Fehlende Erlaubnis bei Finanz- und Kryptodienstleistungen

Fehlt einem Anbieter die BaFin-Erlaubnis nach § 32 KWG oder die MiCAR-Zulassung, ist sein Geschäft rechtswidrig. Was eine Warnung beweist, was nicht – und welche Ansprüche daraus folgen.

Fehlende Erlaubnis heißt: Ein Anbieter erbringt erlaubnispflichtige Finanz- oder Kryptodienstleistungen, ohne die dafür nötige Zulassung zu besitzen. Wer im Inland gewerbsmäßig Bankgeschäfte betreibt oder Finanzdienstleistungen erbringt, braucht nach § 32 Abs. 1 KWG eine schriftliche Erlaubnis der BaFin. Wer sie nicht hat, handelt rechtswidrig und macht sich nach § 54 KWG strafbar – mit Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe. Für die meisten betrügerischen Plattformen ist genau das der juristische Ansatzpunkt: Sie betreiben Einlagen-, Anlage- oder Kryptogeschäfte, ohne je eine Erlaubnis beantragt zu haben.

Für Kryptowerte-Dienstleistungen gilt seit dem 30. Dezember 2024 die europäische MiCAR (Verordnung (EU) 2023/1114): Wer Handel, Verwahrung oder Tausch von Kryptowerten anbietet, braucht eine Zulassung als Crypto-Asset Service Provider nach Art. 59 MiCAR, in Deutschland umgesetzt über das Kryptomärkteaufsichtsgesetz (KMAG). Die letzte Übergangsfrist endete am 1. Juli 2026; seither ist jede CASP-Tätigkeit ohne Zulassung im EU-Binnenmarkt eindeutig rechtswidrig. Parallel gelten § 15 WpIG für Wertpapierinstitute, § 10 ZAG für Zahlungsdienste und das KAGB für Investmentfonds. Für die öffentliche Warnung stützt sich die BaFin auf § 37 Abs. 4 KWG; die Einstellung und Abwicklung des Geschäfts kann sie nach § 37 Abs. 1 KWG anordnen.

Entscheidend ist die saubere Einordnung. Eine fehlende Erlaubnis ist nicht dasselbe wie ein Betrug, und eine BaFin-Warnung ist keine Verurteilung. Sie belegt aber einen Verstoß gegen ein Schutzgesetz: § 32 KWG ist nach ständiger Rechtsprechung des Bundesgerichtshofs ein Schutzgesetz im Sinne des § 823 Abs. 2 BGB. Daraus kann ein Schadensersatzanspruch folgen. Zugleich kann die Warnung eine Frist in Gang setzen: Ab Kenntnis von der Rechtswidrigkeit beginnt die dreijährige Verjährung nach § 199 Abs. 1 BGB zu laufen. Wer betroffen ist, sollte deshalb zuerst prüfen, welche Erlaubnis der Anbieter gebraucht hätte – und dann handeln.

Was bedeutet „fehlende Erlaubnis“ – und welche Erlaubnis braucht welcher Anbieter?

Je nach Dienstleistung greift ein anderes Erlaubnisregime: § 32 KWG für Bankgeschäfte und Finanzdienstleistungen, Art. 59 MiCAR für Kryptowerte-Dienstleistungen, § 15 WpIG für Wertpapierinstitute, § 10 ZAG für Zahlungsdienste und das KAGB für Investmentfonds. Fehlt die passende Erlaubnis, ist das Geschäft rechtswidrig.

Welche Erlaubnis nötig ist, richtet sich nach der Tätigkeit, nicht nach dem Namen des Anbieters. Ein „Broker“ kann Finanzdienstleistungen nach dem KWG erbringen, ein „Krypto-Exchange“ fällt unter die MiCAR, ein „Wallet-Anbieter“ unter die Kryptoverwahrung. Die folgende Übersicht ordnet die häufigsten Dienstleistungen der jeweils erforderlichen Erlaubnis und der zuständigen Aufsicht zu.

