Der Markt für digitale Währungen ist seit einigen Jahren ein beliebtes Ziel für Cyberkriminelle. Jede Jahresperiode bringt mehrere Milliarden Euro an Verlusten, weil Täter aus der Anonymität der Blockchain Kapital stehlen oder Investoren mit falschen Versprechen locken. Während die Nachfrage nach Kryptowährungen weiter steigt, entwickeln sich die betrügerischen Methoden kontinuierlich weiter und werden immer schwerer zu erkennen.
Gleichzeitig reagieren Aufsichtsbehörden weltweit mit strengeren Vorgaben. Der Europäische Gerichtshof hat kürzlich entschieden, dass Zahlungsdienstleister bei nicht autorisierten Transaktionen sofort erstatten müssen – selbst wenn die Bank grobe Fahrlässigkeit des Kunden vermutet. Dieses Urteil stellt einen Wendepunkt für die Rechte von Krypto-Opfern dar.
Verbreitete Betrugsformen im Kryptobereich
Phishing und Vishing zählen zu den häufigsten Angriffen. Täter versenden täuschend echte E-Mails oder SMS, die angeblich von bekannten Börsen stammen, und fordern die Eingabe von Seed-Phrases oder Private Keys. Bei Vishing wird das Opfer telefonisch kontaktiert, oft mit KI-generierten Stimmen, die sich als technischer Support ausgeben. Der Einsatz von Deep-Fake-Audio erhöht die Glaubwürdigkeit und führt zu schnellen Geldabflüssen.
Ein weiteres profitables Schema ist das Ponzi-System. Betreiber versprechen überhöhte Renditen, die ausschließlich aus neuen Einlagen gespeist werden. Sobald der Zufluss stoppt, kollabiert das System – ein prominentes Beispiel ist der Fall OneCoin, bei dem zwischen 2014 und 2017 rund 4 Milliarden US-Dollar eingezogen wurden, obwohl die angebliche Kryptowährung nie existierte. In den letzten Jahren haben Love-Scams und das neuere Pig-Butchering die klassische Masche weiterentwickelt: Täter bauen über Dating-Apps eine emotionale Beziehung auf und überzeugen das Opfer, in scheinbare Krypto-Projekte zu investieren, wobei gefälschte Handelsplattformen vorgespielt werden.
Auf der Ebene des Marktes nutzen Kriminelle Pump-and-Dump und Rug-Pull Strategien. Beim Pump-and-Dump werden über soziale Netzwerke unrealistische Gewinnversprechen verbreitet, um den Preis eines Tokens zu treiben, bevor die Insassen ihre Bestände mit Gewinn verkaufen. Ein Rug-Pull ist ein Spezialfall, bei dem Entwickler eines DeFi-Projekts plötzlich die Liquidität abziehen und das Token wertlos zurücklassen. Besonders anfällig dafür sind Memecoins mit geringer Marktkapitalisierung, deren Preis fast ausschließlich von Aufmerksamkeit abhängt.
Prominente Fälle 2021-2024 und Reaktionen der Behörden
Ein eindrucksvolles Beispiel für einen Exit-Scam ist die türkische Börse Thodex. Bis 2021 sammelte das Unternehmen rund 2 Milliarden US-Dollar von etwa 400 000 Kunden. Als der Handel eingestellt wurde, floh der Gründer nach Albanien und ließ die Kundengelder verschwinden. Der Fall verdeutlicht, wie schwer Rückverfolgungen sein können, wenn Täter ihre Infrastruktur abrupt schließen.
Im asiatischen Raum forderte die chinesische Behörde die Beschlagnahmung von exakt 61 896,41552945 Bitcoins, die im Zusammenhang mit dem Schneeballsystem von Zhimin Qian standen. Zwischen 2014 und 2017 hatte Qian über 5,7 Milliarden US-Dollar von Opfern eingesammelt; die beschlagnahmten Coins haben heute einen Marktwert von etwa 5 Milliarden US-Dollar.
In den USA hat Präsident Donald Trump angekündigt, die Bekämpfung internationaler Krypto-Betrugsnetze zu intensivieren. In einer gemeinsamen Pressekonferenz des Weißen Hauses mit dem FBI-Direktor wurden Maßnahmen vorgestellt, die auf die Beschlagnahmung betrügerischer Webseiten und die Verfolgung von Identitätsdiebstahl abzielen. Kritiker weisen jedoch darauf hin, dass die finanzielle Beteiligung der Trump-Familie an Krypto-Investitionen – laut eigenen Berechnungen mindestens 2,3 Milliarden US-Dollar – ein potenzielles Interessenkonflikt-Risiko darstellt.
EuGH-Urteil: Sofortige Rückzahlung bei unberechtigter Zahlung
Der Europäische Gerichtshof hat in der Rechtssache C-70/25 klargestellt, dass Zahlungsdienstleister unautorisierte Transaktionen unverzüglich erstatten müssen, spätestens bis zum Ende des nächsten Geschäftstages. Die Entscheidung trennt dabei die Erstattungspflicht von der späteren Verlustzuweisung. Banken dürfen das Geld erst zurückfordern, wenn sie nachweisen können, dass der Kunde vorsätzlich oder grob fahrlässig gehandelt hat – die Beweislast liegt also bei der Bank.
In Deutschland konkretisiert § 675u BGB diese Vorgabe: Nach Meldung des Vorfalls muss die Bank die Summe zurückzahlen, bevor sie mögliche Gegenansprüche prüft. Der Bundesgerichtshof hatte bisher die Verrechnung von Schadenersatz und Erstattung zulässig erklärt, etwa im März 2026 in einem Chip-TAN-Phishing-Fall über 39 500 Euro. Das neue EuGH-Urteil erschwert solche Verrechnungen, weil die sofortige Erstattung nun gesetzlich bindend ist.
Der Verbraucherzentrale Bundesverband kritisiert, dass viele Banken weiterhin grobe Fahrlässigkeit pauschal unterstellen und die Erstattung verweigern. Eine Auswertung von 100 Meldungen (Mai-Nov 2025) zeigt, dass die Praxis nicht immer mit der gesetzlichen Vorgabe übereinstimmt. Die VZB fordert klare Durchsetzung, damit das Recht der Verbraucher nicht nur theoretisch, sondern praktisch wirksam wird.
Für Betroffene gilt: Nach einem Betrugsverdacht sofort die Bank informieren, Konten sperren und sämtliche Korrespondenz dokumentieren. Nur so kann die im EuGH-Urteil verankerte Rückzahlungsfrist von einem Werktag eingehalten werden. Die EU arbeitet zudem an einer ergänzenden Zahlungsdienste-Verordnung (PSR), die die Verbraucher weiter stärken soll, obwohl sie bislang noch nicht in Kraft ist.
