hsf-verwaltung.app

Was die BaFin festgestellt hat

Die BaFin hat am 26. August 2026 vor den Angeboten auf hsf-verwaltung.app gewarnt. Es besteht der Verdacht, dass die unbekannten Betreiber dort ohne Erlaubnis Finanz- und Wertpapierdienstleistungen anbieten.

Der zweite Teil der Meldung ist keine Vermutung mehr:

Entgegen der Angaben der Betreiber besteht kein Zusammenhang mit der HSF Vermögensverwaltung GmbH & Co. KG mit Sitz in Düsseldorf oder der HSF Verwaltungs GmbH mit Sitz in Nürnberg. Es handelt sich um einen Identitätsmissbrauch.

Zwei Unternehmen auf einmal, und das ist kein Zufall

Die meisten Klonfälle borgen sich einen Namen. Hier sind es zwei: eine Vermögensverwaltung in Düsseldorf und eine Verwaltungsgesellschaft in Nürnberg, beide mit dem Kürzel HSF.

Das ist wirksamer als ein einzelner geliehener Name, und zwar aus einem Grund, der auf den ersten Blick paradox wirkt: Es macht die Prüfung schwerer, gerade weil sie erfolgreich ist.

Wer „HSF Verwaltung” sucht, findet nicht ein Unternehmen, sondern mehrere, in verschiedenen Städten, mit verschiedenen Rechtsformen. Das wirkt wie eine Firmengruppe. Die Unterschiede zwischen dem, was auf der Website steht, und dem, was im Register steht, lassen sich dann bequem als Konzernstruktur erklären: die eine Gesellschaft für die Verwaltung, die andere für das Vermögen, eine dritte für das Digitale.

Genau diese Erklärung liefert der Betrug mit. Und sie ist plausibel, weil es solche Strukturen wirklich gibt.

Was ein Kürzel aus drei Buchstaben leistet

HSF bedeutet nichts Festgelegtes. Es sind Initialen, wie sie tausendfach als Firmenkürzel dienen.

Für den Betreiber ist das ideal. Zu fast jedem Kürzel existiert irgendwo ein seriöses Unternehmen, oft mehrere, niemand kann drei Buchstaben für sich beanspruchen, und wer nachschlägt, findet Bestätigung.

Prüfbar ist deshalb nie das Kürzel, sondern nur die vollständige Firmierung mit Rechtsform und Sitz, und dahinter die Registernummer. Die Frage lautet nicht „gibt es ein HSF”, sondern „ist das Unternehmen, das mir schreibt, dasselbe wie das im Register”.

Warum eine Vermögensverwaltung auf .app

Die Endung .app gehört zu den generischen Adressen, die seit einigen Jahren frei verkäuflich sind. Sie wurde für Software gedacht und hat mit Finanzaufsicht nichts zu tun.

Für ein deutsches Vermögensverwaltungsunternehmen ist sie eine sehr ungewöhnliche Wahl, und das ist der eigentliche Hinweis. Ein Haus, das seit Jahren Vermögen verwaltet, betreibt seine Website unter seinem eigenen Namen auf .de. Es hat keinen Grund, unter einer Software-Endung aufzutreten.

Für die Betreiber dagegen hat die Endung einen praktischen Wert: Der gewünschte Name ist dort noch frei, während er auf .de längst dem echten Unternehmen gehört. Dieselbe Rechnung steht hinter fast allen ungewöhnlichen Endungen in den Warnmeldungen der letzten Monate.

Ein technischer Nebeneffekt, den kaum jemand kennt: Für .app-Adressen ist Verschlüsselung Pflicht, jede Seite zeigt also das Schlosssymbol. Das Schloss sagt, dass die Verbindung verschlüsselt ist. Es sagt nichts darüber, wer am anderen Ende sitzt.

Was die echten Gesellschaften damit zu tun haben

Nichts, und sie können nichts tun.

Beide erfahren von solchen Fällen in aller Regel erst durch Anrufe geschädigter Menschen. Sie können die fremde Adresse nicht abschalten, sie kennen die Betreiber nicht, und sie haben kein Geld erhalten.

Für Sie heißt das praktisch: Wenn Sie auf hsf-verwaltung.app gezahlt haben, hilft ein Anruf in Düsseldorf oder Nürnberg nicht weiter. Dort liegt Ihr Geld nicht. Der Weg führt über Ihre eigene Bank.

Wie Sie einen geliehenen Namen selbst auflösen

Drei Schritte, zusammen etwa fünf Minuten.

Die Firmierung vollständig vergleichen. Nicht das Kürzel, sondern Name, Rechtsform und Sitz zusammen. Eine GmbH & Co. KG in Düsseldorf ist nicht dieselbe Gesellschaft wie eine GmbH in Nürnberg, und beide sind nicht die Website.

Im Register nachsehen, rückwärts. Das gemeinsame Registerportal der Länder ist kostenlos. Nehmen Sie die Registernummer, die man Ihnen nennt, und prüfen Sie, welches Unternehmen unter ihr eingetragen ist. Die Frage ist nie, ob es die Nummer gibt.

Unter einer selbst gefundenen Nummer anrufen. Nicht unter der von der fraglichen Website. Suchen Sie das echte Unternehmen, nehmen Sie die Nummer von dort, und fragen Sie, ob dieses Angebot von ihm stammt. Das ist die einzige Prüfung, die sich nicht fälschen lässt.

Für die Erlaubnis kommt die Unternehmensdatenbank der BaFin hinzu. Wer dort nicht steht, darf keine Finanzdienstleistungen erbringen, ganz gleich wie echt der Name klingt.

Der Weg führt über Ihre Bank, nicht über Düsseldorf

Rufen Sie heute Ihre Bank an und verlangen Sie die Betrugsabteilung. Bei einer Überweisung ist ein Rückruf möglich, solange das Geld auf dem Empfängerkonto liegt, und das sind Stunden bis wenige Tage.

Sagen Sie ausdrücklich, dass die BaFin einen Identitätsmissbrauch festgestellt hat und dass Sie in dem Glauben gezahlt haben, an ein bestimmtes eingetragenes Unternehmen zu zahlen. Das ist ein anderer Sachverhalt als eine bereute Anlageentscheidung.

Achten Sie auf den Namen des Empfängerkontos. In diesen Fällen lautet es fast nie auf die Gesellschaft, mit der Sie zu sprechen glaubten, und dieser Widerspruch zwischen Vertrag und Zahlungsempfänger ist einer der stärksten Belege, die Sie haben.

Sichern Sie Screenshots der Website mit Firmierung und Registernummer, alle E-Mails mit Kopfzeilen, sämtliche Verträge und Zahlungsbelege.

Zwei geliehene Namen bleiben selten bei einer Adresse

Bei einem geliehenen Namen erleben mehrere Menschen dasselbe, ohne voneinander zu wissen. Und wer sich gleich zwei Unternehmen borgt, belässt es selten bei einer Adresse.

Jede weitere Domain, jede Schreibweise und jedes Empfängerkonto, das uns gemeldet wird, geht in den nächsten Eintrag ein. Schildern Sie uns Ihren Fall. Die Einschätzung ist kostenlos, ohne Vorkasse, und es antwortet ein Mensch.