Gründung eines Kryptowerte-Dienstleisters in der Türkei und Betriebserlaubnis der SPK: Leitfaden 2026 zu Lizenz, Kapital, MASAK und Compliance

Die Gründung einer Aktiengesellschaft im Bereich der Kryptowerte gibt für sich allein nicht das Recht, als Kryptowerte-Dienstleister tätig zu sein. Der regelmäßige, gewerbliche oder berufsmäßige Betrieb einer Handelsplattform für Kryptowerte in der Türkei im Jahr 2026, die Verwahrung von Kryptowerten für Kunden, die Verwaltung privater Schlüssel und das Erbringen sonstiger in den Vorschriften genannter Dienstleistungen sind kapitalintensive und laufend beaufsichtigte Finanzdienstleistungstätigkeiten, die zunächst die Gründungsgenehmigung, sodann die Betriebserlaubnis und die Berechtigungsurkunde der Kapitalmarktaufsicht (Sermaye Piyasası Kurulu) erfordern. 123

Dieser Leitfaden richtet sich an Gründer, ausländische Investoren, Technologieunternehmen, Finanzinstitute, Verwaltungsratsmitglieder, Compliance-Beauftragte und Investitionsteams, die eine neue Plattform oder Verwahrstelle gründen wollen. Ziel ist nicht nur, die Antragsunterlagen aufzulisten, sondern den Lizenzumfang des Geschäftsmodells, die Gesellschafts- und Beteiligungsstruktur, die Kapitalschwellen 2026, die Pflichten nach MASAK, Informationssysteme und Verwahrarchitektur, Kundenverträge sowie Steuer- und Sanktionsrisiken in einer einzigen rechtlichen Roadmap darzustellen.

Kritische Zahlen und Regeln für 2026

Die Geldschwellen können sich durch jährliche Neubewertung oder Beschluss der Behörde ändern. Bei der Vorbereitung der Antragsunterlagen sind nicht nur die Zahlen in diesem Beitrag, sondern das am Tag der Antragstellung geltende Bulletin der SPK und die aktuellen Antragsformulare zu beachten. 45

Was ist ein Kryptowerte-Dienstleister?

Das Kapitalmarktgesetz Nr. 6362 regelt den Begriff des Kryptowerte-Dienstleisters (kripto varlık hizmet sağlayıcı) so, dass er Plattformen, Einrichtungen, die Kryptowerte verwahren, und sonstige von der Behörde bestimmte Dienstleister umfasst. Als „Plattform“ gilt die Einrichtung, in der einer oder mehrere der folgenden Vorgänge ausgeführt werden: Kauf und Verkauf von Kryptowerten, Erstverkauf oder Verteilung, Tausch, Transfer, die dafür erforderliche Verwahrung und sonstige von der Behörde bestimmte Geschäfte. 1

Daraus folgt: Dass ein Unternehmen sich selbst als „Technologieunternehmen“, „Marketingpartner“, „Agentur“, „Liquiditätsvermittler“, „Wallet-Anwendung“ oder „Web3-Start-up“ bezeichnet, beseitigt die Lizenzpflicht nicht. Liegen Handlungen vor wie die Annahme von Kundenaufträgen, das Zusammenführen von Geschäften, die Vermittlung von Ein- und Auszahlungen in Fiatwährung, die Kontrolle über Kundenvermögen, die Ausführung von Transfers oder die Verwaltung privater Schlüssel, kann der Anwendungsbereich der SPK eröffnet sein.

Plattformdienstleistungen

Die Plattformgenehmigung betrifft die Annahme und Ausführung von Kundenaufträgen, den Betrieb des Handelsumfelds für Kryptowerte, die Abwicklung von Transfer- und Tauschvorgängen, das Listing, die Vermittlung von Erstverkauf oder Verteilung und sonstige zulässige Tätigkeiten. Die Betriebserlaubnis ist keine Befugnis, „im Kryptobereich alles zu tun“; sie ist auf die in der Berechtigungsurkunde ausgewiesenen Dienstleistungen beschränkt.

Verwahrung und Verwaltung privater Schlüssel

Die Kontrolle oder Verwahrung der privaten Schlüssel, die den Zugriff auf Kryptowerte ermöglichen, für Kunden ist nicht nur ein technischer Hosting-Dienst. Schlüsselerzeugung, Signierung, Backup, Wiederherstellung, Hot-/Cold-Wallet-Architektur, Multisignatur und Berechtigungsverwaltung können in den Bereich der Verwahrtätigkeit fallen. Die Komponenten des Verwahrmodells – Bank, unabhängige Verwahrstelle oder Plattform-Wallet – sind jeweils gesondert zu beurteilen.

Erstverkauf, Verteilung und Token-Projekte

Dass ein Token technisch auf der Blockchain erzeugt wurde, bestimmt für sich allein nicht seine Rechtsnatur. Beruht der Token auf einem Kapitalmarktinstrument, einem Zahlungsmittel, einem E-Geld-ähnlichen Wert, einer Ware oder einem anderen Recht, können auch die Sondervorschriften der betreffenden Behörden einschlägig werden. Die Plattform ist verpflichtet, die Rechtsnatur des Vermögenswerts, dessen Vermittlung beim Erstverkauf oder bei der Verteilung sie übernimmt, den Smart Contract, die Listing-Bedingungen und die Verwahrinfrastruktur zu prüfen. 3

Abgrenzung zwischen Anlageberatung und allgemeiner Empfehlung

Die Abgabe lenkender Stellungnahmen und Empfehlungen an eine bestimmte Person oder an eine Gruppe mit ähnlicher finanzieller Lage und ähnlichen Risikopräferenzen ist Anlageberatung. Im Jahr 2026 darf diese Dienstleistung Kunden angeboten werden, deren Kryptowerte bei der Plattform einen aktuellen Wert von mindestens 60.000.000 TL haben; erforderlich sind qualifiziertes Personal und eine Research-Einheit. Allgemein gehaltene Finanzanalysen oder Empfehlungen unterliegen dagegen den Regeln über allgemeine Empfehlungen in den Vorschriften. Die Vermögensverwaltung des Kundenportfolios im Auftrag ist hingegen verboten. 34

Für welche Geschäftsmodelle kann eine SPK-Genehmigung erforderlich sein?

Die Landkarte des Geschäftsmodells muss vor dem Antrag fertiggestellt sein

Eine wesentliche Änderung des Geschäftsmodells nach Erteilung der Gründungsgenehmigung kann hinsichtlich neuer Dienstleistungen, Produkte, Token-Arten, Verwahrarchitektur oder der Integration einer ausländischen Konzerngesellschaft zusätzliche Genehmigungen und Meldungen erforderlich machen. Die Lizenzunterlagen müssen daher nicht nur auf der Gesellschaftsgründung, sondern auf dem Produktdesign beruhen.

Regulierungsbehörden und Aufgabenverteilung

Das Kryptowerte-Dienstleistungsgeschäft ist kein Genehmigungsbereich einer einzigen Behörde. Die SPK ist zwar die wichtigste Regulierungs- und Aufsichtsbehörde, doch die Tätigkeit der Gesellschaft berührt die Aufgabenbereiche der folgenden Einrichtungen:

• Kapitalmarktaufsicht (Sermaye Piyasası Kurulu, SPK): Gründungs- und Betriebserlaubnis, Kapitaladäquanz, Kundenbeziehungen, Listing, Marktüberwachung, Verwahrung, Prüfung und Sanktionen.
• Finanzermittlungsbehörde (Mali Suçları Araştırma Kurulu Başkanlığı, MASAK): Kundenidentifizierung, wirtschaftlich Berechtigter, Verdachtsmeldung, Compliance-Programm, Travel Rule und verschärfte Maßnahmen.
• TÜBİTAK: Kriterien für Informationssysteme und technologische Infrastruktur sowie Unterstützung technischer Prüfverfahren.
• Zentrale Registerstelle (Merkezi Kayıt Kuruluşu, MKK): Abgleich der Berichte von Plattform und Verwahrstelle, zentrale buchmäßige Berichterstattung und Infrastruktur zur Anzeige von Kundenbeständen.
• Bankenaufsicht (Bankacılık Düzenleme ve Denetleme Kurumu, BDDK): Kryptoverwahrungstätigkeit von Banken und Verfahren der Stellungnahme.
• Zentralbank der Republik Türkei: Verbote zur Nutzung von Kryptowerten bei Zahlungen und zur Vermittlung durch Zahlungs-/E-Geld-Institute.
• Datenschutzbehörde (Kişisel Verileri Koruma Kurumu): Kundengewinnung auf Distanz, biometrische Daten, Transaktionsüberwachung, Datenübermittlung ins Ausland und Datensicherheit.
• Einkommensverwaltung (Gelir İdaresi Başkanlığı) und Finanzverwaltung: Gesellschaftsgewinn, Transaktionserträge, Lohnabrechnung, Quellensteuer, Aufwand und Belegpflichten.

