BaaS-Sterben 2026: Wer überlebt die Konsolidierung?

Jan Wichmann, Gründer von JWR Advisory, steht lächelnd mit ineinandergelegten Händen vor grauem Hintergrund; der Beitrag ordnet die Solaris-Strafe in die BaaS-Konsolidierung ein. — Jan Wichmann, Gründer, JWR Advisory JWR Advisory

Im Mai 2024 verlieren mehr als 100.000 Amerikaner den Zugriff auf ihr Geld. Die Apps laufen, die Konten zeigen Salden, nur auszahlen lässt sich nichts. Die Ursache liegt bei einem Unternehmen, dessen Namen kaum einer von ihnen kannte. Zwei Monate zuvor hatte die BaFin ein Bußgeld von 6,5 Millionen Euro gegen Solaris veröffentlicht. Beide Geschichten haben denselben Kern, und der entscheidet, welche Anbieter 2028 noch am Markt sind.

von Jan Wichmann, Gründer, JWR Advisory

Das Versprechen von 2022: Vor vier Jahren galt Banking-as-a-Service als Abkürzung zur eigenen Bank. Die Marktübersicht des IT-Finanzmagazins zählte im April 2022 zwanzig Anbieter, von Railsbank über Solarisbank bis Treezor. Railsbank, im Oktober 2022 noch mit 250 Millionen Dollar bewertet, ging fünf Monate später für gut 400.000 Pfund aus dem britischen Insolvenzverfahren an neue Eigentümer. Solaris stand da bereits unter einem Sonderbeauftragten der BaFin, durfte ohne Zustimmung der Aufsicht keine neuen Partner mehr anbinden und zahlte im März 2024 das erwähnte Bußgeld, weil Geldwäsche-Verdachtsmeldungen systematisch zu spät kamen. Im Oktober 2024 stellte das Haus große Teile des E-Geld-Geschäfts ein, das IT-Finanzmagazin fragte damals, ob Solaris noch zukunftsfähig sei. 2025 rettete eine Runde über 140 Millionen Euro das Haus, SBI hält seither mehr als 75 Prozent. Im März 2026 strich der neue Chef rund 80 von 400 Stellen.

Varengold beendete das Fronting für Fintechs, zahlte 3,3 Millionen Euro Bußgeld und heißt seit Februar Ascory Bank, allein die letzte Sonderprüfung kostete das Haus 2025 über vier Millionen Euro. Société Générale verhandelt seit Januar über den Verkauf von Treezor.

Der Fehler steckt im Ledger

Kein Rechenzentrum kommt in diesen Geschichten vor. Das Unternehmen hinter den gesperrten amerikanischen Konten hieß Synapse, eine Software-Schicht ohne Banklizenz, die die Kundenkonten führte, während Partnerbanken das Geld hielten. Als beide Bücher verglichen wurden, fehlten zwischen 65 und 95 Millionen Dollar. Die Treuhänderin Jelena McWilliams konnte die Lücke bis zuletzt nicht exakt beziffern, weil einzelne Banken die Abgleichsdaten verweigerten. Eine dieser Banken, Evolve Bank & Trust, bekam im Juni 2024 eine Anordnung der Federal Reserve und verlor im selben Monat Kundendaten an die Erpressergruppe LockBit.

Wie schnell ein Dienstleister zum Einfallstor wird, hat die Branche hierzulande zuletzt beim Angriff auf die Münchner V-Bank gesehen, der über einen externen IT-Dienstleister lief.“

In Europa steht dasselbe Muster in den BaFin-Bescheiden. Bei Solaris ging es um Geldwäscheprävention, Meldewesen, Auslagerung und IT, also um die Frage, wer im Modell was kontrolliert. Auf einer Plattform mit vielen Mandanten trifft ein solcher Mangel alle Partner gleichzeitig.

