{"id":26339,"date":"2025-11-25T23:29:20","date_gmt":"2025-11-25T22:29:20","guid":{"rendered":"https:\/\/www.in-diem.com\/haeufige-fehler-bei-casp-anfragen-und-wie-man-sie-vermeidet\/"},"modified":"2026-08-22T23:33:19","modified_gmt":"2026-08-22T21:33:19","slug":"haeufige-fehler-bei-casp-anfragen-und-wie-man-sie-vermeidet","status":"publish","type":"post","link":"https:\/\/www.in-diem.com\/de\/haeufige-fehler-bei-casp-anfragen-und-wie-man-sie-vermeidet\/","title":{"rendered":"H\u00e4ufige Fehler bei CASP-Anfragen und wie man sie vermeidet"},"content":{"rendered":"
\n

WICHTIG:<\/strong> Dieser Artikel wurde gem\u00e4\u00df dem zum Zeitpunkt seiner Ver\u00f6ffentlichung geltenden regulatorischen und \u00fcberwachenden Rahmen verfasst, insbesondere der Verordnung (EU) 2023\/1114 (MiCA) und den Kriterien, die vor dem CNMV f\u00fcr Krypto-Asset-Dienstleister gelten. Da CASP-Zulassungsanforderungen, Anwendungshandb\u00fccher, technische Kriterien, Governance, AML\/CFT, Cybersicherheit und Dokumentenpr\u00fcfungsanforderungen vom CNMV, ESMA oder anderen zust\u00e4ndigen Beh\u00f6rden aktualisiert werden k\u00f6nnen, muss jede Akte gem\u00e4\u00df den aktuellen Vorschriften und dem tats\u00e4chlichen Gesch\u00e4ftsmodell des Antragstellers \u00fcberpr\u00fcft werden. <\/em><\/p>\n\n

Der Inkrafttreten von MiCA <\/a>hat eine v\u00f6llig neue Phase f\u00fcr Krypto-Asset-Dienstleister (CASPs) in der Europ\u00e4ischen Union er\u00f6ffnet. In Spanien ist das CNMV zum obligatorischen Tor f\u00fcr jedes Projekt geworden<\/strong> , das mit rechtlicher Sicherheit arbeiten, institutionelle Investitionen anziehen oder seine Aktivit\u00e4ten ohne regulatorische Unsicherheit ausweiten m\u00f6chte. <\/p>\n\n

Das Problem, das wir in einigen Projekten beobachten, die uns pr\u00e4sentiert werden, ist, dass dieser Anstieg an Anwendungen nicht mit dem gleichen Qualit\u00e4tsniveau der Dateien einhergeht. In der Praxis sehen wir ein sehr deutliches Muster: Die meisten Ablehnungen und Abhilfeanfragen resultieren aus v\u00f6llig vermeidbaren Fehlern.<\/strong> <\/p>\n\n

Dieser Artikel ist ein praktischer Leitfaden \u2013 ohne unn\u00f6tige Formalit\u00e4ten \u2013 um zu verstehen, wo wir CASP-Dateien versagen sehen, wie man sie vermeidet und was das CNMV wirklich von jedem Projekt erwartet.<\/p>\n\n

IN DIEM bietet Abogados<\/strong> den recht-regulatorischen Ansatz und Cryptoveritas 360<\/strong> <\/a>die technische, cybersicherheitsbezogene und Blockchain-Audit-Expertise.<\/p>\n\n

Warum ist es so leicht, Fehler bei CASP-Anwendungen zu machen?<\/strong><\/h2>\n\n

Wer MiCA zum ersten Mal anspricht, denkt meist, dass es sich um eine Regulierung handelt, die sich nur auf den rechtlichen Teil konzentriert. In Wirklichkeit ist es jedoch ein legales + technisches + operatives<\/strong> Modell. <\/p>\n\n

Dokumente m\u00fcssen wie ein Puzzle zusammenpassen: AML-Handb\u00fccher, Governance, technologische Architekturen, Betriebsabl\u00e4ufe, Verwahrungsrichtlinien usw. Jede Inkonsistenz wird vom CNMV schnell erkannt.<\/strong><\/p>\n\n

