Die meisten Verluste bei Krypto-Börsen entstehen nicht durch Hacks der Börse, sondern durch übernommene Kundenkonten: Phishing, abgefangene SMS-Codes, Betrüger am Telefon. Dagegen helfen Funktionen, die du selbst einschalten kannst. Hier steht, welcher Anbieter welche Schutzfunktion nachweislich anbietet – und was sie im Ernstfall bringt.
Die Zulassung nach MiCA ist die Grundvoraussetzung: Sie verpflichtet den Anbieter, deine Coins getrennt vom eigenen Vermögen zu verwahren, und macht ihn bei selbst verschuldeten Verlusten haftbar.
Die wichtigste Funktion für dein Konto ist eine Zwei-Faktor-Authentifizierung per Authenticator-App, Push-Freigabe, Passkey oder Sicherheitsschlüssel. SMS- und E-Mail-Codes sind laut BSI anfällig für Phishing und SIM-Swapping.
Eine Adress-Whitelist sorgt dafür, dass Coins nur an Adressen gehen, die du vorher freigegeben hast. Wer dein Konto übernimmt, kann dann nicht sofort an eigene Adressen auszahlen.
Ein Anti-Phishing-Code erscheint in jeder echten E-Mail des Anbieters. Fehlt er, ist die Nachricht gefälscht.
„Nicht belegt“ heißt nicht „nicht vorhanden“: Manche Anbieter dokumentieren Funktionen nur in der App. Prüfe dort nach, bevor du entscheidest.
Auf einen Blick
Sechs Schutzfunktionen bei 27 Anbietern
Für jeden Anbieter haben wir ausgewertet, ob seine offiziellen Hilfe-Center-, Sicherheits- und Produktseiten die Funktion beschreiben. Gezählt wird nur, was dort steht. Anbieter ohne Zulassung stehen am Ende, unabhängig von ihren Funktionen. Bei Gleichstand gilt unsere übliche Empfehlungsreihenfolge.
„belegt“ = in den offiziellen Hilfe-Center-, Sicherheits- oder Produktseiten des Anbieters dokumentiert. „nicht belegt“ = dort nicht beschrieben, die Funktion kann trotzdem existieren. „entfällt“ = keine Krypto-Auszahlung möglich. Die Zahl rechts ist kein Sicherheitsurteil, sondern zählt belegte Schutzfunktionen. Stand Oktober 2026.
Im Detail
Die 10 Anbieter mit den meisten belegten Schutzfunktionen
Globale Kryptobörse mit MiCA-Zulassung aus Malta: Spot-Orderbuch mit niedrigen Gebühren, einfache Kauf-/Convert-Funktion, Earn-Produkte und kostenlosen SEPA-Transfers.
Warum OKX hier steht
6 von 6 Schutzfunktionen belegt.
Zulassung: MiCA-Zulassung belegt.
2FA per App oder Schlüssel: Authenticator-App, Passkey, Hardware-Schlüssel.
Adress-Whitelist: Auszahlung nur an freigegebene Adressen möglich.
Anti-Phishing-Code: persönlicher Code in echten E-Mails.
Was du wissen solltest
Einfacher Kauf (Express Buy/Convert) ohne ausgewiesene Gebühr, aber mit Spread von bis zu 1,00 %; Kartenkauf kostet 1,99 %.
Sehr umfangreiche Plattform (Futures, Margin, Bots, Copy Trading, DEX) mit vielen Produkten, die für Einsteiger unübersichtlich sein können.
Travel-Rule-Nachweis der Wallet-Kontrolle ab 1.000 € pro Auszahlung auf eigene Wallet; kein Steuerreport, nur CSV-Exporte.
Redaktioneller Hinweis: EU-Angebot über OKX Europe Limited (Malta); Anmeldung über okx.com bzw. okx.com/de. Die Krypto-Auszahlung ist möglich, erfordert ab 1.000 € den Nachweis der Wallet-Kontrolle (digitale Signatur oder Satoshi-Test). Verkaufs-Erlöse landen zunächst im Handelsguthaben und werden per SEPA ausgezahlt; die Erstauszahlung geht nur auf ein per Einzahlung verifiziertes Bankkonto. Nach Änderung von 2FA-Methoden oder Entfernen eines Passkeys sind Auszahlungen 24 Stunden gesperrt.