Dienstleistung	Erforderliche Erlaubnis	Aufsicht / Register
Bankgeschäft (Einlagen, Kredit)	§ 32 Abs. 1 KWG	BaFin-Unternehmensdatenbank
Finanzdienstleistung (Anlagevermittlung, -verwaltung)	§ 32 KWG bzw. § 15 WpIG	BaFin
Kryptowerte-Dienstleistung (Handel, Verwahrung, Tausch)	Zulassung als CASP nach Art. 59 MiCAR (national: KMAG)	BaFin / ESMA-Register der CASP
Zahlungsdienst	§ 10 ZAG	BaFin
Investmentfonds / Vermögensverwaltung	KAGB (Kapitalverwaltungsgesellschaft)	BaFin

Im klassischen Finanzbereich sind vor allem das Einlagengeschäft, die Anlageverwaltung und die Anlagevermittlung erlaubnispflichtig – genau die Tätigkeiten, die Fake-Broker und angebliche Vermögensverwalter typischerweise ausüben. Im Kryptobereich zählt die MiCAR unter anderem den Betrieb einer Handelsplattform, den Tausch von Kryptowerten gegen Geld oder andere Kryptowerte, die Ausführung von Aufträgen und die Verwahrung als zulassungspflichtige Dienstleistungen auf. Für jede dieser Tätigkeiten braucht der Anbieter die passende Zulassung; eine Erlaubnis für das eine Geschäft deckt das andere nicht ab.

Für Kryptowerte-Dienstleistungen gilt eine Besonderheit beim Inlandsbezug: Nach dem Merkblatt der BaFin genügt es, dass sich ein im Ausland ansässiger Anbieter aktiv an Personen mit Sitz oder Aufenthalt in Deutschland richtet. Wer also gezielt deutsche Kunden anspricht, unterfällt der Erlaubnispflicht – unabhängig davon, wo der Server steht. Den zeitlichen Rahmen des Kryptoregimes und den Stichtag 1. Juli 2026 behandelt der Beitrag zu MiCA und den Rechten Geschädigter.

Wie prüfe ich selbst, ob ein Anbieter eine Erlaubnis hat?

Über die öffentlichen Register: die BaFin-Unternehmensdatenbank für KWG-, ZAG- und WpIG-Erlaubnisse und das ESMA-Register der zugelassenen CASP für Kryptodienste. Steht der Anbieter dort nicht, spricht das stark gegen eine Erlaubnis. Bei ausländischen Anbietern führt die jeweils zuständige Aufsicht ein eigenes Register.

Die Prüfung ist einfacher, als viele denken. Geben Sie den Namen des Anbieters in die BaFin-Unternehmensdatenbank ein; für Kryptodienste prüfen Sie zusätzlich das von der ESMA geführte Register der zugelassenen CASP. Findet sich kein Eintrag, ist das ein deutliches Signal. Vorsicht ist bei Namensgleichheit geboten: Betrüger geben sich häufig als reales, lizenziertes Unternehmen aus. Gleichen Sie deshalb nicht nur den Namen ab, sondern auch Domain, Firmensitz und die im Register hinterlegten Kontaktdaten.

Der Register-Check in vier Schritten:

• Name und Domain notieren – den exakten Anbieternamen, die genutzte Domain und die Login- oder Zahlungs-URL festhalten.
• BaFin-Datenbank prüfen – nach dem Namen suchen; kein Treffer bei erlaubnispflichtiger Tätigkeit ist ein starkes Warnsignal.
• CASP-Register prüfen – bei Kryptodiensten zusätzlich das ESMA-Register der zugelassenen Anbieter abgleichen.
• Identität gegenprüfen – bei Namensgleichheit Firmensitz, Domain und Kontaktdaten mit dem Registereintrag vergleichen, um eine Klonfirma auszuschließen.

Warnsignale, die eine fehlende Erlaubnis nahelegen, sind ein Sitz im Ausland ohne erreichbare Kontaktstelle, ein fehlendes oder widersprüchliches Impressum, die Berufung auf eine erfundene Aufsicht sowie Auszahlungen nur gegen weitere Gebühren. Wie sich unlizenzierte Anbieter im Krypto-Bereich konkret erkennen lassen, ist im Beitrag zu Krypto-Brokern ohne Lizenz und den Rechten von Anlegern dargestellt.

Was beweist eine BaFin-Warnung – und was nicht?

Sie belegt, dass die BaFin nach § 37 Abs. 4 KWG von unerlaubten Geschäften ausgeht – auf Verdacht oder als Feststellung. Sie beweist nicht automatisch einen Betrug, keinen individuellen Rückzahlungsanspruch und nicht, wer die Zahlungen empfangen hat. Sie ist ein starker Anker, aber kein Urteil.

