VHintergründe & AnalysenEinordnung
Fintechs und Aufsicht: wenn der Geprüfte technisch weiter ist als der Prüfer
Zahlungsdienstleister, Neobanken und Kryptoanbieter entwickeln ihre Technik schneller, als Gesetzgeber und Aufseher sie verstehen können. Eine Einordnung, warum Kontrolle hinterherläuft, was nach 2020 geändert wurde und was das für einen Betrieb bedeutet, der mit solchen Anbietern arbeitet.
Kurz gefasst
- Das Collingridge-Dilemma beschreibt den Kern des Problems: Früh weiß die Aufsicht zu wenig über eine neue Technik, später ist sie zu fest verankert, um sie leicht zu steuern.
- Im Fall Wirecard beaufsichtigte die BaFin nur die konzerneigene Bank, nicht den Konzern, der als Technologieunternehmen galt. Seit 2022 prüft die BaFin Bilanzen börsennotierter Unternehmen selbst und mit mehr Befugnissen.
- Zwei Lesarten konkurrieren: Die Aufsicht war technisch überfordert, oder sie war nicht unabhängig genug. Die Befunde sprechen dafür, dass beides zusammenwirkt.
- Für Betriebe gilt dieselbe Lage im Kleinen: Wer Dienstleister nutzt, die technisch weiter sind, braucht eine Kontrolle, die nicht vom Verständnis der Technik abhängt.
Warum Aufsicht neuer Finanztechnik oft hinterherläuft
Fintechs, also Unternehmen, die Finanzdienstleistungen mit neuer Technik anbieten, haben das Bezahlen, Sparen und Leihen in wenigen Jahren verändert. Viele Betriebe nutzen sie täglich: für Kartenzahlungen im Laden, für Rechnungen, für Kredite im Onlinehandel. Hinter jeder dieser Leistungen steht ein Unternehmen, das jemand beaufsichtigen soll.
Die Aufsicht hat dabei ein strukturelles Problem. Sie prüft Unternehmen, deren Technik sich schneller ändert, als Regeln geschrieben und Prüfer ausgebildet werden. Der Beitrag fragt deshalb: Was geschieht, wenn das geprüfte Unternehmen technisch weiter ist als der Prüfer, und wie lässt sich trotzdem wirksam kontrollieren? Dafür klären wir zuerst ein Denkmodell, betrachten dann einen dokumentierten Fall und die Reformen danach, wägen zwei Lesarten ab und übertragen das Ergebnis auf den eigenen Betrieb.
Das Collingridge-Dilemma: zu früh zu wenig Wissen, zu spät zu wenig Einfluss
Der britische Technikforscher David Collingridge hat 1980 ein Dilemma beschrieben, das seither seinen Namen trägt. Solange eine Technik neu ist, lässt sie sich leicht steuern, aber niemand weiß genau, welche Folgen sie hat. Sobald die Folgen sichtbar sind, ist die Technik so verbreitet, dass jede Korrektur teuer und mühsam wird. Wer reguliert, muss also entweder unter Unwissen handeln oder mit verminderter Wirkung.
Ahern (2025) beschreibt in einem Fachaufsatz, wie sich daraus in der EU ein wachsender Abstand zwischen Innovation und Regulierung ergibt. Sie verwendet dafür auch den Begriff Pacing Problem: Die Technik gibt das Tempo vor, die Regeln folgen. Das Ergebnis sei oft Regulierung, die entweder zu streng oder zu locker ausfällt, selten passend. Ein zweites Problem nennt sie Regulierungsarbitrage: Unternehmen siedeln sich dort an, wo die Regeln am wenigsten belasten.
Eine Analogie macht die Lage greifbar. Stell dir einen Fahrprüfer vor, der Prüfungen auf einem Auto abnehmen soll, dessen Bedienung er selbst noch nie gelernt hat. Er kann prüfen, ob der Kandidat an der roten Ampel hält. Ob das Assistenzsystem gerade richtig arbeitet, kann er nicht beurteilen.
Quelle: Eigene Berechnung aus Jahreszahlen; Verordnung (EU) 2023/1114 (MiCA)
Die Zahlen zeigen keine Untätigkeit, sondern das Dilemma. Ahern (2025) weist darauf hin, dass Aufsichten vor 2017 weltweit Blockchain-Anwendungen für zu unreif hielten, um sie zu regulieren. Erst die Welle der Token-Ausgaben machte den Handlungsbedarf sichtbar.
Was ein dokumentierter Fall über Aufsichtslücken zeigt
Der Zusammenbruch des Zahlungsdienstleisters Wirecard im Juni 2020 ist der bekannteste Fall in Deutschland. Das Unternehmen hatte eine Banktochter, die von der BaFin, der Bundesanstalt für Finanzdienstleistungsaufsicht, beaufsichtigt wurde. Der Konzern selbst galt dagegen als Technologieunternehmen und unterlag nicht der direkten Finanzaufsicht. Bloomberg beschrieb das 2020 als blinden Fleck: ein Unternehmen, das wie eine Bank handelt, aber keine ist (Comfort und Drozdiak 2020).
