Pflichten von Kryptowerte-Dienstleistern: Leitfaden zu SPK und MASAK

Zusammenfassung

Die Pflichten eines Kryptowerte-Dienstleisters in der Türkei beschränken sich nicht darauf, Ausweisdokumente einzuholen oder Verdachtsmeldungen zu erstatten. Gründungs- und Betriebserlaubnis, ausreichendes Kapital, Trennung der Kundenvermögen, sichere Verwahrung und sichere Transfers, ein wirksames Compliance-Programm, Aufbewahrung der Aufzeichnungen und die Haftung gegenüber Kunden werden gemeinsam beurteilt. Die Aufnahme in die SPK-Liste ist keine Betriebserlaubnis; auch die Listung eines Kryptowerts ist keine staatliche Garantie. Dieser Leitfaden erläutert anhand der Regelungen der Jahre 2024–2026, was Unternehmen tun müssen und welche Wege Kunden bei Verstößen offenstehen. [1, 2, 3, 6]

Wer ist ein Kryptowerte-Dienstleister, und welche Tätigkeiten sind erfasst?

Das Kapitalmarktgesetz Nr. 6362 definiert einen Kryptowert als immaterielles Gut, das mittels Distributed-Ledger-Technologie oder einer ähnlichen Technologie elektronisch erzeugt und gespeichert werden kann, über digitale Netzwerke verbreitet wird und einen Wert oder Rechte darstellen kann. Der Begriff des Kryptowerte-Dienstleisters umfasst Plattformen, Unternehmen, die Verwahrdienstleistungen erbringen, und weitere auf der Grundlage des Gesetzes bestimmte Dienstleister. Die im Alltag verwendete Bezeichnung „Kryptobörse“ besagt nicht, dass alle Unternehmen über dieselben Befugnisse verfügen. [1]

Eine Plattform ist die Organisation, in der Geschäfte wie der Handel und der Erstverkauf oder die Erstverteilung abgewickelt werden; die Verwahrdienstleistung bezeichnet die Aufbewahrung und Verwaltung von Kryptowerten oder der privaten Schlüssel, die eine Transferbefugnis über sie vermitteln. Dass Plattform, Bank, Softwareunternehmen und Verwahrgesellschaft derselben wirtschaftlichen Gruppe angehören, bedeutet nicht, dass sie eine einzige juristische Person sind. Mit welchem Unternehmen der Vertrag geschlossen wird, auf wessen Konto Bargeld eingezahlt wird und wer den Kryptowert kontrolliert, ist jeweils gesondert zu bestimmen. [1, 3]

Ein Technologieanbieter, der lediglich Software entwickelt oder den privaten Schlüssel des Kunden nicht kontrolliert, befindet sich nicht in derselben Lage wie ein Unternehmen, das Transfers auf das Kundenkonto ausführt. Gleichwohl führt allein die Bezeichnung einer Tätigkeit als „Software“, „dezentrale Finanzen“ oder „Wallet“ nicht dazu, dass sie außerhalb des Anwendungsbereichs bleibt. Die rechtliche Einordnung erfolgt anhand der Kontrolle über die Vermögenswerte, der dem Kunden angebotenen Leistung, der Entgelte, der Auftragsweiterleitung und der tatsächlichen Rolle bei den Geschäften. Auch bei NFTs, In-Game-Gütern und ähnlichen Produkten kommt es nicht auf den Namen, sondern auf das gewährte Recht und die erbrachte Leistung an. [1, 2, 3]

Deshalb sollte bei der Einrichtung eines neuen Geschäftsmodells zunächst eine Tätigkeitslandkarte erstellt werden. Welches Unternehmen nimmt Kunden an, nimmt Aufträge entgegen, genehmigt Transfers, verwahrt Vermögenswerte und schließt Verträge mit den Kunden? Solange diese Fragen nicht beantwortet sind, löst allein die Eintragung ins Handelsregister oder die Gründung einer Gesellschaft im Ausland die Erlaubnisfrage in der Türkei nicht.

Wie hat sich der Regulierungsrahmen verändert?

Kryptowerte-Dienstleister wurden am 1. Mai 2021 in den Kreis der nach MASAK Verpflichteten aufgenommen. Mit dem am 2. Juli 2024 veröffentlichten Gesetz Nr. 7518 wurden die Befugnisse der SPK zu Gründung, Betrieb, Aufsicht und Sanktionierung deutlicher gefasst; mit den Mitteilungen (Tebliğ) III-35/B.1 und III-35/B.2 vom 13. März 2025 wurden detaillierte Regeln eingeführt. Auch die MASAK-Regelungen von Ende 2024 und 2025 haben einen neuen Rahmen hinsichtlich der Stellung als Finanzinstitut, des Compliance-Programms und der Transferinformationen geschaffen. [1, 2, 3, 7]

Für 2026 sind insbesondere drei Entwicklungen gemeinsam zu lesen: die Geldbeträge im SPK-Bulletin Nr. 2025/68, der Übergangsbeschluss Nr. 18/617 vom 26. März 2026 und die MASAK-Allgemeine Mitteilung (Genel Tebliğ) Serie Nr. 34 vom 23. September 2026. Hinzu kommen die Anwendungen des Zentralen Kryptowerte-Registersystems der Zentralen Registerstelle (MKK) sowie die Änderung von 2026 zur Identifizierung ausländischer natürlicher Personen per Reisepass aus der Ferne. [4, 5, 12, 13, 14, 15]

Die SPK regelt, welche Leistung ein Unternehmen am Markt unter welchen Bedingungen anbieten darf; MASAK regelt die Maßnahmen zur Verhinderung der Geldwäsche, der Terrorismusfinanzierung und verwandter Risiken der Finanzkriminalität. Die BDDK hat eine eigene Funktion hinsichtlich der Verwahrtätigkeit der Banken, TÜBİTAK hinsichtlich der technischen Infrastrukturkriterien, die MKK hinsichtlich der Register- und Abstimmungsinfrastruktur und die KVKK hinsichtlich der personenbezogenen Daten. Die Erfüllung der Anforderungen einer Behörde hebt die Pflichten gegenüber den anderen Behörden nicht auf. [1, 2, 7, 14, 16]

Warum sind eine SPK-Erlaubnis und die Aufnahme in die Liste nicht dasselbe?

Gründungserlaubnis, Betriebserlaubnis und Zulassungsbescheinigung

Die Gründung und die Aufnahme der Tätigkeit von Kryptowerte-Dienstleistern setzen eine Erlaubnis der SPK voraus. Die Gründung in der Rechtsform der Aktiengesellschaft, die Beteiligungsstruktur, die Eigenschaften der Gesellschafter, das Kapital, die Organisation, die Informationssysteme und der Tätigkeitsumfang sind Bestandteile dieser Erlaubnisprüfung. Eine Gründungserlaubnis bedeutet nicht, dass alle Voraussetzungen für die Bedienung von Kunden erfüllt sind. Die in III-35/B.1 vorgesehenen Stufen der Betriebserlaubnis und der Zulassungsbescheinigung müssen gesondert durchlaufen werden. [1, 2]

Die allgemeine Frist für den Antrag auf Betriebserlaubnis nach der Gründungserlaubnis darf nicht mit den Übergangsfristen verwechselt werden, die für bereits zuvor Tätige eingeführt wurden. Die sechsmonatige Antragsfrist nach Art. 17 der Mitteilung und die Verlängerungsbefugnis des Kurulu (Rat der SPK) finden nicht schematisch auf sämtliche Unternehmen der Übergangsliste Anwendung. Bei einem neuen Antrag ist anhand der Akte zu bestimmen, welcher Erlaubnisbeschluss ergangen ist und durch welches Ereignis die Frist zu laufen begann. [2]

Die „Liste der tätigen Unternehmen“ (Faaliyette Bulunanlar Listesi) der SPK ist eine öffentliche Information zu den Meldungen und Prüfungen im Übergangsverfahren. Die SPK hat ausdrücklich erklärt, dass die Aufnahme in die Liste nicht bedeutet, nach den Rechtsvorschriften zugelassen zu sein. Auch die aktuellen Fußnoten der Liste, die Tätigkeitsbeschränkungen und die das Unternehmen selbst betreffenden Beschlüsse sind zu lesen. Die Verwahrerlaubnis einer Bank und die Handelsbefugnis einer Plattform derselben Gruppe können einander nicht ersetzen. [6, 25]

Die Grenze des Beschlusses vom 26. März 2026

Der SPK-Beschluss Nr. 18/617 sieht vor, dass die Frist für Plattformen im Übergangsbereich zum Abschluss eines Verwahrvertrags und zu dessen Vorlage beim Kurul sowie die Frist für die in der Liste der tätigen Unternehmen geführten Unternehmen zum Erwerb einer Zulassungsbescheinigung erst festgelegt werden, nachdem die zu ermächtigenden Verwahrer ihre Leistungen breit erbringen. Der Beschlusstext nennt kein neues festes Enddatum. [5]

Dieser Beschluss ist keine allgemeine Ausnahme von den Rechtsvorschriften. Es kann nicht geschlossen werden, dass sämtliche Pflichten wie Identifizierung, Schutz der Kundenvermögen, zutreffende Werbung, Verdachtsmeldung und Aufzeichnungsordnung aufgeschoben wurden. Der Übergangsbereich des Unternehmens, später über es ergangene Beschlüsse und der Stand des Inkrafttretens der jeweiligen Bestimmung sind gesondert zu prüfen. Auch die gegenüber Kunden verwendete Aussage „SPK-lizenziert“ muss mit einem tatsächlichen Zulassungsnachweis vereinbar sein. [1, 2, 5, 6]

Welche Kapital-, Eigenkapital- und Finanzpflichten gelten 2026?