Das SPK-Verfahren ist zweistufig: Gründungsgenehmigung und Betriebserlaubnis

Erste Stufe: Gründungsgenehmigung

Die Gründer beantragen bei der SPK, bevor sie die Gesellschaft im Handelsregister gründen, die Genehmigung mit einem den Gründungsvoraussetzungen entsprechenden Gesellschaftsvertrag und Gründer-/Gesellschafterunterlagen. Die Behörde kann Kapitalquelle, Beteiligungsstruktur, wirtschaftlich Berechtigte, finanzielle Leistungsfähigkeit, Ruf, Konzernstruktur, geplante Tätigkeiten und Organisationsdesign prüfen und zusätzliche Informationen, eine unabhängige Prüfung oder ein Rating verlangen. 2

Die Gründungsgenehmigung ist keine Betriebserlaubnis. Die Gesellschaft, der die Gründungsgenehmigung erteilt wurde, darf weder Kunden aufnehmen noch werben, Aufträge annehmen, Vermögenswerte transferieren oder Verwahrdienstleistungen beginnen, die den Eindruck erwecken würden, sie nehme die Tätigkeit auf.

Kernbestandteile der Unterlagen zur Gründungsgenehmigung

Die Unterlagen zur Gründungsgenehmigung müssen zwischen Entwurf des Gesellschaftsvertrags, Tätigkeits- und Erlösmodell, Schema der unmittelbaren und mittelbaren Beteiligungen, Angaben zu wirtschaftlich Berechtigten, Kapitalquelle, dreijähriger Finanzprognose, Organisationsmodell und geplanter technischer Architektur schlüssig sein. Wird in einem Dokument nur die Plattform, in einem anderen die Verwahrungs- oder Liquiditätsbereitstellungstätigkeit beschrieben, kann der Eindruck entstehen, der Umfang sei unklar oder widersprüchlich.

Zweite Stufe: Betriebserlaubnis und Berechtigungsurkunde

Im Anschluss an die Gründungsgenehmigung müssen die Gesellschaft vorschriftsmäßig gegründet, das Kapital eingezahlt, Geschäftsleitung und Personal bestellt, Einheiten für interne Kontrolle, Risiko und interne Revision eingerichtet, das MASAK-Compliance-Programm vorbereitet, die Informationssysteme und die Wallet-Architektur in Betrieb genommen sowie Verwahrverträge und technische Integrationen abgeschlossen werden. Wird nach der Gründungsgenehmigung nicht innerhalb von sechs Monaten die Betriebserlaubnis beantragt, erlischt das Recht; die Behörde kann diese Frist auf insgesamt bis zu einem Jahr verlängern. 2

Wird dem Antrag auf Betriebserlaubnis stattgegeben, wird eine Berechtigungsurkunde (yetki belgesi) ausgestellt, die die zulässigen Dienstleistungen ausweist. Ohne Berechtigungsurkunde darf die Tätigkeit nicht aufgenommen werden. Wird die erforderliche Gebühr nicht innerhalb eines Monats nach der Mitteilung gezahlt und der Beleg der Behörde nicht vorgelegt, wird die Betriebserlaubnis aufgehoben. 2

Prüfschwelle vor der Betriebserlaubnis

Die Unterlagen zur Betriebserlaubnis sind nicht lediglich eine Mappe mit Richtlinientexten. Die Prozesse für Auftrag, Transfer, Wallet, Verwahrung, Identitätsprüfung, Protokollierung, Beschwerden, Abgleich und Notfallwiederherstellung müssen an laufenden Systemen getestet werden; Berechtigungsmatrix, Personal, Lieferantenverträge und Prüfnachweise müssen den tatsächlichen Betrieb belegen. Eine Abweichung zwischen schriftlichem Verfahren und Praxis wirkt sich unmittelbar auf das Genehmigungsverfahren und die spätere Verantwortlichkeit aus.

Welche Folgen hat ein unvollständiger Antrag?

Ein Antrag, der die von der SPK festgelegten Standards nicht erfüllt, kann ohne Prüfung zurückgegeben werden. Werden zusätzliche Informationen und Unterlagen, die die Behörde verlangt, nicht innerhalb einer Frist von nicht weniger als zehn Tagen vervollständigt, kann der Antrag von der Bearbeitung ausgenommen werden. Die Unterlagen sind daher nicht als „Abgabe von Papieren“, sondern als rechtliche, technische und finanzielle Prüfungsakte vorzubereiten.

Rechtliche Struktur der Gesellschaft und Gesellschaftsvertrag

Pflicht zur Aktiengesellschaft

Der Kryptowerte-Dienstleister muss in der Form einer Aktiengesellschaft gegründet werden. GmbH, einfache Gesellschaft, Niederlassung oder Repräsentanz genügen für sich allein nicht für die Lizenz als Plattform oder Verwahrstelle. Alle Aktien müssen auf den Namen lauten und gegen Bareinlage ausgegeben sein. Das gesamte Kapital muss in bar eingezahlt werden, das Eigenkapital darf das Mindestkapital nicht unterschreiten. 2

Ausschließlichkeit des Unternehmensgegenstands

Der Unternehmensgegenstand im Gesellschaftsvertrag ist auf die von der Behörde zu genehmigenden Kryptowerte-Dienstleistungen zu beschränken. Wer unter derselben juristischen Person weit gefasste, sachfremde Handelstätigkeiten niederlegt, erschwert die Trennung der finanziellen und operativen Risiken der lizenzierten Tätigkeit. Unterstützende Tätigkeiten im Konzern wie Software, Marketing, Personal oder Immobilien können in gesonderten Gesellschaften gehalten werden; die Inanspruchnahme externer Dienstleistungen entbindet das lizenzierte Unternehmen jedoch nicht von seiner Verantwortung.

Firma, Marke und Internet-Domain

Firma und Marke müssen die Tätigkeiten, zu denen das Unternehmen befugt ist, zutreffend wiedergeben; sie dürfen nicht den Eindruck einer Lizenz erwecken, solange noch keine Genehmigung erteilt wurde. Internet-Domain, Konto im Store für mobile Anwendungen, Markenrechte und Social-Media-Konten müssen unter Kontrolle der Gesellschaft stehen; gegen die Risiken gefälschter Domains und von Phishing sind Registrierungs-, Überwachungs- und Reaktionsverfahren einzurichten.

Kapital 2026 und laufende Anforderungen an die finanzielle Ausstattung

Mindestgründungskapital

Für das Jahr 2026 beträgt das Mindestgründungskapital für Plattformen 250.000.000 TL und für Verwahrstellen 630.000.000 TL. Der auf der früheren Seite genannte Betrag von 50.000.000 TL ist nicht mehr aktuell. 4

Das gesamte Kapital muss in bar eingezahlt werden. Die Kapitalquelle muss anhand von Bankunterlagen, Mittelbewegungen, finanzieller Leistungsfähigkeit der Gesellschafter, Einkommens-/Vermögensnachweisen und bei Mitteln ausländischer Herkunft anhand internationaler Transferbelege nachvollziehbar sein. Wird das Kapital vorübergehend fremdfinanziert eingezahlt oder lässt sich die tatsächliche Quelle nicht erklären, beeinträchtigt dies die Glaubwürdigkeit des Antrags.

Nachvollziehbarkeit der Kapitalquelle

Dass der Nennbetrag auf dem Konto eingezahlt wurde, bietet für sich allein keine hinreichende Sicherheit. Es ist zu belegen, von welchem Gesellschafter, aus welchem Rechtsgeschäft und welcher Einkommensquelle das Geld stammt und ob eine vorübergehende Finanzierung durch Dritte, verdeckte Verschuldung, eine Rückzahlungszusage oder ein Umlauf innerhalb des Konzerns vorliegt. Bei Fremdwährung und Mitteln aus dem Ausland werden Bankkette, Steuer- und Sanktionsrisiko sowie die Verbindung zum wirtschaftlich Berechtigten gemeinsam geprüft.

Eigenkapital, Kapitaladäquanz und Verschuldungsgrenze

Während der Tätigkeit darf das Eigenkapital nicht unter das Gründungskapital fallen. Mindestens 25 Prozent des Eigenkapitals müssen jeweils zum Juni eines jeden Jahres als eingezahltes oder ausgegebenes Kapital bereitgestellt sein. Die Basis der Kapitaladäquanz wird berechnet, indem Anlagevermögen, Forderungen gegen verbundene Parteien und weitere in den Vorschriften genannte Posten abgezogen werden. Die gesamten kurz- und langfristigen Verbindlichkeiten dürfen das Dreifache der Basis der Kapitaladäquanz nicht übersteigen; das Umlaufvermögen muss mindestens den kurzfristigen Verbindlichkeiten entsprechen. 3

Zusätzliches Eigenkapital bei Verwahrstellen

Übersteigen im Jahr 2026 die gesamten Kundenvermögenswerte 1.250.000.000 TL, ist zusätzliches Eigenkapital in Höhe von 1,5 Prozent des übersteigenden Teils erforderlich. Erreicht das Eigenkapital 1.900.000.000 TL, wird diese zusätzliche Bedingung nicht verlangt. Die Pflicht wird anhand des arithmetischen Mittels der Dreimonatszeiträume überwacht. 4

Liquiditätsreserve und Zusammensetzung der Reserve

Die Plattform hält eine Liquiditätsreserve in Höhe von 3 Prozent der in ihren eigenen Wallets gehaltenen Kundenvermögenswerte vor. Eine übermäßige Konzentration der Reserve auf einen einzigen Vermögenswert ist beschränkt; für neu gelistete oder marktwertschwache Vermögenswerte gelten strengere Zusammensetzungsgrenzen. Die finanzielle Ausstattung ist nicht nur eine Frage der Bilanzgröße, sondern ein Test von Liquidität und Vermögensqualität.

