Wallet-App ohne BaFin-Erlaubnis: Wann die Verwahrung von Kryptowerten eine Zulassung braucht

Die BaFin hat am 19. August 2026 gleich zwei Verbrauchermitteilungen zu Angeboten veröffentlicht, die sich als Wallet präsentieren. In einem Fall geht es um eine Website, in dem anderen um eine Website samt einer App, die unter einem eigenen Produktnamen in den üblichen Stores auftaucht. Die Aufsicht schreibt in beiden Fällen, dass die Betreiber nach ihren Erkenntnissen ohne die erforderliche Erlaubnis tätig sind und nicht von ihr beaufsichtigt werden. In einem der beiden Fälle ermittelt sie gegen unbekannte Betreiber.

Beide Mitteilungen stützen sich auf dieselbe Vorschrift, nämlich Paragraf 10 Absatz 7 des Kryptomärkteaufsichtsgesetzes. Und beide werfen dieselbe Frage auf, die in der Berichterstattung über solche Warnungen fast immer untergeht: Ab wann braucht eine Wallet überhaupt eine Erlaubnis? Die Antwort ist nicht offensichtlich, denn Millionen Menschen benutzen Wallet-Software, hinter der kein zugelassenes Unternehmen steht, und das ist völlig in Ordnung. Der Unterschied liegt an einer Stelle, die man einer App von außen nicht ansieht.

Zwei BaFin-Warnungen an einem Tag: Was am 19. August 2026 zu Wallet-Angeboten mitgeteilt wurde

Die erste Mitteilung betrifft eine Website, auf der nach Erkenntnissen der Aufsicht Kryptowerte-Dienstleistungen ohne Erlaubnis angeboten werden. Die zweite betrifft zwei Websites und eine App; dort geben sich die Betreiber laut Mitteilung als eine Gesellschaft mit der Rechtsformbezeichnung LLC aus, die die App betreibe. Namen und Adressen stehen in den Mitteilungen der Aufsicht selbst, die frei zugänglich sind und hier verlinkt werden. Dieser Text nennt sie nicht, weil es ihm um das Muster geht und nicht um den Einzelfall.

Wichtig für die Einordnung ist, was so eine Mitteilung rechtlich bedeutet. Paragraf 10 Absatz 7 KMAG erlaubt der BaFin, die Öffentlichkeit unter Nennung des Namens zu informieren, wenn Tatsachen die Annahme rechtfertigen oder feststeht, dass ein Unternehmen unerlaubte Geschäfte betreibt. Der Wortlaut deckt ausdrücklich beides ab, den Verdacht und die Feststellung. Vor der Entscheidung ist das Unternehmen anzuhören, und stellt sich eine Veröffentlichung später als falsch heraus, muss die Aufsicht die Öffentlichkeit auf demselben Weg korrigieren. Eine Warnung ist also weder ein Urteil noch eine Beweisaufnahme, sondern eine Gefahrenabwehrmaßnahme mit eingebautem Rücknahmemechanismus.

Satz 2 derselben Vorschrift ist der interessantere Teil. Er greift auch dann, wenn ein Unternehmen die unerlaubten Geschäfte gar nicht erbringt, aber in der Öffentlichkeit den Anschein erweckt, es tue es. Für Wallet-Angebote ist das der praktisch häufigere Fall: Eine App, die verspricht, Guthaben zu verwahren und zu vermehren, muss dieses Guthaben nicht einmal wirklich halten, um unter die Vorschrift zu fallen.

Artikel 3 Nummer 17 MiCAR: Verwahrung ist die Kontrolle über die Mittel zum Zugang

Das Kryptomärkteaufsichtsgesetz ist kein eigenständiges Regelwerk. Sein Paragraf 1 sagt, dass es der Durchführung der Verordnung (EU) 2023/1114 dient, also der MiCA-Verordnung. Die materiellen Definitionen stehen dort, und eine davon entscheidet die ganze Frage.

