PancakeSwap

Stand der Recherche: 21. Juli 2026 · alle Zahlen mit Quellenangabe im Text

Einfach erklärt

• PancakeSwap ist eine dezentrale Börse (DEX, Definition: eine Handelsplattform ohne Betreiberfirma, bei der ein Programm auf der Blockchain den Tausch abwickelt) für Krypto-Coins.
• Es gibt kein Login, keine Ausweisprüfung (KYC) und keinen Kundenservice zum Anrufen — du verbindest einfach deine eigene Wallet (Definition: eine Art digitale Geldbörse-App, z. B. MetaMask) mit der Webseite.
• Deine Coins liegen die ganze Zeit in deiner eigenen Wallet, nicht bei PancakeSwap — das nennt man Selbstverwahrung.
• Getauscht wird hauptsächlich auf der BNB Chain, zusätzlich auf zehn weiteren Blockchains wie Ethereum, Solana oder Arbitrum.
• Einen Euro-Zugang gibt es nicht direkt: Man braucht bereits Kryptowährung, um überhaupt swappen zu können.
• Ein normaler Tausch kostet grob eine Protokollgebühr von etwa 0,25 Prozent, dazu noch die Netzwerkgebühr (Gas) — bei liquiden Paaren zusammen oft nur wenige Cent.
• Es gibt einen Klick-Schutz gegen Frontrunning (MEV Guard), der aber nicht automatisch aktiv ist — man muss ihn selbst einschalten.
• Die Standard-Toleranz für Kursabweichungen (Slippage) ist recht großzügig eingestellt, das kann bei unaufmerksamer Nutzung zu schlechteren Preisen führen.
• Neben dem einfachen Tausch bietet PancakeSwap auch Liquiditätspools, Farming und ein Hebelprodukt für Perpetuals (Definition: Terminkontrakte ohne Ablaufdatum) an — das sind deutlich riskantere Bereiche.
• Wer das Frontend (die eigentliche Website) betreibt, ist nicht klar erkennbar; eine als Betreiber auftretende britische Firma wirkt eher wie ein Trittbrettfahrer als der echte Betreiber.
• 2021 wurde die Webseite einmal für einen Phishing-Angriff gekapert (nicht die Verträge selbst) — seither ist so etwas nicht mehr dokumentiert.
• Der Haken: Wer bei einer DEX etwas falsch macht — Adresse vertippt, Phishing-Link angeklickt, zu viel Slippage erlaubt — hat niemanden, an den man sich wenden kann. Es gibt keine Einlagensicherung und keinen Support, der den Fehler rückgängig macht.

Unsere Einordnung in einem Satz

PancakeSwap ist eine der größten und am längsten laufenden DEX überhaupt, technisch breit auditiert und ohne dokumentierten Hack der Kernverträge — trägt aber im Kleingedruckten mehr Kontrolle durch ein Kernteam (Multisig, Vetorecht bei Vorschlägen, unklare Frontend-Betreiberschaft), als das Etikett „dezentral" vermuten lässt, und lässt Anleger bei jedem Fehler vollständig allein.

Die Entscheidung liegt bei Dir.

1. Was ist PancakeSwap?

PancakeSwap ist eine AMM-DEX (Automated Market Maker, Definition: eine Tauschbörse ohne klassisches Orderbuch, bei der sich Preise automatisch aus einer mathematischen Kurve in sogenannten Liquiditätspools ergeben) mit Hauptsitz ihrer Aktivität auf der BNB Chain (früher Binance Smart Chain). Zusätzlich ist das Protokoll auf zehn weiteren Blockchains aktiv: Ethereum, Base, Arbitrum, Solana, Aptos, ZKsync Era, Linea, Monad, Robinhood Chain, opBNB und Polygon zkEVM.

