EU-Warnliste für Krypto-Anbieter: 167 Einträge, 165 davon aus Italien, keiner von der BaFin

Wer prüfen will, ob eine Krypto-Plattform in der Europäischen Union überhaupt zugelassen ist, stößt früher oder später auf ein amtliches Verzeichnis, das genau dafür gedacht ist. Die europäische Wertpapieraufsicht ESMA führt seit Februar 2025 ein Register der nicht konformen Unternehmen. Darin sollen europaweit jene Anbieter landen, die Kryptowerte-Dienstleistungen ohne die nötige Erlaubnis erbringen.

Wir haben die Registerdatei am 16. August 2026 heruntergeladen, Zeile für Zeile ausgezählt und jede darin hinterlegte Webadresse einzeln abgerufen. Das Ergebnis passt schlecht zum europäischen Anspruch dieses Verzeichnisses. Von 167 Einträgen stammen 165 aus einem einzigen Mitgliedstaat. Die deutsche BaFin hat keinen einzigen beigesteuert, obwohl sie im laufenden Jahr fortlaufend vor Krypto-Plattformen warnt. Und von 242 hinterlegten Webadressen antworteten am Erhebungstag 153 überhaupt nicht mehr.

Diese Auswertung hat cryptoticker.io am 16. August 2026 selbst erhoben.

Das ESMA-Register nicht konformer Anbieter: Was Artikel 110 MiCA vorschreibt

Die Rechtsgrundlage steht in der Verordnung (EU) 2023/1114, besser bekannt als MiCA. Artikel 110 trägt die Überschrift „Register der nicht konformen Unternehmen, die Kryptowerte-Dienstleistungen erbringen“ und beginnt mit einem Satz, den man sich merken sollte: „Die ESMA erstellt ein nicht erschöpfendes Register von Unternehmen, die unter Verstoß gegen Artikel 59 oder 61 Kryptowerte-Dienstleistungen erbringen.“

Artikel 59 ist die zentrale Erlaubnisnorm. Wer in der EU gewerbsmäßig Kryptowerte-Dienstleistungen anbietet, braucht dafür eine Zulassung als Krypto-Dienstleister oder muss zu einer der wenigen Gruppen gehören, die bereits über eine Bank- oder Wertpapierlizenz verfügen. Artikel 61 regelt den Sonderfall, dass ein Anbieter aus einem Drittland Kunden in der EU von sich aus anspricht.

Absatz 2 legt fest, wie dünn ein Eintrag sein darf: Er muss mindestens den Handelsnamen oder die Website des Unternehmens enthalten sowie den Namen der Behörde, die die Information übermittelt hat. Mehr verlangt die Verordnung nicht. Absatz 3 schreibt vor, dass das Register in maschinenlesbarem Format öffentlich zugänglich ist und regelmäßig aktualisiert wird.

Genau daraus ergibt sich die Arbeitsteilung, die das Register prägt. Die ESMA betreibt das Verzeichnis, aber sie füllt es nicht. Geliefert wird von den zuständigen Behörden der Mitgliedstaaten. Ob ein Land etwas beisteuert, entscheidet dieses Land selbst.

167 Einträge und 162 Handelsnamen: Das Ergebnis der Auszählung vom 16. August 2026

Die Datei, auf der diese Auswertung beruht, heißt NCASP.csv und liegt auf dem Server der ESMA. Die Datei wurde zuletzt am 12. August 2026 geändert. Das Verzeichnis wird wöchentlich neu veröffentlicht, der ausgewertete Stand war beim Abruf also vier Tage alt.

Die Datei enthält 167 Einträge. Rechnet man Schreibvarianten zusammen, verbergen sich dahinter 162 verschiedene Handelsnamen; einige Namen tauchen mehrfach auf, weil eine Behörde zu demselben Angebot mehrere Beschlüsse gefasst hat. Eine Kennung, mit der sich die dahinterstehende juristische Person eindeutig bestimmen ließe, trägt kein einziger Eintrag: Das Feld für den Legal Entity Identifier ist in allen 167 Zeilen leer.

Erfasst sind 247 Nennungen von Webadressen, die sich auf 242 verschiedene Adressen verteilen. 131 Einträge kommen mit einer einzigen Adresse aus, der umfangreichste führt 15 auf. Bei den Endungen dominiert die italienische Landeskennung mit 106 Adressen, gefolgt von 64 Adressen unter .com. Danach folgen 17 Adressen unter .top, zwölf unter .co sowie je neun unter .net und .pro.

