Wallet-App ohne BaFin-Erlaubnis: Wann die Verwahrung von Kryptowerten eine Zulassung braucht

Die BaFin hat am 19. August 2026 gleich zwei Verbrauchermitteilungen zu Angeboten veroeffentlicht, die sich als Wallet praesentieren. In einem Fall geht es um eine Website, in dem anderen um eine Website samt einer App, die unter einem eigenen Produktnamen in den ueblichen Stores auftaucht. Die Aufsicht schreibt in beiden Faellen, dass die Betreiber nach ihren Erkenntnissen ohne die erforderliche Erlaubnis taetig sind und nicht von ihr beaufsichtigt werden. In einem der beiden Faelle ermittelt sie gegen unbekannte Betreiber.

Beide Mitteilungen stuetzen sich auf dieselbe Vorschrift, naemlich Paragraf 10 Absatz 7 des Kryptomaerkteaufsichtsgesetzes. Und beide werfen dieselbe Frage auf, die in der Berichterstattung ueber solche Warnungen fast immer untergeht: Ab wann braucht eine Wallet ueberhaupt eine Erlaubnis? Die Antwort ist nicht offensichtlich, denn Millionen Menschen benutzen Wallet-Software, hinter der kein zugelassenes Unternehmen steht, und das ist voellig in Ordnung. Der Unterschied liegt an einer Stelle, die man einer App von aussen nicht ansieht.

Zwei BaFin-Warnungen an einem Tag: Was am 19. August 2026 zu Wallet-Angeboten mitgeteilt wurde

Die erste Mitteilung betrifft eine Website, auf der nach Erkenntnissen der Aufsicht Kryptowerte-Dienstleistungen ohne Erlaubnis angeboten werden. Die zweite betrifft zwei Websites und eine App; dort geben sich die Betreiber laut Mitteilung als eine Gesellschaft mit der Rechtsformbezeichnung LLC aus, die die App betreibe. Namen und Adressen stehen in den Mitteilungen der Aufsicht selbst, die frei zugaenglich sind und hier verlinkt werden. Dieser Text nennt sie nicht, weil es ihm um das Muster geht und nicht um den Einzelfall.

Wichtig fuer die Einordnung ist, was so eine Mitteilung rechtlich bedeutet. Paragraf 10 Absatz 7 KMAG erlaubt der BaFin, die Oeffentlichkeit unter Nennung des Namens zu informieren, wenn Tatsachen die Annahme rechtfertigen oder feststeht, dass ein Unternehmen unerlaubte Geschaefte betreibt. Der Wortlaut deckt ausdruecklich beides ab, den Verdacht und die Feststellung. Vor der Entscheidung ist das Unternehmen anzuhoeren, und stellt sich eine Veroeffentlichung spaeter als falsch heraus, muss die Aufsicht die Oeffentlichkeit auf demselben Weg korrigieren. Eine Warnung ist also weder ein Urteil noch eine Beweisaufnahme, sondern eine Gefahrenabwehrmassnahme mit eingebautem Ruecknahmemechanismus.

Satz 2 derselben Vorschrift ist der interessantere Teil. Er greift auch dann, wenn ein Unternehmen die unerlaubten Geschaefte gar nicht erbringt, aber in der Oeffentlichkeit den Anschein erweckt, es tue es. Fuer Wallet-Angebote ist das der praktisch haeufigere Fall: Eine App, die verspricht, Guthaben zu verwahren und zu vermehren, muss dieses Guthaben nicht einmal wirklich halten, um unter die Vorschrift zu fallen.

Artikel 3 Nummer 17 MiCAR: Verwahrung ist die Kontrolle ueber die Mittel zum Zugang

Das Kryptomaerkteaufsichtsgesetz ist kein eigenstaendiges Regelwerk. Sein Paragraf 1 sagt, dass es der Durchfuehrung der Verordnung (EU) 2023/1114 dient, also der MiCA-Verordnung. Die materiellen Definitionen stehen dort, und eine davon entscheidet die ganze Frage.

