Kryptobetrug: Milliarden Schaden, kaum Täter

Wer deutschen Kryptoanlegern ihr Geld stiehlt, muss kaum mit Konsequenzen rechnen. Das Bundeskriminalamt löst grenzüberschreitende Internetkriminalität in nur 5,4 Prozent der Fälle auf. Kryptobetrug kommt fast immer aus dem Ausland. Das Ergebnis: Investmentbetrug über gefälschte Kryptoplattformen kostet deutsche Anleger nach Schätzungen der Ermittlungsbehörden mehr als eine Milliarde Euro pro Jahr. Wie viel genau, weiß niemand. Denn Deutschland hat keine zentrale Statistik.

Das Datenvakuum: Was Deutschland nicht weiß

Die USA wissen es genau: Das Federal Bureau of Investigation erfasst Kryptobetrug zentral über sein Internet Crime Complaint Center (IC3). 2024 meldeten amerikanische Opfer dort Verluste von 9,3 Milliarden US-Dollar durch kryptobezogene Betrugsfälle. Die Vergleichszahl für Deutschland existiert nicht. Das Bundeskriminalamt führt in seiner Polizeilichen Kriminalstatistik keine eigenständige Kategorie für Kryptobetrug.

Was die Behörden stattdessen liefern, ist fragmentiert. Die Finanzielle Intelligenzeinheit (FIU), die Geldwäscheverdachtsmeldungen auswertet, registrierte 2024 exakt 8.711 kryptobezogene Verdachtsmeldungen. Das sind 8,2 Prozent mehr als im Vorjahr und zeigt, dass das Problem wächst. Doch Verdachtsmeldungen sind keine Schadenssummen, sie sind Signale von Banken und Zahlungsdienstleistern. Wie viel Geld tatsächlich verloren ging, bleibt ungeklärt.

Regionaldaten belegen das Ausmaß zumindest in Ausschnitten. Die bayerische Zentralstelle Cybercrime (ZCB) der Staatsanwaltschaft beziffert die Schäden aus kryptobezogenem Investmentbetrug seit 2017 auf über 350 Millionen Euro allein in Bayern. Hamburger Ermittler registrierten 2024 rund 500 Fälle mit 15 Millionen Euro Schaden in der Hansestadt. Hochgerechnet auf die Gesamtbevölkerung schätzen Ermittler deutschlandweit mehr als eine Milliarde Euro jährlich aus dem sogenannten Cybertradingbetrug, bei dem Täter gefälschte Investmentplattformen unter Kryptobranding betreiben. Die Schätzung ist vorsichtig.

Zum Vergleich: In Großbritannien erfasst Action Fraud, eine zentrale Meldestelle für Finanzkriminalität, 2024 Verluste von 649 Millionen Pfund durch Investmentbetrug, von denen 66 Prozent kryptobezogen waren. Das entspricht rund 760 Millionen Euro. Das Vereinigte Königreich hat etwa drei Viertel der deutschen Bevölkerung. Die Dunkelziffer in Deutschland dürfte erheblich größer sein als die Schätzung der Ermittler nahelegt.

Das dreifache Enforcement-Versagen

Das erste Versagen ist struktureller Natur: Deutschland hat keine zentrale Anlaufstelle für Kryptobetrug-Opfer. Wer in den USA bestohlen wird, meldet es beim IC3, das die Daten bundesweit auswertet und Muster erkennt. Wer in Deutschland betrogen wurde, wendet sich je nach Wohnsitz an eines von 16 Landeskriminalämtern, die keine gemeinsame Datenbank führen. Tatserien bleiben unsichtbar.

Das zweite Versagen ist das Aufklärungsdefizit. Das BKA weist für 2024 eine Aufklärungsquote von 32 Prozent für inländische Cyberkriminalität aus. Für Taten aus dem Ausland sinkt die Quote auf 5,4 Prozent. Kryptobetrug ist international organisiert. Opfer in Frankfurt oder München werden von Tätern aus dem Kosovo, der Ukraine oder Südostasien um ihr Geld gebracht, die kein deutsches Auslieferungsabkommen fürchten müssen. Für sie ist Deutschland ein besonders attraktiver Markt: drei Millionen Menschen mit Kryptowährungserfahrung, Kaufkraft und eine Behördenstruktur, die internationale Koordination strukturell erschwert.

