Eine Due Diligence bei einem Fintech in einer Sitzung durchziehen

# Eine Due Diligence bei einem Fintech in einer Sitzung durchziehen

Es ist 16:45 Uhr. Ein Series-B-Term-Sheet wird morgen unterschrieben, und Ihr Investment Committee will eine Seite: Ist dieses Payments-Startup finanzierbar, oder sitzt es auf einer regulatorischen Tretmine? Sie haben drei Stunden, nicht drei Wochen. Diese Lektion liefert Ihnen die Checkliste, mit der Sie bis 20 Uhr zu einer belastbaren Antwort kommen.

Unser Arbeitsbeispiel: „PayFlow“ (ein Komposit, keine echte Firma) ist ein US-Payments-Startup mit 2 Milliarden Dollar annualisiertem Volumen, das eine Series B über 40 Millionen Dollar aufnimmt. In den meisten Bundesstaaten hält es keine eigene Money-Transmitter-Lizenz. Es routet Transaktionen über eine Partnerbank. Das ist die mit Abstand häufigste Struktur im Consumer-Fintech und die mit Abstand häufigste Ursache für Unfälle (siehe den Synapse-Kollaps 2024, bei dem ein Middleware-Ausfall zwischen Fintechs und Partnerbanken die Einlagen von über 100.000 Nutzern einfror, ein realer und gut dokumentierter Fall).

Schritt 1: Lizenzstatus prüfen, nicht nur Lizenzbehauptungen

Die meisten Payment-Fintechs in den USA halten keine Banklizenz. Stattdessen arbeiten sie nach einem von zwei Modellen:

• Money Services Business (MSB), registriert bei FinCEN (Financial Crimes Enforcement Network), plus Money-Transmitter-Lizenzen (MTLs) pro Bundesstaat.
• Bank Partnership / „Banking-as-a-Service“ (BaaS)-Modell, bei dem eine Bank mit Charter die Lizenz hält und das Fintech als deren Agent auftritt.

Der Check: Verlassen Sie sich nicht auf das Pitch Deck. Durchsuchen Sie die NMLS Consumer Access-Datenbank (Nationwide Multistate Licensing System), die kostenlos und öffentlich ist. Prüfen Sie, ob der Name der Gesellschaft exakt übereinstimmt, kontrollieren Sie den Lizenzstatus (aktiv, ausgesetzt, zurückgegeben) und welche Bundesstaaten abgedeckt sind im Vergleich zu denen, in denen die Firma nach eigener Aussage tätig ist.

In Europa ist das Äquivalent eine Lizenz als E-Geld-Institut (EMI) oder Zahlungsinstitut (PI) unter PSD2 (der zweiten Zahlungsdiensterichtlinie), ausgestellt von einer nationalen Aufsicht (z. B. FCA in Großbritannien, ACPR in Frankreich) und per Passporting in der EU/EWR nutzbar. Prüfen Sie das FCA Financial Services Register oder das entsprechende nationale Register.

Red Flag bei PayFlow: Wenn behauptet wird „lizenziert in allen 50 Bundesstaaten“, NMLS aber nur in 38 aktive MTLs zeigt, ist das eine materielle Lücke, kein Rundungsfehler.

Schritt 2: Exposure gegenüber der Partnerbank kartieren

Wenn PayFlow keine eigene Charter hält, hängt das gesamte Geschäft an einer oder zwei Partnerbanken (gängige Namen in diesem Feld: Cross River Bank, Evolve Bank & Trust, Column Bank). Das ist das größte Single-Point-of-Failure-Risiko im Fintech.

Fragen, die Sie im Data Room klären müssen:

1. Wie viele Partnerbanken werden genutzt? (Eine ist eine Red Flag; Konzentrationsrisiko.)

2. Was passiert vertraglich, wenn die Bank die Beziehung beendet? KKDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →ündigungsfrist, Wind-down-Klauseln, Portabilität der Kundengelder.

3. Stand die Partnerbank selbst schon unter regulatorischer MaMaEinsatz von Software, um wiederkehrende Marketingaufgaben und Kampagnen zu automatisieren und Personalisierung in großem Maßstab über Kanäle wie E-Mail, Web und Social zu ermöglichen.Vollständige Definition ansehen →ßnahme? 2024 erließen die Federal Reserve und die FDIC (Federal Deposit Insurance Corporation) Consent Orders gegen mehrere BaaS-fokussierte Banken wegen mangelhafter Kontrollen nach dem Bank Secrecy Act (BSA) und im Bereich Anti-Money-Laundering (AML). Eine Consent Order gegen PayFlows Partnerbank ist eine direkte Bedrohung für PayFlows Handlungsfähigkeit, auch wenn PayFlow selbst nichts falsch gemacht hat.

Rechenbeispiel: Wenn PayFlow 2 Mrd. Dollar annualisiertes Volumen über eine einzige Partnerbank abwickelt und diese Bank sagen wir 15 % ihrer gesamten, auf Fintech-Partnerschaften entfallenden Einlagenbasis darauf verbucht, kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnte eine aufsichtsrechtliche Anordnung zum „De-Risking“ (Reduzierung des Fintech-Exposures) PayFlow zwingen, die Rails innerhalb von 90 bis 180 Tagen zu migrieren. Fragen Sie: Hat PayFlow bereits eine dokumentierte, unterzeichnete Backup-Bankbeziehung? Falls nicht, ist das Ihre größte Risikozeile im Memo.