Die Beschlüsse, auf denen die Einträge beruhen, reichen vom 10. Februar 2025 bis zum 22. Juli 2026. Auf 2025 entfallen 102 Beschlüsse, auf die bisherigen sieben Monate des Jahres 2026 weitere 65. Zwei Monate fallen in dieser Reihe auf, weil in ihnen kein einziger Beschluss datiert: der August 2025 und der Februar 2026. Der zuletzt bearbeitete Eintrag trägt als Aktualisierungsdatum den 31. Juli 2026.

CONSOB, AFM und Národná banka Slovenska: Drei Aufsichtsbehörden liefern, die übrigen nicht

Das Feld, das die zuständige Behörde benennt, ist der aufschlussreichste Teil der Datei. 165 der 167 Einträge stammen von der italienischen Wertpapieraufsicht CONSOB. Einen Eintrag hat die niederländische Aufsicht AFM beigesteuert, einen weiteren die Nationalbank der Slowakei. Damit haben genau drei Aufsichtsbehörden das gemeinsame europäische Register jemals befüllt.

Zum Vergleich: MiCA gilt in allen 27 Mitgliedstaaten der EU und über das EWR-Abkommen zusätzlich in Island, Liechtenstein und Norwegen. In jedem dieser Länder gibt es mindestens eine zuständige Behörde. 27 von 30 Zuständigkeitsbereichen sind im Register also mit null Einträgen vertreten.

Ein technisches Detail am Rande, das bei jeder Auswertung dieser Datei stört: Der Name der italienischen Behörde ist in zwei Schreibweisen erfasst, die sich nur durch ein zusätzliches Leerzeichen unterscheiden. Wer nach Behördennamen gruppiert, kommt deshalb auf vier Behörden statt auf drei. Wir haben die beiden Schreibweisen zusammengefasst.

Die Schieflage lässt zwei Deutungen zu, und beide bleiben Vermutung, solange keine Behörde ihre Praxis erklärt. Möglich ist, dass anderswo schlicht weniger unerlaubte Angebote festgestellt werden. Möglich ist ebenso, dass die Feststellungen getroffen, aber nicht an die ESMA gemeldet werden, weil Artikel 110 keine Frist und kein Verfahren für die Übermittlung vorgibt. Welche der beiden Erklärungen zutrifft, lässt sich aus der Datei nicht ablesen.

Warum die BaFin im EU-Register fehlt, obwohl sie laufend vor Krypto-Plattformen warnt

Für dich als Anlegerin oder Anleger in Deutschland ist die zweite Zahl die wichtigere: null. Kein Eintrag im europäischen Register stammt von der Bundesanstalt für Finanzdienstleistungsaufsicht.

Das heißt ausdrücklich nicht, dass die BaFin untätig wäre. Sie veröffentlicht Verbrauchermitteilungen zu Anbietern, die ohne Erlaubnis Finanz- und Kryptowerte-Dienstleistungen erbringen, und sie tut das im Jahr 2026 in hoher Frequenz. Unsere Auswertung der BaFin-Warnungen zu Krypto-Plattformreihen hat gezeigt, wie umfangreich dieser nationale Bestand ist. Nur landet davon nichts im europäischen Verzeichnis.

Praktisch bedeutet das: Wenn du einen zweifelhaften Anbieter im ESMA-Register suchst und ihn dort nicht findest, hast du für den deutschen Markt nichts erfahren. Die Suche im europäischen Register ersetzt den Blick in die BaFin-Bestände nicht. Sie ergänzt ihn bestenfalls um Fälle aus Italien.

„Nicht erschöpfendes Register“: Warum ein fehlender Eintrag kein Gütesiegel ist

Die zwei Wörter aus Artikel 110 Absatz 1 sind der juristische Kern der ganzen Sache. Der Gesetzgeber hat das Register ausdrücklich als „nicht erschöpfend“ angelegt. Es erhebt also gar nicht den Anspruch, alle unerlaubten Anbieter zu erfassen.

Diese Formulierung ist kein Versehen und keine Schwäche der Umsetzung, sondern eine bewusste Entscheidung im Verordnungstext. Sie hat für die Praxis eine unbequeme Folge: Ein Eintrag im Register ist ein belastbares Warnsignal, sein Fehlen dagegen ist überhaupt kein Signal. Aus „steht nicht drin“ folgt weder, dass ein Anbieter zugelassen ist, noch dass eine Behörde ihn geprüft hat.

