Die EU-weite Übergangsfrist für die Krypto-Verordnung Markets in Crypto-Assets (MiCA) ist am 1. Juli 2026 ausgelaufen. Seit diesem Datum berichten sowohl die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA) als auch Frankreichs Autorité des marchés financiers (AMF) über einen deutlichen Anstieg von Phishing-Betrugsfällen, bei denen gefälschte Regulierungsidentitäten eingesetzt werden, um Anleger zu täuschen.

MiCA schafft den EU-weiten Lizenzrahmen für Anbieter von Krypto-Asset-Dienstleistungen und ist das erste umfassende, harmonisierte Krypto-Asset-Regime, das von einer großen Volkswirtschaft eingeführt wurde. Börsen, Broker und Verwahrer, die im Binnenmarkt tätig sind, müssen eine Genehmigung als Crypto-Asset Service Provider (CASP) einholen, die Anforderungen an Kapital, Compliance und Anlegerschutz stellt. Anbieter ohne diese Lizenz dürfen EU-Kunden nicht mehr bedienen. Die ursprüngliche Übergangsfrist erlaubte bestehenden Betreibern bis zu 18 Monate Fortführung des Betriebs, wobei die Fristen je nach Mitgliedstaat gestaffelt waren. Ende Juli 2026 listete das ESMA-Register 323 autorisierte CASPs. Während die Übergangsphase vor allem Rechtssicherheit für Anleger schaffen sollte, entstand durch den engen Zeitrahmen zugleich eine neue und erhebliche Angriffsfläche für Betrüger.

Nur 16 der 100 größten Börsen verfügen über eine MiCA-Lizenz

Die Frist hat die Zahl der rechtlich zugänglichen Anbieter in der EU deutlich verringert. Das öffentliche ESMA-Register führt jede erteilte CASP-Autorisierung zusammen mit der zuständigen nationalen Aufsicht auf. Sobald eine nationale Behörde eine Lizenz erteilt, gilt sie über den EU-Pass im gesamten Binnenmarkt. Die Zahl der Einträge verändert sich wöchentlich, da laufend neue Genehmigungen hinzukommen.

Deutlich größer ist jedoch die Zahl der Abgänge. Der Datenanbieter VASPnet schätzt, dass mehr als 1.700 nicht lizenzierte Krypto-Dienstleister ihre Dienste für EU-Kunden einstellen mussten; eine offizielle Bestätigung dieser Zahl liegt jedoch nicht vor.

Unter den größten Handelsplätzen bleibt die Lizenzdichte niedrig. Von den 100 Kryptobörsen mit dem weltweit höchsten Handelsvolumen verfügen nur 16 über eine MiCA-Autorisierung, darunter Coinbase, Kraken, Bybit, OKX, Crypto.com und KuCoin. An der Spitze ist das Verhältnis vergleichsweise höher, da sechs der zehn volumenstärksten Börsen lizenziert sind. Binance, die weltweit größte Börse nach Handelsvolumen, hat bislang keine EU-weite MiCA-Lizenz erhalten. Infolgedessen dürfen nicht lizenzierte Anbieter seit Juli EU-Kunden nicht mehr aktiv bedienen. Europäische Nutzer mussten sich daher innerhalb weniger Wochen neu orientieren.

Die gestaffelten nationalen Fristen erhöhten die Unsicherheit zusätzlich. Deutschland setzte seine nationale Frist auf den 31. Dezember 2025 und damit ein halbes Jahr vor dem EU-Maximum. Frankreich gewährte seinen Anbietern dagegen die vollen 18 Monate. Wer Konten in beiden Märkten hielt, sah seine Plattformen zu unterschiedlichen Zeitpunkten verschwinden. Bestehende Kunden mussten ihre Guthaben abziehen, zu einem lizenzierten Anbieter übertragen oder in die Selbstverwahrung überführen. Genau diese Verwirrung nutzen Betrüger aus.

MiCA-Phishing-Betrug gibt sich als ESMA und AMF aus

Die AMF dokumentierte Fälle, in denen sich Täter als Mitarbeiter der Behörde ausgaben. Sie forderten Anleger auf, ihre Guthaben zur angeblichen sicheren Verwahrung auf gefälschte Websites zu übertragen. Dieser Vorwand wirkt plausibel, zumal viele Kunden ohnehin den Anbieter wechseln mussten. Übertragene Krypto-Guthaben sind zudem fast nie wiederzuerlangen.

Frankreichs Aufseher verzichtete deshalb auf eine harte Stilllegungsfrist für nicht lizenzierte Börsen. Ein abrupter Marktausschluss hätte den Tätern zusätzliche Vorwände geliefert. Auch der Name der ESMA wird missbraucht. Gegenüber der Financial Times bestätigte die Behörde die unbefugte Nutzung ihres Logos und gefälschter Dokumente. Offizielle Mitteilungen kommen ausschließlich von Adressen, die auf @esma.europa.eu enden. Die niederländische AFM meldet ebenfalls gezielte Angriffe auf Verbraucher, die nach lizenzierten Alternativen suchen.