Das dritte Versagen ist das Sanktionsdefizit. Beim schwersten Kryptobetrug der Geschichte, dem Zusammenbruch von FTX 2022, verhängte ein US-Bundesgericht im März 2024 eine Haftstrafe von 25 Jahren gegen Gründer Sam Bankman-Fried. Kunden hatten rund acht Milliarden US-Dollar verloren. Die US-Wertpapieraufsicht SEC erzielte 2024 allein in ihren Kryptoverfahren Bußgelder und Settlements von 4,68 Milliarden US-Dollar, unter anderem aus der Abwicklung von Terraform Labs. Die BaFin verhängte 2024 Bußgelder von 24,6 Millionen Euro über alle von ihr beaufsichtigten Sektoren zusammen, nicht nur Krypto. Eine kryptospezifische Bilanz veröffentlicht die Behörde nicht.

Die BaFin hat 2024 gehandelt, was ihr zur Verfügung steht: Im August durchsuchten BaFin-Mitarbeiter gemeinsam mit Polizei und Bundesbank 35 Standorte, beschlagnahmten 13 Krypto-Automaten ohne Lizenz und konfiszierten knapp 250.000 Euro Bargeld. Es war die erste koordinierte Enforcement-Aktion dieser Art in Deutschland. Ihr Signal war richtig, ihre Wirkung begrenzt. Im September schloss das BKA zusammen mit der Generalstaatsanwaltschaft Frankfurt 47 kryptobezogene Tauschbörsen, die ohne Geldwäscheprüfung operierten. Administrativer Druck, keine Haftstrafen.

Die Maschinen der Täter werden besser

Während Deutschland verwaltet, entwickeln Täter ihre Methoden weiter. Die Blockchain-Analyticsfirma Chainalysis beziffert den weltweiten Schaden durch Kryptoscams 2024 auf rund 12 Milliarden US-Dollar. Besonders alarmierend ist die Beschleunigung durch Künstliche Intelligenz: Die Analysefirma TRM Labs registrierte über die Meldeplatform Chainabuse von Mai 2024 bis April 2025 einen Anstieg KI-gestützter Betrugsmethoden um 456 Prozent. Deepfake-Videos prominenter Personen werben für fiktive Investmentmöglichkeiten. Automatisierte Chatbots führen wochen- oder monatelange Scheinbeziehungen mit Opfern, bevor diese zur Investition gebracht werden. Gefälschte Wallet-Apps im App Store spiegeln Gewinne vor und lösen dann das Guthaben aus.

Das Muster, das Ermittler „Pig Butchering” nennen, also das geduldige Mästen des Opfers vor der finalen Schlachtung, stammt ursprünglich aus organisierten kriminellen Netzwerken in Südostasien. Ihre Opfer fanden sich lange vor allem in Nordamerika und Asien. Deutsche Ermittler berichten, dass diese Maschen inzwischen systematisch auf den deutschsprachigen Raum ausgeweitet werden. Die Täter betreiben professionelle Call-Center, schulen Personal in deutscher Sprache und nutzen KI-generierte Texte und Stimmen.

Einen Schutz gegen diese Taktiken bietet der regulatorische Rahmen nur begrenzt. MiCA, die EU-Verordnung über Märkte für Kryptowerte, ist seit dem 30. Dezember 2024 vollständig anwendbar. Sie verpflichtet Kryptowährungsdienstleister zu Lizenzierung, Kapitalanforderungen und Verbraucherschutzmechanismen. Wer in der EU Kryptodienste anbieten will, braucht eine Zulassung. Das schließt legitime Anbieter ein, aber kaum kriminelle Akteure, die ohnehin keine Lizenz beantragen.

Der internationale Vergleich zeigt, was fehlt

Großbritannien führte 2024 die erste Strafverfolgung gegen ein unregistriertes Kryptounternehmen durch. Die britische Financial Conduct Authority (FCA) geht seit Jahren konsequent gegen nicht lizenzierte Anbieter vor und unterstützt Opfer mit einer zentralen Meldestelle. Das Vereinigte Königreich hat trotz oder wegen seines Brexits den regulatorischen Druck auf Kryptodienstleister in den vergangenen Jahren erhöht, nicht verringert.

In den USA ist das Bild differenzierter, aber in einem Punkt konsistent: Strafverfolgung hat Priorität. Das FBI IC3 betreibt eine spezialisierte Recovery Asset Team, das in definierten Zeitfenstern nach Kryptodiebstahl Transaktionen stoppen kann. Die Conviction Rate bei Betrugsfällen liegt nach Angaben des US-Justizministeriums weit über europäischen Werten. Sam Bankman-Frieds Verurteilung zu 25 Jahren war kein Ausreißer, sondern Teil einer Reihe hochkarätiger Verurteilungen, von Do Kwon über Celsius-Gründer Alex Mashinsky bis zu OneCoin-Mitgründer Karl Sebastian Greenwood.