Artikel 3 Absatz 1 Nummer 17 der Verordnung definiert die Verwahrung und Verwaltung von Kryptowerten für Kunden als die sichere Aufbewahrung oder Kontrolle von Kryptowerten oder der Mittel für den Zugang zu solchen Kryptowerten für Kunden, unter Umständen in Form privater kryptografischer Schlüssel. Dieser Satz enthält drei Weichen, und jede einzelne lohnt das Nachlesen.

Die erste Weiche ist das Wort Kontrolle. Es genügt, dass ein Anbieter die Kontrolle über die Zugangsmittel hat; er muss die Kryptowerte nicht selbst aufbewahren. Die zweite Weiche sind die Mittel für den Zugang. Nicht die Coins sind der Anknüpfungspunkt, sondern das, womit man an sie herankommt. Die dritte Weiche steckt in den zwei Wörtern für Kunden. Wer ausschließlich seine eigenen Bestände hält, verwahrt nichts für einen Kunden und erbringt damit keine Dienstleistung im Sinne der Verordnung.

Aus diesen drei Weichen folgt die Trennlinie, um die es in diesem Text geht. Eine Wallet, bei der allein du die Schlüssel hast und der Hersteller nur Software liefert, fällt nach dem Wortlaut nicht unter die Verwahrung, weil niemand für dich kontrolliert. Sobald jemand anderes die Zugangsmittel halten oder wiederherstellen kann, ist die Voraussetzung erfüllt.

Custodial oder non-custodial: Woran du erkennst, wer deine Schlüssel kontrolliert

Die Begriffe custodial und non-custodial stehen in keiner der beiden Vorschriften. Als Branchenjargon treffen sie aber genau die Unterscheidung, die die Verordnung trifft. Custodial heißt, der Anbieter hält die Zugangsmittel; non-custodial heißt, du hältst sie allein.

In der Praxis erkennst du den Unterschied an der Einrichtung. Eine Wallet, die dir bei der ersten Benutzung eine Wiederherstellungsphrase anzeigt und dich auffordert, sie außerhalb des Geräts zu notieren, übergibt dir damit die Zugangsmittel. Eine Anwendung, bei der du dich mit E-Mail-Adresse und Passwort anmeldest und nie eine solche Phrase zu sehen bekommst, hat die Zugangsmittel behalten. Der Wortschatz ist dabei kein verlässlicher Führer, denn das Wort Wallet ist nicht geschützt und wird für beides verwendet. Wer sich einen Überblick über die Bauarten verschaffen will, findet ihn im Vergleich der Software-Wallets.

Die Wiederherstellungsfrage: Warum eine Passwort-vergessen-Funktion die Erlaubnispflicht verrät

Es gibt einen einzigen Test, der in den allermeisten Fällen sofort Klarheit schafft, und er kostet keine Minute. Frag dich, was passiert, wenn du dein Passwort verlierst.

Kann der Anbieter dir den Zugang zurückgeben, dann muss er die Mittel für den Zugang haben oder rekonstruieren können. Genau das ist die Kontrolle aus Artikel 3 Nummer 17. Kann er es nicht und verweist auf deine Wiederherstellungsphrase, dann liegen die Zugangsmittel bei dir, und die Vorschrift greift insoweit nicht. Ein Anbieter, der eine bequeme Wiederherstellung bewirbt und gleichzeitig betont, er habe keinerlei Zugriff auf deine Guthaben, behauptet zwei Dinge, die sich schwer zugleich halten lassen. Diese Spannung ist der Punkt, an dem sich Nachfragen lohnt.

Artikel 3 Nummer 16 MiCAR: Die zehn Kryptowerte-Dienstleistungen im Überblick

Die Verwahrung ist nur der erste von zehn Punkten. Artikel 3 Absatz 1 Nummer 16 zählt abschließend auf, was als Kryptowerte-Dienstleistung gilt: die Verwahrung und Verwaltung von Kryptowerten für Kunden, der Betrieb einer Handelsplattform, der Tausch von Kryptowerten gegen einen Geldbetrag, der Tausch gegen andere Kryptowerte, die Ausführung von Aufträgen für Kunden, die Platzierung von Kryptowerten, die Annahme und Übermittlung von Aufträgen für Kunden, die Beratung zu Kryptowerten, die Portfolioverwaltung und die Erbringung von Transferdienstleistungen für Kunden.