Legt man die für 2026 im SPK-Bulletin Nr. 2025/68 vom 31. Dezember 2025 festgesetzten Beträge zugrunde, beträgt das Mindestgründungskapital für Plattformen 250.000.000 TL und für Kryptowerte-Verwahrer 630.000.000 TL. Die Beträge von 150 Millionen und 500 Millionen TL aus der Zeit der ersten Veröffentlichung der Mitteilung können nicht als aktuelle Gründungsbeträge verwendet werden. Das Sonderregime, dem Banken für die Verwahrtätigkeit unterliegen, wird gesondert beurteilt. [3, 4]

Das Gründungskapital, das während der Tätigkeit zu wahrende Eigenkapital, die Kapitaladäquanzbasis und die liquide Reserve sind nicht dieselbe Größe. Die Kapitaladäquanzbasis wird anhand von Risikorückstellungen und Betriebsausgaben überwacht; die Verschuldungsgrenze und die Angemessenheit der Umlaufvermögen werden nach ihren eigenen Berechnungen überwacht. Auch die jährliche Compliance-Zeit nach Art. 34/3 von III-35/B.2 gehört zum Kalender der Betragsanpassungen. Der bloße Blick auf die im Handelsregister eingetragene Kapitalziffer belegt die finanzielle Angemessenheit nicht. [3, 4]

Ein Prozent der außerhalb der Zinserträge erzielten Erträge des Vorjahres der Plattformen wird nach Art. 130/5 des Gesetzes bis Ende Mai des jeweiligen Jahres an die SPK und ein weiteres Prozent in den Haushalt von TÜBİTAK gezahlt. Dieser Betrag ist keine vom Gewinn des Anlegers erhobene Kryptotransaktionssteuer, sondern eine unternehmerische Pflicht der Plattform. MKK-Dienstleistungsentgelte, steuer- und buchhaltungsrechtliche Pflichten sowie Prüfungs- und Verwahrkosten sind davon getrennt. [1, 24]

Welche Verantwortung tragen Verwaltungsrat und Compliance-Beauftragter?

Der Verwaltungsrat ist verpflichtet, interne Kontrolle, Risikomanagement, interne Revision und die erforderliche Organisation einzurichten. Die Übertragung der betreffenden Aufgaben auf ernannte Personen hebt die Aufsichtsverantwortung der Geschäftsleitung nicht auf. Ein MASAK-Compliance-Programm muss Unternehmensrichtlinien, Risikomanagement, Überwachung und Kontrolle, Compliance-Beauftragten und Stellvertreter, Schulung und interne Revision gemeinsam enthalten. Für die dem Umfang des Unternehmens entsprechende und wirksame Durchführung des Programms ist letztlich der Verwaltungsrat verantwortlich. [2, 7, 9]

Die Aufgabe des Compliance-Beauftragten besteht nicht nur darin, ein Meldeformular auszufüllen. Er muss bei der Kundenannahme in Zweifelsfällen eingreifen können, unabhängig von der Vertriebseinheit beurteilen können, Zugang zu den Aufzeichnungen haben und notwendige Themen auf die Leitungsebene tragen können. Eine Organisation, die die Prüfung von Verdachtsgeschäften wegen Verkaufszielen, des Drucks wichtiger Kunden oder der Sorge um Ertragsausfälle wirkungslos macht, schafft trotz der Aufgabenbeschreibung auf dem Papier ein ernstes Compliance-Risiko. [7]

Es ist möglich, Rechts-, Prüfungs- oder technische Leistungen von außen zu beziehen; ein Auslagerungsvertrag überträgt jedoch eine Funktion, die nach dem Gesetz im Unternehmen vorhanden sein muss, und die Verantwortung dafür nicht von selbst auf ein anderes Unternehmen. Leistungsumfang, Datenzugriff, Unterauftragnehmer, Überprüfbarkeit, Ausfallmanagement und die Rückgabe der Daten bei Vertragsende sind klar zu regeln. Der Erwerb eines fertigen „MASAK-Verfahrens“ bedeutet nicht, dass die tatsächlichen Geschäfte geprüft worden wären. [2]

Kundenkenntnis: In welchem Stadium ist die Identifizierung zwingend?

Dauerhafte Geschäftsbeziehung und Unterscheidung nach Transaktionsbetrag

Bei Begründung einer dauerhaften Geschäftsbeziehung, etwa durch Kontoeröffnung, erfolgt die Identifizierung ohne Rücksicht auf den Betrag. Im aktuellen Leitfaden von MASAK wird die Identifizierung auch außerhalb einer dauerhaften Geschäftsbeziehung erläutert, wenn eine Transaktion oder die Summe verbundener Transaktionen 15.000 TL oder mehr beträgt, sowie bei Kryptowerte-Transfers, die denselben Betrag überschreiten. Bei einem Verdachtsgeschäft oder bei Zweifeln an der Eignung früher erhobener Identifizierungsdaten wird keine Betragsgrenze verlangt. Die Schwelle von 75.000 TL in älteren Texten kann nicht als aktuelle Praxis verwendet werden. [7, 8]

Diese Schwellen bedeuten nicht, dass ein Konto ohne Identifizierung bis zu einem bestimmten Betrag genutzt werden dürfte. Die Begründung einer dauerhaften Geschäftsbeziehung ist bereits für sich ein Identifizierungsgrund. Dass bei einem Geschäft ein Dokument eingeholt wurde, bedeutet auch nicht, dass alle späteren Geschäfte unbegrenzt zu genehmigen wären. Zweck der Geschäftsbeziehung, wirtschaftliche Lage des Kunden, Mittelherkunft, erwartetes Transaktionsvolumen und Risikoprofil müssen aktuell gehalten werden. [7, 8]

Bei natürlichen Personen sind Identität und Anschrift, bei juristischen Personen die Gesellschaftsregistrierung, die Vertretungsbefugnis und die Befugnis der handelnden Person zu überprüfen. Die im Namen der Gesellschaft handelnde Person und die natürliche Person, die die Gesellschaft letztlich kontrolliert, können verschieden sein. Die Prüfung des wirtschaftlich Berechtigten ist nicht dadurch abgeschlossen, dass der Name des Zeichnungsberechtigten im System erfasst wird. Ist die Beteiligungs- und Kontrollstruktur mehrstufig, ist die erforderliche Nachforschung zu vertiefen. [7, 8]

Identifizierung aus der Ferne und ausländische Kunden

Die Kundengewinnung aus der Ferne besteht nicht darin, ein Foto über einen Messenger zu senden. Für eine anwendbare Methode werden die Überprüfung des Dokuments, die Beurteilung der Echtheit der Person, Sicherheitskontrollen und die Aufzeichnung des Verfahrens gemeinsam verlangt. 2026 wurde die Möglichkeit der Identifizierung aus der Ferne per Reisepass für natürliche Personen ohne türkische Staatsangehörigkeit erweitert; diese Änderung bedeutet nicht, dass ausländische Kunden von Identitäts- und Risikokontrollen befreit wären. [2, 7, 13]

Kann die Identifizierung nicht durchgeführt werden oder können keine ausreichenden Informationen über den Zweck der Geschäftsbeziehung eingeholt werden, kommen die Bestimmungen über das Nichteröffnen eines Kontos, das Nichtausführen des Geschäfts oder die Beendigung der bestehenden Beziehung in Betracht. Andererseits müssen die vom Kunden verlangten Informationen und Unterlagen mit der Pflicht in Zusammenhang stehen. Jeden Ausländer, jedes hochvolumige Geschäft oder jede private Wallet automatisch als Kriminalitätsindikator zu behandeln, ist keine risikobasierte Prüfung. Die Begründung des konkreten Risikos und das Maß der angewandten Maßnahme sind aufzuzeichnen. [7, 8]

Wie wird die Travel Rule bei Kryptotransfers angewandt?

Die Travel Rule ist die Pflicht zu den Angaben über Absender und Empfänger, die einen Kryptowerte-Transfer begleiten müssen. Im Rahmen von Art. 24/A der Verordnung über Maßnahmen (Tedbirler Yönetmeliği) werden bei Transfers ab 15.000 TL Felder wie Name oder Firma des Absenders, Wallet-Adresse oder Transaktionsreferenz und weitere Identifikationsangaben sowie Name oder Firma des Empfängers und Wallet-Adresse oder Transaktionsreferenz geregelt. Auch bei Geschäften unterhalb des Betrags sind bestimmte Basisangaben vorgesehen; sie sind kein völlig informationsloser Transferbereich. [7, 8]

Die Bestätigungspflicht des Instituts, das die Informationen zuerst erhält, die Maßnahmen, die zwischengeschaltete und empfangende Institute bei fehlenden Informationen zu ergreifen haben, und die sichere Übermittlung der Transfernachricht sind voneinander zu unterscheiden. Unvollständige Nachrichten sind zu ergänzen, es ist eine Risikobewertung vorzunehmen, und gegebenenfalls sind die Ablehnung des Transfers oder die Überprüfung der Dienstbeziehung erforderlich. Dass ein Technologieanbieter die Nachricht übermittelt hat, macht die institutionelle Kontrolle nicht entbehrlich. [7, 8]

Auch Geschäfte mit Wallets unter eigener Kontrolle der Person oder mit ausländischen Dienstleistern sind nicht von selbst verboten. Jedoch werden Angaben zu Empfänger oder Absender, die Art der Wallet, Angaben zur Gegenpartei und Risiken nach den einschlägigen Regeln beurteilt. Eine in der Blockchain sichtbare Adresse beweist allein nicht die Identität der dahinterstehenden natürlichen Person. Die Erklärung des Kunden, die Kontoaufzeichnungen und die technischen Befunde sind gemeinsam zu prüfen. [7]

Im Rahmen der Travel Rule ist die sichere Weitergabe personenbezogener Angaben nicht dasselbe wie die Eintragung dieser Angaben in die öffentlich zugängliche Blockchain. Das technische Design soll die erforderlichen Angaben an den richtigen Adressaten übermitteln und darf nicht dazu führen, dass unnötige Identitätsdaten in offenen oder unkontrollierten Umgebungen verbreitet werden. Wird ein Nachrichten- oder Compliance-Dienst im Ausland genutzt, ist die Datenübermittlung gesondert zu beurteilen. [7, 16, 18]

