Risiken erkennen, die Fintechs untergehen lassen, bevor der Markt es merkt

# Risiken erkennen, die Fintechs untergehen lassen, bevor der Markt es merkt

Im Mai 2024 wachten rund 100.000 Amerikaner auf und hatten keinen Zugriff mehr auf ihr eigenes Geld. Ihre Guthaben lagen auf Konten mit dem Branding von Fintech-Apps wie Yotta und Juno, die tatsächlichen Dollar lagen aber bei Partnerbanken, geroutet über einen Vermittler namens Synapse. Als Synapse in die Insolvenz rutschte, konnte sich niemand darauf verständigen, welches Ledger korrekt war. Einigen Einlegern fehlt mehr als ein Jahr später noch Geld. Es gab keinen Hack. Betrug wurde nicht nachgewiesen. Das System konnte einfach eine einfache Frage nicht beantworten: Wem gehört dieses Geld genau?

Diese Frage und zwei weitere dieser Art sind das, was Sie in dieser Lektion zu stellen lernen, bevor die Probleme eines Fintechs öffentlich werden.

Drei Risiken, eine Lektion

Fintech-Pleiten haben selten einen dramatischen Schurken als Ursache. Sie entstehen aus drei wiederkehrenden, langweilig klingenden Risikokategorien, die sich leise aufschichten:

• Compliance-Risiko: die Gefahr, dass ein Unternehmen Finanzregulierung verletzt oder nicht nachweisen kann, dass es sie einhält
• Custody-Risiko: die Gefahr, dass Kundenvermögen nicht sicher, nicht getrennt verwahrt oder im Insolvenzfall nicht rückholbar ist
• Konzentrationsrisiko: die Gefahr einer zu starken Abhängigkeit von einem Partner, Kunden oder einer Einnahmequelle

Synapse war ein Custody- und Konzentrationsversagen. Wirecard war ein Compliance-Versagen, getarnt als Wachstumsstory. Sie auseinanderhalten zu kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen, ist hier die eigentliche Kompetenz, nicht das Auswendiglernen von Definitionen.

Compliance-Risiko: wenn die Zahlen der Betrug sind

Compliance-Risiko ist das Risiko von Bußgeldern, Lizenzverlust oder Abwicklung, weil ein Unternehmen regulatorische Anforderungen nicht erfüllt oder aktiv verschleiert, dass es sie nicht erfüllt.

Wirecard, einst ein DAX-notierter deutscher Payment-Riese mit über 24 Mrd. € Bewertung auf dem Höchststand 2018, brach im Juni 2020 zusammen, als Prüfer feststellten, dass 1,9 Mrd. €, die angeblich auf philippinischen Bankkonten lagen, nicht existierten. Das Unternehmen hatte über Jahre einen großen Teil seines Asiengeschäfts über fiktive Partnerschaften mit „Third-Party-Acquirern" erfunden. Die BaFin (die deutsche Finanzaufsicht, Bundesanstalt für Finanzdienstleistungsaufsicht) wurde im Nachhinein dafür kritisiert, Wirecard gegen die Betrugsvorwürfe von Short-Sellern verteidigt zu haben, statt sie zu untersuchen.

Die Lehre ist nicht „prüfen Sie Ihre Prüfer". Sie lautet: Compliance-Risiko versteckt sich in aller Offenheit in Wachstumsmetriken, die zu glatt aussehen. Wirecards Umsatzwachstum in Asien passte nicht zur Größe und Reife dieser Märkte. Wer nicht danach suchte, bemerkte es nicht.

Wo Compliance-Risiko im Fintech heute steckt:

• AML/KYC-Lücken (Anti-Money Laundering / Know Your Customer, also die Regeln, die Unternehmen verpflichten, Kundenidentitäten zu prüfen und auf illegale Gelder zu überwachen). In den USA durchgesetzt von FinCEN (Financial Crimes Enforcement Network) und den Aufsichtsbehörden der Bundesstaaten; in der EU über die AMLD-Rahmenwerke (Anti-Money Laundering Directive) und zunehmend über die AMLA der EU (Anti-Money Laundering Authority, operativ ab 2025).
• Unlizenziertes Kredit- oder Zahlungsgeschäft: Tätigkeit in US-Bundesstaaten ohne die erforderlichen Money-Transmitter-Lizenzen oder in der EU ohne EMI-Lizenz (Electronic Money Institution) oder PI-Lizenz (Payment Institution) nach PSD2 (der zweiten Zahlungsdiensterichtlinie).
• Irreführendes Marketing zur Einlagensicherung, dazu gleich mehr.

