23 Webseiten, eine Bauart: Worauf du bei einer Krypto-Plattform ohne Erlaubnis achten solltest

Eine Krypto-Plattform ohne Erlaubnis erkennst du am sichersten an zwei Dingen, die sich beide in wenigen Minuten nachsehen lassen: an der fehlenden Eintragung im Register der Finanzaufsicht und an Werbesätzen, die wortgleich auf Dutzenden fremder Seiten stehen. Am 14. Oktober 2026 hat die BaFin genau dieses Muster öffentlich gemacht. Gegenstand der Warnung ist diesmal eine ganze Reihe nahezu identisch gestalteter Webseiten.

Für dich heißt das: Der Name auf der Startseite ist die unwichtigste Information, die so eine Seite hergibt. Austauschbar sind Name, Farbe und Domain-Endung; gleich bleiben die Bauart und der Werbetext. Wer die Bauart kennt, erkennt damit auch die vierundzwanzigste Adresse derselben Reihe, die heute noch auf keiner Liste steht.

Die BaFin warnt vor 23 Adressen einer einzigen Bauart

Die Finanzaufsicht hat am 14. Oktober 2026 eine Verbrauchermitteilung veröffentlicht, die in der Überschrift die Adresse GainLiteX(.)co trägt und im Text 23 weitere Webseiten aufführt. Die Begründung steht wörtlich so in der Mitteilung: Nach Erkenntnissen der Behörde bieten die Betreiber auf diesen Webseiten ohne Erlaubnis Finanz- und Kryptowerte-Dienstleistungen an, und die jeweiligen Betreiber werden nicht von der BaFin beaufsichtigt.

Bemerkenswert an dieser Mitteilung ist ihre Form. Eine gewöhnliche Warnung nennt einen Anbieter und dessen Domain. Diese hier beschreibt zuerst ein Erkennungsmerkmal, das für alle Seiten der Reihe gilt, und hängt die Liste der bekannten Adressen daran. Die Behörde schreibt die Adressen entschärft mit einem Punkt in Klammern, damit beim Lesen kein anklickbarer Link entsteht. Wir übernehmen diese Schreibweise:

• Acmedividends(.)com
• alphasharesmarket(.)com
• aoextrades(.)live
• cloudtinvt(.)pro
• cmetrustgroup(.)com
• copyexpresstrades(.)com
• crownxcapitals(.)com
• dreammfx(.)net
• elitetradehub(.)net
• gifxpartnersltd(.)com
• globalcapitalshares(.)com
• globalmaxinvestment(.)com
• greenpointsllc(.)org
• octapayvest(.)com
• securedcryptoassets(.)com
• sratumcypher(.)com
• standardcapitalfinance(.)ltd
• titanedgefx(.)trade
• trademarketoptionsltd(.)com
• valorstream(.)com
• westgateinvestments(.)org
• zealprimefinance(.)com
• zenithwealthglobals(.)org

Die Reihenfolge ist alphabetisch, die Endungen reichen von .com über .org und .net bis zu .live, .pro, .trade und .ltd. Mehrere Namen tragen Bausteine, die nach etablierter Vermögensverwaltung klingen: capital, trust, wealth, global, dividends, prime. Genau diese Wortwahl gehört zum Bausatz und ist kein Zufall.

Erlaubnispflicht: Welche Kryptowerte-Dienstleistungen die BaFin genehmigen muss

Die Rechtslage hinter der Warnung ist einfacher, als die amtliche Formulierung vermuten lässt. Wer in Deutschland Finanz- und Wertpapierdienstleistungen anbietet, benötigt dazu eine Erlaubnis der BaFin. Dasselbe gilt seit der europäischen Kryptoverordnung MiCAR für Kryptowerte-Dienstleistungen, also für den Betrieb einer Handelsplattform, für den Tausch von Kryptowerten gegen Euro, für die Verwahrung fremder Kryptowerte, für die Vermittlung und für die Beratung dazu.

Der Begriff Kryptowerte-Dienstleistung bezeichnet eine gewerbliche Leistung rund um Kryptowerte, die ein Anbieter für fremde Rechnung erbringt. Entscheidend ist dieses „für fremde Rechnung“. Wer eigenes Geld in Bitcoin tauscht, braucht keine Erlaubnis. Wer das Geld anderer Leute annimmt, verwahrt oder tauscht, braucht sie in jedem Fall.

Die deutsche Umsetzung dieser Pflichten steht im Kryptomärkteaufsichtsgesetz. Welche Rolle das Gesetz in der Warnpraxis der Aufsicht spielt, haben wir am 4. Oktober 2026 im Artikel zum Kryptomärkteaufsichtsgesetz und seiner Erlaubnispflicht aufgeschrieben. Welche Pflichten auf zugelassene Unternehmen zukommen, sammelt unsere Übersicht zu den Pflichten der MiCA-Lizenz.

