241 Betrugsseiten vom Netz, der Rückholbetrug bleibt: Das prüfst du jetzt

Am 14. Oktober 2026 hat die Bezirksstaatsanwaltschaft Brooklyn gemeinsam mit dem FBI ein Betrugsnetzwerk abgeschaltet: 241 Webseiten gingen vom Netz, 112 Server wurden beschlagnahmt. Das Besondere an diesem Fall ist nicht die erste Betrugsstufe, sondern die zweite. Dieselben Täter meldeten sich Wochen nach dem Verlust erneut bei ihren Opfern – diesmal als Rückholdienst, der das verlorene Geld zurückholen wollte. Genau diese Masche heißt im Fachjargon Recovery Scam, auf Deutsch Rückholbetrug, und sie läuft nach der Abschaltung weiter.

Für Anleger in Deutschland ist das keine ferne US-Geschichte. Fünf Tage vor der Brooklyner Meldung, am 9. Oktober 2026, warnte die BaFin vor einer angeblichen „Vantex Bank“ und nannte den Verdacht auf Rückholbetrug ausdrücklich. Die Masche ist dieselbe, die Zielgruppe ist jedes Mal die gleiche: Menschen, die schon einmal Geld verloren haben und deren Kontaktdaten in den Händen der Täter liegen.

Was die Staatsanwaltschaft Brooklyn und das FBI abgeschaltet haben

Die Zahlen des Verfahrens sind überschaubar und deshalb gut zu merken. 241 Webseiten wurden beschlagnahmt oder unbrauchbar gemacht, dazu 112 Server, die bei Hostern in Osteuropa und in den Vereinigten Staaten standen. Die Ermittlungen liefen drei Jahre. Nach Angaben der Behörden erbeuteten die Täter mehrere zehn Millionen Dollar; sichergestellt wurden bislang rund 300.000 Dollar. Festnahmen gab es keine.

Angeworben wurden die Opfer über russischsprachige Anzeigen bei Facebook. Danach riefen angebliche Anlageberater an und leiteten die Angerufenen Schritt für Schritt an, Kryptowerte zu kaufen und an eine gefälschte Handelsplattform zu überweisen. Bezirksstaatsanwalt Eric Gonzalez sagte laut dem Bericht von CoinDesk, die Täter hätten versucht, die Geschädigten „ein zweites Mal mit falschen Versprechen auszunutzen, ihr Geld zurückzuholen“.

Die erste Stufe: gefälschte Handelsplattform und gesperrte Auszahlung

Der erste Teil folgt einem Ablauf, den die Aufsichtsbehörden seit Jahren beschreiben. Das Opfer sieht auf der Plattform ein Depot, in dem der Einsatz wächst. Die Zahlen auf dem Bildschirm sind frei erfunden, aber sie wirken, weil sie sich bewegen und weil ein freundlicher Berater sie am Telefon erklärt. Solange nur eingezahlt wird, funktioniert alles reibungslos.

Der Bruch kommt beim Auszahlungsversuch. Das Konto wird gesperrt, oder es taucht eine Forderung auf: eine Steuer, eine Freischaltgebühr, eine Verwaltungspauschale, eine Sicherheitsleistung. Wer zahlt, bekommt die nächste Forderung. Wer nicht zahlt, hört nichts mehr. In beiden Fällen ist das Geld fort, und die Täter haben ein vollständiges Profil: Name, Telefonnummer, Anschrift, Höhe des Verlusts, oft auch eine Ausweiskopie.

Wie eine solche Plattformreihe von außen aussieht, haben wir am 14. Oktober 2026 an den 23 nahezu baugleichen Webseiten gezeigt, vor denen die BaFin gewarnt hatte: Worauf du bei einer Krypto-Plattform ohne Erlaubnis achten solltest. Die Bauart wiederholt sich, weil sie billig zu kopieren ist.

