Ist Coinbase sicher? Was die MiCA-Lizenz schützt und was zwei Bußgelder aus Irland zeigen

Ist Coinbase sicher? Für Anleger in Deutschland lautet die kurze Antwort: Coinbase gehört zu den am engsten beaufsichtigten Kryptobörsen in Europa, ist aber nicht frei von Risiken. Die Börse arbeitet mit einer MiCA-Lizenz aus Luxemburg, ist an der Nasdaq notiert und legt nach eigenen Angaben nur einen kleinen Teil der Kundenkryptos in Online-Wallets. Gleichzeitig hat die irische Zentralbank zwei Coinbase-Gesellschaften mit Bußgeldern belegt, und ein Datenleck im Mai 2025 traf knapp 70.000 Kunden. Wer Kryptowährungen auf einer Börse liegen lässt, sollte deshalb wissen, welche Schutzschicht wofür zuständig ist und welche Lücke nur er selbst schließen kann.

Dieser Ratgeber trennt die drei Ebenen, die bei der Frage nach Sicherheit gern vermischt werden: die staatliche Aufsicht, die Verwahrung der Coins und das eigene Konto. Für den Vergleich mit anderen Anbietern lohnt der Blick auf unsere Übersicht der regulierten Kryptobörsen, denn die gleichen Prüfpunkte gelten für jede Plattform.

MiCA-Lizenz aus Luxemburg: Welche Aufsicht für Coinbase in der EU gilt

Seit dem 20. Juni 2025 hält die Gesellschaft Coinbase Luxembourg S.A. eine Zulassung als Krypto-Dienstleister nach der europäischen MiCA-Verordnung. Erteilt hat sie die luxemburgische Finanzaufsicht CSSF, wie die Standortagentur Luxembourg for Finance damals mitteilte. MiCA steht für Markets in Crypto-Assets und ist das EU-weite Regelwerk, das seit dem 30. Dezember 2024 für Börsen, Broker und Verwahrer gilt. Eine Lizenz in einem Mitgliedstaat reicht über den sogenannten EU-Pass für alle 27 Staaten, also auch für Kunden in Deutschland.

Für dich bedeutet das: Coinbase muss Eigenkapitalregeln einhalten, Kundenvermögen getrennt halten, Interessenkonflikte offenlegen und Beschwerden nach festen Verfahren bearbeiten. Was die Verordnung im Einzelnen verlangt, erklärt unsere Seite zu den MiCA-Lizenzpflichten für Krypto-Unternehmen. Die Lizenz ist eine Mindestanforderung: Damit steht fest, dass eine Aufsicht hinschaut, aber eine Zulassung garantiert weder Kurse noch die Rückgabe von Coins nach einem Angriff.

BaFin-Erlaubnis von 2021 und EU-Pass: Wer dein Vertragspartner bei Coinbase ist

In Deutschland ist Coinbase schon länger beaufsichtigt. Die Coinbase Germany GmbH erhielt im Juni 2021 als erstes Unternehmen eine Erlaubnis der BaFin für das Kryptoverwahrgeschäft, damals noch nach dem Kreditwesengesetz. Mit MiCA hat sich die Zuständigkeit verschoben: Der Konzern bündelt sein EU-Geschäft in Luxemburg, während Euro-Zahlungen über eine irische E-Geld-Gesellschaft laufen. Wie cryptoticker am 24. Oktober 2026 berichtete, hängen deutsche Kunden mit ihrem Euro-Guthaben über den EU-Pass an der Coinbase Ireland Limited.

Welche Gesellschaft genau dein Vertragspartner ist, steht in den Nutzungsbedingungen und im Impressum deines Kontos. Das ist mehr als eine Formalie. Im Streitfall entscheidet die Gesellschaft darüber, welche Aufsicht zuständig ist, welches Recht gilt und an wen du eine Beschwerde richtest. Der Abgleich dauert fünf Minuten und gehört zu jeder Börsenprüfung.

