EBA-Register im Netz nachgebaut: „Kein offizielles EBA-Register und scheint gefälscht zu sein“

Das EBA-Register ist das Verzeichnis, in dem die im Europäischen Wirtschaftsraum zugelassenen Kredit- und Zahlungsinstitute geführt werden. Wer wissen will, ob ein Anbieter wirklich eine Zulassung hat, schaut dort nach. Genau dieses Nachschauen greift eine Masche an, vor der die deutsche Finanzaufsicht BaFin am 9. Oktober 2026 gewarnt hat: Die Betreiber einer angeblichen europäischen Bank verwiesen Interessenten zur Prüfung ihrer Zulassung auf ein Register, das unter ihrer eigenen Domain lag.

Die BaFin schreibt dazu wörtlich: „Das auf dieser Website angezeigte Register ist kein offizielles EBA-Register und scheint gefälscht zu sein.“ Und sie nennt die Adresse, unter der das echte Verzeichnis liegt: euclid.eba.europa.eu. Die Lehre daraus ist unbequem, weil sie einen Schritt mehr verlangt als bisher. Es genügt nicht mehr, einen Anbieter im Register zu suchen. Du musst zuerst wissen, ob das Register echt ist, auf das du schaust.

Die BaFin-Warnung vom 9. Oktober: ein nachgebautes Register unter eigener Domain

Die BaFin hat an diesem Tag zwei Verbrauchermitteilungen zu unerlaubten Geschäften veröffentlicht. Die erste betrifft Angebote auf den Websites vantex-bank(.)com und vantex-bank(.)net. Nach Darstellung der Aufsicht gibt es weder in Deutschland noch in Frankreich ein Kreditinstitut unter der Bezeichnung Vantex Bank. Die unbekannten Betreiber behaupteten laut BaFin, die angebliche Zulassung lasse sich im „Öffentlichen Register“ der Europäischen Bankenaufsichtsbehörde auf der Website euclide-eba(.)com überprüfen.

Dieser Domainname ist der eigentliche Trick. Er liegt nah genug an der echten Adresse, dass er beim Überfliegen durchgeht, und weit genug entfernt, dass er frei registrierbar war. Wer dem Link des Anbieters folgt, landet in einem Verzeichnis, das der Anbieter selbst kontrolliert, und findet dort erwartungsgemäß einen Eintrag. Die Prüfung bestätigt dann nicht die Zulassung, sondern nur, dass jemand eine Webseite bauen kann.

Die zweite Mitteilung desselben Tages betrifft die Website vaulttrades(.)co. Nach Erkenntnissen der BaFin bieten deren Betreiber Kryptowerte-Dienstleistungen ohne Erlaubnis an und werden nicht von ihr beaufsichtigt. Diese Information stützt sich auf Paragraf 10 Absatz 7 des Kryptomärkteaufsichtsgesetzes. Beides sind Feststellungen der Aufsicht, keine gerichtlich geprüften Urteile.

Euclid, das echte EBA-Register: Was der Eintrag im EWR tatsächlich aussagt

Die Europäische Bankenaufsichtsbehörde, kurz EBA, ist die Aufsichtsbehörde der EU für den Bankensektor. Unter dem Namen Euclid führt sie ein zentrales Verzeichnis, in das die nationalen Aufseher ihre zugelassenen Kredit- und Zahlungsinstitute melden. EWR steht für Europäischer Wirtschaftsraum, also die EU plus Island, Liechtenstein und Norwegen. Ein Eintrag dort bedeutet: Irgendeine nationale Aufsicht in diesem Raum hat diesem Institut eine Erlaubnis erteilt und meldet es nach Brüssel weiter.

Dieses Verzeichnis ist öffentlich und kostenlos, und es liegt unter genau einer Adresse. Die sicherste Art, es aufzurufen, ist deshalb die unbequemste: die Adresse von Hand in die Adresszeile tippen, statt auf einen Link zu klicken, den ein Anbieter geschickt hat. Ein Lesezeichen, das du einmal selbst gesetzt hast, erfüllt denselben Zweck.