• 37 Abs. 4 KWG erlaubt der BaFin, die Öffentlichkeit unter Namensnennung zu informieren, sobald Tatsachen die Annahme rechtfertigen oder feststeht, dass ein Unternehmen unerlaubt tätig ist. Vor der Veröffentlichung wird das Unternehmen angehört; stellt sich die Meldung als falsch heraus, muss die BaFin dies in gleicher Weise richtigstellen. Die Warnung kann sich also auf einen Verdacht stützen – sie ist deshalb ein gewichtiges amtliches Signal, aber keine strafgerichtliche Feststellung.

Was die Warnung leistet – und was nicht:

• Belegt sie eine fehlende Erlaubnis? Ja – sie dokumentiert den Verstoß gegen § 32 KWG als Schutzgesetz.
• Belegt sie einen Betrug? Nein – „unerlaubt“ ist nicht gleich „betrügerisch“; das ist eine eigene Feststellung.
• Sichert sie mein Geld? Nein – über Zahlungsweg, Empfänger und Rückholung sagt sie nichts aus.

Fehlende Erlaubnis oder Betrug – wo liegt der Unterschied?

Fehlende Erlaubnis ist ein aufsichtsrechtlicher Verstoß nach § 32 KWG. Betrug nach § 263 StGB setzt zusätzlich eine Täuschung, einen Vermögensschaden und Bereicherungsabsicht voraus. Ein Anbieter kann unerlaubt tätig sein, ohne dass strafrechtlich Betrug feststeht – bei vielen Fake-Plattformen liegt jedoch beides vor.

Die Unterscheidung ist für Betroffene praktisch bedeutsam. Für den zivilrechtlichen Anspruch aus § 823 Abs. 2 BGB in Verbindung mit § 32 KWG muss kein Betrug bewiesen werden; es genügt der Verstoß gegen die Erlaubnispflicht. Das senkt die Hürde erheblich, weil der schwierige Nachweis der inneren Tatseite eines Betrugs entfällt. Umgekehrt bedeutet das aber auch: Die BaFin-Warnung stellt keinen Betrug fest, und wer öffentlich einen Betrug behauptet, den er nicht belegen kann, geht ein eigenes Risiko ein. Sauber ist deshalb die Formulierung, dass ein Anbieter unerlaubt tätig war – die strafrechtliche Bewertung bleibt den Ermittlungsbehörden vorbehalten.

Welche Ansprüche folgen aus der fehlenden Erlaubnis?

In Betracht kommt ein Schadensersatzanspruch aus § 823 Abs. 2 BGB in Verbindung mit § 32 KWG, weil die Erlaubnispflicht nach ständiger BGH-Rechtsprechung ein Schutzgesetz ist. Daneben können Bereicherungsansprüche nach § 812 BGB und deliktische Ansprüche nach § 826 BGB greifen. Auch handelnde Geschäftsführer können persönlich haften.

Der Kern ist der Schutzgesetzverstoß. Wer ohne die nach § 32 KWG erforderliche Erlaubnis Finanzgeschäfte betreibt, verletzt ein Gesetz, das gerade den Anleger schützen soll; daraus folgt der Anspruch aus § 823 Abs. 2 BGB. Dasselbe gilt für den Straftatbestand des § 54 KWG. Ergänzend kommt der bereicherungsrechtliche Rückforderungsanspruch aus § 812 BGB in Betracht, wenn den Zahlungen keine wirksame Leistung gegenübersteht, sowie § 826 BGB bei vorsätzlicher sittenwidriger Schädigung.

Bedeutsam ist die persönliche Ebene: Nicht nur die Gesellschaft haftet, sondern auch die handelnden Personen. Wer als Geschäftsführer oder faktischer Leiter das unerlaubte Geschäft betreibt, verwirklicht den Straftatbestand des § 54 KWG selbst und haftet zivilrechtlich aus § 823 Abs. 2 BGB in Verbindung mit dieser Norm. Das eröffnet einen zusätzlichen, oft greifbareren Anspruchsgegner, wenn die Gesellschaft vermögenslos oder im Ausland ist.