Prüfung von Gründern, Gesellschaftern und wirtschaftlich Berechtigten

Geprüft werden bei Gründern und Gesellschaftern Insolvenz-/Konkordatslage, Beziehung zu Finanzinstituten, deren Betriebserlaubnis in der Vergangenheit aufgehoben wurde, Verurteilungen wegen bestimmter Straftaten, Handelsverbote, finanzielle Leistungsfähigkeit, Integrität und Ruf. Mittelbare Beteiligungen, Stimmrechte, Vorrechte, Führungskontrolle und wirtschaftlich Berechtigte sind transparent darzustellen. 2

Anteilsübertragungen und Kontrollwechsel

Nach der Gründung unterliegen unmittelbare oder mittelbare Anteilsübertragungen, Kontrollwechsel und Anteile, die ein Vorrecht auf Vertretung im Verwaltungsrat verleihen, dem Genehmigungs- oder Meldeverfahren. Aktienoptionen, wandelbare Schuldtitel, Vetorechte, Gesellschaftervereinbarungen und Kontrollregelungen innerhalb des Konzerns dürfen nicht allein anhand der Beteiligungsquote im Handelsregister beurteilt werden.

Können Gesellschafter und Geschäftsleiter Ausländer sein?

Die Vorschriften enthalten kein kategorisches Verbot der Beteiligung ausländischer natürlicher oder juristischer Personen. Gleichwohl sind die Gründungsunterlagen, Tätigkeitsnachweise, die Beteiligungs- und Führungskette, die letztlich wirtschaftlich Berechtigten, Strafregisterauszüge und Nachweise über die finanzielle Leistungsfähigkeit ausländischer Gesellschafter mit Apostille oder ordnungsgemäßer Beglaubigung und türkischer Übersetzung vorzulegen. Sanktionslisten, steuerliche Ansässigkeit, Herkunftslandrisiko und Mittelflüsse innerhalb des Konzerns werden gesondert geprüft.

Verwaltungsrat, Geschäftsleitung und Personal

Der Verwaltungsrat besteht aus mindestens drei Mitgliedern

Die Aussage „mindestens drei Gesellschafter“ im früheren Text ist nicht richtig. Die Vorschriften verlangen, dass der Verwaltungsrat aus mindestens drei Mitgliedern besteht und die Mehrheit der Mitglieder Absolventen von Schulen mit vierjähriger Hochschulausbildung ist. Die Zahl der Gesellschafter ist nach dem Türkischen Handelsgesetzbuch und der Gesellschaftsstruktur eine gesonderte Frage. 2

Generaldirektor und Geschäftsleitung

Der Generaldirektor muss ausschließlich für diese Aufgabe beschäftigt, in der Türkei ansässig und in Vollzeit tätig sein. Ausbildung, Erfahrung auf den Finanzmärkten bzw. im Technologiebereich, Integrität und Ruf werden je Geschäftsleiter nachgewiesen. Aufgabenübertragung des Verwaltungsrats, Interessenkonflikte und Befugnisse für kritische Entscheidungen sind klar zu regeln.

Zwingende Funktionen

• Interne Revision: unabhängige Sicherheit über die Einhaltung der Vorschriften und internen Verfahren.
• Interne Kontrolle: laufende Überwachung der Prozesse, Kontrollen und der Einhaltung der Vorschriften.
• Risikomanagement: Messung von Markt-, Liquiditäts-, operationellen, Cyber-, Verwahr-, Kontrahenten- und Compliance-Risiken.
• Preisüberwachungseinheit: Erkennung nicht erklärbarer oder die Marktintegrität beeinträchtigender Geschäfte und Meldung an die Behörde.
• Operatives und technisches Personal: Prozesse für Aufträge, Salden, Wallets, Datenbanken, Integrationen und Berichterstattung.
• MASAK-Compliance-Einheit: Compliance-Beauftragter, Stellvertreter, Überwachung und Kontrolle, Schulung, interne Revision und Verdachtsmeldung.

Informationssysteme, Cybersicherheit und operative Resilienz

Das Hauptrisiko des Kryptowerte-Dienstleisters ist nicht allein das Marktrisiko. Verlust privater Schlüssel, nicht autorisierte Transfers, SIM-Wechsel, Kontoübernahme, gefälschte Anwendungen, Missbrauch von Befugnissen, Ausfall von Lieferanten, Verletzung der Datenintegrität und Missbrauch des Wiederherstellungsschlüssels können unmittelbar Kundenschäden und die Verantwortlichkeit der Geschäftsleiter begründen. Das Gesetz sieht für Verluste von Kryptowerten durch den Betrieb der Informationssysteme, Cyberangriffe, Verletzungen der Informationssicherheit und Verhalten des Personals ein strenges Haftungsregime vor. 1

TÜBİTAK-Infrastrukturkriterien und unabhängige Prüfung

Die Konformität der Informationssysteme und der technologischen Infrastruktur mit den TÜBİTAK-Kriterien kann im Gründungs- und Betriebsgenehmigungsverfahren geprüft werden. Kryptowerte-Dienstleister lassen ihre Informationssysteme und internen Kontrollprozesse mindestens einmal im Jahr durch eine zugelassene unabhängige Prüfung prüfen; Prüfungen des Reservenachweises werden gesondert durchgeführt. Der Prüfbericht soll nicht die nachträgliche Offenlegung schwacher Kontrollen, sondern Teil eines regelmäßigen Verbesserungszyklus sein.

Wallet-Sicherheit

• Zweck, Limits und Zugriffsbefugnisse von Hot- und Cold-Wallets sind gesondert zu definieren.
• Erzeugung, Aufteilung, Verwahrung, Sicherung und Signierung privater Schlüssel müssen auf Funktionstrennung beruhen.
• Bei Verfahren wie Multisignatur oder Multi-Party-Computation ist zu verhindern, dass eine einzige Person den Transfer abschließt.
• Verfahren zur Schlüsselwiederherstellung und für den Notfall sind zu testen; die Testprotokolle sind aufzubewahren.
• Adress-Whitelisting, Verhaltensanalyse, Geräte-/IP-Kontrolle und Freigaben für Transfers hoher Beträge sind gemeinsam anzuwenden.
• Gefälschte Anwendungen, Domains und Social-Media-Konten sind laufend zu überwachen; ein Plan zur Reaktion auf Vorfälle muss vorliegen.

Lebenszyklus privater Schlüssel und Reaktion auf Vorfälle

Jede Phase – Erzeugung, Verwendung, Rotation, Sicherung, Wiederherstellung und Vernichtung des Schlüssels – ist an eine eigene Berechtigungs- und Protokollordnung zu binden. Für den Moment, in dem der Schlüssel kompromittiert wird, verloren geht oder die Möglichkeit einer nicht autorisierten Signatur entsteht, sind Transferstopp, Wallet-Migration, Mitteilung an Kunden und Behörde, Sicherung beweiserheblicher Aufzeichnungen und die Schritte einer kontrollierten Wiederaufnahme der Tätigkeit im Voraus festzulegen.

Auslagerung und Cloud-Nutzung

Cloud-, Cybersicherheits-, Callcenter-, Softwareentwicklungs-, Authentifizierungs- oder Blockchain-Analysedienstleistungen können bezogen werden; die regulatorische Verantwortung kann jedoch nicht übertragen werden. Der schriftliche Vertrag muss Service Level, Prüfungsrecht, Datenstandort, Unterauftragnehmer, Vertraulichkeit, Vorfallmeldung, Kontinuität, Exit-Plan und den Zugang der Regulierungsbehörden regeln.

Verwahrmodell und Trennung der Kundenvermögenswerte

Grundsatz der Haltung im eigenen Wallet und zugelassene Verwahrung

Das Gesetz geht davon aus, dass Kunden ihre Kryptowerte in ihren eigenen Wallets halten. Vermögenswerte, die der Kunde nicht in seinem eigenen Wallet hält, werden von einer zugelassenen Bank oder von einer von der Behörde zur Verwahrung ermächtigten Einrichtung verwahrt. Kundengelder werden bei Banken gehalten; diese unterliegen nicht der Einlagensicherung. 1

95 % Verwahrung und die Tagesgrenze von 10 %

Mindestens 95 Prozent der Vermögenswerte, die Kunden nicht in ihrem eigenen Wallet halten, müssen nach aktuellem Wert bei der Verwahrstelle liegen. Zum Abgleichszeitpunkt dürfen in den Plattform-Wallets höchstens 5 Prozent gehalten werden; wird im Tagesverlauf 10 Prozent überschritten, ist der übersteigende Teil unverzüglich, ohne den Abgleichszeitpunkt abzuwarten, auf die Verwahrstelle zu übertragen. 3

Automatische Steuerung von Grenzüberschreitungen

Die Prozentgrenzen dürfen nicht nur in der Kontrolltabelle zum Tagesende überwacht werden. Saldo in den Plattform-Wallets, Preisänderungen und Kundenbewegungen sind zeitnah zu verfolgen; Warnstufen, automatische Übertragung, manuelle Freigabe, Handelsstopp und Ausnahmeprotokolle sind zu definieren. Die nachträgliche Korrektur einer Überschreitung beseitigt nicht das Verwahr- und Betriebsrisiko, das während der Überschreitung entstanden ist.