Viele Projekte kommen aus dem Start-up-Umfeld, in dem Geschwindigkeit \u00fcber Dokumentation steht. Das steht im direkten Gegensatz zu dem Detailniveau, das MiCA verlangt. <\/p>\n\n

MiCA Spanien-Anforderungen: Der Nullpunkt, an dem viele Fehler beginnen<\/strong><\/h2>\n\n

Zahlungsf\u00e4higkeit und Kapital<\/strong><\/h3>\n\n

MiCA erfordert echte Solvenz, keine deklarative Solvenz. Ein Verwahrungsdienst mit Millionen unter Verwaltung kann ein kleines Kapital ohne eine solide Risikoanalyse nicht rechtfertigen. Einer der schwerwiegendsten Fehler: generische oder kopierte Handb\u00fccher. Das CNMV erkennt sie momentan, weil ihnen die notwendige Spezifit\u00e4t fehlt. Ein AML-Playbook sollte lebendig sein und die tats\u00e4chlichen Risiken f\u00fcr Ihr Gesch\u00e4ftsmodell, Ihre Kunden und die Blockchains, mit denen Sie arbeiten, widerspiegeln. <\/p>\n\n

AML\/CFT-Handb\u00fccher<\/strong><\/h3>\n\n

Einer der schwerwiegendsten Fehler: generische oder kopierte Handb\u00fccher. Das CNMV erkennt sie momentan, weil ihnen die notwendige Spezifit\u00e4t fehlt. Ein AML-Playbook sollte lebendig sein und die tats\u00e4chlichen Risiken f\u00fcr Ihr Gesch\u00e4ftsmodell, Ihre Kunden und die Blockchains, mit denen Sie arbeiten, widerspiegeln. <\/p>\n\n

Verwaltung<\/strong><\/h3>\n\n

Klare Rollen, R\u00fcckverfolgbarkeit und definierte Prozesse. Viele Projekte scheitern, weil es „sch\u00f6ne, aber leere“ Organigramme gibt, bei denen keine konkreten Verantwortlichkeiten zugewiesen werden oder keine effektive Befehlskette f\u00fcr kritische Entscheidungen nachgewiesen wird. <\/p>\n\n

Technologische Systeme<\/strong><\/h3>\n\n

Eine der anspruchsvollsten Anforderungen. Der technische Teil wird oft oberfl\u00e4chlich beschrieben, was relevante Zweifel an der Sicherheit, Widerstandsf\u00e4higkeit und tats\u00e4chlichen Kapazit\u00e4t der Infrastruktur aufwirft. Das CNMV muss nicht nur verstehen , was<\/em> Sie tun, sondern auch, wie<\/em> Sie es sicher tun. <\/p>\n\n

IN DIEM + Cryptoveritas 360<\/strong> werden jedes Dokument mit den anderen gegen\u00fcbergestellt, um Inkonsistenzen zu vermeiden, dem h\u00e4ufigsten Fehler.<\/p>\n\n

Top 10 h\u00e4ufigste Fehler bei CASP-Anfragen<\/strong><\/h2>\n\n

1. Vage oder inkonsistente Gesch\u00e4ftsmodelle.<\/h3>\n\n
    \n
  • Der Fehler:<\/strong> Beschreiben Sie den Service allgemein („wir sind eine B\u00f6rse“), ohne spezifische Arbeitsabl\u00e4ufe, Zielkunden, Einnahmequellen oder eine realistische Einsch\u00e4tzung der operativen Risiken zu beschreiben.<\/li>\n\n\n\n
  • CNMV-Beispiel:<\/strong> Ein Projekt wird als NFT-Marktplatz pr\u00e4sentiert, aber seine AML-Dokumentation unterscheidet nicht zwischen einem K\u00fcnstler, der ein Werk pr\u00e4gt, und einem Sammler, der mit hohen Volumina handelt. Die CNMV nimmt ein mangelndes Verst\u00e4ndnis f\u00fcr ihr eigenes Gesch\u00e4ft wahr. <\/li>\n\n\n\n
  • Die L\u00f6sung:<\/strong> Das Gesch\u00e4ftsmodell sollte eine vollst\u00e4ndige operative Erz\u00e4hlung sein. Es enth\u00e4lt Nutzerflussdiagramme (Onboarding, Trading, Auszahlungen), definiert Ihre Kundenpersonas (K\u00e4uferpersonas) und pr\u00e4sentiert eine SWOT-Analyse, die Ihre strategischen und Risikoentscheidungen begr\u00fcndet. <\/li>\n<\/ul>\n\n

