MiCA-Stichtag und AI Act treffen Luxemburgs RegTech-Branche 2026

Am 1. Juli 2026 endet in Luxemburg die Übergangsfrist für Krypto-Asset-Dienstleister unter der EU-Verordnung MiCA. Vier Wochen später greifen im Finanzsektor die Hochrisiko-Bestimmungen des EU AI Act. Zwei Stichtage in 32 Tagen. Sie treffen ein Land, das nach dem Mapping der AI Factory vom Februar 2026 247 aktive KI-Startups zählt, 30 Prozent des nationalen Startup-Ökosystems.

CSSF übernimmt am 6. Februar 2025 die MiCA-Aufsicht

Den Anfang dieser Doppelumsetzung markiert das Vorjahr. Per Gesetz vom 6. Februar 2025 wurde die Commission de Surveillance du Secteur Financier (CSSF) zur alleinigen nationalen Behörde für die Markets in Crypto-Assets Regulation. Sie übernahm das Lizenzverfahren für Crypto-Asset Service Provider, die Zulassung von Stablecoin-Emittenten und die Aufsicht über Travel-Rule-Pflichten ab 1.000 Euro pro Transfer.

Bestandsanbieter, die zum 30. Dezember 2024 als virtuelle Asset-Dienstleister registriert waren, dürfen ihre Tätigkeit bis zum 1. Juli 2026 fortsetzen oder bis zur Entscheidung über ihren CASP-Antrag. Die 18-monatige Frist wurde voll ausgeschöpft. Verkürzte Übergangsregime für den Kryptomarkt wie in Litauen hat Luxemburg nicht eingeführt.

Erste Lizenzen liegen vor. Bitstamp erhielt seine MiCA-CASP-Zulassung am 16. Mai 2025, eine der frühesten in der EU. Standard Chartered kündigte bereits im Januar 2025 ein luxemburgisches Custody-Hub für digitale Vermögenswerte an, Coinbase betreibt seine EU-Basis ebenfalls unter CSSF-Aufsicht. Operativ flankiert wird das Verfahren durch die CSSF-Rundschreiben 25/878 und 25/879, die die EBA- und ESMA-Leitlinien zur Geldwäschebekämpfung umsetzen.

Margue erweitert die Glücksspielreform auf den Online-Markt

Parallel zur Krypto-Compliance-Welle bewegt sich in Luxemburg ein zweiter regulatorischer Reformprozess. Am 30. Oktober 2025 kündigte Justizministerin Elisabeth Margue (CSV) im Parlament ein Gesetzespaket an, das ein legales Monopol zugunsten der Loterie Nationale und des einzigen Landcasinos Casino 2000 in Mondorf-les-Bains festschreiben soll. Auslöser war eine parlamentarische Anfrage des sozialistischen Abgeordneten Dan Biancalana zu Spielsucht und der Verbreitung von Spielautomaten in Cafés.

Der Online-Bereich ist der schwierigere Teil. Margue verwies auf zwei offene technische Fragen: Geoblocking und ein durchsetzbares Schutzregime für Spieler, ohne das ein nationales Monopol nach EU-Rechtsprechung nicht haltbar wäre. Bis das Gesetz steht, agiert ein Großteil des Online-Markts in einer rechtlichen Grauzone. Luxemburger Nutzer greifen weitgehend auf Plattformen zurück, die im EU-Ausland lizenziert sind. Vergleichsportale, wie Casino.org, ranken die besten online Casinos in Luxemburg dabei nach Lizenzherkunft, Auszahlungsraten und integrierten Spielerschutz-Funktionen, eine Orientierung, die der nationale Rahmen derzeit nicht bereitstellt.

Die Zahlen, die Gesundheitsministerin Martine Deprez in derselben Sitzung vorlegte, geben dem Reformdruck Substanz. Zwischen 2020 und 2024 hat sich die Zahl der Personen, die wegen Spielsucht Hilfe suchten, fast verdreifacht, auf rund 100 Fälle pro Jahr, in der Mehrzahl Männer. Das Präventionsbudget des nationalen Suchtzentrums stieg im selben Zeitraum von 220.000 auf 560.000 Euro.