Bankenregister und Kryptoaufsicht: zwei Verzeichnisse, die nicht dasselbe belegen

Hier liegt der zweite Denkfehler, und er ist älter als die aktuelle Warnung. Selbst ein echter Eintrag im EBA-Register sagt nichts darüber aus, ob ein Haus in Deutschland Kryptowerte-Dienstleistungen anbieten darf. Das Verzeichnis führt Kredit- und Zahlungsinstitute. Die Erlaubnis für das Krypto-Geschäft ist eine eigene Erlaubnis, sie wird national oder nach der europäischen MiCA-Verordnung erteilt und steht in anderen Verzeichnissen.

Wer in Deutschland Bankgeschäfte, Finanz-, Wertpapier- oder Kryptowerte-Dienstleistungen anbietet, braucht dafür die Erlaubnis der BaFin. Welche Pflichten daran hängen und welche Fristen für Anbieter in der EU gelten, steht ausführlich auf unserer Übersicht zu den MiCA-Lizenzpflichten für Krypto-Unternehmen. Für dich als Anleger zählt vor allem die Umkehrung: Ein Anbieter, der mit einer Banklizenz wirbt, hat damit noch keine Krypto-Erlaubnis nachgewiesen, und umgekehrt.

Wenn du den Umweg über Register ganz vermeiden willst, bleibt der direkte Weg über Häuser, deren Zulassung ohnehin feststeht. Welche Plattformen in Deutschland unter Aufsicht arbeiten, haben wir im Vergleich der regulierten Kryptobörsen zusammengestellt.

Die BaFin-Unternehmensdatenbank: So prüfst du die Erlaubnis am Original statt am Link

Für Deutschland gibt es genau eine zuständige Stelle, und das ist die Unternehmensdatenbank der BaFin. Dort stehen die Institute, denen die deutsche Aufsicht eine Erlaubnis erteilt hat. Drei Schritte reichen, und keiner davon führt über eine Seite des Anbieters.

Erstens: Öffne die Datenbank über eine Adresse, die du selbst eingegeben oder als Lesezeichen gespeichert hast. Zweitens: Such nach dem vollständigen Firmennamen, nicht nach dem Markennamen der App oder der Domain. Drittens: Vergleiche, was dort steht, mit dem, was der Anbieter behauptet. Firmensitz, Rechtsform und die Art der erlaubten Geschäfte müssen zusammenpassen. Steht ein Haus nicht darin, heißt das nicht automatisch, dass etwas faul ist, denn Anbieter aus anderen EU-Staaten können über den europäischen Pass tätig sein. Es heißt aber, dass die Erlaubnis nicht aus Deutschland kommt und du weitersuchen musst.

Wie dieser Abgleich in der Praxis aussieht und woran sich eine fehlende Erlaubnis in wenigen Minuten erkennen lässt, haben wir im September an den damaligen Warnungen durchgespielt: So prüfst du in drei Minuten, ob ein Krypto-Anbieter eine Erlaubnis hat. Der Ablauf gilt unverändert. Neu ist allein der Schritt davor, nämlich die Frage, ob die Prüfstelle selbst stimmt.

Sieben von dreizehn Warnungen betreffen Kryptowerte: die Zahlen aus elf Tagen

Wie häufig das Krypto-Geschäft in diesen Warnungen vorkommt, lässt sich auszählen. Zwischen dem 29. September und dem 9. Oktober 2026 hat die BaFin dreizehn Verbrauchermitteilungen zu unerlaubten Geschäften veröffentlicht. Sieben davon nennen ausdrücklich Kryptowerte-Dienstleistungen, fünf stützen sich auf das Kryptomärkteaufsichtsgesetz, zehn auf das Kreditwesengesetz. Allein auf die ersten neun Oktobertage entfallen neun der dreizehn Meldungen.