Das Kundenvermögen ist vom Gesellschaftsvermögen getrennt

Die Kundengelder und Kryptowerte sind vom Vermögen des Dienstleisters getrennt. Für Schulden des Dienstleisters dürfen Kundenvermögenswerte, für Schulden von Kunden das Vermögen der Gesellschaft – selbst für öffentliche Forderungen – nicht gepfändet, verpfändet, in die Insolvenzmasse einbezogen oder Gegenstand einer einstweiligen Maßnahme werden. Dieser Schutz verzeiht keine schlechte Buchführung oder unvollständigen Abgleiche; die Trennung muss sowohl systemisch als auch buchhalterisch nachweisbar sein. 1

MKK-Abgleich

Die Berichte von Plattform und Verwahrstelle an die MKK müssen dasselbe Ergebnis liefern. Die MKK vergleicht die Berichte, meldet Abweichungen der Behörde und erstellt die zentralen buchmäßigen Berichte so, dass der Kunde seinen Saldo im E-Yatırımcı-System abfragen kann. Eine Differenz zwischen Wallet-Saldo, Kunden-Unterkonto und Buchungssatz ist kein Problem des Tagesgeschäfts, sondern ein Risiko eines Verstoßes gegen die Regulierung.

Listing, Marktintegrität und verbotene Geschäfte

Listing-Ausschuss und Prüfung

Die Plattform muss für jeden zu listenden Kryptowert Rechtsnatur, Technologie, Projektteam, Umlauf, Verwahrmöglichkeit, Cyberrisiko, Marktintegrität, Interessenkonflikte und Informationsoffenlegung prüfen. Die Listing-Entscheidung ist keine Verkaufsentscheidung, die die kaufmännische Abteilung allein trifft; schriftliche Kriterien, ein Ausschuss und Aufzeichnungen sind erforderlich.

Preisüberwachung und marktstörende Geschäfte

Die Plattform richtet ein Preisüberwachungssystem ein, das Geschäfte erkennt, die wirtschaftlich nicht erklärbar sind und Vertrauen und Stabilität beeinträchtigen. Es besteht die Pflicht, verdächtige Konten zu beschränken, auszusetzen oder zu schließen und die Feststellungen der Behörde zu melden. Wash Trading, Geschäfte mit sich selbst, Scheinvolumen, koordinierte Preisbewegungen und Geschäfte von Mitarbeitern bzw. verbundenen Parteien sind in die Überwachungsszenarien einzubeziehen.

Verbot von Hebel, Kredit, Derivaten, Leerverkäufen und Wertpapierleihe

Auf der Plattform gelistete Kryptowerte dürfen nicht Gegenstand von Hebelgeschäften, Derivatverträgen, Kreditkäufen, Leerverkäufen und Leihgeschäften sein. Auch wenn das Produkt „Termin“, „Earn“, „Margin“, „Kreditvergabe“ oder anders als Marketingname heißt, kann die wirtschaftliche Funktion das Verbot nicht umgehen. 3

Renditezusage und Verfügung über Kundenvermögen

Die KVHS darf außer in zulässigen Sonderfällen weder schriftlich noch mündlich zusagen, dass ein Kryptowert eine bestimmte Rendite erbringt; sie darf über Bargeld und Kryptowerte der Kunden nicht ohne Berechtigung zu eigenen Gunsten oder zugunsten Dritter verfügen. Liquiditäts- und Staking-ähnliche Produkte sind rechtlich und technisch gesondert zu prüfen.

Kundenaufnahme, Vertrag und Information

Rahmenvertrag

Die Beziehung zum Kunden muss auf einem vorschriftsmäßigen Rahmenvertrag in schriftlicher oder elektronischer Form beruhen. Der Vertrag muss Dienstleistungsumfang, Entgelte, Auftragsübermittlung, Verwahrung, Transfer, Abgleich, Verzug, Stornierung von Geschäften, Streitigkeiten, personenbezogene Daten, elektronische Benachrichtigung, Kontosicherheit und die Bedingungen für die Einschränkung des Kontos klar regeln. Der Vertrag kann die Pflichten der Gesellschaft nicht durch Haftungsausschlüsse aufheben, die zwingenden Vorschriften widersprechen.

Risikoaufklärungsformular

Dem Kunden sind die Risiken von Preis, Liquidität, Technologie, Cyberangriff, privatem Schlüssel, Regulierung, Token-Projekt und ausländischen Plattformen der Kryptowerte zu erläutern. Die Betriebserlaubnis bedeutet nicht, dass das Geschäft unter staatlichem Schutz stünde oder dass der Kryptowert eine staatliche Garantie trüge; Kryptowerte unterliegen nicht dem Anlegerentschädigungssystem. 1

Entgelt, Spread und Interessenkonflikt

Provision, Spread, Verwahrung, Transfer, Auszahlung, Listing und sonstige Entgelte sind dem Kunden klar mitzuteilen. Dass die Plattform mit ihrem eigenen Portfolio Gegenpartei von Kundengeschäften wird, Beziehungen zu Liquiditätsanbietern, verbundene Token-Projekte und von Konzerngesellschaften bezogene Dienstleistungen sind in der Richtlinie zu Interessenkonflikten zu behandeln.

MASAK-Compliance-Programm

Kryptowerte-Dienstleister sind nach den Vorschriften zur Bekämpfung der Geldwäsche und der Terrorismusfinanzierung verpflichtet. Compliance bedeutet nicht nur, ein Foto des Kundenausweises zu erheben; sie ist ein Managementsystem, das Risikomanagement, Überwachung und Kontrolle, Compliance-Beauftragten, Schulung, interne Revision, Verdachtsmeldung und Aufbewahrung von Aufzeichnungen umfasst. 6

Kenntnis des Kunden und des wirtschaftlich Berechtigten

Beim Aufbau einer dauerhaften Geschäftsbeziehung wird die Identität unabhängig vom Betrag festgestellt. Bei juristischen Personen werden neben dem Vertreter die Beteiligungsstruktur und der wirtschaftlich Berechtigte bestimmt; eine Erklärung darüber, ob für fremde Rechnung gehandelt wird, wird eingeholt. Das Kundenprofil wird mit Angaben zu Einkommen und Mittelherkunft, erwartetem Transaktionsvolumen, Risikoländern, Produkt und Kanal aktualisiert.

Kontrollkette bei juristischen Personen als Kunden

Es darf nicht bei der Feststellung der im Handelsregister eingetragenen unmittelbaren Gesellschafter stehen geblieben werden. Mittelbare Beteiligungen, Stimmbindungsverträge, Vorrechte, Vetorechte, Rechte zur Bestellung der Geschäftsführung, Trusts oder ähnliche Strukturen sowie die Befugnis der im Namen der Gesellschaft handelnden Person sind zu prüfen. Kann der wirtschaftlich Berechtigte nicht festgestellt werden oder passen Mittelherkunft und Gesellschaftstätigkeit nicht zusammen, wirkt sich das auf die Entscheidung über Kundenaufnahme und verschärfte Maßnahmen aus.

Identifizierung auf Distanz

Die Kundengewinnung auf Distanz erfordert Kontrollen wie eine Echtzeit- und unterbrechungsfreie Videokommunikation, Sicherheitsmerkmale des Ausweisdokuments, NFC oder gleichwertige Verifizierung, Lebendigkeitstest, biometrischen Abgleich, Einmalpasswort und Integrität der Aufzeichnung. Durch die Änderung vom 28. Februar 2026 wurden die KVHS ausdrücklich in den Anwendungsbereich der Mitteilung zur Identifizierung auf Distanz aufgenommen. 7

Politisch exponierte Personen

Es ist zu bestimmen, ob der Kunde oder der wirtschaftlich Berechtigte eine politisch exponierte Person ist; bei ausländischen PEP und bei als riskant geltenden inländischen/internationalen PEP-Beziehungen sind die Zustimmung der obersten Führungsebene, die Prüfung der Mittelherkunft und eine strenge Überwachung anzuwenden. Das Ausscheiden aus dem Amt bedeutet nicht, dass das Risiko von selbst endet.

Verdachtsmeldung

Bestehen Informationen, Verdacht oder hinreichende Gründe, dass das Geschäft mit illegalem Glücksspiel, Betrug, Vermietung von Konten, Ransomware, Sanktionsverstoß, Mixer/Tumbler, Privacy-Vermögenswerten, Cross-Chain-Bridges, Mule-Konten oder einem ungewöhnlichen Transfermuster zusammenhängt, ist bei der MASAK eine vertrauliche Verdachtsmeldung abzugeben. Dem Kunden darf nicht offenbart werden, dass eine Meldung erfolgt ist.

