BaFin-Sammelwarnung 2026: § 32 KWG-Verstoß – was Geschädigte wissen sollten

Die Bundesanstalt für Finanzdienstleistungsaufsicht hat am 13 Februar 2026 eine BaFin-Sammelwarnung zu rund fünfzig nahezu identischen Websites veröffentlicht. Diese Plattformen — darunter abronexta[.]de, finanzfokusai[.]de und sicherwert24[.]de — werden allesamt ohne Erlaubnis nach § 32 KWG betrieben. Sie sind Teil einer industriell organisierten Lead-Generation-Infrastruktur. Wer dort Daten eingegeben oder Gelder überwiesen hat, hat konkrete Schadensersatzansprüche.

Viele Betroffene suchen nach Antworten: Bin ich von der BaFin-Sammelwarnung betroffen? Was bedeutet es, dass meine Plattform kein Impressum hatte? Kann ich meine Daten oder mein Geld zurückfordern? Insofern richtet sich dieser Artikel an Personen, die über eine der fünfzig gewarnten Domains oder eine strukturell vergleichbare Website kontaktiert wurden und nun rechtliche Klarheit suchen.

Was regelt § 32 KWG — und warum verstößt die BaFin-Sammelwarnung 2026 dagegen?

§ 32 Abs 1 KWG verbietet das Betreiben von Bankgeschäften und Finanzdienstleistungen im Inland ohne schriftliche BaFin-Erlaubnis. Diese Norm ist ein Schutzgesetz im Sinne von § 823 Abs 2 BGB. Deshalb begründet jeder Verstoß dagegen einen unmittelbaren zivilrechtlichen Schadensersatzanspruch — ohne dass ein Betrugsnachweis im strafrechtlichen Sinne erforderlich wäre. Die BaFin hat mit der Sammelwarnung festgestellt, dass keiner der erfassten Anbieter über eine solche Erlaubnis verfügt.

Zugleich liegt bei vielen dieser Plattformen ein Verstoß gegen DSGVO Art 6 vor. Die Weitergabe von Nutzerdaten an Betreiber unerlaubter Handelsplattformen ohne Rechtsgrundlage ist eine eigenständige Datenschutzverletzung und begründet nach DSGVO Art 82 Schadensersatzansprüche. Daher ist auch eine Person, die lediglich ein Kontaktformular ausgefüllt hat, ohne anschließend Geld einzuzahlen, möglicherweise anspruchsberechtigt.

Welche Erlaubnislücke zeigt die BaFin-Sammelwarnung 2026?

Das verbindende Merkmal der fünfzig gewarnten Plattformen ist ihr Einsatz von Domain-Generation-Algorithmen. Deutsche Wörter werden mit Trading-Begriffen und Suffixen wie „-ai“, „-pro“, „-edge“ oder „-offizielle“ kombiniert. Sicherheitsforscherinnen und -forscher erkennen darin ein Zeichen professionell organisierter, international vernetzter Betrugsinfrastruktur. Zudem verzichten sämtliche Websites auf ein Impressum und nutzen Anonymisierungsdienste bei der Domain-Registrierung.

Diese Erlaubnislücke verschiebt den Haftungsfokus auf Dritte. Zahlungsdienstleister, die Transaktionen an diese Plattformen ausgeführt haben, ohne Warnsignale zu beachten, können nach §§ 675, 280 BGB für Sorgfaltspflichtverletzungen haftbar gemacht werden. Ferner können Social-Media-Plattformen und Werbetechnologie-Anbieter nach dem Digital Services Act in Anspruch genommen werden, sofern sie trotz Kenntnis der Warnlage nicht reagiert haben. Daher empfiehlt sich eine genaue Prüfung aller genutzten Zahlungswege.

Was stellt die BaFin-Sammelwarnung zu den 50 Websites fest – und was nicht?

Die BaFin hat mit ihrer Sammelwarnung ausschließlich das Fehlen der Erlaubnis nach § 32 KWG dokumentiert. Sie hat die Plattformen somit als unerlaubte Anbieter eingestuft, jedoch nicht als Betrüger im strafrechtlichen Sinne qualifiziert. Diese Bewertung bleibt den Strafverfolgungsbehörden vorbehalten. Allerdings ist die BaFin-Sammelwarnung rechtlich bedeutsam: Sie kann in zivilrechtlichen Verfahren als öffentlich-rechtliche Feststellung als Indizbeweismittel herangezogen werden.

Nach Darstellung von Sicherheitsforscherinnen und -forschern weisen diese fünfzig Domains dasselbe technische Fingerprint auf wie bekannte internationale Betrugsinfrastrukturen aus Südostasien. Dennoch fehlt bislang ein behördlich bestätigter Durchschlagsbeweis für eine einheitliche Täterstruktur. Trotzdem kann dieser Nachweis im Rahmen einer zivilrechtlichen Klage durch Sachverständige erbracht werden, was die Position geschädigter Anleger in einem Gruppenverfahren stärken würde.

Welche forensischen Ansatzpunkte ergeben sich bei den BaFin-gewarnten Plattformen?

Wer über eine der gewarnten Domains Geld eingezahlt hat, sollte zunächst alle verfügbaren Belege sichern: Screenshots der Website, Kontoauszüge mit Überweisungen, alle E-Mails und Chat-Nachrichten sowie etwaige Vertragsunterlagen oder AGBs. Sodann bilden diese Materialien die Grundlage für eine Blockchain-Forensik, sofern Kryptowährungen transferiert wurden. Die methodische Vorgehensweise erläutert der Leitfaden zu Blockchain-Forensik bei Krypto-Betrug auf anwalt.de systematisch.

Ergänzend lohnt sich die Überprüfung der genutzten Domain im Kryptoschaden-Warnungsregister auf kryptoschaden.de, das Warnmeldungen der BaFin und weiterer EU-Aufsichtsbehörden zusammenführt. Ein positiver Treffer dort liefert zudem einen unmittelbaren Beleg für die Unerlaubtheit der Plattform — und damit für den Schutzgesetzvorstoß nach § 823 Abs 2 BGB.

Was bedeutet die BaFin-Sammelwarnung 2026 für Personen mit Kontakt zu diesen Plattformen?

Wer lediglich Daten eingetragen hat, sollte die betroffenen Konten und Telefonnummern auf ungewöhnliche Aktivitäten prüfen und bei Missbrauch sofort Ansprüche nach DSGVO Art 82 geltend machen. Wer Geld eingezahlt hat und keine Auszahlung erhält, sollte keine weiteren Einzahlungen vornehmen. Insbesondere Aufforderungen, Gebühren für angebliche Steuer- oder Freischaltungszwecke zu zahlen, sind ein klares Warnsignal für ein laufendes Nachschussprinzip. Jede weitere Zahlung erhöht den Schaden und erschert somit die spätere Rückforderung.

Der rechtliche Weg führt über eine Strafanzeige bei der zuständigen Landeszentralstelle Cybercrime, gefolgt von einer zivilrechtlichen Klage auf Rückforderung. Die Verjährungsfrist beträgt nach § 195 BGB grundsätzlich drei Jahre ab Kenntnis. Daher lohnt sich anwaltliches Handeln auch noch Monate nach dem Schadenseintritt. Einen praxisnahen Einstieg in die Rückforderung bei unerlaubten Anbietern bietet der Artikel zu Rückforderung von Kryptowerten bei unerlaubten Anbietern auf anwalt.de.

Anna Orlowa, LL.M., Rechtsanwältin und Fachanwältin für Bank- und Kapitalmarktrecht, zertifizierte Spezialistin für Kryptowerte und Steuern