Wer eine Aussage über die Zulassung eines Anbieters sucht, muss deshalb den umgekehrten Weg gehen und in einer Positivliste nachsehen. Welche Anbieter in der EU tatsächlich eine Erlaubnis haben, steht in einem anderen Verzeichnis, und die Frage, worauf du bei einer regulierten Plattform sonst noch achten solltest, behandeln wir im Überblick zu den besten regulierten Krypto-Börsen.

Leeres Begründungsfeld: 166 von 167 Einträgen nennen keinen Grund

Die Registerdatei sieht auf den ersten Blick auskunftsfreudig aus und führt zwölf Spalten, darunter eine für die Art des Verstoßes und eine für dessen Begründung. Beim Auszählen zeigt sich, dass diese beiden Spalten fast durchgängig ohne Inhalt bleiben.

In der Spalte zur Art des Verstoßes steht in allen 167 Zeilen derselbe Wert, nämlich „No“. Was dieser Wert im Kontext bedeuten soll, geht aus der Datei nicht hervor; eine Legende liegt ihr nicht bei. In der Begründungsspalte tragen 166 Zeilen den Platzhalter „None“. Genau ein einziger Eintrag enthält einen ausformulierten Satz, und zwar der Eintrag der niederländischen AFM, die dort einen Verstoß gegen Artikel 59 MiCA benennt.

Wir nennen an dieser Stelle bewusst kein Unternehmen. Was in einem amtlichen Register steht, ist eine Feststellung der jeweiligen Aufsichtsbehörde; die Sicht des betroffenen Unternehmens ist dort nicht vermerkt, und einholen können wir sie nicht. Wer den Namen sehen will, findet ihn im Register selbst, das über die MiCA-Seite der ESMA erreichbar ist.

Für die Nutzbarkeit hat das Folgen. Aus einem Eintrag lässt sich in aller Regel nicht ablesen, worin der Verstoß bestand, ob er andauert oder ob der Anbieter inzwischen reagiert hat. Auch eine Historie fehlt: Ob und wann Einträge wieder entfernt werden, ist aus der Datei nicht erkennbar.

242 Webadressen im Abruf: 153 antworten überhaupt nicht mehr

Weil die Webadresse neben dem Handelsnamen das einzige belastbare Identifikationsmerkmal ist, haben wir alle 242 verschiedenen Adressen am 16. August 2026 einzeln aufgerufen. Gemessen wurde ausschließlich, ob und mit welchem Statuscode ein Server antwortet, mit einer Zeitgrenze von zehn Sekunden je Adresse.

47 Adressen lieferten eine reguläre Antwort mit dem Statuscode 200, das sind 19,4 Prozent. 153 Adressen antworteten binnen der Zeitgrenze überhaupt nicht. Die verbleibenden Fälle verteilen sich auf 27 Serverfehler, davon allein 19 mit dem Code 502, sowie 13 Ablehnungen, darunter zwölf mit dem Code 403. Zwei Adressen blieben in einer Weiterleitung hängen.

Diese Messung sagt etwas über den Zustand des Registers und wenig über einzelne Anbieter. Rund zwei Drittel der amtlich hinterlegten Adressen führen ins Leere. Für ein Verzeichnis, dessen praktischer Zweck darin besteht, dass Verbraucher eine verdächtige Adresse darin wiederfinden, ist das ein hoher Anteil an Karteileichen.

Wir haben die Messung gegengeprüft, weil ein Ausbleiben der Antwort auch am eigenen Anschluss liegen kann. Vier bekannte, sicher erreichbare Adressen antworteten im selben Lauf und mit demselben Befehl mit dem Code 200. Fünf zufällig gezogene Adressen aus der Gruppe ohne Antwort blieben auch im zweiten Anlauf mit Browser-Kennung und Cookie-Speicher stumm.

Die Positivliste ist der bessere Test: 329 zugelassene Anbieter im CASP-Register

Die ESMA veröffentlicht neben der Warnliste ein zweites Verzeichnis, und dieses beantwortet die Frage, auf die es dir vermutlich ankommt: Wer hat eine Erlaubnis? Wir haben auch diese Datei am 16. August 2026 ausgezählt und darin 329 zugelassene Krypto-Dienstleister aus 26 Sitzstaaten gefunden.

Deutschland stellt darin die größte Gruppe: 73 Einträge nennen die Bundesrepublik als Sitzstaat, gefolgt von Frankreich mit 35 und den Niederlanden mit 29. Für die Frage, wer dich als Kundin oder Kunde in Deutschland bedienen darf, ist eine andere Zahl maßgeblich, weil eine Zulassung europaweit genutzt werden kann: 168 der 329 Einträge führen Deutschland als Land auf, in dem die Dienstleistung erbracht wird.

