FINMA-Aufsichtsmitteilung 01/2026 zur Krypto-Verwahrung: Was Institute jetzt anpassen müssen

Das Kernprinzip

Die FINMA beanstandet schwache Anbieterauswahl, lückenhafte Schlüssel-Governance und unklare Behandlung im Insolvenzfall. Die Aufsichtsmitteilung verknüpft Verwahrung mit operativer Risikokompetenz: Cyber-Resilienz, Schutz privater Schlüssel, Zugriffskontrollen und dokumentierte Prozesse. Allein auf die Reputation eines Anbieters zu vertrauen, ohne eigene Überwachung, ist kein Kontrollrahmen.

Auslandsverwahrung: der Äquivalenztest

Die Delegation der Verwahrung ins Ausland löst eine zweiteilige Prüfung aus. Die FINMA beurteilt, ob der ausländische Verwahrer einer prudenziellen Aufsicht unterliegt, die dem Schweizer Standard äquivalent ist, und ob das ausländische Insolvenzrecht die Kryptoassets äquivalent schützt, das heisst: Separierbarkeit und Durchsetzbarkeit bei einem Ausfall des Verwahrers. Ein Schweizer Institut kann ausländische Strukturen nicht nutzen, um Kundenschutzregeln zu umgehen; wer als Sponsor ein ausländisches Kryptoprodukt anbietet, bleibt für die Verwahrungsgrundsätze verantwortlich.

Vermögensverwalter, Fonds und strukturierte Produkte

Nach dem FinIG/FinIV-Regime müssen Kundenvermögen in getrennter, beaufsichtigter Verwahrung liegen. Fehlt eine angemessene Aufsicht oder ein ausreichender Insolvenzschutz, sind nur enge Ausnahmen möglich, jeweils mit klarer Risikoaufklärung, Hinweis auf alternative Verwahrer und schriftlicher Einwilligung der Kundschaft. Schweizerische kollektive Kapitalanlagen behalten die grundsätzliche Anforderung einer Depotbank in der Schweiz; jede Delegation erfordert dieselbe Äquivalenzanalyse, die in den Angebotsunterlagen offenzulegen ist. Strukturierte Produkte, bei denen Kryptoassets als Sicherheit hinterlegt werden, benötigen rechtlichen Schutz gegen die Insolvenz des Verwahrers.

Was die Aufsichtsbehörde konkret prüft

Die Aufsichtsmitteilung folgt einem Lebenszyklus-Ansatz. Bei der Aufnahme gilt: Verwahrungsmodell wählen, Due Diligence zu Aufsicht, Lizenzumfang, technischen Kontrollen und Incident-Response durchführen sowie die Kundschaft über Risiken aufklären. Im laufenden Betrieb bewertet die FINMA Ergebnisse, keine Versprechen: Zugriffsmanagement, Vier-Augen-Prinzip, Rollentrennung und Abstimmungen, die die Segregation pro Kunde belegen. Bei Freigabe und Exit, wo sich Schwachstellen oft zeigen: dokumentierte Vollmachtenketten, Genehmigungsschwellen, unabhängige Verifikation und ein Migrationsplan für den Fall eines Verwahrer-Ausfalls.

Goldblum and Partners berät Institute bei der Krypto-Verwahrung sowie dem breiteren regulatorischen Rahmen für digitale Assets in der Schweiz: Gestaltung von Verwahrungsmodellen, Äquivalenzprüfungen, Outsourcing-Governance, Kundendokumentation und Aufarbeitung bestehender Arrangements.