Compliance-Beauftragter und Compliance-Einheit

Nach der Betriebserlaubnis sind innerhalb von dreißig Tagen ein Compliance-Beauftragter und mindestens ein stellvertretender Compliance-Beauftragter zu bestellen. Die Bestellungsunterlagen werden der MASAK innerhalb der festgelegten Fristen übermittelt. Der Compliance-Beauftragte muss Zugang zum Verwaltungsrat, Unabhängigkeit sowie ausreichendes Budget und Personal haben. 6

Travel Rule, Transferfristen und Stablecoin-Limits

Travel Rule

In der Kryptotransfer-Nachricht müssen die Angaben zu Absender und Empfänger sicher übermittelt werden; für fehlende oder nicht verifizierbare Angaben müssen Verfahren zur Nachforderung, Rückgabe, Zurückweisung und Risikoerhöhung bestehen. Die Transfersoftware kann sich nicht damit begnügen, die Blockchain-Transaktion zu veröffentlichen; eine gleichzeitige Datennachricht und Kontrahentenrisikoprüfung sind erforderlich.

Fehlende oder nicht verifizierbare Transferdaten

Gehen vom gegenüberstehenden Dienstleister die Pflichtangaben nicht ein, darf das Geschäft nicht automatisch abgeschlossen werden. Je nach Art der Lücke sind Informationen anzufordern, der Transfer zurückzuhalten, zurückzugeben oder zurückzuweisen, das Kunden- und Kontrahentenrisiko zu erhöhen und eine Verdachtsprüfung vorzunehmen. Das technische System muss unter Berücksichtigung der Unumkehrbarkeit der Blockchain-Transaktion die Datenvalidierung vor der Veröffentlichung verorten.

48 Stunden und 72 Stunden bei der ersten Auszahlung

Bei bestimmten Auszahlungen an ein nicht registriertes Wallet oder an eine ausländische Einrichtung, die keiner der Travel Rule ähnlichen Pflicht zum Datenaustausch unterliegt, erfolgt der Transfer frühestens 48 Stunden nach Kauf, Tausch oder Einzahlung des Kryptowerts; bei der ersten Auszahlung des Kunden beträgt diese Frist mindestens 72 Stunden. 6

Auszahlungslimits für Stablecoins

Für Auszahlungen von Stablecoins gilt ein Limit im Gegenwert von täglich 3.000 US-Dollar und monatlich 50.000 US-Dollar. Bei Transfers, auf die die Travel Rule angewandt wird, können die Limits verdoppelt werden. Die Ausnahme für Liquiditätsbereitstellung, Market Making oder Arbitrage ist an einen Verwaltungsratsbeschluss je Kunde, Nachweise zur Mittelherkunft und laufende Überwachung gebunden. 6

Transferbeschreibung von mindestens 20 Zeichen

Die Plattform muss bei allen Krypto-Transfers vom Kunden eine mindestens 20 Zeichen lange Beschreibung einholen, die die Art des Geschäfts erläutert. Die automatische Annahme allgemeiner oder bedeutungsloser Angaben verwirklicht den Zweck der Regel nicht; die Beschreibung ist bei der Risikoanalyse zu verwenden. 6

Schutz personenbezogener Daten und Data Governance

Identität auf Distanz, Gesichtsbild, Liveness-Daten, Ausweisdokument, Geräte-Fingerabdruck, IP, On-Chain-Adresse, Transaktionshistorie und Risiko-Score werfen das Regime für personenbezogene Daten auf. Biometrische Daten können Daten besonderer Art sein. Verarbeitungszweck, Rechtsgrundlage, Aufbewahrungsdauer, Zugriffsbefugnis, Übermittlung ins Ausland, Lieferantenbeziehung und Reaktion auf Datenschutzverletzungen sind nach dem KVKK gesondert einzurichten.

Informationspflicht und ausdrückliche Einwilligung sind nicht dasselbe

Für gesetzlich begründete Identitäts- und Aufzeichnungspflichten wird nicht immer eine ausdrückliche Einwilligung verlangt; Marketing, Profiling oder nicht zwingende biometrische Nutzung können dagegen eine andere Rechtsgrundlage erfordern. Informationstext, Vertrag, Cookie-Präferenz und Erlaubnis zur kommerziellen Mitteilung haben unterschiedliche Funktionen.

Datenübermittlung ins Ausland

Cloud, E-Mail, Kundensupport, Blockchain-Analyse oder die Integration von Konzerngesellschaften können Daten ins Ausland bringen. Die Übermittlungsmechanismen des KVKK, Standardverträge und der Datenstandort sind vor dem Antrag zu kartieren. Die Anforderungen von SPK und MASAK an Datenzugriff und Aufbewahrung in der Türkei sind in den Lieferantenverträgen abzusichern.

Ausländische Plattformen und grenzüberschreitende Dienstleistung

Dass eine im Ausland gegründete Plattform keine Gesellschaft in der Türkei hat, beseitigt nicht das Verbot einer auf die Türkei ausgerichteten Tätigkeit. Die Eröffnung eines Geschäftssitzes in der Türkei, die Erstellung einer türkischsprachigen Website oder unmittelbare oder mittelbare Werbung und Marketing über in der Türkei ansässige Personen/Einrichtungen führen dazu, dass die Tätigkeit als auf die Türkei ausgerichtet gilt. In diesem Fall können nicht genehmigte Tätigkeit, Entfernung von Inhalten/Zugangssperre und strafrechtliche Verantwortlichkeit entstehen. 1

Einwand der passiven Kundengewinnung (reverse solicitation)

Dass ein türkischer Nutzer aus eigener Initiative auf die ausländische Plattform zugreift, ist nicht dasselbe wie eine Ausrichtung der Plattform auf die Türkei. Bestehen jedoch türkischsprachige Kampagnen, lokale Influencer, TL-Parität, türkischer Kundenservice, lokale Zahlungskanäle, ein türkeispezifischer Bonus oder ein Vertriebsteam, wird der Einwand „der Kunde kam von selbst“ geschwächt.

Indikatoren für die Ausrichtung auf die Türkei

Die Sprache ist allein nicht in jedem Fall entscheidend; Domain, Targeting im App Store, Werbebudget, Programm zur Nutzergewinnung in der Türkei, lokaler Vertreter oder Callcenter, Handelspaare in Türkischer Lira, lokale Bankbeziehungen und eine türkeispezifische Vertrags-/Entgeltstruktur werden gemeinsam beurteilt. Auch die Marketing- oder Kundensupportrolle einer türkischen Gesellschaft innerhalb des Konzerns kann die Natur der grenzüberschreitenden Tätigkeit verändern.

Technologie- oder Liquiditätsbeziehung mit einer ausländischen Konzerngesellschaft

Der Bezug von Software, Marke, Liquidität, Auftragsweiterleitung oder Verwahrdienstleistung von einer ausländischen Konzerngesellschaft kann bedeuten, dass die Dienstleistung faktisch ins Ausland verlagert wird. Bei welcher Gesellschaft Datenzugriff, Kundenauftrag, Wallet-Kontrolle und Preisbildung liegen, danach richten sich Lizenzumfang und Auslagerungsregeln.

Nutzung von Kryptowerten bei Zahlungen

Nach der Regelung der Zentralbank (TCMB) dürfen Kryptowerte bei Zahlungen weder unmittelbar noch mittelbar verwendet werden; Zahlungsdienstleister dürfen kein derartiges Geschäftsmodell entwickeln, und Zahlungs-/E-Geld-Institute dürfen Geldtransfers an Krypto-Plattformen oder von diesen nicht vermitteln. Die Bankintegration einer Plattform und die Integration eines Zahlungsinstituts unterliegen nicht demselben Rechtsregime. 8

Die geplante Verwendung eines Tokens als Preisangabe oder Zahlungsmittel im Handel kann nicht allein mit der SPK-Genehmigung gelöst werden. Das Produktdesign ist gesondert nach den Regelungen der TCMB, dem Gesetz Nr. 6493 und gegebenenfalls dem E-Geld-Recht zu prüfen.

Buchführung, Steuern und jährliche institutionelle Beiträge

Das Steuermodell muss auf das Tätigkeitsmodell abgestimmt werden

Plattformprovision, Spread-Erträge, Listing-Entgelt, Verwahrerträge, Technologiedienstleistung, Eigenportfoliogeschäfte, Token-Verteilung und Zahlungen an ausländische Konzerngesellschaften haben nicht dieselbe steuerliche Natur. Körperschaftsteuer, Mehrwertsteuer oder BSMV (Bank- und Versicherungsgeschäftssteuer), Verrechnungspreise, verdecktes Eigenkapital, Quellensteuer, Kursdifferenz und Belegordnung sind nach dem Geschäftsmodell zu beurteilen. Verallgemeinerungen wie „Krypto-Geschäfte sind steuerfrei“ oder „auf jedes Geschäft fällt dieselbe Steuer“ sind nicht verlässlich.

