Wer eine Krypto-Plattform oder einen Finanzanbieter prüfen will, braucht dafür keine juristischen Vorkenntnisse — aber eine strukturierte Vorgehensweise. Klon-Plattformen kopieren Namen, Logos und Adressen regulierter Unternehmen, um Anleger zur Einzahlung zu bewegen. Der folgende Fünf-Schritte-Workflow zeigt, wie sich ein Klon-Plattform erkennen BaFin-Check in wenigen Minuten selbst durchführen lässt — und welche Rechtskonsequenzen eine dokumentierte Verifikation im Streitfall auslöst.

Was ist eine Klon-Plattform und warum ist sie rechtlich relevant?

Eine Klon-Plattform ist eine betrügerische Website, die Identität und Erscheinungsbild eines regulierten Unternehmens vollständig oder teilweise kopiert. Täter nutzen minimale Abweichungen in der Domain — Typosquatting (parex-am.com statt parexam.lv, dkbfinanz.com statt dkb.de), TLD-Wechsel (.com statt .de oder .lv) oder eingefügte Bindestriche (gute-kredit.com vs. gutekredit.com) — um Seriosität vorzutäuschen. Auch Subdomains, die offizielle Stellen imitieren (login.parex-am.bafin-check.com), gehören zum Repertoire dieser Täter.

Aus rechtlicher Sicht betreibt eine Klon-Plattform in Deutschland typischerweise unerlaubte Finanzdienstleistungen nach § 32 KWG, der für das Betreiben des Einlagengeschäfts, des Kreditgeschäfts und des Finanzkommissionsgeschäfts eine Erlaubnis der BaFin vorschreibt. Fehlt diese Erlaubnis, ist das Rechtsgeschäft nach § 134 BGB nichtig, weil es gegen ein gesetzliches Verbot verstößt. Die geleisteten Zahlungen sind nach § 812 BGB als ungerechtfertigte Bereicherung zurückzufordern.

Die BaFin veröffentlicht Warnungen auf Grundlage von § 37 IV KWG, der die Aufsichtsbehörde ausdrücklich ermächtigt, die Öffentlichkeit über unerlaubte Geschäfte zu informieren. Strafrechtlich greift § 54 KWG, der das unerlaubte Betreiben von Bankgeschäften mit Freiheitsstrafe bis zu fünf Jahren bedroht, sowie § 263 StGB (Betrug) und § 263a StGB (Computerbetrug). Das Betätigungsfeld weitet sich seit der Einführung von § 10 KMAG auch auf Kryptowerte-Dienstleister aus, die nun unter die einheitliche europäische Zulassungspflicht nach MiCAR (EU-VO 2023/1114) fallen.

Welche Normen greifen bei Klon-Plattformen?

Der rechtliche Rahmen ist mehrschichtig. Auf Aufsichtsebene regelt § 32 KWG die Erlaubnispflicht für Bankgeschäfte und Finanzdienstleistungen; Verstöße werden von der BaFin nach § 37 IV KWG öffentlich gemacht. Kryptowerte-Dienstleister unterliegen seit dem Inkrafttreten von MiCAR (EU-VO 2023/1114) unionsweit harmonisierten Zulassungspflichten; § 10 KMAG (Kryptomarktaufsichtsgesetz) flankiert dies auf nationaler Ebene mit spezifischen Pflichten für den deutschen Markt.

Für Geschädigte stehen zivilrechtlich vor allem zwei Anspruchsgrundlagen im Vordergrund: § 812 BGB (Rückforderung wegen nichtigen Vertrags) und § 675u BGB (Erstattungsanspruch gegen die kontoführende Bank bei nicht autorisierten Zahlungsvorgängen). Gelingt der Nachweis einer Pflichtverletzung durch die eigene Bank — etwa weil diese auffällige Transfermuster nicht gemeldet hat — kommt ein Schadensersatzanspruch nach § 280 I BGB in Verbindung mit der Schutzpflicht aus § 241 II BGB in Betracht. Die Hausbank hat nach § 25h KWG Pflichten zum Transaktionsmonitoring; ein dokumentiertes Anlegerverhalten kann im Streit über die Warnpflicht der Bank als Entlastungsbeweis dienen.

Wer die fünf nachfolgenden Schritte vor einer Einzahlung durchführt und dies nachweisen kann, reduziert zudem das Risiko, im Rahmen von § 254 BGB (Mitverschulden) oder der strengen Haftungsausnahme des § 675v III BGB (grobe Fahrlässigkeit) in Regress genommen zu werden. Eine dokumentierte Verifikation zeigt, dass der Anleger die verkehrsübliche Sorgfalt beachtet hat — was im Streitfall den Unterschied zwischen vollem Schaden und partieller Bankerstattung ausmachen kann.

Was bedeutet das für Anleger vor einer Einzahlung?

