Fünf Krypto-Regulierer in den VAE - was deutsche Token-Gründer über CMA, VARA, DFSA, ADGM und CBUAE wissen müssen

Die VAE bestehen aus sieben Emiraten - Abu Dhabi, Dubai, Sharjah, Ajman, Umm Al Quwain, Ras Al Khaimah und Fujairah. Jedes Emirat verfügt über ein gewisses Maß an Eigenständigkeit, insbesondere im Wirtschaftsrecht. Hinzu kommen sogenannte Financial Free Zones, namentlich das Dubai International Financial Centre (DIFC) und der Abu Dhabi Global Market (ADGM), die jeweils eigene Rechtssysteme, eigene Gerichte und eigene Finanzaufsichtsbehörden unterhalten. Dieses System erklärt, warum es in den VAE nicht eine, sondern fünf Behörden gibt, die Krypto-Geschäfte beaufsichtigen.

Der Begriff "Virtual Asset" (VA) umfasst nach der Definition des Federal Decree-Law No. 32/2025 jede digitale Repräsentation von Wert, die elektronisch übertragen, gespeichert oder gehandelt werden kann. Darunter fallen Kryptowährungen wie Bitcoin und Ether ebenso wie Utility Tokens, Security Tokens und Non-Fungible Tokens (NFTs), sofern sie nicht ausdrücklich ausgenommen sind. Ausgenommen sind insbesondere klassische Wertpapiere (Securities), die weiterhin dem allgemeinen Kapitalmarktrecht unterfallen, sowie Zentralbankwährungen (CBDCs).

Für deutsche Unternehmer ist dabei entscheidend: Die VAE unterscheiden strikt zwischen regulierten und verbotenen Aktivitäten. Reguliert bedeutet, dass eine Lizenz beantragt und erteilt werden muss, bevor die Geschäftstätigkeit aufgenommen wird. Verboten sind insbesondere Privacy Tokens (wie Monero oder Zcash) und algorithmische Stablecoins (wie der gescheiterte TerraUSD).

Mit dem Federal Decree-Law No. 32/2025 (Umwandlung der bisherigen Securities and Commodities Authority - SCA - in die Capital Market Authority - CMA) und dem Federal Decree-Law No. 33/2025 (Erweiterung der CMA-Zuständigkeit auf Virtual Assets), beide in Kraft seit dem 1. Januar 2026, hat der Bundesgesetzgeber der VAE die regulatorische Architektur grundlegend umgebaut.

Die bisherige SCA war primär für traditionelle Wertpapiere und Rohstoffe zuständig. Die neue CMA hat nun eine ausdrückliche Zuständigkeit für Virtual Assets erhalten und damit eine bundesweite Regulierungskompetenz, die neben den bestehenden Sonderregimen von VARA, DFSA und ADGM besteht.

Die CMA Decision No. 4/R.M/2026 vom 13. Februar 2026 konkretisiert die neuen Anforderungen im Detail:

Acht lizenzierte Aktivitäten. Die CMA definiert acht Tätigkeiten, die einer Lizenz bedürfen: (1) Betrieb einer Virtual-Asset-Handelsplattform, (2) Broker-Dealer-Tätigkeit, (3) Custody (Verwahrung), (4) Beratung, (5) Portfoliomanagement, (6) Token-Issuance (Ausgabe von Token), (7) Lending (Kreditvergabe gegen Krypto-Sicherheiten) und (8) Staking.

Kapitalanforderungen. Je nach Aktivität verlangt die CMA ein eingezahltes Mindestkapital zwischen AED 500.000 (ca. 125.000 EUR) und AED 4 Mio. (ca. 1 Mio. EUR). Diese Beträge müssen als liquides Kapital vorgehalten werden - nachrangige Darlehen oder Krypto-Bestände werden nicht angerechnet.

Verbote. Privacy Tokens und algorithmische Stablecoins sind ausdrücklich verboten (CMA Decision No. 4/R.M/2026, Art. 12 Abs. 3). Verstöße können mit Geldstrafen bis AED 10 Mio. (ca. 2,5 Mio. EUR) und dem Entzug der Lizenz geahndet werden.

