Gravierende Mängel: Aufsicht zeigt Bitpanda die Krallen
Die Finanzaufsicht stieß bei der Deutschland-Tochter der österreichischen Krypto-Plattform Bitpanda auf Schwächen im Risikomanagement. Und die interne Prüf-Abteilung der Firma soll noch 2025 wegen „fortlaufender Verstöße“ Alarm geschlagen haben.
Wer bremst, verliert. Jedes Jahr im Jänner stürzen sich die Ski-Gladiatoren des Alpinen Weltcup-Zirkus mit halsbrecherischem Speed die „Streif“ in Kitzbühel hinunter. In verbissener Rennhocke rasen sie nach halber Streckenlänge auf den spektakulären „Seidlalm“-Sprung zu. Was dahinter kommt, sehen sie nicht. Die Athleten wissen nur: Sie müssen schon in der Luft nach rechts drehen, sonst geht es sich nicht aus.
Was dieses Jahr – neben einer langgezogenen Kurve – hinter dem Sprung kam? Viele dunkelgrüne Werbe-Banner, einen ganzen Streckenabschnitt lang. Jüngster Promotion-Coup eines ganz besonderen Neuankömmlings unter den Hahnenkamm-Großsponsoren: Bitpanda, Krypto-Plattform mit österreichischen Wurzeln, steiler Entwicklungskurve und ganz großen Ambitionen.
Das Sieben-Millionen-Nutzer-„Einhorn“
2014 als Startup in Wien gegründet, verweist Bitpanda heute auf mehr als sieben Millionen Nutzer und Büros in neun europäischen Ländern. Seit 2021 reklamiert das Jungunternehmen „Einhorn“-Status für sich – also einen rechnerischen Unternehmenswert von mehr als einer Milliarde US-Dollar. Eine Rarität im nicht gerade Tech-lastigen Mitteleuropa. Geschäftlich baute Bitpanda sein Angebot in den vergangenen Jahren rasant aus. Die Plattform, über die Privatpersonen unter anderem Krypto-Assets erwerben und handeln können, ist für viele das Tor zu einer neuen Finanzwelt.
Wer bremst, verliert. Das könnte in der Welt der Startups, Fintechs und Kryptos bis zu einem gewissen Grad wohl ebenfalls als Motto herhalten. Wer nicht bremst oder wer beim Managen von Risiken Schwächen aufweist, verliert jedoch manchmal auch. Oder handelt sich zumindest Ärger ein.
Aufstieg mit Schrammen
Wie Recherchen von profil, „Süddeutscher Zeitung“ („SZ“), NDR und WDR zeigen, dürfte der rasante Aufstieg von Bitpanda nicht ganz ohne Schrammen vonstatten gegangen sein. Die deutsche Finanzmarktaufsicht „BaFin“ attestierte der „Bitpanda Asset Management GmbH“ (BAM) mit Sitz in Berlin vor nicht allzu langer Zeit schwere Mängel im Bereich des Risikomanagements. Die Deutschland-Tochter ist eng mit der österreichischen Mutterfirma verbunden – laut Bitpanda wurden die festgestellten Defizite mittlerweile vollständig behoben. Doch dann dürfte im Vorjahr auch noch die unternehmensinterne Prüf-Abteilung der Tochterfirma auf die Barrikaden gestiegen sein.
profil, SZ, NDR und WDR haben sich bereits im vergangenen Jahr im Rahmen einer weltweiten Medienkooperation des International Consortium of Investigative Journalists (ICIJ) unter dem Titel „The Coin Laundry“ intensiv mit der Milliarden-Welt der Krypto-Börsen auseinandergesetzt. Bei manchen der damaligen Recherchen hätte der Eindruck entstehen können, internationale Anbieter würden ihr Geschäft mitunter bewusst so aufstellen, dass es westliche Behörden nicht leicht bei der Überprüfung haben. Etwa auf den Seychellen.
