Definition in einem Satz: Cybertrading Fraud ist Anlagebetrug über gefälschte Online-Handelsplattformen, auf denen Opfer scheinbar mit Aktien, Devisen oder Kryptowährungen handeln, während das eingezahlte Geld nie investiert wird und die angezeigten Kurse und Gewinne von den Tätern gesetzt werden.1
Der Begriff stammt aus dem Sprachgebrauch deutscher Behörden. International heißt dasselbe Phänomen Investment Fraud oder Online Trading Fraud. In der Polizeilichen Kriminalstatistik läuft es unter Anlagebetrug nach § 263 StGB, Schlüssel 513200, ohne eigenes Merkmal.2
Cybertrading Fraud und Pig Butchering teilen Infrastruktur, Geldwäschepfade und oft dieselben Compounds. Der Unterschied liegt im Einstieg: Pig Butchering beginnt mit einer Beziehung, Cybertrading Fraud mit einer Anzeige. Wer beides als ein Geschäftsmodell mit zwei Vertriebskanälen versteht, hat den Kern verstanden.3
01 | Die Werbekette
Alles beginnt mit einer Anzeige. Ein bekanntes Gesicht aus Fernsehen oder Politik erzählt in einem angeblichen Interview, wie es mit einer Handelssoftware reich geworden sei. Die Seite sieht aus wie ein Nachrichtenportal. Die Kommentare darunter sind gefälscht. Ein Formular fragt nach Name, Telefonnummer und E-Mail-Adresse.
Diese Leads werden gehandelt. Europol beschreibt im IOCTA 2026 Malvertising als zentralen Treiber des großvolumigen Anlagebetrugs: Kriminelle Affiliate-Vermarkter missbrauchen große Plattformen und legitime Werbenetzwerke, um Betrügern hinter einer Fassade von Seriosität große Mengen potenzieller Opfer zuzuführen. Dieselbe Quelle beschreibt, wie Callcenter inzwischen KI-generierte Gesprächsskripte nutzen und Sprach-Bots einsetzen, um Opfer in industriellem Umfang vorzusortieren, bevor ein Mensch übernimmt.5
Der Anruf folgt meist kurz nach dem Absenden des Formulars. Die Geschwindigkeit hat einen Grund: Der Impuls, der zum Ausfüllen geführt hat, soll noch wirken.6
02 | Das Callcenter
Der erste Anrufer ist freundlich, spricht gutes Deutsch und fragt viel. Beruf, Einkommen, Ersparnisse, Erfahrung mit Geldanlage. Das ist keine Beratung. Das ist die Qualifizierung des Leads. Wer viel hat und wenig weiß, wird an einen „Senior Broker“ weitergereicht.
Die Ersteinzahlung ist ein niedriger dreistelliger Betrag. Die Höhe ist bewusst gewählt. Sie soll die Hürde senken und eine Kundenbeziehung begründen. Danach bekommt das Opfer einen persönlichen Betreuer, der täglich anruft, Kurse kommentiert und „Chancen“ meldet. Das Skript ist über Jahre optimiert: Erst kleine Gewinne, dann eine „einmalige Gelegenheit“, dann der Vorschlag, Rücklagen einzusetzen oder einen Kredit aufzunehmen, weil die Rendite den Zins übersteige. Fälle aus Sachsen zeigen genau dieses Muster.26
Wer aussteigen will, bekommt einen anderen Anrufer. Wer droht, bekommt Verständnis und einen Bonus. Wer weint, bekommt Zeit. Alles davon steht im Skript.