Das regulatorische System der VAE für Krypto-Geschäfte verteilt sich auf fünf Behörden mit jeweils klar abgegrenzten, aber in der Praxis mitunter überlappenden Zuständigkeiten:

CMA (Capital Market Authority). Bundesweite Zuständigkeit für alle sieben Emirate - mit Ausnahme der Gebiete, die unter die Jurisdiktion von DIFC, ADGM oder VARA-Dubai fallen. Die CMA ist damit der "Auffangregulator" für alle Krypto-Geschäfte, die nicht in eine der Sonderzonen fallen. Rechtsgrundlage: Federal Decree-Law No. 32/2025 i.V.m. CMA Decision No. 4/R.M/2026.

VARA (Virtual Assets Regulatory Authority). Zuständig für das Emirat Dubai - mit Ausnahme des DIFC. VARA ist die weltweit erste spezialisierte Krypto-Regulierungsbehörde und hat seit 2023 ein umfassendes Regelwerk aufgebaut, das sieben Aktivitätskategorien umfasst. Rechtsgrundlage: Dubai Law No. 4 of 2022 (Virtual Assets Regulation Law).

DFSA (Dubai Financial Services Authority). Zuständig ausschließlich für den DIFC, eine Financial Free Zone im Herzen Dubais mit eigenem Common-Law-Rechtssystem und eigenen Gerichten (DIFC Courts). Die DFSA reguliert Krypto-Geschäfte über ihr Investment Token Regime. Rechtsgrundlage: DIFC Regulatory Law 2004, ergänzt durch die DFSA Crypto Token Rules.

ADGM FSRA (Financial Services Regulatory Authority). Zuständig für den Abu Dhabi Global Market (ADGM), eine Financial Free Zone auf Al Maryah Island in Abu Dhabi. Der ADGM unterhält ebenfalls ein eigenes Common-Law-System und eigene Gerichte. Die FSRA hat 2018 als eine der ersten Behörden weltweit ein Krypto-Regulierungsrahmenwerk eingeführt. Rechtsgrundlage: ADGM Financial Services and Markets Regulations 2015, ergänzt durch das Virtual Asset Framework.

CBUAE (Central Bank of the UAE). Zuständig für Payment Tokens (Stablecoins, die an eine Fiat-Währung gebunden sind) und seit 2025 auch für DeFi-Protokolle, die Zahlungsdienste anbieten. Die CBUAE hat mit dem Payment Token Services Regulation Framework (PTSR) ein eigenes Regelwerk für dirham-basierte und andere Stablecoins geschaffen. Rechtsgrundlage: Federal Decree-Law No. 14 of 2018 (Central Bank Law), ergänzt durch CBUAE Circular No. 2/2025.

Entscheidend: Compliance mit einem Regulierer bedeutet nicht Compliance mit einem anderen. Wer eine VARA-Lizenz für Dubai hält, darf damit nicht automatisch in Abu Dhabi oder Sharjah operieren. Wer eine CMA-Registrierung besitzt, darf damit nicht in DIFC operieren. Jeder Regulierer verlangt eine eigene Lizenz, eigene Compliance-Strukturen und eigene Berichtspflichten.

Für die meisten deutschen Gründer stellt sich in der Praxis eine zentrale Frage: Soll das Krypto-Projekt unter VARA (Dubai) oder unter der CMA (bundesweit) lizenziert werden - oder unter beiden?

VARA (Dubai) bietet ein elaborierteres und in der Praxis erprobtes Regelwerk. Dubai verfügt über den größeren Talentpool im Krypto-Bereich, eine etablierte Infrastruktur aus spezialisierten Anwälten, Compliance-Dienstleistern und Wirtschaftsprüfern sowie eine starke internationale Markenwahrnehmung. VARA-Lizenzen sind auf Retail- und institutionelle Kunden ausgerichtet.

CMA (bundesweit) ermöglicht den Zugang zu allen Emiraten außerhalb Dubais, was insbesondere für Projekte mit Kunden in Abu Dhabi, Sharjah oder Ras Al Khaimah relevant ist. Die CMA hat eine institutionellere Ausrichtung und eignet sich für Projekte, die eine Multi-Emirat-Präsenz anstreben.

In der Praxis benötigen viele Projekte beide Lizenzen: VARA für die Bedienung von Kunden in Dubai und CMA für alle anderen Emirate. Die Kosten und der administrative Aufwand verdoppeln sich dadurch nicht exakt, da bestimmte Compliance-Strukturen (etwa AML/KYC-Systeme) für beide Regulierer genutzt werden können - die regulatorische Komplexität steigt jedoch erheblich.

