Das BaFin-Paradoxon: Warum „Move Fast and Break Things“ in Deutschland scheitert

In der Fintech-Welt gilt „Move Fast and Break Things“ als Evangelium. In Deutschland bedeutet „Dinge kaputt machen“ jedoch Gesetze brechen – und das ist keine Metapher. Es ist ein strukturelles Merkmal des Umfeldes, und Gründerinnen und Gründer, die diesen Umstand unterschätzen, bemerken ihn in der Regel erst dann, wenn die Rechnung bereits geschrieben ist.

Der deutsche Regulierungsrahmen ruht auf zwei Säulen: dem Kreditwesengesetz (KWG) für Bankgeschäfte und dem Zahlungsdiensteaufsichtsgesetz (ZAG) für Zahlungsdienste. Gemeinsam erzeugen sie das, was Praktiker als ‚regulatorischen Burggraben‘ bezeichnen. Anders als in den Vereinigten Staaten oder im Vereinigten Königreich, wo Jurisdiktionsarbitrage und innovationsfreundliche Sandkastenregime zum Werkzeugkoffer eines Gründers gehören, verfolgt die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) eine grundlegend andere Philosophie. Sie entstand am 1. Mai 2002 aus der Zusammenlegung der drei Vorgängerbehörden für Banken-, Versicherungs- und Wertpapieraufsicht und beschäftigt heute mehrere Tausend Mitarbeiterinnen und Mitarbeiter an den Standorten Bonn und Frankfurt, finanziert durch die beaufsichtigten Unternehmen selbst.

Diese institutionelle DNA prägt, wie Anträge gelesen, Geschäftsmodelle geprüft und wie tolerant die Aufsicht gegenüber Improvisation ist. Für einen erfahrenen Sachbearbeiter der BaFin ist ein unfertiges Risikokontrollsystem keine Kleinigkeit, die man beim Onboarding nachreicht. Es ist ein Grund, die Akte zurückzugeben. Im Vertrieb für internationale Anbieter im deutschen Markt sehen wir dasselbe Muster: Der Pitch, der in einer liberaleren Jurisdiktion funktionierte, wirkt in Frankfurt schlicht unseriös.

Zwei Philosophien der Finanzinnovation

Der strukturelle Unterschied zwischen angelsächsischer und deutscher Aufsichtsphilosophie beginnt mit der Frage, wofür das jeweilige System optimiert ist. Angelsächsische Aufseher akzeptieren tendenziell eine höhere Toleranz für Einzelfirmen-Ausfälle in der Annahme, dass Kapitalmärkte und Insolvenzrecht die Folgen auffangen. Die deutsche Aufsicht wurde dagegen durch die Erfahrungen früherer Finanzkrisen geformt und durch die Überzeugung, dass Systemstabilität die Voraussetzung für Innovation ist – und nicht deren Gegenteil. Die BaFin ist nicht innovationsfeindlich. Sie ist unordnungsfeindlich.

Deshalb verlieren Gründer, die das Verhältnis zur Aufsicht als Kampf inszenieren, fast immer. Die Teams, die nach unserer Beobachtung Erfolg haben, begreifen es als ein langes Gespräch mit einem Gegenüber, dessen Aufgabe es ist sicherzustellen, dass das Geschäftsmodell belastbar, gut geführt und kundenfair ist. Wer mit einem sauberen Konzeptpapier, einer glaubwürdigen Geschäftsleiter-Besetzung und einer realistischen Sicht auf operative Risiken auftritt, erlebt häufig überraschend produktive Gespräche. Wer mit einer Venture-Capital-Präsentation und einem oberflächlich abgehandelten Compliance-Kapitel ankommt, beendet das Gespräch schnell.

Die Fit-and-Proper-Prüfung

Eines der folgenreichsten Elemente des deutschen Rahmens ist die Eignungsprüfung der Geschäftsleiter nach dem KWG. Bevor künftige Geschäftsleiter ihr Amt bei einem beaufsichtigten Institut antreten, müssen sie die BaFin benachrichtigen, umfangreiche Unterlagen zu ihrem beruflichen Hintergrund einreichen und sowohl theoretische Kenntnisse als auch praktische Führungserfahrung nachweisen, die der Größe und dem Geschäftsmodell des Hauses angemessen sind. Die BaFin kann die Abberufung ungeeigneter Geschäftsleiter verlangen, und in der Praxis prägt bereits die bloße Möglichkeit dieser Maßnahme die Personalentscheidungen an der Spitze.

