Krypto-Betrug 2026: Die aktuellen Maschen und wie du sie erkennst

Die Lage in Zahlen

Das Bundeskriminalamt registrierte 2025 rund 335.000 Fälle von Cybercrime im engeren Sinne; etwa zwei Drittel der Taten (207.888) wurden aus dem Ausland oder von unbekannten Tatorten begangen (Bundeslagebild Cybercrime 2025, veröffentlicht am 12. Mai 2026). Die BaFin veröffentlichte 2025 mehr als 800 Warnungen vor unerlaubten Angeboten auf betrügerischen Websites und in Messenger-Diensten, 2026 bis zur Jahrespressekonferenz im Mai bereits über 200; im Jahresbericht 2025 stehen 639 Verdachtswarnungen, 1.645 neue Verdachtsfälle und 36.762 Anrufe beim Verbrauchertelefon. Mit der „Operation Herakles“ ließ die BaFin bis September 2026 über 2.200 Domains und 13.888 Rufnummern abschalten, die für Cybertrading-Betrug genutzt wurden. Europol stuft Betrug im Bericht IOCTA 2026 als das am schnellsten wachsende Feld der organisierten Kriminalität ein, „Investment fraud, particularly related to cryptocurrencies, is especially prevalent“. Eine amtliche Schadenssumme speziell für Krypto-Anlagebetrug weist keine Behörde aus; die Verbraucherzentralen nennen einen typischen Einstiegsbetrag von rund 250 € und jährlich Zehntausende Betroffene.

Masche 1: Gefälschte Handelsplattformen mit persönlichem Berater

Der Klassiker des Cybertrading-Betrugs beginnt mit einer Anzeige in sozialen Medien oder einer Suchmaschine, oft mit Prominentenfoto und imitiertem Logo eines Nachrichtenportals. Die Seite wirkt professionell, ein „Berater“ ruft an, der Einstieg kostet meist rund 250 €. Die Plattform zeigt steigende Gewinne, die es nicht gibt, und drängt zu immer höheren Einzahlungen, teils per Kredit oder Fernwartungssoftware. Auszahlungen scheitern an angeblichen Gebühren oder Steuern. Die BaFin warnte allein am 23. und 29. September 2026 vor zwei Serien nahezu identischer „KI-Handelsplattformen“ mit zusammen 68 Domains, deren Kontaktformulare Daten an unerlaubte Anbieter weiterreichen; am 9. Oktober folgte vaulttrades(.)co, am 13. März hightaurus(.)io.

• Erkennen: unaufgeforderte Anrufe zu Anlageangeboten (Kaltanrufe sind laut BaFin meist verboten), garantierte Renditen, Bonusangebote, Erfolge auf Demo-Konten, Zeitdruck, kein rechtsgültiges Impressum, keine Zulassung in der BaFin-Datenbank.
• Typisch 2026: der Zusatz „KI“ im Namen, Domains auf .online, .live, .click oder .sbs und Impressumsdaten echter Firmen, die nichts damit zu tun haben.

Masche 2: Gruppen-Chats, Pump-and-Dump und „Operation Hope AI“

Anzeigen oder Direktnachrichten mit kostenlosen Aktien- oder Krypto-Tipps führen in WhatsApp- oder Telegram-Gruppen. Ein angeblicher Finanzexperte und eine Moderatorin halten über Wochen „Seminare“, Komplizen posten Erfolgsgeschichten, dann folgt der Zugang zu einer Handelsplattform mit Testguthaben und kleinen Testauszahlungen. Echte Einzahlungen sind verloren. Das BKA warnt zusätzlich vor Pump-and-Dump-Empfehlungen in solchen Gruppen, die illegale Marktmanipulation sind. Ein belegtes Beispiel vom 28. August 2026: Die BaFin warnte vor „Operation Hope AI“ und der Plattform „Vexorylax“, deren Betreiber deutsche Anleger in WhatsApp-Gruppen ansprachen, sich als US-Non-Profit ausgaben und einen eigenen Token verkauften.

• Erkennen: unaufgeforderte Einladung in eine Gruppe, „Experten“ oder Institute, die sich per Messenger melden, Exklusivität und Gewinnspiele, Check-ins und Zeitdruck.
• Die BaFin kennt kein lizenziertes Institut, das Kunden über Messenger-Gruppen anwirbt.

