DAC8-Meldepflicht: Was Institute seit 2026 an das BZSt melden müssen

Von der Richtlinie zum KStTG

Die Richtlinie (EU) 2023/2226 des Rates vom 17. Oktober 2023 ändert die Amtshilferichtlinie 2011/16/EU und wurde am 24. Oktober 2023 im Amtsblatt veröffentlicht. Die Mitgliedstaaten mussten sie bis zum 31. Dezember 2025 umsetzen, anzuwenden ist sie ab dem 1. Januar 2026. Inhaltlich beruht sie auf dem Crypto-Asset Reporting Framework der OECD. Den ersten Austausch zwischen den Mitgliedstaaten, der das Jahr 2026 betrifft, sieht die Europäische Kommission bis zum 30. September 2027 vor. Formate und Formulare für diesen Austausch regelt die Durchführungsverordnung (EU) 2025/2263.

In Deutschland erfolgt die Umsetzung durch das DAC8-Umsetzungsgesetz, ein Artikelgesetz, dessen Kern das Kryptowerte-Steuertransparenz-Gesetz bildet. Der Bundestag hat es am 6. November 2025 beschlossen, der Bundesrat am 19. Dezember 2025 zugestimmt. Das KStTG ist im Bundesgesetzblatt 2025 I Nr. 352 verkündet. Nach § 21 KStTG sind die Sorgfalts-, Melde- und weiteren Pflichten erstmals für das Kalenderjahr 2026 zu erfüllen. Das Umsetzungsgesetz ändert außerdem das Finanzkonten-Informationsaustauschgesetz, die Abgabenordnung und weitere Steuergesetze.

Wer unter die DAC8-Meldepflicht fällt

Meldepflichtig sind Anbieter, die Tauschgeschäfte für oder im Namen von Nutzern ermöglichen. Das KStTG unterscheidet zwei Gruppen. Kryptowerte-Dienstleister sind Anbieter im Sinne von Art. 3 Abs. 1 Nr. 15 MiCA; für sie gilt das Gesetz, wenn Deutschland Herkunftsmitgliedstaat ist. Dazu zählen nach Art. 59 MiCA auch Kreditinstitute, die Kryptowerte-Dienstleistungen nach Art. 60 MiCA erbringen. Kryptowerte-Betreiber sind Anbieter außerhalb des MiCA-Rahmens; sie unterliegen dem Gesetz etwa bei steuerlicher Ansässigkeit oder regelmäßiger Geschäftstätigkeit im Inland und müssen sich einmalig beim BZSt registrieren.

Der Begriff der Kryptowerte-Dienstleistungen reicht im KStTG über MiCA hinaus: § 1 Abs. 11 nennt ausdrücklich auch Staking und Lending. Wer seinen Kunden solche Leistungen anbietet, sollte prüfen, ob diese von den bestehenden Prozessen erfasst sind.

Meldepflichtig sind grundsätzlich alle Kryptowerte, ausgenommen digitales Zentralbankgeld, bestimmte E-Geld-Produkte und Kryptowerte, die nicht für Zahlungs- oder Investitionszwecke verwendet werden können. Nach Darstellung der Europäischen Kommission fallen Stablecoins einschließlich E-Geld-Token in den Anwendungsbereich der Richtlinie. Parallel wurde der Finanzkontenaustausch auf bestimmte E-Geld-Produkte und digitales Zentralbankgeld erweitert. Für Institute, die beide Meldeverfahren bedienen, ist die saubere Zuordnung einzelner Produkte daher eine eigene Aufgabe.

Was gemeldet wird

§ 11 KStTG legt den Inhalt der Meldung fest. Zum Anbieter selbst gehören Name, Anschrift, Steueridentifikationsnummer sowie gegebenenfalls Registriernummer und Legal Entity Identifier. Für jeden meldepflichtigen Nutzer sind die Identifikationsdaten aus der Selbstauskunft zu melden.

Den Kern bilden Transaktionsdaten, getrennt nach Art des Kryptowerts und Art der Transaktion. Für Erwerbe und Verkäufe gegen Fiat-Währung sind der aggregierte Bruttobetrag, die Anzahl der Einheiten und die Anzahl der Transaktionen anzugeben. Für Tauschvorgänge zwischen Kryptowerten gilt dasselbe auf Basis des beizulegenden Marktwerts. Hinzu kommen Übertragungen an und durch den Nutzer, aufgeschlüsselt nach Übertragungsart, soweit bekannt, sowie Übertragungen an Adressen, bei denen nicht bekannt ist, ob sie einem Anbieter oder Finanzinstitut zuzuordnen sind. Gesondert erfasst werden Massenzahlungstransaktionen, also Zahlungen mit Kryptowerten für Waren oder Dienstleistungen im Wert von mehr als 50.000 US-Dollar.

Gemeldet werden keine Gewinne, sondern Bruttowerte und Mengen. Marktwerte sind zum Zeitpunkt der Transaktion nach einer durchgängig angewandten Methode in eine einzige Fiat-Währung umzurechnen, die anzugeben ist. Für Banken bedeutet das, dass Bewertungsquellen und Umrechnungslogik nachvollziehbar dokumentiert sein müssen.

Sorgfaltspflichten und Selbstauskunft

Grundlage der Meldung ist die steuerliche Ansässigkeit des Nutzers. Anbieter müssen nach § 4 KStTG eine gültige Selbstauskunft einholen und ihre Plausibilität prüfen; dafür sind alle vorhandenen Informationen heranzuziehen, auch die Daten aus der Identifizierung nach dem Geldwäschegesetz. Ändern sich die Umstände, ist unverzüglich eine neue Selbstauskunft einzuholen. Bei Rechtsträgern sind zusätzlich die beherrschenden Personen festzustellen, sofern es sich nicht um einen aktiven Rechtsträger handelt (§ 5).