Regulierung ist der Filter

DORA verlangt seit Januar 2025 dokumentierte Exit-Strategien für jede ausgelagerte kritische Funktion. Laut einer PPI-Studie haben nur 18 Prozent der Banken, die IT-Prozesse auslagern, eine solche Strategie verankert. Der Rest hat sie bestenfalls auf dem Papier. Dass Solaris heute stabiler dasteht als 2023, widerspricht dem nicht. Überleben setzt inzwischen einen Eigentümer voraus, der die Kontrollkosten über Jahre trägt.

Wer diese Kosten tragen kann, holt sich das Geschäft gerade zurück. Die Deutsche Bank, die ihre Privatkundenbank gerade von 15 Kernbanksystemen auf zwei zusammenführt, gibt seit Oktober 2025 die Miles & More Kreditkarte aus, die zuvor bei der DKB lag. UniCredit kaufte Aion Bank und Vodeno für 376 Millionen Euro, um beim Kernbankensystem unabhängig von Dritten zu werden. Riverty, die Finanztochter von Bertelsmann, holte sich eine eigene Banklizenz und startete im Juli 2026 als Vollbank.

BaaS – der Ausstieg gehört in den Vertrag

Jan Wichmann sitzt lächelnd vor grauem Hintergrund, in dunklem Rollkragenpullover und kariertem Sakko. Als Gründer von JWR Advisory berät er zum BaaS-Ausstieg und zu Nachfolgelösungen für IT-Dienstleister. — JWR Advisory

Autor Jan Wichmann, JWR Advisory

Jan Wichmann ist Gründer von JWR Advisory (Webseite). Er berät Banken, Versicherer, Fintechs und Plattformen zu Embedded Finance, Banking-as-a-Service und dem Betrieb von KI-Systemen in regulierten Umgebungen. Zuvor gründete er eine der ersten BaFin-lizenzierten Open-Banking-Plattformen Deutschlands und war Manager bei KPMG. Mit JWR Partners begleitet er Nachfolgelösungen für IT-Dienstleister im DACH-Raum.

Für Plattformen und Konzerne, die Finanzprodukte einbetten, rückt der wichtigste Verhandlungspunkt damit an den Anfang. Wer heute einen BaaS-Partner wählt, verhandelt zuerst die Trennung. In den Vertrag gehören Fristen und Kostenverteilung für den Ausstieg, die Portabilität der Daten einschließlich der Legitimationsdaten, soweit das Geldwäschegesetz ihre Übernahme erlaubt, ein täglicher Abgleich zwischen Endkundensalden und Bankbestand, den die Plattform selbst einsehen darf, und ein Migrationsplan für IBANs und Kartennummern. Was ein Wechsel für Kunden bedeutet, zeigt Miles & More. Die Karteninhaber mussten ihre Karte neu beantragen und sich erneut legitimieren.

Für Banken, die als Sponsor auftreten wollen, dreht sich das Bild. Die Aufsicht beurteilt das Institut nach der schwächsten Plattform, die es trägt. Wer die Lizenz stellt, braucht deshalb eine eigene Echtzeitsicht auf jeden Endkundensaldo, eigenen Zugriff auf die Transaktionsdaten und eine Geldwäscheprävention im eigenen Haus. Das gilt auch für Sparkassen und Genossenschaftsbanken, deren Kernsysteme bei der Finanz Informatik oder Atruvia laufen. Die Sicht auf den Endkunden lässt sich technisch auslagern, die Verantwortung dafür nicht.

Wer 2028 noch da ist

Wir erwarten drei Typen von Überlebenden. Banken mit eigenem Stack holen die großen Portfolios zurück. Eine Handvoll lizenzierter Spezialisten mit klarer Nische bleibt. Und Plattformen mit genug Volumen holen sich die Lizenz selbst. Reines Fronting ohne eigene Sicht auf den Endkunden verschwindet. Die Kunden von Synapse warteten anderthalb Jahre auf eine Entschädigung von 46 Millionen Dollar. In Europa muss es so weit nicht kommen, wenn der Ausstieg vor dem Einstieg verhandelt ist. Wer nur seine Lizenz vermietet, haftet trotzdem.Jan Wichmann, JWR Advisory/dk