Sådan tjekker du, om en investeringsplatform er lovlig

De fleste fake brokers ser overbevisende ud. Logoerne er pæne, sproget er flydende, hjemmesiden viser et "regulated by"-skilt og et CySEC- eller FCA-licensnummer. Det betyder ikke noget i sig selv, alt det er nemt at kopiere. Det rigtige tjek sker hos myndighederne, ikke hos platformen. Her er otte trin, du kan tage før du opretter konto, indbetaler eller godkender med MitID. Trinene tager samlet 10-15 minutter. Det er sandsynligvis den bedst betalte arbejdstid i dit liv.

Trin 1: Tjek Finanstilsynets register over autoriserede selskaber

Det første tjek er det vigtigste: står selskabet på Finanstilsynets virksomhedsregister? Registret indeholder alle selskaber, som Finanstilsynet har under tilsyn eller har givet tilladelse til at drive finansiel virksomhed i Danmark.

Søgningen sker direkte på virksomhedsregister.finanstilsynet.dk. Du kan søge på selskabsnavn eller CVR-nummer. Hvis selskabet ikke fremgår, har det ifølge Finanstilsynets egen formulering "ikke tilladelse til at tilbyde finansielle tjenesteydelser i Danmark, og så er der potentielt ingen forbruger- eller investorbeskyttelse."

Vigtig nuance: et udenlandsk EU-selskab kan tilbyde tjenester i Danmark via "passporting" uden at være i det danske register direkte, men det skal så være registreret i sit hjemlands tilsyn og have notificeret Finanstilsynet. Det kan du verificere via ESMA (trin 3).

Tjekket er kun nyttigt, hvis du søger på det nøjagtige juridiske navn, ikke på handelsnavnet. En platform der kalder sig "DanskTrade Pro" kan være drevet af et selskab, der i registret hedder noget helt andet. Footer-teksten på platformens hjemmeside indeholder typisk det fulde selskabsnavn og adresse. Hvis footeren ikke nævner et juridisk navn overhovedet, er det allerede et alvorligt advarselstegn.

Trin 2: Tjek Finanstilsynets advarselsliste

Anden side af samme mønt. Advarselslisten samler de selskaber, danske myndigheder eksplicit har advaret mod. Hvis en aktør står her, er det en stærk indikator for at undgå dem helt.

En aktør kan godt være ulovlig uden at stå på advarselslisten, typisk hvis de er nye, har skiftet navn, eller endnu ikke er identificeret. Listen er nødvendig men ikke tilstrækkelig. Vores fulde guide til brug af advarselslisten ligger på /investering/finanstilsynet-advarselsliste/.

Søg samtidig på IOSCO's database for advarsler fra andre lande, og, hvis aktøren hævder UK-licens, på FCAs Warning List, der havde cirka 18.000 indtastninger ved seneste tælling og opdateres dagligt.

Trin 3: Tjek ESMAs MiFID-/MiFIR-database

ESMA, European Securities and Markets Authority, driver en samlet portal over alle EU-autoriserede investeringsfirmaer. ESMAs databases-and-registers-portal giver adgang til:

Investment firms register (MiFID-firmaer)
Trading venues (regulerede markeder, MTF, OTF)
UCITS- og AIF-fondsforvaltere
ELTIF-fonde
EBA's register over kreditinstitutter

Hvis en aktør hævder at være "MiFID-licenseret" eller "EU-reguleret", skal den fremgå her med et matchende navn og licensnummer. Vær opmærksom på klonvirksomheder: bagmænd kopierer navn og licensnummer fra et reelt EU-firma og opretter en separat hjemmeside. Verificer derfor altid både navn, licensnummer og hjemmesidedomænet, hvis ESMA-registret nævner et andet domæne end det, du sidder på, så er du sandsynligvis på en kloning.

For kryptotjenester gælder en parallel mekanisme: MiCA-forordningen (EU 2023/1114) har siden 30. december 2024 krævet, at udbydere af kryptoaktivtjenester (CASPs) skal have licens fra én EU-medlemsstat. ESMA fører listen over autoriserede CASPs. Læs også /krypto/falske-exchanges/ for hvordan en falsk exchange forsøger at simulere MiCA-status.

Trin 4: Tjek domænealder og ejer (whois)

De fleste fake brokers bruger relativt nye domæner, ofte registreret indenfor de seneste 6-18 måneder. Det skyldes, at bagmændene roterer domæner, så snart et havner på advarselslisten eller bliver sortlistet af betalingstjenester.

Du kan tjekke domænealderen gratis via en hvilken som helst whois-tjeneste. Ægte, etablerede brokere har typisk domæner, der er 5-25 år gamle. Et investeringsfirma, der hævder "20 års erfaring", men hvis domæne er registreret sidste år, er et stort rødt flag. Tjek også registrant-oplysningerne, privacy-skjult registrant er ikke ualmindeligt for legitime aktører, men kombineret med øvrige røde flag bliver det en advarsel.

