Die EU-weite Übergangsfrist der Krypto-Verordnung MiCA ist am 1. Juli 2026 ausgelaufen. Seither melden ESMA und die französische AMF eine Zunahme an Phishing-Betrug mit gefälschten Behörden-Identitäten.
MiCA steht für Markets in Crypto-Assets und bildet das EU-weite Lizenzregime für Krypto-Dienstleister. Börsen, Broker und Verwahrstellen benötigen daher eine CASP-Zulassung mit Auflagen zu Eigenkapital, Compliance und Anlegerschutz. Ohne diese Bewilligung dürfen sie keine EU-Kunden mehr bedienen. Ursprünglich erlaubte die Übergangsfrist Bestandsanbietern maximal 18 Monate Weiterbetrieb, gestaffelt nach Mitgliedstaat. Ende Juli 2026 verzeichnete das ESMA-Register 323 autorisierte CASPs. Für Anleger sollte die Umstellung vor allem Rechtssicherheit bringen. Kurzfristig entstand daraus allerdings eine neue Angriffsfläche.
Abonnieren Sie unseren Newsletter
Die besten Artikel der Woche direkt in ihre Mailbox geliefert.
Erst 16 der 100 grössten Börsen sind MiCA-lizenziert
Der Stichtag hat den Kreis der legal zugänglichen Anbieter spürbar verengt. Im öffentlichen ESMA-Register steht jede erteilte CASP-Bewilligung samt zuständiger nationaler Aufsicht. Eine einmal erteilte Zulassung gilt über den EU-Pass im gesamten Binnenmarkt. Die Zahl der Einträge schwankt wöchentlich, weil laufend neue Zulassungen hinzukommen. Deutlich grösser ist jedoch die Gruppe der Abgänge. Der Datenanbieter VASPnet schätzt, dass über 1'700 nicht lizenzierte Krypto-Dienstleister ihr Angebot für EU-Kunden einstellen mussten. Eine amtliche Bestätigung für diese Schätzung fehlt allerdings.
Auch unter den grössten Handelsplätzen bleibt die Lizenzdichte gering. Von den 100 volumenstärksten Krypto-Börsen weltweit verfügen erst 16 über eine MiCA-Zulassung. Dazu gehören Coinbase, Kraken, Bybit, OKX, Crypto.com und KuCoin. An der Spitze liegt die Quote vergleichsweise höher, denn sechs der zehn volumenstärksten Börsen sind lizenziert. Binance, gemessen am Handelsvolumen die grösste Börse der Welt, hat bislang keine EU-weite MiCA-Zulassung erhalten. Alle übrigen Anbieter dürfen EU-Kunden seit Juli folglich nicht mehr aktiv bedienen. Europäische Nutzer mussten sich binnen weniger Wochen neu orientieren.
Die zeitliche Staffelung verstärkte die Unsicherheit zudem. Deutschland setzte den nationalen Stichtag auf den 31. Dezember 2025, ein halbes Jahr vor dem EU-Maximum. Frankreich liess seinen Anbietern hingegen die vollen 18 Monate. Wer Konten in beiden Märkten hielt, erlebte den Rückzug seiner Plattformen somit zu unterschiedlichen Zeitpunkten. Bestandskunden mussten ihre Guthaben abziehen, zu einem lizenzierten Anbieter übertragen oder in Selbstverwahrung nehmen. Genau diese Unübersichtlichkeit nutzen Betrüger aus.
Betrüger geben sich als ESMA und AMF aus
Die AMF dokumentierte Fälle, in denen sich Täter als Mitarbeitende der Behörde ausgaben. Sie forderten Anleger auf, ihre Guthaben zur angeblichen Sicherung auf gefälschte Webseiten zu übertragen. Der Vorwand wirkt plausibel, zumal viele Kunden ohnehin einen Anbieterwechsel vornehmen mussten. Übertragene Krypto-Guthaben lassen sich zudem praktisch nie zurückholen.
Die französische Aufsicht verzichtete deshalb auf eine harte Abschaltfrist für nicht lizenzierte Börsen. Ein abrupter Marktausschluss hätte den Tätern schliesslich zusätzliche Vorwände geliefert. Auch der Name der ESMA dient als Vorlage. Gegenüber der Financial Times bestätigte die Behörde den Missbrauch ihres Logos und gefälschter Dokumente. Offizielle Mitteilungen stammen ausschliesslich von Adressen mit der Endung @esma.europa.eu. Die niederländische AFM meldet ebenfalls gezielte Angriffe auf Verbraucher, die nach lizenzierten Alternativen suchen.