Deutschland hat bislang keinen einzigen vergleichbaren Fall produziert. Das liegt nicht nur an fehlender Strafverfolgungskapazität, sondern auch an der Verfolgungsstruktur: Kryptobetrug fällt in 16 verschiedene Zuständigkeiten. Die Generalstaatsanwaltschaft Frankfurt hat sich als Schwerpunktstaatsanwaltschaft für Cyberkriminalität etabliert, eine formale Zentralisierung erfolgte bislang nicht. Ressourcen und Expertise sind ungleich verteilt.

Markus Beckedahl, Digitalpolitikexperte und Gründer von netzpolitik.org, wies wiederholt auf das strukturelle Problem hin: Während Regulierung europaweit harmonisiert wurde, bleibt Strafverfolgung national. MiCA schafft ein gemeinsames Lizenzierungsregime. Für die Verfolgung grenzüberschreitender Betrugsdelikte fehlt das Gegenstück. Europaweite Koordination durch Europol und Eurojust existiert, ist aber personell und finanziell begrenzt.

Der Verbraucherzentrale Bundesverband verzeichnet seit 2023 deutlich steigende Anfragen von Personen, die Geld auf gefälschten Investmentplattformen verloren haben. Eine systematische Beratungsinfrastruktur fehlt.

Was MiCAR nicht löst: Drei offene Baustellen

MiCAR regelt lizenzierte Kryptodienstleister. Das ist wichtig, löst aber das Kernproblem nicht. Die meisten Opfer verlieren ihr Geld nicht auf regulierten Börsen wie Coinbase oder Bitstamp, sondern auf gefälschten Plattformen, die nie eine Lizenz hatten und nie haben werden. Für sie verändert MiCAR nichts.

Die drei Lücken, die Ermittler und Verbraucherschützer seit Jahren benennen, bleiben nach MiCAR bestehen:

Erstens das Meldungsdefizit. Deutschland braucht eine zentrale Meldestelle nach Vorbild von IC3 oder Action Fraud, die Betrugsmuster systematisch auswertet und Warnungen koordiniert ausspielt. Verbraucher, die betrogen wurden, haben heute keinen bundesweit zuständigen Ansprechpartner.

Zweitens das Kapazitätsdefizit. Cyberkriminalität ist komplex und ressourcenintensiv. Blockchain-Analyse, internationale Rechtshilfeersuchen, digitale Forensik erfordern Spezialkenntnisse. Nicht jedes Landeskriminalamt verfügt über die entsprechende Kapazität. Der Bund könnte Bündelungsfunktionen übernehmen, tut es aber nicht systematisch.

Drittens das Rückforderungsdefizit. Nach einem Betrug kann Blockchain-Forensik helfen, den Verbleib von Kryptowährung zu verfolgen, bevor sie über Mixer oder Tauschbörsen anonymisiert wird. Je schneller Behörden reagieren, desto größer die Chance auf Rückforderung. Das FBI hat dafür ein spezialisiertes Team. Deutschland hat kein Pendant.

Im Mai 2025 hat das BKA zusammen mit der Generalstaatsanwaltschaft Frankfurt den Krypto-Swapping-Dienst eXch abgeschaltet und dabei rund 34 Millionen Euro in Kryptowährungen sichergestellt. Es war ein bedeutender Ermittlungserfolg und ein Beleg, dass deutsche Behörden technisch handlungsfähig sind. Er zeigt aber auch, was möglich wäre, wenn entsprechende Ressourcen systematisch eingesetzt würden und nicht von Einzelfällen abhingen.

Wann Deutschland handeln muss

Bis Ende 2026 muss die BaFin ihren ersten Vollbericht zur MiCAR-Umsetzung vorlegen. Darin wird sie darlegen, wie viele Kryptounternehmen sie lizenziert hat, wie viele abgewiesen wurden und welche Sanktionen sie verhängt hat. Dieser Bericht wird zeigen, ob MiCAR in Deutschland als Instrument genutzt wird oder als Bürokratiepflicht abgearbeitet.

Auf EU-Ebene prüft die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA) gemeinsam mit den nationalen Aufsichtsbehörden bis Ende 2026 die grenzüberschreitende Anwendung von MiCAR. Dabei geht es auch darum, ob Unternehmen Regulierungsarbitrage betreiben, also Lizenzen in Ländern mit schwächeren Aufsichtspraktiken beantragen und dann in anderen EU-Staaten operieren.

Für die rund 3,5 Millionen Deutschen mit Kryptowährungserfahrung ist die Situation bis dahin unverändert: Wer auf eine gefälschte Plattform hereinfällt, hat wenig Chancen, sein Geld zurückzusehen. Wer den Betrug überhaupt erstattet, findet keinen bundesweiten Ansprechpartner. Und wer den Täter vor Gericht bringen will, verlässt sich auf eine Aufklärungsquote von 5,4 Prozent.