Bußgeld über 21,5 Millionen Euro: Lücken im Geldwäsche-Monitoring

Im November 2025 verhängte die Central Bank of Ireland gegen die Coinbase Europe Limited eine Rüge und ein Bußgeld von 21.464.734 Euro, wie die Zentralbank am 6. November 2025 mitteilte. Grundlage war das irische Geldwäschegesetz. Nach Darstellung der Zentralbank arbeiteten wegen Fehlern in der Datenkonfiguration fünf von 21 Überwachungsszenarien für Hochrisikofälle nicht vollständig, sodass von April 2021 bis April 2022 insgesamt 30.442.437 Transaktionen nicht vollständig überwacht wurden. Sie hatten einen Wert von über 176 Milliarden Euro und machten rund 31 Prozent aller Transaktionen von Coinbase Europe in diesem Zeitraum aus. Die Nachprüfung dauerte fast drei Jahre und führte zu 2.708 verspäteten Verdachtsmeldungen an die irische Meldestelle. Das Unternehmen räumte die Verstöße ein und erhielt dafür den im Vergleichsverfahren vorgesehenen Nachlass von 30 Prozent auf das zunächst festgesetzte Bußgeld von 30.663.906 Euro.

Für deine Coins hatte dieser Fall keine unmittelbare Folge, denn es ging um die Pflicht, verdächtige Geldflüsse zu erkennen. Er zeigt aber, wie Aufsicht unter MiCA praktisch wirkt: Die Behörde prüft nach, sanktioniert und macht die Ergebnisse öffentlich. Für Kunden ist das ein Vorteil gegenüber Börsen ohne europäische Zulassung, bei denen niemand solche Fehler aufdeckt.

Sicherungspflichten für Kundengelder: Das zweite irische Bußgeld vom Oktober 2026

Näher an deinem Geld liegt der zweite Fall. Im Oktober 2026 belegte die irische Zentralbank die Coinbase Ireland Limited mit einer Rüge und 3.252.618 Euro Bußgeld. Wie das Fachportal Irish Legal News berichtet, ging es um Verstöße gegen die Sicherungs- und Auslagerungspflichten der irischen E-Geld-Verordnung von 2011 im Zeitraum November 2020 bis August 2025. Die Zentralbank nannte drei Schwachstellen: eine starke Abhängigkeit von der US-Konzernmutter bei den Kontrollen, ein über längere Phasen unterdotiertes Sicherungskonto und fehlende Verfahren, um wesentliche Änderungen der Aufsicht zu melden.

Coinbase räumte die Verstöße ein. Nach eigener Darstellung hat das Unternehmen die Berechnung der gesicherten Beträge neu aufgebaut, sie zweimal extern prüfen lassen, eine Garantie über 25 Millionen Euro hinterlegt und eine eigene Leitung für das Thema Kundengeldsicherung eingesetzt. Das Bußgeld von 2025 hat der irische High Court am 12. Januar 2026 bestätigt. Das zweite wird laut Mitteilung der Zentralbank vom 22. Oktober 2026 erst wirksam, wenn das Gericht es ebenfalls bestätigt. Einzelheiten zum zweiten Fall stehen in unserem Bericht über das Coinbase-Bußgeld wegen Kundengeldern.

Verwahrung bei Coinbase: Höchstens 2 Prozent der Kundenkryptos in Hot Wallets

Die Verwahrung ist der Kern jeder Börsensicherheit. Eine Hot Wallet ist ein Krypto-Konto, dessen Schlüssel auf einem mit dem Internet verbundenen System liegen; eine Cold Wallet hält die Schlüssel offline. In seinem Jahresbericht für 2025 an die US-Börsenaufsicht SEC schreibt Coinbase, man strebe an, zu keinem Zeitpunkt mehr als 2 Prozent der verwahrten Kryptowerte in Hot Wallets zu halten. Der Rest liegt demnach in Offline-Systemen. Außerdem führt Coinbase nach eigenen Angaben getrennte Konten für die eigenen Kryptowerte und die der Kunden.

Als börsennotiertes Unternehmen veröffentlicht Coinbase Quartalsberichte und einen von Wirtschaftsprüfern testierten Jahresabschluss. Das ist eine Transparenz, die viele Wettbewerber ohne Börsennotierung nicht bieten. Eine Garantie ist es nicht: Auch eine Offline-Verwahrung schützt nur gegen Angriffe auf die Server, nicht gegen Fehler in internen Abläufen oder gegen den Zugriff auf dein persönliches Konto.

Was passiert mit deinen Coins, wenn eine Kryptobörse insolvent wird?

