BaFin-Warnung wegen Identitätsmissbrauch: Wenn eine Krypto-Plattform den Namen einer echten deutschen Firma trägt

Die Finanzaufsicht BaFin hat am 24. August 2026 vor Angeboten auf der Website tresorbit(.)com gewarnt. Neu an dieser Warnung ist der Zusatz: Nach Erkenntnissen der Aufsicht handelt es sich um einen Identitätsmissbrauch zulasten einer realen deutschen Gesellschaft. Die kurze Antwort für dich lautet deshalb: Ein deutscher Firmenname, eine deutsche Adresse und eine saubere Rechtsform auf einer Krypto-Website beweisen gar nichts. Geprüft ist ein Anbieter erst, wenn du ihn selbst in der Unternehmensdatenbank der BaFin gefunden hast.

Über die Website werden laut BaFin ohne Zulassung Kryptowerte-Dienstleistungen angeboten, konkret der Handel mit Kryptowerten. Die Aufsicht benennt zusätzlich, wessen Identität dafür benutzt wurde: die in Willich ansässige Gesellschaft für Kryptoregisterführung mbH. Dieses Unternehmen steht nach Angaben der BaFin nicht in Verbindung mit den Betreibern der Website. Wer also den Firmennamen googelt und einen echten deutschen Handelsregister-Eintrag findet, findet damit die falsche Bestätigung.

BaFin-Warnung vom 24. August 2026: Was die Aufsicht zu tresorbit(.)com mitgeteilt hat

Die Meldung selbst ist kurz und besteht aus drei Aussagen, und jede einzelne ist für deine Prüfung wichtig. Erstens: Über die Website werden Kryptowerte-Dienstleistungen angeboten, ohne dass dafür eine Zulassung vorliegt. Zweitens: Angeboten wird konkret der Handel mit Kryptowerten. Drittens: Es liegt ein Identitätsmissbrauch zulasten der genannten Willicher Gesellschaft vor, die mit den Betreibern nichts zu tun hat.

Die BaFin stützt die Veröffentlichung auf § 10 Absatz 7 Kryptomärkteaufsichtsgesetz. Das ist die Vorschrift, die es der Aufsicht erlaubt, die Öffentlichkeit über unerlaubte Krypto-Angebote zu informieren und dabei Namen und Adressen zu nennen. Eine solche Mitteilung ist keine Gerichtsentscheidung und kein Strafurteil, sondern eine amtliche Information darüber, was die Aufsicht festgestellt hat. Für dich als Anleger ist das die belastbarste Quelle, die es zu einem unbekannten Anbieter gibt.

Was die Meldung nicht enthält, gehört genauso zum Bild: keine Schadenssumme, keine Zahl betroffener Kunden, keine Angabe darüber, wie lange die Website schon läuft. Wer dir solche Zahlen zu diesem Fall nennt, hat sie nicht von der BaFin.

Identitätsmissbrauch erklärt: Was der Begriff im Aufsichtsrecht bedeutet

Identitätsmissbrauch bedeutet in diesem Zusammenhang, dass unbekannte Betreiber den Namen, die Anschrift oder die Registerdaten eines real existierenden Unternehmens verwenden, um ihrem eigenen Angebot einen seriösen Anstrich zu geben, ohne dass dieses Unternehmen davon weiß oder daran beteiligt ist. Das betroffene Unternehmen ist in diesen Fällen selbst Geschädigter.

Der Unterschied zu einer frei erfundenen Briefkastenfirma ist praktisch bedeutsam. Eine erfundene Firma fällt auf, sobald du den Namen suchst und nichts findest. Ein missbrauchter Name hält der ersten Suche stand: Es gibt das Unternehmen wirklich, es gibt einen Handelsregister-Eintrag, es gibt eine Adresse in Deutschland, und im Zweifel gibt es sogar eine Website mit einem korrekten Impressum. All das gehört aber zu einer anderen Firma als der, die dein Geld entgegennehmen möchte.

