alvexo.io (Z69): Unerlaubte Bank- und Finanzdienste Mai 2026

Was die Bundesfinanzaufsicht über alvexo.io festhält

Die Bundesanstalt für Finanzdienstleistungsaufsicht hat ihre Warnung gestützt auf § 37 Absatz 4 Kreditwesengesetz veröffentlicht. In der behördlichen Mitteilung heißt es, die Betreiber der Website alvexo.io böten Bankgeschäfte und/oder Finanzdienstleistungen an, ohne dass die hierfür in Deutschland zwingend erforderliche Erlaubnis der zuständigen Aufsichtsstelle vorliege. Die Betreiber würden von dieser Stelle nicht beaufsichtigt. Weder Name noch Sitzstaat der Betreiber werden in der Meldung genannt, weil beides unbekannt ist. Diese institutionelle Stille ist für sich genommen ein gewichtiges Warnsignal: Seriöse Finanzdienstleister legen ihre Identität offen, weil sie von ihrer Regulierungsbehörde dazu verpflichtet sind und die Konsequenzen einer Nichtoffenbarung regulatorische Sanktionen nach sich ziehen.

Das Kreditwesengesetz sowie das Wertpapierinstitutsgesetz und das Kapitalanlagegesetzbuch verlangen für jede gewerbliche Tätigkeit im deutschen Finanzmarkt eine ausdrückliche Genehmigung. Wer ohne diese Erlaubnis tätig wird, begeht eine Ordnungswidrigkeit oder — je nach Schwere und Vorsatz — eine Straftat nach § 54 Kreditwesengesetz. Die zuständige Stelle kann den Geschäftsbetrieb untersagen, die sofortige Einstellung anordnen und Insolvenzverfahren einleiten. Das Geld der Anleger ist in einem solchen Verfahren regelmäßig nicht durch gesetzliche Einlagensicherungssysteme geschützt, weil diese ausschließlich für zugelassene Kreditinstitute gelten. Anleger, die bei unerlaubten Anbietern eingezahlt haben, sind damit im Schadensfall in einer deutlich schlechteren Ausgangsposition als Kunden regulierter Banken und Wertpapierhäuser.

Die öffentliche Warnung ist nicht die einzige Reaktionsmöglichkeit der Aufsichtsbehörde. In der Praxis kann die Behörde dem Betreiber die Einstellung des Geschäftsbetriebs aufgeben, Vermögenswerte einfrieren lassen und — soweit der Betreiber identifizierbar ist — Bußgelder oder strafrechtliche Anzeigen initiieren. Da der Betreiber von alvexo.io jedoch anonym ist, beschränken sich die unmittelbar verfügbaren Maßnahmen auf die öffentliche Warnung und internationale Rechtshilfemaßnahmen. Der Informationsaustausch zwischen europäischen Aufsichtsbehörden ist dabei ein wichtiges Instrument: Die ESMA-Plattform für den übernationalen Datenaustausch ermöglicht es nationalen Stellen, Hinweise zu grenzüberschreitend tätigen Anbietern zu teilen und koordinierte Untersagungsverfahren einzuleiten.

„Bankgeschäfte, Finanzdienstleistungen und Kryptowerte-Dienstleistungen dürfen in Deutschland nur mit einer Erlaubnis der Aufsichtsbehörde angeboten werden.“ — Bundesanstalt für Finanzdienstleistungsaufsicht, gestützt auf § 37 Abs. 4 KWG

Warum der Name alvexo.io Anleger in die Irre führen kann

Der Begriff „Alvexo“ ist im regulierten Finanzmarkt nicht unbekannt. Die zypriotische Gesellschaft VPR Safe Financial Group Ltd betrieb über viele Jahre den Forex-CFD-Broker Alvexo, reguliert durch die Cyprus Securities and Exchange Commission (CySEC) unter der Lizenznummer CIF 236/14. Im Oktober 2025 bestätigte die CySEC den Entzug dieser Lizenz; das Unternehmen hat seine Zulassung zurückgegeben. Die Domains alvexo.eu, alvexo.de und alvexo.com gehörten zu diesem historischen, nunmehr lizenzverlustigen Unternehmensverbund — alvexo.io ist davon vollständig zu trennen. Ob die Betreiber von alvexo.io den Markennamen bewusst gewählt haben, um von der früheren Bekanntheit des regulierten Vorgängers zu profitieren, lässt sich ohne Kenntnis der Betreiberidentität nicht abschließend feststellen. Aus juristischer Perspektive ist die Ähnlichkeit bemerkenswert und für geschädigte Anleger rechtlich relevant.

