Fünf von neun BaFin-Warnungen stützen sich auf das Kryptomärkteaufsichtsgesetz: „Es handelt sich um einen Identitätsmissbrauch“

Das Kryptomärkteaufsichtsgesetz, kurz KMAG, ist das deutsche Gesetz, mit dem die europäische Verordnung über Märkte für Kryptowerte hierzulande durchgesetzt wird. Für dich als Kunde hat es eine sehr praktische Folge: Wer in Deutschland Kryptowerte-Dienstleistungen anbietet, braucht dafür eine Zulassung, und die Bundesanstalt für Finanzdienstleistungsaufsicht darf Anbieter ohne diese Zulassung öffentlich mit Namen nennen. Genau davon macht die Behörde gerade im Tagesrhythmus Gebrauch.

Ende September und Anfang Oktober hat die BaFin innerhalb von vier Tagen neun Verbrauchermitteilungen zu unerlaubten Geschäften veröffentlicht. Fünf davon drehen sich um Kryptowerte-Dienstleistungen, fünf berufen sich am Ende ausdrücklich auf „§ 37 Absatz 4 Kreditwesengesetz, § 10 Absatz 7 Kryptomärkteaufsichtsgesetz“. Dieser eine Satz am Fuß der Mitteilungen ist der eigentliche Befund: Das junge Krypto-Aufsichtsrecht ist aus der Lizenzabteilung heraus und in der Verbraucherwarnung angekommen.

Das Kryptomärkteaufsichtsgesetz ist die deutsche Durchführung der MiCA-Verordnung

Das KMAG stammt vom 27. Dezember 2024 und steht im Bundesgesetzblatt 2024 Teil I unter der Nummer 438. Zuletzt geändert wurde es am 25. März 2026. Sein erster Paragraf sagt in einem Satz, wozu es da ist: Es „dient der Durchführung der Verordnung (EU) 2023/1114“, also der Verordnung über Märkte für Kryptowerte, die als MiCA bekannt ist.

Die Arbeitsteilung dahinter ist für das Verständnis wichtig. Die europäische Verordnung schreibt vor, was gilt: welche Zulassung ein Anbieter braucht, welche Pflichten er hat, welche Informationen er veröffentlichen muss. Das KMAG regelt, wer das in Deutschland durchsetzt und mit welchen Mitteln. Die Verordnung gilt europaweit unmittelbar, das Gesetz gibt der BaFin die Werkzeuge dazu in die Hand.

Warum das Gesetz einen eigenen Namen hat, obwohl MiCA direkt gilt

Eine EU-Verordnung wirkt zwar ohne nationales Umsetzungsgesetz, sie enthält aber keine deutschen Verfahrensregeln. Wer eine Anordnung erlässt, wie man dagegen klagt, welche Bußgelder möglich sind und wann eine Behörde an die Öffentlichkeit gehen darf: All das muss der nationale Gesetzgeber schreiben. Das KMAG ist diese Ergänzung. Es trat als Artikel 1 des Finanzmarktdigitalisierungsgesetzes in Kraft und hat die Krypto-Regeln aus dem Kreditwesengesetz abgelöst, wo sie bis dahin als „Kryptoverwahrgeschäft“ untergebracht waren.

§ 10 Absatz 7 KMAG erlaubt der BaFin die öffentliche Nennung eines Unternehmens

Der Paragraf, auf den sich die Warnungen stützen, trägt die Überschrift „Verfolgung unerlaubter Geschäfte“. Absatz 7 lautet im ersten Satz: „Soweit und solange Tatsachen die Annahme rechtfertigen oder feststeht, dass ein Unternehmen unerlaubte Geschäfte nach § 9 Absatz 1 Satz 1 erbringt, kann die Bundesanstalt die Öffentlichkeit unter Nennung des Namens oder der Firma des Unternehmens über den Verdacht oder diese Feststellung informieren.“

Drei Dinge daran solltest du im Kopf behalten, wenn du eine solche Warnung liest.