Custody-Risiko: wessen Geld ist es eigentlich

Custody-Risiko ist die Gefahr, dass Kundengelder nicht so gehalten werden, wie Kunden es glauben, rechtlich nicht geschützt sind oder sich nicht individuell zurückverfolgen lassen.

Synapse war ein Banking-as-a-Service-(BaaS-)Middleware-Anbieter: Es verband Fintech-Apps mit FDIC-versicherten Partnerbanken (die Federal Deposit Insurance Corporation versichert US-Bankeinlagen bis zu 250.000 $ pro Einleger und Bank), ohne selbst eine Bank zu sein. Viele kundenseitige Apps warben mit „FDIC insured"-Konten. Aber die FDIC-Versicherung schützt nur gegen den Ausfall einer Bank, nicht gegen ein falsches Ledger eines Vermittlers oder gegen eine Insolvenz, die Zahlungsflüsse einfriert. Als Synapse zusammenbrach, war es forensisch schwierig, über mehrere Partnerbanken und die ausgefallene Synapse-Datenbank hinweg zu rekonstruieren, welcher Endkunde welchen Dollar besaß. Stand 2025 sind Teile der Gelder nicht wiederbeschafft, ein Ergebnis, das Aufseher und Verbraucherschützer als vermeidbares Aufsichtsversagen bezeichnet haben.

Die Custody-Frage, die Sie immer stellen sollten: Wenn dieser Vermittler morgen verschwände, kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnte mein Geld identifiziert und bis Ende der Woche zurückgegeben werden?

Bei Krypto-Plattformen ist das Custody-Risiko noch schärfer: Werden Kunden-Coins 1:1 in getrennten Wallets gehalten oder mit dem eigenen Handelskapital des Unternehmens vermischt? Der Zusammenbruch von FTX 2022 war im Kern genau dieses Versagen. Die CFTC (Commodity Futures Trading Commission) und die SEC (Securities and Exchange Commission) haben seither stärker auf Proof-of-Reserves-Offenlegungen gedrängt, auch wenn die Standards branchenweit uneinheitlich bleiben.

Als verständlicher regulatorischer Einstieg in BaaS-Risiken ist der Leitfaden des Consumer Financial Protection Bureau zu Bankpartnerschaften ein solider kostenloser Startpunkt.

Konzentrationsrisiko: der Single Point of Failure

Konzentrationsrisiko ist die übermäßige Abhängigkeit von einer Einheit, sei es eine Partnerbank, ein einzelner Großkunde, eine Finanzierungsquelle oder eine Region.

Synapse illustriert das erneut gut: Dutzende Fintech-Apps hingen vollständig an einem einzigen Middleware-Anbieter, ohne Notfallplan. Als ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → ausfiel, gab es keinen geordneten Übertragungsweg. Die Aufsicht hat Partnerbanken seither in Richtung direkter Kontrolle über BaaS-Beziehungen gedrängt, statt Compliance vollständig an Intermediäre auszulagern.

Konzentrationsrisiko zeigt sich außerdem als:

• Umsatzkonzentration: ein B2B-Fintech, bei dem ein Enterprise-Kunde über 40 % des Umsatzes ausmacht
• Finanzierungskonzentration: eine Neobank, die für ihren Runway von einer Wholesale-Finanzierungslinie oder einem Venture-Investor abhängt
• Geografische Konzentration: ein Payment-Unternehmen, das den Großteil seines Volumens über einen einzigen Korridor einer Korrespondenzbank abwickelt

