Die überraschende Zahl ist nicht, dass 99 % der illegalen Krypto-Anbieter in Europa aus Italien stammen. Was das ESMA-Register tatsächlich zeigt, ist ein anderer Befund: 165 von 167 Einträgen, also 98,8 % der gesamten Liste, wurden von der Consob übermittelt. Diese Asymmetrie bildet nicht die Geografie des Krypto-Betrugs ab, sondern macht sichtbar, wie uneinheitlich MiCA auf nationaler Ebene durchgesetzt wird.
Was inoffiziell als „MiCA-Blacklist“ bezeichnet wird, ist in Wirklichkeit das nicht abschließende Register gemäß Artikel 110 der MiCA-Verordnung. ESMA sammelt die von den nationalen Behörden gemeldeten Informationen und aktualisiert die Datei regelmäßig. Ein Eintrag im Register bedeutet, dass eine Behörde eine Meldung übermittelt hat. Wer nicht im Register steht, ist damit weder zugelassen noch zwingend seriös.
Was das ESMA-Register tatsächlich enthält
Die offizielle Datei NCASP.csv, zuletzt aktualisiert am 21. August 2026, enthält 167 Zeilen. Die Aufteilung nach meldender Behörde ergibt eine extreme Verteilung: 165 Einträge gehen auf die italienische Consob zurück, einer stammt von der niederländischen Finanzmarktaufsicht AFM und einer von der Nationalbank der Slowakei. Insgesamt sind damit gerade einmal drei nationale Behörden im aktuellen Datensatz vertreten.
Der rechtliche Rahmen ist enger gefasst, als die pauschale Formulierung „Anbieter ohne Lizenz“ vermuten lässt. Artikel 59 MiCA untersagt die Erbringung von Krypto-Dienstleistungen in der EU ohne Zulassung oder ohne Zugehörigkeit zu den nach Artikel 60 berechtigten Finanzinstituten. Artikel 61 regelt die sogenannte Reverse Solicitation: Ein Unternehmen aus einem Drittland darf einen europäischen Kunden nur dann bedienen, wenn die Initiative ausschließlich vom Kunden ausgeht und keinerlei Werbung oder vorherige Ansprache in der EU stattgefunden hat.
Was die 98,8 % nicht aussagen
Das größte redaktionelle Risiko liegt darin, diese Zahlen als geografische Rangliste des Missbrauchs zu interpretieren. Die CSV-Datei zeigt, welche Behörde jeden Eintrag übermittelt hat, aber sie belegt nicht, dass die gemeldeten Unternehmen ihren Sitz in Italien haben. Zieht man die 30 Staaten der Europäischen Union und des Europäischen Wirtschaftsraums als Bezugsrahmen heran, enthält die Datei Einträge von lediglich drei Ländern. Die übrigen 27 Staaten, darunter Deutschland und Frankreich, tauchen in dieser Version des Datensatzes als meldende Behörden nicht auf.
Daraus lässt sich nicht schließen, dass es in diesen Märkten keine unerlaubten Anbieter oder keine Aufsichtstätigkeit gibt. ESMA stellt klar, dass das Register nicht vollständig ist, wöchentlich aktualisiert wird und die von den nationalen Behörden übermittelten Informationen widerspiegelt. Für das richtige Verständnis dieser Datenbank lohnt es sich, das Register der nicht konformen Anbieter vom ESMA-Register der zugelassenen Anbieter zu unterscheiden, das eine andere Frage beantwortet.
- 167 Einträge insgesamt
im Register der nicht konformen Krypto-Anbieter. - 165 von der Consob gemeldet
das entspricht 98,8 % der gesamten ESMA-Datei. - Drei Behörden vertreten
Consob, AFM und die Nationalbank der Slowakei.
Warum die Consob so stark dominiert
Die ESMA-Datei liefert selbst keine Erklärung für diese Schieflage. Der Befund passt aber zu einer italienischen Aufsichtsbehörde, die ihre Befugnisse gegen unerlaubte Online-Anbieter besonders aktiv einsetzt. Stand 11. August 2026 meldete die Consob 1.805 gesperrte Finanzwebseiten seit Juli 2019, laut eigenen Angaben der Behörde. Diese Gesamtzahl umfasst verschiedene Kategorien und lässt sich nicht direkt mit den 165 Einträgen der MiCA-CSV-Datei vergleichen, da die CSV Unternehmen zählt und mehrere Domains einer einzigen Zeile zuordnen kann. Sie belegt aber dennoch den Betrieb einer sehr aktiven nationalen Überwachungs- und Eingriffsmaschinerie.
Umgekehrt folgt daraus nicht, dass andere europäische Behörden untätig sind. Verfahrensunterschiede, unterschiedliche Übermittlungszeiten und abweichende Klassifizierungsmethoden können das finale Bild im Register erheblich beeinflussen. Die BaFin etwa verfolgt unerlaubte Krypto-Dienstleister auf eigenen Wegen und veröffentlicht Warnlisten in ihrem eigenen System. Diese Aktivitäten fließen in das aktuelle ESMA-NCASP-Register offenbar nicht oder noch nicht ein.
Wie man einen Anbieter wirklich überprüft
Für Nutzerinnen und Nutzer darf die Blacklist nicht zur umgekehrten Unbedenklichkeitsbescheinigung werden. Wer einen Namen nicht im Register der nicht konformen Anbieter findet, hat damit keinerlei Garantie erhalten. Die positive Verifikation muss bei der Liste der nach MiCA zugelassenen CASP beginnen: Gesucht wird nach dem Namen der juristischen Person, der Behörde, die die Zulassung erteilt hat, und den einzelnen Dienstleistungen, zu deren Erbringung das Unternehmen berechtigt ist.
Anschließend sollte man prüfen, ob die verwendete Domain tatsächlich dem zugelassenen Unternehmen gehört, und aktuelle Mitteilungen der zuständigen nationalen Behörde einsehen. Eine in einem EU-Mitgliedstaat erteilte Lizenz kann über den europäischen Pass in anderen EU-Ländern genutzt werden, beseitigt aber nicht alle lokalen Pflichten. In Deutschland gelten etwa zusätzliche Anforderungen aus dem Kreditwesengesetz (KWG) und dem Wertpapierinstitutsgesetz (WpIG), die unabhängig vom MiCA-Pass zu beachten sind.
Das größere Bild
MiCA hat einen gemeinsamen Rechtsrahmen geschaffen, aber der Befund 165 von 167 zeigt, dass die Sichtbarkeit des Enforcements noch immer weitgehend von den nationalen Behörden abhängt. Ein europäisches Register, das fast ausschließlich von einem einzigen nationalen Aufseher befüllt wird, liefert zwangsläufig ein sehr detailliertes Bild dessen, was in dieser Jurisdiktion geschieht, und fast kein Bild vom Rest des Marktes.
Die Schlussfolgerung lautet nicht, dass Italien fast alle illegalen Anbieter Europas beherbergt. Sie lautet, dass das europäische Meldesystem noch kein einheitliches Gesamtbild liefert. Die Blacklist ist nützlich, um zu erfahren, wer gemeldet wurde. Sie ist jedoch unzuverlässig, wenn man daraus ableiten möchte, wer vertrauenswürdig ist. Dafür braucht man das positive Register der zugelassenen Anbieter, gelesen zusammen mit den Verlautbarungen der nationalen Aufsichtsbehörden und geprüft auf dem neuesten verfügbaren Stand. Anleger im DACH-Raum sollten für diese Prüfung die Datenbanken der BaFin, der FMA Österreich und der FINMA Schweiz parallel heranziehen.