Warum gerade Krypto-Angebote dafür anfällig sind

Seit dem 30. Dezember 2024 gilt die europäische Verordnung MiCA vollständig, und wer in Deutschland Kryptowerte-Dienstleistungen anbietet, braucht dazu eine Zulassung. Deutsche Anleger haben sich daran gewöhnt, auf Lizenzen zu achten, und genau diese Gewöhnung wird ausgenutzt. Ein Angebot, das eine deutsche Gesellschaft im Impressum führt, wirkt heute glaubwürdiger als eines mit einer Adresse in Übersee. Der Missbrauch eines echten Namens ist damit die Antwort auf eine Regulierung, die im Grundsatz funktioniert.

Handelsregister, Impressum, Lizenznummer: Warum diese drei Belege nichts beweisen

Das Handelsregister ist ein Verzeichnis der in Deutschland eingetragenen Kaufleute und Gesellschaften und sagt aus, dass eine Firma rechtlich existiert. Es sagt nichts darüber, ob diese Firma eine Erlaubnis der BaFin hat, und noch weniger darüber, ob die Website, die den Namen verwendet, tatsächlich zu ihr gehört.

Ähnlich verhält es sich mit dem Impressum. Ein Impressum ist eine Selbstauskunft des Website-Betreibers. Niemand prüft vor der Veröffentlichung, ob die dort genannte Gesellschaft dem Betreiber gehört. Dasselbe gilt für Lizenz- oder Registernummern, die auf einer Seite abgedruckt sind: Eine Nummer ist eine Zeichenfolge, solange du sie nicht im Register selbst nachschlägst.

Der belastbare Weg führt deshalb immer in die andere Richtung. Du suchst nicht auf der Website nach Belegen für ihre Seriosität, sondern im Register nach dem Anbieter, und prüfst dann, ob die dort hinterlegten Angaben zu dem passen, was du vor dir hast. Wer eine regulierte Krypto-Börse mit nachprüfbarer EU-Zulassung nutzt, umgeht dieses Problem weitgehend, weil die Zulassung dort öffentlich dokumentiert und leicht auffindbar ist.

Kryptowerte-Dienstleistung: Wofür seit 2026 eine Zulassung nötig ist

Eine Kryptowerte-Dienstleistung ist eine gewerbliche Leistung rund um Kryptowerte, die einem Kunden gegenüber erbracht wird, etwa der Betrieb einer Handelsplattform, der Tausch von Kryptowerten gegen Euro, die Ausführung von Aufträgen oder die Verwahrung von Kryptowerten für andere. Wer so etwas in Deutschland anbietet, braucht dazu eine Zulassung der BaFin.

Nicht darunter fällt, was du für dich selbst tust. Wenn du Bitcoin auf einer eigenen Wallet verwahrst, deren Schlüssel nur du kennst, erbringt niemand eine Dienstleistung für dich, und niemand braucht dafür eine Erlaubnis. Diese Unterscheidung ist auch der Grund, warum manche Wallet-Anbieter zu Recht ohne Lizenz arbeiten und andere nicht; wir haben die Abgrenzung in einem eigenen Beitrag zur Erlaubnispflicht bei Wallet-Apps ausführlich behandelt.

BaFin-Unternehmensdatenbank und MiCA-Register: So prüfst du einen Anbieter

Die Unternehmensdatenbank der BaFin ist das öffentliche Verzeichnis aller Institute und Anbieter, denen die Aufsicht eine Erlaubnis oder Zulassung erteilt hat. Der Zugriff ist kostenlos und ohne Anmeldung möglich, und es ist die einzige Stelle, an der du eine deutsche Erlaubnis wirklich verifizierst.

Die Suche ist unspektakulär und dauert wenige Minuten. Du öffnest die Unternehmensdatenbank der BaFin und suchst nach dem exakten Namen der Gesellschaft, die im Impressum steht. Findest du keinen Treffer, ist die Sache bereits entschieden. Findest du einen Treffer, vergleichst du Anschrift und Rechtsform mit den Angaben auf der Website, und zwar zeichengenau: Eine abweichende Rechtsform oder eine andere Stadt ist kein Detail, sondern der eigentliche Befund.

Bei Anbietern aus dem EU-Ausland tritt das MiCA-Register der europäischen Wertpapieraufsicht ESMA an dieselbe Stelle. Dort sind die zugelassenen Anbieter von Kryptowerte-Dienstleistungen aller Mitgliedstaaten gelistet, jeweils mit der Behörde, die die Zulassung erteilt hat. Ein Anbieter, der eine europäische Lizenz behauptet und in diesem Register nicht auftaucht, hat keine.

