Finanzaufsicht: Bafin rügt schwere Mängel bei Bitpanda
Der österreichische Krypto-Broker Bitpanda , der derzeit seinen Börsengang für das erste Halbjahr 2026 vorbereitet, steht wegen regulatorischer Defizite in der Kritik. Wie aus internen Dokumenten hervorgeht, die der Süddeutschen Zeitung(öffnet im neuen Fenster) , NDR, WDR und dem österreichischen Magazin Profil vorliegen, hat die Bundesanstalt für Finanzdienstleistungsaufsicht (Bafin) bei einer Sonderprüfung der deutschen Tochtergesellschaft Bitpanda Asset Management GmbH zahlreiche Mängel festgestellt. Der Prüfbericht vom 4. März 2024 listet insgesamt 16 Kritikpunkte auf, darunter fünf als schwerwiegend und vier als gewichtig eingestufte Verstöße.
Kritik an IT-Sicherheit und Outsourcing
Besonders im Fokus der Aufseher stehen die Bereiche IT-Sicherheit, Informationssicherheit und das Risikomanagement bei Auslagerungen. Die deutsche Tochter hat demnach wesentliche Teile des Betriebs, darunter die Kryptoverwahrung, an die Muttergesellschaft in Österreich ausgelagert. Laut Bafin entsprach die Steuerung dieser Auslagerungen nicht den gesetzlichen Vorgaben.
Bitpanda betonte auf Anfrage, dass Sonderprüfungen im ersten Jahr nach Erhalt einer Lizenz üblich seien und man die Mängel bis zum 31. März 2025 vollständig behoben habe. Die Bafin sprach aufgrund der Besserungsbemühungen lediglich eine Belehrung statt einer Verwarnung aus.
Vorwurf: Dokumente per ChatGPT erstellt
Interne Revisionsunterlagen deuten jedoch auf tiefgreifende strukturelle Probleme hin. In einer Präsentation der internen Prüfabteilung wurde bemängelt, dass es der "zweiten Verteidigungslinie" (Compliance und Informationssicherheit) an Fachkompetenz fehle. In den Folien heißt es drastisch, es wirke, als seien Dokumente ohne qualitative Überprüfung mit ChatGPT erstellt worden, ohne Bezug zu tatsächlichen Prozessen.
Zudem habe der Wirtschaftsprüfer KPMG im Jahr 2024 "unangemessen privilegierte" Zugriffsrechte für Gesellschafter und Vorstände auf IT-Systeme moniert. Diese Zugriffe wurden laut einer internen Notiz erst im ersten Quartal 2025 entzogen. Bitpanda wies die Kritik zurück und verwies auf die strengen deutschen Regularien, die man stets erfülle.