Diese Liste ist für die Beurteilung einer Wallet-App wichtiger, als sie zunächst wirkt. Eine Anwendung kann bei der Verwahrung sauber sein und trotzdem eine Erlaubnis brauchen, weil sie eine der neun übrigen Tätigkeiten anbietet. Jede einzelne der zehn Positionen löst für sich genommen die Zulassungspflicht aus.

Tausch in der Wallet-App: Warum der eingebaute Swap eine eigene Dienstleistung ist

Der häufigste Fall in der Praxis ist die Tauschfunktion. Viele Wallets, die die Schlüssel korrekt beim Nutzer belassen, blenden eine Schaltfläche ein, mit der sich ein Token direkt gegen einen anderen wechseln lässt. Je nachdem, wie das technisch und vertraglich ausgestaltet ist, berührt das die Nummern c, d, e oder g aus der Liste des Artikels 3.

Für dich als Nutzer heißt das vor allem eines: Die Frage nach der Erlaubnis ist keine Frage über die App als Ganzes, sondern über jede Funktion einzeln. Eine Wallet kann in ihrem Kern unproblematisch sein und an der Kasse trotzdem etwas anbieten, wofür ein zugelassenes Unternehmen dahinterstehen müsste. Bei den großen Handelsplätzen ist das anders gelagert, weil dort die Zulassung von vornherein den ganzen Betrieb umfasst.

Artikel 59 MiCAR: Wer in der EU Kryptowerte-Dienstleistungen anbieten darf

Artikel 59 Absatz 1 der Verordnung formuliert das Verbot mit Erlaubnisvorbehalt. Eine Person darf in der Union Kryptowerte-Dienstleistungen nicht anbieten, sofern sie nicht entweder als Anbieter von Kryptowerte-Dienstleistungen nach Artikel 63 zugelassen wurde oder zu den in Artikel 60 genannten Instituten gehört, also etwa Kreditinstitut, Wertpapierfirma oder E-Geld-Institut ist und die Dienstleistungen aufgrund dieser Zulassung erbringen darf.

Es gibt damit zwei legale Wege und keinen dritten. Wer auf keinem der beiden steht und trotzdem eine der zehn Tätigkeiten anbietet, handelt unerlaubt. Das gilt unabhängig davon, wie sorgfältig die Software gebaut ist oder wie überzeugend die Website wirkt.

Sitz und Geschäftsleitung in der Union: Die Voraussetzung aus Artikel 59 Absatz 2

Absatz 2 derselben Vorschrift wird selten zitiert, taugt aber als schneller Plausibilitätstest. Zugelassene Anbieter müssen einen Sitz in einem Mitgliedstaat haben, in dem sie zumindest einen Teil ihrer Geschäfte ausführen. Ihr Ort der tatsächlichen Geschäftsführung muss in der Union liegen, und mindestens einer der Geschäftsführer muss in der Union ansässig sein.

Wenn ein Wallet-Anbieter im Impressum ausschließlich eine Gesellschaft in einem Drittstaat ausweist und sonst keine Anschrift in der Union nennt, dann passt das nicht zu den Voraussetzungen, die Artikel 59 Absatz 2 an eine Zulassung knüpft. Das ist noch kein Beweis für irgendetwas, aber es ist ein Anlass, in den Registern nachzusehen, statt sich auf den Auftritt zu verlassen.