Salzburg, Österreich · Broker · Spread · Solide Wahl
Bitcoin-only-App aus Salzburg mit Sparplan ab 0 % Servicegebühr, Pauschalauszahlung für 1.000 Sats und MiCA-Zulassung der österreichischen FMA.
Warum 21bitcoin hier steht
5 von 6 Schutzfunktionen belegt.
Zulassung: MiCA-Zulassung belegt.
2FA per App oder Schlüssel: Authenticator-App.
Adress-Whitelist: Auszahlung nur an freigegebene Adressen möglich.
Anti-Phishing-Code: persönlicher Code in echten E-Mails.
Was du wissen solltest
Nur Bitcoin, keine anderen Kryptowerte.
Sofortkauf 1,49 % plus Spread von typischerweise rund 0,8 % laut Hilfe-Center, Verkauf ebenfalls 1,49 %.
Keine Kartenzahlung, PayPal, Apple/Google Pay; keine Angabe zur Einlagensicherung der Euro-Guthaben auf offiziellen Seiten.
Redaktioneller Hinweis: Reine Bitcoin-App ohne Web-Handel (nur iOS/Android). Der 0 %-Sparplantarif gilt erst nach den ersten 7 aktiven Tagen (stündlich/täglich) bzw. nach der ersten Ausführung (wöchentlich/monatlich); zuvor fällt die reguläre Gebühr an. Zum Servicegebührensatz kommt ein Spread (typisch ca. 0,8 %), der in der Order-Vorschau im Endpreis enthalten ist. Euro-Guthaben werden mit variablen Zinsen (1,21 % p. a., Stand 30.09.2026) der Volksbank Raiffeisenbank Bayern Mitte eG vergütet, auf Wunsch in BTC umgewandelt. Österreichische Kunden: KESt 27,5 % wird automatisch abgeführt.
München, Deutschland · Broker · Spread · Mit Vorbehalt
Kein Coin-Handel, sondern Krypto-ETPs im Wertpapierdepot: bequem neben ETFs, aber ohne eigene Wallet und ohne Auszahlung auf externe Wallets.
Warum Scalable Capital hier steht
3 von 4 Schutzfunktionen belegt.
Zulassung: nur Krypto-ETPs unter Wertpapieraufsicht.
2FA per App oder Schlüssel: Push.
Sperre durch dich: Konto oder Auszahlungen selbst sperrbar.
Was du wissen solltest
Keine echten Coins: Auszahlung auf eine eigene Wallet technisch nicht möglich.
Handel nur zu Börsenhandelszeiten.
0,99 € Ordergebühr plus 0,99 % Spread im FREE Broker.
Redaktioneller Hinweis: Scalable Crypto ist ein Wertpapierprodukt (ETP), kein Kryptowerte-Dienst. Wer Coins selbst verwahren oder rund um die Uhr handeln will, braucht eine Börse. Als bequemer Einstieg neben dem ETF-Sparplan kann es dennoch passen.
Krypto direkt in der Banking-App: MiCA-zugelassen über die zypriotische Revolut Digital Assets Europe, bequem, aber mit Abo-abhängiger Gebühr plus eigenem Kurs.
Warum Revolut hier steht
4 von 6 Schutzfunktionen belegt.
Zulassung: MiCA-Zulassung belegt.
2FA per App oder Schlüssel: Push, Passkey.
Adress-Whitelist: Auszahlung nur an freigegebene Adressen möglich.
Was du wissen solltest
1,49 % Gebühr im Standard-Plan plus von Revolut gestellter Kurs.
Gebühr hängt vom Abo-Plan ab, Mindestgebühren bei kleinen Trades.
Krypto-Vertragspartner ist die zypriotische Gesellschaft, nicht die Bank.
Redaktioneller Hinweis: Krypto-Trades zählen im Standard- und Plus-Plan zum Fair-Use-Wechsellimit; die Auszahlung auf externe Wallets ist nur für bestimmte Coins und Netzwerke möglich. Für aktiven Handel bietet Revolut die separate Oberfläche Revolut X.
