Krypto-Strategie für Banken: Make, Buy oder Partner und Governance

Krypto-Strategie für Banken: Geschäftsmodelle

Am Anfang steht die Frage, welche Rolle das Institut im Kryptomarkt einnehmen will. Die Optionen unterscheiden sich in Kapitalbedarf, Betriebsaufwand und Risiko.

Das Angebot von Kauf und Verkauf für Privatkunden über die Banking-App ist das sichtbarste Modell. Es umfasst regelmäßig mehrere Kryptowerte-Dienstleistungen im Sinne von MiCA, etwa die Annahme und Übermittlung von Aufträgen, die Ausführung von Aufträgen und die Verwahrung. Die Verwahrung für institutionelle Kunden ist ein eigenständiges Geschäftsfeld mit hohen technischen Anforderungen. Beratung und Vermögensverwaltung mit Kryptowerten setzen eine Geeignetheitsprüfung nach Art. 81 MiCA voraus. Der Vertrieb von Krypto-ETPs schließlich fällt nicht unter MiCA, sondern unter MiFID II, weil es sich um Finanzinstrumente handelt.

Viele Institute kombinieren diese Bausteine. Eine klare Priorisierung ist dennoch nötig, weil jeder Baustein eigene Prozesse, Kontrollen und Kompetenzen erfordert.

Make, Buy oder Partner

Make: eigene Infrastruktur

Beim Eigenbau entwickelt und betreibt das Institut Handel, Verwahrung und Schlüsselverwaltung selbst. Es hat die volle Kontrolle über Kundenerlebnis, Daten und Produktumfang. Dem stehen erheblicher Investitionsbedarf, lange Vorlaufzeiten und ein dauerhafter Bedarf an spezialisiertem Personal gegenüber. Für die meisten Häuser ist dieser Weg nur in Teilbereichen realistisch, etwa wenn die Verwahrung strategisch zum Kerngeschäft gehören soll.

Buy: eingekaufte Technologie

Im Buy-Modell lizenziert das Institut Technologie, etwa Software für Wallets und Schlüsselverwaltung, und betreibt die Dienstleistung selbst. Es bleibt regulatorisch der Anbieter der Kryptowerte-Dienstleistung und muss die Anzeige nach Art. 60 MiCA abgeben. Die Abhängigkeit vom Technologielieferanten ist als IKT-Drittparteienrisiko nach der Verordnung (EU) 2022/2554 (DORA) zu steuern, die seit dem 17. Januar 2025 gilt.

Partner: Kooperation mit einem zugelassenen Anbieter

Im Partnermodell arbeitet das Institut mit einem Anbieter zusammen, der selbst über eine MiCA-Zulassung verfügt. Die Ausgestaltung reicht von einem reinen Zugang zur Plattform des Partners bis zu einer integrierten Lösung in der eigenen App, bei der der Partner Ausführung und Verwahrung übernimmt. Gerade in den Verbünden bieten sich solche arbeitsteiligen Modelle an. Der Genoverband berichtete im September 2025, dass sich 71 Prozent der Volks- und Raiffeisenbanken in seinem Verbandsgebiet mit der Umsetzung der von der DZ BANK angebotenen Lösung für den Kryptohandel befassen wollten. Die Entscheidung über die Freischaltung trifft dort jede Bank selbst.

Entscheidend ist eine saubere rechtliche Einordnung: Welche Dienstleistungen erbringt das Institut selbst, welche der Partner? Erbringt das Institut gegenüber dem Kunden etwa die Annahme und Übermittlung von Aufträgen, braucht es dafür eine eigene Grundlage nach MiCA. Lagert es Funktionen aus, gelten Art. 73 MiCA zur Auslagerung, die bankaufsichtlichen Auslagerungsregeln und DORA. Die Verantwortung gegenüber Kunden und Aufsicht bleibt in jedem Fall beim Institut.