Dazu kam eine geteilte Zuständigkeit für die Bilanzkontrolle. Zuerst prüfte eine private Stelle, die Deutsche Prüfstelle für Rechnungslegung (DPR), erst danach konnte die BaFin eingreifen. Geldwäsche bei Unternehmen außerhalb des Finanzsektors lag bei regionalen Behörden (Comfort und Jennen 2020). Im Februar 2019 untersagte die BaFin vorübergehend neue Leerverkäufe der Aktie und erstattete Strafanzeige gegen Journalisten. Den Ablauf schildert der Beitrag Chronik eines Bilanzskandals. Die strafrechtliche Aufarbeitung ist nicht abgeschlossen, für alle Beteiligten gilt die Unschuldsvermutung.
| Bereich | Bis 2021 | Seit 2022 |
|---|---|---|
| Bilanzkontrolle | zweistufig: zuerst private Prüfstelle DPR, dann BaFin | BaFin allein, die DPR wurde aufgelöst |
| Befugnisse | begrenzte Ermittlungsrechte | BaFin darf im Rahmen der Bilanzkontrolle durchsuchen und beschlagnahmen |
| Organisation | Aufsicht nach Sparten | neue Einheiten wie eine Fokusaufsicht für komplexe Unternehmen und schnell einsetzbare Taskforces |
| Abschlussprüfer | Rotation bis zu 20 oder 24 Jahre möglich | höchstens zehn Jahre bei Unternehmen von öffentlichem Interesse |
Nach 2020 ging die BaFin auch gegen andere Fintechs strenger vor. Bloomberg berichtete 2024 von Sanktionen gegen rund ein Dutzend Unternehmen, darunter die Neobank N26 und der Bankdienstleister Solaris, und davon, dass die Aufsicht einige Wachstumsgrenzen lockern wollte, nachdem die Kontrollen der Firmen besser geworden waren (Comfort 2024).
Zwei Lesarten: Kompetenzlücke oder fehlende Unabhängigkeit?
Warum hat die Kontrolle im Fall Wirecard so lange nicht gegriffen? Zwei Erklärungen werden in der Forschung diskutiert.
Kompetenzlücke
- Die Technik und das Geschäftsmodell waren schwer zu durchschauen.
- Zuständigkeiten passten nicht zu einem Unternehmen zwischen Technik und Finanzwesen.
- Die Regeln hinkten dem Markt hinterher, wie es das Collingridge-Dilemma erwarten lässt.
Fehlende Unabhängigkeit
- Die Aufsicht stand politisch und institutionell unter dem Einfluss der Regierung.
- Kritik von außen wurde eher als Angriff auf den Markt gesehen als als Warnsignal.
- Nicht fehlendes Wissen, sondern fehlende Distanz verhinderte das Eingreifen.
Für die zweite Lesart steht ein Begriff aus der Regulierungsforschung: Regulatory Capture, also die Vereinnahmung einer Aufsicht durch die Interessen derer, die sie beaufsichtigen soll. Buttigieg, Witzel und Zimmermann (2023) unterscheiden zwischen harter Vereinnahmung durch Korruption oder Absprachen und weicher Vereinnahmung durch politische und institutionelle Bedingungen. Gestützt auf die Ergebnisse des Untersuchungsausschusses des Bundestags und eine Überprüfung durch die europäische Wertpapieraufsicht ESMA kommen sie zu dem Schluss, dass eine harte Vereinnahmung der BaFin nicht nachweisbar ist. Die rechtliche Abhängigkeit vom Finanzministerium habe aber Raum für eine weiche Vereinnahmung geschaffen.
Alade (2025) ergänzt eine dritte Sicht. Fälle wie FTX, Wirecard und Celsius zeigten, dass die übliche Unternehmensführung bei Fintechs an Grenzen stößt, weil viele Entscheidungen in Algorithmen und automatisierten Abläufen stecken und nicht bei klar benennbaren Personen.
Ich halte die beiden Lesarten nicht für Gegensätze. Eine Kompetenzlücke macht eine Aufsicht abhängiger von den Auskünften des Geprüften, und fehlende Distanz verhindert, dass sie die Lücke durch kritische Fragen schließt. Gefährlich wird es dort, wo beides zusammenkommt.
Wer eine Technik nicht versteht, muss umso genauer prüfen, wer ihm die Technik erklärt.