03 | Die Plattform
Die Handelsoberfläche ist echt in dem Sinne, dass sie funktioniert. Kurse laufen, Charts bewegen sich, Positionen öffnen und schließen. Was fehlt, ist die Verbindung zu einem Markt. Kein Euro wird investiert. Die Software zeigt an, was der Betreiber eingestellt hat. Gewinne, solange eingezahlt wird. Verluste, sobald eine Auszahlung verlangt wird, oder eine Sperre wegen angeblicher „Verifizierung“, „Steuern“ oder „Geldwäscheprüfung“.1
Viele dieser Plattformen treten in Serien auf.16 Wer die Verbraucherwarnungen der BaFin über Monate liest, findet Plattformen mit identischem Aufbau unter immer neuen Namen. Wird eine Domain gesperrt, steht die nächste bereit. Für Ermittler heißt das: Der Markenname der Plattform ist die am wenigsten nützliche Information im Fall. Die Zahlungswege sind die nützlichste.7
04 | CFD-Betrug: das Produkt als Köder
Ein großer Teil der Plattformen gibt sich als Forex- oder CFD-Broker aus. Ein Differenzkontrakt (Contract for Difference) ist eine gehebelte Wette auf die Kursbewegung eines Basiswerts, ohne dass der Kunde den Basiswert besitzt. Das Produkt ist legal und hochriskant. Zugelassene Anbieter dürfen es Kleinanlegern seit August 2019 nur unter Auflagen der BaFin verkaufen: Hebel von höchstens 30:1 bei den großen Währungspaaren, 20:1 bei Hauptindizes und Gold, 5:1 bei Einzelaktien, 2:1 bei Kryptowerten; automatische Glattstellung, sobald die Sicherheit auf die Hälfte fällt; kein negativer Kontosaldo; eine standardisierte Risikowarnung in jeder Werbung.14 Die Nachschusspflicht für Kleinanleger hatte die BaFin schon 2017 untersagt.15
Für die Täter ist der CFD das ideale Etikett. Der Hebel macht Scheingewinne von 20% an einem Tag plausibel und den späteren Totalverlust ebenso: „Der Markt lief gegen Sie.“ Die Komplexität des Produkts verhindert, dass das Opfer nachrechnet. Und die Konstruktion liefert einen eingebauten Grund für die nächste Einzahlung: den angeblichen Margin Call. Auf der Betrugsplattform wird genau diese Forderung zum Standardwerkzeug, obwohl Nachschüsse gegenüber Kleinanlegern seit 2017 untersagt sind.15 Hinter der Oberfläche steht derselbe Mechanismus wie in Abschnitt 03: kein Markt, keine Position, ein Betreiber, der die Zahlen setzt.
Die Prüfung ist einfach. Wer in Deutschland Devisen- oder CFD-Handel anbietet, braucht eine Erlaubnis und steht in der Unternehmensdatenbank der BaFin. Fehlt der Eintrag, fehlt die Grundlage.7 Die BaFin warnt laufend vor Plattformreihen, die unter wechselnden Namen Handel ohne Erlaubnis bewerben. Eine Warnung vom 29. September 2026 umfasst 28 Websites, die Kontaktdaten einsammeln und an Betreiber unerlaubter Handelsplattformen weiterreichen.16 Drei Warnsignale, die nur bei CFD-Fassaden auftreten: beworbene Hebel von 1:100 oder mehr auf Währungspaare, eine fehlende Pflichtwarnung mit dem Anteil verlustbringender Kundenkonten und eine Zahlungsforderung, die über das eingezahlte Kapital hinausgeht.
05 | Der Geldweg
Lange lief Cybertrading Fraud überwiegend über Überweisungen an Konten im Ausland, über Kreditkarten und Zahlungsdienstleister. Seit einigen Jahren verschiebt sich der Geldweg in Richtung Kryptowährung. Der Grund ist derselbe wie bei Pig Butchering: Eine Überweisung lässt sich zurückrufen, ein bestätigter Transfer auf der Chain nicht.4
Der typische Weg heute: Das Opfer wird angewiesen, an einer regulierten Börse Kryptowährung zu kaufen, meist USDT oder Bitcoin, und an eine Adresse zu senden. Oder es überweist Euro an einen Finanzagenten, der den Tausch übernimmt. Von dort laufen die Werte in Sammelwallets, werden über Chain Hopping und Peel Chains verschleiert und über OTC-Desks und Guarantee-Marktplätze ausgezahlt. Chinesischsprachige Geldwäschenetzwerke übernehmen den letzten Schritt gegen Provision.3, 8
Drei vertiefende Beiträge auf dieser Seite: zur Geldwäscheinfrastruktur, zum Ende des Krypto-Tresors und zum Prince-Komplex.
06 | Cybertrading Fraud und Pig Butchering: ein Modell, zwei Kanäle
| Cybertrading Fraud | Pig Butchering | |
|---|---|---|
| Einstieg | Werbung, Lead-Formular, Anruf | Persönliche Nachricht, Beziehungsaufbau |
| Dauer bis zur ersten Einzahlung | Tage | Wochen |
| Betreuung | „Broker“ per Telefon | „Partner“ per Chat |
| Plattform | Handelssoftware unter wechselnden Marken | Krypto-App oder Website |
| Geldweg | Überweisung, Karte, zunehmend Krypto | fast ausschließlich Krypto |
| Täterstruktur | Callcenter mit wechselnden Standorten | Compounds Südostasien, zunehmend global |
| PKS-Schlüssel | 513200 | 513200 |
Beide Kanäle enden im selben Geldwäschesystem. Die Analyse Ein Geschäftsmodell, eine Infrastruktur, drei Etiketten führt das aus.3
07 | Die Zahlen für Deutschland
Die deutschen Zahlen kommen aus zwei Tabellenwerken, die getrennt gelesen ein falsches Bild ergeben.