Bemærk: en gammel domænealder beviser ikke, at platformen er ægte. Bagmænd køber sommetider udløbne ældre domæner. Whois-resultatet skal læses sammen med trin 1-3 og 7-8.

Hvad du leder efter i whois-resultatet

Creation date (registreringsdato). Mindre end 12 måneder gammelt domæne ved en "etableret" broker er rødt flag.
Registrar. Kæmpestore lavpris-registrarer (Namesilo, Hostinger, Porkbun, Tucows-resellers) er ikke i sig selv en advarsel, men er overrepræsenteret blandt fake brokers, i kombination med øvrige flag tæller det.
Registrant country. Hvis hjemmesiden hævder dansk eller britisk hovedkontor, men registrant er anonymiseret eller registreret i en uvedkommende jurisdiktion, kan det være signifikant.
Name servers. Hvis platformen kører via Cloudflare eller en lignende reverse proxy, skjuler det den faktiske host. Det er almindeligt, men hos en ægte aktør er der ofte konsistens mellem domænets registrant, mailservers og virksomhedsadresse.

Trin 5: Tjek betalingsmetoder (regulerede kort vs. krypto/gavekort)

En reguleret aktør accepterer typisk indbetalinger med betalingskort (Visa, Mastercard) og bankoverførsel via SEPA, begge underlagt forbrugerbeskyttelse, chargeback-rettigheder og AML-krav. Hvis platformen kun accepterer:

Kryptovaluta (Bitcoin, USDT, ETH)
Gavekort eller forudbetalte kort
Peer-to-peer-overførsler via WhatsApp eller Telegram
"Crypto exchange-rådgiver", der hjælper dig med at konvertere DKK til krypto først

... så er det en næsten sikker indikator for, at aktøren undgår banksystemets compliance. Det betyder også, at du har mistet alle dine forbrugerrettigheder og chargeback-muligheder, så snart pengene er overført.

Lovlige aktører accepterer naturligvis også krypto-indskud, men typisk ud over regulerede betalingsmetoder, ikke i stedet for.

Hvorfor betalingsmetode er vigtigere end mange tror

Hvis du har betalt med betalingskort, har du i Danmark og EU en chargeback-rettighed gennem kortselskabet, typisk inden for 120 dage fra transaktionen, afhængig af kortselskabets regler. Det er ikke en garanti, men en reel mulighed. Hvis du har betalt via SEPA-bankoverførsel, kan din bank forsøge en tilbagekaldelse, hvis modtagerkontoen stadig er aktiv. Hvis du har sendt krypto til en tegnebogsadresse, er pengene per definition uigenkaldelige, bagmændene kan flytte dem videre indenfor minutter via mixers eller blandere, og de er praktisk taget umulige at få tilbage.

Det er præcis derfor, fake brokers presser på krypto-indskud. Det er ikke teknisk eller praktisk lettere, det er målrettet at fjerne dine forbrugerrettigheder. Hvis "rådgiveren" insisterer på, at "DKK-overførsel ikke fungerer på denne platform", er det en bevidst manipulation. Stop her.

Trin 6: Tjek anmeldelser, med forsigtighed

Trustpilot, Google Anmeldelser og branchefora er nyttige, men i den grad manipulerede. Læs anmeldelser med følgende filter:

Mistro 5-stjernede ros, der lyder ens. "Great broker, fast withdrawals, recommend to everyone!" gentaget af 50 nye konti er bottede. Ægte anmeldelser indeholder konkrete detaljer.
Læs 1-stjernede anmeldelser først. Der finder du de mønstre, der gentages: "kunne ikke hæve", "krævede skattegebyr", "kontoen blev frosset".
Tjek anmeldelses-spike i tid. Hvis platformen fik 200 5-stjernede anmeldelser indenfor en uge i marts 2025 og næsten ingen før eller efter, er der købt anmeldelser.
Søg på reddit, dkfinance, finanssamtaler og andre brugerfora. Diskussioner mellem rigtige brugere er sværere at fabrikere end Trustpilot-anmeldelser.
Søg navnet sammen med "scam", "advarsel", "fraud", "kunne ikke hæve". Hvis flere kilder, der ikke linker til hinanden, beskriver samme problem, er det sandsynligvis ægte.

Hvordan Trustpilot manipuleres

Trustpilot har en seriøs anti-manipulation-afdeling, men en industri af "review-as-a-service"-leverandører holder skridt. Typiske mønstre, du kan kende: enkeltstående 5-stjernede anmeldelser, der bruger generiske templates og publiceres tæt i tid; positive anmeldelser fra konti, hvis eneste anmeldelse er den ene; korrekt udseende portrætfotos, der ved en omvendt billedsøgning viser sig at være stockphotos. Trustpilot fjerner aktivt sådanne anmeldelser, men der er altid en eksponeringsperiode, hvor de er synlige. Læs derfor altid de filtrerede 1-stjernede og 2-stjernede først, de er typisk ægte og indeholder reelle problemer.