Masche 3: Pig Butchering und Love Scam

Über Dating-Apps, WhatsApp oder eine angeblich falsch verschickte SMS entsteht über Wochen oder Monate eine Beziehung, in der Geld zunächst keine Rolle spielt. Dann erwähnt die Person nebenbei hohe Gewinne durch Krypto-Trading und bietet an, es beizubringen. Das Opfer kauft Coins bei einer seriösen Börse und überweist sie an die „Plattform“ des Täters. Bitpanda beschreibt die Masche im Hilfe-Center, die Polizeiliche Kriminalprävention führt sie unter Romance Scamming; laut BSI-Lagebericht 2025 waren 3 % der von Cybercrime Betroffenen von Love Scamming betroffen.

• Erkennen: sehr schnelle Komplimente und Zukunftspläne ohne persönliches Treffen, Treffen werden mit dramatischen Vorfällen abgesagt, die Bekanntschaft lenkt Anlageentscheidungen oder bietet „Insider“-Tipps.

Masche 4: Der Betrug nach dem Betrug (Recovery Scam)

Monate oder Jahre nach einem Verlust melden sich angebliche Anwaltskanzleien, Behörden, Ermittler oder „Recovery-Firmen“: Das Geld sei gefunden oder sichergestellt, für die Rückholung seien vorab Gebühren, Steuern oder ein Prozentsatz fällig. Die BaFin stellte am 4. Mai 2026 klar, dass die Rückführung verlorener Gelder nicht zu ihren Aufgaben gehört, und warnte am 14. September 2026 vor finanzforensik(.)com, das sich als BaFin-Kooperationspartner ausgab; am 4. Mai 2026 vor verfolgnsfundrecovery(.)com. Auch in den Insolvenzverfahren von FTX und Celsius kursierten gefälschte „Claims-Portale“, die Wallet-Verbindungen und Zugangsdaten abgriffen.

• Erkennen: unaufgeforderter Kontakt mit dem Angebot, verlorenes Geld zurückzuholen; Vorauszahlung als Bedingung; Berufung auf eine Zusammenarbeit mit BaFin, Polizei oder Gericht; Bitte um Fernzugriff.
• Ob ein Anwalt echt ist, prüfst du im Anwaltsverzeichnis der Bundesrechtsanwaltskammer; „Rechtsanwalt“ ist eine geschützte Berufsbezeichnung.

Masche 5: Anrufe angeblicher Mitarbeiter deiner Börse oder Bank

Täter rufen mit gefälschter Rufnummer an oder schicken Phishing-SMS im Namen der Börse, der Bank oder des Mobilfunkanbieters. Sie behaupten „verdächtige Aktivitäten“ und drängen unter Zeitdruck, sich auf einer gefälschten Seite einzuloggen, Software zu installieren oder Coins „zur Sicherheit“ an eine neue Adresse zu schicken. Die Anbieter sind hier eindeutig: Bitvavo ruft nie wegen Geld oder verdächtiger Aktivität an und lässt Anrufe in der App unter „Bitvavo calling?“ prüfen; Bitpanda ruft nur nach E-Mail-Terminbestätigung an; BISON und Bitvavo bieten keinen Support über WhatsApp oder Telegram; Kraken-Logins laufen nur über die eingetippte Adresse id.kraken.com; Coinbase-Mails enden immer auf coinbase.com.

• Erkennen: Anruf ohne vereinbarten Termin, Kontakt über Messenger, Aufforderung zur Installation von Fernwartungssoftware oder zur Preisgabe von 2FA-Codes.
• Richtig reagieren: auflegen, die Nummer nicht zurückrufen, den Anbieter über die in der App hinterlegten Kontaktwege fragen.

Masche 6: Phishing nach der Wiederherstellungsphrase

Bei Self-Custody-Wallets zielt alles auf die 12 oder 24 Wörter. Betrüger geben sich als Support von MetaMask, Phantom, Ledger, Trezor oder Kraken aus und verlangen unter Vorwänden wie „Verifizierung“, „Pflicht-Update“, „Quantum-Update“ oder „Sperrung“ die Eingabe der Phrase auf einer Website, in einer App oder per Brief. Ledger formuliert es so: „Never share the 24 words … under any circumstances.“ Gefälschte Wallet-Apps zeigen eine erfundene Fehlermeldung und fragen dann die Wörter ab; Trezor weist darauf hin, dass es keine Mobile-Apps gibt, die mit Trezor-Hardware arbeiten. Der schwerste Fall des Jahres war kein Phishing, sondern eine manipulierte Browser-Erweiterung: Am 24. Dezember 2025 gelangte eine kompromittierte Version 2.68 von Trust Wallet in den Chrome Web Store; laut Hersteller waren 2.520 Adressen betroffen, rund 8,5 Millionen US-Dollar flossen ab, die Mobile-App war nicht betroffen.