| Kennzahl | PKS-Inland | PKS-Ausland |
|---|---|---|
| Fälle Anlagebetrug 2024 | 4.540 | 16.156 |
| Fälle Anlagebetrug 2025 | 3.974 (minus 12,5%) | 28.465 (plus 76,2%) |
| Anteil Tatmittel Internet 2025 | 55% | 91% |
| Registrierter Schaden 2025 | 237,8 Mio. Euro | 1.277,8 Mio. Euro |
| Aufklärungsquote 2025 | 43,0% (2024: 61,3%) | 4,2% |
Quelle: BKA, PKS 2025 und 2024, Tabellen 01, 01-A, 054, 054-A, 07_BKA, 07-A, Schlüssel 513200.2 Die Kerntabelle sagt: Anlagebetrug geht zurück. Die Auslandstabelle sagt: Er ist um 76,2 Prozent gestiegen. Beide haben recht, weil sie unterschiedliche Fälle zählen. In der Kerntabelle steht nur, wer nachweislich im Inland gehandelt hat. Cybertrading Fraud ist praktisch nie eine Inlandstat. Der Beitrag Wenn die Täter im Ausland sitzen erklärt die Erfassungslogik im Detail.
Das Bundeslagebild Cybercrime 2025 des BKA bestätigt das Muster für den gesamten Deliktsbereich: 207.888 Auslandstaten stehen 126.034 Inlandstaten gegenüber. Die Aufklärungsquote der Auslandstaten liegt bei 2,0 Prozent.9
Die Datensätze zu dieser Tabelle stehen unter Material zum Download bereit, mit Quellenangabe und CC-BY-Lizenz.
08 | Warnsignale
- Die Anlage wurde in einer Anzeige mit einem Prominenten beworben.
- Kurz nach dem Ausfüllen eines Formulars kam ein Anruf.
- Der „Broker“ ruft täglich an oder schreibt über WhatsApp.
- Die Ersteinzahlung war niedrig und zeigte sofort Gewinn.
- Die Plattform ist nicht in der Unternehmensdatenbank der BaFin zu finden, oder die BaFin hat vor ihr gewarnt.7
- Es wurde vorgeschlagen, einen Kredit aufzunehmen oder eine Versicherung aufzulösen.
- Eine Fernwartungssoftware sollte installiert werden, „um bei der Einzahlung zu helfen“.
- Die Auszahlung scheitert an Gebühren, Steuern oder einer Verifizierung.
- Nach dem Verlust bietet jemand an, das Geld gegen Vorkasse zurückzuholen.
Drei Ja reichen. Dann kein Geld mehr überweisen. Der Risiko-Check führt durch dieselben Fragen.
Wie Sie eine Plattform oder Wallet vor der ersten Einzahlung Schritt für Schritt prüfen, zeigt der Leitfaden Plattform oder Wallet prüfen.
09 | Was Betroffene tun
Sofort: Zahlungen stoppen. Fernwartungssoftware deinstallieren, Passwörter für das Onlinebanking ändern. Bank und Kreditkartenanbieter informieren, Rückbuchung prüfen. Bei Kryptokäufen: Börse informieren, Transaktions-IDs und Zieladressen sichern.
Innerhalb von 24 Stunden: Anzeige mit allen Zahlungsdaten. Bei Überweisungen ins Ausland kann die Bank noch versuchen, das Geld zurückzurufen. Bei Kryptotransfers zählt die Zeit bis zur Freeze-Anfrage.
Danach: Keinen Rückholdienst mit Vorkasse beauftragen. INTERPOL stellt fest, dass Opfer von Anlagebetrug oft ein zweites Mal geschädigt werden. Die Täter geben sich dabei als Anwälte, Rückholagenten oder Behörden aus.10 Wie diese Masche arbeitet, erklärt der Beitrag Recovery Scam.
Zur Anzeigebereitschaft: Das UNODC-Handbuch zur Betrugskommunikation von 2026 fordert, Betroffene als Ziel professioneller Manipulation zu behandeln, damit Scham die Anzeige nicht verzögert.11 Je früher die Meldung bei der Polizei eingeht, desto eher lässt sich Geld noch sichern.