Wie Aufsicht mit dem Tempo umgehen kann
Ahern (2025) plädiert für eine vorausschauende Regulierung aus drei Teilen. Vorausschau: Behörden beobachten systematisch, was technisch kommt. Experimente: In Reallaboren, auch Regulatory Sandboxes genannt, können Unternehmen neue Angebote unter Aufsicht und mit Auflagen erproben. Lernen: Die Behörde wertet aus, was sie dabei erfährt, und passt Regeln schrittweise an.
Der Vorteil solcher Experimente liegt in schneller Rückmeldung bei begrenztem Schaden, wenn etwas misslingt. Die EU nutzt Reallabore inzwischen ausdrücklich, etwa in der KI-Verordnung, die der Beitrag EU AI Act einordnet. Für Kryptowerte gilt seit Ende 2024 die Verordnung MiCA, die Stablecoins und MiCA beschreibt. Seit Januar 2025 gilt zudem die EU-Verordnung über digitale Betriebsstabilität im Finanzsektor, kurz DORA, die Finanzunternehmen zu Vorkehrungen gegen IT-Ausfälle und Cyberangriffe verpflichtet.
Die Grenze dieser Ansätze ist offensichtlich. Reallabore helfen bei Unternehmen, die mit der Aufsicht zusammenarbeiten wollen. Gegen Täuschung schützen sie nicht. Dafür braucht es weiterhin unabhängige Prüfung, direkte Nachweise und eine Aufsicht, die unbequemen Hinweisen nachgeht.
Was das für deinen Betrieb bedeutet
Die Lage der Aufsicht kennt jeder Inhaber im Kleinen. Der Zahlungsdienstleister, der IT-Dienstleister oder die Mitarbeiterin, die das Warenwirtschaftssystem eingerichtet hat, wissen über ihre Technik mehr als du. Du sollst trotzdem kontrollieren, ob das Geld ankommt, die Daten stimmen und die Abläufe sicher sind. Daraus leite ich die Kontrolle-ohne-Technik-Probe ab: Sie fragt, welche Kontrollen funktionieren, ohne dass du die Technik verstehen musst.
Ergebnis statt Verfahren prüfen
Du musst nicht wissen, wie ein Zahlungssystem rechnet. Du kannst aber prüfen, ob die ausgewiesenen Umsätze mit den Eingängen auf deinem eigenen Bankkonto übereinstimmen, und zwar mit einem Zugang, der nicht über den Dienstleister läuft.
Zulassung und Aufsicht nachsehen
Prüfe bei Zahlungs- und Kryptodienstleistern, ob sie eine Erlaubnis haben. In Deutschland führt die BaFin dafür eine öffentliche Unternehmensdatenbank. Wie du Partner darüber hinaus prüfst, beschreibt Due Diligence bei Geschäftspartnern.
Abhängigkeiten aufschreiben
Notiere, welche Abläufe ausfallen, wenn ein Dienstleister ausfällt, und wie lange du ohne ihn auskommst. Was bei einem Angriff auf die eigene IT zu tun ist, ordnet Cyberangriffe auf kleine Betriebe ein.
Erklärungen gegenprüfen lassen
Wenn dir jemand eine Technik erklärt, an der er selbst verdient, hole bei wichtigen Entscheidungen eine zweite Meinung ein. Das ist dieselbe Logik wie bei der Unabhängigkeit von Abschlussprüfern.
Auch Hinweise aus dem eigenen Team gehören dazu. Mitarbeiter bemerken Unstimmigkeiten in Systemen oft zuerst. Wie ein Betrieb solche Hinweise aufnimmt und schützt, beschreibt Hinweisgeberschutz.
Übertragbarkeit und Grenzen
Der Fall Wirecard war auch ein Versagen der Zuständigkeiten. Ein Unternehmen, das zwischen Technik und Finanzwesen stand, fiel durch ein Raster, das für klassische Banken gebaut war. Die Reformen haben diese Lücke für börsennotierte Unternehmen verkleinert. Ob sie für die nächste Generation von Geschäftsmodellen reicht, lässt sich heute nicht sagen. Das Collingridge-Dilemma lässt erwarten, dass neue Lücken entstehen.
Die zitierten Arbeiten haben Grenzen. Ahern (2025) argumentiert rechtswissenschaftlich und nicht mit Messungen, Buttigieg und Kollegen (2023) stützen sich auf einen einzelnen Fall. Ob vorausschauende Regulierung messbar besser wirkt, ist noch kaum untersucht, wie Ahern selbst einräumt.
Fazit: Kontrolle braucht Distanz, nicht nur Wissen
Zur Leitfrage: Wenn das geprüfte Unternehmen technisch weiter ist als der Prüfer, wird der Prüfer abhängig von den Erklärungen des Geprüften. Das Collingridge-Dilemma erklärt, warum diese Lage bei neuer Finanztechnik fast unvermeidlich ist. Der Fall Wirecard zeigt, dass eine Kompetenzlücke dann gefährlich wird, wenn zugleich die Distanz fehlt. Wirksam kontrollieren lässt sich trotzdem: mit klaren Zuständigkeiten, Befugnissen, Experimenten unter Aufsicht und vor allem mit Nachweisen, die nicht über den Geprüften laufen.