Ein kurzes Rechenbeispiel. Angenommen, der Umsatz eines Fintech-Kreditgebers kommt von drei Partnerbanken, im Verhältnis 70/20/10. Wenn der 70-%-Partner aussteigt (ein realer, wiederkehrender Vorgang, da Banken ihre BaaS-Risikoneigung nach 2024 neu bewerten), verliert das Unternehmen nicht allmählich 70 % des Umsatzes, sondern kann sie innerhalb einer regulatorischen KKDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →ündigungsfrist verlieren, oft 90 Tage. Rechnen Sie das durch, bevor Sie eine Wachstumskurve für nachhaltig halten: 70 % einer Run-Rate von 50 Mio. $ sind 35 Mio. $, die in einem Quartal weg sind.

Praktische Due-Diligence-Checks

Sie brauchen keine Compliance-Lizenz, um einen ersten Check eines Fintechs zu machen, ob als Investor, Partner, Mitarbeiter oder informierter Kunde.

Compliance-Checks:

• Legt das Unternehmen seine Lizenzen offen (Money-Transmitter-Lizenzen der Bundesstaaten in den USA, EMI-/PI-Lizenznummer in der EU)? Prüfen Sie über NMLS Consumer Access (USA) oder nationale Aufsichtsregister (BaFin, das Financial Services Register der FCA in Großbritannien).
• Gibt es aktuelle Consent Orders oder Vollstreckungsmaßnahmen? Durchsuchen Sie die Enforcement-Datenbanken von CFPB, OCC (Office of the Comptroller of the Currency) oder FCA (Financial Conduct Authority).

Custody-Checks:

• Lesen Sie die AGB: Wird die tatsächliche FDIC-versicherte Bank genannt, die die Gelder hält, oder nur die Fintech-Marke?
• Gibt es bei Krypto- oder E-Geld-Produkten einen öffentlichen Proof-of-Reserves oder eine unabhängige Bestätigung, und wie aktuell ist sie?

Konzentrations-Checks:

• Suchen Sie in Finanzierungsmeldungen oder 10-KKDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →-/Jahresberichten nach Formulierungen zur Offenlegung von „significant customer" oder „significant partner", die nach US-Wertpapierrecht bei materieller Konzentration verpflichtend ist.
• Fragen Sie (oder schließen Sie aus der Presse), wie viele Bankpartner ein BaaS-abhängiges Fintech tatsächlich hat. Einer ist ein Warnsignal; drei oder mehr mit offengelegter Redundanz sind gesünder.

🎬 [VIDEO: „How Wirecard's $2 Billion Fraud Unraveled" - youtube.com - eine kompakte Aufschlüsselung der buchhalterischen Mechanik hinter Europas größtem Fintech-Betrug, nützlich, um Compliance-Risiko in Aktion zu sehen]

Key Takeaways

• Compliance-Risiko ist das Risiko aus verletzten oder verschleierten regulatorischen Versäumnissen. Prüfen Sie zuerst Lizenzen und Enforcement-Historie; Wirecards Betrug war Jahre vor dem Zusammenbruch für jeden auffindbar, der das Umsatzwachstum in Asien hinterfragte.
• Custody-Risiko dreht sich darum, ob Kundengelder rechtlich getrennt und nachvollziehbar sind. Fragen Sie immer, wer die Gelder tatsächlich hält, nicht nur, wessen Logo auf der App steht; Synapse hat gezeigt, dass ein „FDIC insured"-Branding keine Rückholbarkeit garantiert.
• Konzentrationsrisiko macht aus dem Ausstieg eines einzigen Partners eine plötzliche, keine allmähliche Krise. Quantifizieren Sie, welcher Prozentsatz von Umsatz oder Finanzierung bei einer Gegenpartei liegt.
• Diese Risiken schichten sich auf: Synapse war Custody-Risiko auf Basis von Konzentrationsrisiko, und eine schwache Aufsicht (eine Compliance-Lücke) ließ es unbearbeitet fortbestehen.
• Due Diligence ist ohne Jurastudium machbar: Lizenzregister, Enforcement-Datenbanken und Offenlegungsberichte sind kostenlos, öffentlich und werden oft ignoriert, bis es zu spät ist.