Paragraf 9 KMAG: Was die BaFin bei unerlaubten Geschäften anordnen kann

Die deutsche Durchsetzung steht in Paragraf 9 des Kryptomärkteaufsichtsgesetzes, und die Überschrift lautet dort Einschreiten gegen unerlaubte Geschäfte. Nach Absatz 1 Satz 1 Nummer 3 kann die BaFin die sofortige Einstellung des Geschäftsbetriebs und die unverzügliche Abwicklung anordnen, wenn ohne die nach Artikel 59 Absatz 1 Buchstabe a der Verordnung erforderliche Zulassung Kryptowerte-Dienstleistungen angeboten werden.

Zwei Einzelheiten dieser Vorschrift sind für Betroffene erheblich. Erstens richten sich die Befugnisse nach Absatz 1 über das Unternehmen hinaus auch gegen seine Gesellschafter, gegen die Mitglieder seiner Organe und gegen Unternehmen, die in die Anbahnung, den Abschluss oder die Abwicklung solcher Geschäfte einbezogen sind. Zweitens kann die Aufsicht die Einstellung bereits dann anordnen, wenn Tatsachen die Annahme unerlaubter Geschäfte rechtfertigen. Den Nachweis muss sie also nicht abwarten. Paragraf 10 Absatz 8 erlaubt ihr zusätzlich, das Geschäft bis zur Klärung vorläufig zu untersagen.

Für dich als Nutzer bedeutet das etwas Unangenehmes, das in den Warnmeldungen selten steht: Wenn die Aufsicht einschreitet und einen Abwickler bestellt, ist dein Guthaben Teil einer Abwicklung. Das ist ein langwieriger Vorgang mit ungewissem Ausgang, und er beginnt in dem Moment, in dem der Anbieter den Betrieb einstellen muss.

Warum eine Warnung erst nach der Anhörung erscheint und was das für den Zeitverlauf heißt

Paragraf 10 Absatz 7 Satz 3 KMAG schreibt vor, dass das Unternehmen vor der Veröffentlichung anzuhören ist. Diese Anhörung braucht Zeit. Zwischen dem Moment, in dem ein Angebot am Markt auftaucht, und dem Moment, in dem eine Warnung erscheint, liegt deshalb zwangsläufig eine Spanne, in der die Aufsicht schon Kenntnis hat und die Öffentlichkeit noch nichts.

Daraus folgt der wichtigste Vorbehalt gegenüber jeder Warnliste. Enthalten kann sie nur, was bereits ermittelt und angehört wurde. Ein Angebot, das nicht auf der Liste steht, ist damit lediglich nicht Gegenstand einer abgeschlossenen Veröffentlichung. Geprüft und für gut befunden ist es deshalb noch lange nicht. Wie unvollständig solche Listen in der Praxis sind, zeigt der Blick auf die europäische Ebene, wo das ESMA-Register nicht konformer Anbieter ganz überwiegend von einer einzigen nationalen Behörde befüllt wird. Für die deutsche Seite hat die Auswertung der BaFin-Warnungen zu Krypto-Plattformreihen dasselbe Bild ergeben.

Die Unternehmensdatenbank hat eine Lücke: Warum ein fehlender Eintrag bei Self-Custody nichts bedeutet

Der Standardrat bei jedem Anbieter lautet, in der Unternehmensdatenbank der BaFin nachzusehen. Er ist richtig, aber er trifft bei Wallets auf eine Besonderheit, die ihn stumpf machen kann.

Eine Datenbank der zugelassenen Unternehmen listet Unternehmen mit Zulassung. Ein Hersteller einer reinen Self-Custody-Wallet braucht keine Zulassung und steht deshalb regelmäßig nicht darin. Sein Fehlen ist in diesem Fall die zu erwartende Folge davon, dass er nichts Erlaubnispflichtiges tut, und taugt nicht als Warnsignal. Umgekehrt ist das Fehlen eines Anbieters, der Verwahrung oder Tausch anbietet, ein sehr deutliches Signal.

Die Datenbankabfrage allein beantwortet die Frage also nicht. Aussagekräftig wird sie erst, wenn du vorher entschieden hast, in welche der beiden Kategorien das Angebot fällt. Diese Reihenfolge ist der eigentliche Ertrag dieses Textes: erst die Bauart bestimmen, dann prüfen. Wer es andersherum macht, zieht aus einem leeren Suchergebnis wahlweise die falsche Beruhigung oder den falschen Alarm.