Schritt 3: Audit- und Jahresabschluss-Historie ziehen

Series B ist früh genug, dass PayFlow möglicherweise noch kein Full-Scope-Audit hat, aber folgendes sollte vorliegen:

• SOC 2 Type II Report (System and Organization Controls, ein unabhängiges Audit von Sicherheits- und Betriebskontrollen über einen Zeitraum, nicht zu einem Stichtag). Fordern Sie den echten Report an, nicht ein Badge auf der Website.
• Unabhängige Jahresabschlüsse, idealerweise reviewed oder geprüft von einer anerkannten Gesellschaft.
• Wenn Kartenzahlungen berührt werden, eine aktuelle PCI-DSS-Attestation of Compliance (Payment Card Industry Data Security Standard).

Prüfen Sie den Trend, nicht nur die Momentaufnahme. Ein SOC 2 mit einem Dutzend vermerkter Ausnahmen bei „logical access controls“ ist ein Governance-Signal, für sich allein kein Deal-Killer, aber es zeigt Ihnen, wo sich operatives Risiko ballt.

Schritt 4: Die Akte der Aufsichtskorrespondenz lesen

Das ist der Schritt, den die meisten Diligence-Teams überspringen, weil ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → mühsam ist, und es ist der wichtigste.

Fragen Sie direkt nach:

• Beschwerden, Anfragen oder Civil Investigative Demands des CFPB (Consumer Financial Protection Bureau).
• Prüfungsfeststellungen von Landesaufsichten (die MTL-Aufsichten der Bundesstaaten führen periodische Prüfungen durch).
• Anfragen von FinCEN oder BSA/AML-bezogene Anfragen.
• Board-Protokolle mit Bezug zu regulatorischen Themen (oft die offenste Quelle).

Der Vergleichsfall aus der Praxis: 2024 bis 2025 hat das CFPB mehrere Verfahren gegen Fintechs und deren Bankpartner wegen nicht autorisierter Überweisungen und irreführender Gebührenangaben eingeleitet. Eine Firma mit sauberer öffentlicher Bilanz, aber einer ungelösten internen CFPB-Anfrage, die nur in Board-Protokollen auftaucht, ist genau das, was ein schneller Diligence-Sweep aufdecken soll.

Wenn PayFlows Rechtsabteilung zögert, diese Akte herauszugeben, ist dieses Zögern selbst eine Information.

Schritt 5: Kapital und Safeguarding der Kundengelder prüfen

Payment-Unternehmen halten fremdes Geld, auch wenn nur kurz. Die Kernfrage: Sind Kundengelder rechtlich von den operativen Mitteln der Firma getrennt?

In den USA verlangen MTL-Regularien in der Regel „permissible investments“ in Höhe der offenen Kundenverbindlichkeiten, getrennt gehalten. In der EU/UK verlangen EMI- und PI-Regeln unter PSD2 Safeguarding: Kundengelder müssen auf segregierten Konten bei einem zugelassenen Kreditinstitut liegen oder durch eine Versicherungspolice gedeckt sein.

Der Check: Fordern Sie den Kontoauszug mit dem Saldo des segregierten Kontos an und stimmen Sie ihn mit der ausgewiesenen Kundenverbindlichkeit in der Bilanz ab, zum Diligence-Datum, nicht mit einer ein Quartal alten Zahl. Eine Abweichung hier ist das Fintech-Äquivalent eines Bank Runs, der nur noch auf seinen Auslöser wartet (operativ ist genau das im Synapse-Fall schiefgegangen).

Das einseitige Go/No-Go-Memo bauen

Strukturieren Sie Ihre Erkenntnisse in vier Zeilen:

1. Lizenzierung: aktiv verifiziert / Lücken in X Bundesstaaten / vollständig von der Partnerbank abhängig.

2. Partnerbank-Konzentration: Single Point of Failure? Backup vorhanden?

3. Audit Trail: SOC 2 ohne Befund / Ausnahmen vermerkt / noch kein Audit (in dieser Phase erwartbar oder nicht).

4. Aufsichtskorrespondenz: sauber / offene Anfrage (offengelegt) / offene Anfrage (nicht offengelegt, sofort eskalieren).

Eine einzige nicht offengelegte Aufsichtsanfrage ist Grund, das Closing zu pausieren, egal wie gut die anderen drei Zeilen aussehen.

🎬 [VIDEO: „How Fintech Banking Partnerships Actually Work“ - youtube.com/@Fintech - ein Durchgang durch das BaaS-Modell, das Partnerbank-Risiko und die Gründe, warum so viele Fintechs keine eigene Charter halten, nützliche visuelle Ergänzung zu Schritt 1 und 2 oben]

Zentrale Erkenntnisse

• Lizenzierung unabhängig verifizieren: NMLS Consumer Access (USA) oder FCA Register / nationale Äquivalente (Europa) nutzen, niemals allein auf Angaben im Pitch Deck verlassen.
• Partnerbank-Konzentration ist das größte strukturelle Risiko bei Fintechs ohne eigene Charter; immer auf eine dokumentierte Backup-Bankbeziehung prüfen.
• Fordern Sie die echten SOC 2- und Audit-Reports, keine Marketing-Zusammenfassungen, und lesen Sie die Ausnahmen, nicht nur das Deckblatt.
• Die Akte der Aufsichtskorrespondenz ist das aussagekräftigste und am häufigsten übersprungene Dokument; eine zögerliche Rechtsabteilung ist selbst ein Datenpunkt.
• Segregierte Kundengeldsalden gegen ausgewiesene Verbindlichkeiten zum Diligence-Datum abstimmen; Abweichungen hier sind der Frühindikator für die Art von Einfrieren, die man beim Synapse-Kollaps 2024 gesehen hat.