Newsletter Fiscoin, 30. September 2026

Bitget gehackt: was passiert ist, und was zu tun ist, wenn es Sie trifft

Am 24. September wurden der Plattform Bitget rund 388 Millionen Dollar gestohlen, und sie hat die Auszahlungen für alle Kundinnen und Kunden gesperrt. Diesen Mittwoch werden die Auszahlungen in USDT wieder aufgenommen. Vier Tage später kündigte die europäische Aufsichtsbehörde in Paris an, genau diese Art von Schwachstelle genau beobachten zu wollen. Hier die Fakten, dann was sie für Sie ändern, auch in Ihrer Steuererklärung.

Sechs Tage gesperrte Auszahlungen

Hacker haben eine Schwachstelle in einem Sicherheitsprodukt ausgenutzt, das Bitget von einem externen Dienstleister bereitgestellt wurde, und sich so interne Zugriffsrechte auf hoher Ebene verschafft. Sie haben einen Teil der mit dem Internet verbundenen Wallets der Plattform geleert, auf mehreren Netzwerken. Die Offline-Wallets waren nicht betroffen, und Bitget versichert, dass die Saldi seiner Kundinnen und Kunden unangetastet geblieben sind. Die Ermittler vermuten Hacker mit Verbindungen zu Nordkorea.

Der Schaden wird durch den Nutzerschutzfonds von Bitget gedeckt, den die Plattform nach eigenen Angaben aus Eigenmitteln wieder aufstocken will. Für ihre Kundinnen und Kunden dürfte die Sache also mit einer Woche Warten enden, nicht mit einem Verlust. Das ist das günstige Szenario. Es wiederholt sich nicht jedes Mal.

Gleichzeitig schaltet Europa einen Gang höher

Das Arbeitsprogramm 2027 der Europäischen Wertpapier- und Marktaufsichtsbehörde (ESMA) markiert einen Wendepunkt: Nach zwei Jahren, in denen sie die Regeln der MiCA-Verordnung ausgearbeitet hat, geht sie zur Aufsicht über. Ihre ersten Prioritäten bei den Krypto-Dienstleistern sind die operationelle Widerstandsfähigkeit, der Rückgriff auf Auslagerungen und die tatsächliche Präsenz der Gesellschaften in der Union. Der Hackerangriff auf Bitget, der über ein externes Sicherheitstool erfolgte, ist dafür das perfekte Beispiel.

Die ESMA plant zudem, ihr System zur Erkennung von Marktmissbrauch 2027 voll in Betrieb zu nehmen und zur Überprüfung von MiCA beizutragen, die die Europäische Kommission bis Juni 2027 vorlegen muss. Die Schweiz wendet MiCA nicht an; es bleibt ein europäischer Erlass. Ein guter Teil der von der Schweiz aus genutzten Plattformen hält sich jedoch daran, um ihre europäischen Kundinnen und Kunden bedienen zu können: Eine strengere Kontrolle ihrer Sicherheit kommt Ihnen indirekt zugute.

Wenn es Sie trifft

Eine Plattform, die Auszahlungen sperrt, bedeutet noch keinen Verlust. Was Sie in den ersten Tagen tun, bestimmt jedoch alles Weitere: Ihre Chancen, Ihre Mittel zurückzuerhalten, und Ihre Möglichkeit, Ihre Steuererklärung zu belegen.

In den ersten Stunden

1. Informieren Sie sich nur aus offiziellen Quellen. Die Website der Plattform und ihre verifizierten Konten. Jeder Hackerangriff wird von gefälschten Support-Nachrichten und Phishing-Links begleitet.
2. Halten Sie die Situation fest. Screenshot Ihrer Saldi mit Datum, vollständiger Export der Transaktionshistorie, Kopie der Mitteilung über die Sperre. Wenn die Plattform ihre Website schliesst, haben Sie sonst nichts mehr.
3. Notieren Sie Datum, Mengen und Tageskurs für jede betroffene Währung. Ohne diese drei Elemente können Sie weder einen Verlust noch eine Rückzahlung beziffern.
4. Ignorieren Sie Wiederbeschaffungsdienste. Niemand kann Ihre Mittel gegen Bezahlung freigeben. Solche Angebote sind fast immer ein zweiter Betrug.

Bei der Wiederaufnahme

1. Prüfen Sie Ihren Saldo anhand Ihrer Screenshots und, falls die Plattform dies anbietet, Ihre Berücksichtigung in ihrem Reservenachweis (Proof of Reserves).
2. Ziehen Sie Ihre Mittel ohne Hast ab. Kontrollieren Sie die Zieladresse und beginnen Sie mit einem kleinen Betrag. Warteschlangen und Störungen sind in den ersten Tagen häufig.
3. Fragen Sie sich, was auf einer Plattform bleiben soll. Was Sie nicht handeln, gehört in eine Wallet, deren Schlüssel Sie selbst besitzen.

Per 31. Dezember

Hier kommen die Steuern ins Spiel. Im Privatvermögen sind Kapitalgewinne steuerfrei (Art. 16 Abs. 3 DBG), und im Gegenzug sind Verluste nicht abziehbar: Weder ein Hackerangriff noch ein Konkurs senken Ihre Einkommenssteuer. Ausser das Steueramt betrachtet Sie als gewerbsmässigen Händler; dann werden Ihre Gewinne steuerbar und Ihre Verluste abziehbar. Was der Vorfall verändert, ist Ihre Vermögensdeklaration, die nach den Verhältnissen am Jahresende erstellt wird (Art. 14 und 17 StHG).