• Erkennen: jede Aufforderung, die Wörter einzugeben oder zu nennen; dringende Betreffzeilen; Links aus E-Mails, SMS oder Suchanzeigen statt der getippten Herstelleradresse.
• Apps und Erweiterungen nur über die auf der Hersteller-Website verlinkten Store-Einträge laden; Ledger kontaktiert Nutzer nicht per Direktnachricht, MetaMask nie außerhalb des Help-Centers.

Ratgeber: Seed-Phrase sichern

Masche 7: Signaturen, Approvals und Wallet-Drainer in DeFi

Wer in Ethereum- oder Solana-Apps unterwegs ist, wird nicht nach der Phrase gefragt, sondern nach einer Unterschrift. Phishing-Seiten lassen die Wallet verbinden und eine Transaktion genehmigen, die den sofortigen Abfluss der Guthaben autorisiert. Europol beschreibt diese „Cryptocurrency Drainer“ 2026 als ausgereiftes Crime-as-a-Service-Geschäft. Varianten: ein unbekannter Token erscheint in der Wallet und lässt sich angeblich nur über eine Drittseite tauschen; „Claim“-, „Staking“- oder „Auszahlungs“-Seiten verlangen eine Signatur; Fake-Airdrops und Fake-Token mit Namen echter Coins, aber anderer Contract-Adresse (Bitvavo-Hilfe vom 13. August 2026). Dazu kommt die Adressvergiftung: Angreifer erzeugen eine Adresse, die deiner an Anfang und Ende gleicht, senden eine wertlose Transaktion, und wer später aus der Historie kopiert, schickt an den Täter. MetaMask blendet solche Transaktionen inzwischen aus und warnt.

• Erkennen: unbekannte Token oder Null-Transaktionen in der Historie, Signaturanfragen ohne erkennbaren Zweck, Ticker mit Tippfehlern (USDCC, BTTC), Token-Adresse weicht von der offiziellen ab.
• Schutz: Adresse vollständig vergleichen statt nur Anfang und Ende, erteilte Freigaben regelmäßig widerrufen, für Experimente eine separate Wallet mit kleinem Guthaben nutzen.

Masche 8: Jobs, „Tasks“, Fernwartung, QR-Codes und gefälschte Hardware

Vier Varianten, die Polizei und BaFin 2025 und 2026 eigens beschrieben haben:

• Task Scamming: Angebliche Personalvermittler bieten per Messenger einfache Nebenjobs (Hotels bewerten, Videos liken). Nach kleinen Auszahlungen sollen Opfer selbst Geld einzahlen, oft über Krypto-Apps, und Ausweisdaten oder ein Video-Ident liefern, mit denen Täter Konten oder Kredite im Namen des Opfers eröffnen (Polizeiliche Kriminalprävention, 10. Dezember 2025; Verbraucherzentrale, 7. August 2026).
• Fernwartungssoftware: Wer dich bittet, AnyDesk oder TeamViewer zu installieren, um „die Handelssoftware einzurichten“ oder ein Krypto-Konto zu eröffnen, will Zugangsdaten und Onlinebanking. Die BaFin nennt Hilfe bei der Kontoeröffnung bei einer Kryptobörse „sehr wahrscheinlich Betrug“.
• Quishing: Manipulierte QR-Codes auf Parkautomaten, Ladesäulen, Strafzetteln oder in Briefen angeblicher Banken führen auf gefälschte Login-Seiten (Polizeiliche Kriminalprävention, 16. Oktober 2026).
• Gefälschte Hardware-Wallets: Ein Gerät mit beiliegender, bereits ausgefüllter Wortliste oder voreingestellter PIN ist manipuliert. Ledger: „A legitimate Ledger device never comes with a recovery phrase or PIN code pre-configured. Ever.“ Kaufe nur beim Hersteller oder autorisierten Händlern.

