Das WpIG-Rahmenwerk: Navigation der Wertpapierinstitutsregulierung in Deutschland

Das Wertpapierinstitutsgesetz (WpIG), das am 26. Juni 2021 in Kraft trat, hat den regulatorischen Rahmen für Wertpapierfirmen in Deutschland grundlegend umstrukturiert. Durch die Umsetzung der EU-Wertpapierfirmenrichtlinie (IFD, Richtlinie (EU) 2019/2034) und die Ergänzung der unmittelbar geltenden Wertpapierfirmenverordnung (IFR, Verordnung (EU) 2019/2033) schuf das WpIG ein eigenständiges Aufsichtsregime für Wertpapierinstitute, das sich vom Bankenaufsichtsrahmen des Kreditwesengesetzes (KWG) unterscheidet.

Für Fintech-Unternehmen, die Wertpapierdienstleistungen erbringen – darunter Neo-Broker, Robo-Advisors, Handelsplätze für tokenisierte Wertpapiere und digitale Vermögensverwalter – definiert das WpIG das regulatorische Umfeld, in dem sie operieren müssen. Das Verständnis seiner Struktur, des Klassifizierungssystems, der Kapitalanforderungen, der Governance-Pflichten und des Antragsprozesses ist sowohl für die Lizenzierungsstrategie als auch für die laufende Compliance unerlässlich. Dieser Leitfaden bietet einen detaillierten Durchgang durch das Rahmenwerk, mit besonderem Augenmerk auf die praktischen Implikationen für wachstumsstarke Fintech-Unternehmen, die eine WpIG-Erlaubnis in Betracht ziehen oder aktuell anstreben.

Historischer Kontext

Vor dem 26. Juni 2021 wurden Wertpapierfirmen in Deutschland primär unter dem Kreditwesengesetz (KWG) reguliert, demselben Gesetz, das für Banken und andere Kreditinstitute gilt. Dieser Ansatz hatte den Vorteil konzeptioneller Einfachheit, jedoch den erheblichen Nachteil, dass Wertpapierfirmen – deren Risiken sich materiell von jenen einlagennehmender Banken unterscheiden – einem Kapitalrahmen unterworfen waren, der für Banken konzipiert wurde. Die Capital Requirements Regulation (CRR) und die Capital Requirements Directive IV (CRD IV) erlegten Kapitalberechnungen auf, die auf Kredit-, Markt- und Betriebsrisikokonzepten beruhten und Wertpapierfirmen im Verhältnis zu ihren tatsächlich eingegangenen Risiken häufig überkapitalisierten.

Das Problem war auf europäischer Ebene weithin anerkannt. Wertpapierfirmen, die keine Einlagen annehmen, keine bedeutenden Kreditbücher führen und nicht als systemische Infrastruktur des Finanzsystems agieren, weisen nicht dasselbe Risikoprofil wie Banken auf. Sie einem bankenartigen Kapitalrahmen zu unterwerfen, verursachte Compliance-Kosten, die in keinem angemessenen Verhältnis zum prudenziellen Nutzen standen, verzerrte den Wettbewerb zwischen EU-Mitgliedstaaten mit unterschiedlichen Auslegungen der Regeln und schuf Markteintrittshürden für innovative Geschäftsmodelle, die nicht ordentlich in bankenübliche Kategorien passten.

Die EU-Prudenzialreform von 2019 für Wertpapierfirmen – bestehend aus IFD und IFR – adressierte diese Diskrepanz, indem sie ein neues, auf die spezifischen Risiken des Wertpapiergeschäfts zugeschnittenes Regime schuf. Deutschland setzte die IFD durch das WpIG um, das am 26. Juni 2021 in Kraft trat. Das neue Regime ergänzte nicht einfach die bestehende Regulierung; es ersetzte die wertpapierfirmenspezifischen Bestimmungen des KWG durch ein eigenständiges Rahmenwerk für die Gesamtheit der deutschen Wertpapierfirmen, während die echten systemrelevanten Institute – unter der IFR als Kreditinstitute behandelt – im bankaufsichtsrechtlichen Perimeter verblieben.

Der Übergang selbst war für bestehende Wertpapierfirmen ein substanzielles Unterfangen. Unternehmen, die unter dem KWG zugelassen waren, mussten ihre Kapitalberechnungen, Meldesysteme und Governance-Dokumentation auf das neue Regime umstellen. Die BaFin veröffentlichte umfangreiche Übergangsleitlinien, und die meisten bestehenden Unternehmen schlossen den Übergang im geplanten Zeitrahmen ab, wobei die Umklassifizierung einer Handvoll größerer Unternehmen in Klasse 1 besondere Komplexität für diese Institute schuf.

Anwendungsbereich des WpIG

Das WpIG gilt für Wertpapierinstitute, definiert als Unternehmen, die Wertpapierdienstleistungen und -tätigkeiten nach dem Gesetz erbringen. Die Dienstleistungen entsprechen jenen unter MiFID II (Richtlinie 2014/65/EU) und umfassen:

• Annahme und Übermittlung von Aufträgen in Bezug auf Finanzinstrumente (Anlagevermittlung)
• Ausführung von Aufträgen im Namen von Kunden (Abschlussvermittlung/Orderausführung)
• Handel für eigene Rechnung (Eigenhandel)
• Finanzportfolioverwaltung
• Anlageberatung
• Übernahme von Finanzinstrumenten oder Platzierung mit fester Übernahmezusage (Emissionsgeschäft)
• Platzierung von Finanzinstrumenten ohne feste Übernahmezusage (Platzierungsgeschäft)
• Betrieb eines multilateralen Handelssystems (MTF) oder organisierten Handelssystems (OTF)

Ein Unternehmen, das eine oder mehrere dieser Dienstleistungen gewerbsmäßig oder in einem Umfang erbringt, der einen in kaufmännischer Weise eingerichteten Geschäftsbetrieb erfordert, muss eine vorherige Erlaubnis der BaFin einholen. Die Grenze zwischen einer erlaubnispflichtigen und einer nicht erlaubnispflichtigen Tätigkeit ist häufig subtil; viele Fintech-Geschäftsmodelle enthalten Elemente, die als Anlageberatung, Auftragsausführung oder Portfolioverwaltung qualifiziert werden könnten, und eine sorgfältige Einordnung ist vor Produktstart unerlässlich.

