BaFin warnt vor nova-c-solutions.com: Was dahintersteckt, wenn die Registernummer echt ist

Die BaFin hat am 28. September 2026 eine Verbrauchermitteilung zur Website nova-c-solutions(.)com veröffentlicht. Nach ihren Erkenntnissen werden dort ohne die erforderliche Erlaubnis Finanz- und Wertpapierdienstleistungen sowie Kryptowerte-Dienstleistungen angeboten. Interessant ist an diesem Fall weniger die Warnung selbst als der Weg, auf dem der Auftritt seriös wirkt: Die Betreiber geben eine Geschäftsadresse in Pompano Beach in den USA an, und unter dieser Anschrift ist nach Darstellung der BaFin bei der US-Börsenaufsicht SEC tatsächlich eine Gesellschaft namens Nova Capital Solutions, LLC registriert.

Die Aufsicht schreibt dazu ausdrücklich, ihr lägen keinerlei Anhaltspunkte dafür vor, dass dieses Unternehmen oder seine Verantwortlichen mit der Website in Verbindung stünden. Vielmehr handele es sich mutmaßlich um einen Identitätsdiebstahl zulasten der Nova Capital Solutions, LLC und ihrer Führungskräfte. Für dich als Anleger folgt daraus eine unbequeme Einsicht: Eine echte Registernummer beweist nichts, solange sie nicht zu dem Gegenüber gehört, das dich anspricht. Genau daran scheitert die Standardempfehlung „schau ins Register".

Was die BaFin zu nova-c-solutions.com mitteilt

Die Mitteilung ist eine Verbrauchermitteilung über eine unerlaubt tätige Website, keine Anklage und kein Urteil. Rechtsgrundlage sind § 37 Absatz 4 Kreditwesengesetz und § 10 Absatz 7 Kryptomärkteaufsichtsgesetz. Der Inhalt in Kurzform: Auf der Seite werden Finanz-, Wertpapier- und Kryptowerte-Dienstleistungen angeboten; eine Erlaubnis der BaFin dafür liegt nicht vor.

Wer in Deutschland solche Dienstleistungen anbietet, braucht diese Erlaubnis. Das ist keine Formalie: An der Erlaubnis hängen Eigenkapitalanforderungen, Vorgaben zur Verwahrung von Kundengeldern, Meldepflichten und die Aufsicht selbst. Fehlt sie, fehlt der gesamte Apparat, der im Streitfall greifen würde.

Wichtig für die Einordnung: Die BaFin sagt mit einer solchen Mitteilung nicht, dass ein bestimmter Anleger geschädigt wurde. Festgestellt wird, dass ein Angebot ohne Erlaubnis gemacht wird — und das macht die Aufsicht öffentlich, damit niemand weiter darauf hereinfällt.

Identitätsdiebstahl: Warum die genannte US-Gesellschaft nach Darstellung der BaFin das mutmaßliche Opfer ist

Dieser Punkt verdient Sorgfalt, weil er leicht falsch gelesen wird. Die Nova Capital Solutions, LLC steht in der Mitteilung nicht als Beschuldigte, sondern als mutmaßlich Geschädigte. Die BaFin führt sie an, um zu erklären, warum die Adressangabe auf der Website einer Prüfung zunächst standhält — und stellt im selben Absatz klar, dass ihr keine Anhaltspunkte für eine Verbindung zwischen dem Unternehmen und der Website vorliegen.

Der Verdacht des Identitätsdiebstahls ist ebenfalls ein Verdacht, und er stammt von der Aufsicht, nicht von uns: Die BaFin formuliert ihn mit dem Wort „mutmaßlich". Ob und durch wen hier tatsächlich eine fremde Identität verwendet wurde, ist damit nicht abschließend geklärt.

Ein Hinweis zur Belegbarkeit, den wir offenlegen, statt ihn zu glätten: Die SEC-Registrierung der Nova Capital Solutions, LLC konnten wir nicht unabhängig bestätigen — die Abfrage der SEC-Datenbank EDGAR blieb ohne verwertbare Antwort. Die Angabe steht deshalb hier als das, was sie ist: eine Darstellung der BaFin.

