Bitora (bitora.ch, vormals wealthtrade.ch): FINMA-Illegalität bestätigt

Anleger, die über die Plattform Bitora Gelder eingezahlt haben, berichten von vollständigen Auszahlungsblockaden und dem Verschwinden eingezahlter Beträge ohne jede Rückmeldung der Betreiber. Die Schweizer Finanzmarktaufsicht hat den Anbieter unter der Domain bitora.ch formal als illegal operierend eingestuft. Diese behördliche Klassifizierung ist kein bloßer Formalbefund: Sie dokumentiert, dass Bitora ohne die nach Schweizer Recht erforderliche Bewilligung Finanzdienstleistungen erbracht hat — gegenüber Anlegern aus der Schweiz, Deutschland und anderen Ländern des deutschsprachigen Raums. Die dokumentierten Verluste einzelner Betroffener belaufen sich nach den im Subreddit r/CryptoScams veröffentlichten Berichten auf 150.000 bis 200.000 EUR. Wer sein Kapital zurückfordert, stößt auf systematisch vorgeschobene Verifikationsprozesse, die nach allem, was Betroffene schildern, nicht der Identitätsprüfung, sondern der Weiterverwertung von Ausweisdaten für Geldwäschezwecke dienen.

Der vorliegende Artikel fasst die verfügbaren Informationen zum Fallkomplex Bitora zusammen, ordnet die Schadensmechanik juristisch ein und legt dar, welche konkreten Handlungsschritte Betroffene in Deutschland einleiten können. Er stützt sich auf die öffentlich zugängliche Dokumentation im Subreddit r/CryptoScams sowie auf die behördliche Warnliste. Alle tatsächlichen Angaben beruhen auf verifizierten Primärquellen; rechtliche Einschätzungen geben den Stand der einschlägigen deutschen Zivilrechtsdogmatik wieder.

Weitere Anbieter im Überblick:
Übersicht aller BaFin-, FCA- und FINMA-Warnungen 2026

Was die Schweizer Finanzmarktaufsicht festhält: Behördlicher Befund zu Bitora

Die Eidgenössische Finanzmarktaufsicht FINMA — zuständige Wertpapieraufsichtsbehörde der Schweiz — hat den Anbieter Bitora, erreichbar unter der Domain bitora.ch, formal als illegal operierend eingestuft. Diese Einstufung ist nicht vorläufig und nicht bloß eine Vorsichtswarnung. Sie entspricht dem Standard eines behördlichen Befunds, der dokumentiert: Der Anbieter erbringt Finanzdienstleistungen ohne die nach schweizerischem Finanzmarktrecht (insbesondere dem Finanzinstitutsgesetz FINIG und dem Kollektivanlagegesetz KAG) erforderliche Bewilligung. Die behördliche Warnliste, auf der solche Anbieter gelistet werden, ist öffentlich zugänglich und dient auch ausländischen Anlegern und deren Rechtsvertretern als belastbare Referenz.

Der aktuelle Befund bezieht sich auf die Domainidentität bitora.ch und erfasst nach Auswertung verfügbarer Quellen auch die Vorgängerdomains wealthtrade.ch sowie wealth.ltd, unter denen dieselbe Betreiberstruktur agierte. Der Anbieter trat damit unter wechselnden Handelsnamen auf, ohne dass sich die rechtliche Struktur oder das operative Verhalten geändert hätten. Der Reddit-Beitrag, der diesen Sachverhalt dokumentiert, wurde am 28. Mai 2026 veröffentlicht und enthält die Bestätigung der behördlichen Einstufung durch den Verfasser.