Zwei Werbesätze als Fingerabdruck einer ganzen Plattformreihe

Der nützlichste Teil der Mitteilung ist ein Detail, das in den üblichen Warnungen fehlt. Die BaFin nennt zwei Formulierungen, die auf den Seiten der Reihe wiederkehren. Die erste verspricht eine umfassende Finanzberatung und Anlagedienstleistungen, zugeschnitten auf die individuellen Bedürfnisse des Kunden. Die zweite lädt den Besucher ein, Teil „des weltweit führenden Anbieters von Finanzinvestitionen“ zu werden.

Beide Sätze haben eine Eigenschaft, die sie für dich brauchbar macht: Kein ernsthaftes Institut formuliert so. Ein beaufsichtigtes Haus wirbt mit Produkten, Konditionen und Risikohinweisen, weil es dazu verpflichtet ist und weil es sich daran messen lassen muss. Superlative ohne Gegenstand kosten dagegen nichts. Und weil die Sätze in der Vorlage stehen und nicht für jede Seite neu geschrieben werden, stehen sie auf allen Adressen der Reihe gleich.

Daraus ergibt sich ein Handgriff, der ohne jede Datenbank funktioniert. Kopiere einen auffälligen Halbsatz aus der Werbung einer unbekannten Plattform und suche ihn in Anführungszeichen. Erscheinen daraufhin mehrere Anbieter mit verschiedenen Namen und demselben Wortlaut, dann arbeitet dort ein Bausatz. Dieser Handgriff funktioniert auch bei einer Domain, die noch nirgends gemeldet ist, und genau darin liegt sein Wert.

Baukasten-Optik: Fünf Merkmale einer Reihe vor der ersten Warnliste

Die Aufsicht beschreibt die Seiten als nahezu identisch gestaltet. Aus den 23 Adressen und aus den Reihen, die wir im eigenen Bestand führen, lassen sich fünf Merkmale ableiten, die zusammen ein belastbares Bild ergeben. Einzeln ist keines davon ein Beweis.

Wortbausteine statt Firmengeschichte

Die Namen setzen sich aus zwei oder drei Finanzbegriffen zusammen, die beliebig kombinierbar sind. Eine echte Firmenhistorie, ein belegtes Gründungsjahr, ein Handelsregisterauszug oder ein nachvollziehbarer Sitz fehlen. Was dort als Unternehmensgeschichte steht, ließe sich auf jede andere Adresse der Reihe kopieren, ohne dass es auffiele.

Exotische Domain-Endungen bei europäischem Auftritt

Endungen wie .live, .pro oder .trade kosten wenig und sind in Minuten registriert. Ein Haus, das Kundengelder in Deutschland einsammeln will und dafür eine Erlaubnis besitzt, tritt in der Regel unter einer Landes- oder .com-Adresse auf. Die Endung allein sagt nichts; zusammen mit einem deutschsprachigen Auftritt ohne deutschen Sitz ist sie ein Signal.

Kein Impressum, das zu einer greifbaren Gesellschaft führt

Der Abgleich von Domain und Betreiber ist der härteste der fünf Punkte. Steht im Impressum eine Gesellschaft, suchst du sie im Handelsregister und in der Datenbank der Aufsicht. Führt die Spur ins Leere oder zu einer Firma, die mit Finanzgeschäften nichts zu tun hat, ist die Sache entschieden. Wie weit so eine Spur gelegt wird, zeigt der Fall einer geborgten Identität, über den wir am 28. September 2026 unter BaFin-Warnung wegen geliehener Firmenidentität berichtet haben.

Gleiche Werbesätze auf verschiedenen Namen

Hier greift der Fingerabdruck aus dem Abschnitt darüber. Je länger der Halbsatz ist, den du suchst, desto aussagekräftiger wird das Ergebnis: Eine einzelne Floskel wie „individuelle Anlagestrategie“ steht auf tausenden harmlosen Seiten, ein kompletter Werbesatz von zwanzig Wörtern dagegen nur dort, wo dieselbe Vorlage benutzt wurde. Wiederhole die Suche mit einem zweiten Satz von einer anderen Unterseite, etwa aus dem Abschnitt über das Unternehmen. Treffen beide Suchen auf dieselbe Gruppe fremder Domains, ist die Zuordnung so gut wie sicher.

Druck auf den ersten Zahlungsvorgang

Je schneller eine Plattform zur ersten Einzahlung drängt, je mehr persönliche Betreuung per Messenger angeboten wird und je weniger Zeit für eine Prüfung bleiben soll, desto eindeutiger wird das Bild. Ein zugelassener Anbieter hat kein Interesse daran, dass du seine Zulassung ungeprüft lässt, denn die Zulassung ist sein stärkstes Verkaufsargument.