10 | Was Banken und Compliance tun können
Das Muster ist in Kontodaten sichtbar: Überweisung an einen Zahlungsdienstleister oder eine Kryptobörse mit Verwendungszweck „Trading“, „Invest“ oder einer Kundennummer; danach steigende Beträge im Wochenrhythmus; Kreditanfrage oder Auflösung eines Sparvertrags ohne erkennbaren Anlass; Überweisungen an Privatkonten im In- und Ausland.
Was wirkt: die Rückfrage vor Ausführung, wenn eine Kundin erstmals vierstellig an eine Kryptobörse überweist; die Verdachtsmeldung mit Transaktions-IDs und Zieladressen; und ein fester Ansprechpartner für die Strafverfolgung, der Kontodaten innerhalb von Stunden liefert, wenn ein Freeze läuft. Die FIU hat mit dem Anhaltspunktepapier zu alternativen Zahlungsmethoden 2026 die Erwartung an den Krypto-Bezug in Meldungen konkretisiert.12
11 | Was Ermittler brauchen
Ermittlung ohne Systemverständnis ist Schadensverwaltung. Bei Cybertrading Fraud heißt das:
Vom Plattformnamen zum Zahlungsweg. Plattformnamen wechseln häufig. Konten von Finanzagenten, Wallet-Adressen und Börsenkonten sind die Ansatzpunkte, die Fälle verbinden.
Bündelung. Hundert Anzeigen gegen hundert Plattformnamen sind oft ein Netzwerk. Wer Zieladressen und Empfängerkonten zentral erfasst, sieht es.
Internationale Anschlussfähigkeit. Operation HAECHI VI lief von April bis August 2025 in 40 Ländern. Die Behörden stellten 439 Millionen US-Dollar sicher und sperrten über 68.000 Bankkonten.13 Solche Schläge gelingen nur, wenn Daten über Grenzen hinweg kompatibel sind. Für Kryptofälle heißt das: Wallet-Adressen und Transaktions-IDs müssen in einheitlichem Format zwischen Ländern fließen.
12 | Was die Verfahren in Europa zeigen
Die Callcenter sitzen im Ausland, die Geschädigten in Deutschland. Verfahren gegen Cybertrading Fraud sind deshalb fast immer internationale Verfahren. Sie liegen bei Schwerpunktstaatsanwaltschaften wie der Zentralstelle Cybercrime Bayern in Bamberg, der Zentralstelle in Göttingen und dem Cybercrime-Zentrum Baden-Württemberg in Karlsruhe.17, 18, 19
Die Bilanz der bayerischen Zentralstelle zeigt die Größenordnung. Bis Oktober 2025 zählte sie mehr als 180 Festnahmen seit Ende 2019, Anklagen gegen mehr als 110 Tatverdächtige, 89 rechtskräftige Verurteilungen und Sicherstellungen von mehr als 25 Millionen Euro.17 Im Januar 2026 erhob die Generalstaatsanwaltschaft Bamberg Anklage gegen einen mutmaßlichen Hauptverantwortlichen eines Netzwerks. Über eine Betrugssoftware soll er dazu beigetragen haben, dass 540 Personen um rund 44 Mio. Euro geschädigt wurden; ein Geschädigter verlor allein auf einer Plattform mehr als elf Millionen Euro.20
Die Standorte wandern. Im November 2022 durchsuchten Ermittler unter Koordination von Eurojust 15 Callcenter in Albanien, Georgien, der Ukraine und Nordmazedonien.21 Ende 2022 folgten Maßnahmen in 23 Staaten gegen ein zweites Netzwerk mit Telefonzentralen in zwei dieser Länder, öffentlich gemacht im Herbst 2023.22 2024 unterstützte die EU-Justizbehörde ein deutsch-zyprisches Verfahren gegen 13 Plattformen mit mindestens 10 Millionen Euro Schaden.23
Neu ist der Zugriff auf die Infrastruktur. In der Operation Herakles gehen Justiz, Polizei, BaFin und Bundesnetzagentur seit 2025 gegen Domains und Rufnummern vor: mehr als 2.200 Domains gingen im Juni und Oktober 2025 vom Netz, bis September 2026 wurden in Deutschland und Österreich 13.888 Rufnummern abgeschaltet.19, 24 Am Ende stehen mehrjährige Haftstrafen. Das Landgericht Leipzig verurteilte im Juni 2026 einen Angeklagten aus dem mittleren Management eines Plattformbetreibers rechtskräftig zu fünf Jahren und drei Monaten. Das Urteil umfasst 599 deutschsprachige Geschädigte.25
13 | Häufige Fragen
Ist Cybertrading Fraud dasselbe wie Pig Butchering?