Gründer unterschätzen oft, wie substanziell diese Prüfung tatsächlich ist. Die Aufsicht hakt keine Kästchen ab. Sie fragt, ob die benannten Personen das Institut, das sie entworfen haben, tatsächlich führen können. Ein brillanter Produktkopf ohne Erfahrung in einem regulierten Umfeld ist nicht automatisch disqualifiziert, aber das Unternehmen wird dieses Profil durch einen Mitgeschäftsleiter ergänzen müssen, dessen Hintergrund die regulatorische, Risiko- und Governance-Seite überzeugend abdeckt.

BAIT, DORA und die IT-Governance-Ebene

Jenseits der Eignungsprüfung ist die IT-Aufsicht der BaFin deutlich granulärer, als viele neu eintretende Gründer erwarten. Die Bankaufsichtlichen Anforderungen an die IT – allgemein als BAIT bezeichnet und als BaFin-Rundschreiben 10/2017 erlassen – formulierten über Jahre die aufsichtlichen Erwartungen an IT-Governance, Informationssicherheitsmanagement, IT-Betrieb und Auslagerungen der Institute. Für Zahlungs- und E-Geld-Institute erfüllten die Zahlungsdiensteaufsichtlichen Anforderungen an die IT (ZAIT) dieselbe Funktion.

Diese Rundschreiben waren keine sanften Leitplanken. Sie legten fest, welche Dokumentation erwartet wird, welche Verantwortlichkeiten getrennt werden müssen und wie Informationssicherheitsrisiken fortlaufend zu bewerten sind. Seit dem 17. Januar 2025 ergeben sich diese Anforderungen unmittelbar aus dem EU Digital Operational Resilience Act (DORA): Die BaFin hat die ZAIT zu diesem Datum aufgehoben und die BAIT auf die Institute beschränkt, die nicht unter DORA fallen. Für diese Institute ordnet das KWG in der Fassung des Finanzmarktdigitalisierungsgesetzes die Anwendung von DORA ab dem 1. Januar 2027 an; die BaFin hebt die BAIT deshalb mit Ablauf des 31. Dezember 2026 vollständig auf. Dieser Übergang senkt die aufsichtliche Erwartung nicht – er bündelt sie unter einer unmittelbar anwendbaren EU-Verordnung.

Dokumentationskultur

Gründer aus leichter regulierten Jurisdiktionen erleben die schiere Tiefe der in einem deutschen Antrag erwarteten Dokumentation häufig als Schock. Organisationsdiagramme, Three-Lines-of-Defence-Beschreibungen, Auslagerungsverzeichnisse, Geschäftsfortführungspläne, IT-Architekturübersichten, Geldwäsche-Risikoanalysen nach § 5 Geldwäschegesetz (GwG) und ein schriftlicher Geschäftsplan mit realistischen Finanzprognosen gehören zu einer belastbaren Akte. Der Text ist keine Formalie. Sachbearbeiter lesen ihn Zeile für Zeile und senden Nachfragen, sobald Aussagen vage oder inkonsistent sind.

Die praktische Konsequenz ist, dass Anträge von Teams erstellt werden sollten, die sowohl den inhaltlichen Kern des Geschäftsmodells als auch die Konventionen deutscher Aufsichtstexte verstehen. Ein Gründer, der das Zielbetriebsmodell auf Englisch erklären kann, verliert dennoch Monate, wenn die schriftlich eingereichten Nachweise unklar lassen, wer welche Kontrolle verantwortet oder wie Abweichungen an die Geschäftsleitung eskaliert werden.

Nachforderungen und der realistische Zeitplan

Das Wort Nachforderungen lernt jede Antragstellerin früher oder später. Auch eine gut vorbereitete Akte erhält Rückfragen, und jede Runde hemmt die formale Bearbeitungsfrist. In der Praxis wird der Zeitraum zwischen der Einreichung eines ersten Entwurfs und der Erlaubniserteilung in vielen Monaten gemessen, nicht in Wochen. Schon die gesetzlichen Entscheidungsfristen – drei Monate nach dem ZAG, sechs Monate nach dem KWG – beginnen erst zu laufen, wenn die Unterlagen vollständig sind (§ 10 Abs. 3 ZAG, § 33 Abs. 4 KWG); bis dahin vergehen bei Erstanträgen häufig viele weitere Monate.