Die Unternehmensdatenbank führt eine eigene Kategorie für Kryptowerte-Dienstleister

Der eigentliche Prüfschritt ist das Register der Aufsicht, und dort steckt ein Detail, das viele Anleitungen übersehen. Die Unternehmensdatenbank der BaFin durchsucht mehrere Kategorien getrennt voneinander. Im Auswahlfeld stehen neben Kreditinstituten und Wertpapierinstituten auch die Einträge Kryptowerte-Dienstleister, Kryptoverwahrer, Kryptowertpapierregisterführer und MiCAR Emittenten.

Diese Trennung ist der Grund, warum eine Suche manchmal falsch negativ ausgeht. Wer den Namen einer Handelsplattform allein unter „Alle Institute“ sucht, bekommt eine leere Antwort, obwohl der Anbieter als Kryptowerte-Dienstleister geführt wird. Richtig ist die Suche über „Alle Unternehmen“ oder direkt über die passende Kategorie. Den Weg dorthin, Feld für Feld, haben wir am 12. September 2026 in der Anleitung So prüfst du in drei Minuten, ob ein Krypto-Anbieter eine Erlaubnis hat aufgeschrieben.

Wenn am Ende dieser Suche ein zugelassener Handelsplatz gebraucht wird, hilft unsere Übersicht der MiCA-regulierten Krypto-Börsen weiter: Dort stehen die Anbieter mit EU-Zulassung samt Gebühren und Sitz.

Der Datenstand der Datenbank setzt dem Register eine Grenze

Oben auf der Suchmaske steht ein Feld, das leicht zu überlesen ist: der Stand der Daten. Als wir die Datenbank für diesen Artikel geöffnet haben, trug sie den 13. Oktober 2026. Das Register zeigt damit eine Momentaufnahme mit einem Datum daran.

Zwei Folgen hat das für deine Prüfung. Eine frisch erteilte Erlaubnis kann in der Datenbank noch fehlen, obwohl sie wirksam ist. Und eine Plattform, die gestern online gegangen ist, steht dort selbstverständlich nicht, weil sie nie eine Erlaubnis beantragt hat. Die Abwesenheit eines Eintrags trennt diese beiden Fälle gerade nicht.

Deshalb ist das Register die notwendige, aber nicht die hinreichende Antwort. Ein Treffer in der richtigen Kategorie ist ein starkes Argument dafür, dass ein beaufsichtigtes Haus hinter der Seite steht. Ein fehlender Treffer ist ein Anlass, nichts zu überweisen und die übrigen Merkmale durchzugehen.

Nicht beaufsichtigt und nachgewiesener Betrug sind zwei verschiedene Befunde

Diese Unterscheidung gehört in jeden Text über eine solche Liste, und sie wird selten gemacht. Die BaFin schreibt in ihrer Mitteilung, dass die Betreiber ohne Erlaubnis tätig sind und nicht beaufsichtigt werden. Die Behörde behauptet an keiner Stelle, dass die 23 Seiten Kundengelder stehlen oder Gewinne erfinden.

Der Unterschied ist praktisch und nicht akademisch. Fehlt die Erlaubnis, dann fehlt damit alles, was an ihr hängt: die laufende Aufsicht über Eigenkapital und Organisation, die Pflicht, fremde Kryptowerte getrennt vom eigenen Vermögen zu verwahren, die geregelten Beschwerdewege und die Möglichkeit der Behörde, das Geschäft zu untersagen. Ob ein konkreter Betreiber zusätzlich täuscht, ist eine Frage für die Staatsanwaltschaft.

In derselben Mitteilung weist die BaFin gemeinsam mit dem Bundeskriminalamt und den Landeskriminalämtern allgemein auf Finanzbetrug im Internet hin und rät zu gründlicher Recherche vor einer Geldanlage im Netz. Dieser Hinweis gilt allgemein und ist kein Urteil über die einzelnen Adressen der Liste.

Kryptomärkteaufsichtsgesetz und MiCAR bilden den Rahmen der Erlaubnis

Die Formulierung „Finanz- und Kryptowerte-Dienstleistungen“ in der Warnung ist eine präzise Doppelung. Finanzdienstleistungen sind nach dem Kreditwesengesetz und dem Wertpapierinstitutsgesetz erlaubnispflichtig, Kryptowerte-Dienstleistungen seit MiCAR nach eigenem Recht. Eine Plattform, die beides anbietet, braucht beides. Viele Seiten der jetzt gemeldeten Reihe werben mit klassischen Anlagedienstleistungen und mit Kryptowerten gleichzeitig, und genau daraus folgt die doppelte Nennung in der Mitteilung.

