2 Das Grundproblem

2.1 Wirecard, VW, DWS - verwandte Skandale?

2.1.1 Wirecard - Multiorganversagen

Als der CEO des einstmaligen Börsenstars Wirecard AG am 18.06.2020 per Videobotschaft erklärte, es könne aufgrund »unberechtigter Bankbestätigungen . derzeit nicht ausgeschlossen werden, dass die Wirecard AG in einem Betrugsfall erheblichen Ausmaßes zum Geschädigten geworden ist«,14 brach der Aktienkurs des Unternehmens dramatisch ein, kurz darauf war das Unternehmen insolvent. Erhebliches Vermögen aufseiten der Anleger und der Gläubigerbanken war vernichtet, nachdem bis dahin das Unternehmen zu den Vorzeigeunternehmen in Deutschland zählte.

Wie konnte es dazu kommen? Die Aufarbeitung des Falles im Wege eines parlamentarischen Untersuchungsausschusses brachte erstaunliche Defizite in der Leitung und der Aufsicht des Unternehmens zutage. Der Betrug des Vorstands wurde durch den Ausfall zentraler Organe der Corporate Governance zum Todesstoß für das Unternehmen. Ungeachtet zahlreicher Versäumnisse bei Wirtschaftsprüfern und den für das Enforcement der Rechnungslegung zuständigen Stellen ist evident, dass der Aufsichtsrat seiner Überwachungsaufgabe erst kurz vor der Insolvenz nachkam, als ein neuer Aufsichtsratsvorsitzender eine Sonderprüfung beauftragte und sich nicht mehr vom Vorstand mit Ausreden abspeisen ließ. Allerdings war es da - Ende 2019, Anfang 2020 - zu spät und das behauptete Vermögen lange weg.

Indizien für ein Umfeld, das Unregelmäßigkeiten geradezu provozierte, gab es reichlich, wie der parlamentarische Untersuchungsausschuss zutage förderte:

• Aussage des letzten Aufsichtsratsvorsitzenden zur Finanzbuchhaltung:
  »... Internes Kontrollsystem. Das ist genau das Thema. Es [.] fehlte an dem Checks-and-Balances-System in dem Unternehmen, und genau das sollte eingeführt werden«15. Und zur Finanzbuchhaltung: »Normalerweise machen Sie da nichts mehr mit Excel usw. Teilweise waren da noch Excel-Sheets unterwegs; für mich auch einer der Gründe, warum ich gesagt habe, ich will da ein stärkeres internes Kontrollsystem haben, weil das ja die einzige Möglichkeit ist, auch hier wieder so eine Art Vieraugenprinzip irgendwie zu installieren, damit die Qualität der Finanzbuchhaltung auch kontrolliert wird [.]«.
• Aussage einer früheren Aufsichtsrätin zur Auswahl des CFO: »[I]ch wollte natürlich auch jemand Starkes, der den Vorstand ergänzt, und nicht jemanden aus der zweiten Reihe«.16 Und zum Fehlen des Prüfungsausschusses (wurde erst 2019 eingerichtet):
  ». eine Aufsichtsratssitzung ist eine Aufsichtsratssitzung. Daran haben dann auch alle Vorstände teilzunehmen. Aber im Prüfungsausschuss können Sie natürlich auch Termine nur mit dem CFO und dem darunterliegenden Stab aufsetzen und mit dem Prüfer zusammenarbeiten. Ich glaube, dass durch einen Prüfungsausschuss die inhaltliche Arbeit intensiviert und aufgewertet wird«.
• Aussage des Global Head of Compliance:
  »Wir haben uns angeschaut, wie die Strukturen im Konzern waren. Ich meine, das TPA-Geschäft (Anm.: Drittpartnergeschäft in Asien) hatte einen Umsatzanteil größer 50 Prozent und einen Anteil am EBTA größer 95 Prozent, sodass wir davon ausgegangen waren, dass wir Strukturen vorfinden. . Wir haben in der überwiegenden Anzahl der Händler keine Kommunikation im gesamten Unternehmen identifizieren können, die sich mit diesen Händlern in Verbindung bringen ließe. Wir haben keine Preis- oder Provisionslisten und kein entsprechendes Vertriebsreporting gefunden. Wir haben kein eigenes Onboarding, also keine eigene Händlerprüfung, gefunden. Wir haben keine Risikoanalyse gefunden, die sich mit wirtschaftlichen Risiken, also Ausfall von Partnern, Ausfall von Händlern, oder dem Geschäftsmodell an sich beschäftigt«.17
• Aussage einer früheren Aufsichtsrätin zu Unternehmensübernahmen:
  »Als Aufsichtsrat erhalten Sie in der Regel eine Zusammenfassung der Transaktionen, also: Was soll überhaupt gekauft werden? Was sind die Zahlen dazu? Was ist der Kaufpreis? Welche Berater haben uns hier unterstützt etc.? Ich muss schon sagen - das wird Sie vielleicht jetzt nicht überraschen: Häufig waren diese Unterlagen einfach zu dünn, ja? Da musste man sehr stark nachfragen. Ja, und das habe ich . Das haben alle Mitglieder des Aufsichtsrats auch sehr regelmäßig ...«.18
• Und zu Bürgschaften für Dritte:
  »Ich erwarte mir für eine Kreditprüfung ein gewisses Mindestmaß an Informationen. [.] zum Kreditnehmer, ... zu den historischen Zahlen, Informationen >Wie sind denn diese Kredite besichert ...? Was ist denn der Business Case dafür? Wie sieht denn das Rückzahlungsprofil aussieht [sic!]?< etc. . Und ich hatte sehr, sehr, sehr viele Rückfragen zu diesen Bürgschaftsanfragen [.].«
• Aussagen des Global Head of Compliance:
  »Die Compliance-Beratung innerhalb der Rechtsabteilung ist dann zu einem späteren Zeitpunkt in 2016 mal erbeten worden; es gab aber kein formales Vorstandsmandat oder keine Geschäftsordnung, sondern lediglich einen Beratungsauftrag« . »Auf Druck des Aufsichtsrats. und auch Studien, die durchgeführt wurden, wurde dann im August 2019 erstmals eine Compliance-Abteilung in der Wirecard-Gruppe eingerichtet« ... »Bis zuletzt habe es keinen umrissenen Aufgabenbereich gegeben, >also keine Geschäftsordnung oder eine entsprechende Arbeitsanweisung, die geregelt hat, was dieser Bereich denn eigentlich umfassen soll<«.19