Nicht so Bitpanda. Das Unternehmen sitzt in Mitteleuropa – gut greifbar für die Aufsicht. Im Finanzbereich gelten hier durchaus strenge Regulierungen. Schließlich geht es auch in der Krypto-Branche um das Geld anderer Leute. Und wer im Retail-Bereich nachhaltig Kunden gewinnen will, braucht deren Vertrauen.
Bei Bitpanda hat man das offenbar verstanden. Auf seiner Website trägt das Unternehmen „die Einhaltung von regulatorischen Vorschriften“ als „oberstes Credo“ vor sich her. Man verfüge „über mehr Lizenzen und Registrierungen als jede andere Plattform in Europa und darüber hinaus“, wird betont. Und doch ist es vor nicht allzu langer Zeit zu bemerkenswerten Problemen gekommen.
Sitz der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) in Frankfurt am Main
Sonderprüfung durch Aufsicht
Die BAM, über welche die Bitpanda-Gruppe den deutschen Markt beackert, startete im November 2022 mit ihren Finanzdienstleistungen. Bereits im Jahr darauf sah sich die Firma mit einer ersten Sonderprüfung durch die BaFin konfrontiert. Bitpanda zufolge war das durchaus zu erwarten gewesen: Bereits im Rahmen der Lizenzierung habe die Aufsichtsbehörde angekündigt, alle zugelassenen Krypto-Eigenhändler und -Verwahrer binnen zwölf Monaten nach Geschäftsaufnahme einer Sonderprüfung zu unterziehen, heißt es im Jahresabschluss der BAM zum Geschäftsjahr 2023.
Haupt-Thema der Prüfung war die „Geschäftsorganisation“. Unter anderem ging es um das Risikomanagement, um den IT-Bereich und um das „Outsourcing“ – also die Auslagerung von Tätigkeiten. Diese erfolgte offenbar nicht zuletzt an andere Firmen der Bitpanda-Gruppe: Zur Identifizierung von Kunden griff man auf die Dienste der Schwestergesellschaft Bitpanda Payments GmbH zurück. Das Risikomanagement der BAM arbeitete wiederum eng mit jenem der Muttergesellschaft zusammen – also der Wiener Bitpanda GmbH, die so etwas wie das operative Headquarter der Gruppe ist. Die oberste Konzern-Holding ist mittlerweile jedoch in der Schweiz registriert.
Sogar die Verwahrung der von den Kunden erworbenen Kryptowerte erfolgte durch die Bitpanda GmbH, wie aus dem Jahresabschluss der Deutschland-Tochter für 2023 hervorgeht. Weiters hieß es, die BAM sei hinsichtlich Infrastruktur und täglicher Prozesse stark auf die Wiener Mutterfirma angewiesen.
Starke Verwobenheit mit Österreich
Eine Verwobenheit, die auch beim Spitzenpersonal ihren Niederschlag findet: Einer der Geschäftsführer der deutschen Tochterfirma ist seit Ende 2021 ein gewisser Lukas Enzersdorfer-Konrad. Der Manager wurde bereits Ende 2018 als „Head of Financial Services“ bei der Bitpanda-Gruppe präsentiert. 2019 wurde er als Prokurist der Bitpanda GmbH in Wien ins Firmenbuch eingetragen, avancierte Ende August 2023 zu einem der Geschäftsführer und bekleidet mittlerweile die Funktion des CEO – ganz oben an der Spitze der Krypto-Gruppe. Er ist der operative Chef.
Obwohl die deutsche BAM zur Zeit der ersten BaFin-Prüfung im Jahr 2023 eine relativ junge Firma war, konnte sie also bereits auf das beträchtliche Knowhow einer bereits seit Jahren aktiven und stark expandierenden Unternehmensgruppe zurückgreifen. Und dennoch wurden die Aufseher fündig. Aus dem Jahresabschluss der BAM für das Geschäftsjahr 2024 geht hervor, dass bei der BaFin-Prüfung „Mängel in den Bereichen Risiko, IT und Outsourcing“ entdeckt wurden. Näheres zu diesen Mängeln wurde nicht ausgeführt.