Erstens reicht ein Verdacht. Die BaFin muss nicht abwarten, bis ein Gericht entschieden hat; es genügen Tatsachen, die die Annahme rechtfertigen. Deshalb steht in den Mitteilungen fast immer die Formel „Es besteht der Verdacht“ und nicht die Behauptung, jemand habe betrogen.

Zweitens gilt die Vorschrift auch für Firmen, die gar keine Geschäfte machen, aber so tun. Satz 2 des Absatzes stellt klar, dass dieselbe Befugnis greift, wenn ein Unternehmen „die unerlaubten Geschäfte zwar nicht erbringt, aber in der Öffentlichkeit einen entsprechenden Anschein erweckt“. Das trifft die Schein-Plattformen, die nur Kontaktdaten einsammeln.

Drittens ist das Verfahren nicht einseitig. Satz 3 ordnet an: „Vor der Entscheidung nach Satz 1 oder Satz 2 ist das Unternehmen anzuhören.“ Eine Warnung steht damit am Ende eines Verwaltungsverfahrens. Wen die BaFin nicht erreicht, weil hinter einer Website niemand greifbar ist, den nennt sie in der Mitteilung schlicht „die unbekannten Betreiber“.

Fünf von neun Verbrauchermitteilungen aus vier Tagen betreffen Kryptowerte-Dienstleistungen

Zwischen dem 28. September und dem 1. Oktober 2026 hat die BaFin neun Verbrauchermitteilungen zu unerlaubten Geschäften veröffentlicht. Nachgezählt im Volltext jeder einzelnen Mitteilung ergibt sich dieses Bild:

• Fünf Mitteilungen nennen den Begriff „Kryptowerte-Dienstleistungen“ ausdrücklich.
• Fünf Mitteilungen führen am Fuß das Kryptomärkteaufsichtsgesetz als Rechtsgrundlage auf.
• Vier davon tun beides, die beiden Mengen decken sich also nicht vollständig.
• Drei Fälle beschreiben einen Identitätsmissbrauch zulasten eines real existierenden Unternehmens.

Dass die beiden Fünfergruppen auseinanderfallen, ist kein Zählfehler, sondern aufschlussreich. In der Mitteilung zu btcx(.)investments vom 29. September geht es dem Wortlaut nach um Bankgeschäfte und Finanzdienstleistungen, die Rechtsgrundlage am Fuß nennt trotzdem das Kryptomärkteaufsichtsgesetz. Umgekehrt zählt die Mitteilung zu staublicapital(.)com vom selben Tag die Kryptowerte-Dienstleistungen im allgemeinen Teil auf, stützt sich aber nicht auf das KMAG. Die Aufsicht sortiert hier noch, und das ist bei einem Rechtsrahmen, der keine zwei Jahre alt ist, zu erwarten.

Der Fall bitbucks(.)space: Identitätsmissbrauch zulasten einer Stuttgarter GmbH

Der interessanteste der fünf Fälle ist der vom 30. September. Die BaFin warnt in ihrer Verbrauchermitteilung vor Angeboten auf der Website bitbucks(.)space und formuliert: „Es besteht der Verdacht, dass die unbekannten Betreiber auf der Website bitbucks(.)space ohne Erlaubnis Finanz- und Wertpapierdienstleistungen sowie Kryptowerte-Dienstleistungen anbieten.“

Dann folgt der Satz, der den Fall von einem gewöhnlichen Fake-Broker unterscheidet: „Entgegen der Angaben der Betreiber besteht kein Zusammenhang mit der Frank und Freunde GmbH mit Sitz in Stuttgart. Es handelt sich um einen Identitätsmissbrauch.“ Die BaFin stellt ausdrücklich fest, dass diese Gesellschaft in keinem Zusammenhang mit der Website und den dort angebotenen Dienstleistungen steht.