Der gesamte Wert, der aktuell in den Verträgen von PancakeSwap liegt (Total Value Locked, TVL, Definition: die Summe aller Coins, die Nutzer in die Pools eines Protokolls eingezahlt haben), beträgt nach eigenem Datenabruf rund 2,0 bis 2,1 Milliarden US-Dollar, wovon rund 95 bis 97 Prozent auf die BNB Chain entfallen ^[Q1]. Kleinere Abweichungen zwischen verschiedenen Momentaufnahmen (1,97 bis 2,08 Mrd. USD) erklären sich durch Zeitpunkt- und Zählmethodik-Unterschiede, nicht durch einen echten Widerspruch in den Daten ^[Q1].

Anders als bei einer klassischen Börse gibt es bei PancakeSwap keinen identifizierbaren Rechtsträger, der als Betreiber auftritt, kein Impressum im üblichen Sinn und keine Kundenkonten. Stattdessen läuft der Tausch über Smart Contracts (Definition: selbstausführende Programme auf der Blockchain, deren Code öffentlich einsehbar ist), die jeder Nutzer direkt über seine eigene Wallet anspricht.

PancakeSwap existiert seit 2020 und hat mehrere Produktgenerationen durchlaufen: V2 (klassisches AMM-Modell), V3 (konzentrierte Liquidität), StableSwap (für stabile Paare) und seit 2025 „Infinity" — eine neue Vertragsarchitektur mit sogenannten Hooks, die CLAMM- und LBAMM-Mechaniken (konzentrierte bzw. liquiditätsgewichtete Kurven) erlaubt. Alle Generationen laufen parallel weiter, ergänzt durch Farming über den MasterChef-Vertrag und seit kurzem ein Hebelprodukt namens „Perpetuals V2" in Zusammenarbeit mit dem Partner Aster. Governance-Token ist CAKE, der seit dem Update „Tokenomics 3.0" (April/Mai 2025) nach dem Prinzip „ein CAKE, eine Stimme" ohne Lock-up funktioniert; das vorherige veCAKE-System (mit Stimmrechts-Boost durch Locking) wurde offiziell in den Ruhestand geschickt („sunset") ^[Q5].

Für unsere Prüfung bedeutet das: Die klassischen Fragen einer Börsenprüfung — Lizenz, Einlagensicherung, Kontosicherheit, Ein-/Auszahlkosten, Steuerreport — greifen bei einer DEX strukturell nicht (n/a), weil es weder Konten noch eine verwahrende Institution gibt. Stattdessen prüfen wir das, was bei einer DEX tatsächlich zählt: den Code, die Kontrolle über diesen Code, die Kontrolle über die Webseite und die realen Kosten eines Tauschs.

2. Rechtslage: MiCA-Lücke & Geoblocking für DE-Nutzer

Die europäische Krypto-Verordnung MiCA (Markets in Crypto-Assets, Definition: die seit 2024 geltende EU-Verordnung für Kryptowerte und Krypto-Dienstleister) enthält in ihrem Erwägungsgrund 22 eine Ausnahme für Dienste, die „vollständig dezentral ohne jeden Intermediär" erbracht werden. Der genaue Wortlaut dieses Erwägungsgrunds ließ sich bei wiederholtem Versuch nicht abrufen — EUR-Lex blockiert offenbar automatisierte Zugriffe auf diese Passage, sowohl bei der ursprünglichen Recherche als auch bei einem eigenen Nachverifikationsversuch ^[Q18]. Dieser Punkt bleibt damit ausdrücklich ungeklärt.

