Die BaFin-Warnung Mai 2026 umfasst eine dichte Abfolge: Zwischen dem 4. und dem 8. Mai 2026 hat die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) in vier Werktagen sechzehn Plattformen öffentlich gewarnt — darunter sieben Klon-Domains etablierter Finanzunternehmen. Erstmals stützte die Behörde zwei dieser Warnungen ausdrücklich auf § 10 Abs. 7 KMAG (Kryptomärkteaufsichtsgesetz), den deutschen Vollzugsrahmen der MiCAR-Verordnung (EU-VO 2023/1114). Für Anleger, die Gelder an eine der betroffenen Adressen übertragen haben, entstehen damit konkrete zivilrechtliche und strafprozessuale Handlungsoptionen.

BaFin Warnung Mai 2026: Was ist passiert?

Den Auftakt der Welle bildeten am 4. Mai 2026 sechs Warnungen, gefolgt von fünf weiteren am 7. Mai 2026 und abermals fünf am 8. Mai 2026. Die Plattformen agierten in unterschiedlichen Betrugsmustern: Identitätsdiebstahl gegen lizenzierte Unternehmen, vorbörsliche Aktienangebote ohne gebilligten Prospekt, KI-gebrandete Kryptodienste ohne CASP-Zulassung sowie klassische Tagesgeld- und Festgeldangebote durch nicht registrierte Betreiber.

Unter den gelisteten Domains finden sich bitrich.ai, emsmobility-gmbh.com, eurotrust-loans.com, helmorixy.org sowie eine Plattformreihe mit sieben Klon-Domains (u. a. parex-am.com, obsidian-group.org, vertex-market.com, aspenholdingsltd.com, tradingessentials.pro, eurocorporate-asset-management.com, wertborse.com). Am 8. Mai 2026 kamen beehivecapital.pro, nordstate.org, gppm-gmbh.com, lukas-falke.de und finanzplanungwittenberg.com hinzu. Gemeinsam haben alle Anbieter, dass ihnen die nach § 32 KWG erforderliche Erlaubnis fehlt — bei Kryptowertdienstleistern zusätzlich die CASP-Zulassung nach MiCAR.

Als rechtstechnische Besonderheit zitierte die BaFin bei nordstate.org (Solar-Direktinvestment) und beehivecapital.pro (FCA-Fälschung) neben § 37 Abs. 4 KWG erstmals in dieser Warnwelle ausdrücklich § 10 Abs. 7 KMAG. Eine Analyse dieser KMAG-Premiere findet sich in der Dokumentation der BaFin-Warnungen vom 08.05.2026 auf kryptoschaden.de.

Welche Norm greift?

§ 10 Abs. 7 KMAG verpflichtet jeden, der in der EU gewerblich Kryptowerte verwahrt, tauscht oder verwaltet, zu einer förmlichen Zulassung als CASP (Crypto-Asset Service Provider). Die Norm ist der innerstaatliche Vollzug von Art. 59 ff. MiCAR (EU-VO 2023/1114). Wer ohne diese Zulassung tätig wird, verstößt gegen ein gesetzliches Verbot im Sinne von § 134 BGB, was die Nichtigkeit der Vereinbarungen und Ansprüche auf Herausgabe erhaltener Gelder auslöst.

§ 32 KWG regelt die allgemeine Erlaubnispflicht für Bankgeschäfte und Finanzdienstleistungen. Ein Verstoß ist nach § 54 KWG strafbewehrt und begründet zugleich Schadensersatzansprüche nach § 823 Abs. 2 BGB, da die Erlaubnispflicht ein Schutzgesetz zugunsten der Anleger ist.

§ 263 StGB (Betrug) ist einschlägig, wenn die Plattformbetreiber über ihre Identität, ihre Lizenz oder die Investitionsstrategie getäuscht haben — also in praktisch allen hier erfassten Fällen. Bei automatisierten Transaktionssystemen tritt ergänzend § 263a StGB (Computerbetrug) hinzu. Beide Tatbestände erlauben nach § 111e StPO die staatsanwaltliche Sicherung von Vermögenswerten noch vor Anklageerhebung, sofern ein dringender Tatverdacht besteht.