Gründer, die diesen Zeitplan unterschätzen, zahlen in zwei Währungen. Die erste ist Liquidität, weil das Unternehmen während der Wartezeit Runway verbrennt. Die zweite ist strategischer Natur: Eine verspätete Erlaubnis bedeutet häufig einen verspäteten Produktstart, der wiederum den kommerziellen Plan stört, der die Finanzierungsrunde ursprünglich gerechtfertigt hatte. Teams, die von Beginn an mit realistischen Zeitlinien planen, finanzieren, Personal aufbauen und kommunizieren, gehen entspannter in das Verfahren.

Move Compliant, nicht Move Fast

Das Betriebsprinzip, das in Deutschland tatsächlich funktioniert, heißt nicht ‚Move Fast‘. Es heißt ‚Move Compliant‘. Für Ohren, die mit dem Vokabular des Silicon Valley trainiert wurden, klingt das defensiv, ist es aber nicht. Unternehmen, die Compliance, Risiko und Governance als vollwertige Produktdisziplinen verankern, können innerhalb des regulatorischen Rahmens schnell agieren, weil sie selten anhalten und neu bauen müssen. Unternehmen, die Compliance als Back-Office-Nachgedanken behandeln, sammeln strukturelle Schulden an, die irgendwann fällig werden – meist zum ungünstigsten Zeitpunkt, etwa bei einer aufsichtlichen Prüfung oder einem Reputationsereignis.

Move Compliant hat außerdem eine konkrete Designimplikation. Produktentscheidungen werden nicht nur an Kundennutzen und technischer Machbarkeit gemessen, sondern auch an ihrer Behandlung unter KWG, ZAG, GwG, DORA und den einschlägigen EU-Richtlinien. Die Compliance-Funktion ist kein Vetogate am Ende des Release-Trains, sondern ein Design-Partner, dessen Input die Architektur von Beginn an prägt. Unternehmen, die dieses Modell verinnerlicht haben, bauen Funktionen routinemäßig in Wochen, für die weniger disziplinierte Häuser Monate an Rückbau benötigen würden.

“

Es gibt in Deutschland keine „Move Fast“-Phase. Es gibt nur „Move Compliant“. Die erfolgreichen Unternehmen haben nicht ihr US-Playbook angepasst, sondern aus dem Geist der Substanz neu gedacht.

Der Dialog mit der Aufsicht

Ein letzter Punkt, der internationale Gründer häufig überrascht, ist das Ausmaß, in dem Aufsicht in Deutschland ein Dialog und keine einmalige Prüfung ist. Sachbearbeiter der BaFin sind in der Regel bereit, sich substanziell mit Unternehmen auseinanderzusetzen, die respektvoll auftreten, klare Fragen mitbringen und zeigen, dass sie selbst gedacht haben. Teams, die die Aufsicht als Gegner behandeln, verschenken diese Ressource. Teams, die die Aufsicht als Gegenüber mit legitimen Erwartungen verstehen, erhalten frühe Signale, welche Elemente ihres Konzepts Akzeptanz finden und welche vor einem förmlichen Antrag überarbeitet werden müssen.

Dieser Dialog setzt sich nach der Zulassung fort. Meldepflichten, Managementgespräche und anlassbezogene Kommunikation über wesentliche Entwicklungen sind Teil der laufenden Beziehung. Unternehmen, die von Beginn an in eine saubere, disziplinierte aufsichtliche Kommunikation investieren, reduzieren Angriffsflächen für Missverständnisse und bauen eine Historie auf, die sich auszahlt, wenn das Unternehmen später den Erlaubnisumfang erweitern oder eine neue regulierte Tätigkeit aufnehmen möchte.

Zusammenarbeit mit spezialisierten Beratern

Kaum ein erstmaliger Antragsteller bewältigt einen deutschen Zulassungsprozess ohne externe Unterstützung. Spezialisierte Rechtsanwältinnen und Rechtsanwälte, erfahrene Complianceberaterinnen und -berater sowie ehemalige Aufsichtsmitarbeitende bringen ein Wissen ein, das sich aus Lehrbüchern nicht destillieren lässt. Sie kennen die Nuancen, wie bestimmte Formulierungen gelesen werden, welche Schwerpunkte verschiedene Referate setzen und wie bestehende Unsicherheiten im Antrag kommuniziert werden sollten, ohne spekulativ zu wirken.