Artikel 3 Absatz 1 Nummer 17 der Verordnung definiert die Verwahrung und Verwaltung von Kryptowerten fuer Kunden als die sichere Aufbewahrung oder Kontrolle von Kryptowerten oder der Mittel fuer den Zugang zu solchen Kryptowerten fuer Kunden, unter Umstaenden in Form privater kryptografischer Schluessel. Dieser Satz enthaelt drei Weichen, und jede einzelne lohnt das Nachlesen.

Die erste Weiche ist das Wort Kontrolle. Es genuegt, dass ein Anbieter die Kontrolle ueber die Zugangsmittel hat; er muss die Kryptowerte nicht selbst aufbewahren. Die zweite Weiche sind die Mittel fuer den Zugang. Nicht die Coins sind der Anknuepfungspunkt, sondern das, womit man an sie herankommt. Die dritte Weiche steckt in den zwei Woertern fuer Kunden. Wer ausschliesslich seine eigenen Bestaende haelt, verwahrt nichts fuer einen Kunden und erbringt damit keine Dienstleistung im Sinne der Verordnung.

Aus diesen drei Weichen folgt die Trennlinie, um die es in diesem Text geht. Eine Wallet, bei der allein du die Schluessel hast und der Hersteller nur Software liefert, faellt nach dem Wortlaut nicht unter die Verwahrung, weil niemand fuer dich kontrolliert. Sobald jemand anderes die Zugangsmittel halten oder wiederherstellen kann, ist die Voraussetzung erfuellt.

Custodial oder non-custodial: Woran du erkennst, wer deine Schluessel kontrolliert

Die Begriffe custodial und non-custodial stehen in keiner der beiden Vorschriften. Als Branchenjargon treffen sie aber genau die Unterscheidung, die die Verordnung trifft. Custodial heisst, der Anbieter haelt die Zugangsmittel; non-custodial heisst, du haeltst sie allein.

In der Praxis erkennst du den Unterschied an der Einrichtung. Eine Wallet, die dir bei der ersten Benutzung eine Wiederherstellungsphrase anzeigt und dich auffordert, sie ausserhalb des Geraets zu notieren, uebergibt dir damit die Zugangsmittel. Eine Anwendung, bei der du dich mit E-Mail-Adresse und Passwort anmeldest und nie eine solche Phrase zu sehen bekommst, hat die Zugangsmittel behalten. Der Wortschatz ist dabei kein verlaesslicher Fuehrer, denn das Wort Wallet ist nicht geschuetzt und wird fuer beides verwendet. Wer sich einen Ueberblick ueber die Bauarten verschaffen will, findet ihn im Vergleich der Software-Wallets.

Die Wiederherstellungsfrage: Warum eine Passwort-vergessen-Funktion die Erlaubnispflicht verraet

Es gibt einen einzigen Test, der in den allermeisten Faellen sofort Klarheit schafft, und er kostet keine Minute. Frag dich, was passiert, wenn du dein Passwort verlierst.

Kann der Anbieter dir den Zugang zurueckgeben, dann muss er die Mittel fuer den Zugang haben oder rekonstruieren koennen. Genau das ist die Kontrolle aus Artikel 3 Nummer 17. Kann er es nicht und verweist auf deine Wiederherstellungsphrase, dann liegen die Zugangsmittel bei dir, und die Vorschrift greift insoweit nicht. Ein Anbieter, der eine bequeme Wiederherstellung bewirbt und gleichzeitig betont, er habe keinerlei Zugriff auf deine Guthaben, behauptet zwei Dinge, die sich schwer zugleich halten lassen. Diese Spannung ist der Punkt, an dem sich Nachfragen lohnt.

Artikel 3 Nummer 16 MiCAR: Die zehn Kryptowerte-Dienstleistungen im Ueberblick

Die Verwahrung ist nur der erste von zehn Punkten. Artikel 3 Absatz 1 Nummer 16 zaehlt abschliessend auf, was als Kryptowerte-Dienstleistung gilt: die Verwahrung und Verwaltung von Kryptowerten fuer Kunden, der Betrieb einer Handelsplattform, der Tausch von Kryptowerten gegen einen Geldbetrag, der Tausch gegen andere Kryptowerte, die Ausfuehrung von Auftraegen fuer Kunden, die Platzierung von Kryptowerten, die Annahme und Uebermittlung von Auftraegen fuer Kunden, die Beratung zu Kryptowerten, die Portfolioverwaltung und die Erbringung von Transferdienstleistungen fuer Kunden.