Verhältnis zu MiFID II

Das WpIG wirkt neben dem Wertpapierhandelsgesetz (WpHG), der deutschen Umsetzung der Wohlverhaltens- und Organisationsregeln von MiFID II. Grob gesagt regelt das WpIG die prudenzielle Dimension – Erlaubnis, Kapital, Governance, Meldepflichten –, während das WpHG die Wohlverhaltensdimension regelt – Kundenkategorisierung, Geeignetheit, bestmögliche Ausführung, Interessenkonflikte, Zuwendungen, Produktgovernance und Kundenkommunikation. Die beiden Gesetze zusammen, ergänzt durch BaFin-Rundschreiben und europäische Leitlinien der European Securities and Markets Authority (ESMA), definieren den vollständigen regulatorischen Perimeter für deutsche Wertpapierfirmen.

Für Unternehmen, die in den deutschen Markt eintreten, ist es wichtig zu verstehen, dass eine Erlaubnis nach dem WpIG nicht automatisch die Einhaltung der MiFID-II-Wohlverhaltensregeln gewährleistet. Die beiden Arbeitsstränge sind verwandt, aber unterschiedlich. Ein Unternehmen kann einen soliden Governance-Rahmen haben und alle prudenziellen Anforderungen erfüllen und gleichwohl durch Wohlverhaltensverstöße exponiert sein, wenn seine Onboarding-, Beratungs- und Auftragsabwicklungsprozesse das WpHG und die ihm zugrunde liegenden delegierten Verordnungen nicht vollständig umsetzen. In der Praxis entwickeln viele Unternehmen ein kombiniertes Compliance-Programm, das beide Dimensionen gemeinsam adressiert, mit überlappender Dokumentation, wo dies sinnvoll ist.

Das dreistufige Klassifizierungssystem

Das WpIG etabliert, entsprechend der IFR-Struktur, ein dreistufiges Klassifizierungssystem für Wertpapierinstitute, basierend auf Größe, Komplexität und systemischer Bedeutung. Der Ansatz orientiert sich am europäischen Grundsatz der Verhältnismäßigkeit: Institute, die geringe Risiken für das Finanzsystem und für Kunden darstellen, sollen einem entsprechend vereinfachten regulatorischen Rahmen unterliegen, während systemrelevante Institute der vollen Bankenaufsicht unterstellt sind.

• Klasse 1 (groß): Wertpapierinstitute, die Eigenhandel oder Emissionsgeschäft betreiben und deren konsolidierte Bilanzsumme 15 Milliarden EUR oder mehr beträgt. Sie bleiben Wertpapierinstitute („Große Wertpapierinstitute“, § 2 Abs. 18 WpIG), müssen aber statt der IFR-Regeln die CRR und weite Teile des KWG anwenden. Ab 30 Milliarden EUR gilt ein solches Unternehmen als Kreditinstitut im Sinne der CRR und braucht eine Erlaubnis als Kreditinstitut.
• Klasse 2 (nicht klein, nicht systemisch): Institute, die bestimmte K-Faktor-, Bilanz-, außerbilanzielle, Umsatz- oder Tätigkeitsschwellen überschreiten, aber nicht die Klasse-1-Kriterien erfüllen. Diese unterliegen dem vollen prudenziellen Rahmen der IFR, einschließlich detaillierter K-Faktor-Kapitalberechnungen, Konzentrationsrisikoregeln und Liquiditätsanforderungen.
• Klasse 3 (klein und nicht verflochten): Institute, die unter allen einschlägigen Schwellenwerten liegen, einschließlich Grenzen für verwaltetes Vermögen, bearbeitete Kundenaufträge, Eigenhandelstätigkeit und Bilanzgröße. Diese Unternehmen profitieren von einem vereinfachten prudenziellen Regime mit reduzierten Kapital-, Melde- und Governance-Anforderungen.

Die Klassifizierung ist keine Frage der Wahl; sie folgt automatisch aus den Tätigkeiten und der Größe des Unternehmens. Ein Unternehmen, das über die Klasse-3-Schwellen hinauswächst, muss in das Klasse-2-Regime überführt werden, und ein Unternehmen, das die Klasse-1-Kriterien erfüllt, muss in die volle Bankenaufsicht überführt werden. Diese Übergänge sind bedeutsame Ereignisse, die vorausschauende Planung erfordern, und viele WpIG-zugelassene Unternehmen überwachen ihren Spielraum gegenüber den Schwellenwerten als routinemäßige Compliance-Tätigkeit.