Wartefristen von 48 und 72 Stunden sowie Limits für Stablecoins

In der MASAK-Allgemeinen Mitteilung (Genel Tebliğ) Serie Nr. 29 ist eine Wartefrist geregelt für erfasste Abhebungen an Wallets, die bei keinem Dienstleister registriert sind, oder an ausländische Dienstleister oder transferbefugte Finanzinstitute, die nach ihrem eigenen Recht nicht zur Weitergabe von Absender-/Empfängerinformationen verpflichtet sind. Solche Kryptowerte-Abhebungen sollen grundsätzlich frühestens 48 Stunden nach dem Kauf-, Tausch- oder Einzahlungsvorgang erfolgen, die erste Abhebung frühestens 72 Stunden danach. Diese Regelung lässt sich nicht so darstellen, als würden alle Bargeldabhebungen oder alle Vorgänge innerhalb der Plattform für 72 Stunden angehalten. Die Art des Geschäfts und die Ausnahmen der Mitteilung werden gesondert geprüft. [7, 10]

Bei Abhebungen stabiler Kryptowerte, deren Wert unter Bezugnahme auf eine amtliche Währung, ein Edelmetall oder andere Vermögenswerte konstant gehalten werden soll, beträgt die allgemeine Grenze 3.000 US-Dollar pro Tag und 50.000 US-Dollar pro Monat. Sind die Voraussetzungen der Mitteilung erfüllt, etwa die Weitergabe der erforderlichen Travel-Rule-Angaben an den Gegendienstleister, können die Limits doppelt angewandt werden. Die Aufteilung eines Geschäfts in kleine Teile hebt die Pflichten nicht auf; verbundene Geschäfte und das Risiko werden insgesamt beurteilt. [7, 10]

Ausnahmen für Zwecke wie Liquiditätsbereitstellung, Market Making und Arbitrage zwischen Märkten können nicht allein auf die Erklärung des Kunden gestützt angewandt werden. Die Art der betreffenden Tätigkeit, Betrag und Häufigkeit des Transfers, Angaben zur Gegenpartei und zur Wallet sowie die Unterlagen, mit denen die erforderlichen Kontrollen durchgeführt wurden, sind darzulegen. Erforderlich sind für jeden Kunden eine gesonderte Genehmigung des Verwaltungsrats, die regelmäßige Einholung von Herkunfts- und Kontounterlagen sowie laufende Überwachung und Kontrolle; stellt sich heraus, dass das Geschäft nicht unter die Ausnahme fällt, gelten die Limits unverzüglich. Die Ausnahme ist kein unbegrenzter, für alle geöffneter Transferweg. [7, 10]

Auch Transfers zwischen Plattform und Verwahrer, die aus dem Kapitalmarktrecht folgen, und Transfers, die der Verwahrer im Namen des Kunden ausführt, sind nicht dasselbe; für die zweite Gruppe gelten die einschlägigen Beschränkungen. Die Mitteilung sieht zudem vor, dass bei Transfers eine mindestens zwanzig Zeichen lange Erläuterung zur Art des Geschäfts einzuholen ist. Zufällige Zeichen, wiederholte allgemeine Floskeln oder mit dem Geschäft unvereinbare Erläuterungen erfüllen den Zweck der Pflicht nicht. Erläuterung und Kontobewegung müssen stimmig sein; ist ein Verdacht entstanden, darf die Einholung einer Erläuterung die Verdachtsmeldung nicht entbehrlich machen. [7, 10]

Wie und wann wird eine Verdachtsmeldung erstattet?

Ein Verdachtsgeschäft liegt vor, wenn Informationen, ein Verdacht oder ein Umstand vorliegen, der einen Verdacht begründet, dass Vermögenswerte auf illegalem Weg erlangt wurden oder für illegale Zwecke eingesetzt werden oder im Zusammenhang mit terroristischen Handlungen oder terroristischen Organisationen verwendet werden. Für die Meldung werden weder eine Verurteilung noch eine vollendete Straftat noch ein bestimmter Mindestbetrag verlangt. Auch ein Geschäft im Versuchsstadium kann beurteilt werden. [7, 9]

Ein mit dem wirtschaftlichen Profil des Kunden unvereinbares Volumen, zahlreiche nicht erklärbare Verbindungen zu Dritten, die fehlende Belegbarkeit der Mittelherkunft, ein Treffer in einer Sanktionsliste oder eine deutliche Abweichung von der üblichen Nutzung können Anlass zur Prüfung sein. Ein einzelner Indikator macht den Kunden jedoch nicht zum Straftäter. Tatsächliche Informationen, Risikoindikator, Erklärung des Kunden und Prüfungsergebnis sind getrennt voneinander aufzuzeichnen. Beispieltypologien sind keine abschließende Liste. [7]

Die Meldung erfolgt spätestens innerhalb von zehn Werktagen ab dem Zeitpunkt, zu dem der Verdacht entstanden ist, in Fällen, in denen Verzögerung bedenklich ist, unverzüglich. Diese Frist beginnt nicht immer am selben Tag wie das Datum des Geschäfts; wann der Verdacht entstanden ist, muss anhand der Aufzeichnungen erklärt werden. Die gesetzliche Meldefrist darf nicht mit der Begründung überschritten werden, die interne Untersuchung abschließen oder alle Unterlagen beschaffen zu müssen; später erlangte wesentliche Informationen sind durch eine Ergänzungsmeldung zu übermitteln. [7]

Die Meldung erfolgt über den befugten Compliance-Beauftragten unter Verwendung des aktuellen elektronischen Meldesystems und der Leitfäden von MASAK. Verdachtsmeldung, Nutzerantrag über MASAK Online und elektronische Zustellungsvorgänge sind unterschiedliche Funktionen. Das Hochladen einer Datei in das falsche Portal oder die bloße E-Mail an eine Support-Einheit ist nicht als ordnungsgemäße Meldung zu unterstellen. [7, 11]

Vertraulichkeit der Meldung

Dass ein Verdachtsgeschäft gemeldet wurde, darf unbefugten Personen, einschließlich der am Geschäft beteiligten Personen, nicht offenbart werden. Auch Verdachtsmeldungen innerhalb des Instituts und Systemzugangsdaten sind zu schützen. Die Zugehörigkeit zur selben Finanzgruppe erlaubt keine unbegrenzte Weitergabe der Information, dass eine Meldung erstattet wurde. Gesetzliche Aufsichts- und Verfahrensausnahmen bleiben in ihrem eigenen Bereich bestehen. [7, 9]

Bei Auskünften an Kunden ist diese Vertraulichkeitspflicht zu beachten; es dürfen jedoch nicht alle institutionellen Erläuterungen und Beschwerdeverfahren dadurch unwirksam gemacht werden, dass auf jede Frage nur „MASAK“ geantwortet wird. Offenlegbare Punkte, angeforderte Unterlagen, Stand des Geschäfts und Beschwerdekanal sollten im rechtlich möglichen Umfang verständlich mitgeteilt werden. Dass eine Verdachtsmeldung erstattet wurde, ist für sich genommen keine endgültige Einziehungs- oder unbefristete Kontosperrungsentscheidung. [1, 7, 9]

Transaktionssperre, Aufschub, Vermögenseinfrierung und gerichtliche Beschlagnahme

Werden diese Begriffe austauschbar verwendet, besteht das Risiko, sich an die falsche Stelle zu wenden und Zeit zu verlieren. Ein Konto kann wegen der üblichen Transferwartefrist, fehlender Identifizierungsangaben, der Sicherheitskontrolle der Plattform, eines Aufschubs im Rahmen von MASAK oder einer Entscheidung der Justizbehörde nicht nutzbar sein. Die erste Prüfung sollte die konkrete Rechtsgrundlage der Beschränkung herausarbeiten. [7, 9, 10, 12, 19]

Der Aufschubrahmen von höchstens sieben Werktagen nach Art. 19/A des Gesetzes Nr. 5549 ist keine allgemeine „siebentägige Antragsfrist“ für sämtliche Einwände des Kunden. Art. 128/A der CMK, der Ende 2025 eingeführt wurde, räumt dem betreffenden Finanzinstitut hinsichtlich des Kontos, auf dem sich der aus den in der Vorschrift genannten Straftaten erlangte Vorteil befindet, die Möglichkeit einer Aussetzung bis zu achtundvierzig Stunden ein; er verpflichtet dazu, die Aussetzung und die Kontobewegungen unverzüglich der Oberstaatsanwaltschaft (Cumhuriyet Başsavcılığı) zu melden. Dass sowohl diese Bestimmung als auch die MASAK-Transferwartefrist „48 Stunden“ enthalten, zeigt nicht, dass es sich um denselben Vorgang handelt. Auch der Kontoinhaber wird benachrichtigt; er kann einen Aufhebungsantrag an die Oberstaatsanwaltschaft richten, und der Staatsanwalt entscheidet über diesen Antrag innerhalb von vierundzwanzig Stunden. [9, 19]

Die MASAK-Allgemeine Mitteilung Serie Nr. 34 vom 23. September 2026 regelt Maßnahmen zur unverzüglichen Meldung und zum Aufschub von Geschäften bei Personen und Organisationen, die Gegenstand der einschlägigen Listungsbeschlüsse des Sicherheitsrats der Vereinten Nationen sind. Institute sollten Kontrollen einrichten, die Listenaktualisierungen rechtzeitig verarbeiten, und auch die fehlerhafte Zuordnung verschiedener Personen mit gleichen oder ähnlichen Namen untersuchen. Die Mitteilung regelt die Sofortmaßnahmen in ihrem eigenen Anwendungsbereich; sie kann nicht als Befugnis gelesen werden, aus demselben Grund sämtliche Kundenkonten zu schließen. [12]

Auch die Pflicht, die nach Art. 128/A der CMK verlangten Informationen und Unterlagen innerhalb von zehn Tagen in physischer oder elektronischer Form zu übersenden, ist gesondert zu beachten. Diese Frist darf nicht mit den zehn Werktagen der MASAK-Verdachtsmeldung verwechselt werden. Bei der gerichtlichen Beschlagnahme gelten die Bestimmungen über richterliche Genehmigung, Frist und Rückgabe an den Eigentümer nach ihren eigenen Voraussetzungen. Die für eine rechtmäßige Aussetzung vorgesehene Haftungsfreistellung kann nicht auf jede willkürliche oder unbefristete Kontobeschränkung ausgedehnt werden. [19]

Wie werden die Risiken von Straftatenerlösen und Terrorismusfinanzierung beurteilt?