Trin 7: Tjek selskabsadresse mod offentligt register

De fleste fake brokers angiver en imponerende adresse, Mayfair London, 5th Avenue NYC, Champs-Élysées Paris. Slå adressen op på Google Maps og Street View. Hvis det er en virtuel kontoradresse, et co-working space eller et boligkompleks, så lever selskabet ikke der. Det er ikke nødvendigvis ulovligt at bruge en virtuel adresse, men kombineret med øvrige flag er det signifikant.

Hvis selskabet hævder dansk registrering, slå CVR-nummeret op på datacvr.virk.dk. Du kan se stiftelsesdato, formål, ejere og ledelse. Hvis selskabet er to måneder gammelt, eller har et formål, der ikke nævner finansielle tjenester, er det en advarsel. Tilsvarende for udenlandske EU-selskaber: hvert land har et offentligt selskabsregister.

Trin 8: Tjek licenspåstande direkte hos den nævnte regulator

Det sidste og afgørende trin: hvis platformen påstår at være licenseret af FCA, CySEC, BaFin, AMF, MFSA eller anden specifik regulator, så gå direkte til regulatorens hjemmeside og verificer licensnummeret. Hver regulator har et offentligt register, og licensnumre kan altid slås op gratis.

FCA Firm Checker, for UK-licenser
CySECs "Investment Firms Register", for cypriotiske licenser
BaFins "Datenbankrecherche", for tyske licenser
AMFs "GECO"-register, for franske licenser
Finanstilsynets virksomhedsregister, for danske licenser

Hvis licensnummeret ikke findes i registret, eller findes, men er knyttet til et andet selskab eller et andet domæne end det, du sidder på, så er licens-hævdede falskt. Det er den oftest brugte taktik blandt fake brokers: de "låner" et reelt licensnummer fra et autoriseret selskab og håber, du ikke verificerer.

Klonvirksomheder, den specifikke variant

En "clone firm" er en helt særlig type fake broker, hvor bagmændene kopierer navn, licensnummer og enkelte detaljer fra et reelt, autoriseret selskab og laver en parallel hjemmeside. Eksempler fra Finanstilsynets advarselsliste i 2024-2025 omfatter "Misbrug af navnet Linconomy ApS" (marts 2025), "Misbrug af navnet Whitecroft Capital Fondsmæglerselskab A/S" (februar 2025) og "Misbrug af navnet Capital Four Invest" (december 2024). FCAs parallelle Warning List indeholder hundredvis af clone firms.

Fælder ved klonvirksomheder: de har ofte korrekte licensnumre, korrekt registreret navn i ESMA-registret, og korrekt registreret CVR-nummer i selskabsregistret, fordi de stjæler fra et reelt selskab. Den eneste pålidelige forskel er domænet og kontaktoplysningerne. Det reelle selskab har typisk haft samme domæne i mange år, en kontaktadresse, der matcher folkeregisteret/CVR, og medarbejdere, der findes på LinkedIn med konsistent karrierehistorik. En clone har et nyt domæne, en mailadresse på et generisk domæne (Gmail, Outlook), og medarbejdere, der ikke findes i nogen offentlig kilde. Hvis du verificerer et licensnummer og det matcher, men hjemmesidedomænet er anderledes end det, det reelle selskab bruger, så er det en clone.

Røde flag der bør stoppe dig, også uden formel verificering

Selv hvis du ikke har tid til alle otte trin, er der en kort liste signaler, der i sig selv bør standse dig:

Du blev kontaktet uopfordret, telefon, mail, social-media-DM, deepfake-annonce.
Du presses tidsmæssigt: "muligheden lukker i dag", "kun 12 pladser tilbage".
Garanterede afkast eller "risikofri" investering. Findes ikke.
Du skal indbetale ekstra for at hæve, uanset begrundelsen.
Sælgeren beder dig installere "fjernadgang"-software (TeamViewer, AnyDesk) for at "hjælpe" dig.
Du skal købe krypto først for at indbetale, fordi "DKK-overførsler er blokeret af banken".
"Rådgiveren" har ikke mailadresse på selskabets eget domæne, men på Gmail eller Yandex.

For den fulde liste over advarselstegn på tværs af svindeltyper, se /genkend-svindel/. For de specifikke mønstre i pig butchering, hvor mønsteret er mere langsomt, se /investering/pig-butchering/.

Hvad gør du, hvis platformen ikke består tjekket?

Den korte version: gå ikke videre. Opret ikke konto. Indbetal ikke. Selv en lille testindbetaling er ikke en risikofri test, det er en bekræftelse til bagmændene af, at du er en kvalificeret kontakt, og du vil blive bombarderet med opfølgende kontakt.

Hvis du er kommet et trin for langt, har oprettet konto, indsendt ID-papirer eller indbetalt, så stop al kontakt og tag handlingerne nedenfor:

Den fulde recovery-guide står på /hjaelp/; anmeldelses-procedurer i detalje på /hjaelp/anmeld/. For specifikke recovery-scam-mønstre i krypto-konteksten, se /krypto/recovery-scams/. For en bredere oversigt over investeringssvindel, se hub-siden /investering/. For fagudtryk som "fake broker", "MiFID", "passporting" og "MiCA", se /ordbog/.