Der Kryptowährungsregulierungsbehörde in Dubai wird die Einhaltung der Vorschriften als eine Art „Infrastruktur“ betrachtet.

Die neueste Runde der Regulierungen im Bereich der Kryptowährungen geht nicht darum, ob eine Unternehmung überhaupt tätig werden darf – sondern darum, wie sorgfältig man bei der Durchführung dieser Tätigkeiten vorgehen muss.

Die Virtual Assets Regulatory Authority von Dubai hat ihre Aufgabe geändert – sie verlangt nun nicht mehr nur die Einhaltung bestimmter Regeln, sondern auch die Einhaltung realistischer, lebendiger Risikobewertungsprozesse. In einem Bescheid vom November 2025 wird gefordert, dass alle lizenzierten Anbieter von virtuellen Vermögenswerten im Emirat diese Anforderungen erfüllen müssen.Es werden vierteljährlich Überprüfungen der Geschäftsrisiken durchgeführt.Es handelt sich um interne Dokumente, die die Ausfallrisiken eines Unternehmens gegenüber Geldwäsche, Terrorfinanzierung sowie anderen finanziellen Kriminalitätsgefahren aufzeigen. Die Bewertungen müssen dabei…Datenbasiert, auf Beweisen basierend – und auf Genehmigung des Vorstands hin entwickelt.Den VASP wurde gesagt, dass…Führen Sie die erste Quartalsbewertung bis zum 30. November 2025 ab.Und VARA wird…Überprüfen der Einhaltung durch Inspektionen, thematische Überprüfungen sowie die Erstellung von Berichten zu den geltenden Vorschriften..

Ehrlich gesagt ist die vierteljährliche Überprüfung das, was wirklich Beachtung verdient. Die meisten Krypto-Regierungen verlangen eine Risikobewertung einmal beim Lizenzvergabeprozess – und hoffen anschließend, dass diese Bewertung weiterhin aktuell bleibt. VARA behandelt dieses Dokument genauso wie ein Banker seine Stressmodelle: als etwas, das veraltet, wenn man ihm keine neuen Daten mehr liefert.

Was genau das „datengestützte“ Vorgehen hier bewirkt, ist eigentlich unklar.

Die Richtlinie besagt nicht einfach nur, dass man seine Risikobewertung regelmäßig aktualisieren soll. Sie fordert vielmehr, dass die Bewertung auf Daten basiert und mit den relevanten Vorgaben übereinstimmt.Nationale Risikobewertung der UAEDie eigene Bewertung der finanziellen und kriminellen Risiken des Landes durch die Regierung wird regelmäßig aktualisiert. Dieser Anforderungsumfang ist entscheidend für den Erfolg der gesamten Maßnahmen. Eine VASP kann nicht mehr ein statisches Risikoprofil erstellen, das in einem Schrank verstaubt bleibt. Sie muss ständig ihre eigenen Risiken mit der Sichtweise der Regierung bezüglich der nationalen Bedrohungen abgleichen.

Unter den grundlegenden Regeln (Regel III.D) sind VASPs…Es ist notwendig, eine dokumentierte, datengestützte Bewertung der Risiken im Bereich der Anti-Money-Laundering- und Finanzkriminalitätsbekämpfung zu führen.Die zirkuläre Darstellung legt die vierteljährliche Überprüfung auf dieser Grundlage ab. Auch die auftretenden Risiken – einschließlich der durch KI verursachten Bedrohungen – werden dabei explizit berücksichtigt.

Das ist wichtig, denn es zwingt die Kryptobranche dazu, eine Art interne Intelligence-Abteilung aufzubauen – etwas, was traditionellen Finanzinstitutionen ein Jahrzehnt gedauert hat. Die Kosten für die Einhaltung der Vorschriften steigen zwar, aber auch die Qualität der Risikoverarbeitung verbessert sich. Schließlich bleibt die Risikoverarbeitung bestehen, nachdem das Team mit seiner Berichterstattung fertig ist.

Die Durchsetzung der Regeln ist keine theoretische Angelegenheit.