Praktische Empfehlungen für Gründer

Einige Muster unterscheiden Unternehmen, die erfolgreich in den deutschen Markt eintreten, von solchen, die stecken bleiben:

• Frühzeitig Kontakt aufnehmen. Die FinTech-Kontaktstelle der BaFin und spezialisierte Berater können lange vor der Antragstellung Orientierung bieten. Teams, die mit einem klaren Konzeptpapier und konkreten Fragen auftreten, profitieren mehr als jene, die auf allgemeine Ratschläge hoffen.
• Dokumentationstiefe einplanen. Eine deutsche Akte ist umfangreich und wird Zeile für Zeile gelesen. Planen Sie Ressourcen und Zeitlinien entsprechend.
• Geschäftsleiter-Team bewusst aufbauen. Eine glaubwürdige Geschäftsleiter-Besetzung ist ein strategisches Asset, kein personalpolitischer Nachgedanke. Die Eignungsprüfung wird die Zusammensetzung der Führungsebene prägen.
• IT und Informationssicherheit als Kern begreifen. Unter DORA – und zuvor unter BAIT und ZAIT – ist die Qualität der IT-Governance selbst ein aufsichtliches Anliegen. Nachträgliche Kontrollen sind deutlich teurer als Kontrollen, die von Anfang an mitgedacht wurden.
• Substanz vor Form verstehen. Die BaFin akzeptiert keine Governance-Funktion, die nur auf dem Papier existiert. Was im Antrag beschrieben ist, muss ab Tag eins tatsächlich arbeiten.

Warum dies kommerziell zählt

Der substanzielle, gut geführte Ansatz ist nicht nur aufsichtsrechtlich der richtige Pfad; er folgt auch einer kommerziellen Logik. Deutschland ist nach Bevölkerung und Bruttoinlandsprodukt der größte Markt der Europäischen Union, und die DACH-Region stellt gemeinsam einen tiefen Pool aus Firmenkunden, institutionellen Investoren und Endkundinnen und Endkunden dar, die einen regulierten Gegenpart erwarten. Unternehmen, die die Hürde der Zulassung nehmen, sind nicht bloß compliant – sie positionieren sich in einem Markt, den viele weniger geduldige Wettbewerber bereits verlassen haben. Das ist die verborgene Dividende des regulatorischen Burggrabens: Der Graben, der unvorsichtige Neueinsteiger draußen hält, schützt auch die Margen jener, die die Arbeit erledigt haben.

Umgang mit dem Sprachproblem

Ein häufig unterschätzter praktischer Aspekt ist die Sprache. Zwar kommuniziert die BaFin in bestimmten Verfahren auf Englisch, die formelle Antragsdokumentation und die behördliche Kommunikation erfolgen jedoch überwiegend auf Deutsch. Internationale Teams sollten einplanen, dass die Schlüsseldokumente ihres Antrags in professionellem Fachdeutsch verfasst oder übersetzt werden, und dass die Rückfragen der Aufsicht in derselben Sprache beantwortet werden müssen. Wer diese Übersetzungs- und Lektorats-Kapazität nicht plant, verliert Zeit an Korrekturrunden, die nichts mit dem eigentlichen Gehalt des Antrags zu tun haben.

Zeit- und Kostenplanung

Die Kosten einer deutschen Zulassung umfassen nicht nur die behördlichen Gebühren, sondern auch erheblichen internen und externen Aufwand: Personal für die Erstellung der Unterlagen, gegebenenfalls Wirtschaftsprüfer für die Bestätigung der Eigenmittel, spezialisierte Rechtsanwältinnen und Rechtsanwälte für die rechtliche Einordnung, IT-Sicherheitsberatung für die DORA-Dokumentation und erfahrene Complianceberatung für die Geldwäsche- und Risikokonzepte. Eine realistische Budgetplanung für ein erstmaliges KWG- oder ZAG-Verfahren setzt diese Posten in das Verhältnis zu einer Bearbeitungszeit von sechs bis zwölf Monaten oder mehr. Wer diese Rechnung früh aufstellt, kann seinen Finanzierungsbedarf konsistent mit dem regulatorischen Fahrplan kommunizieren.

Fazit

Das BaFin-Paradoxon liegt nicht darin, dass Deutschland innovationsfeindlich wäre. Es liegt darin, dass die Innovation, die Deutschland belohnt, substanziell, gut geführt und belastbar ist – nicht performativ. Gründer, die diese Einsicht verinnerlichen, finden eine Aufsicht vor, die anspruchsvoll, aber fair ist, und einen Markt, der einmal erschlossen ungewöhnliche Stabilität und Vertrauen bietet. Die Aegiron Capital Group steuert die Vorbereitung des Markteintritts in Deutschland als Projekt: Zeitplan, Unterlagen und Abstimmung aller Beteiligten. Rechtliche Prüfung, Antragstellung und die Kommunikation mit der Aufsicht liegen beim Unternehmen und der Kanzlei, die es beauftragt. Das Ergebnis eines Verfahrens kann niemand zusagen.