Wer in gutem Glauben davon ausging, mit dem regulierten Alvexo-Verbund zu kontrahieren, kann unter Umständen Schadensersatzansprüche wegen arglistiger Täuschung geltend machen — sofern der Betreiber identifiziert werden kann. Dieser Irrtum über die Identität des Vertragspartners ist rechtlich relevant: § 123 BGB erlaubt die Anfechtung eines Vertrags, der durch arglistige Täuschung herbeigeführt wurde. Im vorliegenden Fall wäre die Täuschung die falsche Erweckung des Eindrucks, es handele sich um einen regulierten, bekannten Anbieter. Ein solcher Anfechtungsgrund setzt jedoch voraus, dass ein Vertragsschluss überhaupt zustande gekommen ist — was bei einem Anbieter ohne Erlaubnis bereits zweifelhaft sein kann, weil der Vertrag gegen ein gesetzliches Verbot verstoßen könnte und nach § 134 BGB nichtig wäre.

Diese Konstellation — ein bekannter Markenname, eine abweichende Top-Level-Domain, ein anonymer Betreiber — wird in der Aufsichtspraxis als „Brand Spoofing“ oder „Nameplate-Fraud“ bezeichnet. Die Täter nutzen das Vertrauen, das Anleger in bekannte Namen setzen, um die erste Skepsis zu überwinden. Gleichzeitig erschwert die Anonymität jede spätere Rückforderung erheblich. Das Schema ist in der Aufsichtspraxis mehrfach dokumentiert: Bekannte Broker-Marken werden von unautorisierten Stellen als Vorlage genutzt, während eine neue, schwerer zuzuordnende Domain registriert wird. Der Anleger sieht einen vertrauten Namen, prüft nicht die Domain-Endung und zahlt ein.

Wie erkenne ich, ob eine Handelsplattform tatsächlich reguliert ist?

Die zuverlässigste Methode ist die direkte Abfrage in der Unternehmensdatenbank der zuständigen Aufsichtsbehörde. Für Deutschland steht das öffentliche Unternehmensregister der Finanzaufsicht zur Verfügung. Dort lässt sich anhand des Unternehmensnamens, der Webadresse oder der angegebenen Lizenznummer prüfen, ob eine gültige Erlaubnis besteht. Ein Zertifikat auf der Website des Anbieters, ein Logo einer Aufsichtsbehörde oder eine angegebene Lizenznummer allein sind kein Beleg — diese Angaben lassen sich fälschen. Entscheidend ist ausschließlich der offizielle Datenbankeintrag der Behörde selbst. Anleger, die auf Nummer sicher gehen wollen, rufen parallel das ESMA-Register ab, das Erlaubnisse aller EU-Aufsichtsbehörden zusammenführt.

Was ist ein anonymer Betreiber — und warum ist das rechtlich so brisant?

Ein anonymer Betreiber ist eine natürliche oder juristische Person, die ihre Identität gegenüber Kunden und Behörden nicht offenlegt. Im regulierten Finanzmarkt ist Transparenz gesetzliche Pflicht: Jeder Anbieter von Finanzdienstleistungen in der EU hat seinen Namen, seinen Sitz und die verantwortlichen Geschäftsführer offenzulegen. Fehlen diese Angaben, liegt regelmäßig ein Verstoß gegen die Zulassungsvoraussetzungen vor. Für Anleger bedeutet Anonymität: Es gibt keinen Zustellungsadressaten für eine Klage, keine natürliche Person, auf deren Vermögen gepfändet werden könnte, und keine Aufsichtsbehörde, die eine Rückzahlung anordnen könnte. Selbst ein obsiegendes Urteil bliebe vollstreckungslos, solange der Betreiber anonym und außerhalb der deutschen Vollstreckungshoheit bleibt.