Seit dem Ende der Übergangsfristen braucht jeder Anbieter für Kunden in Deutschland eine Zulassung nach der EU-Verordnung über Märkte für Kryptowerte (MiCA). Wer deine Coins verwahrt, muss sie nach Artikel 75 MiCA getrennt vom eigenen Vermögen halten und eine Verwahrpolitik haben. Verliert er Coins durch einen Vorfall, der ihm zuzurechnen ist, haftet er dir gegenüber bis zum Marktwert der verlorenen Coins zum Zeitpunkt des Verlusts. Zusätzlich gilt für zugelassene Anbieter die EU-Verordnung über digitale operationale Resilienz (DORA) mit Pflichten zum IT-Risikomanagement und zur Meldung schwerer Vorfälle.
Die Zulassung sagt aber nichts darüber, wie gut dein eigenes Konto gegen Übernahme geschützt ist. Dafür sind die übrigen fünf Funktionen da. Bei Scalable Capital zählen wir die Wertpapieraufsicht als gleichwertig, weil dort nur Krypto-ETPs gehandelt werden.
Zwei-Faktor-Authentifizierung: App oder Schlüssel statt SMS
Ein zweiter Faktor verhindert, dass ein gestohlenes Passwort allein reicht. Wie gut er schützt, hängt vom Verfahren ab. Das BSI bewertet SMS- und E-Mail-Codes als anfällig, weil Betrüger sie per Phishing-Seite in Echtzeit abgreifen oder per SIM-Swapping auf eine eigene SIM-Karte umleiten können. Authenticator-Apps und Push-Freigaben in der App sind deutlich robuster. Passkeys und Hardware-Sicherheitsschlüssel nach FIDO2 sind zusätzlich an die echte Website gebunden und damit gegen Phishing resistent.
Passkey oder Hardware-Schlüssel belegt: Kraken, Coinbase, Crypto.com, OKX, Revolut, Bitcoin.de und Binance.
Authenticator-App oder Push belegt: unter anderem Bitpanda, Bitvavo, Bitstamp, Coinmerce, 21bitcoin, Trade Republic, N26, flatex und Smartbroker+.
Nur SMS, E-Mail-Code oder Gerätekopplung belegt: BISON, BSDEX, Finst, Relai und Traders Place.
Gerätekopplung bedeutet, dass nur ein registriertes Smartphone Zugriff hat. Das ist ein guter Schutz für die Anmeldung, ersetzt aber keinen zweiten Faktor, wenn Auszahlungen per SMS-Code freigegeben werden.
Adress-Whitelist und Auszahlungsfreigabe: die letzte Hürde
Übernimmt jemand dein Konto, versucht er als Erstes, deine Coins an eine eigene Adresse zu schicken. Eine Adress-Whitelist verhindert das: Ausgezahlt wird nur an Adressen, die du vorher freigegeben hast, und neue Adressen sind bei vielen Anbietern erst nach einer Wartezeit nutzbar. Die Auszahlungsfreigabe ist die zweite Hürde. Gemeint ist ein zusätzlicher Schritt bei jeder Auszahlung, etwa ein 2FA-Code oder eine Bestätigung per E-Mail.
Bei den Online-Brokern flatex, justTRADE, Smartbroker+, Traders Place und finanzen.net ZERO entfallen beide Punkte, weil dort keine Krypto-Auszahlung möglich ist. Coins verlassen das Konto nur als Verkaufserlös in Euro auf das hinterlegte Referenzkonto.
Anti-Phishing-Code und Selbstsperre
Gefälschte E-Mails im Namen von Börsen sind die häufigste Einstiegsmasche. Ein Anti-Phishing-Code ist ein Wort, das du selbst festlegst und das der Anbieter in jede echte E-Mail einfügt. Fehlt es, weißt du sofort, dass die Nachricht nicht vom Anbieter stammt. Die Selbstsperre ist der Notschalter: Bemerkst du verdächtige Aktivität oder verlierst du dein Smartphone, kannst du Konto oder Auszahlungen sofort selbst einfrieren, ohne auf den Support zu warten.
Anti-Phishing-Code belegt: Bitpanda, Bitvavo, Bitstamp, Crypto.com, OKX, 21bitcoin und Binance.