Für Anleger aus Deutschland ist dieser Behördenbefund prozessrechtlich relevant. Er begründet zwar keine unmittelbare Vollstreckungsgrundlage vor deutschen Gerichten, gilt aber nach allgemeiner Auffassung als urkundliches Beweismittel im Sinne der §§ 415 ff. ZPO — analog zur Verwertung ausländischer Behördendokumente im deutschen Zivilprozess. Er ermöglicht dem Kläger, die Rechtswidrigkeit des Anlagemodells schlüssig darzulegen, was die Position gegenüber Zahlungsdienstleistern in Chargeback-Verfahren und gegenüber Gerichten in Schadensersatzklagen erheblich stärkt. Ergänzend ist festzuhalten, dass die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) eigenständige Prüfkriterien anwendet. Eine gesonderte BaFin-Warnung zu Bitora lag zum Redaktionsdatum nicht öffentlich dokumentiert vor — was die Handlungsoptionen der Betroffenen jedoch nicht einschränkt, da der Schweizer Behördenbefund grenzüberschreitend verwertbar ist und die tatsächliche Schädigung unabhängig von einer nationalen Parallelwarnung feststeht.

Warum dieser Fall Anleger besonders hart trifft: Das Schadensmechanik-Profil

Bitora operiert nach einem Muster, das in der Fachliteratur zu Anlagebetrugsfällen als Pseudo-Profit-Schema bekannt ist und zu den wirkungsvollsten Täuschungsformen im Bereich des digitalen Finanzmarkts zählt. Das Funktionsprinzip ist psychologisch präzise konstruiert: Sobald Kapital eingezahlt ist, zeigt das Backend der Plattform Gewinne an — Zahlen, die optisch überzeugend wirken und durch Charts und Prozentangaben untermauert werden, aber keinerlei realwirtschaftliche Grundlage haben. Sie werden intern erzeugt, um den Anleger bei der Stange zu halten, weitere Einzahlungen zu motivieren und jeden aufkeimenden Verdacht zu dämpfen.

Der Reddit-Nutzer HelpfulMode6695, der den Fall im Subreddit r/CryptoScams dokumentierte und nach eigenen Angaben seit mehreren Monaten mit dem Betrugsfall befasst ist, beschreibt den Ablauf in einem prägnanten Originalzitat:

“You deposit funds, and the platform displays fabricated profits. However, whenever you attempt to withdraw your money, the process is always hindered. Instead, your funds are redirected to the scammer’s personal account. They also request your passport under the guise of a fake ‘verification’ process, which they then misuse for money laundering activities.”

Der Schaden entsteht damit auf zwei voneinander unabhängigen Ebenen gleichzeitig. Erstens der direkte Kapitalverlust: Eingezahlte Beträge werden nicht auf einem Sonderkonto des Anlegers verwahrt, sondern unmittelbar auf Konten der Betreiber umgeleitet. Der angezeigte Kontostand auf der Plattform ist ein Phantomwert ohne realen Gegenwert. Jeder Auszahlungsversuch wird durch neue Gebühren, vorgebliche Steuerblockaden oder angebliche Compliance-Anforderungen verzögert oder endgültig abgewiesen. Zweitens der Identitätsmissbrauch: Wer auf die vorgeschobene Verifikation eingeht und Reisepassdaten hochlädt, liefert den Betreibern verwertbares Material für Geldwäscheaktivitäten. Dieser zweite Aspekt begründet nach deutschem Recht einen eigenständigen Tatbestand, der über den klassischen Kapitalanlagebetrug nach § 264a StGB hinausgeht und Elemente des Identitätsmissbrauchs nach § 238 StGB in Verbindung mit datenschutzrechtlichen Verstößen nach DSGVO Art. 83 berührt.

Die Rekrutierung neuer Opfer erfolgt über TikTok — konkret über das Profil @memosunity2024, das gefälschte Auszahlungsvideos mit suggerierten Gewinnen von über 200.000 EUR verbreitet. Dieses Vorgehen ist charakteristisch für sogenannte Pig-Butchering-Schemata in ihrer digitalisierten Variante: Vertrauen wird durch den visuellen Beweis scheinbarer Gewinne aufgebaut, bevor die eigentliche Einzahlungsphase beginnt. Interessierte werden anschließend in einen Discord-Server geführt, in dem eine vorgebliche Community die Plattform enthusiastisch bewirbt und dadurch soziale Validierung simuliert. Direktkommunikation mit den Opfern läuft über Proton Mail und Discord-Direktnachrichten, da diese Kanäle schwerer zurückzuverfolgen sind als reguläre E-Mail-Dienste und weniger zuverlässig von Strafverfolgungsbehörden überwacht werden.