Als Kunde merkst du den Unterschied dort, wo es um Beschwerden geht. Bei einem zugelassenen Haus gibt die europäische Kryptoverordnung einen Weg mit festen Fristen an die Hand. Welche das sind und wie lange eine Börse auf eine Beschwerde antworten muss, steht in unserem Artikel zur Beschwerde gegen die Krypto-Börse nach Artikel 71 MiCAR. Gegenüber einem Anbieter ohne Erlaubnis greift dieser Weg nicht, weil er die zugehörigen Pflichten gar nicht erst übernommen hat.

Beschwerdeweg und Beweissicherung nach einer Überweisung

Wenn schon Geld geflossen ist, zählt die Reihenfolge. Sichere zuerst, was in wenigen Tagen verschwinden kann: Bildschirmaufnahmen der Kontoseite mit sichtbarem Datum, die vollständige Korrespondenz samt Messenger-Verläufen, die Kontoauszüge der Überweisungen und, bei Zahlungen in Kryptowerten, die Empfangsadressen und die Transaktionskennungen. Diese Angaben sind die Grundlage für jede weitere Meldung, und sie liegen ausschließlich bei dir. Verschwindet die Plattform, verschwinden mit ihr auch die Kontoseite und der Chatverlauf.

Danach führt der Weg zur Bank oder zum Zahlungsdienst, über den die Zahlung lief, und zur Polizei. Die BaFin nimmt Hinweise zu unerlaubten Geschäften entgegen und betreibt dafür ein Verbrauchertelefon, erreichbar montags bis freitags von 8 bis 18 Uhr unter 0800 2 100 500. Eine Rückholung des Geldes kann die Aufsicht nicht leisten; ihre Zuständigkeit endet bei der Untersagung des Geschäfts.

Die 25. Reihe in einem Bestand von 639 Domains

Die Meldung vom 14. Oktober steht nicht allein. Unsere eigene Auswertung der BaFin-Warnungen dieses Jahres, veröffentlicht am 14. August 2026 unter BaFin-Warnungen 2026: 24 Krypto-Plattformreihen mit 639 Domains, hat 24 solche Reihen mit insgesamt 639 Adressen gezählt. Die jetzige Liste ist nach dieser Zählung die 25. Reihe und die erste neue seit zwei Monaten.

Unsere Einschätzung: Der Wert dieser Meldung liegt nicht in den 23 Namen, sondern in den zwei Werbesätzen. Die Namen sind in einigen Wochen abgeschaltet, neu registriert und wieder online; der Bausatz dahinter bleibt. Dafür sprechen die Zahlen aus der eigenen Auswertung, 639 Adressen in 24 Reihen innerhalb eines Jahres, und der Umstand, dass die Aufsicht diesmal überhaupt ein Textmerkmal nennt und keine reine Domainliste. Dagegen spricht, dass ein einzelner Werbesatz nichts beweist und dass auch ein seriöser Anbieter einmal eine Floskel verwenden kann. Belastbar wird das Bild erst, wenn mehrere der fünf Merkmale zusammentreffen und das Register den Anbieter nicht kennt.

Plattformreihen: 23 Adressen, eine Bauart, ein Register

Die Warnung vom 14. Oktober 2026 ist in wenigen Tagen von der nächsten überholt. Was bleibt, ist ein Ablauf, der auch bei der Adresse funktioniert, die heute noch nirgends gemeldet ist.

1. Vor jeder Einzahlung das Register befragen. Den Namen des Anbieters in der Unternehmensdatenbank der Aufsicht über „Alle Unternehmen“ suchen und auf die Kategorie Kryptowerte-Dienstleister achten. Bleibt die Suche leer, fließt kein Geld. Einen Handelsplatz mit nachgewiesener EU-Zulassung findest du in unserer Übersicht der MiCA-regulierten Krypto-Börsen.
2. Bestände von fremden Plattformen holen. Was bei einem Anbieter ohne Erlaubnis liegt, liegt ohne Trennungspflicht und ohne Aufsicht. Für größere Bestände ist die eigene Verwahrung der sicherste Ort; die Geräte dafür vergleicht unser Hardware-Wallet-Vergleich.
3. Jede Bewegung dokumentieren. Überweisungen, Transaktionskennungen und Korrespondenz gehören lückenlos festgehalten, für eine Meldung bei der Aufsicht ebenso wie für die Steuererklärung. Werkzeuge, die Transaktionen automatisch mitschreiben, stehen in unserer Übersicht der Krypto-Steuer-Tools und Portfolio-Tracker.

Die vollständige Mitteilung mit allen 23 Adressen steht bei der Aufsicht selbst: BaFin-Verbrauchermitteilung vom 14. Oktober 2026. Bei einem Anbieter ohne Erlaubnis ist ein Totalverlust des eingezahlten Geldes jederzeit möglich.

(Stand: 14. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)