Die detaillierten Schwellenwerte, die die Einstufung als Klasse 2 oder Klasse 3 bestimmen, sind in der IFR festgelegt und decken eine Reihe von Dimensionen ab: verwaltetes Vermögen, täglich bearbeitete Kundenaufträge, verwahrtes und verwaltetes Vermögen, gehaltene Kundengelder, täglicher Handelsfluss, Nettopositionsrisiko, gestellte Clearing-Margen, Handelsgegenparteiausfallrisiken, Gesamtbruttoerlöse, bilanzielle und außerbilanzielle Engagements sowie die Zugehörigkeit zu einer Konzerngruppe. Ein Unternehmen muss sämtliche anwendbaren Qualifizierungsvoraussetzungen erfüllen, um vom Klasse-3-Regime zu profitieren. Das Überschreiten eines einzelnen wesentlichen Schwellenwerts kann das Unternehmen aus der Klasse-3-Kategorie drängen, und die Klassifizierungsregeln enthalten spezifische Verfahren für den Übergangszeitraum, in dem ein Unternehmen von einer Klasse in die nächste wechselt.

In der Praxis starten viele wachstumsstarke Fintechs im Klasse-3-Regime und verbleiben dort während der frühen Betriebsjahre. Die Überwachung des Klassifizierungsspielraums, insbesondere bei Kundenaufträgen und verwaltetem Vermögen, wird zu einem festen Tagesordnungspunkt der Compliance-Funktion und zu einer Überlegung in der kommerziellen Planung – eine ambitionierte Marketingkampagne könnte, wenn erfolgreich, das Unternehmen in Klasse 2 drängen und eine substanzielle regulatorische Heraufstufung auslösen. Erfahrene Unternehmen bauen diese Überlegungen von Anfang an in ihre Wachstumspläne ein.

Kapitalanforderungen

Das WpIG legt Mindest-Anfangskapitalanforderungen fest, die sich nach den beantragten Dienstleistungen und nach dem Zugriff auf Kundenvermögen richten, nicht nach der Größenklasse (§ 17 Abs. 1 WpIG). Die wesentlichen Beträge, die bei Erlaubniserteilung und als laufende Mindestuntergrenze für Eigenmittel gelten, sind:

• 75.000 EUR: Für Institute, die nur Anlagevermittlung, Abschlussvermittlung, Finanzportfolioverwaltung, Anlageberatung oder das Platzierungsgeschäft betreiben und deren Erlaubnis ausschließt, dass sie Eigentum oder Besitz an Kundengeldern oder Kundenwertpapieren erlangen.
• 150.000 EUR: Für alle übrigen Institute, die weder unter die 75.000- noch unter die 750.000-Euro-Stufe fallen – etwa wenn die Erlaubnis für diese Dienstleistungen den Zugriff auf Kundengelder oder Kundenwertpapiere nicht ausschließt, beim Finanzkommissionsgeschäft oder beim Betrieb eines multilateralen Handelssystems.
• 750.000 EUR: Für Institute, die mit einer Erlaubnis für den Eigenhandel oder das Emissionsgeschäft auf eigene Rechnung handeln, für Betreiber eines organisierten Handelssystems mit Geschäften auf eigene Rechnung sowie bei einer Erlaubnis für die Verwahrung und Verwaltung von Finanzinstrumenten (Depotführung), das Wertpapierkreditgeschäft, das eingeschränkte Verwahrgeschäft oder das Eigengeschäft.
• Volle CRR-Kapitalanforderungen: Für Große Wertpapierinstitute (ab 15 Milliarden EUR Bilanzsumme) und für Unternehmen, die ab 30 Milliarden EUR als Kreditinstitute gelten.

Über die Anfangskapital-Untergrenzen hinaus müssen Wertpapierinstitute laufende Eigenmittelanforderungen einhalten, die nach dem IFR-Rahmen berechnet werden. Die Klasse-2-Berechnung basiert auf dem K-Faktor-System, das den Kapitalbedarf an Risk-to-Client (RtC), Risk-to-Market (RtM) und Risk-to-Firm (RtF)-Faktoren misst. RtC deckt gehaltene Kundengelder, verwaltetes und verwahrtes Vermögen sowie bearbeitete Kundenaufträge ab. RtM deckt Nettopositionsrisiko und gestellte Clearing-Margen ab. RtF deckt Handelsgegenparteiausfälle, täglichen Handelsfluss und Konzentrationsrisiko ab. Die aggregierte Kapitalanforderung ist der höchste Wert aus permanentem Minimum, einem Viertel der fixen Gemeinkosten oder der Summe der einschlägigen K-Faktor-Anforderungen.

Für Klasse-3-Unternehmen ist die Kapitalanforderung der höhere Wert aus permanentem Minimum und einem Viertel der fixen Gemeinkosten, ohne dass eine K-Faktor-Berechnung erforderlich ist. Diese Vereinfachung ist einer der bedeutendsten Vorteile des Klasse-3-Regimes und ist bewusst darauf ausgelegt, die prudenzielle Last für kleinere Unternehmen zu reduzieren.

Über die nominalen Kapitaluntergrenzen hinaus müssen Unternehmen auch die Zusammensetzung der Eigenmittel beachten. Die IFR stellt detaillierte Regeln darüber auf, was als hartes Kernkapital (CET1), zusätzliches Kernkapital (AT1) und Ergänzungskapital (Tier 2) zählen kann, und spiegelt damit in ihren Grundzügen den CRR-Rahmen wider. Für die meisten kleinen Fintechs bestehen die Eigenmittel primär aus eingezahltem Gesellschaftskapital und thesaurierten Gewinnen, mit eingeschränkter Nutzung komplexerer Kapitalinstrumente. Unternehmen, die auf Instrumente jenseits des reinen Eigenkapitals zurückgreifen wollen, sollten detaillierte Beratung einholen, da die Anerkennungskriterien streng sind und eine Fehlklassifizierung unerwartete Kapitalunterdeckungen schaffen kann.