    2. Generische AML\/CFT-Pl\u00e4ne, die von Dritten kopiert wurden.<\/h3>\n\n
      \n
    • Der Fehler:<\/strong> Sie verwenden Vorlagen aus dem Internet oder Dokumente anderer Unternehmen, ohne sie an die technologische und betriebliche Realit\u00e4t des Projekts anzupassen. Die CNMV sucht nach dem „Cut and Paste“ und bestraft es. <\/li>\n\n\n\n
    • CNMV-Beispiel:<\/strong> Das AML-Handbuch erw\u00e4hnt die \u00dcberwachung von „Barzahlungen“ oder geografischen Risiken von Rechtsgebieten, in denen Sie nicht t\u00e4tig sind, wenn Ihre Plattform zu 100 % digital ist und in der EU betrieben wird. Das verr\u00e4t den Mangel an Personalisierung. <\/li>\n\n\n\n
    • Die L\u00f6sung:<\/strong> Absolute Individualisierung. Dein AML-Handbuch sollte deine tats\u00e4chliche Risikobewertung widerspiegeln, die spezifischen KYT-Tools erw\u00e4hnen, die du nutzt (wie Chainalysis oder Elliptic), die von dir unterst\u00fctzten Blockchain-Protokolle und die auf Basis deiner Aktivit\u00e4t definierten Warnschwellen. <\/li>\n<\/ul>\n\n

      3. Schlecht definierte Governance oder ohne klare Verantwortlichkeiten.<\/h3>\n\n
        \n
      • Der Fehler:<\/strong> „Ornamentale“ Organisationsdiagramme, bei denen nicht klar ist, wer die letztendliche Entscheidungsbefugnis in kritischen Bereichen wie AML, Technologie oder Risikomanagement hat.<\/li>\n\n\n\n
      • CNMV-Beispiel:<\/strong> Die Abbildung des „Compliance Officer“ erscheint im Organigramm, aber seine in einem anderen Dokument beschriebenen Funktionen sind unklar, und er hat kein Vetorecht gegen die Einf\u00fchrung neuer Hochrisikoprodukte. Es wird als Testimonial-Beitrag wahrgenommen. <\/li>\n\n\n\n
      • Die L\u00f6sung:<\/strong> Weisen Sie jeder von MiCA geforderten Rollen Vor- und Nachnamen zu. Erstellen Sie Verantwortungsmatrizen (RACI) und f\u00fcgen Sie Protokolle der ersten Sitzungen des Risikoausschusses bei, um zu zeigen, dass die Governance aktiv und nicht nur theoretisch ist. <\/li>\n<\/ul>\n\n

        4. Fehlanpassung zwischen technischen und rechtlichen Dokumenten.<\/h3>\n\n
          \n
        • Der Fehler:<\/strong> Die technische Beschreibung der Systeme (z. B. Verh\u00e4ltnis zwischen hei\u00dfen und kalten Portfolios) stimmt nicht mit den Ausf\u00fchrungszeitpl\u00e4nen oder Katastrophenwiederherstellungsrichtlinien \u00fcberein, die in den operativen und rechtlichen Handb\u00fcchern beschrieben sind.<\/li>\n\n\n\n
        • CNMV-Beispiel:<\/strong> Das rechtliche Dokument verspricht eine Serviceverf\u00fcgbarkeit (SLA) von 99,99 %, aber die technische Architektur beschreibt Wartungsfenster ohne Kundenkommunikationsverfahren oder echte Redundanz. Die Inkoh\u00e4renz ist eklatant. <\/li>\n\n\n\n
        • Die L\u00f6sung:<\/strong> Kreuzvergleiche und st\u00e4ndige \u00dcberpr\u00fcfung. Ein Anwalt muss die Grundlagen der beschriebenen Technologie verstehen, und ein Techniker muss die rechtlichen Anforderungen verstehen, die die Architektur erf\u00fcllen muss. Jede Aussage in einem Dokument muss ihre koh\u00e4rente Widerspiegelung in allen anderen haben. <\/li>\n<\/ul>\n\n

