Wer Kryptowerte für Kunden verwahrt, betreibt in Deutschland ein erlaubnispflichtiges Finanzdienstleistungsgeschäft. Seit die Kryptoverwahrung 2020 ausdrücklich in den Katalog des § 1 Abs. 1a Satz 2 Nr. 6 Kreditwesengesetz (KWG) aufgenommen wurde, benötigen Anbieter eine BaFin-Erlaubnis, bevor sie private Schlüssel für Dritte halten, sichern oder übertragen. Für Unternehmen, die Bitcoin, Ether oder Token als Betriebsvermögen halten oder für Kunden verwalten lassen wollen, ist das mehr als eine regulatorische Randnotiz: Es entscheidet darüber, ob im Ernstfall ein Aussonderungsrecht besteht oder die verwahrten Werte in der Insolvenzmasse des Anbieters verschwinden.
Der Rechtsrahmen: Kryptoverwahrung als eigener Erlaubnistatbestand
Das Kryptoverwahrgeschäft ist in § 1 Abs. 1a Satz 2 Nr. 6 KWG als „die Verwahrung, die Verwaltung und die Sicherung von Kryptowerten oder privaten kryptografischen Schlüsseln, die dazu dienen, Kryptowerte zu halten, zu speichern oder zu übertragen, für andere“ definiert. Der Gesetzgeber hat den Tatbestand bewusst technologieneutral formuliert, um sowohl klassische Custody-Wallets als auch neuere Verwahrmodelle wie Multi-Party-Computation oder Hardware-Security-Module zu erfassen. Kryptowerte selbst sind in § 1 Abs. 11 Satz 4 KWG als digitale Darstellung eines Werts definiert, der nicht von einer Zentralbank oder öffentlichen Stelle emittiert wird, aber aufgrund einer Vereinbarung als Tausch- oder Zahlungsmittel akzeptiert wird oder Anlagezwecken dient.
Anbieter, die diese Leistung erbringen, benötigen nach § 32 KWG eine Erlaubnis der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin). Wer ohne Erlaubnis tätig wird, begeht eine Straftat nach § 54 KWG; Verträge mit unerlaubt tätigen Anbietern sind zivilrechtlich zwar meist wirksam, begründen für Kunden aber ein erhebliches Risiko, weil aufsichtsrechtliche Schutzmechanismen fehlen. Die BaFin veröffentlicht eine Liste erlaubter Institute, deren Prüfung vor Vertragsschluss zum Pflichtprogramm gehört.
Warum Custody ein Treuhandgeschäft ist
Rechtlich betrachtet ähnelt die Kryptoverwahrung klassischen Treuhandkonstruktionen: Der Kunde bleibt wirtschaftlicher Berechtigter der Kryptowerte, während der Custodian die tatsächliche Verfügungsmacht über die privaten Schlüssel ausübt. Diese Trennung von rechtlicher Kontrolle und wirtschaftlicher Berechtigung ist das Kennzeichen jeder Treuhand – vergleichbar der Konstruktion, wie sie etwa im Treuhandkonto für Geldbeträge etabliert ist. Anders als beim klassischen Anderkonto gibt es bei Kryptowerten jedoch kein Pendant zur Bankeinlagensicherung; die Sicherheit hängt fast vollständig von der technischen und organisatorischen Ausgestaltung der Verwahrung ab.
Für die aufsichtsrechtliche Einordnung spielt es keine Rolle, ob der Anbieter die Schlüssel selbst technisch generiert oder im Auftrag des Kunden verwaltet. Entscheidend ist allein, dass ein Dritter die Kontrolle über die Schlüssel ausübt und damit faktisch über die Kryptowerte verfügen könnte. Genau dieses Kontrollverhältnis begründet die Treuhandnatur und rechtfertigt die besonders strengen Anforderungen an organisatorische Trennung und Dokumentation. Dass sich der Treuhandgedanke in der Digitalwirtschaft auch jenseits von Finanzwerten ausbreitet, zeigt das Modell des Datentreuhänders.
Die Erlaubnispflicht schützt nicht das Vertrauen in die Blockchain, sondern das Vertrauen in den Menschen, der den Schlüssel dazu verwahrt.
Segregation: Kundenvermögen getrennt vom Anbietervermögen
Kern der aufsichtsrechtlichen Anforderungen ist die Pflicht zur Vermögenstrennung. Kryptowerte von Kunden dürfen nicht mit den eigenen Beständen des Verwahrers vermischt werden – weder auf derselben Wallet-Adresse noch buchhalterisch. Die BaFin verlangt in ihrer Verwaltungspraxis eine lückenlose Zuordnung, welcher Kunde welchen Anteil an welchem Kryptowert hält, sowie geeignete technische und organisatorische Vorkehrungen gegen Verlust, Diebstahl oder unbefugten Zugriff. Üblich sind dabei Kombinationen aus Cold-Storage-Lösungen für den überwiegenden Bestand, Multi-Signatur-Verfahren mit mehreren unabhängigen Schlüsselinhabern und regelmäßigen externen Sicherheitsprüfungen.