Diese Liste ist fuer die Beurteilung einer Wallet-App wichtiger, als sie zunaechst wirkt. Eine Anwendung kann bei der Verwahrung sauber sein und trotzdem eine Erlaubnis brauchen, weil sie eine der neun uebrigen Taetigkeiten anbietet. Jede einzelne der zehn Positionen loest fuer sich genommen die Zulassungspflicht aus.

Tausch in der Wallet-App: Warum der eingebaute Swap eine eigene Dienstleistung ist

Der haeufigste Fall in der Praxis ist die Tauschfunktion. Viele Wallets, die die Schluessel korrekt beim Nutzer belassen, blenden eine Schaltflaeche ein, mit der sich ein Token direkt gegen einen anderen wechseln laesst. Je nachdem, wie das technisch und vertraglich ausgestaltet ist, beruehrt das die Nummern c, d, e oder g aus der Liste des Artikels 3.

Fuer dich als Nutzer heisst das vor allem eines: Die Frage nach der Erlaubnis ist keine Frage ueber die App als Ganzes, sondern ueber jede Funktion einzeln. Eine Wallet kann in ihrem Kern unproblematisch sein und an der Kasse trotzdem etwas anbieten, wofuer ein zugelassenes Unternehmen dahinterstehen muesste. Bei den grossen Handelsplaetzen ist das anders gelagert, weil dort die Zulassung von vornherein den ganzen Betrieb umfasst.

Artikel 59 MiCAR: Wer in der EU Kryptowerte-Dienstleistungen anbieten darf

Artikel 59 Absatz 1 der Verordnung formuliert das Verbot mit Erlaubnisvorbehalt. Eine Person darf in der Union Kryptowerte-Dienstleistungen nicht anbieten, sofern sie nicht entweder als Anbieter von Kryptowerte-Dienstleistungen nach Artikel 63 zugelassen wurde oder zu den in Artikel 60 genannten Instituten gehoert, also etwa Kreditinstitut, Wertpapierfirma oder E-Geld-Institut ist und die Dienstleistungen aufgrund dieser Zulassung erbringen darf.

Es gibt damit zwei legale Wege und keinen dritten. Wer auf keinem der beiden steht und trotzdem eine der zehn Taetigkeiten anbietet, handelt unerlaubt. Das gilt unabhaengig davon, wie sorgfaeltig die Software gebaut ist oder wie ueberzeugend die Website wirkt.

Sitz und Geschaeftsleitung in der Union: Die Voraussetzung aus Artikel 59 Absatz 2

Absatz 2 derselben Vorschrift wird selten zitiert, taugt aber als schneller Plausibilitaetstest. Zugelassene Anbieter muessen einen Sitz in einem Mitgliedstaat haben, in dem sie zumindest einen Teil ihrer Geschaefte ausfuehren. Ihr Ort der tatsaechlichen Geschaeftsfuehrung muss in der Union liegen, und mindestens einer der Geschaeftsfuehrer muss in der Union ansaessig sein.

Wenn ein Wallet-Anbieter im Impressum ausschliesslich eine Gesellschaft in einem Drittstaat ausweist und sonst keine Anschrift in der Union nennt, dann passt das nicht zu den Voraussetzungen, die Artikel 59 Absatz 2 an eine Zulassung knuepft. Das ist noch kein Beweis fuer irgendetwas, aber es ist ein Anlass, in den Registern nachzusehen, statt sich auf den Auftritt zu verlassen.