Die VARA Issuance Guidance vom April 2026 hat die Regeln für die Ausgabe von Token in Dubai grundlegend neu gefasst. Deutsche Gründer, die einen Token Launch planen, müssen drei Kategorien unterscheiden:

Kategorie 1 - Full Regulated Virtual Assets (FRVA) und Associated Regulated Virtual Assets (ARVA). Hierunter fallen Token, die eigenständig als Wertanlage oder Zahlungsmittel konzipiert sind oder die mit einem regulierten Vermögenswert verknüpft sind. Für die Ausgabe solcher Token ist eine eigene Issuance-Lizenz erforderlich. Die Kapitalanforderungen liegen bei mindestens AED 1 Mio. (ca. 250.000 EUR), hinzu kommen umfangreiche Whitepaper-Pflichten und eine obligatorische externe Prüfung der Smart Contracts.

Kategorie 2 - Licensed Distributor. Token, die über einen bereits lizenzierten Distributor ausgegeben werden, unterliegen erleichterten Anforderungen. Der Gründer benötigt keine eigene Issuance-Lizenz, muss jedoch mit einem lizenzierten Partner zusammenarbeiten und bleibt für die Whitepaper-Pflichten verantwortlich.

Exempt Virtual Assets. Token, die ausschließlich innerhalb eines geschlossenen Ökosystems funktionieren (etwa In-Game-Währungen ohne Sekundärmarkt), können von der Regulierung befreit sein. Die Befreiung muss jedoch vorab bei VARA beantragt und genehmigt werden - eine eigenständige Einschätzung durch den Emittenten reicht nicht aus.

Für alle Kategorien gilt eine Whitepaper-Pflicht mit konkreten Risiko-Disclosures, die den Anleger über technische Risiken, Marktrisiken, regulatorische Risiken und das Risiko eines Totalverlusts aufklären müssen.

Wichtig: Tokenisierte Real-World Assets (RWAs) - etwa tokenisierte Immobilien, Anleihen oder Kunstgegenstände - können zusätzlich unter die CMA-Regulierung fallen, wenn sie Merkmale eines Wertpapiers aufweisen. In diesem Fall ist neben der VARA-Lizenz auch eine CMA-Registrierung erforderlich.

Die Lizenzierung eines Krypto-Geschäfts in den VAE gehört zu den kostenintensivsten weltweit. Die Gesamtkosten setzen sich aus mehreren Komponenten zusammen: Mindestkapitalanforderungen zwischen AED 500.000 (ca. 125.000 EUR) und AED 4 Mio. (ca. 1 Mio. EUR), Lizenzgebühren von AED 100.000 bis AED 500.000, Compliance-Infrastruktur mit Personalkosten von AED 500.000 bis AED 1 Mio. jährlich sowie Rechts- und Beratungskosten von AED 200.000 bis AED 500.000.

Die typische Dauer eines Lizenzverfahrens liegt bei sechs bis zwölf Monaten. Die Gründe: fünf parallele Regulierer, umfangreiche Dokumentation, Fit-and-Proper-Tests, der Nachweis funktionsfähiger AML/KYC-Systeme und laufende Berichtspflichten.

Rechenbeispiel: Ein deutsches Start-up mit VARA-Lizenz (Exchange) muss im ersten Jahr mit Gesamtkosten von AED 4.200.000 (ca. 1.050.000 EUR) rechnen, davon AED 2.000.000 gebundenes Mindestkapital und AED 2.200.000 tatsächliche Ausgaben. Ab dem zweiten Jahr liegen die laufenden Kosten bei ca. AED 1.300.000 (ca. 325.000 EUR).

Trotz der hohen Kosten gehören die VAE zu den weltweit gefragtesten Standorten: null Prozent Einkommensteuer für natürliche Personen, Corporate Tax von nur 9 %, strategische Zeitzone, regulatorische Klarheit, Zugang zu MENA- und Asien-Märkten, englischsprachige Common-Law-Gerichte, schnelle Gesellschaftsgründung und Golden Visa für Investoren.

Deutsche Gründer, die ein Krypto-Geschäft in den VAE aufbauen, bleiben in vielen Fällen in Deutschland steuerpflichtig. Seit dem 1. Januar 2026 unterliegen Krypto-Dienstleister einer Meldepflicht gegenüber dem Bundeszentralamt für Steuern (BZSt) nach dem Kryptowertetransparenzgesetz (KStTG). Private Veräußerungsgeschäfte mit Kryptowährungen sind innerhalb der Einjahres-Haltefrist nach Paragraph 23 EStG steuerpflichtig. Passive Krypto-Einkünfte über eine VAE-Gesellschaft können dem deutschen Anteilseigner nach Paragraphen 7-14 AStG zugerechnet werden (Hinzurechnungsbesteuerung).

