiCAR wanderte. Eine Firma mit der alten Verwahrerlaubnis liest daher das Kryptoverwahrgeschäft für den Wertpapierteil und das KMAG für die Aufsicht über ihr MiCA-Geschäft.

MiCAR, Compliance und Verwahrung waren Themen beim Forum für Digitale Vermögenswerte, einem deutschsprachigen Forum in Frankfurt mit Finance Loop als Partner, bei dem Juristen und Compliance-Verantwortliche die deutschen Regeln diskutierten. Beim Krypto-Abend von Bybit EU im TechQuartier sprach Mykolas Majauskas von Bybit EU über Compliance unter MiCAR, und die MiCAR-Schulung von EBS Executive School und HEUKING lehrt KMAG und MiCAR auf Deutsch am EBS-Campus in Oestrich-Winkel.

Das KMAG ist das Gesetz zur Aufsicht über Märkte für Kryptowerte, das deutsche Gesetz, das die BaFin als zuständige Behörde für die EU-Verordnung über Märkte für Kryptowerte benennt und ihr die Befugnisse gibt, Kryptofirmen zu beaufsichtigen und gegen unerlaubte Geschäfte vorzugehen. Es hat 51 Paragrafen, gilt für Stablecoin-Emittenten und Kryptowerte-Dienstleister und enthielt die deutsche Übergangsregel, die am 31. Dezember 2025 endete.

Kryptomärkteaufsichtsgesetz heißt auf Englisch Crypto Markets Supervision Act, und der Langtitel Gesetz zur Aufsicht über Märkte für Kryptowerte heißt Act on the Supervision of Markets in Crypto-Assets. Das Bundesministerium der Justiz veröffentlicht keine amtliche englische Übersetzung des Gesetzes, daher arbeitet ein englischsprachiger Leser mit der EU-Verordnung in allen Amtssprachen und mit dem deutschen Text für die nationalen Vorschriften.

Der konsolidierte Text steht auf gesetze-im-internet.de, dem Rechtsinformationssystem des Bundesministeriums der Justiz, mit jedem Paragrafen auf einer eigenen Seite und der letzten Änderung vom 25. März 2026. Das ursprüngliche Gesetz und seine Gesetzesbegründung stehen in der Bundestagsdrucksache zum Finanzmarktdigitalisierungsgesetz, und die BaFin erklärt das Zulassungsverfahren für Kryptowerte-Dienstleister auf ihren eigenen Seiten.

Das KMAG ist Artikel 1 des Finanzmarktdigitalisierungsgesetzes vom 27. Dezember 2024, die beiden Namen beschreiben also ein Gesetzgebungspaket: Das FinmadiG ist das Artikelgesetz, und das KMAG ist das neue Gesetz, das es geschaffen hat. Dasselbe Paket passte deutsches Recht an DORA und an die EU-Travel-Rule für Kryptotransfers an.

Das KMAG gibt der BaFin ihre Aufgaben und Befugnisse für Kryptomärkte, von der Erteilung und dem Entzug einer MiCA-Zulassung über Anordnungen gegen unerlaubte Geschäfte und die Sperrung von Online-Schnittstellen bis zur Bestellung eines Abwicklers. Die BaFin führte die MiCA-Anträge deutscher Kryptofirmen seit dem 30. Dezember 2024 danach und hatte bis zum 22. Oktober 2026 acht Firmen nach Artikel 63 zugelassen und 109 Anzeigen nach Artikel 60 erhalten, wie die MiCA-Lizenz-Liste zeigt.