Die zweite Stufe: der Rückholdienst meldet sich Wochen später

Nach einigen Wochen kommt der zweite Anruf. Am Apparat ist jetzt keine Handelsplattform mehr, sondern eine Kanzlei, ein IT-Forensiker, eine Ermittlungsstelle, manchmal eine Bank. Der Anrufer kennt den Fall erstaunlich genau, nennt Beträge und Daten, und genau das ist der Grund, warum die Masche funktioniert: Die Angaben stammen aus der eigenen Datenbank der Täter.

Das Versprechen lautet, die Überweisung sei auf der Blockchain nachverfolgbar und das Guthaben lasse sich einfrieren oder zurückbuchen. Technisch klingt das plausibel genug, um Hoffnung zu wecken. Die Forderung, die dann kommt, ist immer dieselbe: eine Vorauszahlung. Mal heißt sie Gutachterkosten, mal Gerichtskostenvorschuss, mal Steuer auf die Rückzahlung, mal Aktivierungsgebühr für ein Sperrkonto.

Die BaFin beschreibt in ihren Warnungen inzwischen auch eine Variante, die Menschen anspricht, die überhaupt kein Geld verloren haben: Da ist von einer Zuwendung oder einer Schenkung die Rede, die nur noch freigeschaltet werden müsse. Das Muster bleibt identisch, nur der Anlass wird ausgetauscht.

Warum 112 beschlagnahmte Server mehr bringen als 400 gelöschte Domains

Die Brooklyner Ermittlungseinheit für virtuelle Währungen hatte vor diesem Verfahren bereits rund 400 Domains aus dem Verkehr gezogen. Der Effekt hielt jeweils nur kurz: Eine gesperrte Domain ist in wenigen Stunden durch eine neue ersetzt, der Inhalt liegt als Kopie bereit. Deshalb richtete sich der Zugriff diesmal gegen die Server selbst, auf denen die Seiten, die Kundendatenbank und die Anrufsoftware lagen.

Damit entfällt für die Täter nicht nur die Webseite, sondern auch die Liste der Angerufenen. Ob das trägt, wird sich zeigen; die Infrastruktur nutzte IP-Adressen in der Ukraine und anderen osteuropäischen Ländern, und Festnahmen hat die Staatsanwaltschaft bislang nicht gemeldet. Ein abgeschaltetes Netzwerk ohne Beschuldigte kann an anderer Stelle neu aufgebaut werden.

Für dich heißt das: Verlass dich nicht darauf, dass eine Seite verschwunden ist. Entscheidend ist, wer dich anspricht und was er von dir will, nicht welche Adresse im Browser steht.

BaFin-Warnung vom 9. Oktober 2026: die Fake-Bank Vantex und das gefälschte EBA-Register

Der deutsche Fall liegt zeitlich direkt daneben. Die BaFin warnte am 9. Oktober 2026 vor den Seiten vantex-bank.com und vantex-bank.net, die für ein Kreditinstitut namens „Vantex Bank“ werben. Ein solches Institut gibt es weder in Deutschland noch in Frankreich. Um die angebliche Zulassung zu belegen, verwiesen die Betreiber auf ein offenbar gefälschtes Register der Europäischen Bankenaufsichtsbehörde. Die BaFin sieht Anhaltspunkte dafür, dass die vermeintliche Bank für Rückholbetrug mit Krypto-Guthaben eingesetzt werden soll. Die österreichische FMA veröffentlichte am selben Tag eine eigene Warnung zu derselben Adresse.

Das gefälschte Register ist der aufwendigste Teil der Masche, weil es die naheliegende Gegenprobe aushebeln soll. Wie eine solche Fälschung aussieht und woran sie kenntlich wird, steht in unserer Auswertung vom 9. Oktober: Gefälschtes EBA-Register: So prüfst du eine Krypto-Lizenz. Die laufenden Warnmeldungen veröffentlicht die Aufsicht selbst unter News und Warnungen der BaFin.

Fünf Merkmale, an denen die Rückholmasche kenntlich wird

Die Merkmale wiederholen sich über alle bekannten Fälle hinweg, vom Brooklyner Netzwerk bis zu den BaFin-Warnungen der vergangenen Wochen.