Paragraf 9 KMAG: Was die BaFin bei unerlaubten Geschaeften anordnen kann

Die deutsche Durchsetzung steht in Paragraf 9 des Kryptomaerkteaufsichtsgesetzes, und die Ueberschrift lautet dort Einschreiten gegen unerlaubte Geschaefte. Nach Absatz 1 Satz 1 Nummer 3 kann die BaFin die sofortige Einstellung des Geschaeftsbetriebs und die unverzuegliche Abwicklung anordnen, wenn ohne die nach Artikel 59 Absatz 1 Buchstabe a der Verordnung erforderliche Zulassung Kryptowerte-Dienstleistungen angeboten werden.

Zwei Einzelheiten dieser Vorschrift sind fuer Betroffene erheblich. Erstens richten sich die Befugnisse nach Absatz 1 ueber das Unternehmen hinaus auch gegen seine Gesellschafter, gegen die Mitglieder seiner Organe und gegen Unternehmen, die in die Anbahnung, den Abschluss oder die Abwicklung solcher Geschaefte einbezogen sind. Zweitens kann die Aufsicht die Einstellung bereits dann anordnen, wenn Tatsachen die Annahme unerlaubter Geschaefte rechtfertigen. Den Nachweis muss sie also nicht abwarten. Paragraf 10 Absatz 8 erlaubt ihr zusaetzlich, das Geschaeft bis zur Klaerung vorlaeufig zu untersagen.

Fuer dich als Nutzer bedeutet das etwas Unangenehmes, das in den Warnmeldungen selten steht: Wenn die Aufsicht einschreitet und einen Abwickler bestellt, ist dein Guthaben Teil einer Abwicklung. Das ist ein langwieriger Vorgang mit ungewissem Ausgang, und er beginnt in dem Moment, in dem der Anbieter den Betrieb einstellen muss.

Warum eine Warnung erst nach der Anhoerung erscheint und was das fuer den Zeitverlauf heisst

Paragraf 10 Absatz 7 Satz 3 KMAG schreibt vor, dass das Unternehmen vor der Veroeffentlichung anzuhoeren ist. Diese Anhoerung braucht Zeit. Zwischen dem Moment, in dem ein Angebot am Markt auftaucht, und dem Moment, in dem eine Warnung erscheint, liegt deshalb zwangslaeufig eine Spanne, in der die Aufsicht schon Kenntnis hat und die Oeffentlichkeit noch nichts.

Daraus folgt der wichtigste Vorbehalt gegenueber jeder Warnliste. Enthalten kann sie nur, was bereits ermittelt und angehoert wurde. Ein Angebot, das nicht auf der Liste steht, ist damit lediglich nicht Gegenstand einer abgeschlossenen Veroeffentlichung. Geprueft und fuer gut befunden ist es deshalb noch lange nicht. Wie unvollstaendig solche Listen in der Praxis sind, zeigt der Blick auf die europaeische Ebene, wo das ESMA-Register nicht konformer Anbieter ganz ueberwiegend von einer einzigen nationalen Behoerde befuellt wird. Fuer die deutsche Seite hat die Auswertung der BaFin-Warnungen zu Krypto-Plattformreihen dasselbe Bild ergeben.

Die Unternehmensdatenbank hat eine Luecke: Warum ein fehlender Eintrag bei Self-Custody nichts bedeutet

Der Standardrat bei jedem Anbieter lautet, in der Unternehmensdatenbank der BaFin nachzusehen. Er ist richtig, aber er trifft bei Wallets auf eine Besonderheit, die ihn stumpf machen kann.

Eine Datenbank der zugelassenen Unternehmen listet Unternehmen mit Zulassung. Ein Hersteller einer reinen Self-Custody-Wallet braucht keine Zulassung und steht deshalb regelmaessig nicht darin. Sein Fehlen ist in diesem Fall die zu erwartende Folge davon, dass er nichts Erlaubnispflichtiges tut, und taugt nicht als Warnsignal. Umgekehrt ist das Fehlen eines Anbieters, der Verwahrung oder Tausch anbietet, ein sehr deutliches Signal.

Die Datenbankabfrage allein beantwortet die Frage also nicht. Aussagekraeftig wird sie erst, wenn du vorher entschieden hast, in welche der beiden Kategorien das Angebot faellt. Diese Reihenfolge ist der eigentliche Ertrag dieses Textes: erst die Bauart bestimmen, dann pruefen. Wer es andersherum macht, zieht aus einem leeren Suchergebnis wahlweise die falsche Beruhigung oder den falschen Alarm.