Eine weitere praktische Überlegung ist der Zeitpunkt der Kapitaleinzahlung. Die BaFin erwartet, dass das Anfangskapital zum Zeitpunkt der Erlaubniserteilung verfügbar ist, nicht lediglich zugesagt. Dies hat Implikationen für die Finanzierungsstrategie: Sich auf eine geplante Kapitalrunde zu verlassen, die erst nach Erteilung der Erlaubnis abgeschlossen werden soll, ist ein häufiger Fehler, der die Antragstellung verzögert oder zum Scheitern bringt. Erfahrene Gründer stellen sicher, dass das Kapital zugesagt und auf den Konten des Unternehmens verfügbar ist, bevor das Antragsdossier eingereicht wird.

Governance-Anforderungen

Das WpIG stellt Governance-Anforderungen, die Zuverlässigkeitsprüfungen für Geschäftsleiter, die Einrichtung angemessener interner Kontrollfunktionen und – für nicht kleine Institute – die Bestellung dedizierter Compliance-, Risikomanagement- und Interne-Revisionsfunktionen umfassen. Die Geschäftsleiter müssen gemeinsam über die Kenntnisse, Fähigkeiten und Erfahrung verfügen, die zum Verständnis der Tätigkeiten, des Geschäftsmodells und der wesentlichen Risiken des Instituts erforderlich sind. Die BaFin prüft Zuverlässigkeit und fachliche Eignung bei der Bestellung und bei jeder nachfolgenden Änderung und setzt substanzielle Standards für Berufserfahrung und Zeitaufwand.

Die Auslegung der Governance-Anforderungen durch die BaFin wird durch ihre bestehende Aufsichtspraxis sowie die Leitlinien der European Banking Authority (EBA) und der ESMA zur internen Governance von Wertpapierfirmen informiert. Der erwartete praktische Standard ist anspruchsvoll. Geschäftsleiter müssen in der Regel mehrere Jahre einschlägiger Erfahrung mitbringen, der Funktion ausreichend Zeit widmen und ein substanzielles Verständnis der Geschäftstätigkeiten und Risiken des Instituts nachweisen. Die Aufsichtsratsstrukturen sind nach Institutsgröße und Komplexität skaliert, mit umfangreicheren Anforderungen für Klasse-2- als für Klasse-3-Institute.

Interne Kontrollfunktionen

Nicht kleine Wertpapierinstitute müssen drei zentrale interne Kontrollfunktionen einrichten: Compliance, Risikomanagement und Interne Revision. Diese Funktionen müssen unabhängig von den von ihnen beaufsichtigten Geschäftsbereichen sein, über angemessene Befugnisse und Ressourcen verfügen und dem Leitungsorgan nach einem definierten Zeitplan berichten. Die detaillierten Erwartungen sind in BaFin-Rundschreiben und in den ESMA/EBA-Leitlinien zur internen Governance festgelegt. Für Klasse-3-Unternehmen sind die Anforderungen herabgesetzt, doch die zugrunde liegende Erwartung an ein wirksames Kontrollumfeld bleibt bestehen.

In der Praxis ist die Compliance-Funktion typischerweise die erste, die in einem neuen WpIG-Unternehmen besetzt wird, und hat den breitesten laufenden Auftrag. Sie ist verantwortlich für die Einhaltung der WpHG-Wohlverhaltensregeln, die Überwachung MiFID-II-bezogener Pflichten, die Pflege der Richtlinien und Verfahren, die das Geschäft regeln, die Berichterstattung an die Geschäftsleitung und den Aufsichtsrat sowie die tägliche Ansprechstelle für die BaFin in regulatorischen Angelegenheiten. Die Compliance-Funktion ist zudem typischerweise Eigentümerin des Schulungsprogramms und des Verstoßmeldungsprozesses.

Die Risikomanagementfunktion befasst sich mit der Identifikation, Messung, Überwachung und Berichterstattung der Risiken, denen das Institut ausgesetzt ist. Für WpIG-Unternehmen umfasst dies operationelle Risiken, Wohlverhaltensrisiken, Reputationsrisiken, Liquiditätsrisiken und, für Unternehmen mit Eigenhandel, Marktrisiken. Die Risikomanagementfunktion arbeitet eng mit der Compliance-Funktion zusammen und, bei größeren Unternehmen, mit einer dedizierten Internen Revision, die unabhängige Gewissheit über beide bietet.

Auslagerungs-Governance

Viele WpIG-Unternehmen lagern bedeutende Funktionen an Drittanbieter aus – IT-Hosting, KYC-/AML-Dienste, Compliance-Monitoring, Transaktionsmeldung und Back-Office-Verarbeitung. Auslagerung ist unter dem WpIG zulässig, unterliegt jedoch denselben regulatorischen Erwartungen, die für Banken gelten: vorherige Risikobewertung, Due Diligence des Anbieters, detaillierte vertragliche Regelungen, laufende Überwachung, Anzeige wesentlicher Auslagerungen und Aufrechterhaltung von Exit-Strategien. Der Digital Operational Resilience Act (DORA) hat eine weitere Ebene von Pflichten hinzugefügt, insbesondere bei der Identifikation kritischer IKT-Anbieter und dem Management von Konzentrationsrisiken im Anbieterökosystem.