Derselbe Bauplan wie bei watermarkinvestments.com

Die BaFin verweist in ihrer Mitteilung darauf, dass nova-c-solutions(.)com auffallend starke Ähnlichkeiten mit der Seite watermarkinvestments(.)com aufweist, vor der sie bereits am 8. Juli 2026 gewarnt hatte. Das ist die eigentliche Nachricht für den Leser: Es handelt sich nicht um einen Einzelfall, sondern um eine Vorlage, die mehrfach benutzt wird.

Wenn eine Vorlage mehrfach läuft, ändern sich Name und Domain, während Aufbau, Textbausteine und die Art der Legitimation gleich bleiben. Wer den Aufbau einmal kennt, erkennt die nächste Fassung, auch wenn sie anders heißt. Genau darin liegt der Wert einer solchen Warnung über den konkreten Fall hinaus.

Die Registerprüfung allein trennt echte von geliehenen Firmennamen nicht

Die gängige Empfehlung lautet: Prüfe, ob der Anbieter registriert oder zugelassen ist. Der Rat ist richtig und bleibt der erste Schritt — aber dieser Fall zeigt ihre Lücke. Die Prüfung beantwortet die Frage „Gibt es dieses Unternehmen?". Die Frage, auf die es ankommt, lautet aber: „Ist das Unternehmen, das es gibt, dasselbe, das mir hier schreibt?"

Ein Registereintrag ist ein Eintrag über eine Gesellschaft, nicht über eine Website. Er sagt nichts darüber, wer eine Domain betreibt, wer eine E-Mail schickt oder wer am Telefon ist. Wird eine echte Firmenadresse auf einer fremden Seite verwendet, geht die Prüfung formal auf und inhaltlich daneben.

Was den Unterschied macht, ist die Gegenrichtung der Prüfung: Nicht die Angaben auf der Website in ein Register eintippen, sondern von der offiziellen Seite des registrierten Unternehmens aus zurückgehen. Ist die Domain, die dich anspricht, dort genannt? Ist die Telefonnummer dieselbe? Führt die offizielle Seite dieses Angebot überhaupt? Fällt eine dieser Antworten negativ aus, ist der Registereintrag wertlos, so echt er auch sein mag.

§ 10 Kryptomärkteaufsichtsgesetz: Woran du eine Krypto-Warnung der BaFin erkennst

Die BaFin veröffentlicht laufend Warnungen zu unerlaubt tätigen Anbietern, und die wenigsten betreffen Kryptowerte. Es gibt allerdings ein verlässliches Erkennungsmerkmal: die genannte Rechtsgrundlage. Der Verweis auf § 10 Absatz 7 Kryptomärkteaufsichtsgesetz (KMAG) steht nicht unter jeder Mitteilung, sondern wird gezielt gesetzt, wenn ein Angebot Kryptowerte-Dienstleistungen umfasst.

Zum Vergleich: Warnungen zu Leasing-Angeboten oder Zinsportalen aus denselben Tagen tragen diese Zeile nicht, sondern nur die Grundlage aus dem Kreditwesengesetz. Wer die Warnliste der BaFin gelegentlich durchsieht und nur die Krypto-Fälle sucht, hat mit dieser Zeile einen brauchbaren Filter.

Das KMAG ist das deutsche Gesetz, das die europäische Verordnung über Märkte für Kryptowerte begleitet und der BaFin die Aufsichtsbefugnisse über Kryptowerte-Dienstleister gibt. Es ist der Grund, warum die Aufsicht bei einer Krypto-Plattform ohne Erlaubnis heute überhaupt tätig werden kann.

Die Unternehmensdatenbank der BaFin und ihre Grenzen

Für die Frage, ob ein Anbieter in Deutschland zugelassen ist, führt die BaFin eine öffentliche Unternehmensdatenbank. Dort lässt sich nachsehen, ob ein Institut über eine Erlaubnis verfügt und für welche Geschäfte.