Die Probleme der Wirecard AG lagen, wie sich in den Aussagen zeigt, unterhalb der auf Hochglanz polierten Oberfläche in fehlenden oder unwirksamen Einrichtungen der internen Überwachung, die das margenschwache, durch Scheingeschäfte offenbar aufgepumpte Geschäftsmodell (Zahlungsabwicklung) rechtzeitig entlarvten und so dem Betrug vorgebeugten, ihn zumindest erschwert hätten. Demgegenüber versagten sämtliche Aufsichtsinstanzen in ihrer Aufgabe, die Funktionsfähigkeit der Überwachung anzumahnen und sicherzustellen: Der Aufsichtsrat, der Entscheidungen des Managements zu lange durchwinkte, der Abschlussprüfer, der fehlenden Informationen, Auffälligkeiten und Widersprüchen nicht entschlossen genug nachging, und die Deutsche Prüfstelle für Rechnungslegung (DPR) sowie die Abschlussprüferaufsicht (APAS), die, obwohl in den Fall eingeschaltet, praktisch untätig blieben. Die der DPR übergeordnete Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) stellte sich im Vorfeld der Insolvenz gar an die Seite des Vorstands von Wirecard, in dem sie auf dessen Betreiben gegen die Journalisten, die den Skandal ans Licht brachten, Anzeige wegen des Verdachts der Marktmanipulation erstattete.

In der Zwischenzeit hat es intensive Bemühungen gegeben, die Ursachen des Skandals aufzuarbeiten und die Regeln der Corporate Governance so zu verändern, dass solche Fälle künftig vermieden werden.20 Der Gesetzgeber hat mit dem Gesetz zur Stärkung der Finanzmarktintegrität (FISG) einschneidende Änderungen gegenüber geltendem Recht vor allem bei der zivil- und strafrechtlichen Verantwortlichkeit der Wirtschaftsprüfer und in der Struktur des Enforcements verabschiedet. Der Vertrag mit der DPR wurde durch die BaFin zum 31.12.2021 gekündigt, die Durchsetzung der Regeln der Rechnungslegung wird künftig allein durch die BaFin wahrgenommen. Die Änderungen im Bereich der Corporate Governance sind demgegenüber bescheidener und lassen sich wie folgt zusammenfassen:

• Über die Verpflichtung zur Einrichtung eines Risikofrüherkennungssystems hinaus ist der Vorstand der börsennotierten Aktiengesellschaft nunmehr aufgefordert, »ein im Hinblick auf den Umfang der Geschäftstätigkeit und die Risikolage des Unternehmens angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem einzurichten« (§ 91 Abs. 3 AktG). Die Regelung geht kaum über die bereits bestehenden Sorgfalts- und Organisationspflichten der Unternehmensleitung hinaus, auch künftig unterliegt das Überwachungssystem nicht der Abschlussprüfung.
• »Bei Gesellschaften, die Unternehmen von öffentlichem Interesse . sind, muss mindestens ein Mitglied des Aufsichtsrats über Sachverstand auf dem Gebiet der Rechnungslegung und mindestens ein weiteres Mitglied ....