Regulatorische Leitplanken

Anzeigeverfahren nach Art. 60 MiCA

Kreditinstitute benötigen keine gesonderte Zulassung als Anbieter von Kryptowerte-Dienstleistungen. Sie müssen der zuständigen Behörde nach Art. 60 Abs. 1 MiCA jedoch spätestens 40 Arbeitstage vor der erstmaligen Erbringung die Informationen nach Abs. 7 übermitteln. Dazu gehören ein Geschäftsplan, die Beschreibung der Geldwäsche-Kontrollen, die technische Dokumentation der IKT-Systeme, Verfahren zur Trennung von Kundenvermögen und, je nach Dienstleistung, Verwahrungsgrundsätze oder Nachweise zur Sachkunde des Personals. In Deutschland ist die Anzeige an die BaFin und die zuständige Hauptverwaltung der Bundesbank zu richten. Die Einzelheiten beschreibt unser Beitrag zum Anzeigeverfahren für Banken.

Wichtig für die Planung: Art. 60 Abs. 10 befreit Kreditinstitute nur von bestimmten Zulassungsvorschriften. Die organisatorischen Anforderungen nach Art. 68 MiCA, die Verwahrungspflichten und die Wohlverhaltensregeln gelten. Für Kryptotransfers ist zudem die Verordnung (EU) 2023/1113 mit der Travel Rule zu beachten, siehe unseren Beitrag zur Travel Rule bei Kryptowerten.

Eigenkapital nach Art. 501d CRR

Wer Kryptowerte nicht nur für Kunden verwahrt, sondern selbst Positionen eingeht, muss die Eigenkapitalfolgen kennen. Art. 501d CRR, eingeführt durch die Verordnung (EU) 2024/1623, sieht eine Übergangsbehandlung vor, bis eine eigene europäische Regelung gilt. Danach erhalten ungedeckte Kryptowerte wie Bitcoin ein Risikogewicht von 1.250 Prozent. Das Gesamtengagement in diese Kategorie soll 1 Prozent des Kernkapitals nicht übersteigen. Der Basler Ausschuss überprüft seinen 2022 verabschiedeten und 2024 angepassten Standard derzeit beschleunigt in ausgewählten Punkten und hat für Ende 2026 ein Update angekündigt. Strategien, die eigene Bestände vorsehen, sollten daher mit Szenarien für unterschiedliche Kapitalregeln arbeiten.

Risikoappetit festlegen

Ein belastbarer Risikoappetit beantwortet mehr als die Frage nach dem Eigenkapital. Er legt fest, welche Kryptowerte das Haus anbietet und nach welchen Kriterien neue aufgenommen werden. Er bestimmt, ob das Institut nur im Kundenauftrag handelt oder eigene Bestände hält. Er definiert Toleranzen für operationelle Risiken der Verwahrung, für Reputationsrisiken und für Geldwäscherisiken.

In Deutschland verlangen die MaRisk für neue Produkte und Märkte einen Neu-Produkt-Prozess nach AT 8.1 mit Einbindung von Risikocontrolling, Compliance und Interner Revision. Der Einstieg in Kryptowerte ist ein klassischer Anwendungsfall. Der Prozess wird nur dann aussagekräftig, wenn die beteiligten Funktionen die Risiken fachlich beurteilen können.

Besondere Aufmerksamkeit verdienen die Geldwäscherisiken. Kryptotransfers erfordern eine Analyse der Gegenparteien und Herkunft von Mitteln, die sich von klassischen Zahlungsverkehrskontrollen unterscheidet. Seit dem 30. Dezember 2024 gilt zudem die Geldtransferverordnung (EU) 2023/1113 auch für Kryptowertetransfers. Ein Risikoappetit, der Transfers zu und von selbst gehosteten Wallets zulässt, muss die dafür nötigen Kontrollen mitdenken. Ebenso gehört eine Ausstiegsstrategie in den Risikoappetit: Unter welchen Bedingungen stellt das Institut einen Kryptowert oder das gesamte Angebot ein, und wie werden Kundenbestände dann geordnet übertragen oder veräußert? Diese Fragen vorab zu beantworten, schützt Kunden und Reputation.