Wichtig ist die ehrliche Grenze: Der Anspruch besteht dem Grunde nach, seine Durchsetzung hängt aber davon ab, ob der Anspruchsgegner identifizierbar und erreichbar ist. Häufig ist nicht der anonyme Betreiber der aussichtsreichste Gegner, sondern ein im Zahlungsweg beteiligter Intermediär. Ob und wann Banken oder Zahlungsdienstleister haften, ist im Beitrag zur Bankenhaftung bei Kryptobetrug vertieft.

Was kann die BaFin tun – und was nicht?

Die BaFin kann nach § 37 Abs. 1 KWG die sofortige Einstellung und Abwicklung des Geschäfts anordnen, nach § 44c KWG Auskünfte erzwingen und öffentlich warnen. Sie holt aber kein Geld für den einzelnen Geschädigten zurück und zahlt keine Entschädigung. Der individuelle Anspruch muss selbst durchgesetzt werden.

Die Aufsicht handelt im öffentlichen Interesse, nicht als Inkasso des Einzelnen. Sie kann den Geschäftsbetrieb stoppen, einen Abwickler einsetzen und in geeigneten Fällen sogar Internet-Provider zu Sperren verpflichten. Für Betroffene folgt daraus zweierlei: Die Warnung und eine etwaige Abwicklungsanordnung sind wertvolle Belege für den eigenen Zivil- oder Strafrechtsweg – aber die Rückholung des eigenen Geldes läuft über eigene Ansprüche, Strafanzeige und Vermögenssicherung, nicht über die BaFin.

Gilt das auch für ausländische Anbieter, die deutsche Kunden ansprechen?

Ja. Richtet sich ein im Ausland ansässiger Anbieter aktiv an Personen in Deutschland, greift die Erlaubnispflicht ebenso. Innerhalb der EU wirkt die MiCAR einheitlich. Sitzt der Empfänger oder das Geld im Ausland, verlagert sich der Schwerpunkt auf die grenzüberschreitende Sicherung und Rückholung.

Der Inlandsbezug entsteht nicht am Serverstandort, sondern am gezielten Zugehen auf deutsche Kunden. Ein Anbieter, der auf Deutsch wirbt, deutsche Kunden akquiriert und Zahlungen aus Deutschland annimmt, unterfällt der Erlaubnispflicht, auch wenn er formal im Ausland registriert ist. Praktisch entscheidet dann die Frage, wo das Geld liegt und wer es empfangen hat. Welche Instrumente in Großbritannien, der Schweiz, den USA und der EU greifen, zeigt der Beitrag zur Rückholung von Geld aus dem Ausland; die Verfolgung des Zahlungswegs behandelt der Leitfaden zum Krypto-Tracing.

Was gilt bei Warnungen ausländischer Aufsichtsbehörden?

Auch ausländische Aufsichten führen öffentliche Warn- und Registerlisten: die FCA in Großbritannien, die CNMV in Spanien, die FSMA in Belgien, die FINMA in der Schweiz, die AMF in Frankreich. Eine solche Warnung ist am Register der jeweiligen Behörde zu prüfen – idealerweise in der Landessprache und anhand der exakt genannten Domain.

Für deutsche Geschädigte sind diese Warnungen relevant, weil betrügerische Plattformen oft grenzüberschreitend auftreten und mehrere Aufsichten sie parallel listen. Zwei Punkte sind dabei entscheidend. Erstens die genaue Zuordnung: Eine Warnung bezieht sich immer auf einen konkreten Namen und eine konkrete Domain oder Subdomain – ein ähnlich klingender Name genügt nicht, weil Betrüger reale, lizenzierte Unternehmen imitieren. Zweitens die Reichweite: Eine ausländische Warnung belegt die fehlende Zulassung im jeweiligen Land, sagt aber ebenso wenig wie eine BaFin-Warnung etwas über Ihren individuellen Zahlungsweg und Rückholungsanspruch aus. Sie ist ein Anker, kein Ergebnis.

Kann ich mein Geld nach einer Warnung noch zurückholen?

Möglich, aber nicht garantiert. Die fehlende Erlaubnis liefert den Anspruchsgrund; ob eine Rückholung gelingt, hängt vom Zahlungsweg, von der Erreichbarkeit der Empfänger und vom Zeitpunkt ab. Eine Rückholung kann nicht zugesagt werden. Entscheidend ist, ob die Spur zu einem greifbaren Empfänger oder Intermediär führt.