• Der Kontakt kommt von außen. Du hast niemanden beauftragt. Anruf, Messenger-Nachricht oder E-Mail kommen unaufgefordert, oft von einer Nummer aus dem Ausland.
• Der Anrufer kennt deinen Schaden. Betrag, Datum, Plattformname: Woher sollte eine fremde Kanzlei das wissen? Die Daten stammen aus der ersten Stufe.
• Es gibt eine Erfolgsgarantie. Seriöse Rechtsverfolgung verspricht nie einen Ausgang. Eine Zusage, das Geld sei „zu 100 Prozent“ zurückzuholen, ist allein schon das Ausschlusskriterium.
• Zuerst die Ausweiskopie, dann das Geld. Die Identitätsprüfung wirkt amtlich und dient zugleich dem Identitätsdiebstahl.
• Am Ende steht eine Vorauszahlung. Gleich wie sie benannt wird, sie ist der eigentliche Zweck des ganzen Gesprächs.

Ein sechstes Merkmal taucht seltener auf, ist aber das gefährlichste: die Bitte um Zugriff auf die Wallet, um die Rückbuchung „technisch vorzubereiten“. Wer eine Hardware-Wallet nutzt und seine Wiederherstellungswörter nie digital erfasst hat, ist an dieser Stelle geschützt. Welche Geräte das leisten und was sie kosten, steht in unserem Vergleich der Hardware-Wallets.

Erlaubnispflicht nach MiCA: welche Register Auskunft geben

Wer in Deutschland gewerblich Kryptowerte-Dienstleistungen anbietet, braucht seit dem Geltungsbeginn der europäischen Verordnung MiCA eine Erlaubnis. Diese Erlaubnis ist öffentlich nachprüfbar, und zwar an einer Stelle, die die Aufsicht selbst betreibt: der Unternehmensdatenbank der BaFin unter portal.mvp.bafin.de. Dort steht, ob ein Anbieter zugelassen ist und wofür. Eine zweite Quelle ist das MiCA-Register der ESMA.

Wichtig ist dabei der Umweg: Du suchst den Anbieter in der Datenbank, statt dem Link zu folgen, den dir jemand schickt. Ein gefälschtes Register wie im Vantex-Fall funktioniert nur, solange der Betroffene den Link aus der E-Mail anklickt. Welche Pflichten hinter einer echten Zulassung stehen, haben wir im Überblick zur MiCA-Lizenz zusammengetragen.

Eine Rückholung gestohlener Kryptowerte gehört im Übrigen in keine dieser Kategorien. Wer so etwas anbietet, betreibt entweder Rechtsdienstleistung – dafür gilt das Rechtsdienstleistungsgesetz und ein Anwalt ist im Bundesweiten Amtlichen Anwaltsverzeichnis eingetragen – oder er bietet schlicht nichts an, was er leisten kann.

Vorkasse, Steuer, Gebühr: die Zahlungsaufforderung ist das Erkennungszeichen

Alle Varianten der Masche laufen auf denselben Punkt zu. Irgendwann soll Geld fließen, bevor etwas geschieht. Die Begründung wechselt, der Mechanismus nicht.

Dabei hilft eine einfache Überlegung aus dem deutschen Recht. Eine Steuer auf eine Rückzahlung zahlst du an das Finanzamt, nicht an einen Dienstleister. Gerichtskosten zieht ein Gericht ein, und zwar nach einem Kostenbescheid mit Aktenzeichen. Eine Bank, die dein Konto freischaltet, verlangt dafür keine Überweisung auf ein Konto im Ausland. Sobald die Zahlungswege von diesem Muster abweichen, ist die Sache entschieden, unabhängig davon, wie überzeugend das Gespräch war.

Übrigens entsteht bei einem Anlagebetrug mit Scheingewinnen auch eine steuerliche Frage, die viele Geschädigte überrascht. Was das Finanzamt von erfundenen Gewinnen hält und wie Verluste behandelt werden, ist eine eigene Frage, die du vor der nächsten Steuererklärung klären solltest.

