DAC8, CARF & Co.: Alle Meldepflichten für deutsche Finanzinstitute auf einen Blick

Vier Abkürzungen tauchen in fast jedem Gespräch über deutsches Meldewesen auf — FATCA, CRS, DAC8 und CARF — und sie werden fast immer einzeln erklärt, jede in ihrem eigenen dichten BZSt-Merkblatt, als wären es vier voneinander unabhängige Probleme. Das sind sie nicht. Es sind vier Varianten einer einzigen Aufgabe: einer Steuerbehörde nach einem festen Rhythmus mitzuteilen, wer was hält.

Dieser Beitrag bringt die gesamte Landschaft auf eine Seite. Eine Karte der vier Regime — was jedes erfasst, wer aus Sicht eines deutschen Instituts betroffen ist, wo gemeldet wird und was sich tatsächlich ändert — damit Sie sehen, wo Ihre Pflichten liegen, ohne vier Merkblätter zu lesen, nur um herauszufinden, welche davon für Sie gelten.

Zwei dieser Regime sind heute aktiv und das seit Jahren. Zwei sind neu: Sie kommen mit dem Meldejahr 2026 und bringen eine ganze Gruppe von Kryptowerte-Anbietern erstmals in die grenzüberschreitende Steuermeldung. Die Karte macht diesen Unterschied sichtbar.

Die Karte: FATCA, CRS, DAC8 und CARF auf einen Blick

Regime	Was erfasst wird	Wer betroffen ist (aus Sicht dt. FI)	Meldung in Deutschland an	Status & erster Meldezeitraum
FATCA	Konten von US-Personen	Meldepflichtige Finanzinstitute — Banken, Fonds, Verwahrstellen, viele Zahlungs- und E-Geld-Institute	BZSt → IRS (Modell-1-Abkommen), über die DIP-Schiene	Aktiv. Jährlich; Abgabe bis 31. Juli für das Vorjahr
CRS	Konten steuerlich Ansässiger in 100+ Partnerstaaten	Dieselben meldepflichtigen Finanzinstitute, über das FKAustG	BZSt, über die DIP-Schiene	Aktiv. Jährlich; 31. Juli, aufgeteilt nach Staat
DAC8	Kryptowerte-Transaktionen — die EU-Umsetzung von CARF	Kryptowerte-Dienstleister und -Betreiber — weiter gefasst als MiCAR-lizenzierte CASPs	BZSt, nach dem KStTG, über die DIP-Schiene	Neu. Regeln gelten ab 2026; erste Meldung bis 31. Juli 2027
CARF	Kryptowerte-Transaktionen — der globale OECD-Standard hinter DAC8	Meldepflichtige Kryptowerte-Dienstleister	BZSt (über das KStTG), über die DIP-Schiene	Neu. 48 Staaten verpflichtet; erster Austausch 2027

Ein Punkt, den die Tabelle sichtbar macht, sei ausdrücklich gesagt: Für ein deutsches Institut sind DAC8 und CARF nicht zwei getrennte Meldungen. CARF ist das globale OECD-Modell; DAC8 ist die Art, wie die EU es umsetzt; und Deutschland setzt DAC8 durch ein einziges Gesetz um — das Kryptowerte-Steuertransparenzgesetz (KStTG). Ein deutscher Anbieter meldet einmal, nicht zweimal. Und alle vier Regime landen an derselben Stelle, dem Bundeszentralamt für Steuern (BZSt), zunehmend über dieselbe programmatische Schiene.

FATCA und CRS: was heute aktiv ist

Wenn Sie heute eine Meldepflicht tragen, ist es fast sicher eine dieser beiden — und oft beide.

FATCA ist ein US-Gesetz. Es verlangt von deutschen Instituten, Konten von US-Personen zu identifizieren und zu melden. Deutschland setzt es über ein Modell-1-Abkommen um: Sie melden an das BZSt, und das BZSt übermittelt die konsolidierten Daten an den IRS. Die deutsche Meldung ist in der Regel bis zum 31. Juli für das vorangegangene Kalenderjahr abzugeben.

CRS ist der Teil, bei dem viele vergessen, dass er nicht amerikanisch ist. Es ist der Common Reporting Standard der OECD, in Deutschland über das Finanzkonten-Informationsaustauschgesetz (FKAustG) umgesetzt, und er erfasst steuerlich Ansässige aus mehr als hundert teilnehmenden Staaten — die gesamte EU eingeschlossen. „Alle unsere Kunden sind in Europa” ist kein Grund, warum CRS nicht gilt; es ist genau der Fall, für den CRS geschaffen wurde.

Die Pflicht, beide zu melden, folgt aus dem, was Sie sind — ein meldepflichtiges Finanzinstitut — nicht daraus, ob die Prüfung eines Jahres jemanden zutage fördert. Wenn Sie unsicher sind, ob Sie überhaupt verpflichtet sind, haben wir dazu einen eigenen Leitfaden geschrieben: FATCA & CRS: Sind Sie überhaupt meldepflichtig?