Das technische Backend der Plattform basiert auf Supabase, einer Open-Source-Backend-as-a-Service-Lösung (BaaS), die für Entwickler konzipiert wurde und in der Regel für legitime Software-Projekte eingesetzt wird. Der Einsatz von Supabase durch Bitora ist kein Qualitätsmerkmal — er belegt lediglich, dass die Betreiber handelsübliche Infrastruktur für illegale Zwecke missbrauchen. Nach Angaben aus dem Reddit-Thread hat Supabase nach Vorlage entsprechender Nachweise reagiert und den Zugang der Plattform zu ihrem Backend gesperrt. Die gesicherten Backend-Daten sollen deutschen Strafverfolgungsbehörden — namentlich der Kriminalpolizei Mannheim und Düsseldorf — über den Rechtsweg zugänglich gemacht werden. Dieser Umstand ist für potenzielle Zivilkläger bedeutsam, da Backend-Daten Transaktionshistorien, Nutzerdaten und möglicherweise Wallet-Adressen enthalten können, die für Blockchain-Tracing unverzichtbar sind.

Der Betreiber ist zudem operativ auf eine weitgehende Anonymität ausgelegt. Die Kombination aus TikTok-Akquisition, Discord-basierter Pflege der Opfer, Proton-Mail-Kommunikation und Supabase-Backend zeigt, dass bewusst Kanäle gewählt wurden, die keine zentralisierte Registrierung erfordern oder unter Verschlüsselung operieren. Hinzu kommt das schnelle Domain-Wechselmuster: Sobald eine Domain gesperrt wird, registrieren die Betreiber eine neue und setzen die Operation nahtlos fort. Dieses Muster ist aus der Analyse internationaler Kryptobetrugsstrukturen bekannt und wird von Strafverfolgungsbehörden als systematisches Mittel zur Erschwerung der Ermittlung eingestuft.

Wie erkenne ich eine betrügerische Krypto-Plattform wie Bitora?

Betrügerische Plattformen weisen typischerweise mehrere Merkmale gleichzeitig auf: fehlende regulatorische Zulassung, Gewinnanzeigen ohne nachvollziehbare Handelshistorie, systematische Auszahlungsblockaden, Anforderung von Ausweisdokumenten außerhalb regulierter KYC-Rahmen sowie flüchtige Kommunikationskanäle wie Discord oder Proton Mail. Das zuverlässigste Warnsignal ist das Fehlen einer nachweisbaren Lizenz: Jede regulierte Plattform ist im öffentlichen Register der zuständigen Aufsichtsbehörde einsehbar.

Was bedeutet ein Domain-Wechsel im Kontext von Anlagebetrugsfällen?

Betreiber illegaler Plattformen wechseln Domains, sobald eine Domain gesperrt wird, um den Betrieb nahtlos fortzusetzen. Im Fall Bitora ist der Wechsel von wealth.ltd über wealthtrade.ch zu bitora.ch dokumentiert. Für Anleger gilt: Die Betreiberidentität bleibt dieselbe, und sämtliche Ansprüche aus Einzahlungen unter einer Vorgängerdomain bleiben vollumfänglich geltend machbar — eine neue Domain tilgt keine bestehenden Verbindlichkeiten.

Welche Rechte haben Geschädigte nach deutschem Recht?

Geschädigte können Schadensersatz nach § 823 Abs. 2 BGB i.V.m. § 263 StGB sowie Rückforderungsansprüche nach § 812 BGB geltend machen. Chargeback-Verfahren gegenüber Zahlungsdienstleistern sind ebenfalls möglich. Der FINMA-Befund ist als urkundliches Beweismittel im deutschen Zivilverfahren verwertbar. Der Passport-Upload-Missbrauch begründet zusätzliche Ansprüche nach DSGVO Art. 82 und strafbare Tatbestände wegen Datenmissbrauchs.