Ein App-Store-Eintrag ist keine Zulassung: Was die Veröffentlichung einer App belegt

Dass eine App in einem der großen Stores verfügbar ist, sagt über ihre aufsichtsrechtliche Lage nichts aus. Die Store-Betreiber prüfen technische Richtlinien und formale Angaben; sie erteilen keine Erlaubnis nach Artikel 59 der Verordnung und sind dafür auch nicht zuständig. Eine der beiden Mitteilungen vom 19. August betrifft ausdrücklich auch eine App und nicht nur eine Website.

Dasselbe gilt für Bewertungen, Downloadzahlen und ein sauber gestaltetes Erscheinungsbild. Keines dieser Merkmale hat eine Entsprechung in den Vorschriften, um die es hier geht. Die Erlaubnis ist eine Eigenschaft des Unternehmens, nicht des Produkts.

Abgrenzung zur Sicherheitsfrage: Erlaubnis schützt nicht vor Schlüsselverlust

Zum Schluss eine Grenze, die dieser Text nicht überschreiten sollte. Die Erlaubnispflicht ist eine aufsichtsrechtliche Kategorie und keine Aussage über die technische Sicherheit einer Anwendung. Eine zugelassene Verwahrstelle kann angegriffen werden, und eine nicht erlaubnispflichtige Self-Custody-Wallet kann handwerklich hervorragend gebaut sein.

Die beiden Fragen liegen quer zueinander, und beide müssen beantwortet werden. Wer die Schlüssel selbst hält, trägt die Verantwortung für ihre Aufbewahrung allein. Wer sie abgibt, tauscht dieses Risiko gegen das Risiko ein, dass es dem Verwahrer schlecht ergeht. Die Zulassung sagt etwas über den zweiten Fall und nichts über den ersten.

Wallet-Erlaubnispflicht prüfen: Was du daraus mitnimmst

1. Bestimme zuerst die Bauart, dann prüfe. Stell die Passwort-Frage: Kann der Anbieter dir den Zugang zurückgeben, hat er die Mittel für den Zugang, und die Verwahrung nach Artikel 3 Nummer 17 der Verordnung ist im Spiel. Zeigt er dir eine Wiederherstellungsphrase und verweist im Verlustfall auf dich, liegen die Zugangsmittel bei dir. Welche Bauarten es gibt und wie sie sich unterscheiden, steht im Software-Wallet-Vergleich.
2. Prüfe jede Funktion einzeln, nicht die App als Ganzes. Artikel 3 Absatz 1 Nummer 16 zählt zehn Dienstleistungen auf, und jede löst die Zulassungspflicht für sich aus. Eine eingebaute Tauschfunktion ist der häufigste Fall. Bei Anbietern, deren Zulassung von vornherein den ganzen Betrieb umfasst, entfällt diese Einzelprüfung; eine Übersicht bieten die regulierten Krypto-Börsen.
3. Lies ein leeres Suchergebnis richtig. Steht ein Anbieter nicht in der Unternehmensdatenbank, heißt das bei einer reinen Self-Custody-Wallet nichts und bei einem Verwahr- oder Tauschangebot sehr viel. Prüfe zusätzlich, ob Sitz und Geschäftsführung in der Union liegen, wie es Artikel 59 Absatz 2 verlangt. Wenn du die Schlüssel selbst hältst, sichere sie nach den Bauarten aus dem Hardware-Wallet-Vergleich ab.

Die beiden Mitteilungen vom 19. August 2026 sind im Portal der Aufsicht abrufbar; eine davon ist hier veröffentlicht. Beschrieben sind dort Verdachtsfälle nach Paragraf 10 Absatz 7 KMAG und keine gerichtlich festgestellten Sachverhalte.

(Stand: 19. August 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)