• Nichtigkeit des Vertrags wirkt automatisch: Verträge mit nicht lizenzierten Anbietern sind nach § 134 BGB von Anfang an nichtig — eine separate Anfechtung ist nicht erforderlich. Der Rückforderungsanspruch nach § 812 BGB entsteht damit unmittelbar mit der Zahlung.
• Bankerstattung hängt von der Autorisierung ab: Wurde eine Überweisung durch eine gefälschte Website ausgelöst oder durch Täuschung manipuliert, greift § 675u BGB: Die Bank hat den Zahlungsbetrag zu erstatten, sofern der Vorgang nicht ordnungsgemäß autorisiert war. Die Abgrenzung ist im Einzelfall streitig und erfordert eine sorgfältige Dokumentation des Täuschungsweges.
• Strafrechtliche Verfahren sichern zivilrechtliche Positionen: Eine Strafanzeige nach § 158 StPO ist keine bloße Formalität. Sie leitet staatsanwaltschaftliche Ermittlungen ein, die zur Sicherstellung von Vermögenswerten nach §§ 111b ff. StPO führen können — eine Voraussetzung für eine spätere Vollstreckung.
• Eigenverantwortliche Verifikation schützt vor Mitverschuldensvorwurf: Wer die nachfolgenden fünf Schritte nachweisbar durchgeführt hat, bevor Geld geflossen ist, steht im Schadensfall rechtlich deutlich besser als jemand, der ohne jede Prüfung eingezahlt hat. Die Beweislastverteilung verschiebt sich zugunsten des Anlegers.

Für eine vertiefte Einordnung der Bankenhaftung in diesem Zusammenhang bietet die Rechtsprechungsübersicht zur Bankenhaftung bei Kryptobetrug auf kryptoschaden.de eine strukturierte Darstellung der einschlägigen Gerichtsentscheidungen.

Fünf Schritte: Der Verifikations-Workflow im Detail

1. URL exakt prüfen. Tippen Sie die Adresse des Anbieters eigenständig in ein neues Browser-Fenster ein — klicken Sie nie auf Links aus E-Mails oder Messenger-Nachrichten. Achten Sie auf Tippfehler-Domains (Typosquatting: parex-am.com statt parexam.lv), TLD-Wechsel (.com statt .de oder .lv), eingefügte Bindestriche (gute-kredit.com vs. gutekredit.com) und Subdomains, die offizielle Stellen vortäuschen (login.parex-am.bafin-check.com). Schon ein einziges abweichendes Zeichen kann auf eine Klon-Domain hinweisen. Notieren Sie die geprüfte URL und sichern Sie einen Screenshot als Dokumentation.
2. BaFin-Unternehmensdatenbank prüfen. Rufen Sie das BaFin-Unternehmensregister auf und suchen Sie nach dem Firmennamen und der Domain jeweils getrennt. Trifft der Firmenname, stimmt aber die hinterlegte Domain nicht überein, liegt Identitätsdiebstahl nahe — eine Konstellation, die die BaFin in Verbraucherwarnungen regelmäßig beschreibt. Ist das Unternehmen überhaupt nicht auffindbar, fehlt die Erlaubnis nach § 32 KWG; Finanzdienstleistungen in Deutschland sind damit gesetzlich unzulässig. Ergänzend empfiehlt sich ein Blick in die BaFin-Warnveröffentlichungen, die den Firmennamen zusätzlich indexieren.
3. Impressum gegen Handelsregister abgleichen. Jede gewerbliche Website in Deutschland unterliegt der Impressumspflicht nach § 5 TMG. Notieren Sie Firmenname, Anschrift, HRB-Nummer und Geschäftsführer aus dem Impressum und gleichen Sie diese Angaben mit dem Handelsregister ab. Eine im Impressum genannte HRB-Nummer kann auf eine vollständig andere Stadt oder andere Geschäftsführer verweisen als die Klon-Website suggeriert — das ist ein zuverlässiger Indikator für Identitätsmissbrauch. Fehlt die HRB-Nummer ganz oder stimmt sie nachweislich nicht überein, handelt es sich beim Anbieter oft um einen Bankklon oder eine Scheinfirma ohne realen Unternehmenssitz in Deutschland.
4. Whois-Abfrage und Domain-Alter prüfen. Führen Sie unter who.is oder whois.com eine Whois-Abfrage zur Domain durch. Klon-Plattformen weisen typischerweise folgende Merkmale auf: Domains jünger als zwölf Monate, Registrar mit Sitz in der Karibik oder Asien (Namecheap, NameSilo und Hostinger sind statistisch auffällig), aktivierter Privacy-Schutz, der den Registranten verbirgt, sowie Serverstandorte in Russland, China, der Türkei oder der Karibik. Seriöse Finanzunternehmen verfügen in aller Regel über Domains, die seit zehn oder mehr Jahren bestehen und auf nachvollziehbare Eigentümer-Informationen verweisen.
5. ESMA-Warndatenbank und nationales Aufsichtsregister des Sitzstaats prüfen. Europaweit koordiniert die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA) Investorenwarnungen in der ESMA-Warnliste. Prüfen Sie zusätzlich das Register des angegebenen Sitzstaats: für Lettland die Bank of Latvia (bank.lv), für Litauen die Bank of Lithuania (lb.lt), für Estland die Finantsinspektsioon (fi.ee), für die Niederlande die AFM (afm.nl), für Zypern die CySEC (cysec.gov.cy) und für Malta die MFSA (mfsa.mt). Ist das genannte Unternehmen im dortigen Register nicht aufgeführt oder passt der Eintrag nicht zur beschriebenen Tätigkeit in Deutschland, fehlt häufig auch das erforderliche Passporting für den deutschen Markt.