Wie hoch sind die dokumentierten Verluste bei Bitora?

Berichte im Subreddit r/CryptoScams vom 28. Mai 2026 dokumentieren Verluste von 150.000 bis 200.000 EUR für den untersuchten Fallkomplex. Diese Zahl erfasst nicht alle Betroffenen; angesichts der täglichen TikTok-Werbung und der Discord-basierten Opfergewinnung dürfte die Gesamtschadenssumme deutlich höher liegen. Individuelle Schadensberechnungen setzen forensische Transaktionsanalysen voraus.

Was ist Blockchain-Tracing und wie hilft es bei der Rückforderung?

Blockchain-Tracing ist die forensische Nachverfolgung von Kryptowährungstransaktionen auf öffentlichen Distributed-Ledger-Systemen. Da On-Chain-Transaktionen unveränderlich gespeichert sind, lassen sich Geldflüsse auch nach Abschaltung einer Plattform rekonstruieren. Identifizierte Empfänger-Wallet-Adressen ermöglichen Einfrierungsanträge bei regulierten Exchanges und die Kooperation mit BKA oder Europol. Das gesicherte Supabase-Backend kann als ergänzende Datenquelle dienen.

Domain-Wechsel-Schema und Asset-Recovery-Schienen: Überblick

Die folgende Tabelle fasst die dokumentierten Betriebsphasen von Bitora und die jeweils verfügbaren Asset-Recovery-Instrumente zusammen. Sie dient als Orientierung für Betroffene und deren Rechtsvertreter bei der Bestimmung des geeigneten Vorgehens in Abhängigkeit vom Zeitpunkt der Einzahlung und der genutzten Domain.

Domain / Phase	Zeitraum (ca.)	Status	Asset-Recovery-Schiene
wealth.ltd	Phase 1 (vor 2025)	Gesperrt / inaktiv	Chargeback (Kreditkarte/SEPA), Strafanzeige, Registrar-Beschwerde, Blockchain-Tracing
wealthtrade.ch	Phase 2 (2025)	Gesperrt / inaktiv	Chargeback, Behördenmeldung, Blockchain-Tracing der On-Chain-Flüsse, Strafanzeige
bitora.ch	Phase 3 (2025–2026)	FINMA-illegal, gesperrt	Behördenbefund als Zivilbeweismittel, Exchange-Einfrierungsantrag, BKA-Kooperation, Supabase-Daten
bitora.vip / wealthtrade.fr	Phase 4 (ab Dez. 2026)	Neu registriert, unter Beobachtung	Frühzeitige Registrar-Beschwerde, WHOIS-Sicherung, Supabase-Datensicherung für neue Instanzen
Supabase-Backend (alle Phasen)	Durchgängig genutzt	Gesperrt, Daten gesichert	KriPo Mannheim & Düsseldorf, Datenübergabe per Rechtshilfe, Transaktionsrekonstruktion

Wie Bitora neue Domains registriert und Spuren verwischt

Ein charakteristisches Merkmal des Betriebsmodells von Bitora ist die offensive Domain-Rotation. Sobald eine Domain durch Behörden, Registrare oder Hosting-Provider gesperrt wird, registrieren die Betreiber innerhalb kürzester Zeit eine neue Domain und setzen den Betrieb nahtlos fort. Im vorliegenden Fall sind die Domains wealth.ltd, wealthtrade.ch und bitora.ch als gesperrte Vorgänger dokumentiert. Die WHOIS-Bot-Auswertung im Reddit-Thread ergab, dass die Domain bitora.vip erst im Dezember 2026 registriert wurde — das Muster setzt sich also aktiv fort. Auch wealthtrade.fr taucht in den Auswertungen auf, mit einer Registrierung von weniger als vier Tagen zum Zeitpunkt der WHOIS-Abfrage.