Welche Sofortmaßnahmen sind nach einer Einzahlung bei alvexo.io angezeigt?

Als erstes gilt es, alle Kommunikation zu sichern: E-Mails, Chat-Verläufe, Kontobewegungen und Screenshots der Plattform mit Zeitstempel und URL in der Adressleiste. Danach sollte unverzüglich die Bank oder der Zahlungsdienstleister kontaktiert werden, um einen Chargeback-Antrag zu prüfen — bei Kartenzahlungen besteht je nach Kartennetz eine Frist von in der Regel 120 Tagen ab Transaktionsdatum. Bei Kryptowährungs-Transfers ist Blockchain-Tracing der zielführende Weg, um Empfängeradressen zu identifizieren und weiterzuverfolgen. Eine Strafanzeige bei der zuständigen Staatsanwaltschaft sichert den Vorgang behördlich ab.

Wie lange dauert ein Rückforderungsverfahren bei unerlaubten Anbietern?

Die Dauer variiert erheblich je nach Zahlungsweg und Kooperationsbereitschaft der beteiligten Intermediäre. Chargeback-Verfahren über Kreditkartennetze dauern typischerweise sechs bis zwölf Wochen. Zivilrechtliche Klageverfahren gegen identifizierte Betreiber nehmen in erster Instanz zwölf bis achtzehn Monate in Anspruch; bei Auslandsberührung deutlich länger. Kryptobasierte Tracing- und Einfrierungsverfahren in Zusammenarbeit mit Strafverfolgungsbehörden können mehrere Jahre dauern, führen jedoch in Einzelfällen zu tatsächlichen Vermögensrückführungen. Je früher gehandelt wird, desto mehr Optionen bleiben offen und desto geringer ist das Risiko, dass Gelder bereits weitertransferiert wurden.

Wie hoch sind die durchschnittlichen Schäden bei unerlaubten Online-Handelsplattformen?

Aktuelle Auswertungen des Bundeskriminalamts und europäischer Strafverfolgungsbehörden zeigen, dass der durchschnittliche Einzelschaden bei sogenannten Investment-Fraud-Plattformen zwischen 15.000 und 50.000 Euro liegt. In qualifizierten Fällen, in denen Betreiber gezielt vermögende Privatanleger angesprochen haben, wurden Einzelschäden von mehreren hunderttausend Euro dokumentiert. Das Gesamtschadenspotenzial einer aktiven Plattform beläuft sich erfahrungsgemäß auf mehrere Millionen Euro, verteilt auf viele Betroffene, die häufig nicht voneinander wissen. Koordinierte Ansprüche können die Verhandlungsposition gegenüber Zahlungsdienstleistern erheblich stärken.

Welche rechtlichen Anspruchsgrundlagen kommen für Geschädigte in Betracht?

Anleger, die bei alvexo.io Geld eingezahlt haben, können je nach Sachverhalt mehrere Anspruchsgrundlagen prüfen lassen. Im Deliktsrecht kommen § 823 Abs. 2 BGB in Verbindung mit § 54 KWG (vorsätzliches unerlaubtes Betreiben von Bankgeschäften) sowie § 826 BGB (vorsätzliche sittenwidrige Schädigung) in Betracht. Daneben sind bereicherungsrechtliche Ansprüche nach § 812 BGB zu prüfen, wenn kein wirksamer Vertrag zustande gekommen ist. Gegenüber Zahlungsdienstleistern können unter bestimmten Umständen Rückbuchungsansprüche entstehen, sofern die Dienstleister Warnhinweise nicht beachtet haben.

Beweissicherung bei anonymen Online-Plattformen: eine strukturierte Übersicht

Betroffene Anleger stehen vor der Aufgabe, ihren Schadensfall gerichtsfest zu dokumentieren, bevor digitale Spuren verloren gehen. Die folgende Tabelle zeigt, welche Beweismittel mit welcher Priorität zu sichern sind und welche rechtliche Relevanz sie haben.