Die Warnung ist der Ausgangspunkt, nicht das Ergebnis. Sie begründet den Verstoß gegen das Schutzgesetz und damit den Anspruch – aber sie sagt nichts darüber, wohin das Geld geflossen ist. Für die Rückholung zählt deshalb dieselbe Reihenfolge wie in jedem Schadensfall: Beweise sichern, den Zahlungsweg rekonstruieren, den Empfänger bestimmen und dann den passenden Anspruch durchsetzen. Wie diese Schritte ineinandergreifen und welche wirtschaftlich sinnvoll sind, zeigt die strukturierte Asset-Recovery-Prüfung. Aussagen über konkrete Erfolgsaussichten sind seriös nur nach Sichtung der Unterlagen möglich.

Warum ist Zeit hier entscheidend?

Weil eine BaFin-Warnung die Verjährung auslösen kann: Ab Kenntnis von der Rechtswidrigkeit beginnt die dreijährige Frist nach § 199 Abs. 1 BGB. Zugleich werden Guthaben oft binnen Tagen weitergeleitet. Wer wartet, verliert in beiden Schienen – rechtlich die Frist, faktisch die erreichbaren Werte.

Die Veröffentlichung der Warnung kann den Zeitpunkt markieren, ab dem ein Anleger von der Rechtswidrigkeit Kenntnis erlangen konnte. Damit beginnt die Regelverjährung nach § 195 BGB, gerechnet ab dem Schluss des betreffenden Jahres. Wer erst spät reagiert, riskiert, dass der Anspruch nicht mehr durchsetzbar ist. Faktisch ist die Frist meist noch enger, weil die Betreiber Zahlungseingänge zügig weiterleiten. Wir empfehlen, nach einer Warnung nicht zu warten, sondern Belege zu sichern und die Ansprüche prüfen zu lassen.

Ist die Frist noch nicht abgelaufen, lässt sie sich hemmen. Die Erhebung einer Klage hemmt die Verjährung ebenso wie ein Güteantrag oder – je nach Verfahren – die Einleitung eines Ombudsverfahrens. Wer knapp vor Fristende steht, sollte deshalb nicht nur den Anspruch prüfen, sondern zugleich klären, welche Maßnahme die Verjährung rechtzeitig hemmt. Bei mehreren Zahlungen und mehreren Beteiligten können die Fristen unterschiedlich laufen; jede Zahlung ist gesondert zu betrachten.

Was ist jetzt zu tun?

Prüfen Sie zuerst im Register, ob der Anbieter eine Erlaubnis hat, und ob genau die genutzte Domain betroffen ist. Leisten Sie keine weitere Zahlung. Sichern Sie Zahlungsbelege, Kommunikation und Identitätsangaben. Lassen Sie dann prüfen, welche Ansprüche und Empfänger im konkreten Fall greifbar sind.

Die fehlende Erlaubnis ist der Ausgangspunkt, nicht das Ergebnis. Sie begründet den Ansatzpunkt für Ansprüche, beantwortet aber nicht, gegen wen sie sich richten und wohin das Geld geflossen ist. Wie sich die Erlaubnisfrage mit Beweissicherung, Zahlungsverfolgung und Durchsetzung zu einer Gesamtstrategie verbindet, zeigt die strukturierte Asset-Recovery-Prüfung. Und wer nach einer Warnung unaufgefordert von angeblichen Rückholfirmen kontaktiert wird, sollte die Merkmale der zweiten Täuschungswelle über Recovery-Scams kennen und keine Vorauszahlung leisten.

Wenn Sie bei einem Anbieter ohne die erforderliche Erlaubnis eingezahlt oder Kryptowerte übertragen haben, prüfen Sie zuerst im Register, ob eine Zulassung besteht und ob genau die genutzte Domain betroffen ist. Leisten Sie keine weitere Zahlung für angebliche Freischaltungen, Steuern oder Auszahlungen. Sichern Sie die vollständigen Zahlungsbelege mit Empfängerdaten, sämtliche Wallet-Adressen und Transaktions-Hashes, die vollständige Kommunikation und die verwendeten Identitäten. Geprüft wird, welche Erlaubnis gefehlt hat, welche Ansprüche daraus folgen, wohin die Zahlungen flossen und gegen wen ein Vorgehen sinnvoll ist. Übermitteln Sie uns dafür die vollständigen Unterlagen.

Fall über kryptoschaden.de übermitteln

kryptoschaden@rexus-recht.de