Meldepflichten

Wertpapierinstitute unterliegen regelmäßigen Meldepflichten gegenüber der BaFin, deren Umfang und Häufigkeit je nach Klassifizierung variieren. Klasse-3-Institute sehen sich vergleichsweise schlanken Meldepflichten zu grundlegenden Eigenmitteln und einfachen Indikatoren gegenüber. Klasse-2-Institute müssen detaillierte Berichte zu Eigenmitteln, K-Faktor-Berechnungen, Konzentrationsrisiko, Liquidität und Großkrediten einreichen. Alle Institute unterliegen jährlichen Finanzberichtsanforderungen und müssen geprüfte Jahresabschlüsse nach deutschem Handelsrecht einreichen.

Neben der prudenziellen Meldung unterliegen Wertpapierinstitute den Transaktionsmeldepflichten unter MiFIR, der Meldung über Kundenvermögen unter MiFID II und verschiedenen wohlverhaltensbezogenen Meldepflichten unter dem WpHG. Die aggregierte Meldelast kann substanziell sein, und viele Fintechs investieren erheblich in Regulatorische Technologielösungen (RegTech), um die Datenerhebung, -validierung und -einreichung zu automatisieren.

Das MiFIR-Transaktionsmeldeverfahren verdient besondere Aufmerksamkeit. Jede ausgeführte Transaktion in einem meldepflichtigen Finanzinstrument muss der zuständigen nationalen Behörde spätestens am Ende des folgenden Arbeitstags gemeldet werden, mit einem festgelegten Satz von Datenfeldern, die das Instrument, die Gegenparteien, den Zeitpunkt, den Preis, die Menge und den Handelsplatz umfassen. Fehler in der Transaktionsmeldung ziehen erhebliche aufsichtliche Aufmerksamkeit nach sich, und ein anhaltendes Muster von Fehlern kann zu Vollstreckungsmaßnahmen führen. Unternehmen, die neu im Regime sind, sind gut beraten, auf etablierte Transaktionsmeldedienstleister zurückzugreifen, statt maßgeschneiderte interne Meldekapazität aufzubauen.

MiFID-II-Wohlverhaltensregeln

Neben dem prudenziellen WpIG-Rahmen müssen deutsche Wertpapierfirmen die MiFID-II-Wohlverhaltensregeln einhalten, die durch das WpHG umgesetzt werden. Dazu gehören:

• Kundenkategorisierung als Privatkunde, professioneller Kunde oder geeignete Gegenpartei, mit differenzierten Schutzniveaus
• Geeignetheits- und Angemessenheitsprüfungen, insbesondere bei Anlageberatung und Portfolioverwaltung
• Pflichten zur bestmöglichen Ausführung einschließlich Ausführungsgrundsätzen und Nachweis gegenüber dem Kunden
• Identifizierung, Steuerung und Offenlegung von Interessenkonflikten
• Zuwendungsregeln, mit besonderem Fokus auf unabhängige Beratung und Portfolioverwaltung
• Anforderungen an die Produktgovernance einschließlich Zielmarktbestimmung und Vertriebsvereinbarungen
• Kundenberichtspflichten einschließlich periodischer Auszüge und Handelsbestätigungen
• Aufzeichnung von Kundenkommunikation einschließlich Telefongesprächen und elektronischer Nachrichten

Jede dieser Wohlverhaltenspflichten hat erhebliche operative Implikationen. Zusammengenommen definieren sie einen großen Teil der täglichen Compliance-Arbeit eines WpIG-zugelassenen Unternehmens.

Die Kundenkategorisierung ist vielleicht die grundlegendste dieser Pflichten, weil das Schutzniveau eines Kunden direkt aus der Kategorie folgt, der er zugeordnet wird. Privatkunden genießen das höchste Schutzniveau; professionelle Kunden und geeignete Gegenparteien werden als Personen angesehen, die über die Kenntnisse und Ressourcen verfügen, ihre eigenen Interessen zu schützen, und erhalten entsprechend weniger regulatorische Schutzvorkehrungen. Der Prozess der Kundenkategorisierung, die Dokumentation der Grundlage für die Kategorisierung und die Bearbeitung von Umkategorisierungsanträgen müssen vom ersten Betriebstag an im Onboarding-Prozess verankert sein.

Geeignetheits- und Angemessenheitsprüfungen, die Überwachung der bestmöglichen Ausführung, Offenlegung von Zuwendungen und Produktgovernance-Vereinbarungen erzeugen jeweils ihre eigenen Dokumentationsspuren, und ein gründliches WpIG-Unternehmen pflegt prüffähige Aufzeichnungen, die bei einer Aufsichtsprüfung auf Anforderung vorgelegt werden können. Die Aufzeichnung von Telefongesprächen und elektronischen Kommunikationen im Zusammenhang mit Transaktionen ist eine weitere bedeutende operative Pflicht, die sichere Speicherung, Abrufmöglichkeit und Aufbewahrungsfristen von typischerweise fünf Jahren oder mehr erfordert.

Die EdW-Entschädigungseinrichtung

Deutsche Wertpapierinstitute sind Mitglieder der Entschädigungseinrichtung der Wertpapierhandelsunternehmen (EdW), einer gesetzlichen Entschädigungseinrichtung, die Ansprüche gegen insolvente Wertpapierfirmen für Kundengelder und -wertpapiere bis zu definierten Grenzen abdeckt. Die Zugehörigkeit folgt aus der Erlaubnis selbst und hängt nicht davon ab, ob das Institut Kundenvermögen hält: Jedes Wertpapierinstitut mit einer Erlaubnis für die im Anlegerentschädigungsgesetz genannten Wertpapierdienstleistungen muss der Entschädigungseinrichtung angehören (§§ 1, 2 und 6 AnlEntG); die jährlichen Beiträge werden basierend auf den jeweiligen Geschäftsvolumina berechnet. Für Fintech-Unternehmen gehört die Zuordnung zur EdW damit zum Gesamtzeitplan der Erlaubniserteilung, auch ohne Zugriff auf Kundengelder oder Finanzinstrumente.