Das ist eine wichtige Unterscheidung, und sie gilt in beide Richtungen. Das genannte Stuttgarter Unternehmen ist in dieser Sache nach der Darstellung der Aufsicht der geschädigte Teil, nicht der beschuldigte. Für dich heißt das: Der Firmenname auf einer Website, das Impressum und sogar ein echter Handelsregistereintrag sagen nichts darüber aus, wer die Seite tatsächlich betreibt. Ein ähnliches Muster hatten wir bereits im August, als die BaFin vor einem Anbieter mit geliehener Firmenidentität gewarnt hat.

28 nahezu identische Websites dienen laut BaFin der Geschäftsanbahnung

Einen Tag vor dem BitBucks-Fall, am 29. September, hat die BaFin eine ganze Reihe von Seiten auf einmal benannt. In der Mitteilung heißt es, die unbekannten Betreiber böten dort ohne Zulassung Kryptowerte-Dienstleistungen an; die Seiten verfügten über kein rechtsgültiges Impressum. Interessierte würden aufgefordert, ihre Daten in ein Kontaktformular einzutragen, und diese Kundendaten gingen anschließend an Betreiber unerlaubter Online-Handelsplattformen.

Gezählt sind in dieser einen Mitteilung 28 Adressen aufgeführt, von altrevia-ai(.)click über blitzkapitenz(.)live bis zylkex(.)online. Mehrere Namen tauchen mit zwei oder drei verschiedenen Endungen auf. Das Muster dahinter ist billig und wirksam: Eine Vorlage wird vervielfältigt, jede Kopie bekommt einen neuen Fantasienamen, und sobald eine Adresse verbrannt ist, läuft der Zulauf über die nächste.

Was eine Seite ohne rechtsgültiges Impressum praktisch bedeutet

Ein Impressum ist in Deutschland für geschäftsmäßige Websites Pflicht. Fehlt es oder enthält es erfundene Angaben, hast du im Streitfall niemanden, den du verklagen könntest, und keine Adresse, an die eine Zustellung ginge. Dass die Aufsicht diesen Punkt in der Mitteilung eigens erwähnt, ist deshalb kein Formalismus. Er beschreibt den Zustand, in dem sich dein Geld nach einer Einzahlung befindet.

Die Übergangserlaubnis nach § 50 KMAG ist zum 31. Dezember 2025 erloschen

Beim Start der neuen Regeln gab es eine Schonfrist. § 50 KMAG erlaubte Unternehmen, die am 29. Dezember 2024 nach altem Recht Kryptogeschäfte betreiben durften, ihre Tätigkeit zunächst weiterzuführen; die alte Erlaubnis galt „insoweit als fortbestehend“. Betroffen waren unter anderem Institute mit einer Erlaubnis nach § 32 Kreditwesengesetz, Wertpapierinstitute und Zahlungsdienstleister.

Diese Übergangszeit ist vorbei. Absatz 2 des Paragrafen nennt drei Erlöschensgründe, und der dritte ist eine harte Kalenderangabe: Die fortgeltende Erlaubnis erlischt „spätestens mit Ablauf des 31. Dezember 2025“. Seit dem 1. Januar 2026 gibt es in Deutschland also keine Altfall-Regelung mehr. Wer heute Kryptowerte-Dienstleistungen anbietet, muss die Zulassung nach der MiCA-Verordnung haben oder er arbeitet unerlaubt.

Für die Anbieterlandschaft war das eine spürbare Zäsur, und sie erklärt, warum die Warnungen gerade jetzt zunehmen. Welche Pflichten damit auf die Unternehmen zugekommen sind, haben wir am MiCA-Lizenz-Überblick zusammengetragen.