Die strafrechtliche Einziehung erfolgt auf Grundlage von § 73 StGB (Einziehung von Taterträgen). Beim Fehlen direkter Vermögenszuordnung greift die Wertersatzeinziehung. Sicherte die Staatsanwaltschaft bereits Wallets oder Konten, können Geschädigte ihre Ansprüche nach § 111e StPO im laufenden Verfahren anmelden. Eine detaillierte Übersicht der Warnungen vom Vortag bietet die Dokumentation der BaFin-Warnungen vom 07.05.2026 auf kryptoschaden.de.

Was bedeutet das für Geschädigte?

• Zivilrechtliche Rückforderung: Zahlungen an nicht lizenzierte Plattformen sind nach § 134 BGB i. V. m. § 32 KWG bzw. § 10 Abs. 7 KMAG als Leistung ohne Rechtsgrund zu qualifizieren. Bereicherungsrechtliche Ansprüche nach § 812 BGB können gegenüber Plattformbetreibern und gegebenenfalls Intermediären geltend gemacht werden.
• Deliktische Ansprüche: Ein Schaden durch arglistige Täuschung begründet Ansprüche nach § 826 BGB (sittenwidrige Schädigung) sowie nach § 823 Abs. 2 BGB i. V. m. § 32 KWG oder § 10 Abs. 7 KMAG. Diese Ansprüche können gegen Haupttäter wie auch gegen bewusst mitwirkende Hintermänner gerichtet werden.
• Strafprozessuale Sicherung: Durch eine Strafanzeige nach § 158 StPO mit Blockchain-forensischer Dokumentation der Transaktionskette können Staatsanwaltschaften Vermögenswerte nach § 111e StPO frühzeitig sichern. Solche Sicherungsbeschlüsse hindern Täter daran, Kryptowerte abzuziehen.
• Stellung als Verletzter: Im Falle einer bereits laufenden Ermittlung oder einer bereits erfolgten Beschlagnahme können Geschädigte nach § 406e StPO Akteneinsicht beantragen und ihre Rechte als Verletzte wahrnehmen.

Wer Gelder an eine der sechzehn gelisteten Plattformen überwiesen hat, sollte den Zahlungsnachweis, etwaige Kontoauszüge und die vollständige Korrespondenz sichern. Jede Dokumentation stärkt die verfahrensrechtliche Position und ist Grundlage für eine Blockchain-Analyse.

Welche Schritte sind jetzt sinnvoll?

1. Beweise sichern: Alle Kontoeröffnungsunterlagen, Kommunikationsverläufe (E-Mail, Chat, Telefonprotokolle), Transaktionsbestätigungen und Screenshots der Plattform sollten unverzüglich gesichert werden — bevorzugt in unveränderlicher Form (z. B. PDF/A mit Zeitstempel).
2. Strafanzeige erstatten: Eine Strafanzeige nach § 158 StPO bei der zuständigen Staatsanwaltschaft oder beim BKA (ZAC) setzt das behördliche Ermittlungsverfahren in Gang. Je früher die Anzeige eingeht, desto größer ist die Chance, dass Vermögenswerte nach § 111e StPO gesichert werden können, bevor sie transferiert werden.
3. Blockchain-Forensik beauftragen: Die Rückverfolgung von Kryptotransaktionen auf der Chain erlaubt es, Empfängeradressen, Mixer-Dienste und Exchange-Eingänge zu identifizieren. Diese Daten sind Grundlage für behördliche Auskunftsersuchen an CASP-Anbieter nach § 111f StPO.
4. Ansprüche im Strafverfahren anmelden: Sobald Vermögenswerte durch die Staatsanwaltschaft gesichert sind, können Geschädigte ihre zivilrechtlichen Forderungen als Verletzte im Sinne von § 111e StPO und § 459h StPO geltend machen. Bei erfolgter Einziehung fließen Erlöse anteilig zurück.
5. Anwaltliche Beratung einholen: Die Geltendmachung von Ansprüchen im internationalen Kontext setzt Kenntnisse des deutschen Strafprozessrechts, des Zivilrechts sowie des KWG- und KMAG-Gefüges voraus. Eine frühzeitige rechtliche Prüfung klärt, welche Verfahren parallel sinnvoll sind.