DORA-Compliance

Der Digital Operational Resilience Act (DORA), der am 17. Januar 2025 anwendbar wurde, gilt für WpIG-zugelassene Wertpapierfirmen neben der Gesamtheit der EU-Finanzunternehmen. DORA erlegt umfangreiche Anforderungen in Bezug auf IKT-Risikomanagement, IKT-bezogene Vorfallsmeldung, digitales operationelles Resilienztesting, Management von IKT-Drittparteienrisiken und Informationsaustausch über Cyberbedrohungen auf. Für technologielastige Fintech-Unternehmen hat DORA die regulatorische Messlatte erheblich angehoben und bedeutende Investitionen in IKT-Governance, Lieferantenmanagement und Vorfallsreaktion erforderlich gemacht.

Geldwäschepflichten

Wertpapierinstitute sind Verpflichtete nach dem Geldwäschegesetz (GwG). Damit verbunden sind Pflichten zur Kundenidentifizierung, zur Transaktionsüberwachung, zur Meldung verdächtiger Aktivitäten an die Financial Intelligence Unit (FIU), Aufbewahrungspflichten und die Bestellung eines Geldwäschebeauftragten. Für Unternehmen mit Privatkunden- oder grenzüberschreitender Kundenbasis ist die AML-Arbeitslast substanziell und erfordert von Beginn an dedizierte Ressourcen und Systeme.

Die Kundensorgfaltspflichten nach dem GwG folgen einem risikobasierten Ansatz, wobei vereinfachte Maßnahmen in definierten Niedrigrisikoszenarien zulässig und verstärkte Maßnahmen dort erforderlich sind, wo höhere Risiken identifiziert werden. Bei der Einbindung individueller Privatkunden umfasst der Standardansatz die Identitätsprüfung anhand amtlicher Dokumente, die Feststellung des wirtschaftlich Berechtigten, sofern einschlägig, die Klärung des Zwecks und der Art der Geschäftsbeziehung sowie die laufende Überwachung während der gesamten Beziehung. Grenzüberschreitende Kunden, politisch exponierte Personen und Kunden aus Jurisdiktionen mit höherem Risiko lösen verstärkte Sorgfaltspflichten aus.

Die Meldung verdächtiger Aktivitäten ist wohl das folgenreichste Element des AML-Regimes. Die Meldeschwelle ist bewusst niedrig angesetzt, und es wird von Unternehmen erwartet, im Zweifel eher zu melden, wenn Anhaltspunkte für einen Verdacht bestehen. Die deutsche FIU ist zentrale Empfangsstelle für Meldungen und hat Typologien und Indikatoren veröffentlicht, um Verpflichtete zu unterstützen. Die Schulung von Front-Office- und Compliance-Mitarbeitern zur Erkennung verdächtiger Muster ist eine Grunderwartung, und Aufsichtsprüfungen der AML-Rahmenwerke durch die BaFin prüfen häufig Schulungsunterlagen und Meldehistorien.

Der Antragsprozess

Der WpIG-Erlaubnisprozess lässt sich in vier grobe Phasen gliedern. Das Verständnis der Form jeder Phase hilft Unternehmen, realistische Zeitpläne zu planen und die häufigsten Fallstricke zu vermeiden.

Phase 1: Vorbereitung vor Antragstellung

Vor jeder formellen Einreichung sollten Unternehmen eine detaillierte regulatorische Gap-Analyse durchführen, die angestrebte Klassifizierung definieren, die Schlüsselpersonen-Bestellungen identifizieren, den Geschäftsplan und die Finanzprognosen ausarbeiten und ein orientierendes Vorgespräch mit der BaFin erwägen, etwa über deren Kontaktangebot für Fintechs. Diese Phase dauert typischerweise mehrere Monate und ist oft jene, in der externe Unterstützung den größten Mehrwert bietet.

Ein häufiger und kostspieliger Fehler besteht darin, Phase 1 parallel zum Produktaufbau zu betreiben. Die Vorbereitungsphase ist nicht bloß administrativ; sie umfasst substanzielle Entscheidungen über Unternehmensstruktur, Geschäftsmodellgrenzen, Datenhandhabung, Kapitalzusammensetzung, IT-Architektur und Auslagerungsbeziehungen. Entscheidungen, die während der Produktentwicklung ohne Bezug zum entstehenden regulatorischen Rahmen getroffen werden, müssen häufig später und mitunter zu erheblichen Kosten revidiert werden. Unternehmen, die Phase 1 als echtes strategisches Projekt behandeln – unter Einbindung der Führungsebene, fachlicher Compliance-Expertise und rechtlicher Beratung –, erreichen Phase 2 typischerweise mit deutlich besseren Grundlagen.

Phase 2: Antragsentwicklung

Das Kern-Antragsdossier umfasst den Geschäftsplan, Finanzprognosen, Organigramme, Beschreibungen des Governance- und Kontrollrahmens, Compliance-Richtlinien, das Risikomanagement-Rahmenwerk, IT-Infrastrukturdokumentation, AML-Richtlinien, Auslagerungsregister und zugehörige Dokumentation, Zuverlässigkeits- und Eignungsdokumentation für Geschäftsleiter und Aufsichtsratsmitglieder, Informationen zur Eigentümerstruktur und Nachweise des Anfangskapitals. Die Zusammenstellung dieses Dossiers nach den Qualitätsanforderungen der BaFin ist ein substanzielles Unterfangen.