          5. Fehlende Begr\u00fcndung technologischer Anforderungen.<\/h3>\n\n
            \n
          • Der Fehler:<\/strong> Sie behauptet, die Cybersicherheitsstandards einzuhalten, ohne zu erkl\u00e4ren, wie.<\/em> Vage Formulierungen wie „wir verwenden Verschl\u00fcsselung“ oder „wir haben ein SOC“ reichen nicht aus und erzeugen sofortige Anforderungen. <\/li>\n\n\n\n
          • CNMV-Beispiel:<\/strong> „Wir haben ein SOC (Sicherheitsoperationszentrum).“ Das CNMV wird fragen: Ist es intern oder ausgelagert? Welche Zertifizierungen hat das Team? Wie sind die Reaktions-SLAs? Welche Ereignisse werden speziell \u00fcberwacht? <\/li>\n\n\n\n
          • Die L\u00f6sung:<\/strong> Technische Spezifit\u00e4t. Anstelle von „Verschl\u00fcsselung“ steht darin: „Wir verwenden AES-256 f\u00fcr ruhende Daten und TLS 1.3 f\u00fcr Daten im Transit.“ F\u00fcgen Sie Team-Zertifizierungen, detaillierte Architekturdiagramme und dokumentierte Sicherheitsrichtlinien (Patching, Zugriff usw.) bei. <\/li>\n<\/ul>\n\n

            6. Untersch\u00e4tzung von KYC und R\u00fcckverfolgbarkeit.<\/h3>\n\n
              \n
            • Der Fehler:<\/strong> Die Implementierung eines grundlegenden KYC-Prozesses, der nicht skalierbar ist oder keine vollst\u00e4ndige R\u00fcckverfolgbarkeit der Kundentransaktionen \u00fcber die Zeit erm\u00f6glicht, verst\u00f6\u00dft damit gegen das Prinzip „Kennen Sie Ihren Kunden“ auf laufender Basis.<\/li>\n\n\n\n
            • CNMV-Beispiel:<\/strong> Das System erm\u00f6glicht das Onboarding eines Kunden, kann jedoch nicht automatisch alle zugeh\u00f6rigen Portfolios verfolgen und gruppieren oder verd\u00e4chtige Verhaltensmuster basierend auf der Transaktionshistorie erkennen.<\/li>\n\n\n\n
            • Die L\u00f6sung:<\/strong> Integration von On-Chain- und KYT-Analysetools durch Design. Zeigen Sie dem CNMV, dass Ihr System der Finanzierungsspur \u00fcber eine einfache Transaktion hinaus folgen kann, indem Sie Adressen verkn\u00fcpfen und anomales Verhalten erkennen. <\/li>\n<\/ul>\n\n

              7. Die Erfahrung des Managementteams wird nicht gerechtfertigt.<\/h3>\n\n
                \n
              • Der Fehler:<\/strong> Generische Lebensl\u00e4ufe einzureichen,<\/em> ohne zu zeigen, wie die spezifische Erfahrung jedes Vorgesetzten relevant und angemessen f\u00fcr die Risiken und die Komplexit\u00e4t eines CASP ist.<\/li>\n\n\n\n
              • CNMV-Beispiel:<\/strong> Der Chief Technology Officer verf\u00fcgt \u00fcber umfangreiche Erfahrung in traditioneller IT, aber sein Lebenslauf zeigt keine spezifischen Kenntnisse in Blockchain-Cybersicherheit, Private Key Management oder dezentralen Architekturen.<\/li>\n\n\n\n
              • Die L\u00f6sung:<\/strong> Lebensl\u00e4ufe sollten argumentativ sein. Listen Sie nicht nur Erfahrungen auf, sondern erkl\u00e4ren, wie jede vorherige Position den Manager darauf vorbereitet hat, die spezifischen Risiken von MiCA zu managen. Spezifische Schulungen in Blockchain und Regulierung sind ein wichtiger Pluspunkt. <\/li>\n<\/ul>\n\n