Häufige Fragen

Was bedeutet eine BaFin-Warnung für bereits gezahlte Gelder?

Eine BaFin-Warnung ist keine Rückzahlungsanordnung, sie ist aber ein behördlicher Hinweis auf fehlende Erlaubnis nach § 32 KWG bzw. § 10 Abs. 7 KMAG. Sie bestätigt den Tatbestand des unerlaubten Betriebs und stärkt damit zivilrechtliche Ansprüche nach § 823 Abs. 2 BGB sowie den Anfangsverdacht im Sinne von § 152 StPO. Geschädigte können auf Basis der Warnung sofort eine Strafanzeige mit konkretem Normbezug erstatten.

Was ist die KMAG-Premiere und warum ist § 10 Abs. 7 KMAG relevant?

Die BaFin hat am 8. Mai 2026 bei den Warnungen zu nordstate.org und beehivecapital.pro erstmals in dieser Warnwelle ausdrücklich § 10 Abs. 7 KMAG als Interventionsgrundlage neben § 37 Abs. 4 KWG benannt. Das KMAG (Kryptomärkteaufsichtsgesetz) ist der deutsche Vollzug der MiCAR-Verordnung (EU-VO 2023/1114). Die ausdrückliche Berufung auf diese Norm signalisiert, dass die BaFin Kryptowertdienstleistungen ohne CASP-Zulassung künftig eigenständig auf KMAG-Basis verfolgt — unabhängig davon, ob auch ein KWG-Verstoß vorliegt.

Kann ich Ansprüche geltend machen, wenn die Plattform im Ausland saß?

Ja. Das deutsche Strafrecht gilt nach § 7 StGB auch für Taten, die sich gegen Inländer richten, unabhängig vom Tatort. Zudem ermöglicht die EU-Richtlinie 2024/1260 über Asset Recovery die grenzüberschreitende Sicherung und Einziehung von Vermögenswerten innerhalb der EU. Für außereuropäische Fälle bestehen bilaterale Rechtshilfeverträge. Entscheidend ist die frühzeitige Dokumentation der Transaktionskette.

Welche Frist gilt für die Strafanzeige?

Betrug nach § 263 StGB verjährt grundsätzlich in fünf Jahren ab Kenntnis der Tat; bei besonders schweren Fällen beträgt die Verjährungsfrist zehn Jahre. Für den zivilrechtlichen Schadensersatzanspruch gilt die dreijährige Regelverjährung nach § 195 BGB, die mit dem Schluss des Jahres der Kenntniserlangung beginnt. Eine frühzeitige Strafanzeige hemmt den Lauf der Verjährung für zivilrechtliche Ansprüche nicht automatisch, schafft aber die prozedurale Grundlage für eine spätere Vermögensabschöpfung.

Einordnung

Die BaFin-Welle vom 4. bis 8. Mai 2026 ist kein Einzelfall, sondern Teil einer systematisch verdichteten Aufsichtspraxis, die MiCAR und das KMAG seit dem vollständigen Anwendungsbeginn der Verordnung als eigenständige Eingriffsinstrumente nutzt. Die erstmalige Berufung auf § 10 Abs. 7 KMAG in dieser Welle deutet auf eine Verschiebung der Normbasis hin: Kryptoplattformen ohne CASP-Zulassung werden künftig nicht allein über das KWG, sondern über den spezifischen MiCAR-Vollzugsrahmen erfasst. Diese Entwicklung steht im Einklang mit der Richtlinie 2024/1260, die grenzüberschreitende Vermögenssicherung und Einziehungsmaßnahmen innerhalb der EU konsequent ausweitet. Für Geschädigte bedeutet das eine stärker harmonisierte Rechtsgrundlage — sofern sie ihre Ansprüche rechtzeitig und dokumentiert geltend machen.