Drei Angaben, die zusammenpassen müssen

Ein Registertreffer allein reicht nicht. Zusammenpassen müssen der Firmenname im Impressum, der Eintrag im Register und die Domain, unter der du gerade bist. Der Fall, vor dem die BaFin am 24. August gewarnt hat, funktioniert genau über diese Lücke: Der Name existiert, das Unternehmen existiert, die Website gehört nicht dazu. Seriöse Anbieter nennen ihre Domain deshalb in offiziellen Unterlagen und weisen aktiv auf Nachahmer hin.

Eigene Auszählung: Fünf von 24 BaFin-Verbrauchermitteilungen betreffen Krypto

Diese Auswertung hat cryptoticker.io am 25. August 2026 selbst erhoben. Methode: Wir haben die Übersichtsseite „News & Warnungen“ der BaFin abgerufen, alle dort gelisteten Verbrauchermitteilungen aus dem Jahr 2026 einzeln geladen und für jede Meldung ausgewertet, ob der Meldungstext selbst ein Krypto-Angebot betrifft und ob er einen Identitätsmissbrauch benennt. Der allgemeine Erläuterungsblock am Ende jeder Meldung, der die Begriffe routinemäßig aufzählt, wurde dabei abgeschnitten.

Geprüfte Objekte: 24 Verbrauchermitteilungen, alle mit HTTP-Status 200 abgerufen. Ergebnis: Fünf davon betreffen Krypto-Angebote, datiert vom 18., 19. (zwei Meldungen), 24. und 25. August 2026 und damit alle in einem Fenster von acht Tagen. Genau eine dieser Meldungen, die zu tresorbit(.)com, benennt ausdrücklich einen Identitätsmissbrauch.

Was wir nicht prüfen konnten, gehört dazu: Die Übersichtsseite zeigt nur einen Ausschnitt des Jahres. Der älteste dort gelistete Eintrag stammt vom 4. Mai 2026; Meldungen aus den Monaten davor waren über diese Seite nicht erreichbar. Die 24 sind der Stand dieser Seite am Erhebungstag und nicht die Jahressumme. Auch die Einordnung nach dem Meldungstext hat eine Kante: Die Warnung vom 19. August zur App „NC Wallet“ betrifft eine Wallet-Anwendung, spricht im Meldungskopf aber nur von Finanzdienstleistungen und fällt deshalb nach unserer Regel nicht in die Krypto-Gruppe.

Vier weitere Warnungen am 24. und 25. August: Was die Fälle unterscheidet

An denselben zwei Tagen hat die BaFin vier weitere Verbrauchermitteilungen veröffentlicht, und der Vergleich zeigt, wie unterschiedlich die Muster sind. Zu auvelion(.)com teilt die Aufsicht mit, dass dort ohne Erlaubnis Finanz- und Wertpapierdienstleistungen sowie Kryptowerte-Dienstleistungen angeboten werden; der Betreiber trete lediglich unter der Bezeichnung Auvelion auf, ohne Rechtsform, ohne Angabe eines Geschäftssitzes und ohne Impressum. Das ist der offensichtliche Fall: Es fehlt schlicht alles.

Bei rivolifinances(.)com nennen die Betreiber laut BaFin die Bezeichnungen Rivoli S.A. und Rivoli Finances Sàrl und geben einen vermeintlichen Geschäftssitz in Frankreich an; der Verdacht der Aufsicht richtet sich hier auf unerlaubte Bankgeschäfte durch die Vergabe von Krediten. Zu navigatorpf(.)com heisst es, die Betreiber böten Bankgeschäfte und Finanzdienstleistungen ohne Erlaubnis an und würden nicht von der BaFin beaufsichtigt. Die vierte Meldung vom 25. August betrifft helvetickeystone(.)com samt E-Mails einer ähnlich geschriebenen Absenderadresse und dreht sich um Tages- und Festgeldangebote.