Für deinen Betrieb ist der wichtigste Schritt einfach: Prüfe Ergebnisse auf eigenen Wegen, auch wenn du die Technik dahinter nicht verstehst.
- Für jeden Zahlungs- und IT-Dienstleister notieren, welche Abläufe von ihm abhängen.
- Die Erlaubnis deiner Zahlungsdienstleister in der Unternehmensdatenbank der BaFin nachsehen.
- Einen eigenen, vom Dienstleister unabhängigen Lesezugang zu allen Geschäftskonten sicherstellen.
- Einen monatlichen Abgleich von gemeldeten Umsätzen und tatsächlichen Eingängen in den Kalender eintragen.
Häufige Fragen
Was ist das Collingridge-Dilemma?
Es beschreibt ein Grundproblem der Regulierung neuer Techniken. Solange eine Technik neu ist, lässt sie sich leicht steuern, aber ihre Folgen sind unbekannt. Sobald die Folgen sichtbar sind, ist sie so verbreitet, dass Korrekturen schwer und teuer werden.
Warum hat die BaFin Wirecard nicht beaufsichtigt?
Die BaFin beaufsichtigte die konzerneigene Wirecard Bank. Der Konzern selbst galt als Technologieunternehmen und unterlag nicht der direkten Finanzaufsicht. Die Bilanzkontrolle lag zunächst bei einer privaten Prüfstelle, erst danach konnte die BaFin eingreifen.
Was hat sich nach dem Wirecard-Skandal an der Aufsicht geändert?
Mit dem Finanzmarktintegritätsstärkungsgesetz übernahm die BaFin 2022 die Bilanzkontrolle allein und erhielt Befugnisse zur Durchsuchung und Beschlagnahme. Sie richtete neue Einheiten ein, etwa eine Fokusaufsicht für komplexe Unternehmen. Zudem wurden die Regeln für Abschlussprüfer verschärft.
Was ist eine Regulatory Sandbox?
Ein Reallabor, in dem Unternehmen neue Finanz- oder Technikangebote unter Aufsicht und mit Auflagen erproben können. Die Behörde lernt dabei, wie die Angebote funktionieren, und kann Regeln anpassen. Gegen gezielte Täuschung schützt ein solches Labor nicht.
Wie prüfe ich, ob ein Zahlungsdienstleister zugelassen ist?
In Deutschland kannst du in der öffentlichen Unternehmensdatenbank der BaFin nachsehen, ob ein Anbieter eine Erlaubnis hat. Bei Anbietern aus anderen EU-Staaten gilt die Zulassung ihres Heimatlands. Prüfe zusätzlich Vertrag, Gebühren und Auszahlungsfristen.
Quellen
- Ahern, D. (2025): The New Anticipatory Governance Culture for Innovation: Regulatory Foresight, Regulatory Experimentation and Regulatory Learning. European Business Organization Law Review, 26(2), S. 241-283.
- Buttigieg, C. P.; Witzel, L. G.; Zimmermann, B. B. (2023): Soft Regulatory Capture and Supervisory Independence: A Case-Study on Wirecard. European Company & Financial Law Review, 20(4), S. 623-659.
- Alade, I. (2025): Reconceptualization of Corporate Governance for Fintech Firms. Loyola of Los Angeles International & Comparative Law Review, 47(3), S. 303-357.
- Comfort, N.; Drozdiak, N. (2020): Wirecard Flourished in Regulatory Blind Spot That's Growing. Bloomberg, 7. Juli 2020.
- Comfort, N.; Jennen, B. (2020): Wirecard Exposes Gaping Holes in German Financial Oversight. Bloomberg, 29. Juni 2020.
- Comfort, N. (2024): Germany's Birgit Rodolphe to Ease Fintech Growth Caps After Clampdown in Wirecard's Wake. Bloomberg, 21. Februar 2024.
- Collingridge, D. (1980): The Social Control of Technology. Frances Pinter.
- Juhn Partner: Finanzmarktintegritätsstärkungsgesetz nach Wirecard
- Verordnung (EU) 2023/1114 über Märkte für Kryptowerte (MiCA)
- Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (DORA)
Hinweis. Dieser Beitrag stützt sich auf öffentlich zugängliche Quellen und wissenschaftliche Studien. Strafrechtliche Verfahren im Zusammenhang mit Wirecard sind nicht rechtskräftig abgeschlossen; für alle genannten Personen und Unternehmen gilt die Unschuldsvermutung. Einschätzungen sind als solche formuliert. Der Beitrag ist keine Rechtsberatung.