Aufsicht fand offenbar schwere Mängel
Unterlagen, die profil, SZ, NDR und WDR einsehen konnten, deuten nun auf das – offenbar doch beträchtliche – Ausmaß der Kritik durch die Aufsicht hin. Operativ führt derartige Sonderprüfungen in der Regel die Deutsche Bundesbank im Auftrag der BaFin durch. So allem Anschein nach auch hier. In einem Bericht der Bundesbank zur BAM waren – den Unterlagen zufolge – insgesamt 16 „Feststellungen“ enthalten: davon fünf „schwerwiegende“, vier „gewichtige“ und sechs „mittelschwere“.
Die Feststellungen bezogen sich demnach auf verschiedene Themen des Risikomanagements – ein alles andere als unwesentlicher Bereich. Wie sich aus den Jahresabschlüssen der BAM herauslesen lässt, dauerte es fast ein Jahr ab der Zustellung des finalen BaFin-Prüfberichts an Bitpanda, bis die aufgezeigten Probleme aus der Welt geschafft waren: von Anfang März 2024 bis zum ersten Quartal 2025. Zum 31. März 2025 konnten die Mängel „vollständig behoben“ werden, heißt es im Jahresabschluss.
Doch damit kehrte – was potenziell heikle regulatorische Themen betrifft – offenbar noch länger nicht Ruhe bei der BAM ein. Informationen von profil, SZ, NDR und WDR zufolge soll es im Sommer 2025 zu einem Meeting zwischen Enzersdorfer-Konrad und anderen Bitpanda-Verantwortlichen gekommen sein. Dabei soll die Audit-Abteilung – also quasi die eigenen, unternehmensinternen Prüfer – der Unternehmensspitze ihr Leid geklagt haben. Jedenfalls finden sich in einer entsprechenden Präsentationsunterlage durchaus deftige Formulierungen.
Unter anderem hieß es da – aus dem Englischen übersetzt –, es bestehe ein erheblicher Mangel an Wissen und Fachkompetenz in den Funktionen der ersten und zweiten Verteidigungslinie. Wenn von derartigen Verteidigungslinien die Rede ist, geht es üblicherweise um das Risikomanagement eines Unternehmens: Die erste Linie stellt quasi den tagtäglichen Umgang mit Risiken und deren Beurteilung durch die operative Ebene dar. Die zweite Linie steuert und überwacht die erste – etwa in Form einer Compliance-Abteilung. Geprüft wird all das dann von der dritten „Verteidigungslinie“, der internen Revision. Und eben diese Audit-Stelle schlug bei der BAM – allem Anschein nach – im Vorjahr Alarm.
Unterlagen mit ChatGPT erstellt?
Laut der englischsprachigen Präsentationsunterlage hielt die Audit-Abteilung die „zweite Linie“ für „unfähig“, die Fachabteilungen zu beraten und zu schulen. Die „zweite Linie“ verweigere die Zusammenarbeit mit der Revisionsabteilung. Und den Teams bzw. Mitarbeitern mangele es an technischer Expertise. Es gebe keine ausreichende Dokumentation – die internen IT-Prüfer sowie auch der externe Wirtschaftsprüfer hätten festgestellt, dass das Unternehmen „nicht bereit für Audits“ sei. Die interne Prüf-Abteilung warnte den Folien zufolge vor „fortlaufenden Verstößen gegen die aufsichtsrechtlichen Anforderungen“ und sogar vor dem Risiko, dass ein aufsichtsbehördlicher Sonderbeauftragter bestellt werden könnte. Detail am Rande: Kritisiert wurde laut Präsentationsunterlage auch, dass Dokumente anscheinend mit ChatGPT erstellt worden seien – ohne qualitative Überprüfung und ohne Bezug zum tatsächlichen Bitpanda-Prozess. Auch das bezieht sich offenbar auf das Risikomanagement.