Diese Segregation ist keine reine Formalität, sondern entscheidet im Insolvenzfall über Aussonderung nach § 47 Insolvenzordnung. Nur wenn die Kryptowerte eindeutig einem bestimmten Kunden zugeordnet werden können, besteht eine realistische Chance, sie aus der Insolvenzmasse des Custodians herauszulösen. Fehlt eine saubere Trennung, drohen Kunden lediglich einfache Insolvenzforderungen – mit entsprechend geringer Quote. Wer sich bereits mit der Sicherungstreuhand bei Kreditsicherheiten befasst hat, kennt dieses Grundmuster: Ohne klare Zuordnung nützt die schönste Treuhandabrede im Ernstfall wenig.
Worauf Unternehmen bei der Auswahl eines Custodians achten sollten
Bevor ein Unternehmen Kryptowerte einem externen Verwahrer anvertraut, sollte es mehrere Punkte systematisch prüfen. An erster Stelle steht der Nachweis der BaFin-Erlaubnis für das konkrete Kryptoverwahrgeschäft – nicht jede Finanzdienstleistungslizenz deckt automatisch auch Custody-Dienstleistungen ab. Die Erlaubnis sollte über das öffentlich einsehbare Unternehmensregister der BaFin verifiziert werden, nicht allein über Angaben auf der Website des Anbieters.
Zweitens sollten Unternehmen die vertragliche Ausgestaltung der Verwahrung genau lesen: Wird ein echtes Treuhandverhältnis mit klarer Zuordnung begründet, oder räumt der Anbieter sich Verfügungsrechte über die verwahrten Werte ein, etwa zur Weiterverleihung (Rehypothecation)? Solche Klauseln unterlaufen den Schutzzweck der Segregation und sollten kritisch hinterfragt werden. Drittens lohnt ein Blick auf die technische Sicherheitsarchitektur: Anteil der Bestände in Cold Storage, Verfahren bei Schlüsselverlust, Existenz und Ergebnisse unabhängiger Audits sowie Versicherungsschutz für Verwahrrisiken. Viertens sind Berichtspflichten und Prüfungsrechte relevant – ein seriöser Custodian legt regelmäßig Bestandsnachweise vor und lässt sich extern prüfen. Wer generell Kriterien für die Auswahl treuhänderisch tätiger Dienstleister sucht, findet in der Auseinandersetzung mit klassischen Treuhandthemen vergleichbare Prüfungsmaßstäbe, die sich auf den Krypto-Kontext übertragen lassen.
Grenzen und offene Fragen der Aufsicht
Die BaFin-Erlaubnis für das Kryptoverwahrgeschäft ist eine nationale Übergangslösung; mit der EU-Verordnung über Märkte für Kryptowerte (MiCAR) verschiebt sich die Zulassungsgrundlage für Anbieter von Kryptowerte-Dienstleistungen zunehmend auf europäisches Recht. Bestehende KWG-Erlaubnisse gelten während Übergangsfristen fort, Unternehmen sollten sich aber bei neuen Verträgen erkundigen, unter welchem Regime der jeweilige Anbieter aktuell und künftig reguliert wird. Zudem bleibt die aufsichtsrechtliche Einordnung bei komplexen Verwahrmodellen – etwa bei Staking-Diensten, die über reine Verwahrung hinausgehen – im Einzelfall klärungsbedürftig, sodass eine rechtliche Prüfung des konkreten Angebots ratsam bleibt.
Häufige Fragen
Braucht jeder Anbieter, der Wallets für Kunden anbietet, eine BaFin-Erlaubnis?
Grundsätzlich ja, sobald der Anbieter private Schlüssel für andere hält, sichert oder überträgt und damit tatsächliche Kontrolle über fremde Kryptowerte ausübt. Reine Software-Wallets ohne Zugriff auf die Schlüssel des Nutzers (Non-Custodial-Wallets) fallen dagegen nicht unter die Erlaubnispflicht.
Was passiert mit meinen Kryptowerten, wenn der Custodian insolvent wird?
Bei sauberer Segregation und eindeutiger Zuordnung besteht grundsätzlich ein Aussonderungsrecht nach § 47 InsO, sodass die Werte nicht in die Insolvenzmasse fallen. Ohne diese Trennung droht der Verlust der Werte beziehungsweise nur eine anteilige Insolvenzquote.
Ist eine BaFin-Erlaubnis eine Garantie gegen Verluste?
Nein. Die Erlaubnis bestätigt, dass der Anbieter aufsichtsrechtliche Mindestanforderungen an Organisation, Eigenkapital und Sicherheit erfüllt. Sie ersetzt weder eine Einlagensicherung noch schützt sie vor Marktrisiken der verwahrten Kryptowerte selbst.