                8. Nicht existierende oder vage Kontinuit\u00e4tsverfahren.<\/h3>\n\n
                  \n
                • Der Fehler:<\/strong> Keinen Business-Continuity-Plan (BCP) zu haben oder einen, der nur eine Absichtserkl\u00e4rung ist, ohne konkrete Schritte, zugewiesene Rollen und Kommunikationspl\u00e4ne f\u00fcr gr\u00f6\u00dfere Vorf\u00e4lle.<\/li>\n\n\n\n
                • CNMV-Beispiel:<\/strong> Der BCP-Plan erw\u00e4hnt „Wiederherstellung an einem sekund\u00e4ren Standort“, spezifiziert jedoch keine RTOs (Recovery Time Objectives) und RPOs (Recovery Point Objectives) und legt auch nicht detailliert dar, wie Datenkonsistenz in einem Krisenszenario gew\u00e4hrleistet wird.<\/li>\n\n\n\n
                • Die L\u00f6sung:<\/strong> Entwickeln Sie eine detaillierte und realistische BCP. F\u00fcgen Sie Testszenarien, Kommunikationspl\u00e4ne f\u00fcr Kunden und Regulierungsbeh\u00f6rden sowie spezifische technische Verfahren f\u00fcr System- und Datenwiederherstellung ein. <\/li>\n<\/ul>\n\n

                  9. Oberfl\u00e4chliche oder unglaubw\u00fcrdige Sorgerechtsregelungen.<\/h3>\n\n
                    \n
                  • Der Fehler:<\/strong> Beschreibung eines Treuhandsystems, ohne technische Belege f\u00fcr dessen Implementierung vorzulegen, wie etwa Mehrparteien-Signaturschemata, Asset-Segregation oder Schl\u00fcsselwiederherstellungsprotokolle.<\/li>\n\n\n\n
                  • CNMV-Beispiel:<\/strong> Ein Unternehmen behauptet, „98 % Cold Wallets“ zu verwenden, beschreibt aber nicht das physische und logische Verfahren zum Zugriff darauf oder wie das Risiko eines einzelnen Fehlerpunkts in diesem Prozess gemindert wird.<\/li>\n\n\n\n
                  • Die L\u00f6sung:<\/strong> Stellen Sie ausf\u00fchrliche technische Dokumentation zum Sorgerecht bereit. Schl\u00fcsselarchitekturdiagramme, Beschreibung von Hardware-Sicherheitsmodulen (HSMs) und gepr\u00fcfte Verfahren f\u00fcr die Erzeugung, Speicherung und Nutzung privater Schl\u00fcssel. <\/li>\n<\/ul>\n\n

                    10. Unstimmigkeiten zwischen den Anh\u00e4ngen, die dem CNMV eingereicht wurden.<\/h3>\n\n
                      \n
                    • Der Fehler:<\/strong> Die Fakten, Zahlen oder Beschreibungen in einem Anhang stimmen nicht mit denen eines anderen \u00fcberein. Zum Beispiel unterscheidet sich das Aktienkapital in einem Dokument von dem, das in einem anderen angegeben wurde, oder die im technischen Handbuch unterst\u00fctzte Liste der Protokolle stimmt nicht mit der des kommerziellen Protokolls \u00fcberein. <\/li>\n\n\n\n
                    • CNMV-Beispiel:<\/strong> Der Finanzanhang nennt ein Kapital von 150.000 \u20ac, w\u00e4hrend der beschreibende Bericht von 125.000 \u20ac spricht. Oder das Marketinghandbuch wirbt die Unterst\u00fctzung einer Blockchain an, die in der Technologierisikobewertung nicht auftaucht. <\/li>\n\n\n\n
                    • Die L\u00f6sung:<\/strong> F\u00fchren Sie eine abschlie\u00dfende „horizontale Lesung“ der gesamten Datei durch. \u00dcberpr\u00fcfen Sie, ob jede Information, jeder Name, jede Abbildung und jede Beschreibung in den mehr als 20 Dokumenten \u00fcbereinstimmt, die in einem Antrag \u00fcblicherweise enthalten sind. Dies ist eine der wichtigsten Aufgaben vor der Einreichung. <\/li>\n<\/ul>\n\n

