Bitpanda kämpfte 2024/2025 mit Problemen mit der Bafin
Die deutsche Finanzaufsicht (Bafin) hat bei einer Sonderprüfung des österreichischen Krypto-Brokers Bitpanda erhebliche Defizite festgestellt. Die Bundesanstalt für Finanzdienstleistungsaufsicht monierte in einem Prüfbericht vom März 2024 insgesamt 16 Mängel bei der deutschen Tochtergesellschaft Bitpanda Asset Management GmbH. Fünf dieser Feststellungen stufte die Behörde als schwerwiegend ein, vier als gewichtig.
Die Kritik der Bafin, die nun durch Berichte der Süddeutschen Zeitung, NDR, WDR und dem österreichischen Magazin Profil öffentlich wurde, trifft das Unternehmen zu einem ungünstigen Zeitpunkt, da Bitpanda für das erste Halbjahr 2026 einen Börsengang in Frankfurt vorbereitet und dabei eine Bewertung zwischen vier und fünf Milliarden Euro anstrebt.
Die Aufsichtsbehörde hatte die Prüfung nach Erteilung der Lizenz im Jahr 2022 angeordnet und 2023 durchgeführt. Dabei konzentrierten sich die Prüfer auf zentrale Bereiche wie Risikomanagement, IT-Sicherheit und die Steuerung ausgelagerter Prozesse. Besonders kritisch bewertete die BaFin, dass wesentliche Betriebsteile einschließlich der Kryptoverwahrung an die österreichische Muttergesellschaft ausgelagert wurden, ohne dass die Steuerung dieser Auslagerungen den gesetzlichen Vorgaben entsprach. Die Behörde stellte dann in einem Schreiben vom Januar 2025 fest, dass das Unternehmen trotz Fortschritten bei der Mängelbehebung weiterhin nicht über eine ordnungsgemäße Geschäftsorganisation im Sinne des Kreditwesengesetzes verfügte.
Bitpanda verweist auf „uneingeschränkten Bestätigungsvermerk“ durch KPMG
Bitpanda hat sich stets Compliance mit der Regulatorik als einer der USPs auf die Fahnen geschrieben, um sich am umkämpften Krypto-Markt von anderen Playern zu unterscheiden. Die Plattform betreut nach eigenen Angaben rund sieben Millionen Kunden und gehört zu den größten europäischen Anbietern im Krypto-Segment. seitens des Unternehmens wird kommuniziert, dass man bis Ende März 2025 sämtliche Mängel behoben hätte. Die BaFin habe die Bemühungen des Unternehmens zur Mängelbehebung ausdrücklich anerkannt und sich deshalb für ein Belehrungsschreiben anstelle einer förmlichen Verwarnung entschieden.
„Als umfassend reguliertes europäisches Finanzinstitut unterliegen wir regelmäßigen behördlichen und externen Prüfungen. Wir arbeiten eng mit den zuständigen Aufsichtsbehörden im In- und Ausland zusammen, um unsere Prozesse kontinuierlich weiterzuentwickeln. Diesen Prozess nehmen wir seit jeher sehr ernst. Darüber hinaus verfügen wir über starke interne Richtlinien und Prozesse als Teil unseres Governance-Systems. Darunter u.a. eine interne Revision und Kontrollgremien, die die Weiterentwicklung unserer Organisation sicherstellen“, heißt es in einer sehr allgemeinen Stellungnahme des Unternehmens.
Und weiter: „Die Bitpanda Asset Management GmbH, die Bitpanda GmbH und die Bitpanda Group AG werden zudem jährlich im Rahmen der Jahresabschlüsse von KPMG geprüft. Diese Prüfungen umfassen umfangreiche Kontrollen und Bewertungen zentraler Prozesse, einschließlich Risikomanagement, Dokumentation und Governance. Alle geprüften Gesellschaften haben stets einen uneingeschränkten Bestätigungsvermerk erhalten.“
Die von der Bafin festgestellten Mängel liegen nun doch schon einige Zeit zurück. 2025 kam es jedenfalls zu einem Wechsel an der Spitze des Unternehmens. Zuerst legte Mitgründer Paul Klanschek seine Co-CEO-Rolle im August 2025 zurück und wechselte im Oktober 2025 in den Vorstand der Bitpanda Group AG, dann legte auch Mitgründer Eric Demuth die Rolle im November des letzten Jahres die Rolle als Co-CEO nieder und wurde Executive Chairman des Verwaltungsrats der Bitpanda Group AG. Lukas Enzersdorfer-Konrad ist seither alleiniger CEO (Trending Topics berichtete).
Schwachstellen in IT-Sicherheit und Organisation
Der Wirtschaftsprüfer KPMG hat den Berichten zufolge 2024 unangemessen privilegierte Zugriffsrechte für Gesellschafter und Vorstände auf IT-Systeme beanstandet. Diese weitreichenden Zugriffsmöglichkeiten wurden erst im ersten Quartal 2025 entzogen. Zudem bemängelte die Aufsicht grundlegende Defizite in der Informationssicherheit, einem Kernbereich für jedes Finanzinstitut, das digitale Vermögenswerte verwahrt.
Die interne Revisionsabteilung von Bitpanda zeichnete in ihren Prüfberichten ein noch düstereres Bild. Die Auditoren stellten fest, dass es der sogenannten zweiten Verteidigungslinie, also den Bereichen Compliance und Informationssicherheit, an ausreichender Fachkompetenz fehlte. In internen Präsentationen kritisierten die Prüfer, dass Dokumente ohne qualitative Überprüfung erstellt worden seien und keinen Bezug zu tatsächlichen Prozessen aufwiesen. Die Revision monierte zudem, dass andere Abteilungen zu wenig Wissen über regulatorische Anforderungen besäßen und sich unzureichend um deren Einhaltung bemühten.