Die Grenzen dieser Datenbank sind dieselben wie bei jedem Register. Die Datenbank sagt dir, welche Gesellschaft eine Erlaubnis hat. Nicht beantwortet wird, ob die Website, die dich angesprochen hat, zu dieser Gesellschaft gehört. Ein Anbieter kann in der Datenbank stehen und trotzdem auf einer gefälschten Seite auftauchen — das ist genau der Vorgang, um den es hier geht, nur mit einem deutschen statt einem US-Register.

Deshalb ist die Reihenfolge wichtig: erst in der Datenbank nachsehen, dann den offiziellen Auftritt des gefundenen Unternehmens aufrufen und von dort aus weitergehen — nie über einen Link, den dir jemand geschickt hat. Wer lieber bei Anbietern bleibt, deren Zulassung in der EU nachgewiesen ist, findet sie im Überblick der regulierten Krypto-Börsen.

MiCA-Zulassung: Was eine Erlaubnis in der EU wirklich abdeckt

MiCA ist die EU-Verordnung über Märkte für Kryptowerte, die seit 2024 schrittweise gilt und Anbietern von Kryptowerte-Dienstleistungen eine Zulassung vorschreibt. Eine solche Zulassung bedeutet, dass ein Anbieter unter Aufsicht steht, organisatorische Anforderungen erfüllen und Kundenwerte getrennt halten muss.

Was sie nicht bedeutet: dass deine Kursverluste versichert wären, dass ein Anbieter nicht insolvent werden kann, oder dass jede Dienstleistung des Anbieters von der Zulassung erfasst ist. Eine Erlaubnis gilt für bestimmte Geschäfte, nicht pauschal für alles, was ein Unternehmen anbietet. Welche Pflichten aus MiCA folgen und bis wann sie greifen, ist im Überblick zu den MiCA-Lizenzpflichten aufgeschlüsselt.

Für den Fall nova-c-solutions(.)com ist die Lage einfacher: Dort geht es nach Darstellung der BaFin nicht um den Umfang einer Erlaubnis, sondern um ihr vollständiges Fehlen.

Woran ein geliehenes Firmenprofil im Gespräch auffällt

Die Muster, die bei dieser Art von Auftritt immer wieder auftauchen, lassen sich benennen, ohne dass man den Betreiber kennen müsste:

• Die Ansprache kommt von außen. Ein reguliertes Institut spricht dich selten unaufgefordert über Messenger, soziale Netzwerke oder Anrufe an.
• Die Legitimation wird mitgeliefert. Registernummer, Adresse und Screenshots kommen von der Gegenseite. Prüfbar ist nur, was du selbst und auf eigenem Weg gefunden hast.
• Ein zweiter Kanal fehlt. Die offizielle Hauptnummer des angeblichen Unternehmens führt nicht zu deinem Ansprechpartner.
• Auszahlungen brauchen eine Vorleistung. Gebühren, Steuern oder eine „Freischaltung", die vor der Auszahlung zu zahlen sind, sind kein übliches Verfahren.
• Zeitdruck ersetzt Unterlagen. Ein befristetes Angebot, das keine Prüfung erlaubt, ist als Verkaufsargument gebaut, nicht als Information.

Keines dieser Merkmale beweist für sich etwas. Mehrere zusammen sind der Punkt, an dem es sich lohnt, nichts zu überweisen und stattdessen einen Tag verstreichen zu lassen. Wer sein Guthaben ohnehin selbst verwahrt, verkleinert die Angriffsfläche deutlich: Der Vergleich der Hardware-Wallets zeigt, was das kostet und was es an Verantwortung mitbringt.

Wenn schon Geld geflossen ist: Welche Wege dann noch offen sind

Ist bereits eine Überweisung erfolgt, hängt vieles am Zahlungsweg und an der Zeit. Bei einer klassischen Banküberweisung lohnt sich der sofortige Anruf bei der eigenen Bank, um einen Rückruf zu versuchen — die Erfolgsaussichten sinken mit jeder Stunde. Bei einer Zahlung per Kreditkarte kommt ein Rückbuchungsverfahren beim Kartenherausgeber in Betracht.