Warum anonyme Betreiber die Rückforderung strukturell erschweren — und wie Blockchain-Tracing helfen kann

Der fehlende Zustellungsadressat ist das zentrale juristische Hindernis bei alvexo.io und vergleichbaren Plattformen. Eine Klage vor deutschen Gerichten setzt eine identifizierte beklagte Partei voraus. Ist der Betreiber anonym, scheitert bereits die Zustellung der Klageschrift. Gleichwohl ist die Situation nicht vollständig ausweglos, weil es mehrere Wege gibt, die Identität eines anonymen Betreibers nachträglich aufzudecken und Vermögenswerte zu sichern.

Erstens können Hosting-Provider und Domain-Registrare im Wege eines Auskunftsanspruchs oder auf Grundlage einer staatsanwaltschaftlichen Ermittlungsmaßnahme zur Herausgabe von Registrierungsdaten verpflichtet werden. Oft hinterlegen Betreiber bei der Domain-Registrierung zumindest technische Kontaktdaten, die einen ersten Anhaltspunkt zur Identität liefern. Zweitens erlaubt Blockchain-Tracing bei Kryptowährungs-Einzahlungen die lückenlose Verfolgung von Transaktionsketten: Wenn eingezahlte Token auf regulierten Kryptobörsen landen, die einer KYC-Pflicht unterliegen, kann die Staatsanwaltschaft im Wege der Rechtshilfe Kontodaten des Empfängers anfordern. Spezialisierte Tracing-Dienstleister setzen hierfür forensische Analyse-Werkzeuge ein, die Transaktionsgraphen visualisieren und Wallet-Cluster identifizieren können.

Drittens ermöglicht die enge Zusammenarbeit mit europäischen Finanzermittlungsbehörden — etwa über Europol, Eurojust oder bilaterale Rechtshilfeabkommen — den grenzüberschreitenden Vermögenszugriff. Wenn ein ausländischer Betreiber identifiziert wurde und in einem Staat ansässig ist, der ein Rechtshilfeabkommen mit Deutschland unterhält, kann ein Arrestbeschluss eines deutschen Gerichts im Ausland vollstreckt werden. Dieser Weg ist langwierig, hat aber in mehreren dokumentierten Fällen zu tatsächlichen Rückführungen geführt.

Für Anleger, die Geld per Kreditkarte oder Banküberweisung eingezahlt haben, ist der Rückbuchungsweg über die Hausbank oder das Kartennetz der unmittelbar umsetzbare erste Schritt. Kreditkartenrückbuchungen nach dem Chargeback-Verfahren von Visa und Mastercard sind bei nachgewiesener Täuschung oder Nichtlieferung einer Dienstleistung grundsätzlich möglich — die Fristen sind dabei strikt zu beachten. Eine frühzeitige anwaltliche Begleitung erhöht die Aussichten erheblich, weil die Formulierung des Chargeback-Antrags rechtlich präzise sein sollte. Banken reagieren auf qualifiziert begründete Anträge erfahrungsgemäß anders als auf formlose Schreiben. Bei SEPA-Überweisungen ist die Situation schwieriger, weil diese nach Ausführung grundsätzlich nicht rückrufbar sind — allerdings kann ein Rückruf binnen fünf Bankarbeitstagen noch durch die Bank initiiert werden, wenn der Auftraggeber unverzüglich handelt und die Bank kooperiert.

• Chargeback-Antrag innerhalb der Kartennetz-Frist stellen (in der Regel 120 Tage ab Transaktionsdatum)
• Strafanzeige bei der zuständigen Staatsanwaltschaft oder beim Polizeipräsidium einreichen
• Meldung bei der Bundesanstalt für Finanzdienstleistungsaufsicht über das Verbraucherformular erstatten
• Blockchain-Adressen sichern und von einem spezialisierten Tracing-Dienstleister analysieren lassen
• Kontakt zu anderen Geschädigten suchen, um einen koordinierten Anspruch aufzubauen
• Anwalt mit Spezialisierung auf Kapitalmarktrecht und Cyberkriminalität mandatieren

Was Anleger jetzt tun können — und was die Kanzlei prüft

REXUS Rechtsanwaltsgesellschaft mbH analysiert für betroffene Anleger zunächst den individuellen Sachverhalt: Zahlungsweg, Zahlungszeitpunkt, Kommunikationsverlauf und verfügbare Anhaltspunkte zur Betreiberidentität. Auf dieser Grundlage wird geprüft, ob ein Chargeback-Verfahren Aussicht auf Erfolg bietet, ob eine Strafanzeige sinnvoll ist und welche zivilrechtlichen Anspruchsgrundlagen im konkreten Fall tragen. Die Prüfung erfolgt auf Basis der gesicherten Unterlagen, die der Mandant vorlegt — die Vollständigkeit der Beweissicherung ist daher von zentraler Bedeutung für das Ergebnis der rechtlichen Bewertung.