Governance und Verantwortung des Vorstands

Die Geschäftsleitung trägt die Gesamtverantwortung für die ordnungsgemäße Geschäftsorganisation und das Risikomanagement. Das gilt nach § 25c KWG und MaRisk AT 3 ebenso wie nach Art. 68 MiCA. Dort wird verlangt, dass die Mitglieder des Leitungsorgans einzeln und gemeinsam über angemessene Kenntnisse, Fähigkeiten und Erfahrung verfügen. Das Leitungsorgan muss zudem die Wirksamkeit der Strategien und Verfahren regelmäßig bewerten und Mängel beheben.

Für die Krypto-Strategie heißt das konkret: Die Entscheidung über das Geschäftsmodell gehört in den Vorstand, nicht in ein Projektteam. Der Vorstand sollte eine klare Zuständigkeit im Gremium festlegen, ein regelmäßiges Reporting zu Volumen, Vorfällen, Beschwerden und Partnerleistung einfordern und Eskalationswege definieren. Aufsichtsrat oder Verwaltungsrat sollten so informiert sein, dass sie die Strategie hinterfragen können.

Ein häufiger Schwachpunkt im Partnermodell ist die Annahme, mit der Auslagerung gehe die Verantwortung über. Das Gegenteil ist der Fall. Der Vorstand muss sicherstellen, dass das Institut den Partner wirksam steuern und überwachen kann. Dazu gehören Prüfrechte, Ausstiegsstrategien und die Fähigkeit, Leistungen bei Bedarf zu wechseln.

Kompetenzaufbau als Voraussetzung

MiCA verlangt nach Art. 68 Abs. 5, dass das Personal über die für seine Aufgaben erforderlichen Kenntnisse und Fachkenntnisse verfügt. Für die Beratung konkretisiert Art. 81 Abs. 7 diese Anforderung. Kompetenz ist aber nicht nur eine Pflicht für die Kundenberatung. Compliance muss Geldwäscherisiken von Krypto-Transaktionen bewerten, die Revision muss Verwahrungsprozesse prüfen, die IT muss Schlüsselverwaltung verstehen, und der Vorstand muss die Strategie verantworten können.

Sinnvoll ist ein gestufter Aufbau: ein gemeinsames Grundlagenverständnis im gesamten Haus, funktionsspezifische Vertiefung für die direkt beteiligten Bereiche und ein eigenes Format für Vorstand und Aufsichtsorgan, das sich auf Strategie, Risiko und Steuerung konzentriert.

Was Institute jetzt tun sollten

Klären Sie zunächst im Vorstand, welche Rolle das Haus im Kryptomarkt einnehmen will und welche Dienstleistungen dafür nötig sind. Leiten Sie daraus ab, welche Bausteine Sie selbst betreiben und wo Sie Technologie einkaufen oder kooperieren.

Lassen Sie die rechtliche Einordnung des gewählten Modells früh prüfen, insbesondere die Frage, welche Dienstleistungen Ihr Haus selbst erbringt. Planen Sie die 40 Arbeitstage des Anzeigeverfahrens und die Vorbereitung der Unterlagen realistisch ein.

Verabschieden Sie einen schriftlichen Risikoappetit für Kryptowerte, der Produktauswahl, eigene Bestände, Verwahrung und Partnerrisiken abdeckt, und verankern Sie ein regelmäßiges Reporting an den Vorstand. Erstellen Sie schließlich einen Plan für den Kompetenzaufbau, der alle beteiligten Funktionen und die Leitungsebene umfasst.

Weiterbildung für Leitung und Strategie

Für Vorstände und Strategieverantwortliche bietet TheClueX ein Sonderformat für die Leitungsebene sowie eine Spezialisierung Strategie an. Einen Überblick über die Zertifizierungen, darunter den Certified Digital Asset Professional, finden Sie unter Zertifizierungen.

Häufige Fragen

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts-, Steuer- oder Anlageberatung im Einzelfall. Stand: 27. Oktober 2026.