Beim Geldwäscherisiko sind die Herkunft der Mittel aus einer Straftat und die Verleihung eines legalen Anscheins von Bedeutung; bei der Terrorismusfinanzierung kann der Zweck, für den die Mittel verwendet werden, bedeutsam sein. Auch eine auf rechtmäßigem Weg erlangte Quelle kann einem verbotenen Zweck gewidmet werden. Deshalb kann die Compliance-Prüfung nicht allein auf die ursprüngliche Herkunft des Geldes oder die Größe des Geschäfts reduziert werden. [7, 9, 12]

Eine Spende, Hilfe, ein Handelsverkauf, eine Mitgliederzahlung oder eine sonstige Erklärung macht ein Geschäft nicht von selbst legitim oder verdächtig. Der wahre Zweck, die Beteiligten, der Begünstigte, das Transaktionsmuster und die vorliegenden Informationen sind gemeinsam zu beurteilen. Legitime zivilgesellschaftliche Tätigkeit und verbotene Finanzierung können nicht in dieselbe Kategorie eingeordnet werden. Die Prüfung sollte einer Methode folgen, die konkrete Risiken erläutert, und nicht der, rechtlich geschützte Tätigkeiten von Personen von vornherein zu beschuldigen. [7]

Bei einem Kunden oder Geschäft mit hohem Risiko können Maßnahmen wie zusätzliche Informationen zu Mittel- und Vermögensherkunft, Genehmigung auf höherer Ebene und verstärkte Überwachung angewandt werden. Ein mit Technologie erzeugter Risikoscore ist keine abschließende rechtliche Beurteilung. Auf welche Tatsachen sich der Algorithmus stützt, wie falsch-positive Warnungen behandelt werden und die Begründung der Entscheidung der zuständigen Person sollten bei Bedarf überprüfbar sein. [7]

Wie sind Kundengeld und Kryptowerte zu schützen?

Trennung der Vermögenswerte, Verwahrung und Abstimmung

Kundengeld und Kryptowerte der Kunden sind vom eigenen Vermögen des Unternehmens getrennt. Die Aufzeichnungen sind kundenbezogen zu führen; die Schulden des Unternehmens und die Vermögenswerte des Kunden dürfen nicht vermischt werden. Der Schutz des Gesetzes vor Pfändung, Verpfändung und Einbeziehung in die Insolvenzmasse bezieht sich auf diese Trennung. Er begründet keine absolute Unantastbarkeit im Hinblick auf eigene Schulden des Kunden oder eine rechtmäßige gerichtliche Entscheidung, die sich gegen sein eigenes Vermögen richtet. [1, 3]

Kundengeld ist auf Bankkonten gesondert zu kennzeichnen, nicht mit dem eigenen Konto der Plattform zu vermengen und nicht zweckwidrig zu verwenden. Eine Plattform darf Bargeld weder persönlich annehmen noch persönlich übergeben; Geldtransfers werden über das eigene Bankkonto des Kunden abgewickelt. Die Umleitung einer Zahlung auf die persönliche IBAN eines Mitarbeiters oder die Überweisung an ein anderes, nicht offengelegtes Unternehmen kann nicht als gewöhnliche betriebliche Entscheidung gelten. [3]

Das Verwahrmodell von Art. 41 der III-35/B.2 beruht darauf, dass mindestens 95 Prozent der Kryptowerte, die der Kunde nicht in seiner eigenen Wallet halten möchte, beim Verwahrer gehalten werden, und auf einer Grenze von 5 Prozent für den in den Plattform-Wallets verbleibenden Teil. Die Tagesgrenze von 10 Prozent, die Abstimmung, die liquide Reserve von 3 Prozent und die Sonderbestimmungen zur Berechnung kleiner Salden gelten gemeinsam. Ohne Prüfung, auf welche Vermögenssumme diese Quoten berechnet werden und wie sich die Übergangsbeschlüsse auf das konkrete Unternehmen auswirken, sollte nicht allein mit „95 Prozent Cold Wallet“ zusammengefasst werden. [3, 5]

Im Verwahrvertrag müssen Aufgabenverteilung, Transfergenehmigung, Wallet-Definitionen, Abstimmung, außergewöhnliche Transfers, Dienstunterbrechung, Rückgabe von Vermögenswerten und Beendigung klar geregelt sein. Die Nutzung mehrerer Verwahrer darf nicht dazu führen, dass die Aufzeichnungen voneinander losgelöst werden. Dass der dem Kunden angezeigte Saldo im System erscheint, belegt allein nicht, dass der Vermögenswert tatsächlich und in der richtigen Menge verwahrt wird. [3]

Der Irrtum über Versicherung und staatliche Garantie

Eine SPK-Erlaubnis ist kein Versprechen, den Wert der Anlage zu schützen. Die Listung eines Kryptowerts bedeutet keine öffentliche Garantie; Art. 35/C/6 des Gesetzes nimmt die Vermögenswerte und das Bargeld im Rahmen der betreffenden Verwahrung vom System der Einlagen- und Beteiligungsfondsversicherung aus. Auch ein MKK-Eintrag ist keine unbegrenzte Zahlungsgarantie für Verluste. Besteht eine private Versicherung, sind versichertes Risiko, Begünstigter, Limit, Selbstbehalt und Ausschlüsse gesondert zu lesen. [1, 14]

Informationssysteme, Cybersicherheit und unabhängige Prüfung

Die Informationssysteme, das Schlüsselmanagement, die Zugriffsberechtigungen, die Datensicherung, die Betriebskontinuität und die Vorfallreaktion des Unternehmens sind nach den einschlägigen SPK-Regelungen und den Infrastrukturkriterien von TÜBİTAK einzurichten. Die Multi-Faktor-Authentifizierung ist wichtig, beseitigt aber allein nicht alle Risiken. Ein neues Gerät, eine ungewöhnliche IP-Adresse, die Änderung von Sicherheitseinstellungen, das Hinzufügen einer Abhebungsadresse und Transfers mit hohem Risiko sind insgesamt zu überwachen. [2, 3]

Die Verwahrung des privaten Schlüssels und der Schutz des Zugangs zum Kundenkonto sind unterschiedliche Sicherheitsebenen. Wird das Kontopasswort geschützt, der Administratorzugang aber unbegrenzt gelassen oder bleiben die Berechtigungen eines ausgeschiedenen Mitarbeiters offen, kann dies ein ernstes Risiko begründen. Die Zugriffe externer Dienstleister sind mit derselben Disziplin zu begrenzen; ihre Aufzeichnungen und das Prüfungsrecht sind vertraglich abzusichern. [2]

In Art. 48 der III-35/B.1 sind die jährliche Prüfung der Informationssysteme, die Prüfung der internen Abläufe und der Infrastrukturkonformität sowie die Prüfung des Reservenachweises zum Ende des dritten, sechsten, neunten und zwölften Monats gesonderte Pflichten. Die differenzierten Bestimmungen für Banken und die Befugnis des Kurulu, zusätzliche Prüfungen zu verlangen, bleiben vorbehalten. Die Durchführung einer Prüfung ersetzt weder die anderen Prüfungen noch die tägliche Abstimmung. [2]

Bei einem Cybervorfall hat Vorrang, die Ausweitung des Schadens zu verhindern, die Aufzeichnungen zu sichern und die erforderlichen Meldungen jeweils gesondert zu prüfen. Die Veränderung von Systemprotokollen, das Überschreiben alter Aufzeichnungen oder das Nichtführen einer Zeitleiste, die den Vorfall erläutert, schwächt später sowohl die Prüfung als auch die Verteidigung. Ebenso wichtig wie das Vorhandensein eines Betriebskontinuitätsplans ist, ob er getestet wurde und ob er während des Vorfalls tatsächlich angewandt wurde. [2]

Aufbewahrung von Aufzeichnungen, Auskunft und Pflichten gegenüber der MKK

Für Unterlagen, Bücher und Aufzeichnungen nach dem Gesetz Nr. 5549 gilt eine Aufbewahrungsfrist von acht Jahren, die mit den im Gesetz genannten unterschiedlichen Beginnzeitpunkten wie Ausstellung, letzter Eintrag und letztes Geschäft berechnet wird. Bei Identifizierungsunterlagen ist das Datum des letzten Geschäfts maßgeblich. Die in SPK-Regelungen für Geschäfts- und Kundenaufzeichnungen vorgesehenen zehnjährigen Aufbewahrungspflichten sind gesondert zu beachten. Der Ablauf von acht Jahren bedeutet nicht, dass alle Aufzeichnungen zu Kryptoleistungen gelöscht werden dürfen. [2, 7, 9]

Aufzubewahren sind nicht nur Screenshots und buchhalterische Summen. Kundenannahmeaufzeichnung, Vertragsversion, erteilte Genehmigungen, Zeitpunkte von Aufträgen und Transfers, Wallet-Adressen, Transaktionskennungen, Sicherheitskontrollen, Beschwerden und Abstimmungsaufzeichnungen müssen bei Bedarf gemeinsam vorgelegt werden können. Wurde der Vertragstext später geändert, ist die Bestimmung der zum Zeitpunkt der Streitigkeit geltenden Version besonders wichtig. [2, 3]

Rechtmäßige Auskunfts- und Unterlagenersuchen von MASAK und Prüfern werden nach Überprüfung von Befugnis und Umfang fristgerecht erfüllt. Geheimhaltungs- oder Datenschutzgründe hindern die Auskunft an eine gesetzlich befugte Behörde nicht kategorisch; sie rechtfertigen aber auch nicht die wahllose Übermittlung sämtlicher über das Ersuchen hinausgehender Kundendaten. Der Eingang des Ersuchens, die Weiterleitung an die verantwortliche Person und die Verifizierung der Übermittlung sollten aufgezeichnet werden. [7, 9, 16]