Der Weg zur Rückforderung bei anonymen Plattformen ist komplex, aber strukturierbar. Entscheidend ist der Zeitfaktor: Je früher gehandelt wird, desto mehr Optionen stehen offen. Wer wartet, bis das Plattformkonto gesperrt oder die Website offline ist, verliert wertvolle Zeit und Beweismittel. Die Kanzlei prüft darüber hinaus, ob Intermediäre — also Banken, Zahlungsdienstleister oder Kryptobörsen, die am Transfer beteiligt waren — unter bestimmten Voraussetzungen ebenfalls in Anspruch genommen werden können. In der Vergangenheit sind Banken in Einzelfällen für die Durchleitung offensichtlich betrügerischer Zahlungen haftbar gemacht worden, wenn sie Warnzeichen nicht beachtet haben und diese für einen sorgfältigen Zahlungsdienstleister erkennbar gewesen wären.

Anleger, die bereits Erfahrungen mit alvexo.io gemacht haben — ob positive oder negative — sind aufgefordert, sich mit der Kanzlei in Verbindung zu setzen. Jeder Einzelfall liefert Informationen, die anderen Betroffenen nützen können, insbesondere dann, wenn ähnliche Kommunikationsmuster, Einzahlungsmethoden oder Kontaktpersonen erkennbar werden. Eine koordinierte Vorgehensweise mehrerer Geschädigter kann die Verhandlungsposition gegenüber Zahlungsdienstleistern erheblich stärken und den Druck auf Ermittlungsbehörden erhöhen, die Sache mit höherer Priorität zu behandeln.

Die Aufsichtsbehörde führt eine öffentlich zugängliche Datenbank aller in Deutschland zugelassenen Finanzdienstleister. Vor jeder Einzahlung auf eine Handelsplattform sollte dort geprüft werden, ob der betreffende Anbieter registriert ist. Wer eine Plattform nutzen möchte, die im EU-Ausland zugelassen ist, kann das jeweilige Erlaubnisregister der dortigen Aufsichtsbehörde konsultieren — etwa über das ESMA-Register registers.esma.europa.eu, das Zulassungen aus allen EU-Mitgliedstaaten zusammenführt, oder direkt die Unternehmensdatenbank der Finanzaufsicht für in Deutschland zugelassene Institute.

Welche Rolle spielt die Domain-Endung .io bei unerlaubten Finanzanbietern?

Die Top-Level-Domain .io ist ursprünglich für das Britische Territorium im Indischen Ozean reserviert, wird aber seit Jahren von Technologie-Startups und Online-Plattformen weltweit genutzt. Für unerlaubte Finanzanbieter hat die .io-Domain einen strategischen Vorteil: Die Registrierungsvoraussetzungen sind weniger streng als bei nationalen Domains wie .de oder .at, und die Registrierungsinfrastruktur ist schwerer zu greifbaren Rechtspersonen zuzuordnen. Hinzu kommt, dass .io-Domains oft eine moderne, technologieaffine Anmutung haben, die bei bestimmten Zielgruppen Vertrauen erzeugt. Anleger sollten wissen, dass eine nationale Aufsichtsbehörde keinerlei Befugnisse gegenüber dem Registrar einer .io-Domain hat. Für einen Auskunftsanspruch gegenüber dem Domain-Registrar sind internationale Rechtshilfemechanismen oder zivilrechtliche Verfahren im jeweiligen Registrar-Sitzstaat erforderlich.