                      Wie kann man Fehler vermeiden, bevor man seine Bewerbung einreicht?<\/strong><\/h2>\n\n

                      Die beste Strategie ist eine rechtliche und technische Vorpr\u00fcfung<\/strong> , bei der die gesamte Akte mit dem gleichen Ansatz wie das CNMV \u00fcberpr\u00fcft wird, jedoch mit einer konstruktiven und verbesserungsorientierten Mentalit\u00e4t.<\/p>\n\n

                      Grundlegende Checkliste<\/strong><\/h3>\n\n
                        \n
                      • Operatives und verst\u00e4ndliches Gesch\u00e4ftsmodell mit detaillierten Abl\u00e4ufen.<\/li>\n\n\n\n
                      • Identifizierte, bewertete und quantitativ begr\u00fcndete Risiken.<\/li>\n\n\n\n
                      • Das AML-Handbuch ist zu 100 % an Ihren Service, Ihre Technologie und Ihre Kunden angepasst.<\/li>\n\n\n\n
                      • Technologie pr\u00e4zise beschrieben, ohne Unsch\u00e4rfe.<\/li>\n\n\n\n
                      • Echte Cybersicherheitsma\u00dfnahmen, dokumentiert und gerechtfertigt.<\/li>\n\n\n\n
                      • Koh\u00e4rente Governance mit definierten Managern und Prozessen.<\/li>\n\n\n\n
                      • Ein geeignetes und solventes Managementteam mit akkreditierter, relevanter Erfahrung.<\/li>\n\n\n\n
                      • Alle Anbauten sind \u00fcbereinstimmend und ohne interne Widerspr\u00fcche.<\/li>\n<\/ul>\n\n

                        <\/p>\n\n

                        Die Bedeutung der rechtlich-technischen Ausrichtung: der entscheidende Faktor<\/strong><\/h2>\n\n

                        Wenn der rechtliche Teil das eine sagt und die Technik etwas anderes beschreibt, erkennt das CNMV das innerhalb weniger Minuten. Diese Unterbrechung ist die Hauptursache f\u00fcr Korrekturanforderungen und Verz\u00f6gerungen. Die Regulierung von MiCA ist ihrer Natur nach ein interdisziplin\u00e4rer Rahmen, der eine ebenso integrierte Antwort erfordert. <\/p>\n\n

                        Wie IN DIEM + Cryptoveritas 360 das Problem beheben<\/strong><\/h3>\n\n
                          \n
                        • Smart Contract Audit<\/strong> (falls zutreffend) und \u00dcberpr\u00fcfung der Blockchain-Architektur.<\/li>\n\n\n\n
                        • Umfassende Cybersicherheitsbewertung<\/strong> der Infrastruktur.<\/li>\n\n\n\n
                        • Technologierisikoanalyse<\/strong> ist auf die Kapitalanforderungen abgestimmt.<\/li>\n\n\n\n
                        • \u00dcberpr\u00fcfung aller Handb\u00fccher (AML, Governance, Technologie) zur Sicherstellung<\/strong> von Konsistenz.<\/li>\n\n\n\n
                        • Vollst\u00e4ndige Ausrichtung<\/strong> zwischen Gesch\u00e4ftsmodell, zugrundeliegender Technologie und AML\/CFT-Richtlinien.<\/li>\n<\/ul>\n\n