Ein App-Store-Eintrag ist keine Zulassung: Was die Veroeffentlichung einer App belegt

Dass eine App in einem der grossen Stores verfuegbar ist, sagt ueber ihre aufsichtsrechtliche Lage nichts aus. Die Store-Betreiber pruefen technische Richtlinien und formale Angaben; sie erteilen keine Erlaubnis nach Artikel 59 der Verordnung und sind dafuer auch nicht zustaendig. Eine der beiden Mitteilungen vom 19. August betrifft ausdruecklich auch eine App und nicht nur eine Website.

Dasselbe gilt fuer Bewertungen, Downloadzahlen und ein sauber gestaltetes Erscheinungsbild. Keines dieser Merkmale hat eine Entsprechung in den Vorschriften, um die es hier geht. Die Erlaubnis ist eine Eigenschaft des Unternehmens, nicht des Produkts.

Abgrenzung zur Sicherheitsfrage: Erlaubnis schuetzt nicht vor Schluesselverlust

Zum Schluss eine Grenze, die dieser Text nicht ueberschreiten sollte. Die Erlaubnispflicht ist eine aufsichtsrechtliche Kategorie und keine Aussage ueber die technische Sicherheit einer Anwendung. Eine zugelassene Verwahrstelle kann angegriffen werden, und eine nicht erlaubnispflichtige Self-Custody-Wallet kann handwerklich hervorragend gebaut sein.

Die beiden Fragen liegen quer zueinander, und beide muessen beantwortet werden. Wer die Schluessel selbst haelt, traegt die Verantwortung fuer ihre Aufbewahrung allein. Wer sie abgibt, tauscht dieses Risiko gegen das Risiko ein, dass es dem Verwahrer schlecht ergeht. Die Zulassung sagt etwas ueber den zweiten Fall und nichts ueber den ersten.

Wallet-Erlaubnispflicht pruefen: Was du daraus mitnimmst

1. Bestimme zuerst die Bauart, dann pruefe. Stell die Passwort-Frage: Kann der Anbieter dir den Zugang zurueckgeben, hat er die Mittel fuer den Zugang, und die Verwahrung nach Artikel 3 Nummer 17 der Verordnung ist im Spiel. Zeigt er dir eine Wiederherstellungsphrase und verweist im Verlustfall auf dich, liegen die Zugangsmittel bei dir. Welche Bauarten es gibt und wie sie sich unterscheiden, steht im Software-Wallet-Vergleich.
2. Pruefe jede Funktion einzeln, nicht die App als Ganzes. Artikel 3 Absatz 1 Nummer 16 zaehlt zehn Dienstleistungen auf, und jede loest die Zulassungspflicht fuer sich aus. Eine eingebaute Tauschfunktion ist der haeufigste Fall. Bei Anbietern, deren Zulassung von vornherein den ganzen Betrieb umfasst, entfaellt diese Einzelpruefung; eine Uebersicht bieten die regulierten Krypto-Boersen.
3. Lies ein leeres Suchergebnis richtig. Steht ein Anbieter nicht in der Unternehmensdatenbank, heisst das bei einer reinen Self-Custody-Wallet nichts und bei einem Verwahr- oder Tauschangebot sehr viel. Pruefe zusaetzlich, ob Sitz und Geschaeftsfuehrung in der Union liegen, wie es Artikel 59 Absatz 2 verlangt. Wenn du die Schluessel selbst haeltst, sichere sie nach den Bauarten aus dem Hardware-Wallet-Vergleich ab.

Die beiden Mitteilungen vom 19. August 2026 sind im Portal der Aufsicht abrufbar; eine davon ist hier veroeffentlicht. Beschrieben sind dort Verdachtsfaelle nach Paragraf 10 Absatz 7 KMAG und keine gerichtlich festgestellten Sachverhalte.

(Stand: 19. August 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebuehrenmodelle aendern sich; pruefe die Konditionen vor jedem Kauf beim Anbieter selbst.)