Beiträge an SPK und TÜBİTAK

Nach dem Gesetz zahlen Plattformen bis Ende Mai des betreffenden Jahres 1 Prozent ihrer gesamten Erträge des Vorjahres ohne Zinserträge an den Haushalt der SPK und 1 Prozent an den Haushalt von TÜBİTAK zur Verwendung für die Entwicklung der Blockchain und der damit verbundenen Informationstechnologien. Diese Belastung ist ein von der klassischen Steuerberechnung getrennter regulatorischer Kostenfaktor. 1

In der Haushaltsplanung übersehene Aufwendungen

• Gebühren für Gründungs- und Betriebserlaubnis sowie jährliche regulatorische Beiträge.
• Neben dem Mindestkapital der Bedarf an Eigenkapital und Liquiditätsreserve.
• Kosten für Verwahrstelle, Bank, MKK, unabhängige Prüfung und Reservenachweis.
• Infrastruktur für Cybersicherheit, HSM/MPC, Blockchain-Analyse, Protokollierung und Geschäftskontinuität.
• Qualifiziertes Personal, Compliance-Beauftragter, interne Kontrolle, Risiko- und Revisionsfunktionen.
• Beratung in Recht, Steuern, Datenschutz, Marke und Vertragswesen.

Werbung, Promotion, Influencer und kommerzielle Kommunikation

Werbung und kommerzielle Kommunikation der KVHS müssen den Genehmigungsumfang, die Risiken und die Art des Produkts zutreffend wiedergeben. Der Eindruck einer sicheren Rendite, eines risikolosen Gewinns, einer staatlichen Garantie, eines „von der SPK genehmigten Coins“, eines einlagenähnlichen Schutzes oder einer Anlegerentschädigung kann Rechtswidrigkeit begründen. Bonus-, Empfehlungs-, Geschenk-Token-, Verlosungs- und Influencer-Kampagnen sind im Voraus im Hinblick auf Inhalte, die das Anlegerverhalten fördern, und auf das Werbeverbot bzw. die Verhältnismäßigkeit zu prüfen.

Influencer-Inhalte gelten nicht als außerhalb der Gesellschaft stehend

Von einer Agentur oder einem Influencer veröffentlichte Inhalte können wegen vertraglicher Kontrolle und Interessenbeziehung als kommerzielle Kommunikation der Gesellschaft gelten. Ein Freigabeprozess für Inhalte, zwingende Risikohinweise, Archiv, Kampagnen-Targeting und ein Mechanismus zum Löschen/Korrigieren sind einzurichten.

Kundenschutz, Haftung und Streitigkeiten

Die Betriebserlaubnis ist keine staatliche Garantie

Die SPK-Befugnis bedeutet nicht, dass die Geschäfte unter staatlichem Schutz stünden. Kryptowerte unterliegen nicht dem Anlegerentschädigungssystem; Kryptowerte und zugehörige Gelder bei der Bank fallen nicht unter die Einlagensicherung. Der Kunde trägt weiterhin das Kunden-, Kontrahenten-, Technologie- und Marktrisiko. 1

Haftung der Gesellschaft und der Geschäftsleiter

Die KVHS haftet für Schäden aus ihrer rechtswidrigen Tätigkeit und daraus, dass sie ihre Pflicht zur Barzahlung oder Lieferung von Kryptowerten nicht erfüllen kann. Kann der Schaden von der Gesellschaft nicht ersetzt werden, kann je nach Verschulden und den Erfordernissen der Lage die persönliche Haftung der Organmitglieder in Betracht kommen. Für Verluste, die auf Cyberangriffe, Verletzungen der Informationssicherheit und Verhalten des Personals zurückgehen, regelt das Gesetz eine besondere Haftung gestützt auf Art. 71 des Türkischen Schuldrechts (TBK). 1

SIM-Wechsel und Kontoübernahme

In Streitigkeiten über Kontoübernahmen werden Verschulden und Kausalität zwischen Mobilfunkanbieter, Plattform, Nutzer und Straftätern gesondert geprüft. Die Entscheidung der 3. Zivilkammer des Kassationshofs (Yargıtay 3. Hukuk Dairesi) vom 15.04.2026, E. 2025/5307, K. 2026/2209, hat betont, dass die zum Zeitpunkt des Vorfalls nicht in Kraft befindlichen neuen Informationssystemregeln der SPK nicht auf einen zurückliegenden Vorfall angewandt werden können. Diese Entscheidung ist wichtig dafür, dass das aktuelle Regime nicht automatisch auf Fälle vor 2024 angewandt wird; sie verengt nicht den Umfang der KVHS-Pflichten im Jahr 2026. 9

Beweismittel

• Kundenvertrag, Risikoformular, Aufzeichnungen zu ausdrücklicher Einwilligung und Information.
• Logs zu IP, Gerät, Sitzung, SIM-Wechsel, Authentifizierung und Transaktionsfreigabe.
• Wallet-Adressen, Transaktions-Hashes, Blockchain-Analyseberichte und Angaben zur Gegenpartei.
• Callcenter-, E-Mail-, Supportaufzeichnungen, Alarm- und Vorfallreaktionsaufzeichnungen.
• Berechtigungsmatrix, Zugriffsprotokolle des Personals, Änderungs- und Versionsaufzeichnungen.
• Abgleichsaufzeichnungen von Verwahrstelle, Bank, MKK und Plattform.

Nicht genehmigte Tätigkeit, Verwaltungsmaßnahmen und strafrechtliche Verantwortlichkeit

Nicht genehmigter Betrieb als Kryptowerte-Dienstleister

Die Ausübung der KVHS-Tätigkeit ohne Genehmigung kann neben der Einstellung der Tätigkeit, der Entfernung von Werbung, der Löschung von Inhalten oder der Zugangssperre zu einem Strafverfahren führen. Artikel 109/A des Gesetzes sieht für die nicht genehmigte Tätigkeit Freiheitsstrafe von drei bis fünf Jahren und Geldstrafe von fünftausend bis zehntausend Tagessätzen vor. In den Bulletins der SPK für 2026 wurden Beschlüsse zur Strafanzeige gegen nicht genehmigte Plattformen und gegen Domain-/Infrastrukturbeziehungen, die diese Tätigkeit unterstützen, veröffentlicht. 110

Risiko der Vermittlung und Bereitstellung von Infrastruktur

Die Rolle von Personen und Unternehmen, die einer nicht genehmigten Plattform Marke, Domain, lokale Zahlung, Kundenvermittlung, Callcenter, Werbung oder technische Infrastruktur bereitstellen, kann gesondert geprüft werden. Die bloße Erbringung allgemeiner Dienstleistungen ist nicht dasselbe wie eine besondere Zusammenarbeit, die die bewusste Fortführung der nicht genehmigten Tätigkeit erleichtert; Vertrag, Erlösbeteiligung, Kontrolle und der Grad des tatsächlichen Beitrags beeinflussen das Straf- und Verwaltungsmaßnahmenrisiko.

Veruntreuung (zimmet)

Für Verwaltungsratsmitglieder und Organangehörige, die Geld, andere Sachen oder Kryptowerte, die ihnen aufgrund ihrer Aufgabe anvertraut wurden oder die sie zu schützen/verwahren hatten, sich selbst oder einem anderen zueignen, sind Freiheitsstrafe von acht bis vierzehn Jahren und Geldstrafe vorgesehen; bei Arglist ist eine schwerere Strafe vorgesehen. Auch die Verwendung der Mittel einer Gesellschaft, deren Betriebserlaubnis entzogen wurde, durch beherrschende Gesellschafter in einer Weise, die die Gesellschaft gefährdet, unterliegt der besonderen Veruntreuungsregelung. 1

Vorübergehende Einstellung der Tätigkeit oder Aufhebung der Erlaubnis

Eine Schwächung der Finanzstruktur, die Nichterfüllung von Zahlungs-/Lieferpflichten gegenüber Kunden, der Verlust der Gründungs- oder Tätigkeitsvoraussetzungen, falsche Erklärungen sowie Mängel bei Informationssystemen und internen Systemen können zur vorübergehenden Einstellung der Tätigkeit oder zur Aufhebung der Erlaubnisse führen. Der Verlust von Voraussetzungen ist der Behörde innerhalb von drei Werktagen zu melden.

Rechtsweg gegen Entscheidungen der SPK

Die Ablehnung eines Antrags auf Gründungs- oder Betriebserlaubnis, die Ausnahme von der Bearbeitung, die Einstellung der Tätigkeit, die Aufhebung der Erlaubnis, ein Bußgeld (idari para cezası) oder eine Zugangsmaßnahme können je nach Art der Maßnahme der verwaltungsgerichtlichen Kontrolle unterliegen. Die Klageerhebung hemmt die Maßnahme nicht von selbst. Zuständigkeit, Form, Begründung, tatsächlicher Sachverhalt, Verhältnismäßigkeit und Gleichbehandlungsgrundsatz sind zusammen mit technischen Berichten und der Antragsakte zu beurteilen.

Der Antrag auf Aussetzung des Vollzugs (yürütmenin durdurulması) muss nicht nur auf die Behauptung eines wirtschaftlichen Schadens, sondern auf die Voraussetzungen offensichtlicher Rechtswidrigkeit und eines schwer ersetzbaren Schadens gestützt werden. Wenn die Tätigkeit ein Risiko für Kundenvermögen oder die Finanzstabilität birgt, ist die Abwägung des öffentlichen Interesses zusätzlich wichtig.

