Heute ist der 3.05.2026 und die Krypto-Welt steht vor einem Umbruch. Ab dem 2. Mai 2026 gelten neue Vorgaben für die interne Governance von Crypto-Asset Service Providern (CASPs). Die „Single-Brain“-Doktrin fordert eine kollektive Expertise des Managements in gleich drei Schlüsselbereichen: traditionelle Finanzmärkte, Distributed-Ledger-Technologie (DLT) und Unternehmensstrategie/Governance. Das klingt erstmal nach viel, aber keine Panik – nicht jedes Vorstandsmitglied muss in allen drei Bereichen der Überflieger sein. Wichtig ist, dass das gesamte Gremium ein umfassendes Verständnis nachweisen kann.
Die Aufsichtsbehörden haben ein wachsames Auge darauf, ob die Vorstandsmitglieder ausreichend Zeit für ihre Aufsichtsfunktion aufbringen. Dazu kommt, dass interne Kontrollfunktionen wie Compliance, Risikomanagement und interne Revision nicht nur dokumentiert, sondern auch unabhängig sein müssen. Das ist ein klarer Aufruf an kleinere Anbieter, ihre strategischen Entscheidungen und Risikobewertungen detailliert nachzuweisen. Bei den hohen Bußgeldern, die seit 2018 unter der DSGVO verhängt wurden, wird das auch dringend notwendig sein – über 7,1 Milliarden Euro, davon allein 1,2 Milliarden Euro im Jahr 2025.
Der Druck steigt
Ein weiteres Problem sind die fragmentierten Audit-Logs und Datenarchitekturen, die eine einheitliche Sicht auf Transaktions- und Zugriffshistorien erschweren. Das führt unweigerlich zu einer erhöhten Gefahr von Strafen und möglicherweise einem Ausschluss aus dem EU-US-Datenschutzrahmen. Am 2. Mai 2026 veröffentlichte der Europäische Datenschutzausschuss (EDPB) neue Leitlinien für Datentransfers in die USA. Übermittlungen personenbezogener Daten an ausländische Behörden sind nun nur noch über internationale Abkommen oder spezifische Ausnahmen erlaubt. Das bedeutet, dass Unternehmen eine doppelte Prüfung der Rechtsgrundlage und der Transferregelungen durchführen müssen. Ein echter bürokratischer Kraftakt!
Aber das ist noch nicht alles. Der 2. August 2026 wird als weiterer entscheidender Stichtag angesehen, denn dann tritt die EU-KI-Verordnung in Kraft, die Hochrisiko-Systeme betreffen wird. Hier müssen die Vorstände KI-Governance in den Betrieb integrieren, und empfohlen wird ein Vier-Stufen-Prozess, um das Ganze in den Griff zu bekommen. Wer meint, das wäre ein Spaziergang, der irrt sich gewaltig – die Strafen für die Nichteinhaltung können bis zu 35 Millionen Euro oder 7 % des Jahresumsatzes betragen. Das schürt den Druck, rechtzeitig alles auf die Reihe zu bekommen.
Neuer Gesetzesentwurf und digitale Gewalt
In Deutschland liegt seit dem 16. April 2026 ein Gesetzesentwurf zur Bekämpfung digitaler Gewalt vor, der neue Ansprüche und Straftatbestände einführt. Hier endet die Frist für Stellungnahmen am 22. Mai 2026. Es ist eine spannende Zeit, in der die Balance zwischen Privatsphäre und polizeilichen Zugriffsrechten diskutiert wird. Der 2. August 2026 wird somit nicht nur für die Krypto-Dienstleister entscheidend, sondern könnte auch weitreichende Folgen für die gesamte digitale Landschaft haben.
Und während in den USA am 1. Mai 2026 der SECURE Data Act eingebracht wurde, um einen nationalen Datenschutzstandard zu schaffen, führt der Bundesstaat Utah ab dem 6. Mai 2026 eine Altersverifikation für Online-Dienste ein. Das zeigt, wie global vernetzt diese Themen sind und wie viele Regeln und Gesetze parallel zueinander laufen.
Die Konvergenz von MiCA, KI-Verordnung und nationalen Offenlegungsgesetzen verändert die Aufsicht über Krypto-Dienstleister fundamental. Krypto-Dienstleister müssen nun denselben Governance-Standards genügen wie traditionelle Banken. Die Betonung der kollektiven Eignung in der MiCA-Novelle ist eine direkte Reaktion auf frühere Management-Versäumnisse – ein Zeichen, dass man aus der Vergangenheit gelernt hat, auch wenn es manchmal wie ein Schritt auf der Stelle wirkt.
2026 wird für globale Krypto-Anbieter ein Jahr der strukturellen Neuausrichtung sein. Governance-Qualität und Transparenz werden entscheidend sein, um im neuen regulatorischen Umfeld bestehen zu können. Es bleibt abzuwarten, wie die Branche auf diese Herausforderungen reagieren wird und welche neuen Wege sie finden wird, um sowohl die Anforderungen zu erfüllen als auch weiterhin innovativ zu bleiben.