Diese Frage stellen sich viele Anleger seit den Pleiten von FTX, Celsius und Voyager. In mehreren US-Verfahren entschieden Gerichte damals, dass Kunden nur ungesicherte Gläubiger waren und die verwahrten Coins zur Insolvenzmasse gehörten. Coinbase weist in seinem Jahresbericht selbst darauf hin, dass verwahrte Kryptowerte im Fall einer Insolvenz als Teil der Masse gelten könnten. Für US-Kunden hat das Unternehmen 2022 seine Nutzungsbedingungen angepasst, damit die Coins rechtlich als Eigentum der Kunden behandelt werden. Coinbase räumt aber ein, dass Gerichte diese Konstruktion bei Kryptowerten noch nicht geprüft haben.

In der EU ist die Lage klarer. Nach Artikel 75 der MiCA-Verordnung müssen Krypto-Dienstleister die Coins ihrer Kunden rechtlich vom eigenen Vermögen trennen, sodass Gläubiger der Börse keinen Zugriff darauf haben. Ob und wie schnell du im Ernstfall an deine Coins kommst, hängt trotzdem vom Verfahren ab. Wie die Aussonderung abläuft und welche Nachweise du brauchst, beschreibt unser Ratgeber zur Aussonderung bei einer Börsen-Insolvenz.

Euro-Guthaben als E-Geld: Warum keine Einlagensicherung greift

Anders als Kryptowerte ist dein Euro-Guthaben bei Coinbase E-Geld. E-Geld ist ein elektronisch gespeicherter Geldwert, den ein lizenziertes E-Geld-Institut gegen Einzahlung ausgibt. Es ist keine Bankeinlage, deshalb greift die gesetzliche Einlagensicherung über 100.000 Euro, die für Girokonten gilt, hier nicht. Den Schutz übernimmt stattdessen die Sicherungspflicht: Das Institut muss Kundengelder getrennt halten, etwa auf einem gesonderten Bankkonto, damit sie im Insolvenzfall nicht in die Masse fallen.

Genau an diesem Punkt hat die irische Zentralbank Mängel festgestellt. Für die Praxis heißt das: Größere Euro-Beträge solltest du nicht dauerhaft auf der Börse parken, sondern erst kurz vor einem Kauf überweisen und Verkaufserlöse zeitnah auf dein Bankkonto zurückholen. Was dabei an Kosten anfällt, zeigt unsere Rechnung zu den Coinbase-Gebühren.

Datenleck im Mai 2025: Bestochene Support-Kräfte und 69.461 Betroffene

Am 15. Mai 2025 meldete Coinbase der SEC einen Vorfall, der nicht von außen kam. Kriminelle hatten Support-Mitarbeiter und externe Dienstleister außerhalb der USA bezahlt, damit diese Kundendaten aus internen Systemen abziehen. Betroffen waren nach einer Meldung an die Generalstaatsanwaltschaft des US-Bundesstaats Maine 69.461 Kunden. Abgeflossen sind unter anderem Namen, Adressen, Telefonnummern, E-Mail-Adressen, Bilder von Ausweisdokumenten, maskierte Bankdaten sowie Kontostände und Transaktionsverläufe. Passwörter, private Schlüssel und Zugriff auf Kundengelder hatten die Täter laut Coinbase nicht.

Coinbase lehnte eine Lösegeldforderung über 20 Millionen US-Dollar ab und setzte denselben Betrag als Belohnung für Hinweise auf die Täter aus. Die Kosten für Aufarbeitung und freiwillige Erstattungen an Kunden, die durch Betrugsanrufe Geld verloren, schätzte das Unternehmen auf 180 bis 400 Millionen US-Dollar. Der Fall zeigt eine typische Schwäche großer Plattformen: Wer Ausweisdaten und Kontostände kennt, kann sich am Telefon überzeugend als Börsenmitarbeiter ausgeben.

Amplitude-Vorfall im Oktober 2026: Kontaktdaten statt Guthaben betroffen

Ende Oktober 2026 meldete Coinbase einen zweiten, kleineren Vorfall. Betroffen war diesmal der Analyse-Dienstleister Amplitude, über den Kontaktdaten eines kleinen Teils der Kunden offengelegt wurden. Guthaben, Passwörter und private Schlüssel waren nach Angaben der Börse nicht betroffen, die eigenen Systeme seien nicht kompromittiert worden. Eine Zahl der Betroffenen hat Coinbase nicht genannt. Was der Vorfall für dich bedeutet, steht in unserem Bericht zum Amplitude-Datenleck.