Das KVMKS-System der MKK dient der Erfassung der in den Buchungssystemen der Dienstleister geführten Geschäfte und Salden sowie dem Abgleich der Salden von Plattform und Verwahrer. 2026 wurden Anwendungen und Bekanntmachungen zum System fortgesetzt; die MKK-Erklärung zum einschlägigen Beschluss der TCMB wurde am 3. August 2026 veröffentlicht. Mitgliedschaft, Register, Berichterstattung und Abstimmung sind nach den einschlägigen Richtlinien und Rundschreiben durchzuführen. Die Berichterstattung an die MKK bedeutet nicht, dass der Kryptowert selbst bei der MKK verwahrt wird, und ersetzt keine MASAK-Meldung. [14, 15, 24]

Personenbezogene Daten und Dienstleister im Ausland

Identitätsangaben, Wallet-Adressen und Transaktionsaufzeichnungen können personenbezogene Daten darstellen, wenn sie einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können. Dass die Plattform zur Identifizierung gesetzlich verpflichtet ist, bedeutet nicht, dass sie diese Daten für Werbung, Profilbildung oder andere Zwecke unbegrenzt nutzen dürfte. Verarbeitungszweck, Rechtsgrundlage, Information, Zugriffsberechtigung und Aufbewahrungsdauer sind gesondert zu bestimmen. [16]

Bei Systemen mit biometrischer Verifizierung werden die Voraussetzungen für besondere Kategorien von Daten gesondert geprüft. Nicht jedes Video und jedes Foto fällt automatisch in dieselbe rechtliche Kategorie; maßgeblich sind Zweck und Funktionsweise der verwendeten Technik zur eindeutigen Identifizierung einer Person. Das Einholen eines allgemeinen Einwilligungskästchens vom Kunden ersetzt die erforderlichen technischen und rechtlichen Beurteilungen nicht. [16]

Wird ein ausländischer Cloud-, Support-, Analyse- oder Travel-Rule-Dienst genutzt, ist der Mechanismus für die Übermittlung ins Ausland zu beurteilen. Wird die Methode der Standardverträge genutzt, besteht die Pflicht, die Behörde innerhalb von fünf Werktagen nach Abschluss der Unterzeichnung zu benachrichtigen. Das Bestehen dieses Mechanismus hebt die besonderen Anforderungen der SPK an Informationssysteme und den Speicherort der Daten nicht auf. KVKK-Konformität und sektorale Infrastrukturkonformität müssen gemeinsam gewährleistet sein. [2, 16, 18]

Ab Kenntnis einer Verletzung des Schutzes personenbezogener Daten kommen die unverzügliche Meldung an den KVKK-Rat, spätestens innerhalb von zweiundsiebzig Stunden, sowie die Benachrichtigung der betroffenen Personen nach den einschlägigen Grundsätzen in Betracht. Diese 72 Stunden sind völlig verschieden von der 72-stündigen Wartefrist bei der ersten Kryptoabhebung. Derselbe Cybervorfall kann in Bezug auf SPK, MASAK, KVKK und Justizbehörden gesonderte Meldefolgen haben. [2, 7, 17]

Listung, Kundenverträge, Werbung und Interessenkonflikte

Listung und Dokumentation der Kundenbeziehung

Die Plattform muss über ein schriftliches Verfahren für Listung und Delistung verfügen. Erklärungen des Projektinhabers, technologische Risiken, rechtliche Einordnung, Handelsvolumen, Interessenkonflikte und der Entscheidungsprozess werden beurteilt. Ein Komiteebeschluss oder der Beginn des Handels auf der Plattform ist keine Garantie dafür, dass der Vermögenswert sicher oder gewinnbringend ist. Nachträglich auftretende wesentliche Risiken sind ebenfalls Gegenstand der Überwachung nach der Listung. [1, 3]

Der Kundenrahmenvertrag muss Leistungsumfang, Auftrags- und Transferverfahren, Entgelt, Verwahrung, Risiken, Kommunikation, Beschwerde und Beendigungsbedingungen verständlich erläutern. Es muss nachweisbar sein, welcher Text an welchem Datum genehmigt wurde. Nach Art. 35/C/1 des Gesetzes sind Vertragsklauseln unwirksam, die die Haftung des Dienstleisters gegenüber dem Kunden aufheben oder beschränken. Durch eine Klausel „Jeder Schaden geht zulasten des Kunden“ kann die gesetzliche Haftung nicht beseitigt werden. [1, 2]

Werbung, Lenkung und verbotene Geschäfte

Renditegarantien, unwahre Lizenzangaben, der Eindruck risikofreien Handels und Lenkungen, die die Unkenntnis des Kunden ausnutzen, begründen rechtliche Risiken. Verbote wie die Annahme von Einlagen oder Beteiligungsfonds, die unbefugte Verfügung über Kundenersparnisse und nicht erfasste Geschäfte gelten gesondert. Allgemeine Marktinformationen, lenkende allgemeine Empfehlungen und personenbezogene Anlageberatung müssen voneinander getrennt werden. [2, 3]

Kampagnen und Social-Media-Inhalte sind nicht nur nach ihrem Wortlaut, sondern nach ihrer Gesamtwirkung zu prüfen. Gesponserte Inhalte, Vermittlungsentgelte, Mitarbeitergeschäfte und Beziehungen im Gegenzug für Listungen gehören zur Beurteilung von Interessenkonflikten. Der Satz „Das ist keine Anlageberatung“ bietet für sich genommen keinen Schutz, wenn der Inhalt tatsächlich eine personenbezogene Empfehlung oder irreführende Werbung ist. [2, 3]

Eine Plattformerlaubnis kann nicht als Befugnis angesehen werden, jede Art von gehebelten Geschäften, Krediten, Darlehen oder Portfolioverwaltung anzubieten. Die tatsächliche wirtschaftliche Struktur des Produkts und die einschlägigen Verbots-/Erlaubnisbestimmungen sind zu prüfen. Dass ein Nutzer in einer ausländischen Anwendung auf dasselbe Produkt zugreifen kann, macht die Erbringung dieser Leistung gegenüber einem in der Türkei ansässigen Kunden nicht von selbst rechtmäßig. [1, 2, 3]

Plattformen im Ausland und das Verbot der Zahlung mit Kryptowerten

Eine Lizenz oder ein Registereintrag im Ausland ersetzt das Erlaubniserfordernis in der Türkei nicht. Art. 99/A des Gesetzes behandelt Fälle wie die Eröffnung einer Geschäftsstelle in der Türkei, die Einrichtung einer türkischsprachigen Website oder die Werbung und Vermarktung gegenüber in der Türkei ansässigen Personen unmittelbar oder über Vermittler als auf die Türkei ausgerichtete Tätigkeit. Der Bezug zur Türkei beschränkt sich nicht auf die Sitzanschrift der Gruppe. [1]

Bei Verträgen mit Parteien im Ausland sind anwendbares Recht, Zuständigkeit, Benachrichtigung, Zugang zu Aufzeichnungen, Rückgabe von Vermögenswerten und die Durchsetzbarkeit der Entscheidung von Bedeutung. Die Vereinbarung ausländischen Rechts im Vertrag schließt die in der Türkei zwingend anzuwendenden Erlaubnis- und Kundenschutzbestimmungen nicht von selbst aus. Bei der direkten Übertragung auf eine ausländische Plattform oder bei ausländischer Verwahrung sind sowohl die sektoralen Regeln als auch die Regeln zur Datenübermittlung zu prüfen. [1, 2, 3, 18]

Die Verordnung der TCMB über die Nichtverwendung von Kryptowerten bei Zahlungen regelt die unmittelbare oder mittelbare Verwendung von Kryptowerten bei Zahlungen und das Erbringen von Leistungen dafür. Hinzu kommt eine gesonderte Beschränkung der Vermittlung von Zahlungs- und E-Geld-Instituten bei Geldtransfers zu oder von Kryptoplattformen. Der Handel mit Kryptowerten und die Verwendung eines Kryptowerts als Zahlungsmittel sind nicht dieselbe Tätigkeit. Die Annahme, eine Plattform könne für ihre TL-Geschäfte mit jedem Zahlungsinstitut eine Integration vornehmen, ist falsch. [20]

Welche verwaltungs- und strafrechtlichen Folgen haben Verstöße?

Bei Verstößen gegen die Regeln zu Erlaubnis, Kapital, Organisation, Kundenvermögen und Tätigkeit kommen SPK-Prüfung, Bußgeld, Tätigkeitsbeschränkung oder Einstellung und, soweit die Voraussetzungen vorliegen, der Entzug der Befugnis in Betracht. Bei unerlaubter Tätigkeit im Internet oder verbotener Werbung werden auch die Entfernung des Inhalts und die Sperrung des Zugangs erwogen. Ein Prüfungsschreiben bedeutet nicht, dass die Betriebserlaubnis zwangsläufig widerrufen wird; die rechtliche Qualität der Feststellung und die anwendbare Sanktion werden gesondert bestimmt. [1, 2]

Art. 109/A des Gesetzes sieht für unerlaubte Tätigkeit als Kryptowerte-Dienstleister Freiheitsstrafe von drei bis fünf Jahren und Geldstrafe von fünftausend bis zehntausend Tagessätzen vor. Bei rechtswidrigen Verfügungen über Kundenvermögen können zusätzlich die Bestimmungen zu Veruntreuung und weiteren Straftaten in Art. 110/A in Betracht kommen. Nicht jeder Vertragsverstoß ist Veruntreuung, und nicht jeder Schaden ist Betrug. Handlung, Befugnis, Vorsatz und Vermögensbewegung werden konkret geprüft. [1]

Die Verletzung von MASAK-Pflichten kann die verwaltungs- oder strafrechtlichen Sanktionen des Gesetzes Nr. 5549 nach sich ziehen. Kundenkenntnis, Verdachtsmeldung, Compliance-Programm, Auskunftserteilung sowie Aufbewahrung und Vorlage sind verschiedene Pflichten. Zu beachten sind die für 2026 neu bewerteten Beträge der Geldbußen, die erhöhte Anwendung für die Gruppe der Verpflichteten und die mit dem Transaktionsbetrag verknüpften Untergrenzen. Es ist nicht richtig, den ersten Grundbetrag im Gesetz als heute anzuwendende endgültige Strafe darzustellen. [7, 9, 23]

Bei der Beurteilung eines Verstoßes werden Geschäftsdatum, die an diesem Tag geltende Regel, die Zahl voneinander unabhängiger Handlungen, Zustellung, zuständige Stelle, Begründung, Berechnung und Verhältnismäßigkeit untersucht. Bußgeld, Strafermittlung und Kundenentschädigung dienen unterschiedlichen Zwecken; das Ergebnis eines Verfahrens beendet nicht von selbst alle anderen Verfahren.