Die Behörden nennen mehrere Merkmale echter Kommunikation. Aufsichtsstellen fordern niemals zur Übertragung von Vermögenswerten auf. Sie verlangen ausserdem keine Gebühren für die Rückholung verlorener Gelder. Künstliche Fristen gehören ebenso wenig zum behördlichen Repertoire. Den Lizenzstatus eines Anbieters können Anleger direkt im ESMA-Register oder auf der Webseite der AMF prüfen. Wer unter Zeitdruck gerät, sollte daher misstrauisch werden.
Identitätsbetrug wuchs um über 1'400 Prozent
Der Anstieg solcher Fälle begann jedoch lange vor dem Stichtag. Der Crypto Crime Report 2026 von Chainalysis weist für 2025 bestätigte On-Chain-Betrugsschäden von rund 14 Mrd. USD aus. Für den Report wertet die Analysefirma Zahlungsströme auf öffentlichen Blockchains aus. Bei vollständiger Erfassung projiziert sie bis zu 17 Mrd. USD. Ursprünglich hatte Chainalysis für 2024 9.9 Mrd. USD gemeldet. Diesen Wert revidierte die Firma später auf 12 Mrd. USD. Gegenüber 2024 stieg die Schadenssumme somit um rund 17 Prozent.
Am stärksten wuchs der Betrug mit fremden Identitäten. Chainalysis beziffert die Zunahme auf über 1'400 Prozent gegenüber dem Vorjahr. Die durchschnittliche Zahlung pro Fall dieser Masche stieg gleichzeitig um mehr als 600 Prozent. Über alle Betrugsmaschen hinweg kletterte der Durchschnitt ebenfalls, von 782 auf 2'764 USD. Diese Werte beziehen sich auf das globale Kryptojahr 2025 und nicht auf die MiCA-Umstellung. Sie zeigen dennoch, wie lohnend das Vortäuschen einer Institution geworden ist.
Auch die Angriffstechnik verschiebt sich. Scam Sniffer registrierte im Januar 2026 Verluste durch sogenanntes Signature Phishing von 6.27 Mio. USD. Gegenüber Dezember 2025 entspricht das einem Plus von 207 Prozent. Die Zahl der Opfer sank gleichzeitig um 11 Prozent auf 4'741. Zwei Grossanleger verantworteten allein 65 Prozent der Verlustsumme. Massenkampagnen verlieren folglich an Bedeutung. Diese Konzentration auf wenige vermögende Ziele ist als Whale Hunting bekannt.
Schweizer Anleger bleiben ohne MiCA-Schutz
In der Schweiz gilt MiCA nicht. Das Land gehört weder der EU noch dem EWR an, weshalb die FINMA keine MiCA-Lizenz vergeben kann. Wer über eine EU-lizenzierte Plattform handelt, profitiert trotzdem von den Anlegerschutzbestimmungen der Verordnung. Bei einer nicht mehr lizenzierten EU-Plattform entfällt dieser Schutz hingegen vollständig. Dasselbe gilt für verbundene Gesellschaften und für Anbieter ausserhalb der Union. Darauf weist die AMF in ihrer Mitteilung vom Juni hin. Schweizer Kunden tragen das Risiko in diesen Fällen also allein.
Diverse Schweizer Krypto-Unternehmen haben sich den Zugang über Töchter im EU- und EWR-Raum gesichert. Crypto Finance erhielt im Januar 2025 als erstes Haus eine CASP-Lizenz der deutschen BaFin. Später folgten AMINA Bank über die österreichische FMA sowie Relai und SwissBorg über die französische AMF. Swissquote sicherte sich die Zulassung im April 2026 bei der luxemburgischen CSSF. RuleMatch, Bitcoin Suisse und Sygnum Bank erhielten ihre Bewilligungen schliesslich im Juni 2026 in Liechtenstein. Die acht Lizenzen verteilen sich insgesamt auf fünf Aufsichtsbehörden.
Eine direkte Schweizer Entsprechung zur MiCA-Umstellung gibt es nicht. Die FINMA führt dennoch eine Warnliste mit Anbietern, die den Anschein einer Bewilligung erwecken. Sie beruht auf Meldungen und eigenen Abklärungen und ist deswegen nicht abschliessend. Als Prüfinstrument ergänzt die Liste das Bewilligungsregister, ersetzt es aber nicht. Das Bundesamt für Cybersicherheit registrierte 2025 knapp 65'000 Meldungen, rund 19 Prozent davon zu Phishing. Im zweiten Halbjahr 2025 gingen 6'299 Phishing-Meldungen ein, 17 Prozent mehr als ein Jahr zuvor. Wie viele davon Krypto-Anleger betrafen, weist das Amt nicht aus.