VARA hat bereits…Mehrere VASPs wurden gewarnt, da sie sich nicht an diese Anforderungen hielten.Laut Berichten aus November 2025 folgte das Richtlinienwerk dem „Risk Management Rulebook“ vom Mai 2025 sowie einer nationalen Risikobewertung vom Juni 2025. Es handelt sich dabei um eine dreistufige Abfolge von Vorgaben – eher wie ein System, das aus verschiedenen Elementen zusammengesetzt wird, als wie eine einzige Regelung.

Diese Abfolge der Schritte ist absichtlich gewählt. Zuerst muss ein Rahmen für die Risikomanagementmaßnahmen festgelegt werden. Danach muss dieser Rahmen mit dem nationalen Risikoverlauf in Einklang gebracht werden. Schließlich muss dies zu einer regelmäßigen Verpflichtung werden. Wenn VARA bei Schritt eins aufgehört hätte, wäre das nur noch eine weitere Lizenzanforderung gewesen. Bei Schritt drei wird es jedoch zu einer institutionellen Praxis.

Der Unterschied zur Europa

Die Regulierungen der EU für Märkte mit Kryptowährungen (MiCA) – die derzeit in der Umsetzungsphase sind – verlangen auch, dass Dienstleister für Kryptowährungen…Es müssen solide Kontrollmaßnahmen im Bereich der Anti-Money-Laundering- und Konventionsvorschriften eingehalten werden. Zudem sind interne Richtlinien sowie Verfahren zur Risikomanagement sind erforderlich.Aber das AML-Rahmendokument von MiCA delegiert wichtige operative Details an die nationalen Aufsichtsbehörden sowie an die EU-Richtlinien zur Bekämpfung von Geldwäsche. Diese Richtlinien legen allgemeine Grundsätze fest, ohne jedoch eine konkrete Frist für die Überprüfungen vorzugeben.

Dubai macht etwas anderes: Es legt fest, wie der Prozess des Einhaltens der Vorgaben abläuft. Der vierteljährliche Rhythmus ist eine bewusste Entscheidung – keine administrativen Fehler. Damit signalisiert VARA, dass die Risikoabschätzung nicht als ein Momentaner Wert betrachtet wird, sondern als einen Prozess. Dieser Prozess muss dabei dem Tempo entsprechen, mit dem die Krypto-Märkte sowie die Bedrohungslandschaften sich verändern.

Ich denke, die größere Frage hier ist nicht, ob die vierteljährlichen Überprüfungen die Innovationen in Dubai verlangsamen werden. Vielmehr geht es darum, ob diese Art der operativen Spezifität zum Modell wird, nach dem andere Regionen vorgehen werden, wenn sie erkennen, dass einmalige Risikobewertungen in einer Branche, deren Risikoprofil schneller wechselt als die meisten regulatorischen Verfahren, nutzlos sind.

Was kommt als Nächstes?

Der praktische Druckpunkt liegt auf der Hauptversammlung des Unternehmens. Wenn die Risikobewertungen jede Quartalzeit über die Hauptversammlung genehmigt werden müssen, dann sind die Personen, die letztendlich für die Einhaltung der Richtlinien verantwortlich sind, gezwungen, regelmäßig mit dem Risikoprofil des Unternehmens zu arbeiten – und nicht diese Aufgabe einem Compliance-Mitarbeiter zu übertragen und anschließend ein Jahr lang nichts damit zu tun. Das ist eine Veränderung in der Governance, die als operative Regelung getarnt wird.

Was zu beobachten ist: Ob die Inspektionen von VARA systematische Lücken bei der Erstellung datengestützter Bewertungen der Unternehmen aufdecken können. Zudem sollten wir prüfen, ob andere Regionen – wie Singapur, das Vereinigte Königreich oder sogar US-Bundesstaaten – ähnliche Regelungen zur Überprüfung einführen werden. Wenn dem so ist, dann wird Dubais Vorgehensweise eher wie ein Vorbild für die Umsetzung von Krypto-Regulierungen erscheinen.

Wenn sie das nicht tun, dann stellt sich die Frage, ob die Unternehmen anfangen werden, die Standards in Dubai als de facto Referenzpunkt zu betrachten – schließlich ist es genau dieser Standard, der tatsächlich angewandt wird.