Zwischen dem offensichtlichen und dem missbrauchten Namen liegt eine dritte Stufe, die die BaFin am 19. August bei der App „Crendel“ beschrieben hat: Als Entwickler wird dort laut eigener Angabe ein US-amerikanisches Unternehmen genannt, und der Aufsicht liegen nach ihrer Mitteilung keine Erkenntnisse darüber vor, ob diese registrierte Gesellschaft tatsächlich in irgendeiner Verbindung zu der App steht. Die Aufsicht formuliert hier vorsichtiger als im Willicher Fall, in dem sie den Missbrauch feststellt.

Woran du Identitätsmissbrauch auf einer Krypto-Website erkennst

Ein zuverlässiges Erkennungsmerkmal aus dem Text der Website heraus gibt es nicht, denn die Angaben sind ja gerade deshalb korrekt, weil sie von jemand anderem stammen. Was sich prüfen lässt, sind die Brüche zwischen den Angaben.

• Der Firmenname im Impressum hat inhaltlich nichts mit dem Auftritt der Plattform zu tun, etwa eine Registerführungs- oder Verwaltungsgesellschaft hinter einer Handelsoberfläche.
• Die Domain taucht auf der Website der genannten Gesellschaft nirgends auf, und umgekehrt verweist die Plattform nie auf deren originale Adresse.
• E-Mail-Adressen laufen über eine Domain, die der offiziellen ähnelt, aber nicht identisch ist. Die BaFin hat genau diese Konstellation am 25. August bei helvetickeystone(.)com beschrieben, wo die Absenderadresse auf einer abweichenden Domain lag.
• Die Gesellschaft ist im Handelsregister eingetragen, in der Unternehmensdatenbank der BaFin aber nicht als Anbieter von Kryptowerte-Dienstleistungen gelistet.
• Auszahlungen sind an eine zusätzliche Zahlung gekoppelt, etwa an eine angebliche Steuer, Gebühr oder Freischaltung. Dieses Muster kennst du aus unserer Analyse zu gefälschten Auszahlungsaufforderungen.

Der letzte Punkt ist der wichtigste, weil er unabhängig von jeder Registerprüfung funktioniert. Eine zugelassene Plattform verlangt niemals eine Vorauszahlung, damit dein eigenes Guthaben freigegeben wird.

Geld schon überwiesen: Welche Schritte jetzt zählen

Wenn du bei einem Anbieter eingezahlt hast, vor dem die BaFin inzwischen warnt, ist die Reihenfolge entscheidend. Zuerst sicherst du Beweise: Kontoauszüge, Überweisungsbelege, Transaktions-Hashes, Screenshots der Plattform und den gesamten Schriftverkehr. Diese Unterlagen sind später die Grundlage für jede Anzeige und für jeden Erstattungsversuch, und sie verschwinden, sobald der Zugang zur Plattform abgeschaltet wird.

Danach folgt der Weg zur Bank. Bei einer SEPA-Überweisung, die erst wenige Tage zurückliegt, kann ein Rückruf gelegentlich noch greifen; bei Kartenzahlungen ist ein Chargeback denkbar. Beides hängt an Fristen, und beide Fristen laufen ab dem Zahlungstag, nicht ab dem Tag, an dem du den Verdacht schöpfst. Parallel erstattest du Strafanzeige bei der Polizei, die Anzeige ist auch online möglich.

Was regelmäßig nichts bringt: eine Nachricht an den Support der Plattform, die Aufforderung zur Rücküberweisung und vor allem jedes Angebot, das gegen Vorkasse eine Wiederbeschaffung verspricht. Solche Angebote sind ein eigenes Geschäftsmodell, und die BaFin hat 2026 bereits vor einer Website dieser Art gewarnt. Wurden Kryptowerte in einer eigenen Wallet bewegt, gilt zusätzlich: Sobald du im Verdacht stehst, deine Zugangsdaten preisgegeben zu haben, ziehst du verbliebene Bestände auf eine frisch erzeugte Wallet um, deren Schlüssel nie auf einem fremden Gerät war. Welche Geräte sich dafür eignen, zeigt unser Hardware-Wallet-Vergleich.

Was du der BaFin melden kannst

Die BaFin ist keine Behörde, die dir dein Geld zurückholt, und sie vertritt keine einzelnen Anleger. Hinweise auf unerlaubte Geschäfte nimmt die Aufsicht aber entgegen, und solche Hinweise sind die Grundlage für genau die Verbrauchermitteilungen, um die es hier geht. Eine Meldung lohnt sich also auch dann, wenn dir selbst kein Schaden entstanden ist.