Beide sind Vertriebskanäle desselben Geschäftsmodells. Cybertrading Fraud beginnt mit Werbung und einem Anruf aus dem Callcenter, Pig Butchering mit einer Beziehung über Wochen. Geldwäsche und oft auch die Täterorganisation sind dieselben.
Ist der Handel mit CFD an sich Betrug?
Nein. Differenzkontrakte sind zugelassene Finanzinstrumente, die regulierte Anbieter unter Auflagen vertreiben dürfen. Sie sind hochriskant. Die Pflichtwarnung nennt den Anteil der Kleinanlegerkonten, die beim jeweiligen Anbieter Geld verlieren. Betrug beginnt dort, wo kein Markt hinter der Plattform steht, der Anbieter keine Erlaubnis hat und der Betreiber die Kurse setzt.
Wird das Geld wirklich nie investiert?
In aller Regel nicht. Die Plattform zeigt Kurse, Handel und Gewinne an, deren Werte der Betreiber selbst setzt.
Warum sinkt Anlagebetrug in der PKS, wenn der Schaden steigt?
Weil die Kerntabelle nur Fälle mit Handlungsort im Inland zählt. Cybertrading Fraud wird aus dem Ausland begangen und erscheint in der PKS-Ausland. Dort stieg die Zahl der Fälle von Anlagebetrug 2025 um 76,2 Prozent.
Kann die Bank das Geld zurückholen?
Bei Überweisungen manchmal, wenn der Rückruf innerhalb von Stunden erfolgt. Bei Kartenzahlungen über Chargeback in engen Grenzen. Bei Kryptotransfers nur über einen Freeze durch den Emittenten oder die Empfängerbörse, und nur, solange die Werte dort liegen.
Wer sind die Täter?
Callcenter mit Standorten, die sich verschieben. INTERPOL verortet die europäischen Standorte für Anlagebetrug in Mittel-, Ost- und Südeuropa sowie auf dem Westbalkan. Europol beschreibt im IOCTA 2026 Betrugsnetzwerke als transnationale Industrie: Kriminelle Werbevermittler liefern Opfer in großer Zahl, Callcenter nutzen KI-Skripte und Sprach-Bots.
Wer verfolgt Cybertrading Fraud in Deutschland?
Vor allem Schwerpunktstaatsanwaltschaften für Cybercrime, etwa in Bamberg, Göttingen und Karlsruhe, gemeinsam mit Landeskriminalämtern, BKA, Eurojust und Europol. Die bayerische Zentralstelle zählte bis Oktober 2025 mehr als 180 Festnahmen und 89 rechtskräftige Verurteilungen. Seit 2025 nehmen Behörden in der Operation Herakles zusätzlich Domains und Rufnummern der Täter vom Netz.
Tobias Kremp schreibt als unabhängiger Fachautor (Art. 5 GG). Seine Beiträge geben seine persönliche Einschätzung wieder und stellen keine offiziellen behördlichen Stellungnahmen dar.
- 4. Oktober 2026: Neuer Abschnitt 12 zu Verfahren in Europa (Schwerpunktstaatsanwaltschaften, Eurojust-Einsätze, Anklage Bamberg, Operation Herakles, Urteil LG Leipzig), neun Quellen ergänzt, Verweis auf den neuen Beitrag Recovery Scam, eine Frage ergänzt. Quellenprüfung: Angaben zu Krediten neu belegt (LKA Sachsen), Anrufzeitpunkt vereinheitlicht, Nachschusspflicht präzisiert, BaFin-Warnungen, HAECHI VI, INTERPOL-Aussage zur Zweitschädigung und Täterfrage an die Quellen angepasst.
- 4. Oktober 2026: Neuer Abschnitt 04 zu CFD-Betrug mit den Auflagen der BaFin für zugelassene Anbieter, drei Quellen ergänzt, Abschnitte neu nummeriert.
- 23. September 2026: Schaden, Aufklärungsquote und ungeklärter Tatortstaat jeweils mit Bezugsrahmen, Aufklärungsquote Inland ergänzt, häufige Fragen als eigener Abschnitt sichtbar, Fußnoten einzeln verlinkt.
- 2. September 2026: Erstfassung als Grundlagenseite. Die Kurz-URLs /cybertrading-fraud und /anlagebetrug führen ab jetzt hierher. Die Statistikanalyse Wenn die Täter im Ausland sitzen bleibt der Datenbeitrag dazu.