Wer haftet, wenn dem Kunden ein Schaden entsteht?

Lieferpflicht und Cyberverluste

Art. 99/B/3 des Gesetzes regelt die Haftung des Dienstleisters für Schäden, die aus rechtswidrigen Tätigkeiten und aus der Nichterfüllung der Pflicht zur Zahlung von Bargeld oder zur Lieferung von Kryptowerten entstehen. Zu bestimmen ist, auf welchen Vermögenswert, in welcher Menge und nach welchem Vertrag der Kunde Anspruch hat, wann sein Verlangen übermittelt wurde und warum es nicht erfüllt wurde. Der auf einem App-Bildschirm sichtbare TL-Gegenwert und die Stückzahl des zu liefernden Kryptowerts sind nicht dasselbe Verlangen. [1]

Art. 99/B/4 verweist seinerseits für Verluste an Kryptowerten, die aus dem Betrieb von Informationssystemen, einem Cyberangriff, einer Verletzung der Informationssicherheit oder dem Verhalten von Personal entstehen, auf Art. 71 des Obligationenrechts (Türk Borçlar Kanunu, TBK). Eine allgemeine Verteidigung wie „Den Cyberangriff hat ein Dritter begangen; das Unternehmen trägt überhaupt keine Haftung“ genügt nicht. Zu prüfen sind, mit welchem System und welcher Tätigkeit der Schaden zusammenhängt, das gesetzliche Haftungsregime und der Kausalzusammenhang. [1, 21]

Zugleich nimmt derselbe Absatz Schäden, die dadurch entstehen, dass Aufträge, Geschäfte oder Transfers wegen vorübergehender Dienstunterbrechungen ohne Verschulden des Dienstleisters nicht ausgeführt werden können, und ähnliche Fälle aus dieser besonderen Haftung aus. Diese Ausnahme erfasst nicht automatisch dauerhaften Zugangsverlust, das Verschwinden von Vermögenswerten oder fehlerhaftes Sicherheitsmanagement. Es lässt sich auch nicht sagen, dass sämtliche Ansprüche auf entgangenen Gewinn auf der Grundlage eines nicht zustande gekommenen hypothetischen Verkaufs zu einem hohen Preis anerkannt würden. [1]

Haftung der Mitarbeiter und Verhalten des Kunden

Kann der Schaden vom Dienstleister nicht ersetzt werden oder ist offensichtlich, dass er nicht ersetzt werden kann, kommt die Haftung der Angehörigen (mensup) nach den Voraussetzungen von Art. 99/B und 110/B in Betracht. Nicht jeder Mitarbeiter, Gesellschafter oder Geschäftsführer kann aus demselben Grund und unbegrenzt haftbar gemacht werden. Aufgabe, Befugnis, Verschulden, Einfluss auf den Schaden und die Voraussetzungen der jeweiligen Sonderbestimmung der Person sind gesondert festzustellen. [1]

Dass der Kunde sein Passwort weitergibt, Daten auf einer gefälschten Website eingibt oder eine Sicherheitswarnung missachtet, kann die Diskussion über Kausalität und Minderung beeinflussen. Die Verwendung eines OTP bei dem Geschäft beweist jedoch nicht in jedem Fall zwingend, dass der wahre Kontoinhaber eine wirksame Anweisung erteilt hat. Wer die Sicherheitseinstellung geändert hat, wie das neue Gerät erkannt wurde und mit welcher Kontrolle der risikobehaftete Transfer genehmigt wurde, ist ebenfalls zu untersuchen. [21, 26, 27]

Was zeigen Gerichtsentscheidungen zu Sicherheit und Beweis?

Berufungsgericht Istanbul, 14. Zivilsenat: Beweis- und Sicherheitsprüfung der Plattform

Die Entscheidung des 14. Zivilsenats des Berufungsgerichts Istanbul (Bölge Adliye Mahkemesi, BAM) E.2022/244, K.2025/1603 vom 09.10.2025 betrifft eine Schadensersatzforderung gegen eine Plattform mit der Behauptung, Kryptowerte seien ohne Wissen des Kunden von dessen Konto abgehoben worden. In der Entscheidung wurden Passwort- und Verifizierungsaufzeichnungen, Konto-Sicherheitspräferenzen, der Zeitpunkt der Meldung und der technische Ablauf des Vorfalls erörtert; es wurde festgestellt, dass im konkreten Fall die Voraussetzungen für eine Zurechnung von Verschulden an die Plattform nicht dargelegt werden konnten, und das klageabweisende Urteil wurde aufrechterhalten. [26]

Der Grundsatz, auf den die Entscheidung hinweist, ist, dass es nicht genügt, sich auf die Angabe „Es wurde von meinem Konto transferiert“ zu beschränken. Zugriff auf das Nutzerkonto, Sicherheitsänderungen und die Zeitpunkte des Abhebungsvorgangs müssen jeweils gesondert dargelegt werden. Umgekehrt muss auch das Unternehmen die von ihm angewandten Kontrollen anhand konkreter Aufzeichnungen erläutern. Die bloße Vorlage des Standardvertrags zeigt nicht, wie das System zum Zeitpunkt des Vorfalls funktionierte.

Grenze der Entscheidung: Die Ereignisse der Streitigkeit liegen vor den neuen Haftungsbestimmungen des Gesetzes Nr. 7518. Es ist nicht richtig, die Entscheidung dahin zu verallgemeinern, dass bei allen Cyberverlusten nach 2024 die Plattform nur bei nachgewiesenem Verschulden haftet. Bei heutigen Vorfällen ist insbesondere Art. 99/B/4 gesondert zu prüfen. In der BAM-Entscheidung wurde der Rechtsweg der Revision offengehalten; das Ergebnis einer Revision nach der Entscheidung ist hier nicht festgestellt. Die Entscheidung ist auch kein landesweit bindender Beschluss zur Vereinheitlichung der Rechtsprechung. [1, 26]

Kassationshof, 3. Zivilsenat: SIM-Karten-Betrug, Recht zum Zeitpunkt des Ereignisses und Schadensersatz

Die Entscheidung des 3. Zivilsenats des Kassationshofs (Yargıtay) E.2025/5307, K.2026/2209 vom 15.04.2026 betrifft eine Forderung auf materiellen und immateriellen Schadensersatz gegen einen Mobilfunkbetreiber wegen eines SIM-Karten-Wechsels am 23./24. Juni 2023 und der daraufhin vom Kryptowerte-Konto aus vorgenommenen Geschäfte. Das erstinstanzliche Gericht bejahte die Haftung des Betreibers hinsichtlich des SIM-Karten-Vorgangs beim Vertragshändler und der damit verbundenen Sicherheitslücke. Der Kassationshof änderte das wesentliche Ergebnis zum Schadensersatz nicht; er berichtigte die Positionen zur Anwaltsvergütung und bestätigte das Urteil in berichtigter Fassung. [27]

Die bedeutsame Feststellung der Entscheidung betrifft die im Vorbringen des Betreibers angeführten späteren SPK-Bestimmungen, nämlich dass „die einschlägigen Artikel zum Zeitpunkt des Ereignisses nicht in Kraft waren“. Damit wird konkret gezeigt, dass neue Regelungen auf ein in der Vergangenheit liegendes Ereignis nicht von selbst anwendbar sind. Zudem wird festgehalten, dass das dem Urteil zugrunde gelegte Sachverständigengutachten für die Überprüfung und die Urteilsfindung geeignet war. [27]

Während die Entscheidung das wesentliche Ergebnis zu 7.990,71 USD materiellem und 25.000 TL immateriellem Schadensersatz bestehen ließ, wurde die Abweisung hinsichtlich der gesondert verlangten Wertsteigerung des Kryptowerts nicht geändert. Diese Beträge sind kein Tarif für andere Verfahren. Die Entscheidung kann nicht als Schadensersatzurteil gegen eine Kryptoplattform dargestellt werden; Beklagter ist der Mobilfunkbetreiber. [27]

Zur Aktenvorbereitung sind die Änderung des Telefonanschlusses, der E-Mail-Zugang, die Plattform-Logins, die Sicherheitseinstellungen und die Abhebungsvorgänge jeweils gesondert darzulegen. Das Verteidigungsvorbringen des Unternehmens, „ein anderer Dienstleister hatte eine Sicherheitspflicht“, nimmt die Wirkung seines eigenen Handelns nicht aus der Prüfung aus. Für jeden Beklagten sind die verletzte Pflicht, die am Tag des Ereignisses geltende Regel, der Kausalzusammenhang und der Schaden zu bestimmen. [26, 27]

Welche Unterlagen sollte der Kunde sammeln, und wie sollte er vorgehen?

In der ersten Phase ist die Sicherheit von Konto und Transaktionen herzustellen; der Verdacht auf unbefugten Zugriff ist der Plattform unverzüglich zu melden. Meldekanal, Zeitpunkt der Übermittlung und erhaltene Antwort sind aufzubewahren. Selbst für rechtliche Hilfe dürfen der private Schlüssel, die Wiederherstellungswörter, das Kontopasswort oder ein einmaliger Verifizierungscode nicht weitergegeben werden. Für die Prüfung liefern Transaktionskennungen, Adressen und Kontoaufzeichnungen in den meisten Fällen ausreichende Ausgangsdaten.