Interessanter als die Summe ist die Verteilung der Masche. In fünf der dreizehn Mitteilungen geht es um Identitätsmissbrauch: Jemand gibt sich als ein real existierendes, tatsächlich beaufsichtigtes Unternehmen aus und benutzt dessen Namen oder Registernummer. In genau einer der dreizehn taucht dagegen ein gefälschtes Register auf, und das ist die Vantex-Meldung vom 9. Oktober. Zu dem Muster, bei dem die Registernummer echt und der Absender falsch ist, haben wir den Fall nova-c-solutions.com beschrieben: Was dahintersteckt, wenn die Registernummer echt ist.

Vom geliehenen Firmennamen zum nachgebauten Register: die nächste Stufe der Masche

Zwischen diesen beiden Varianten liegt ein Unterschied, der für die Prüfung alles ändert. Wer eine fremde Identität leiht, bleibt angreifbar: Die Nummer gehört einer anderen Firma, der Name passt nicht zur Website, der Sitz stimmt nicht. Wer das Register selbst nachbaut, entzieht sich genau diesem Abgleich. Dort steht dann der Name, den die Website trägt, mit dem Sitz, den die Website nennt, und mit einer Nummer, die niemand sonst vergeben hat.

Eine Fälschung, die den Prüfschritt mitliefert, ist deshalb schwerer zu entdecken als eine, die nur eine Behauptung aufstellt. Unsere Einschätzung: Für Leser verschiebt das die Aufmerksamkeit von der Frage „Steht der Anbieter im Register?“ auf die Frage „Wie bin ich in dieses Register gekommen?“. Die Belege dafür stehen in der Meldung selbst, in der die BaFin das angezeigte Verzeichnis als offenbar gefälscht einordnet und die echte Adresse danebenstellt. Dagegen spricht, dass dieser Fall bislang ein Einzelfall ist: einer von dreizehn Vorgängen in elf Tagen. Eine Masche wird daraus erst, wenn sich der Bauplan wiederholt. Dass er billig ist, spricht dafür.

Recovery Scam: Die Masche mit dem zurückgeholten Krypto-Guthaben

Die BaFin hält in derselben Mitteilung fest, die angebliche Bank werde möglicherweise auch für einen sogenannten Recovery Scam verwendet, zu Deutsch Rückholbetrug. Dabei treten Täter erneut an frühere Betrugsopfer heran und stellen in Aussicht, verlorenes Geld oder Krypto-Guthaben zurückzuholen. Für Krypto-Anleger ist das die gefährlichste Variante, weil sie genau die Menschen trifft, die schon einmal Geld verloren haben und deren Verlust öffentlich auf einer Blockchain nachvollziehbar ist.

Der Ablauf folgt laut Aufsicht einem festen Muster. Zuerst wird eine Kopie des Ausweises verlangt, angeblich zur Identifizierung. Diese Kopien setzen die Täter dann für weitere Straftaten ein. Danach wird eine Zahlung angeblicher Gebühren oder Steuern zur Bedingung für die Auszahlung gemacht. Zu einer Auszahlung kommt es nicht. Inzwischen werden laut BaFin auch Menschen angesprochen, die gar kein Geld verloren haben, dann unter dem Vorwand einer Schenkung oder Zuwendung. Eine echte Behörde verlangt für die Rückholung von Vermögen keine Vorauszahlung, und eine seriöse Stelle fragt nicht per E-Mail nach einer Ausweiskopie.