Anträge an die BaFin können seit Ende 2023 ganz oder teilweise in englischer Sprache gestellt werden; die BaFin kann aber jederzeit eine Übersetzung verlangen, und dann ist allein die deutsche Fassung maßgeblich (§ 4j FinDAG). Unabhängig von der Sprache erwartet die BaFin, dass das Dossier einem strukturierten, kohärenten Aufbau folgt. Querverweise zwischen den Dokumenten müssen sauber gehalten sein, Widersprüche zwischen Geschäftsplan und Compliance-Dokumentation müssen vermieden werden, und die Annahmen hinter den Finanzprognosen müssen nachvollziehbar dargestellt werden. Dossiers, die den Eindruck erwecken, aus wiederverwendeten Templates zusammengesetzt worden zu sein, ohne dass die Inhalte auf das spezifische Geschäft angepasst wurden, geraten regelmäßig in längere Prüfschleifen und sind ein häufiger Grund für eine deutlich verlängerte Phase-3-Dauer.

Phase 3: BaFin-Einreichung und -Prüfung

Nach der Einreichung tritt der Antrag in das BaFin-Prüfverfahren ein. Dies umfasst typischerweise mehrere Runden von Fragen und Nachforderungen, Gesprächen mit den Aufsehern und iterativer Verfeinerung der Dokumentation. Die Qualität der initialen Einreichung wirkt sich direkt auf die Dauer der Prüfphase aus.

Während Phase 3 weist die BaFin dem Antrag in der Regel einen dedizierten Aufsichtskontakt zu und terminiert Besprechungen mit der Geschäftsleitung, der Compliance-Funktion und den wesentlichen operativen Verantwortlichen. Diese Besprechungen sind nicht zeremoniell; die Aufseher nutzen sie, um das Verständnis der anwendbaren Regeln durch das Unternehmen, die Substanz hinter der Dokumentation und die Bereitschaft der Organisation, unter den Pflichten zu operieren, zu prüfen. Geschäftsleiter sollten damit rechnen, detaillierte Fragen zu ihren Plänen für den Umgang mit spezifischen Risiken, Szenarien und operativen Herausforderungen zu beantworten, und sie sollten dies ohne Rückgriff auf vorbereitete Skripte oder externe Berater tun können.

Phase 4: Operative Einrichtung nach Erlaubniserteilung

Nach Erteilung der Erlaubnis muss das Unternehmen seine operative Einrichtung abschließen, einschließlich der Finalisierung von Verträgen mit externen Dienstleistern, des Onboardings auf regulatorische Meldesysteme, der Aktivierung der EdW-Mitgliedschaft, sofern einschlägig, und der Aufnahme des ersten Live-Betriebs unter der neuen Erlaubnis. Der erste Aufsichtszyklus ist eine kritische Periode, in der die BaFin prüft, ob das Unternehmen tatsächlich entsprechend dem im Erlaubnisdossier beschriebenen Profil operiert.

Zeitplanerwartungen

Realistische Zeitpläne für eine vollständige WpIG-Erlaubnis, vom Beginn der ernsthaften Vorbereitung bis zur Erteilung der Erlaubnis, liegen üblicherweise im Bereich von zwölf bis fünfzehn Monaten, bei komplexeren Geschäftsmodellen oder wenn die initiale Dokumentation substanzielle Nacharbeit erfordert, auch länger. Unternehmen, die die Vorbereitungsphase überhasten, verbringen typischerweise mehr Zeit in der Prüfphase als Unternehmen, die angemessen in Phase 1 und Phase 2 investieren.

Kostenerwartungen

Die Gesamtkosten einer WpIG-Erlaubnis variieren stark nach Geschäftsmodell und Komplexität, doch Unternehmen sollten mit erheblichen Honoraren für externe Dienstleister (rechtlich, buchhalterisch, Compliance-Beratung), Anfangskapital, das faktisch langfristig gebunden ist, laufenden Personalkosten für die Kontrollfunktionen, Technologieinvestitionen und BaFin-Gebühren kalkulieren. Für viele Fintech-Gründer ist die Erkenntnis, dass die Erlaubnis der Beginn und nicht das Ende substanzieller regulatorischer Ausgaben ist, eine kritische Planungserkenntnis.

Relevanz für Fintech-Unternehmen

Das WpIG-Rahmenwerk ist für mehrere Kategorien von Fintech-Unternehmen in Deutschland unmittelbar relevant. Neo-Broker, die Bruchteilsaktienhandel und einfache Execution-Only-Dienste anbieten, Robo-Advisors mit algorithmischer Portfolioverwaltung und Handelsplätze für tokenisierte Wertpapiere fallen in seinen Anwendungsbereich. Crowdfunding-Plattformen sind die Ausnahme: Wer als Schwarmfinanzierungsdienstleister nach der Verordnung (EU) 2020/1503 zugelassen ist, gilt für diese Dienstleistungen nicht als Wertpapierinstitut (§ 3 Abs. 1 Nr. 22 WpIG) und braucht eine WpIG-Erlaubnis nur für Tätigkeiten, die darüber hinausgehen. Die verhältnismäßige Natur des Rahmenwerks – mit leichteren Anforderungen für Klasse-3-Institute – ist darauf ausgelegt, die Geschäftsmodelle dieser Unternehmen zu berücksichtigen, ohne ihnen das volle Gewicht der Bankenregulierung aufzuerlegen.