Wie sich dieses Verzeichnis nach Dienstleistungsarten aufschlüsselt und warum die Zahl der reinen Handelsplattformen deutlich kleiner ausfällt, haben wir in der Auswertung des MiCA-Registers vom 6. August aufgeschrieben. Die Zahlen dort beziehen sich auf eine bestimmte Dienstleistungsart und sind mit den 329 Gesamteinträgen nicht unmittelbar vergleichbar.

BaFin-Datenbank, ESMA-Register, Warnmeldungen: So prüfst du deinen Anbieter

Aus den Befunden ergibt sich eine Reihenfolge, die sich in wenigen Minuten abarbeiten lässt und die mit der aussagekräftigsten Quelle beginnt.

Zuerst die Positivliste, dann die Warnlisten

Beginne bei der Unternehmensdatenbank der BaFin. Sie ist über das MVP-Portal der Behörde erreichbar und beantwortet für den deutschen Markt die Frage, ob ein Unternehmen eine Erlaubnis besitzt. Prüfe dort den vollständigen Firmennamen, nicht die Marke, unter der eine Plattform auftritt. Beide fallen häufig auseinander.

Danach nimm das CASP-Register der ESMA. Es zeigt zusätzlich Anbieter, die ihre Zulassung in einem anderen Mitgliedstaat erhalten haben und über den europäischen Pass auch in Deutschland tätig sein dürfen. Erst als dritten Schritt lohnt der Blick in die Warnlisten: die Verbrauchermitteilungen der BaFin für Deutschland und das Register nicht konformer Unternehmen für den Rest der EU.

Ein Anbieter, den du in keiner der beiden Positivlisten findest, ist der eigentliche Warnfall. Dieser Befund wiegt schwerer als jede Abwesenheit von einer Warnliste, weil die Erlaubnis registriert werden muss und ihr Fehlen deshalb aussagekräftig ist.

Grenzen dieser Auswertung: Was das Register nicht beantwortet

Vier Dinge bleiben offen, und sie sollten mitgelesen werden.

Erstens sagt eine ausbleibende Antwort einer Webadresse nicht, dass das dahinterstehende Angebot beendet wäre. Gemessen wurde von einem einzigen Standort zu einem einzigen Zeitpunkt. Eine Sperre für bestimmte Herkunftsländer, ein Umzug auf eine neue Adresse oder eine kurzzeitige Störung sehen in dieser Messung gleich aus.

Zweitens lässt sich aus dem Register nicht bestimmen, welche juristische Person hinter einem Handelsnamen steht, weil das Kennungsfeld durchgängig leer ist. Ob zwei ähnlich klingende Einträge dasselbe Unternehmen betreffen, ist damit offen.

Drittens haben wir keine der drei liefernden Behörden und auch die BaFin nicht um eine Stellungnahme zu ihrer Meldepraxis gebeten. Warum das Register so einseitig befüllt ist, bleibt deshalb unbeantwortet. Der Text stellt dazu ausdrücklich keine Behauptung auf.

Viertens ist der ausgewertete Stand eine Momentaufnahme vom 12. August 2026. Das Verzeichnis wächst wöchentlich; wer es später aufruft, wird andere Zahlen sehen. Die Methode bleibt gleich, und sie lässt sich mit der Registerdatei jederzeit nachrechnen.

EU-Warnliste richtig lesen: Was du daraus mitnimmst

1. Behandle das ESMA-Register als Zusatz, nicht als Prüfinstanz. Es ist laut Artikel 110 MiCA ausdrücklich nicht erschöpfend, und für Deutschland enthält es null Einträge. Wer eine Plattform sucht, deren Zulassung dokumentiert ist, fährt mit einer Positivliste besser und findet einen geordneten Einstieg im Überblick der besten regulierten Krypto-Börsen.
2. Prüfe den Firmennamen, nicht die Marke. Das Register führt Handelsnamen und Webadressen, aber keine Unternehmenskennung. Trage in der BaFin-Datenbank den vollständigen Namen des Betreibers ein, den du im Impressum findest, und gleiche ihn anschließend mit den Konditionen im Vergleich der besten Krypto-Börsen ab.
3. Halte Bestände unabhängig von der Plattformfrage. Ob ein Anbieter zugelassen ist, entscheidet nicht darüber, ob deine Coins bei ihm liegen müssen. Wer größere Bestände selbst verwahren will, findet die passenden Geräte im Hardware-Wallet-Vergleich.

(Stand: 16. August 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)