Wesentlich aufschlussreicher ist der gemeinsame Bericht von EBA und ESMA vom 13.01.2025 (ESMA75-453128700-1391 / EBA/Rep/2025/01), der die MiCA-Ausnahme für „wirklich dezentrale" Angebote als „außergewöhnlich eng" beschreibt ^[Q17]. Der Bericht wendet dafür einen funktionalen Test an, der über die reine Selbstbezeichnung als „dezentral" hinausgeht (Substance-over-form, Definition: die tatsächliche Kontrollstruktur zählt, nicht die Eigenbezeichnung). Genau an diesem Test hakt es bei PancakeSwap an mehreren Stellen (siehe Kapitel 3 und 8): eine Multisig-Kontrolle über zentrale Vertragsfunktionen, ein Vetorecht des Kernteams bei bindenden Governance-Vorschlägen und ein zentral betriebenes Frontend ohne erkennbaren Rechtsträger. Ob diese Kombination MiCA-rechtlich tatsächlich noch als „vollständig dezentral" durchgeht, ist eine offene, in dieser Prüfung nicht abschließend beantwortbare Frage.

Eine formelle Einzelfallentscheidung der BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) oder der ESMA zu PancakeSwap konnte nicht gefunden werden. Eine eigene Nachverifikation über die BaFin-Expertensuche am 22.07.2026 bestätigte: „Keine Treffer" für den Suchbegriff „PancakeSwap" ^[Q15]. Auch im ESMA-Register für Non-Compliant-Anbieter unter Art. 110 MiCA findet sich kein Eintrag ^[Q16]. Das ist strukturell nur begrenzt aussagekräftig — bei einem Protokoll ohne benennbaren Rechtsträger fehlt schlicht ein Adressat, gegen den eine Aufsichtsbehörde vorgehen könnte. Das Fehlen eines Eintrags ist also kein Persilschein, sondern eher ein Hinweis auf die strukturelle Prüflücke, die dezentrale Protokolle für Aufsichtsbehörden aktuell darstellen.

Was sich hingegen live nachweisen ließ: Der reine Swap-Vorgang (Token gegen Token tauschen) sperrt Nutzer aus Deutschland oder der EU nicht per Geoblocking (Definition: technische Sperre eines Angebots anhand der Herkunft der IP-Adresse) — ein Live-Test der Nutzeroberfläche zeigte keine Zugriffsbeschränkung [ursprünglicher Rechercheteil, Live-Playwright-Test]. Anders sieht es beim Hebelprodukt „Perpetuals V2" und bei tokenisierten Aktien aus: Dort sperrt PancakeSwap laut eigener Dokumentation Nutzer aus den USA, Kanada, Großbritannien, China, Nordkorea, Russland, der Ukraine, Kuba, dem Iran, Venezuela und Syrien ^[Q7] — auffällig ist, dass EU-Länder auf dieser Liste nicht auftauchen, während gerade dort spätestens mit MiCA eine Regulierungslücke am ehesten geschlossen werden dürfte.

Fazit für dieses Kapitel: Die MiCA-Einordnung von PancakeSwap bleibt unklar. Weder eine Bestätigung noch ein Ausschluss der Dezentralisierungs-Ausnahme liegt vor. Wer als DE-Nutzer die App nutzt, bewegt sich damit in einer regulatorischen Grauzone — nicht illegal, aber auch nicht durch eine erkennbare Aufsicht abgedeckt.

3. Smart-Contract-Sicherheit & Audits

PancakeSwap weist eine breite und über Jahre gewachsene Audit-Abdeckung auf. Zu den Prüfern zählen PeckShield, SlowMist, BlockSec, Cyfrin, HashDit sowie in jüngerer Zeit Burrasec/Pashov und Hexens/OtterSec/Zellic ^[Q3]. Diese Vielzahl unterschiedlicher, teils konkurrierender Audit-Firmen ist ein positives Signal — ein einzelner Auditbericht kann Lücken übersehen, mehrere unabhängige Prüfer über Jahre hinweg senken dieses Risiko strukturell.

Zwei Einschränkungen sind für eine ehrliche Einordnung wichtig:

Erstens das Alter der jüngsten Prüfungen: Die Kernverträge der aktuell aktiven Produktgeneration „Infinity" wurden zuletzt im März 2025 geprüft ^[Q3] — zum Stichtag 22.07.2026 also rund 16 Monate alt. Das liegt über der in der Branche gebräuchlichen Faustregel von zwölf Monaten für „aktuelle" Sicherheit, insbesondere weil Verträge zwischenzeitlich erweitert oder migriert werden können, ohne dass ein neues Audit zwingend nachgezogen wird.