In zwei Minuten prüfen, ob ein Anbieter echt ist

Bevor Geld fließt, prüfst du den Anbieter, nicht die Marke, sondern den Firmennamen aus dem Impressum:

• BaFin-Unternehmensdatenbank: Alle Unternehmen mit Erlaubnis, Notifizierung oder Repräsentanz in Deutschland. Kein Treffer bei einem Anbieter, der „BaFin-reguliert“ behauptet, ist ein Ausschlusskriterium.
• BaFin-Warnmeldungen: tagesaktuelle Liste der Seiten, vor denen die BaFin nach § 10 Absatz 7 Kryptomärkteaufsichtsgesetz oder § 37 Absatz 4 Kreditwesengesetz warnt.
• ESMA-Register: EU-weit zugelassene Kryptowerte-Dienstleister (CASPs) und ein Register nicht konformer Anbieter; seit dem 1. Juli 2026 darf in der EU niemand mehr ohne MiCA-Zulassung Kryptowerte-Dienstleistungen anbieten, in Deutschland galt die Frist schon zum 31. Dezember 2025.
• BaFin-Verbrauchertelefon 0800 2 100 500 (kostenfrei, Montag bis Freitag 8 bis 18 Uhr) für die Frage, ob ein Anbieter zugelassen ist.
• Fake-Check Geldanlage der Verbraucherzentralen für eine anonyme Ersteinschätzung eines Angebots.
• Impressum, Handelsregister und Domainalter prüfen: Eine Plattform, deren Domain wenige Wochen alt ist und deren Impressum eine fremde Firma nennt, ist keine Börse.

Alle 19 geprüften Anbieter im Börsen-Vergleich

Wenn es passiert ist: Die ersten Stunden

Die Polizeiliche Kriminalprävention hat am 22. Oktober 2026 eine Checkliste für den Ernstfall bei Cybertrading-Betrug veröffentlicht. Die Reihenfolge:

• Zahlungen stoppen, auch keine „Gebühren“ oder „Steuern“ für angebliche Auszahlungen; Kontakt zu den Tätern abbrechen.
• Bank oder Zahlungsdienstleister informieren, Karten und Online-Banking bei Datendiebstahl sofort sperren (Sperrnotruf 116 116), Zugangsdaten ändern.
• Anzeige erstatten: online über die Onlinewache der Polizei deines Bundeslands oder bei jeder Dienststelle; Screenshots, Chatverläufe, Rufnummern, IBANs und Wallet-Adressen sichern.
• Börsenkonto betroffen: sofort über das offizielle Formular melden (Kraken-Support-Formular, fraud@bitvavo.com, Bitpanda-Helpdesk, security@coinbase.com). Self-Custody-Wallet kompromittiert: Restguthaben sofort in eine neue Wallet mit neuer Phrase verschieben; MetaMask, Phantom und Trust Wallet können Guthaben nicht zurückholen.
• Keine Recovery-Dienste beauftragen. Die BaFin holt kein Geld zurück, und niemand Seriöses verlangt dafür eine Vorauszahlung.
• Bei unerwarteten Geldeingängen nichts weiterleiten: Wer fremdes Geld weiterleitet, macht sich als Finanzagent strafbar (Verbraucherzentrale, 7. August 2026).

Der rechtliche Rahmen in Kürze

Betrug nach § 263 Strafgesetzbuch wird mit Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe bestraft, in besonders schweren Fällen mit bis zu zehn Jahren. Wer in der EU Kryptowerte-Dienstleistungen anbietet, braucht seit dem 30. Dezember 2024 eine Zulassung nach der MiCA-Verordnung; die Übergangsfrist für Altanbieter endete in Deutschland am 31. Dezember 2025, EU-weit am 1. Juli 2026. Die BaFin ist in Deutschland für Zulassung und Aufsicht zuständig und warnt öffentlich vor unerlaubten Anbietern. Unaufgeforderte Werbeanrufe für Anlageprodukte sind laut BaFin meist verboten, Pump-and-Dump-Empfehlungen in Chatgruppen laut BKA illegale Marktmanipulation.

Wichtiger Hinweis

Dieser Artikel fasst Veröffentlichungen von BaFin, BKA, Polizeilicher Kriminalprävention, Verbraucherzentralen, BSI, Europol und den Sicherheitsseiten der Anbieter zusammen (Stand 25. Oktober 2026). Er ersetzt keine Rechtsberatung. Neue Warnungen findest du unter Aktuelles und direkt auf bafin.de.