Zehn Dienste fallen unter den Begriff Kryptowerte-Dienstleistung

Kryptowerte-Dienstleistung ist ein definierter Rechtsbegriff und keine Umschreibung. Die MiCA-Verordnung zählt in Artikel 3 genau zehn Dienstleistungen und Tätigkeiten auf:

1. Verwahrung und Verwaltung von Kryptowerten für Kunden
2. Betrieb einer Handelsplattform für Kryptowerte
3. Tausch von Kryptowerten gegen einen Geldbetrag
4. Tausch von Kryptowerten gegen andere Kryptowerte
5. Ausführung von Aufträgen über Kryptowerte für Kunden
6. Platzierung von Kryptowerten
7. Annahme und Übermittlung von Aufträgen über Kryptowerte für Kunden
8. Beratung zu Kryptowerten
9. Portfolioverwaltung von Kryptowerten
10. Erbringung von Transferdienstleistungen für Kryptowerte für Kunden

Die Liste erklärt, warum fast jeder Anbieter, bei dem du Bitcoin kaufen, tauschen oder liegen lassen kannst, unter die Zulassungspflicht fällt. Schon der reine Umtausch von Euro in einen Kryptowert ist Nummer drei der Liste. Eine Börse, die zusätzlich Guthaben verwahrt, erbringt mindestens zwei dieser Dienste gleichzeitig. Einen Überblick über Handelsplätze mit einer Zulassung in der EU findest du in unserem Vergleich regulierter Kryptobörsen.

Wo die Zulassungspflicht endet

Nicht jede Software ist ein Dienstleister. Eine Wallet, die ausschließlich auf deinem Gerät läuft und deren Schlüssel nur du kennst, verwahrt rechtlich nichts für dich, weil niemand sonst Kontrolle über die Schlüssel hat. Sobald ein Unternehmen den Zugang kontrolliert, sieht es anders aus. Wo genau diese Grenze verläuft, haben wir am Beispiel der Erlaubnispflicht für Wallet-Apps aufgeschlüsselt.

Die Unternehmensdatenbank der BaFin ist das amtliche Verzeichnis für Zulassungen

Jede der neun Mitteilungen verweist am Ende auf denselben Ort: die Unternehmensdatenbank der BaFin, in der sich nachschlagen lässt, ob ein bestimmtes Unternehmen von der Aufsicht zugelassen ist. Dieses amtliche Verzeichnis ist frei zugänglich und kostet nichts.

Ergänzend schreibt § 14 KMAG der BaFin vor, die Erteilung und den Entzug einer Zulassung zur Erbringung von Kryptowerte-Dienstleistungen im Bundesanzeiger bekannt zu machen. Es gibt also zwei amtliche Spuren: den Datenbankeintrag als Zustandsanzeige und die Bekanntmachung als Ereignis. Eine Suchmaschine, ein Bewertungsportal oder ein Hinweis in einer Chatgruppe sind keine dritte Spur.

Eine konkrete Schritt-für-Schritt-Anleitung für die Datenbankabfrage samt der typischen Stolperstellen steht in unserem Leitfaden zu den BaFin-Warnungen und der Anbieterprüfung.

Eine Zulassung deckt die Aufsicht ab, keine Kursverluste und keine gefälschte Website

Der BitBucks-Fall zeigt die Grenze dieses Werkzeugs sehr deutlich. Ein Eintrag in der Unternehmensdatenbank sagt aus, dass ein bestimmtes Unternehmen eine bestimmte Erlaubnis hat. Er sagt nichts darüber, ob die Website, auf der du gerade bist, zu diesem Unternehmen gehört. Wer einen echten Firmennamen kopiert, erzeugt einen Treffer in der Datenbank, der mit seinem Angebot nichts zu tun hat.

Deshalb gehört zur Prüfung immer ein zweiter Schritt: Der Weg führt von der Datenbank zur Website des Unternehmens und nicht umgekehrt. Steht in der Datenbank eine Adresse in Stuttgart und die Seite, auf der du einzahlen sollst, liegt unter einer Fantasie-Domain ohne Impressum, dann passt der Eintrag nicht zum Angebot.

Auch die echte Zulassung ist keine Garantie für dein Geld. Dahinter stehen laufende Aufsicht, Kapital- und Organisationsanforderungen sowie Meldepflichten. Ein Versprechen auf steigende Kurse gehört nicht dazu, ebenso wenig eine Zusage, dass ein Unternehmen nie zahlungsunfähig wird. Eine Einlagensicherung für Kryptoguthaben gibt es in Deutschland ohnehin nicht.