Im Jahr 2024 verzeichnete die Muttergesellschaft Bitpanda GmbH Handelsumsätze von mehr als sieben Milliarden Euro. Das Fintech-Unternehmen beschäftigt mehr als 700 Mitarbeiter, die Hälfte davon in der Zentrale in Wien. Bitpanda ist Sponsor von Fussballclubs wie Bayern München, Paris Saint-Germain, Arsenal London und AC Mailand, der ATP Tour und von Ex-Tennisstar Dominic Thiem. Wie kann es sein, dass eine solche Unternehmensgruppe mit derartigen Problemen zu kämpfen hat? Hier spielt vielleicht auch eine gewisse Grundkultur der Startup- und insbesondere der Krypto-Branche eine gewisse Rolle.
Bitpanda setzt stark auf Sport-Sponsorings: Mitgründer Eric Demuth (mit Hund) und Ex-Tennis-Star Dominic Thiem
Auf Wachstum gedrillt
„Move fast and break things“, hat Facebook-Gründer Mark Zuckerberg einst als Motto ausgegeben: Schnell sein und – wenn nötig – Dinge über den Haufen werfen. Als Bitpanda 2014 von Eric Demuth, Paul Klanschek und Christian Trummer gegründet wurde, hatte der globale Handel mit Bitcoin gerade erst Fahrt aufgenommen. Das Unternehmen war auf Wachstum gedrillt und fand dafür prominente Unterstützer: Bei einer Investorenrunde im Jahr 2021 war unter den Geldgebern der PayPal-Gründer Peter Thiel. Er ist einer jener ultralibertären Milliardäre aus dem Silicon Valley, die Demokratie als fortschrittshinderlich begreifen und Staaten wie Unternehmen geführt sehen wollen. Oder zumindest Unternehmen einen größtmöglichen Einfluss auf staatliche Akteure einräumen wollen und der Technologie freien Lauf. Das ist auch das Versprechen der Kryptowährungen: unabhängig von Regierungen und Zentralbanken zu sein.
Regulierung durch staatliche Behörden garantiert Anlegern aber auch ein gewisses Maß an Kontrolle und Sicherheit – und damit den Krypto-Finanzdienstleistern mehr Umsatz. Bitpanda hat im April 2025 als erstes Unternehmen überhaupt die Zulassung der österreichischen Finanzmarktaufsicht (FMA) als „Anbieter von Kryptowerte-Dienstleistungen“ erhalten. Ein Prozess, der über ein Jahr lang dauerte, weil das Genehmigungsverfahren für die neue Industrie erst entwickelt werden musste. Über die Handelsplattform Bitpanda können heute hunderte Kryptowährungen getradet werden, ab 29. Jänner auch Aktien und Investmentfonds. Möglicherweise bald auch Aktien von Bitpanda selbst. Das FinTech-Unternehmen soll kurz vor einem Börsengang stehen. Die drei Gründer Eric Demuth, Paul Klanschek und Christian Trummer könnten dann richtig Kasse machen, sie halten immer noch 50 Prozent der Unternehmensanteile.
Extrovertierter Firmengründer
Möglicherweise hat sich Eric Demuth im November 2025 deswegen auch als CEO zurückgezogen, er firmiert inzwischen als Präsident des Verwaltungsrats der Schweizer Holdinggesellschaft Bitpanda Group AG. Der Deutsche ist ein extrem extrovertierter Typ, nicht unbedingt von Vorteil am Kapitalmarkt der alten Schule, wo jede marktrelevante Information rigiden Veröffentlichungsvorschriften unterliegt. Demuth betreibt gemeinsam mit dem Unternehmer und Fitness-Influencer Christian Wolf einen Podcast, in dem er offen über ein erlittenes Burnout und seine „Superpower“ ADHS spricht und gerne gegen die europäische Bürokratie und Regulierungswut ausreitet.
Bitpanda-Gründer Eric Demuth mit Ex-Kanzler Sebastian Kurz.