Die Aufsichtsbehörden nennen mehrere Merkmale echter Kommunikation. Aufsichtsstellen fragen niemals nach der Übertragung von Vermögenswerten. Außerdem erheben sie keine Gebühren für die Wiederbeschaffung verlorener Gelder. Künstliche Fristen gehören ebenfalls nicht zum offiziellen Vorgehen. Anleger können den Lizenzstatus eines Anbieters direkt im ESMA-Register oder auf der Website der AMF prüfen. Wer unter Zeitdruck gesetzt wird, sollte daher misstrauisch werden.

Identitätsbetrug nahm um mehr als 1.400 Prozent zu

Der Anstieg solcher Fälle begann jedoch schon lange vor der MiCA-Frist. Der Crypto Crime Report 2026 von Chainalysis beziffert die bestätigten On-Chain-Betrugsverluste für 2025 auf rund USD 14 Milliarden. Für den Bericht wertet das Analyseunternehmen Zahlungsflüsse auf öffentlichen Blockchains aus. Bei vollständiger Abdeckung projiziert es Verluste von bis zu USD 17 Milliarden. Zunächst hatte Chainalysis für 2024 USD 9,9 Milliarden gemeldet, diese Zahl später aber auf USD 12 Milliarden korrigiert. Insgesamt stieg der Schaden gegenüber 2024 um rund 17 Prozent.

Am schnellsten wuchs der Betrug durch Identitätsmissbrauch. Chainalysis beziffert den Anstieg in diesem Bereich auf mehr als 1.400 Prozent gegenüber dem Vorjahr. Gleichzeitig stieg die durchschnittliche Zahlung pro Fall um mehr als 600 Prozent. Über alle Betrugsarten hinweg erhöhte sich der Durchschnitt ebenfalls, von USD 782 auf USD 2.764. Diese Zahlen beziehen sich auf das globale Krypto-Jahr 2025 und nicht speziell auf die MiCA-Übergangsphase. Sie zeigen jedoch, wie lukrativ es geworden ist, sich als Institution auszugeben.

Auch die Angriffsmethoden verändern sich. Scam Sniffer verzeichnete im Januar 2026 Verluste von USD 6,27 Millionen durch sogenanntes Signature-Phishing. Gegenüber Dezember 2025 entspricht das einem Anstieg von 207 Prozent. Zugleich sank die Zahl der Opfer um 11 Prozent auf 4.741. Zwei Großanleger machten allein 65 Prozent des gesamten Verlusts aus. Massenkampagnen verlieren damit an Bedeutung. Die Branche bezeichnet diese Konzentration auf wenige vermögende Ziele als Whale Hunting.

Schweizer Anleger bleiben ohne MiCA-Schutz

MiCA gilt in der Schweiz nicht. Das Land gehört weder der EU noch dem EWR an, sodass die FINMA keine MiCA-Lizenz erteilen kann. Wer über eine EU-lizenzierte Plattform handelt, profitiert weiterhin von den Anlegerschutzregeln der Verordnung. Fällt diese EU-Plattform jedoch weg oder ist sie nicht lizenziert, entfällt dieser Schutz vollständig. Dasselbe gilt für verbundene Unternehmen und Anbieter außerhalb der Union. Darauf weist die AMF in ihrer Stellungnahme vom Juni hin. Schweizer Kunden tragen in solchen Fällen das Risiko allein.

Mehrere Schweizer Kryptounternehmen haben sich über Tochtergesellschaften in der EU und im EWR Zugang gesichert. Crypto Finance erhielt im Januar 2025 als erstes Haus eine CASP-Lizenz der deutschen BaFin. Anschließend folgten AMINA Bank über die österreichische FMA sowie Relai und SwissBorg über die französische AMF. Swissquote erhielt ihre Genehmigung im April 2026 von der luxemburgischen CSSF. RuleMatch, Bitcoin Suisse und Sygnum Bank erhielten ihre Freigaben schließlich im Juni 2026 in Liechtenstein. Insgesamt verteilen sich die acht Lizenzen auf fünf Aufsichtsbehörden.

Eine direkte Schweizer Entsprechung zur MiCA-Übergangsphase gibt es nicht. Die FINMA führt jedoch eine Warnliste von Anbietern, die den Eindruck einer Lizenz erwecken. Sie basiert auf Meldungen und eigenen Abklärungen und ist daher nicht abschließend. Als Prüfwerkzeug ergänzt sie das Autorisierungsregister, ersetzt es jedoch nicht. Das Bundesamt für Cybersicherheit registrierte 2025 knapp 65.000 Meldungen, davon rund 19 Prozent zu Phishing. In der zweiten Hälfte des Jahres 2025 gingen 6.299 Phishing-Meldungen ein, 17 Prozent mehr als ein Jahr zuvor. Wie viele davon Krypto-Anleger betrafen, weist das Amt nicht gesondert aus.