Die Wahl einer .io-Domain durch Betreiber, die einen bereits bekannten Markennamen wie „Alvexo“ verwenden, ist aus juristischer Sicht besonders bemerkenswert. Sie legt nahe, dass die Betreiber die Domain-Endung bewusst so wählen wollten, dass sie einerseits eine Assoziation mit dem Original erzeugt, andererseits aber nicht mit der offiziellen Präsenz verwechselt werden kann. Dies ist ein klassisches Merkmal von Nameplate-Fraud: Die Ähnlichkeit ist groß genug, um Vertrauen zu erzeugen, aber die Abweichung ist groß genug, um bei einer rechtlichen Auseinandersetzung auf Unterscheidbarkeit zu pochen. Für Anleger, die Schadensersatzansprüche auf markenrechtlicher Grundlage verfolgen wollen, ist diese Unterscheidung ein relevantes Argument — der Markenrechtsinhaber des Namens „Alvexo“ könnte gegen die .io-Domain auf Grundlage des Markengesetzes vorgehen.

Welche Rolle spielen Banken und Zahlungsdienstleister bei der Haftung?

Eine Frage, die in der anwaltlichen Praxis zunehmend Bedeutung gewinnt, ist die Haftung von Intermediären — also Banken, Zahlungsdienstleistern und Kryptobörsen — für die Durchleitung von Geldern zu unerlaubten Plattformen. In Deutschland hat der Bundesgerichtshof in mehreren Entscheidungen zur Bankenhaftung bei Überweisungsbetrug Grundsätze entwickelt, nach denen eine Bank dann zur Schadensersatzleistung verpflichtet sein kann, wenn sie evident betrügerische Transaktionen nicht gestoppt hat, obwohl sie aufgrund konkreter Warnhinweise erkennen konnte, dass die Überweisung für betrügerische Zwecke genutzt wird. Dieses Prinzip ist auf den Bereich des Anlagebetrugs über nicht lizenzierte Plattformen übertragbar, wenn die Zahlungsströme eindeutige Merkmale einer Betrugsstruktur aufweisen.

Für Zahlungsdienstleister aus dem Bereich der elektronischen Geldtransfers gilt: Das Zahlungsdiensteaufsichtsgesetz verpflichtet sie zur Einrichtung wirksamer Systeme zur Verhinderung von Geldwäsche und Terrorismusfinanzierung. Wenn eine nicht lizenzierte Handelsplattform eindeutig als solche erkennbar war und der Zahlungsdienstleister dennoch Transaktionen abgewickelt hat, kann dies im Einzelfall eine Verletzung dieser Pflichten darstellen. Kryptobörsen, die als regulierte VASP im Rahmen der europäischen MiCA-Verordnung tätig sind, unterliegen seit 2024 verschärften KYC- und AML-Anforderungen. Wenn Gelder aus einem Betrugsfall nachweislich auf einer regulierten Kryptobörse eingegangen sind, kann die Staatsanwaltschaft über einen richterlichen Beschluss die Identität des Kontoinhabers anfordern und eine Kontosperrung erwirken. Für Opfer von Kryptowährungs-basiertem Anlagebetrug ist die Identifizierung solcher Exchange-Kontakte daher ein zentrales Ziel der forensischen Analyse.

Darüber hinaus ist zu beachten, dass die Verjährungsfrist für deliktische Ansprüche gemäß § 195 BGB in Verbindung mit § 199 BGB drei Jahre beträgt, beginnend mit dem Schluss des Jahres, in dem der Geschädigte von dem Schaden und der Person des Schädigers Kenntnis erlangt hat oder ohne grobe Fahrlässigkeit hätte erlangen können. Da der Betreiber von alvexo.io anonym ist, beginnt diese Frist in der Praxis erst zu laufen, wenn der Betreiber identifiziert wurde. Das bedeutet, dass Anleger auch dann noch Ansprüche geltend machen können, wenn zwischen der Einzahlung und der Identifizierung des Betreibers mehrere Jahre vergangen sind.

Vollständige Übersicht:
Alle BaFin-, FCA-, FINMA- und FMA-Warnungen 2026 im Vergleich

Verfasserin Anna Orlowa, LL.M. — REXUS Rechtsanwaltsgesellschaft mbH Stuttgart