Für viele Fintech-Gründer stellt das WpIG den realistischsten Weg zur direkten Erlaubnis dar und bietet eine echte Erleichterung für kleinere und weniger komplexe Unternehmen bei voll erhaltener Marktzugangsmöglichkeit. Unternehmen, die zu dem Schluss kommen, dass ihr Modell keine direkte Erlaubnis rechtfertigt, operieren stattdessen häufig über vertraglich gebundene Vermittlerstrukturen oder über BaaS-Partnerschaften mit einem WpIG-zugelassenen oder banklizenzierten Institut.

Für Neo-Broker ist das WpIG-Regime typischerweise das passende Rahmenwerk, solange das Geschäftsmodell im Bereich der Auftragsannahme und -ausführung bleibt; die Depotführung ist als Nebendienstleistung möglich, hebt das Anfangskapital aber auf 750.000 EUR. Sobald das Modell jedoch die Entgegennahme von Einlagen oder die Vergabe von Krediten außerhalb des Wertpapierkreditgeschäfts umfasst, können sich zusätzliche Erlaubnispflichten unter dem KWG ergeben. Die sorgfältige Abgrenzung zwischen wertpapierbezogenen und bankgeschäftsnahen Tätigkeiten ist daher ein wesentliches Element der regulatorischen Strategieentwicklung.

Robo-Advisors, die algorithmische Portfolioverwaltung anbieten, stellen einen besonders interessanten Anwendungsfall dar. Obwohl die zugrunde liegende Dienstleistung der Finanzportfolioverwaltung seit langem im deutschen Aufsichtsrecht verankert ist, wirft die Automatisierung der Anlageentscheidung spezifische Fragen auf: wie werden Geeignetheitsprüfungen durchgeführt, wie werden Modellfehler kontrolliert, wie werden Kunden über die algorithmische Natur der Empfehlungen informiert, und wie werden regelmäßige Überprüfungen des Portfolios dokumentiert. Die BaFin hat zu diesen Themen Positionen geäußert, und Unternehmen sollten diese in ihr Compliance-Design einbeziehen.

Häufige Fallstricke

Wiederkehrende Fallstricke bei der WpIG-Lizenzierung umfassen die Unterschätzung der Qualitätserwartungen an Geschäftsplan und Finanzprognosen, das Versäumnis, Geschäftsleiter mit ausreichender regulatorischer Erfahrung zu bestellen, die Behandlung des Governance-Rahmens als Schablonenübung statt als substanzielle Gestaltung, die Unterschätzung der AML- und Wohlverhaltenslast und den Versuch, einen Antrag einzureichen, bevor das zugrunde liegende Geschäft bereit ist, unter den Pflichten zu operieren. Unternehmen, die ihre erste Prüfrunde nicht bestehen, sehen sich oft Monaten zusätzlicher Arbeit und damit verbundenen Kosten gegenüber.

Ein weiterer Fallstrick ist das Missmanagement der Beziehung zur BaFin während des Prüfprozesses. Aufseher erwarten ein professionelles, reaktionsschnelles und offenes Engagement. Defensive Posen, Verzögerungen bei der Beantwortung von Fragen, Versuche, Risiken zu verharmlosen, oder widersprüchliche Botschaften in verschiedenen Kommunikationen untergraben das aufsichtliche Vertrauen und können die Prüfung erheblich verlängern. Die erfolgreichsten Antragsteller betrachten die BaFin als Partner im Prozess, nicht als Gegner, selbst wenn die Fragen des Aufsehers anspruchsvoll sind.

Die WpIG-KWG-Grenze

Einer der folgenreicheren Aspekte des WpIG-Rahmens ist die Grenze zur vollen Bankenaufsicht. Ein Unternehmen, das über die Klasse-1-Schwellen hinauswächst, verlässt das WpIG-Prudenzialregime und wechselt in den KWG/CRR-Rahmen. Dies ist keine geringfügige Anpassung; sie beinhaltet einen substanziellen Anstieg von Kapital- und Meldepflichten und erfordert typischerweise bedeutende operative Änderungen. Unternehmen, die sich der Schwelle nähern, sollten den Übergang sorgfältig planen, idealerweise durch frühzeitigen Dialog mit der BaFin und mit dem Rat erfahrener Berater.

Praktische Vorbereitungshinweise

Unternehmen, die eine WpIG-Lizenz in Betracht ziehen, sollten frühzeitig mit der BaFin in Dialog treten, idealerweise über das Kontaktangebot der BaFin für Fintechs, um die anwendbare Klassifizierung und die spezifischen Anforderungen für ihr Geschäftsmodell zu klären. Sie sollten in einen qualitativ hochwertigen Geschäftsplan investieren, erfahrene Geschäftsleiter einstellen, einen glaubwürdigen Governance-Rahmen aufbauen und sich auf die detaillierte Dokumentationslast vorbereiten. Der Lizenzierungsprozess, obwohl weniger langwierig als eine vollständige Bankenlizenz-Beantragung, erfordert dennoch gründliche Vorbereitung. Unternehmen, die den WpIG-Antrag als ernsthaftes regulatorisches Projekt statt als administrative Formalität behandeln, erzielen in der Regel schnellere und sauberere Ergebnisse.

Erfolgreich unter dem WpIG-Rahmen sind typischerweise jene Unternehmen, die die regulatorische Dimension von Anfang an ernst nehmen, in solide Governance- und Compliance-Infrastruktur investieren und die operative Fähigkeit aufbauen, die Einhaltung der geltenden Regeln zu demonstrieren – nicht nur zu beschreiben. Der Lohn dieser Investition ist der Zugang zu einem der größten und bedeutendsten Wertpapierdienstleistungsmärkte Europas, mit einem regulatorischen Rahmen, der anspruchsvoll, aber für gut geführte Unternehmen grundsätzlich unterstützend ist.