In die Akte gehören die zum Zeitpunkt des Ereignisses geltende Vertragsversion, Angaben zu Identifizierung und Kontoeröffnung, Saldo- und Transaktionsauszüge, Bankbelege, Wallet-Adressen, Transaktionskennung, das genutzte Netzwerk, E-Mail- und SMS-Benachrichtigungen, Support-Aufzeichnungen und frühere Anträge. Es sollte erläutert werden, ob die Zeitangaben türkische Zeit oder eine andere Zeitzone sind; neben Screenshots sollte nach Möglichkeit die digitale Originalaufzeichnung gesichert werden. [2, 3, 22]

Von der Plattform kann die Sicherung des Kontos, der Sicherheitseinstellungen und der einschlägigen Aufzeichnungen verlangt werden. Besteht die Gefahr eines Aufzeichnungsverlusts, wird eine Beweissicherung nach Art. 400 ff. der HMK erwogen; bei geeignetem Antrag und Vorliegen der Voraussetzungen werden einstweilige Verfügung oder Arrest geprüft. Die Kenntnis einer Wallet-Adresse bedeutet nicht, dass eine gerichtliche Entscheidung technisch unmittelbar in der Blockchain durchgesetzt werden kann. Wichtig ist, die Person oder den Dienstleister zu bestimmen, die oder der den Vermögenswert tatsächlich kontrolliert. [1, 22]

Eine SPK-Beschwerde betrifft die Aufsichtsrichtung, die an MASAK übermittelte Information das Risiko der Finanzkriminalität, die Strafanzeige die Strafermittlung und der privatrechtliche Anspruch Rückgabe und Schadensersatz. Alle diese Wege werden nicht mit demselben Schriftsatz und von derselben Stelle abgeschlossen. Der Kunde sollte den für die Behebung seines eigenen Schadens erforderlichen Klageweg gesondert verfolgen. Eine Beschwerde bei der Behörde oder Gespräche mit der Gegenseite hemmen nicht von selbst sämtliche Klagefristen. [1, 9, 21, 22]

Das zuständige Gericht wird bestimmt, indem Eigenschaft der Parteien, Art des Vertrags, Zweck des Geschäfts und der begehrte Rechtsschutz beurteilt werden. Für die verschiedenen Ansprüche gegen Plattform, Verwahrer, Bank oder Mobilfunkbetreiber kann das Zuständigkeitsregime unterschiedlich sein. Es lässt sich nicht sagen, dass jede Klage allein deshalb vor dem Verbrauchergericht verhandelt wird, weil eine Partei eine natürliche Person ist, oder allein deshalb vor dem Handelsgericht, weil es um Kryptowerte geht. Auch die Mediation als Klagevoraussetzung wird nach der festgestellten Streitart geprüft. [22, 26, 27, 28]

Bei vertraglichen Ansprüchen kommen, wenn keine besondere Frist besteht, die zehnjährige Frist des Art. 146 TBK, bei unerlaubter Handlung die zweijährige Frist ab Kenntnis und die zehnjährige Frist ab der Handlung nach Art. 72 sowie die Ausnahme der längeren strafrechtlichen Verjährung in Betracht. Beginn, Kenntnis, Unterbrechung und die wahre Natur des Anspruchs werden gesondert berechnet. Im ordentlichen Gerichtsverfahren wird einem Sachverständigengutachten nach Art. 281 HMK grundsätzlich innerhalb von zwei Wochen ab Zustellung konkret widersprochen. Bei Verwaltungs- und Strafentscheidungen sind der für die Entscheidungsart spezifische Rechtsbehelf und die dafür geltende Frist zu beachten. [21, 22]

Anwendbare Pflichten- und Dokumentenmatrix für Unternehmen

Die folgende Tabelle ist ein Arbeitsinstrument, das zeigt, mit welchen Aufzeichnungen gesetzliche Pflichten im Unternehmen nachverfolgt werden können. Sie besagt nicht, dass eine Prüfung durchgeführt wurde oder dass für alle Unternehmen dieselbe Organisation ausreicht.

Die erste Beurteilung auf Leitungsebene sollte sich nicht auf die Frage „Welches Dokument fehlt?“ beschränken. Lassen sich die Aufzeichnungen eines beispielhaften Geschäfts von der Kundenannahme bis zur Rückgabe der Vermögenswerte nachverfolgen; an wen geht eine Hochrisikowarnung; wer kann im Notfall ein Geschäft anhalten; wer schließt die Beschwerde des Kunden mit welcher Aufzeichnung ab? Die Antworten auf diese Fragen zeigen, ob das Verfahren tatsächlich angewandt wird. [2, 3, 7]

Fazit

Die rechtliche Compliance eines Kryptowerte-Dienstleisters erfordert, dass Erlaubnis, finanzielle Angemessenheit, Kundenkenntnis, Transfersicherheit, Verwahrung, Aufzeichnung, Datenschutz und Schadenshaftung gemeinsam aufgebaut werden. Die Verwendung alter Geldschwellen, die Behandlung der Übergangsliste als Lizenz oder die Zusammenfassung sämtlicher Kontobeschränkungen unter der Bezeichnung „MASAK-Sperre“ kann sowohl für das Unternehmen als auch für den Kunden zu Rechtsverlusten führen.

Für das Unternehmen ist entscheidend, dass die Pflicht nicht nur als schriftliche Richtlinie, sondern durch Geschäfts- und Prüfungsaufzeichnungen nachgewiesen werden kann. Für den Kunden sind der richtige Adressat, das am Tag des Ereignisses geltende Recht, der technische Ablauf des Sicherheitsvorfalls und die Antragsfristen gemeinsam zu bestimmen. Eine belastbare rechtliche Beurteilung beruht nicht auf einem Etikett oder einem einzelnen Screenshot, sondern auf der richtigen rechtlichen Einordnung und überprüfbaren Aufzeichnungen.

Verwandte Beiträge: Der Beitrag Erben Kryptowerte? Übergang von Börsenkonto, Bitcoin und Cold Wallet behandelt gesondert den Übergang von Kryptowerten im Todesfall auf die Erben, die Unterscheidung zwischen Börsenkonto und Cold Wallet sowie die rechtlichen Folgen von Zugangsdaten.

Häufig gestellte Fragen

Ist jede Plattform auf der SPK-Liste lizenziert?

Nein. Die Liste der tätigen Unternehmen ist nicht dasselbe wie eine Betriebserlaubnis oder eine Zulassungsbescheinigung. Der aktuelle Erlaubnisbeschluss des betreffenden Unternehmens, sein Umfang und gegebenenfalls bestehende Beschränkungen werden gesondert geprüft. [6, 25]

Wie hoch ist das Mindestkapital für eine Kryptoplattform im Jahr 2026?

Für 2026 sind bei Plattformen 250 Millionen TL und bei Kryptowerte-Verwahrern 630 Millionen TL festgesetzt. Das Sonderregime der Banken sowie die während der Tätigkeit zu wahrenden Eigenkapital- und Reservepflichten werden gesondert beurteilt. [3, 4]

Ich zahle bei Kontoeröffnung nur einen kleinen Betrag ein; ist die Identifizierung zwingend?

Ja. Bei Begründung einer dauerhaften Geschäftsbeziehung wird der Betrag nicht berücksichtigt. Die Geldschwellen für Transfers und andere Geschäfte heben diese eigenständige Pflicht nicht auf. [7, 8]

Gilt die Identifizierungsgrenze von 75.000 TL noch?

Diese Schwelle im älteren Text stimmt mit dem aktuellen Leitfaden nicht überein. Der Leitfaden für Kryptowerte-Dienstleister legt für Geschäfte außerhalb einer dauerhaften Geschäftsbeziehung und für Kryptotransfers 15.000 TL und mehr zugrunde. Bei der Kontoeröffnung und in Verdachtsfällen wird keine Betragsgrenze verlangt. [7]

Warum muss man bei der ersten Kryptoabhebung 72 Stunden warten?

Aufgrund der Sicherheits- und Compliance-Maßnahme in der MASAK-Mitteilung Nr. 29 gilt für die erste erfasste Kryptoabhebung eine Wartefrist von mindestens 72 Stunden, für andere einschlägige Abhebungen von mindestens 48 Stunden. Die Art des Geschäfts und die Ausnahmen werden gesondert beurteilt. [7, 10]

Gilt das Tageslimit von 3.000 Dollar für alle Kryptogeschäfte?

Nein. Die Regelung richtet sich auf die einschlägigen Abhebungen stabiler Kryptowerte. Monatsgrenze, doppelte Anwendung bei Informationsweitergabe und belegte Ausnahmen sind gemeinsam zu prüfen. [7, 10]

Ist es verboten, auf meine eigene Wallet zu transferieren?

Ein Transfer auf eine persönliche Wallet ist nicht allein deshalb verboten. Identifizierung, Angaben zur Gegenpartei, Risikokontrolle, Wartefrist und anwendbare Limitbedingungen bleiben bestehen. [3, 7]

Wird dem Kunden eine Verdachtsmeldung mitgeteilt?

Nein. Dass eine Meldung erstattet wurde, darf außerhalb gesetzlicher Ausnahmen unbefugten Personen, einschließlich der am Geschäft Beteiligten, nicht offenbart werden. Offenlegbare Geschäftsinformationen und die Vertraulichkeit der Meldung werden getrennt gehandhabt. [7, 9]

Muss für eine Verdachtsmeldung die Straftat nachgewiesen werden?

Nein. Informationen, ein Verdacht oder ein Umstand, der einen Verdacht begründet, kann genügen. Eine Meldung ist keine gerichtliche Entscheidung über die Schuld des Kunden. [7, 9]

Wird jede Kontobeschränkung vor demselben Gericht angefochten?

Nein. Plattformkontrolle, MASAK-Aufschub, Vermögenseinfrierung, Aussetzung nach der CMK und gerichtliche Beschlagnahme sind verschiedene Maßnahmen. Der richtige Weg ergibt sich aus der konkreten Rechtsgrundlage und der Entscheidung. [9, 12, 19]

Können Kundenvermögen für Schulden der Plattform gepfändet werden?

Aufgrund des gesetzlichen Trennungsschutzes kann auf die Vermögenswerte des Kunden wegen Schulden der Plattform nicht zugegriffen werden. Eine rechtmäßige gerichtliche Maßnahme wegen der eigenen Schulden des Kunden oder gegen sein eigenes Vermögen ist jedoch eine eigene Frage. [1]

Bedeutet ein MKK-Eintrag, dass die Anlage unter staatlicher Garantie steht?