Listen der Übergangszeit und frühere Fristen

Die einmonatige Anzeigefrist von 2024 und der Übergangskalender 2025–2026 galten für Einrichtungen, die bei Inkrafttreten des Gesetzes bereits tätig waren. Für neu zu gründende Gesellschaften gilt nicht das Übergangsregime, sondern das Verfahren der Gründungsgenehmigung und Betriebserlaubnis nach III-35/B.1. Die Aussagen im früheren Beitrag „Meldung bis zum 02.08.2024“ und „Fortführung der Tätigkeit während des Antragsverfahrens“ sind für neue Gründer nicht mehr aktuell.

Die „Liste der Tätigen“ (Faaliyette Bulunanlar Listesi) auf der Website der SPK wird weiterhin als vorläufige Liste veröffentlicht, und die Behörde erklärt ausdrücklich, dass die Aufnahme in die Liste keine Genehmigung bedeutet. Bei der Beurteilung des Lizenzstatus einer Gesellschaft sind nicht nur die vorläufige Liste, sondern die Berechtigungsurkunde und der Genehmigungsumfang zu prüfen. 11

Roadmap für Gründung und Lizenz Schritt für Schritt

1. Definieren Sie das Geschäftsmodell: Trennen Sie zwischen Plattform, Verwahrung, Transfer, Erstverkauf, Anlageberatung, Technologie oder Dienstleistung innerhalb des Konzerns.
2. Erstellen Sie ein rechtliches Gutachten zum Umfang: Bestimmen Sie, welche Dienstleistungen genehmigungspflichtig sind und welche verboten sind oder in die Zuständigkeit einer anderen Behörde fallen.
3. Bauen Sie die Gesellschafter- und Finanzierungsstruktur auf: Schaffen Sie Transparenz bei wirtschaftlich Berechtigtem, Kapitalquelle, Unterlagen ausländischer Gesellschafter und Kontrollrechten.
4. Entwerfen Sie Gesellschaftsvertrag und Führungsmodell: Regeln Sie Unternehmensgegenstand, Firma, Aktien, Verwaltungsrat, delegierte Befugnisse und Interessenkonflikte.
5. Vervollständigen Sie die Unterlagen zur Gründungsgenehmigung nach den aktuellen SPK-Formularen und reichen Sie sie bei der Behörde ein.
6. Tragen Sie nach der Gründungsgenehmigung die Gesellschaft ein, zahlen Sie das Kapital ein und eröffnen Sie die Firmenkonten.
7. Nehmen Sie die technische Architektur in Betrieb: Schließen Sie Auftrag, Wallet, Verwahrung, Sicherheit, Protokollierung, Berichterstattung, Notfallwiederherstellung und MKK-Integration ab.
8. Bauen Sie die Beziehungen zu Verwahrstelle und Bank auf; testen Sie Verträge, Abgleiche und Abläufe der Vermögensübertragung.
9. Vervollständigen Sie interne Systeme und Personal: Geschäftsleitung, Generaldirektor, Risiko, interne Kontrolle, Revision, Betrieb, Informationssicherheit und Compliance.
10. Bereiten Sie die Kundenunterlagen vor: Vertrag, Risikoformular, Entgelttarif, KVKK-Texte, Beschwerde- und Kontosicherheitsprozesse.
11. Schließen Sie Lücken bei unabhängiger Prüfung, Reservenachweis, Penetrationstest und Geschäftskontinuitätstests.
12. Stellen Sie den Antrag auf Betriebserlaubnis, ohne die Sechsmonatsfrist ab der Gründungsgenehmigung zu versäumen; nehmen Sie die Tätigkeit nicht ohne Berechtigungsurkunde auf.

Checkliste der Unterlagen für Gründungs- und Betriebserlaubnis

Unterlagen der Gründer und Gesellschafter

• Ausweis/Reisepass, Wohnsitz- und Kontaktdaten.
• Strafregisterauszug und erforderliche Erklärungen zu Finanzen/Ruf.
• Lebenslauf, Ausbildungs- und Erfahrungsnachweise.
• Nachweise zu finanzieller Leistungsfähigkeit, Vermögen, Einkommen und Kapitalquelle.
• Bei juristischen Personen als Gesellschaftern Gründungsunterlagen, Jahresabschlüsse und Konzernschema.
• Bei ausländischen Unterlagen Apostille/Beglaubigung und vereidigte Übersetzung.
• Schema der unmittelbaren/mittelbaren Beteiligung und des letztlich wirtschaftlich Berechtigten.

Unternehmensunterlagen

• Entwurf des Gesellschaftsvertrags im SPK-Format.
• Businessplan, Budget, Erlösmodell und dreijährige Finanzprognose.
• Organigramm, Aufgabenbeschreibungen und Berechtigungsmatrix.
• Arbeitsgrundsätze von Verwaltungsrat und Ausschüssen.
• Richtlinien zu interner Kontrolle, Risikomanagement, interner Revision und Interessenkonflikten.
• MASAK-Compliance-Programm, Risikopolitik und Verfahren zur Verdachtsmeldung.
• Inventar der Auslagerungen und Lieferanten.

Technische Unterlagen

• Systemarchitektur, Datenflüsse, Netzwerk- und Sicherheitsdiagramme.
• Lebenszyklus von Wallets und Schlüsseln, Limits für Hot- und Cold-Wallets.
• Systeme für Aufträge, Geschäfte, Preisüberwachung und Marktintegrität.
• Kundenidentifizierung, Travel Rule und Integration der Blockchain-Analyse.
• Protokollierung, Reaktion auf Vorfälle, Backup und Notfallwiederherstellungsplan.
• Integrationen mit Verwahrstelle, Bank und MKK sowie Testergebnisse.
• Aufzeichnungen zu unabhängiger Prüfung, Reservenachweis, Penetrationstest und Behebung von Schwachstellen.

Häufige Fehler

• Die Annahme, für ein Kryptounternehmen genüge die bloße Gründung einer Aktiengesellschaft im Handelsregister.
• Die fortgesetzte Verwendung der früheren Kapitalangabe von 50.000.000 TL.
• Die unnötige Änderung der Gesellschafterstruktur in der Annahme, es gelte eine Bedingung „mindestens drei Gesellschafter“; das Übersehen, dass die richtige Regel mindestens drei Verwaltungsratsmitglieder lautet.
• Die Gleichsetzung der Aufnahme in die vorläufige Liste mit einer Betriebserlaubnis.
• Die Verwechslung von Gründungsgenehmigung und Betriebserlaubnis und die Kundenaufnahme vor der Berechtigungsurkunde.
• Die Annahme, die technische Infrastruktur könne erst nach den Lizenzunterlagen aufgebaut werden.
• Der Versuch, Verwahrung, MKK- und Bankintegrationen erst nach dem Produktstart zu lösen.
• Die Annahme, MASAK-Compliance bestehe nur aus dem Foto des Ausweises.
• Die Annahme, die Dienstleistung einer ausländischen Konzerngesellschaft an türkische Nutzer liege außerhalb der Lizenz.
• Die Verwendung von Ausdrücken wie „von der SPK genehmigt“, „garantiert“, „risikolos“ oder einlagenähnlichen Formulierungen in der Werbung.
• Die Annahme, bei Auslagerung von Cloud-, Software- oder Callcenter-Dienstleistungen gehe die Verantwortung auf den Lieferanten über.
• Die fehlende systemische Trennung von Kundenvermögen, Gesellschaftsvermögen und Konto des Liquiditätsanbieters.
• Die Nichteinbeziehung der Kosten für Steuern und regulatorische Beiträge in den Businessplan.

Fazit

Der Betrieb als Kryptowerte-Dienstleister in der Türkei ist nach allgemeinem Gesellschaftsrecht nicht mehr die einfache Gründung einer Aktiengesellschaft. Die Gesetzesänderung von 2024, zwei grundlegende SPK-Mitteilungen vom 13. März 2025, die verschärften Maßnahmen der MASAK und die 2026 aktualisierten Kapitalschwellen haben den Markteintritt an ein Regime aus zweistufiger Genehmigung, hohem Kapital, starker Unternehmensführung, unabhängiger Prüfung, sicherer Verwahrung und laufender Compliance geknüpft.

Ein erfolgreiches Lizenzprojekt gelingt nicht dadurch, dass das Rechtsteam das Antragsformular ausfüllt, sondern dadurch, dass die Teams für Produkt, Technologie, Finanzen, Verwahrung, Cybersicherheit, MASAK, Steuern und Unternehmensführung auf demselben Geschäftsmodell arbeiten. Die kritischste Entscheidung fällt, bevor die Gesellschaft gegründet wird: Welche Dienstleistung wird angeboten, wer erhält Zugriff auf das Kundenvermögen, woher stammt der Ertrag, und bei welcher juristischen Person liegt die regulatorische Verantwortung?

Da sich Vorschriften und Geldschwellen schnell ändern, sollten die Antragsunterlagen nicht eingereicht werden, ohne sie ein letztes Mal anhand der aktuellen SPK-Formulare, -Bulletins und MASAK-Leitfäden zu prüfen. Dieser Beitrag vermittelt allgemeine rechtliche Informationen; Lizenzumfang und Antragsstrategie zu einem konkreten Geschäftsmodell sind nach Einsicht in technische Architektur und Gesellschafterunterlagen zu bestimmen.

Häufig gestellte Fragen

Genügt es, für die Gründung eines Krypto-Unternehmens nur eine Aktiengesellschaft zu gründen?