Rechenbeispiel: Ein deutscher Gründer hält 100 % an einer Free-Zone-LLC in Dubai mit Staking-Erträgen von AED 2.000.000 (ca. 500.000 EUR). UAE Corporate Tax: AED 146.250 (ca. 36.563 EUR, effektiv 7,3 %). Die Hinzurechnungsbesteuerung greift, da die effektive Steuerbelastung unter 25 % liegt. Deutsche Steuerlast: ca. 219.982 EUR abzüglich anrechenbarer UAE-Steuer von ca. 36.563 EUR. Verbleibende deutsche Steuerlast: ca. 183.419 EUR. Effektive Gesamtsteuerbelastung: ca. 44 %.

Die Hinzurechnungsbesteuerung neutralisiert damit den Steuervorteil der VAE nahezu vollständig, solange der Gründer in Deutschland unbeschränkt steuerpflichtig bleibt.

Deutscher Gründer mit Token-Projekt, Gesellschaftssitz DMCC (Dubai), Jahresumsatz AED 5.000.000 (ca. 1.250.000 EUR): Regulatorische Kosten (VARA-Lizenz, CMA-Registrierung, Compliance-Personal) von AED 1.150.000 bis AED 3.700.000 jährlich. UAE Corporate Tax: 9 % auf den Gewinn über AED 375.000. Laufende Kosten (Büro, IT, Audits) von AED 350.000 bis AED 950.000 jährlich.

Prüfen Sie vor der Gesellschaftsgründung, welcher Regulierer für Ihr konkretes Geschäftsmodell zuständig ist. Planen Sie bei Multi-Emirat-Geschäft beide Lizenzen ein. Integrieren Sie die KStTG-Meldepflicht von Anfang an. Meiden Sie Privacy Tokens und algorithmische Stablecoins vollständig. Bauen Sie Substanz in den VAE auf. Stimmen Sie die Token-Kategorisierung frühzeitig mit dem Regulierer ab.

Beratung durch eine spezialisierte Kanzlei: Grenzüberschreitende Angelegenheiten zwischen Europa und den VAE sind komplex. Der richtige Ansatz muss die Rechtslage in beiden Rechtsordnungen berücksichtigen - gesellschaftsrechtliche, steuerliche, regulatorische und persönliche Erwägungen. Eisenberg Europe & Middle East ist eine deutsche Rechtsanwaltskanzlei mit Büros in Abu Dhabi, Dubai, Frankfurt, Hamburg und Tel Aviv. Wir beraten Privatpersonen, Familien und Unternehmen bei der Strukturierung ihrer Angelegenheiten zwischen dem deutschsprachigen Raum und den VAE - von der Umzugsplanung und Gesellschaftsgründung über Immobilientransaktionen bis hin zum Vermögensschutz und der generationenübergreifenden Nachfolge. Wenn Sie erfahren möchten, welche Optionen für Ihre Situation in Frage kommen, stehen wir Ihnen gerne für ein vertrauliches Erstgespräch zur Verfügung.

Fachlich geprüft von: Dr. Fabian Ibel, Unternehmens- und Compliance-Rechtsanwalt

Grenzüberschreitende Angelegenheiten zwischen Europa und den VAE sind komplex. Der richtige Ansatz muss die Rechtslage in beiden Rechtsordnungen berücksichtigen - gesellschaftsrechtliche, steuerliche, regulatorische und persönliche Erwägungen.

Eisenberg Europe & Middle East ist eine deutsche Rechtsanwaltskanzlei mit Büros in Abu Dhabi, Dubai, Frankfurt, Hamburg und Tel Aviv.

Wir beraten Privatpersonen, Familien und Unternehmen bei der Strukturierung ihrer Angelegenheiten zwischen dem deutschsprachigen Raum und den VAE - von der Umzugsplanung und Gesellschaftsgründung über Immobilientransaktionen bis hin zum Vermögensschutz und der generationenübergreifenden Nachfolge.

Wenn Sie erfahren möchten, welche Optionen für Ihre Situation in Frage kommen, stehen wir Ihnen gerne für ein vertrauliches Erstgespräch zur Verfügung.