Im Januar 2026 lag dem parlamentarischen Justizausschuss bereits ein erster Gesetzentwurf vor, der die Beschlagnahmung illegaler Spielautomaten in Bars regelt. Der Online-Teil folgt in einer zweiten Reformphase.

Das NRA 2025 stuft Luxemburgs Krypto-Sektor als High-Risk ein

Während die Glücksspielreform vorbereitet wird, hat das luxemburgische Justizministerium am 26. Mai 2025 die aktualisierte Nationale Risikoanalyse zu Geldwäsche veröffentlicht. Die Datengrundlage reicht von 2020 bis 2023. Im Sektor-Ranking zur Geldwäsche-Anfälligkeit erhalten virtuelle Asset-Dienstleister erstmals die Stufe „high inherent risk”, im Gleichschritt mit Banken, Investmentfirmen, E-Geld-Instituten und Lebensversicherern.

Als Hauptbedrohungen benennt das Dokument Betrug, Steuerstraftaten und Korruption, alle drei mit Höchsteinstufung. Eine konkrete Schwachstelle wird namentlich genannt: virtuelle IBANs, sogenannte vIBANs, die als Fiat-Brücke zwischen Krypto-Plattformen und klassischen Bankkonten fungieren und die Linie zwischen regulierten und unregulierten Geldströmen verwischen. Mehrere VASPs seien registriert, ohne ihre AML-Pflichten ausreichend zu verstehen oder anzuwenden, hält das Ministerium fest.

Die Bewertung erfolgt nicht im luftleeren Raum. Im September 2023 hatte die Financial Action Task Force in ihrem Mutual Evaluation Report dem Luxemburger AML-Rahmen ein robustes Grundgerüst attestiert. Die NRA 2025 setzt darauf auf, markiert aber Kapazitätsengpässe der Aufsicht. Ein bemerkenswert direkter Hinweis auf Ressourcenknappheit in einem Dokument, das normalerweise um diplomatische Formulierungen bemüht ist.

Scorechain bedient 200 Kunden, Finologee mehr als 100 Banken

Die regulatorische Schwerlast trägt operativ die luxemburgische RegTech-Schicht. Scorechain, gegründet 2015 mit Sitz in Esch-sur-Alzette, betreibt eine Plattform für Krypto-Risikoanalyse und AML-Konformität, die nach Unternehmensangaben über 200 Kunden in mehr als 45 Ländern bedient. Die Architektur reicht von Wallet-Screening über Transaktions-Risikoscoring bis zu Sanktionslisten-Abgleich. Eine Pre-Series-A-Runde von 2 Mio. Euro brachte 2021 Tioga Capital, Blockrocket und CV VC an Bord. Seit 2020 besteht eine operative Kooperation mit PwC Deutschland für deutsche Geldwäsche-Verpflichtete.

Auf der Bank-Compliance-Seite wirkt Finologee, dessen KYC- und PSD2-Plattform nach Firmenangaben mehr als 100 Banken und Institutionen bedient, davon 35 für die PSD2-Konformität. Tokeny adressiert die Tokenisierungsschiene mit eingebettetem KYC- und AML-Onboarding, Finoxys liefert eine cloud-basierte AML-Transaktionsüberwachung mit Echtzeit-Anomalieerkennung über REST-APIs.

Das Tempo der Branche lässt sich an einer einzelnen Kennzahl ablesen. Im ersten Halbjahr 2025 sammelten Luxemburger Startups, die KI als Kernkomponente einsetzen, 47,2 Mio. Euro über 13 Finanzierungsrunden ein. Im Vergleichszeitraum 2024 waren es 9,7 Mio. Euro. Die Verfünffachung deckt sich mit der zunehmenden Auslagerung klassischer KYC-Prozesse an spezialisierte Anbieter.

Im Sommer 2025 setzte sich ein zusätzlicher Strukturmarker. Investre erhielt im Juli die erste CSSF-Zulassung als Control Agent unter dem im Dezember 2024 verabschiedeten Blockchain-Gesetz IV. Diese Rolle trennt in der DLT-basierten Wertpapieremission die Funktionen klassischer Verwahrer und Kontoführer.