Anhörung und Richtigstellung: Das Verfahren hinter einer BaFin-Warnung

Weil eine öffentliche Nennung ein Unternehmen hart treffen kann, hat der Gesetzgeber Gegengewichte eingebaut. Vor der Entscheidung ist das Unternehmen anzuhören. Stellen sich die von der Behörde mitgeteilten Tatsachen später als falsch oder die Umstände als unrichtig wiedergegeben heraus, sieht die Vorschrift vor, dass die Aufsicht die Öffentlichkeit darüber in gleicher Weise unterrichtet.

Für die Einordnung einer Warnung heißt das: Eine solche Mitteilung ist eine amtliche Verdachtsäußerung in einem geregelten Verfahren, keine gerichtliche Feststellung und kein Urteil über Personen. Seriöse Berichterstattung übernimmt deshalb die Zuschreibung mit. Wenn in diesem Text steht, gegen die Betreiber einer Seite bestehe ein Verdacht, dann ist das der Verdacht der BaFin.

§ 45 KMAG regelt die Zuordnung verwahrter Kryptowerte in der Insolvenz

Ein Teil des Gesetzes, der selten erwähnt wird, betrifft den unangenehmsten Fall. Kapitel 6 des KMAG enthält Vorschriften für besondere Lagen, darunter § 44 zur Insolvenz und § 45 zur „Zuordnung verwahrter Kryptowerte“ und zu den Kosten der Aussonderung. Dahinter steht die Frage, ob Kryptowerte, die ein zugelassener Verwahrer für dich hält, in seiner Insolvenz zur Masse gehören oder dir zugeordnet bleiben.

Dass der Gesetzgeber diesen Punkt überhaupt eigens regelt, ist ein Hinweis darauf, wie wenig selbstverständlich die Zuordnung ist. Bei einem Anbieter ohne Zulassung stellt sich die Frage in dieser Form gar nicht erst, weil dort weder die Trennung der Kundenbestände noch eine Aufsicht darüber gesichert ist. Wer größere Bestände hält, hat mit einer eigenen Verwahrung eine Alternative, die unabhängig von der Zulassungslage eines Dienstleisters funktioniert.

Kryptomärkteaufsichtsgesetz: So gehst du jetzt vor

Drei Schritte, die sich in wenigen Minuten erledigen lassen und die Reihenfolge des Falls vom 30. September abbilden.

1. Erst die Datenbank, dann die Website. Schlag den Firmennamen in der Unternehmensdatenbank der BaFin nach und geh von dort aus zur offiziellen Adresse des Unternehmens. Wenn du nur einen Handelsplatz mit nachweisbarer Zulassung in der EU suchst, hilft der Vergleich regulierter Kryptobörsen als Ausgangspunkt.
2. Angebot und Eintrag gegeneinander halten. Firmenname, Sitz und Art der Erlaubnis müssen zu dem passen, was dir angeboten wird. Eine Zulassung zur Anlageberatung deckt keinen Kryptotausch ab. Wer vergleichen will, wie etablierte Anbieter ihre Zulassung und ihre Gebühren ausweisen, findet das in unserer Übersicht der Kryptobörsen.
3. Bestände verteilen, die du nicht zum Handeln brauchst. Guthaben, das dauerhaft bei einem Dienstleister liegt, hängt an dessen Fortbestand. Eine eigene Verwahrung nimmt diese Abhängigkeit heraus; die Geräte und ihre Unterschiede stehen im Hardware-Wallet-Vergleich.

Die Warnreihe vom Ende September ist kein Einzelfall und wird nicht die letzte sein. Was sich geändert hat, ist die Grundlage: Seit das Kryptomärkteaufsichtsgesetz in Kraft ist und die Übergangsfrist abgelaufen ist, steht hinter jeder dieser Mitteilungen eine klare Zulassungspflicht. Das macht die Prüfung für dich einfacher, weil es für Krypto-Anbieter in Deutschland keine Grauzone mehr gibt, auf die sich jemand berufen könnte.

(Stand: 4. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)