Phishing und Social Engineering: Das größere Risiko liegt beim eigenen Konto

Social Engineering bezeichnet Betrug, bei dem Täter Menschen zu einer Handlung überreden, statt Technik zu knacken. Bei Kryptobörsen läuft das oft so: Ein angeblicher Mitarbeiter ruft an, nennt korrekte Kontodaten aus einem Datenleck, warnt vor einem Angriff und drängt dich, Coins auf eine „sichere Wallet“ zu überweisen. Diese Wallet gehört den Tätern. Eine seriöse Börse fordert dich nie am Telefon auf, Coins zu verschieben, und fragt nie nach Passwort, Zwei-Faktor-Code oder Wiederherstellungsphrase.

Gerade nach Datenlecks steigt die Zahl solcher Versuche. Weil eine selbst ausgelöste Überweisung technisch kein Hack ist, bekommst du dein Geld in diesen Fällen oft nicht zurück. Die Sicherheit der Börse und die Sicherheit deines Kontos sind deshalb zwei verschiedene Dinge, und für die zweite bist du selbst zuständig.

Passkey, Sicherheitsschlüssel und Adressbuch: Die Schutzfunktionen im Coinbase-Konto

Coinbase empfiehlt in seinem Hilfebereich, für die Zwei-Faktor-Authentifizierung einen Sicherheitsschlüssel oder einen Passkey zu nutzen. Zwei-Faktor-Authentifizierung heißt, dass zur Anmeldung neben dem Passwort ein zweiter Nachweis nötig ist. Ein Passkey ist ein kryptografischer Schlüssel, der auf deinem Gerät gespeichert ist und nur mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN freigegeben wird. Ein Sicherheitsschlüssel ist ein kleines Gerät für den USB-Anschluss oder per NFC, das dieselbe Aufgabe übernimmt. Beide Verfahren sind an die echte Internetadresse gebunden und funktionieren auf einer gefälschten Anmeldeseite nicht. Ein Code per SMS lässt sich dagegen abfangen oder am Telefon erfragen.

Die zweite wichtige Funktion ist das Adressbuch mit Freigabeliste, bei Coinbase „Allowlisting“ genannt. Ist sie eingeschaltet, sind Auszahlungen von Kryptowerten nur an Adressen möglich, die du vorher im Adressbuch gespeichert hast. Selbst wer dein Konto übernimmt, kann deine Coins dann nicht ohne Weiteres an eine fremde Adresse schicken. Dazu kommen eine eigene E-Mail-Adresse nur für die Börse, ein Passwort aus dem Passwort-Manager und ein Blick auf die Liste der angemeldeten Geräte in den Sicherheitseinstellungen.

Coinbase oder Hardware-Wallet: Wann sich Selbstverwahrung lohnt

Bei der Selbstverwahrung hältst du die privaten Schlüssel selbst, meist auf einer Hardware-Wallet. Das ist ein kleines Gerät, das Schlüssel offline speichert und Transaktionen erst nach Bestätigung am Gerät signiert. Damit fällt das Risiko einer Börseninsolvenz und einer Kontoübernahme weg. Dafür trägst du die volle Verantwortung für die Wiederherstellungsphrase: Geht sie verloren, kann niemand die Coins für dich zurückholen.

Eine Faustregel aus der Praxis: Was du aktiv handelst, kann auf einer regulierten Börse liegen. Was du über Jahre halten willst, gehört eher in eine eigene Wallet. Ob sich das Gerät für deinen Bestand lohnt, hängt von der Summe ab. Bei einigen hundert Euro übersteigt der Gerätepreis schnell den Nutzen, bei fünfstelligen Beständen kaum.

Coinbase-Sicherheit: Mit Passkey und Adressliste schließt du die größte Lücke

1. Anbieter prüfen: Vergleiche Lizenz, Vertragspartner und Verwahrung von Coinbase mit anderen Plattformen in unserer Übersicht der regulierten Kryptobörsen.
2. Langfristigen Bestand auslagern: Wer Coins über Jahre hält, findet passende Geräte im Hardware-Wallet-Vergleich.
3. Kosten im Blick behalten: Ob eine andere Börse für deinen Sparplan oder Einzelkauf günstiger ist, zeigt der Vergleich der besten Kryptobörsen.

(Stand: 12. November 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)