Zwei Präzisierungen. Wenn eine Schweizer Plattform in Konkurs geht und Ihre Token dort individualisierbar verwahrt wurden, erlaubt das Gesetz, sie aus der Konkursmasse auszusondern (Art. 242a SchKG): Sie bleiben Eigentümer und deklarieren sie zum Kurs am Jahresende. Und wenn Sie entschädigt werden, durch einen Schutzfonds oder einen Liquidator, stellt die Zahlung ein privates Kapital wieder her: Sie ist kein steuerbares Einkommen. Ein allfälliger zusätzlich ausbezahlter Zinsanteil bleibt eine offene Frage, die Sie Ihrem Kanton vorlegen sollten.

Für die Einzelheiten, insbesondere wie eine unsichere Forderung deklariert wird, lesen Sie unseren Artikel Gehackte Token, Plattform in Konkurs: was sagen Sie dem Steueramt?

Was diesen Monat sonst geschah

DeutschlandBerlin will die einjährige Haltefrist abschaffen

Am 30. September hat das deutsche Bundesfinanzministerium den Verbänden einen Referentenentwurf vorgelegt: Für Kryptowährungen, die ab dem 1. Januar 2027 gekauft werden, würden die Gewinne mit 25 % zuzüglich Solidaritätszuschlag besteuert, unabhängig von der Haltedauer. Für bis zum 31. Dezember 2026 erworbene Bestände würde die heutige Regel weiter gelten. Die Regierung soll den Entwurf am 14. Oktober beraten, danach müssen Bundestag und Länder ihn verabschieden: Nichts ist entschieden. In der Schweiz bleiben Gewinne auf dem Privatvermögen steuerfrei, unabhängig von der Haltedauer.

Europäische UnionDie ESMA verlangt die Befugnis, Krypto-Assets einzufrieren

In ihrer am 30. September eingereichten Antwort auf die Konsultation der Kommission zur Überprüfung von MiCA verlangt die ESMA, eine Plattform anweisen zu können, Vermögenswerte, die mutmasslich mit Marktmissbrauch oder Geldwäscherei in Verbindung stehen, für die Dauer der Untersuchung sofort einzufrieren. Sie wünscht sich auch Mittel, um gegen betrügerische Websites und ausländische Gesellschaften vorzugehen, die ohne Bewilligung um europäische Kundschaft werben. Es handelt sich um Vorschläge: Die Kommission muss ihren Bericht bis Juni 2027 vorlegen.

SicherheitSeptember, schlimmster Monat des Jahres für Hackerangriffe

Die Prüfgesellschaft CertiK beziffert die Verluste durch Hackerangriffe und Phishing im September auf rund 766 Millionen Dollar, mehr als das Dreifache des Augustwerts. Bitget allein macht die Hälfte davon aus, vor dem Netzwerk Liquid. Rund 270 Millionen wurden seither zurückerstattet oder eingefroren: Die Zahl misst die gestohlenen Mittel, nicht die endgültigen Verluste der Nutzerinnen und Nutzer.

Auf einen Blick

• Bitget hat am 24. September 387,5 Millionen Dollar verloren; seine Kundinnen und Kunden dürften nichts verlieren, da der Schutzfonds den Diebstahl deckt.
• Die ESMA macht die Sicherheit und die Auslagerungen der Plattformen zu ihrer Priorität für 2027. MiCA gilt nicht in der Schweiz, betrifft aber viele Plattformen, die Sie nutzen.
• Wenn Ihre Guthaben gesperrt sind, dokumentieren Sie alles ab dem ersten Tag: Saldi, Datum, Kurs.
• Ein Krypto-Verlust im Privatvermögen ist nie vom Einkommen abziehbar; er verändert nur Ihr Vermögen per 31. Dezember.
• Je nach Ausgang deklarieren Sie Ihre Token zum Kurs am Jahresende oder eine Forderung zu ihrem voraussichtlichen Wert.
• Deutschland bereitet das Ende der Steuerfreiheit nach einem Jahr vor; die Schweiz hingegen besteuert private Gewinne nicht.

Quellen

• The Block, Bitget starts phased withdrawal resumption, 28. September 2026.
• crypto.news, Bitget resumes BTC withdrawals after $388M hack, 28. September 2026.
• The Crypto Times, Bitget USDT withdrawals due Sept 30, 30. September 2026.
• Securities.io, ESMA publishes 2027 work programme, 28. September 2026.
• ESTV, Cryptomonnaies – Fiscalité (auf Französisch); Kanton Aargau, Bewertung des Vermögens.
• BTC-ECHO, Krypto-Steuer: Diese Regeln plant das Finanzministerium, 1. Oktober 2026.
• Securities.io, ESMA proposes targeted MiCA changes, 30. September 2026.
• BitKE, Crypto hacks in September 2026 (Daten von CertiK und PeckShield), 1. Oktober 2026.
• DBG Art. 16 Abs. 3; StHG Art. 14 und 17; SchKG Art. 242a.