Bitpanda-Gründer Eric Demuth mit Ex-Kanzler Sebastian Kurz.
Experte: „Feststellungen sind gravierend“
Doch wie ist das, was die nunmehrigen Recherchen ergeben haben, fachlich einzuordnen? „Diese Feststellungen sind gravierend“, sagt der Rechtswissenschaftler Nikolai Badenhoop, Leiter der Forschungsgruppe „Sustainable Finance Law in Europe“ am Frankfurter Leibnitz-Institut für Finanzmarktforschung. Denn die genannten Schwachstellen beträfen die Kernaufgaben eines Finanzinstituts, „insbesondere die eines Krypto-Unternehmens“. Mit Blick auf die offenbar erfolgte interne Kritik der Audit-Abteilung meint Badenhoop: „Falls das alles zutreffen sollte, wäre das sehr bedenklich.“ Letzten Endes könne hier die Zuverlässigkeit und fachliche Eignung der Geschäftsleiter zur Diskussion stehen.
Was sagt Bitpanda zu den Recherchen? profil, SZ, WDR und NDR übermittelten zwei detaillierte Anfragen. Das Unternehmen reagierte mit eher allgemein gehaltenen Statements darauf. Zusammengefasst: Als reguliertes Finanzinstitut unterliege man regelmäßigen behördlichen und externen Prüfungen, die man „stets ohne Einschränkungen“ erfülle. Man arbeite „eng mit den zuständigen Aufsichtsbehörden“ zusammen, um die „Prozesse kontinuierlich weiterzuentwickeln“. Bitpanda gehöre „zu den sichersten und am strengsten beaufsichtigten Plattformen der Branche“.
Bitpanda: „Prozesse fortlaufend überprüft“
Dass bei einer BaFin-Prüfung Feststellungen gemacht würden, die dann „im Rahmen eines Maßnahmenplans implementiert werden“, sei „üblich“, lässt Bitpanda wissen. Die Regulierung habe sich in den vergangenen Jahren verschärft. Prozesse und Systeme würden „fortlaufend überprüft, angepasst und weiterentwickelt“ – sowohl durch interne als auch durch externe Prüfstellen. Prüfungen würden helfen, mögliche Schwachstellen frühzeitig zu identifizieren und zu beheben. Dies nehme man „seit jeher sehr ernst“. Die Bitpanda GmbH, die BAM und die Schweizer Bitpanda Group AG würden außerdem jährlich im Rahmen der Bilanzerstellung vom Wirtschaftsprüfer KPMG geprüft. Seitens Bitpanda hebt man hervor: „Alle geprüften Gesellschaften haben stets einen uneingeschränkten Bestätigungsvermerk erhalten.“ Es gebe klare Governance-Strukturen und -Prozesse.
Bitpanda argumentiert auch, dass Anfang 2025 „weitere erhebliche regulatorische Veränderungen hinzugekommen“ seien. Das will Experte Badenhoop jedoch nicht gelten lassen: „Was die BaFin bemängelt hat, gilt ja nicht erst seit Anfang 2025.“
Bitpanda spendete Anfang 2025 übrigens insgesamt 1,75 Millionen Euro an die vier deutschen Parteien CDU, CSU, FDP und SPD. Eric Demuths Begründung damals: „Demokratie ist kein Selbstläufer, und Wirtschaft braucht Stabilität“. Vielleicht hoffte er insgeheim ja auch, dass auf sein Unternehmen nicht noch „weitere erhebliche regulatorische Veränderungen“ zukommen.
Drucken
(profil.at)
|
Stand:
Stefan Melichar
ist Chefreporter bei profil. Der Investigativ- und Wirtschaftsjournalist ist Mitglied beim International Consortium of Investigative Journalists (ICIJ). 2022 wurde er mit dem Prälat-Leopold-Ungar-Journalist*innenpreis ausgezeichnet.
Zum Hauptinhalt der Seite