Die Fristen ergeben sich aus § 7 KStTG. Bei neuen Kunden müssen die Maßnahmen abgeschlossen sein, bevor meldepflichtige Transaktionen durchgeführt werden. Für Kunden, deren Geschäftsbeziehung bis zum 31. Dezember 2025 begonnen hat, gilt eine Frist bis zum 1. Januar 2027. Diese Frist läuft in wenigen Wochen ab.

Wirkt ein Bestandskunde nicht mit, schreibt § 8 KStTG ein gestuftes Vorgehen vor: Erinnerung, dann Mahnung und schließlich die Verhinderung meldepflichtiger Transaktionen. Diese Maßnahme darf frühestens 60 Tage und muss spätestens 90 Tage nach der ursprünglichen Aufforderung greifen. Sobald die Informationen vorliegen, kann die Geschäftsbeziehung normal fortgesetzt werden. Inhalt und Zeitpunkt jeder Stufe sind aufzuzeichnen.

Erleichternd wirkt § 4 Abs. 3 KStTG: Selbstauskünfte, die für andere steuerliche Zwecke eingeholt wurden, dürfen verwendet werden, wenn sie die Anforderungen des Gesetzes erfüllen. Finanzinstitute dürfen zudem auf ihre Sorgfaltsverfahren nach dem Finanzkonten-Informationsaustauschgesetz zurückgreifen. Für Banken, die ohnehin Selbstauskünfte für den Finanzkontenaustausch erheben, liegt hier erhebliches Synergiepotenzial.

Fristen, Aufzeichnungen und Bußgelder

Die Meldung erfolgt elektronisch an das Bundeszentralamt für Steuern über amtlich bestimmte Schnittstellen, jährlich bis zum 31. Juli für das vorangegangene Kalenderjahr (§§ 9, 10, 12 KStTG). Für das Jahr 2026 ergibt sich daraus der 31. Juli 2027. Unterbliebene Meldungen sind unverzüglich nachzuholen, fehlerhafte unverzüglich zu berichtigen. Vor der ersten Meldung sind die Nutzer darüber zu informieren, dass ihre Daten erhoben und gemeldet werden, und zwar so rechtzeitig, dass sie ihre Rechte wahrnehmen können (§ 13).

§ 14 KStTG verlangt umfangreiche Aufzeichnungen: eine Beschreibung der Prozesse zur Erfüllung der Sorgfalts- und Meldepflichten, die bis zum Ende des jeweiligen Meldezeitraums zu erstellen ist, Nachweise zu Selbstauskünften und Plausibilitätsprüfungen, die gemeldeten Informationen und die Dokumentation der Mitwirkungsdurchsetzung. Die Aufbewahrungsfrist beträgt zehn Jahre.

Verstöße gegen Sorgfalts-, Melde- und Registrierungspflichten können nach § 18 KStTG mit bis zu 50.000 Euro geahndet werden, Verstöße gegen Aufzeichnungspflichten mit bis zu 10.000 Euro. Zuständig ist das BZSt. Hat es gegen einen Anbieter bereits ein Bußgeld verhängt, informiert es die BaFin über jedes weitere.

Schnittstellen zu CRS und Geldwäsche

Für Banken liegt die eigentliche Herausforderung in der Integration. Selbstauskünfte nach dem Finanzkontenaustausch, Identifizierungsdaten nach dem Geldwäschegesetz und Transaktionsdaten aus dem Kryptogeschäft liegen häufig in getrennten Systemen. Das KStTG erlaubt ausdrücklich, auf vorhandene Informationen zurückzugreifen, verlangt aber eine konsistente Plausibilitätsprüfung. Widersprüche zwischen steuerlicher Selbstauskunft und KYC-Daten müssen auffallen und bearbeitet werden.

Auch die Transferdaten nach der Geldtransferverordnung, die wir im Beitrag zur Travel Rule für Kryptowerte beschreiben, können helfen, Übertragungen an eigene oder fremde Wallets zu klassifizieren. Die Meldepflicht für Übertragungen an Adressen ohne bekannten Anbieter knüpft genau an diese Information an.

Was Institute jetzt tun sollten

Vorrangig ist der Stand der Bestandskunden. Institute sollten prüfen, für wie viele Kunden mit Kryptobeziehung aus der Zeit vor 2026 eine gültige Selbstauskunft vorliegt, und die Eskalation nach § 8 KStTG so terminieren, dass die Frist zum 1. Januar 2027 eingehalten wird. Parallel ist die Prozessbeschreibung nach § 14 bis Ende 2026 fertigzustellen, weil sie für den Meldezeitraum 2026 vorliegen muss.

Für die erste Meldung im Juli 2027 sollten Datenquellen, Bewertungsmethodik und Schnittstelle zum BZSt rechtzeitig getestet werden. Und schließlich gehört die Kundenkommunikation auf die Agenda: Die Information nach § 13 KStTG und die Anforderung von Selbstauskünften wirken auf Kundenberatung und Service zurück, die erklären können sollten, warum diese Daten erhoben werden.

Wer Teams in Compliance, Steuerabteilung, Kundenberatung oder IT auf das Zusammenspiel von MiCA, Geldwäscherecht und steuerlicher Transparenz vorbereiten möchte, findet bei TheClueX funktionsbezogene Weiterbildungen. Einen Überblick geben das Grundlagentraining und die Zertifizierungen. Die Inhalte dienen dem fachlichen Verständnis und ersetzen keine Steuerberatung.

Häufige Fragen

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts-, Steuer- oder Anlageberatung im Einzelfall. Stand: 27. Oktober 2026.