MiCA, KMAG und die Erlaubnispflicht: der Rechtsrahmen hinter den beiden Warnungen

Dass die BaFin solche Mitteilungen überhaupt veröffentlichen darf, steht im Gesetz. Bei der Vantex-Meldung stützt sie sich auf Paragraf 37 Absatz 4 des Kreditwesengesetzes, bei vaulttrades(.)co auf Paragraf 10 Absatz 7 des Kryptomärkteaufsichtsgesetzes. Das KMAG ist das deutsche Gesetz, das die europäische MiCA-Verordnung ergänzt und die Aufsicht über Kryptowerte-Dienstleister regelt. Welche Rolle es in den Warnungen der vergangenen Wochen spielt, haben wir hier aufgeschlüsselt: Fünf von neun BaFin-Warnungen stützen sich auf das Kryptomärkteaufsichtsgesetz.

Praktisch heißt das: Eine Veröffentlichung der BaFin ist kein Strafurteil, sondern eine Information an den Markt. Eine solche Meldung hält fest, dass die Aufsicht ein Unternehmen nicht beaufsichtigt und dass es nach ihren Erkenntnissen erlaubnispflichtige Geschäfte betreibt. Für die Praxis reicht das vollkommen aus, denn ohne Erlaubnis gibt es auch keine der Schutzmechanismen, die an einer Erlaubnis hängen.

Geld bei einem unerlaubten Anbieter: Die Einlagensicherung greift hier nicht

Darin liegt der eigentliche Schaden. Bei einem zugelassenen Institut in der EU sind Bankguthaben bis 100.000 Euro je Kunde gesetzlich gesichert. Diese Sicherung hängt an der Zulassung, nicht am Firmennamen und erst recht nicht an einem Eintrag in einem Verzeichnis, das jemand selbst betreibt. Ein Haus ohne Erlaubnis gehört keinem Sicherungssystem an.

Für Kryptowerte kommt hinzu, dass sie ohnehin nicht unter die Einlagensicherung fallen, auch bei einem zugelassenen Anbieter nicht. Dort schützt die Aufsicht anders, über Vorgaben zur Verwahrung und zur Trennung von Kundenbeständen. Fehlt die Erlaubnis, fehlen auch diese Vorgaben. Was dann noch bleibt, ist der zivilrechtliche Weg gegen Betreiber, die in den Meldungen der BaFin regelmäßig als unbekannt geführt werden. Ein Totalverlust ist in solchen Fällen der Normalfall, nicht das Risiko am Rand.

Dieselbe Logik begegnet dir übrigens bei anderen Maschen in anderer Verkleidung. Wie Betrüger eine angebliche Pflichtprüfung erfinden, um an Wallet-Freigaben zu kommen, zeigt unser Stück über die gefälschte AML-Prüfung für Krypto-Wallets.

EBA-Register: Zwei Adressen entscheiden, ob eine Lizenz echt ist

Am Ende braucht es keine lange Checkliste, sondern zwei selbst eingetippte Adressen und die Bereitschaft, einem geschickten Link nicht zu folgen.

1. Prüfe die Erlaubnis dort, wo du selbst hingegangen bist. Für Deutschland ist das die Unternehmensdatenbank der BaFin, für den EWR das Register unter euclid.eba.europa.eu. Wer sich die Suche sparen möchte, beginnt bei Häusern, deren Zulassung feststeht: Vergleich der regulierten Kryptobörsen.
2. Zieh Guthaben ab, solange es geht. Bei einem Anbieter ohne Erlaubnis ist jeder Tag ein Tag zu viel. Wer seine Coins nicht bei einem Dritten liegen lassen will, verwahrt sie selbst: Hardware-Wallets im Vergleich.
3. Zahl nie voraus, um an eigenes Geld zu kommen. Gebühren, Steuern oder Kautionen als Bedingung für eine Auszahlung sind das Erkennungszeichen des Rückholbetrugs. Für den Neustart bei einem Anbieter mit Erlaubnis hilft der Börsenvergleich.

Die beiden Meldungen, um die es hier geht, kannst du bei der Aufsicht selbst nachlesen: die Warnung zur angeblichen Vantex Bank.

(Stand: 9. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)