DAC8: was sich tatsächlich ändert und wer neu betroffen ist

DAC8 ist die Richtlinie (EU) 2023/2226, die den automatischen Austausch von Steuerinformationen in der EU auf Kryptowerte erweitert. Sie wurde im Oktober 2023 angenommen; die Mitgliedstaaten mussten sie bis Ende 2025 umsetzen, und ihre Regeln gelten ab 2026. Der erste Meldezeitraum ist das Kalenderjahr 2026.

Deutschland hat sie über das Kryptowerte-Steuertransparenzgesetz (KStTG) umgesetzt, verkündet im Dezember 2025. Danach ist die erste Meldung für 2026 bis zum 31. Juli 2027 an das BZSt abzugeben — im selben Juli-Rhythmus, den FATCA- und CRS-Melder bereits kennen — mit dem anschließenden Austausch zwischen den Behörden im Herbst.

Zwei Dinge am Anwendungsbereich überraschen regelmäßig.

Erstens: Der betroffene Kreis ist weiter als „MiCAR-CASPs”. DAC8 erfasst meldende Kryptowerte-Dienstleister und -Betreiber, und es gilt für Anbieter, die EU-Nutzer bedienen, unabhängig davon, wo der Anbieter selbst ansässig ist. Viele dieser Unternehmen haben noch nie etwas an das BZSt gemeldet, weil sie nach den Definitionen vor DAC8 gar keine Finanzinstitute waren. Ihre Technik ist um Verwahrung und Handel herum gebaut, nicht um Steuermeldungs-Integrationen; ihre Compliance-Teams haben die letzten zwei Jahre mit der MiCAR-Zulassung und dem Aufbau von Geldwäscheprävention verbracht, nicht mit FATCA-artigem Filing.

Zweitens: DAC8 erreicht auch inländische Nutzer. FATCA und CRS wurden geschaffen, um nicht ansässige Kontoinhaber zu finden. DAC8 und CARF sind nicht so begrenzt — eine deutsche Handelsplattform meldet über ihre deutschen Kunden ebenso wie über ihre EU- und Drittstaaten-Kunden. Für einen Anbieter, dessen Compliance-Modell davon ausging „wir bedienen nur Inländer, grenzüberschreitende Meldung betrifft uns also nicht”, ist das eine erhebliche Ausweitung.

CARF: der globale Standard hinter DAC8

CARF — das Crypto-Asset Reporting Framework der OECD — ist das internationale Modell, das DAC8 in EU-Recht überführt. Die OECD veröffentlichte es zusammen mit einer 2023er-Aktualisierung des CRS, und — in einer gemeinsamen Erklärung desselben Jahres — verpflichteten sich 48 Staaten, den Austausch von Kryptowerte-Informationen bis 2027 zu beginnen, mit einer weiteren Welle ab 2028 (die Gruppe ist seither deutlich über die ursprünglichen 48 hinaus gewachsen). Die Anbieter beginnen 2026 mit der Datenerhebung.

Für ein deutsches Institut ist der praktische Zusammenhang einfach: Sie melden CARF und DAC8 nicht getrennt. CARF ist der Standard, DAC8 die EU-Umsetzung, und das KStTG die Art, wie es in deutsches Recht gelangt. Gemeldet wird über das OECD-CARF-XML-Schema, übermittelt an das BZSt — dieselbe Behörde und dieselbe programmatische Schnittstelle, die Ihre FATCA- und CRS-Daten empfängt. Die vier Regime laufen auf einer Meldefläche zusammen, und genau deshalb ist es sinnvoll, sie auf einer Karte zu sehen statt auf vieren.

Was ein deutsches Finanzinstitut jetzt tun sollte

Nichts davon muss alarmierend sein, und es ist Zeit. Aber die sinnvollen Schritte sind die frühen, und sie sind dieselben, ob Sie eine etablierte Bank sind, die ein Regime hinzunimmt, oder ein Kryptowerte-Anbieter, der zum ersten Mal überhaupt meldet.

Wenn Sie die vollständige technische Aufbereitung möchten — den DIP-API-Übergang, die XML-Schemata, den Vergleich Deutschlands mit Luxemburg, Irland und den Niederlanden — ist das Gegenstand unseres FATCA-, CRS- und DAC8-Whitepapers (auf Englisch).

Eine Behörde, eine Schiene

Der Grund, alle vier Regime auf einer Karte zu halten, ist, dass sie für ein deutsches Institut an derselben Stelle enden. FATCA, CRS, DAC8 und CARF stellen jeweils eine Variante derselben Frage, und jede wird beantwortet, indem schemakonforme Daten an das BZSt gemeldet werden — zunehmend über dieselbe DIP-Schnittstelle.

Auf dieser Prämisse ist Regfiler aufgebaut. Es wickelt FATCA- und CRS-Meldungen heute über die DIP-Schiene des BZSt ab und ist darauf ausgelegt, DAC8 und CARF zu tragen, sobald diese Regime anwendbar werden — damit die Kryptowerte-Meldewelle als weitere Meldung auf einer Schiene ankommt, der Sie bereits vertrauen, und nicht als zweites, von Grund auf aufzubauendes System. Die Pflichten werden weiter kommen; der Ort, an dem gemeldet wird, und die Disziplin, die es prüfungsfest macht, müssen sich mit jeder einzelnen nicht ändern.