Seed Phrase und Fernzugriff: wo aus Geldverlust ein Wallet-Verlust wird

Die zweite Stufe zielt nicht immer auf eine Überweisung. In einem Teil der Fälle geht es um Zugangsdaten. Der angebliche Forensiker bittet darum, ein Fernwartungsprogramm zu installieren, um „die Transaktion zu analysieren“. Oder er fragt nach den zwölf beziehungsweise vierundzwanzig Wiederherstellungswörtern, der Seed Phrase, angeblich um die Wallet in einem gesicherten Bereich neu aufzusetzen.

Hier endet jeder Spielraum. Die Wiederherstellungswörter sind der Schlüssel zum Bestand. Wer sie weitergibt, überträgt das Guthaben; es gibt danach keine Stelle, die das rückgängig machen kann. Keine Behörde, kein Gericht, kein Verwahrer und kein Dienstleister fragt jemals danach. Dasselbe gilt für Bildschirmfreigaben während eines Wallet-Zugriffs.

Wer bereits ein Fernwartungsprogramm installiert hat, trennt das Gerät vom Netz und verschiebt die Bestände von einer sauberen Umgebung aus auf eine neu aufgesetzte Wallet mit neuer Seed Phrase. Die alte gilt danach als verbrannt, auch wenn noch nichts abgeflossen ist.

Anzeige, Bank, Beweise: der Weg nach einem Zahlungsabfluss in Deutschland

Ist Geld abgeflossen, zählt die Reihenfolge. Zuerst die Bank oder der Zahlungsdienstleister, und zwar sofort: Bei einer Überweisung, die noch nicht ausgeführt oder noch nicht weitergeleitet ist, besteht eine kleine Chance auf einen Rückruf. Bei Kartenzahlungen gibt es je nach Fall ein Rückbuchungsverfahren. Beides hat Fristen, die in Tagen gemessen werden.

Danach die Strafanzeige bei der Polizei, möglich auch über die Onlinewachen der Länder. Für die Akte brauchbar sind Kontoauszüge, Transaktionskennungen der Blockchain-Überweisungen, Empfängeradressen, der Chatverlauf, die Telefonnummern und Bildschirmfotos der Plattform, solange sie noch erreichbar ist. Diese Unterlagen sammelst du am besten, bevor du Kontakt abbrichst, denn danach verschwinden Zugänge schnell.

Parallel nimmt die BaFin Hinweise zu unerlaubten Geschäften entgegen; daraus entstehen die öffentlichen Warnmeldungen, die anderen Anlegern helfen. Verbraucherzentralen und Opferhilfeorganisationen beraten kostenlos oder gegen geringes Entgelt. Was es nicht gibt, ist eine Stelle, die gegen Vorkasse Geld zurückholt.

Rückholdienste: Keine Behörde verlangt Vorkasse für dein Geld

Die Abschaltung in Brooklyn zeigt beides: dass Ermittlungen greifen können, und dass sie spät kommen. Drei Jahre Arbeit, 241 Seiten, 112 Server, rund 300.000 Dollar gesichert von mehreren zehn Millionen Dollar Schaden. Vorbeugen ist in diesem Feld ungleich wirksamer als Aufarbeiten. Drei Schritte, die heute etwas ändern:

1. Zulassung vor Einzahlung prüfen. Den Anbieter in der BaFin-Unternehmensdatenbank suchen, nicht im Register, auf das die Webseite verlinkt. Eine Übersicht zugelassener Handelsplätze findest du unter regulierte Krypto-Börsen im Vergleich.
2. Bestände von der Handelsplattform trennen. Was du nicht aktiv handelst, gehört in eigene Verwahrung; ein gesperrtes Plattformkonto greift dann ins Leere. Die Geräte dafür stehen im Hardware-Wallet-Vergleich.
3. Beim zweiten Anruf auflegen. Jeder unaufgeforderte Rückholvorschlag nach einem Verlust ist bis zum Beweis des Gegenteils die zweite Stufe derselben Masche. Wer wissen will, welche Pflichten ein echter Anbieter erfüllen muss, liest die MiCA-Pflichten im Überblick.

(Stand: 15. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebuehrenmodelle aendern sich; pruefe die Konditionen vor jedem Kauf beim Anbieter selbst.)