Nein. Auch wenn die Gründung einer Aktiengesellschaft erforderlich ist, gibt sie für sich allein kein Recht zur Tätigkeit. Bei der SPK sind zunächst die Gründungsgenehmigung, danach die Betriebserlaubnis und die Berechtigungsurkunde einzuholen.

Wie hoch ist 2026 das Mindestkapital für eine Krypto-Plattform?

Für Plattformen beträgt es 250.000.000 TL. Das gesamte Kapital muss in bar eingezahlt werden; das Eigenkapital darf diesen Betrag nicht unterschreiten. Der Betrag ist am Tag der Antragstellung erneut zu prüfen.

Wie hoch ist das Mindestkapital für eine Krypto-Verwahrstelle?

Für das Jahr 2026 beträgt es 630.000.000 TL. Mit wachsenden verwahrten Kundenvermögenswerten kann auch die Bedingung für zusätzliches Eigenkapital entstehen.

Müssen in der Gesellschaft mindestens drei Gesellschafter vorhanden sein?

Nein. Die Zahl in den Vorschriften betrifft den Verwaltungsrat: Der Verwaltungsrat besteht aus mindestens drei Mitgliedern. Die Zahl der Gesellschafter ist eine gesonderte Frage des Gesellschaftsrechts.

Kann nach Erhalt der Gründungsgenehmigung sofort die Tätigkeit aufgenommen werden?

Nein. Die Gründungsgenehmigung erlaubt die Gründung der Gesellschaft. Für Kundenaufnahme und Dienstleistung sind Betriebserlaubnis und Berechtigungsurkunde einzuholen.

Innerhalb welcher Frist ist die Betriebserlaubnis zu beantragen?

Der Antrag ist innerhalb von sechs Monaten nach der Gründungsgenehmigung zu stellen. Hält die SPK es für erforderlich, kann sie die Frist verlängern, jedoch insgesamt höchstens auf ein Jahr.

Bedeutet die Aufnahme in die vorläufige Liste der SPK eine Lizenz?

Nein. Die SPK erklärt ausdrücklich, dass die Aufnahme in die Liste der Tätigen keine Genehmigung bedeutet.

Kann eine ausländische Person Gesellschafter einer Krypto-Plattform werden?

Es besteht kein kategorisches Verbot wegen der Staatsangehörigkeit. Beteiligungskette, wirtschaftlich Berechtigter, finanzielle Leistungsfähigkeit, Strafregister und ausländische Unterlagen werden jedoch im Einzelnen geprüft.

Kann ein Verwaltungsratsmitglied Ausländer sein?

Ja, sofern es die in den Vorschriften genannten Eigenschaften erfüllt und die erforderlichen Unterlagen vorlegt. Der Generaldirektor muss dagegen in der Türkei ansässig und in Vollzeit tätig sein.

Welcher Anteil der Kryptowerte der Kunden muss bei der Verwahrstelle gehalten werden?

Mindestens 95 Prozent der Kundenvermögenswerte, die nicht im eigenen Wallet gehalten werden, werden bei der zugelassenen Verwahrstelle gehalten. Auch die Anteile in den Plattform-Wallets sind gesondert beschränkt.

Darf eine Krypto-Plattform Hebelgeschäfte anbieten?

Nein. Gelistete Kryptowerte dürfen nicht Gegenstand von Hebel-, Kredit-, Derivat-, Leerverkaufs- oder Leihgeschäften sein.

Darf eine Krypto-Plattform Anlageberatung anbieten?

Wenn die Voraussetzungen vorliegen, ja. Im Jahr 2026 muss der aktuelle Wert der Kryptowerte des Kunden bei der betreffenden Plattform mindestens 60.000.000 TL betragen; qualifiziertes Personal und eine Research-Einheit müssen vorhanden sein.

Darf die Plattform das Portfolio des Kunden verwalten?

Nein. Die Verwaltung des Kundenportfolios im Auftrag oder mit mündlicher Vollmacht ist verboten.

Ist eine Identifizierung auf Distanz möglich?

Ja; die Voraussetzungen der SPK- und MASAK-Regelungen zu Lebendigkeit, Identitätsprüfung, Videokommunikation, Risikobewertung und Aufzeichnung sind jedoch einzuhalten.

Gibt es bei der ersten Krypto-Auszahlung eine Wartefrist?

Bei Transfers an bestimmte externe Wallets oder nicht konforme ausländische Einrichtungen gilt für die erste Auszahlung eine Wartefrist von mindestens 72 Stunden, bei weiteren Geschäften von mindestens 48 Stunden.

Wie hoch ist das Auszahlungslimit für Stablecoins?

Grundsätzlich gilt ein Gegenwert von täglich 3.000 US-Dollar und monatlich 50.000 US-Dollar. Bei Transfers, auf die die Travel Rule angewandt wird, kann das Doppelte gelten.

Ist beim Krypto-Transfer eine Beschreibung zwingend?

Ja. Die Plattform muss bei allen Transfers eine Beschreibung der Art des Geschäfts mit mindestens 20 Zeichen einholen.

Kann mit Kryptowerten bezahlt werden?

Die Regelung der TCMB verbietet die unmittelbare oder mittelbare Zahlung mit Kryptowerten und die darauf gerichteten Zahlungsdienste.

Stellt die Betriebserlaubnis das Kundenvermögen unter staatliche Garantie?

Nein. Die SPK-Erlaubnis ist keine staatliche Garantie; Kryptowerte unterliegen weder dem Anlegerentschädigungssystem noch der Einlagensicherung.

Braucht eine ausländische Plattform, die eine türkischsprachige Website eröffnet, eine türkische Lizenz?

Eine türkischsprachige Website, ein Büro in der Türkei oder unmittelbares/mittelbares Marketing mit Ausrichtung auf die Türkei kann dazu führen, dass die Tätigkeit als auf die Türkei ausgerichtet gilt, und begründet das Risiko einer nicht genehmigten Tätigkeit.

Erfordert das Anbieten von Wallet-Software als Technologieunternehmen eine Lizenz?

Die bloße Bereitstellung von Software, ohne dass der private Schlüssel des Kunden kontrolliert wird, kann anders beurteilt werden. Besteht jedoch Schlüsselverwaltung, Transfer oder Kontrolle über Kundenvermögen, kommt eine Verwahr-/Plattformgenehmigung in Betracht.

Welche Strafe droht für nicht genehmigte Tätigkeit als Kryptowerte-Dienstleister?

Das Gesetz sieht Freiheitsstrafe von drei bis fünf Jahren und Geldstrafe von fünftausend bis zehntausend Tagessätzen vor; zudem können Zugangs- und Tätigkeitsmaßnahmen angewandt werden.

Besteht für die Plattform eine jährliche Zahlungspflicht an SPK und TÜBİTAK?

Ja. 1 Prozent der gesamten Erträge des Vorjahres ohne Zinserträge wird an die SPK und 1 Prozent an TÜBİTAK bis Ende Mai gezahlt.

Kann bei Ablehnung des Antrags Klage erhoben werden?

Je nach Art der Maßnahme kann vor den Verwaltungsgerichten Anfechtungsklage (iptal davası) erhoben und unter den erforderlichen Voraussetzungen die Aussetzung des Vollzugs beantragt werden. Die Klage hemmt die Maßnahme nicht von selbst.

Was ist vor der Antragstellung die wichtigste Arbeit?

Die Analyse von Geschäftsmodell und Lizenzumfang. Werden Gesellschaft und technische Infrastruktur gegründet, bevor Produkt, Verwahrung, Kundengeldfluss, Beziehung zur ausländischen Konzerngesellschaft und Erlösmodell feststehen, können kostspielige Fehler entstehen.

Quellen

1. Kapitalmarktgesetz Nr. 6362 (Sermaye Piyasası Kanunu) – aktueller Text Quelle

2. Mitteilung über Gründungs- und Tätigkeitsgrundsätze von Kryptowerte-Dienstleistern (III-35/B.1) Quelle

3. Mitteilung über Arbeitsverfahren und -grundsätze sowie Kapitaladäquanz von Kryptowerte-Dienstleistern (III-35/B.2) Quelle

4. SPK-Bulletin Nr. 2025/68 – neu bewertete Beträge für das Jahr 2026 Quelle

5. SPK – Antragsverfahren für Kryptowerte-Dienstleister Quelle

6. MASAK – Compliance-Leitfaden zu den Pflichten der Kryptowerte-Dienstleister Quelle

7. SPK – Mitteilung über Identifizierung auf Distanz und elektronischen Vertrag (III-42.1) Quelle

8. TCMB – Verordnung über das Verbot der Nutzung von Kryptowerten bei Zahlungen Quelle

9. Kassationshof, 3. Zivilkammer (Yargıtay 3. Hukuk Dairesi), E. 2025/5307, K. 2026/2209, 15.04.2026 Quelle

10. SPK-Bulletin Nr. 2026/51 – Strafanzeigen wegen nicht genehmigter KVHS-Tätigkeiten Quelle

11. SPK – Liste der Tätigen (vorläufige Liste) Quelle

12. Gunes & Gunes Anwaltskanzlei – aktualisierter früherer Beitrag Quelle