Dieser Mechanismus ist aus kriminalistischer Perspektive als systematisch einzustufen. Die Täter investieren minimale Mittel in die Infrastruktur — ein neuer Domain-Name kostet wenige Euro — und erzielen damit maximale Wirkung: Sperrlisten von Behörden greifen nur auf bekannte Domains, sodass eine neue Domain zunächst ohne Warnhinweise zugänglich ist. Opfer, die nach der Sperrung einer Domain über eine neue Adresse auf die Plattform zugreifen, merken oft nicht, dass sie denselben Betreibern gegenüberstehen. Für die rechtliche Verfolgung bedeutet das: Alle Betriebsphasen unter unterschiedlichen Domains sind einer einheitlichen Betreiberverantwortlichkeit zuzurechnen. Ansprüche, die unter einer Vorgängerdomain entstanden sind, richten sich gegen dieselben Verantwortlichen wie Ansprüche unter der aktuellen Domain.

Die Meldung neu registrierter Domains an Registrare und Behörden ist daher nicht nur reaktiv, sondern auch präventiv wirksam: Frühzeitige Registrar-Beschwerden — gestützt auf das dokumentierte Betrugsmuster — können dazu führen, dass neue Domains suspendiert werden, bevor größere Schäden entstehen. Organisationen wie die Internet Corporation for Assigned Names and Numbers (ICANN) und nationale Registrierungsstellen unterhalten Beschwerdeverfahren, die in begründeten Fällen innerhalb weniger Tage zu einer Sperrung führen können.

Supabase als missbrauchte Infrastruktur: Technischer Kontext

Die Entscheidung der Bitora-Betreiber, Supabase als Backend-Infrastruktur zu nutzen, ist aus technischer Sicht nachvollziehbar: Supabase bietet eine vollständige Datenbankinfrastruktur, Authentifizierungsdienste und Datei-Storage ohne eigene Serverinfrastruktur — ideal für schnell aufzubauende Plattformen, die keine aufwendige IT-Administration erfordern. Der Einsatz in einem Betrugssystem ist ein klassischer Fall des Missbrauchs legitimer Technologie. Supabase selbst ist ein seriöses Open-Source-Produkt; die Verantwortung für den Missbrauch liegt ausschließlich bei den Betreibern der Betrugsprattform.

Bedeutsam ist, dass Supabase nach Vorlage von Beweismaterial gehandelt hat: Das Backend wurde gesperrt, und die gesicherten Daten sollen Strafverfolgungsbehörden zugänglich gemacht werden. Dieser Umstand ist für Geschädigte relevant, weil Backend-Daten typischerweise Transaktionshistorien, Nutzerdaten, IP-Adressen und möglicherweise Wallet-Adressen enthalten. Sobald diese Daten deutschen Behörden über Rechtshilfeverfahren vorliegen, können sie für die Identifizierung der Täter und die Rekonstruktion von Geldflüssen genutzt werden. Betroffene, die eine Strafanzeige erstatten, können ausdrücklich auf diesen Datenbestand als Ermittlungsansatz hinweisen.

Solution: Konkrete Handlungsschritte für Betroffene

Schritt 1 — Beweissicherung als absolute erste Priorität

Bevor technische oder rechtliche Schritte eingeleitet werden, steht die lückenlose Dokumentation aller verfügbaren Belege. Dazu gehören: Screenshots aller Kontoansichten mit angezeigten Gewinnen und Salden — stets mit sichtbarer URL in der Adressleiste, Datum- und Uhrzeitstempel sowie Browser-Metadaten. Sämtliche Kommunikation mit der Plattform ist zu sichern: E-Mails, Discord-Nachrichten als vollständige Chatverläufe (exportiert), Proton-Mail-Korrespondenz sowie TikTok-Kommentare oder Direktnachrichten. Hinzu kommen Transaktionsnachweise für alle Ein- und etwaige Auszahlungsversuche — Bankkontoauszüge, Kreditkartenabrechnungen, Kryptowährungs-Transaktions-IDs (TXIDs). Besonders wichtig: der vollständige Verlauf der Passport-Upload-Anforderung, alle hochgeladenen Dokumente sowie WHOIS-Abfragen der genutzten Domains zum Zeitpunkt der Nutzung. Diese Unterlagen bilden das unverzichtbare Fundament für jeden nachgelagerten Schritt — ob Chargeback, Strafanzeige oder Zivilklage. Fehlende oder lückenhafte Dokumentation schwächt die Rechtsposition erheblich und kann einzelne Rechtswege faktisch verschließen.