Abgrenzung zu Phishing und Plattformreihen: Warum das ein anderer Angriff ist

Beim Phishing zielt der Angreifer auf deine Zugangsdaten oder deine Wiederherstellungsphrase, also auf ein Geheimnis, das du bereits besitzt. Das gilt für gefälschte E-Mails ebenso wie für die Briefe mit QR-Code, vor denen im August gewarnt wurde und die wir in unserem Beitrag zum Wallet-Phishing per Brief beschrieben haben. Beim Identitätsmissbrauch geht es dagegen um Vertrauen vor der ersten Einzahlung: Du sollst freiwillig überweisen, weil der Anbieter geordnet aussieht.

Auch von den sogenannten Plattformreihen unterscheidet sich der Fall. Dort werden viele fast identische Websites unter wechselnden Namen betrieben, die sich an Wortlaut und Aufbau wiedererkennen lassen; wir haben diese Struktur in einer eigenen Auswertung zu den BaFin-Warnungen zu Krypto-Plattformreihen ausgezählt. Der Missbrauch eines echten Firmennamens ist der aufwendigere Weg, weil er nur einmal pro Opferunternehmen funktioniert, dafür hält er einer oberflächlichen Prüfung stand. Eine dritte Variante ist die schlicht unlizenzierte App, wie im Fall der BaFin-Warnung zu NC Wallet.

Was aus dem Fall für deine Anbieterwahl folgt

Die praktische Konsequenz ist unbequem, aber überschaubar: Die Prüfung muss vor der ersten Einzahlung stattfinden, weil sie danach nichts mehr verhindert. Zwei Minuten in der Unternehmensdatenbank kosten weniger als jeder Erstattungsversuch.

Wer nicht bei jedem neuen Namen von vorn anfangen will, reduziert das Problem über die Anbieterwahl. Eine Handvoll in der EU zugelassener Handelsplätze deckt den allergrößten Teil dessen ab, was private Anleger brauchen; unser Vergleich der größeren Krypto-Börsen ordnet die gängigen Anbieter nach Gebühren und Funktionsumfang. Und wer seine Bewegungen ohnehin sauber dokumentiert, etwa mit einem der Werkzeuge aus unserem Überblick zu Krypto-Steuer- und Portfolio-Tools, hat im Schadensfall die Belege bereits beisammen, die sonst mühsam zusammengesucht werden müssen.

Ein letzter Punkt betrifft die Gegenrichtung. Auch Jobangebote werden für unerlaubte Krypto-Geschäfte genutzt, wenn Bewerber Zahlungen über ihr eigenes Konto weiterleiten und in Kryptowerte tauschen sollen; die BaFin hat dazu am 18. August gewarnt, und wir haben das Muster unter dem Stichwort Finanzagenten-Falle beschrieben. Wer darauf hereinfällt, verliert Geld und gerät obendrein selbst ins Visier der Strafverfolgung.

BaFin-Warnung wegen Identitätsmissbrauch: Was du daraus mitnimmst

1. Prüfe den Anbieter im Register, bevor du einzahlst. Suche den exakten Firmennamen aus dem Impressum in der Unternehmensdatenbank der BaFin und vergleiche Rechtsform und Anschrift zeichengenau. Wenn du dir die Suche sparen willst, wähle von vornherein eine regulierte Krypto-Börse mit dokumentierter EU-Zulassung.
2. Behandle einen deutschen Firmennamen als Behauptung, nicht als Beleg. Der Fall vom 24. August zeigt, dass Handelsregister-Eintrag und Impressum echt sein können und trotzdem zu einem anderen Unternehmen gehören. Vergleiche die Anbieter lieber anhand nachprüfbarer Konditionen, etwa über unseren Krypto-Börsen-Vergleich.
3. Halte Bestände, die du nicht handelst, in eigener Verwahrung. Was auf einer Wallet liegt, deren Schlüssel nur du kennst, kann dir kein unerlaubter Anbieter abnehmen. Welche Geräte dafür taugen und was sie kosten, steht in unserem Hardware-Wallet-Vergleich.

(Stand: 25. August 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)