Selbstsperre belegt: unter anderem BISON, Bitpanda, Kraken, Bitvavo, Bitstamp, Coinbase, Crypto.com, OKX, N26 und Scalable Capital. BISON etwa erlaubt, Krypto-Auszahlungen dauerhaft zu deaktivieren.
Die Aufzählungen nennen den Stand unserer Auswertung. Welche Anbieter welche Funktion haben, zeigt die Tabelle oben vollständig.
Was du selbst tun kannst
Die beste Börse schützt nicht, wenn du die Funktionen nicht nutzt. Fünf Schritte bringen den größten Effekt:
Stelle die Zwei-Faktor-Authentifizierung auf Authenticator-App, Passkey oder Sicherheitsschlüssel um, wenn dein Anbieter das anbietet, und sichere die Backup-Codes offline.
Schalte die Adress-Whitelist ein und trage nur Adressen deiner eigenen Wallets ein.
Lege einen Anti-Phishing-Code fest und lösche jede E-Mail ohne diesen Code.
Schütze dein E-Mail-Konto mit eigener 2FA. Wer deine E-Mails liest, kann bei vielen Diensten das Passwort zurücksetzen.
Lass größere Bestände nicht dauerhaft auf der Börse liegen, sondern verwahre sie auf einer Hardware-Wallet, deren Wiederherstellungsphrase nur du kennst.
Wir bewerten nur, was Anbieter öffentlich dokumentieren. Interne Maßnahmen wie Cold-Storage-Anteile, Penetrationstests oder Versicherungssummen nennen viele Anbieter nicht oder nur in allgemeinen Worten; sie stehen, soweit belegt, im jeweiligen Profil. Die Zahl „belegt“ ist deshalb kein Sicherheitsurteil über den Anbieter, sondern zeigt, wie transparent er seine Schutzfunktionen für Kunden beschreibt. Ändert ein Anbieter seine Funktionen, aktualisieren wir die Tabelle beim nächsten Daten-Update.
Häufige Fragen
FAQ: Sicherheit im Vergleich
Eine pauschal sicherste Börse gibt es nicht. Entscheidend sind eine MiCA-Zulassung und die Schutzfunktionen, die du selbst nutzt. In unserer Auswertung beschreiben Bitvavo, Bitstamp, Crypto.com und OKX alle sechs geprüften Funktionen in ihren offiziellen Quellen. Für größere Beträge bleibt eine eigene Hardware-Wallet die sicherste Verwahrung.
Sie ist besser als gar keine 2FA, aber die schwächste Variante. Das BSI warnt, dass SMS-Codes per Phishing abgegriffen oder per SIM-Swapping umgeleitet werden können. Wenn dein Anbieter eine Authenticator-App, Push-Freigabe, Passkey oder einen Sicherheitsschlüssel anbietet, stelle um.
Eine Liste von Wallet-Adressen, an die dein Konto Coins auszahlen darf. Ist sie aktiv, gehen Auszahlungen nur an diese Adressen; neue Adressen sind oft erst nach einer Wartezeit freigeschaltet. Das bremst Angreifer, die dein Konto übernommen haben.
Nicht im Sinne einer Einlagensicherung. MiCA verpflichtet den Anbieter, deine Coins getrennt zu verwahren, und macht ihn für selbst verschuldete Verluste bis zum Marktwert haftbar. Die gesetzliche Einlagensicherung bis 100.000 € gilt nur für Euro-Guthaben bei Banken, nie für Coins.
Weil die Funktion in den offiziellen Hilfe-Center-, Sicherheits- oder Produktseiten nicht beschrieben ist, die wir ausgewertet haben. Sie kann trotzdem in der App vorhanden sein. Wir tragen eine Funktion erst ein, wenn der Anbieter sie selbst dokumentiert.
Quellen und Belege
Anbieterdaten nach redaktioneller Auswertung öffentlicher Primärquellen (Stand Oktober 2026), Gebühren laut offiziellen Gebührenseiten (Stand 24.10.2026, später aufgenommene Anbieter 27.10.2026). Ergänzend:
Stand Oktober 2026. Angaben nach redaktioneller Auswertung öffentlicher Primärquellen. Keine Anlage-, Steuer- oder Rechtsberatung – prüfe alle Konditionen direkt beim Anbieter.