Nein. Das KVMKS ist eine Register- und Abstimmungsinfrastruktur. Ein MKK-Eintrag begründet keine Garantie für den Preis des Kryptowerts oder für die Zahlung bei jedem Verlust. [1, 14]

Wird eine Plattform bei einem Angriff zwangsläufig von der Haftung frei?

Nein. Geprüft werden der Verweis von Art. 99/B/4 des Gesetzes auf Art. 71 TBK und die Besonderheiten des Einzelfalls. Die Ausnahme für verschuldensfreie vorübergehende Unterbrechungen ist keine allgemeine Haftungsfreistellung, die auf alle Cyberverluste angewandt werden könnte. [1, 21]

Gilt jedes mit OTP bestätigte Geschäft als echte Kundenanweisung?

Allein daraus lässt sich kein sicheres Ergebnis ableiten. Untersucht werden, wer Telefon, E-Mail, Gerät und Sicherheitseinstellungen kontrolliert hat, sowie der technische Ablauf des Geschäfts. [26, 27]

Beträgt die Aufbewahrungsfrist der Aufzeichnungen acht oder zehn Jahre?

Die achtjährige Aufbewahrung nach MASAK und die zehnjährigen Aufzeichnungspflichten nach der SPK gelten je nach Dokumentenart und Beginnereignis. Es dürfen nicht alle Aufzeichnungen unter Zugrundelegung der kürzeren Frist gelöscht werden. [2, 7, 9]

Genügt eine ausländische Lizenz für die Tätigkeit in der Türkei?

Nein. Für auf die Türkei ausgerichtete Leistungen und Vermarktung gelten die Erlaubnis- und Tätigkeitsvoraussetzungen des türkischen Rechts gesondert. [1]

Wird mein Geld automatisch erstattet, wenn ich mich bei der SPK beschwere?

Nein. Eine Aufsichtsbeschwerde ist etwas anderes als ein Erstattungs- oder Schadensersatzanspruch. Der Anspruch ist an den richtigen Adressaten und gegebenenfalls an das zuständige Gericht zu richten; Fristen sind gesondert zu verfolgen. [1, 21, 22]

Sollte ich für eine rechtliche Prüfung meinen privaten Schlüssel weitergeben?

Nein. Privater Schlüssel, Wiederherstellungswörter, Kontopasswort und Verifizierungscode dürfen nicht weitergegeben werden. Mit der Chronologie des Vorfalls, Transaktionskennungen, Adressen und Kontoaufzeichnungen kann die Prüfung sicher begonnen werden.

Quellen

1. Kapitalmarktgesetz Nr. 6362 (Sermaye Piyasası Kanunu). Insbesondere Art. 3, 35/B, 35/C, 99/A, 99/B, 109/A, 110/A–B und 130/5. Gesetzestext der SPK.
2. SPK, Mitteilung (Tebliğ) Nr. III-35/B.1. Mitteilung über die Gründungs- und Tätigkeitsgrundsätze von Kryptowerte-Dienstleistern (Kripto Varlık Hizmet Sağlayıcıların Kuruluş ve Faaliyet Esasları Hakkında Tebliğ); Amtsblatt 13.03.2025/32840.
3. SPK, Mitteilung (Tebliğ) Nr. III-35/B.2. Mitteilung über die Arbeitsverfahren und -grundsätze sowie die Kapitaladäquanz von Kryptowerte-Dienstleistern (Kripto Varlık Hizmet Sağlayıcıların Çalışma Usul ve Esasları ile Sermaye Yeterliliği Hakkında Tebliğ); Amtsblatt 13.03.2025/32840.
4. SPK, Bulletin Nr. 2025/68. 31.12.2025; Geldbeträge für das Jahr 2026, Tabelle zu III-35/B.2.
5. SPK, Bekanntmachung des Beschlusses Nr. 18/617 vom 26.03.2026. Bulletin Nr. 2026/18, S. 6, E/1. Die auf PRM Finans zugängliche Fassung des SPK-Bulletins.
6. SPK, Liste der tätigen Unternehmen (Faaliyette Bulunanlar Listesi). Erklärung, dass die Übergangsliste keine Zulassung bedeutet, und aktuelle Unternehmenseinträge.
7. MASAK, Compliance-Leitfaden zu den Pflichten für Kryptowerte-Dienstleister (Kripto Varlık Hizmet Sağlayıcılar İçin Yükümlülüklere Uyum Rehberi). September 2025; Identifizierung, Travel Rule, Transferkontrollen, Meldung und Aufbewahrung. Spätere Änderungen wurden gesondert beurteilt.
8. Verordnung über Maßnahmen zur Verhinderung der Geldwäsche und der Terrorismusfinanzierung (Suç Gelirlerinin Aklanmasının ve Terörün Finansmanının Önlenmesine Dair Tedbirler Hakkında Yönetmelik). Insbesondere Art. 4–26/A; Identifizierung, wirtschaftlich Berechtigter, Transferinformationen und verschärfte Maßnahmen.
9. Gesetz Nr. 5549 zur Verhinderung der Geldwäsche (Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun). Insbesondere Art. 3–8, 13–14 und 19/A.
10. MASAK-Allgemeine Mitteilung Serie Nr. 29. Amtsblatt 28.06.2025; Transferwartefristen, Limits für stabile Kryptowerte und Erläuterungspflicht. Zusammen mit S. 17–18 des MASAK-Leitfadens.
11. MASAK-Online-Antragsleitfaden (MASAK Online Başvuru Kılavuzu). März 2025; Unterscheidung zwischen Nutzerantrag und Verdachtsmeldesystem.
12. MASAK-Allgemeine Mitteilung Serie Nr. 34. Amtsblatt 23.09.2026/33379. Sanktionslisten der Vereinten Nationen, Meldung und Aufschub; Wiedergabe der Rechtsvorschrift auf Legalbank.
13. MASAK, Bekanntmachung zur Identifizierung per Reisepass aus der Ferne (Pasaportla Uzaktan Kimlik Tespitine İlişkin Duyuru). 29.06.2026. Änderungsmitteilung Serie Nr. 32, Amtsblatt 27.06.2026/33293.
14. MKK, Zentrales Kryptowerte-Registersystem (Kripto Varlık Merkezi Kayıt Sistemi). Register-, Vergleichs- und Abstimmungsfunktion des Systems.
15. MKK, Erklärung zur Genehmigung des KVMKS durch die TCMB (KVMKS’nin TCMB Tarafından Onaylanmasına İlişkin Açıklama). Unternehmenserklärung vom 03.08.2026.
16. Datenschutzgesetz Nr. 6698 (Kişisel Verilerin Korunması Kanunu). Insbesondere Art. 4–6, 9–12; Zweckbindung, Rechtsgrundlage, Übermittlung und Sicherheit.
17. KVKK, Verfahren und Grundsätze zur Meldung von Datenschutzverletzungen (Kişisel Veri İhlali Bildirim Usul ve Esasları). Bekanntmachung zum Beschluss Nr. 2019/10 vom 24.01.2019.
18. KVKK, Öffentliche Bekanntmachung zu Standardverträgen bei der Übermittlung ins Ausland (Yurt Dışına Aktarımda Standart Sözleşmeler Hakkında Kamuoyu Duyurusu). Unterzeichnung des Standardvertrags und Meldefrist von fünf Werktagen.
19. Gesetz Nr. 7571, durch Art. 22 eingefügter Art. 128/A der CMK. Von der TBMM angenommener Text; Aussetzung des Kontos, gerichtliche Beschlagnahme, Mitteilung und Auskunftserteilung.
20. TCMB, Verordnung über die Nichtverwendung von Kryptowerten bei Zahlungen (Ödemelerde Kripto Varlıkların Kullanılmamasına Dair Yönetmelik). Amtsblatt 16.04.2021/31456; Art. 3–4.
21. Obligationenrecht Nr. 6098 (Türk Borçlar Kanunu). Insbesondere Art. 49–52, 71–72, 112 und 146–149.
22. Zivilprozessordnung Nr. 6100 (Hukuk Muhakemeleri Kanunu). Insbesondere Art. 190, 219–220, 266, 281–282, 389 und 400 ff.
23. MASAK, Pflichten und Sanktionen (Yükümlülükler ve Yaptırımlar). Pflichtengruppen nach dem Gesetz Nr. 5549 und Rahmen der verwaltungs-/strafrechtlichen Sanktionen; Abschnitt des Leitfadens zu den Sanktionen.
24. MKK, KVMKS-Gebührentarif 2026 (KVMKS 2026 Yılı Ücret Tarifesi). Rundschreiben vom 20.01.2026; finanzielle Planung der Pflichten.
25. SPK, Kryptowerte-Dienstleister (Kripto Varlık Hizmet Sağlayıcılar). Offizielle Seite zu Zulassung, Übergangseinträgen und Antrag.
26. Berufungsgericht Istanbul, 14. Zivilsenat (İstanbul BAM 14. Hukuk Dairesi). E.2022/244, K.2025/1603, 09.10.2025. Plattformsicherheit, Nutzerkonto und Schadensersatz. Zurückweisung der Berufung in der Sache; Rechtsweg der Revision offen. Vollständiger Entscheidungseintrag bei De Jure.
27. Kassationshof, 3. Zivilsenat (Yargıtay 3. Hukuk Dairesi), E.2025/5307, K.2026/2209, 15.04.2026. SIM-Karten-Vorgang und Kryptowerte-Schaden; Mobilfunkbetreiber. Bestätigung in berichtigter Fassung hinsichtlich der Positionen zur Anwaltsvergütung. Vollständiger Entscheidungseintrag bei De Jure.
28. Verbraucherschutzgesetz Nr. 6502 (Tüketicinin Korunması Hakkında Kanun). Insbesondere Art. 3, 73 und 73/A; Beurteilung von Zuständigkeit und Klagevoraussetzung nach Vertrag und Parteieigenschaft.