Bei einer Überweisung in Kryptowerte ist die Lage anders: Eine Transaktion auf einer Blockchain lässt sich nicht zurückrufen. Was bleibt, ist die Dokumentation — Transaktions-Hash, Empfängeradresse, Zeitpunkt, der gesamte Schriftverkehr und die Website mit Datum als Bildschirmaufnahme. Diese Unterlagen sind die Grundlage für eine Anzeige bei der Polizei und für eine Meldung an die BaFin, die Hinweise auf unerlaubte Geschäfte entgegennimmt.

Realistisch bleiben: Die Aussicht auf Rückfluss ist in solchen Fällen gering. Umso wichtiger ist der Teil, der sich beeinflussen lässt — nämlich keine weitere Zahlung zu leisten. Die Forderung nach einer zusätzlichen Gebühr, damit eine angeblich blockierte Auszahlung freigegeben wird, ist das häufigste Muster, in dem aus einem Schaden ein größerer wird.

Vier Fälle in sechs Wochen: Das Muster hinter den BaFin-Warnungen

Dieser Fall ist nicht der erste, den wir in diesem Jahr nachgezeichnet haben, und im Nebeneinander wird das Muster deutlich. Im August ging es um eine Warnung, bei der ebenfalls ein fremder Unternehmensname verwendet wurde — die Einordnung dazu steht im Beitrag zum Identitätsmissbrauch bei einer Krypto-Plattform. Dazu kamen die Warnung zu einer Wallet-Anwendung, der Überblick über ganze Plattformreihen und die Zusammenstellung, wie sich ein Krypto-Anbieter vor dem ersten Euro einordnen lässt.

Über alle Fälle hinweg wiederholt sich derselbe Aufbau: ein professioneller Auftritt, eine überprüfbare, aber fremde Legitimation, kein Nachweis einer Erlaubnis für das angebotene Geschäft, und eine Ansprache, die von der Gegenseite ausgeht. Die Namen wechseln schneller, als eine Warnliste sie aufnehmen kann — der Aufbau nicht.

Daraus folgt die praktische Konsequenz für den Umgang mit solchen Listen: Eine Warnliste ist ein Rückspiegel. Eine solche Liste zeigt zuverlässig, was aufgefallen ist, aber niemals vollständig, was gerade läuft. Dass ein Name nicht auf der Liste steht, ist deshalb kein Unbedenklichkeitsnachweis — ein Umkehrschluss, der in der Praxis erstaunlich oft gezogen wird.

BaFin-Warnung: So gehst du jetzt vor

1. Prüfe in der Gegenrichtung, bevor Geld fließt. Nicht die Angaben des Anbieters ins Register tippen, sondern vom offiziellen Auftritt des registrierten Unternehmens aus zurückgehen und sehen, ob die Domain dort überhaupt genannt ist. Wer gleich bei Anbietern mit nachgewiesener EU-Zulassung bleiben will, findet sie im Vergleich der regulierten Krypto-Börsen.
2. Verkleinere die Angriffsfläche. Guthaben, das nicht auf einer fremden Plattform liegt, kann dort auch nicht eingefroren werden. Was Selbstverwahrung kostet und verlangt, steht im Vergleich der Hardware-Wallets.
3. Dokumentiere alles, was du zahlst und erhältst. Das gilt für den Ernstfall ebenso wie für die Steuererklärung — vollständige Transaktionsdaten sind in beiden Fällen die Grundlage. Werkzeuge dafür stehen im Überblick der Krypto-Steuer-Tools.

Und der wichtigste Satz aus diesem Fall, weil er sich auf jeden nächsten übertragen lässt: Ein echter Registereintrag belegt, dass es ein Unternehmen gibt. Er belegt nicht, dass du mit ihm sprichst.

(Stand: 28. September 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)

Quelle: Verbrauchermitteilung der BaFin vom 28. September 2026.