Häufige Fragen

Was passiert rechtlich, wenn ich bereits eingezahlt habe und die Plattform nicht lizenziert war?

Der Vertrag ist nach § 134 BGB nichtig, weil er gegen das gesetzliche Verbot des § 32 KWG verstößt. Daraus folgt unmittelbar ein Rückforderungsanspruch nach § 812 BGB. Ob die Durchsetzung gelingt, hängt davon ab, ob Vermögenswerte der Täter identifiziert und gesichert werden können. Parallel dazu kann ein Anspruch gegen die kontoführende Bank nach § 675u BGB geprüft werden, wenn die Zahlungen nicht ordnungsgemäß autorisiert wurden. Eine frühzeitige anwaltliche Einschätzung sichert laufende Fristen und klärt, welche Haftungsschiene im konkreten Fall aussichtsreicher ist.

Reicht eine BaFin-Warnung als Beweis, dass eine Plattform betrügerisch ist?

Eine BaFin-Warnung nach § 37 IV KWG ist ein starkes Indiz für das Fehlen der erforderlichen Erlaubnis und für den Betrugscharakter einer Plattform, aber kein rechtskräftiges Urteil. Im Zivilverfahren schafft sie eine tatsächliche Vermutung zugunsten des Geschädigten. Im Strafverfahren nach §§ 263, 263a StGB stellt sie eine behördliche Erkenntnisquelle dar, die staatsanwaltschaftliche Ermittlungen beschleunigen kann. Der Nachweis des individuellen Schadens und der Kausalität bleibt Aufgabe des Geschädigten.

Schützt mich die Fünf-Schritte-Prüfung vor dem Vorwurf grober Fahrlässigkeit?

Die grobe Fahrlässigkeit im Sinne von § 675v III BGB setzt voraus, dass der Zahler die im Verkehr erforderliche Sorgfalt in besonders schwerem Maß außer Acht gelassen hat. Wer nachweislich alle fünf Verifikationsschritte durchgeführt hat, wird diesen Vorwurf in der Regel erfolgreich abwehren können. Die Dokumentation — gespeicherte Screenshots der BaFin-Datenbankabfrage, des Whois-Ergebnisses und des Handelsregisterauszugs — ist dabei entscheidend. Hat die Hausbank ihren Überwachungspflichten nach § 25h KWG nicht genügt, obwohl Warnsignale vorlagen, rückt ihre Haftung nach § 280 I BGB in den Vordergrund.

Wie unterscheide ich eine Klon-Plattform von einem schlecht gestalteten, aber echten Anbieter?

Der verlässlichste Prüfpunkt ist der Abgleich zwischen der behaupteten Unternehmensidentität und dem Handelsregistereintrag sowie dem BaFin-Lizenzregister. Ein echter Anbieter, der in Deutschland tätig ist, hat eine eindeutige HRB-Nummer im Handelsregister und erscheint in der BaFin-Unternehmensdatenbank mit derselben Domain. Klon-Plattformen scheitern regelmäßig an diesem Abgleich: Entweder existiert der angegebene Eintrag nicht, oder Firmenname und Domain divergieren. Das Domain-Alter im Whois zeigt außerdem häufig, dass die fragliche Website erst wenige Monate nach dem Original registriert wurde.

Einordnung

Klon-Plattformen sind kein Randphänomen — sie sind die vorherrschende Betrugsform im regulierten Finanzmarkt. Mit dem vollständigen Wirksamwerden von MiCAR (EU-VO 2023/1114) und der Umsetzung der Richtlinie RL 2024/1260 auf nationaler Ebene werden die Zulassungspflichten für Kryptowerte-Dienstleister europaweit verschärft; das erhöht zugleich den Anreiz für Täter, Klons regulierter Anbieter zu betreiben. Wer einen Anbieter eigenständig anhand der fünf beschriebenen Schritte verifiziert, schützt sich vor finanziellem Schaden und legt gleichzeitig die Grundlage für eine aussichtsreiche rechtliche Gegenwehr. Für die strukturierte Rückforderung nach einem bereits eingetretenen Schaden gibt die Übersicht zum Asset Recovery bei Kryptobetrug einen praxisnahen Einstieg. Welche Haftungsschienen gegen Kundenbank, Empfängerbank und Finanzagent in Betracht kommen, zeigt die rechtliche Analyse zu den drei Haftungsschienen bei Kryptobetrug.