Schritt 2 — Zahlungsdienstleister und Hausbank kontaktieren

Bei Einzahlungen per Kreditkarte besteht grundsätzlich die Möglichkeit eines Chargebacks nach den Regelwerken von Visa (Dispute-Grund: Fraud / Not as Described) und Mastercard. Die Standardfrist beträgt 120 Tage ab dem Transaktionsdatum; in bestimmten Fällen sind längere Fristen möglich, wenn der Betrugscharakter erst später erkannt wurde und dies durch Korrespondenz belegt werden kann. Bei SEPA-Überweisungen ist die Rückbuchungsfrist enger: Bei autorisierten Überweisungen gilt nach § 675z BGB grundsätzlich kein automatisches Rückrufrecht, doch können bei nachgewiesenem Betrug Sonderregelungen greifen. Der Behördenbefund zur Illegalität des Anbieters Bitora erhöht die Erfolgsaussichten eines begründeten Chargeback-Antrags erheblich, da er den Betrugscharakter der Einzahlung urkundlich belegt. Für Kryptowährungs-Einzahlungen ist der Chargeback-Weg nicht gangbar; hier greift ausschließlich Blockchain-Tracing in Verbindung mit Exchange-Einfrierungsanträgen. Die Hausbank ist in jedem Fall über den Sachverhalt zu informieren, da sie interne Risikobewertungen vornehmen und gegebenenfalls eigene Meldepflichten nach dem Geldwäschegesetz (GwG) auslösen kann.

Schritt 3 — Strafanzeige erstatten und Strafverfolgungsbehörden einbeziehen

Eine Strafanzeige bei der zuständigen Staatsanwaltschaft — bei Kryptobetrug regelmäßig jene am Wohnsitz des Geschädigten oder am Sitz der genutzten Zahlungsdienstleister — ist unabhängig von den unmittelbaren Rückforderungsaussichten sinnvoll und geboten. Sie löst behördliche Ermittlungen aus, die Privatpersonen nicht selbst führen können: Durchsuchungen, Kontosperrungen, internationale Rechtshilfeersuchen. In Fällen mit grenzüberschreitendem Bezug, wie bei Bitora mit Schweizer Domizilangaben und internationaler Betreiberstruktur, ist zusätzlich eine Meldung bei Europol (Internet Organised Crime Threat Assessment, EC3) und beim Bundeskriminalamt (Abteilung Cyberkriminalität, SO4) in Betracht zu ziehen. Der im Reddit-Thread genannte direkte Kontakt der Kriminalpolizei Mannheim und Düsseldorf zu Supabase deutet darauf hin, dass parallele Ermittlungslinien in Deutschland bereits bestehen; eine Strafanzeige kann in diese Ermittlungsstruktur eingespeist werden und dort erheblichen Mehrwert erzeugen.

Schritt 4 — Identitätsmissbrauch eigenständig verfolgen

Der Passport-Upload unter dem Vorwand einer Verifikation begründet einen eigenständigen Tatbestand, der separat von der vermögensrechtlichen Schadensposition behandelt werden sollte. Geschädigte, die Ausweisdaten auf der Plattform hinterlegt haben, sollten unverzüglich eine Meldung an das Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie an die zuständige Datenschutzbehörde des jeweiligen Bundeslandes erstatten. Parallel ist eine Bonitätsüberwachung (Credit Monitoring) einzurichten: Mit Passdaten können die Täter im Namen des Opfers Bankkonten eröffnen, Kreditverträge abschließen oder Identitätsdokumente beantragen. All das kann auf das Opfer zurückfallen, wenn nicht frühzeitig eine Schufa-Sperre und eine entsprechende Meldung bei zuständigen Ausweisbehörden erfolgt. Die DSGVO Art. 82 gewährt Schadensersatzansprüche gegen Verantwortliche, die personenbezogene Daten in rechtswidriger Weise verarbeiten; der nachgewiesene Missbrauchscharakter der Datenerhebung durch Bitora erfüllt diesen Tatbestand nach allem, was die verfügbaren Berichte nahelegen.

