Sicherheit & Regulierung: BaFin und MiCA
Eine Krypto-Kreditkarte ist ein Finanzprodukt – und damit ist Regulierung kein Detail, sondern das wichtigste Vertrauenskriterium. Seit dem MiCA-Stichtag am 1. Juli 2026 ist die Lage klarer denn je: Wer keine Zulassung hat, darf in der EU nicht mehr anbieten.
Der MiCA-Stichtag ist vorbei: Was seit Juli 2026 gilt
MiCA (Markets in Crypto-Assets) gilt für Krypto-Dienstleister seit dem 30. Dezember 2024. Bestehende Anbieter durften bis zum Ende einer Übergangsfrist weiterarbeiten – EU-weit bis zum 1. Juli 2026, in Deutschland per Kryptomärkteaufsichtsgesetz (KMAG) sogar nur bis zum 31. Dezember 2025. Seitdem gilt: Wer Krypto-Dienste in der EU anbietet, braucht eine MiCA-Zulassung. Ein laufender Antrag reicht nicht; Anbieter ohne Zulassung müssen EU-Kunden abweisen oder ihr Geschäft abwickeln.
Für dich als Karteninhaber heißt das: Die Frage „Ist der Anbieter reguliert?“ hat seit Juli 2026 eine eindeutige Antwort. Entweder steht das Unternehmen im ESMA-Register der zugelassenen Krypto-Dienstleister – oder es darf dir in der EU keine Krypto-Dienste mehr anbieten. Die BaFin hat ihre Aufsicht über nicht zugelassene Anbieter seit dem Stichtag spürbar verschärft.
BaFin: die deutsche Aufsicht
Die BaFin ist in Deutschland die zuständige Behörde für MiCA-Zulassungen und hat bis Mitte 2026 die meisten Erlaubnisse in der EU erteilt. Eine BaFin-Zulassung bedeutet, dass ein Anbieter strenge Auflagen zu Kapital, Verwahrung und Geldwäscheprävention erfüllt. Bitpanda (MiCA-Zulassung im Januar 2025) und Trade Republic (Vollbank, MiCA-Zulassung im November 2025) haben ihre Erlaubnis direkt von der BaFin – ein deutliches Plus bei einem YMYL-Finanzprodukt.
MiCA-Pass: Zulassung aus einem anderen EU-Land
Eine MiCA-Zulassung gilt im gesamten Europäischen Wirtschaftsraum, egal welche nationale Aufsicht sie erteilt hat. Kraken ist über die irische Zentralbank zugelassen (Juni 2025), Bybit über die österreichische FMA (Mai 2025), Crypto.com über die maltesische MFSA (Januar 2025), Coinbase über die luxemburgische CSSF (Juni 2025) und OKX über die OKX Europe Ltd. Alle dürfen damit auch in Deutschland anbieten. Die Aufsicht sitzt dann allerdings im Ausland – bei Beschwerden ist nicht die BaFin, sondern die jeweilige nationale Behörde zuständig.
Zwei Lizenzen: Kartenausgeber und Krypto-Dienstleister
Hinter jeder Krypto-Karte stecken zwei regulierte Rollen. Die Karte selbst gibt ein E-Geld-Institut oder eine Bank mit Visa- oder Mastercard-Lizenz aus – bei Crypto.com etwa die Foris MT Ltd., bei Nexo die DiPocket UAB, bei der Ledger CL Card Baanx mit Monavate als EWR-Kontoanbieter. Den Krypto-Teil (Verwahrung, Umtausch beim Bezahlen) erbringt ein Krypto-Dienstleister, der seit 2026 eine MiCA-Zulassung braucht. Eine E-Geld-Lizenz allein sagt also nichts darüber aus, ob der Krypto-Teil zugelassen ist.
Welche Karten sind zugelassen?
| Karte | Krypto-Dienstleister (MiCA) | Aufsicht |
|---|---|---|
| Bitpanda | MiCA-Zulassung | BaFin (DE) |
| Trade Republic | MiCA-Zulassung, Vollbank | BaFin (DE) |
| Krak Card (Kraken) | MiCA-Zulassung | Central Bank of Ireland |
| Bybit | MiCA-Zulassung | FMA Österreich |
| Crypto.com | MiCA-Zulassung | MFSA Malta |
| OKX | MiCA-Zulassung | OKX Europe Ltd. (EU) |
| Coinbase | MiCA-Zulassung | CSSF Luxemburg |
| Nexo | Antrag läuft, Dienste über Partner | FSC Bulgarien (beantragt) |
| Ledger CL Card | keine MiCA-Zulassung (E-Geld: Baanx/Monavate) | FCA (UK), Bank von Litauen |
| Bleap | MiCA-Zulassung (Bleap SIA) | Latvijas Banka (LV), Karte: Unlimit EU (CY) |
| MetaMask Card | keine MiCA-Zulassung (E-Geld: Monavate/Baanx) | FCA (UK) |
| Plutus | keine MiCA-Zulassung (E-Geld) | FCA (UK) |
Nexo hat seine MiCA-Zulassung im Februar 2026 beantragt und bedient EU-Kunden bis zur Entscheidung über lizenzierte Partner (Tangany, DLT Finance). Ledger CL Card, MetaMask Card und Plutus laufen über britische E-Geld-Institute; einen MiCA-zugelassenen Krypto-Dienstleister nennen sie nicht. Bei Self-Custody-Karten wie MetaMask bleibt das Guthaben zwar in deiner Wallet, der Umtausch beim Bezahlen läuft aber über den Kartenbetreiber Baanx – dieselbe Plattform, die bei der Ledger CL Card im August 2026 Aufladungen ausgesetzt hat. Wer Wert auf klare Zuständigkeiten legt, wählt eine Karte mit eigener BaFin- oder MiCA-Zulassung.
Die ESMA führt ein öffentliches Register aller nach MiCA zugelassenen Krypto-Dienstleister („Interim MiCA Register“). Suche dort nach dem Firmennamen der Anbieter-Entity aus dem Impressum oder den AGB der Karte – nicht nach dem Markennamen. Steht die Entity nicht im Register, hat sie keine Zulassung. Stand dieser Übersicht: 28. September 2026.
Technische Sicherheit
Über die Lizenz hinaus solltest du auf Zwei-Faktor-Authentifizierung, biometrische Freigabe, eine sofortige In-App-Kartensperre und DSGVO-Konformität achten. Eine Custodial-Verwahrung (siehe Glossar) bedeutet zudem: Du vertraust dem Anbieter dein Guthaben an – ein weiterer Grund, nur zugelassene Anbieter zu wählen. Und: Regulierung schützt nicht vor Kursrisiken. Cashback und Lockups in Anbieter-Token (CRO, NEXO, PLU) bleiben auch bei lizenzierten Anbietern volatil.
Wie wir Sicherheit und Regulierung im Detail gewichten, liest du auf der Seite Wie wir testen.