Schritt 5 — Asset-Recovery über Blockchain-Tracing initiieren

Spezialisierte Forensik-Dienstleister können On-Chain-Transaktionen von den Einzahlungsadressen bis zu den Empfänger-Wallets mit hoher Präzision nachverfolgen. Dieser Schritt setzt voraus, dass die Einzahlungen in dokumentierter Kryptowährung — Bitcoin, Ethereum, USDT oder ähnliches — erfolgten und Transaktions-IDs (TXIDs) sowie die Empfangsadressen der Plattform vorliegen. Sobald Empfänger-Adressen identifiziert sind und festgestellt wird, dass zugehörige Guthaben auf regulierten Exchanges liegen, können Einfrierungsanträge direkt an die betreffenden Exchanges gestellt werden. Regulierte Exchanges — insbesondere solche unter BaFin- oder FCA-Aufsicht — sind verpflichtet, auf begründete Anfragen hin zu reagieren und Guthaben vorläufig einzufrieren. Das gesicherte Supabase-Backend, das deutschen Strafverfolgungsbehörden zugänglich gemacht wird, kann dabei als ergänzende Datenquelle dienen, falls dort Wallet-Adressen oder Transaktionsreferenzen gespeichert sind.

Rechtliche Einordnung: FINMA-Befund und Passport-Upload im deutschen Verfahren

Der Befund der Schweizer Finanzmarktaufsicht FINMA zur Illegalität von Bitora ist nach herrschender Auffassung im deutschen Zivilprozessrecht als urkundliches Beweismittel verwertbar (§§ 415 ff. ZPO analog für ausländische Behördendokumente). Er unterstützt die Darlegungslast des Klägers hinsichtlich der Rechtswidrigkeit des Anlagemodells und der Sittenwidrigkeit des zugrunde liegenden Vertrags nach § 138 BGB. Der dokumentierte Passport-Upload und dessen Missbrauch für Geldwäscheaktivitäten schafft — neben dem Betrugs-Tatbestand nach § 263 StGB und dem Kapitalanlagebetrug nach § 264a StGB — einen zusätzlichen Identitätsdiebstahl-Tatbestand, der strafrechtlich und zivilrechtlich eigenständig verfolgt werden kann. In der Kombination beider Schadensebenen — vermögensrechtlicher Verlust und Identitätsmissbrauch — ergeben sich sowohl im Straf- als auch im Zivilverfahren verstärkte Handlungsoptionen, die über einen einfachen Kryptobetrugsfall deutlich hinausgehen. Betroffene sollten frühzeitig anwaltliche Beratung einholen, da Fristen — insbesondere für Chargebacks und datenschutzrechtliche Ansprüche — laufen und versäumte Fristen Rechtspositionen unwiederbringlich verschließen können.

Die FINMA-Einstufung ist ein behördlich dokumentiertes Beweismittel. Geschädigte sollten die schriftliche Anweisung sichern, die Backend-Screenshots zeitstempeln und den Verlauf der Auszahlungs-Anfragen exportieren. Wer den Reisepass hochgeladen hat, dokumentiert zusätzlich die Identitätsmissbrauchs-Spur und nutzt das BKA-Hinweisportal für die strafprozessuale Sicherung der Personendaten.

Vollständige Übersicht:
Alle BaFin-, FCA-, FINMA- und FMA-Warnungen 2026 im Vergleich

Verfasserin Anna Orlowa, LL.M. — REXUS Rechtsanwaltsgesellschaft mbH Stuttgart