Zweitens die Herkunft des oft zitierten CertiK-Sicherheitsscores von 92,23 Punkten (Einstufung „AA"): Dieser Score basiert auf einem einzelnen Audit vom 27.08.2021 ^[Q10] — zum Stichtag fast fünf Jahre alt. Ein solcher Wert darf redaktionell nicht als aktuelles Gütesiegel dargestellt werden, sondern nur als historischer Referenzpunkt aus der frühen Projektphase.

Positiv zu vermerken: In der Exploit-Datenbank von DefiLlama findet sich kein Eintrag für einen erfolgreichen Angriff auf die PancakeSwap-Kernverträge selbst. Die auf rekt.news gelisteten Vorfälle mit dem Namen „PancakeSwap" im Titel betreffen bei genauerer Prüfung tatsächlich ein separates Projekt: PancakeBunny, einen auf PancakeSwap aufbauenden Yield-Aggregator mit eigenem Team und eigenen, unabhängigen Verträgen ^[Q11]. Dieser Umstand wurde in der Recherche von mehreren unabhängigen Rechercheperspektiven übereinstimmend bestätigt und ist gut belegt. Zur Klarstellung: Die betroffenen Vorfälle datieren auf Mai 2021 (ca. 45 Mio. USD Schaden) und Juli 2021 (ca. 2,4 Mio. USD) — beide bei PancakeBunny, nicht bei PancakeSwap ^[Q11].

Zusätzlich betreibt PancakeSwap ein aktives Bug-Bounty-Programm über die Plattform Immunefi, das Sicherheitsforschern finanzielle Anreize bietet, Schwachstellen verantwortungsvoll zu melden statt auszunutzen ^[Q9]. Solche Programme sind kein Sicherheitsbeweis, senken aber die Wahrscheinlichkeit, dass gefundene Lücken zuerst bei böswilligen Akteuren landen.

Gesamtbewertung dieses Kapitels: solide, aber nicht makellose Sicherheitslage. Breite Prüferbasis und keine dokumentierten Kernvertrags-Hacks stehen einer teils veralteten Referenz (CertiK 2021) und einer Prüf-Frische knapp über der Zwölf-Monats-Schwelle gegenüber. Einordnung: GELB (solide Grundlage, aber mit Einschränkungen bei Aktualität und Kommunikation der Prüftiefe).

4. Was kostet ein Swap wirklich?

Die Standardgebühr für einen Tausch über den klassischen V2-Pool liegt bei 0,25 Prozent des Handelsvolumens ^[Q2]. Diese Gebühr teilt sich auf mehrere Empfänger auf: den überwiegenden Anteil erhalten die Liquiditätsanbieter (Definition: Nutzer, die Coins in einen Pool einzahlen, damit andere darin tauschen können) mit rund 0,17 Prozentpunkten, ein kleinerer Teil geht an eine Treasury (Protokollkasse) und ein weiterer Teil wird zum Verbrennen (dauerhaften Entfernen aus dem Umlauf) des CAKE-Tokens verwendet ^[Q2]. Die genaue Aufteilung zwischen Treasury- und Burn-Anteil ließ sich bei wiederholtem Seitenabruf nicht zuverlässig aus der Dokumentation extrahieren, offenbar weil die entsprechende Tabelle clientseitig nachgeladen wird. Für den Artikel gilt daher nur die unstrittige Gesamtgebühr von 0,25 Prozent als gesichert; die Feinaufteilung bleibt ungeklärt.

Wichtig für die reale Kosteneinschätzung: 0,25 Prozent ist nur der Basistarif für Standard-Pools. Neuere oder wenig gehandelte Token-Paare (sogenannte Long-Tail-Assets) werden häufig über andere Gebühren-Tiers geroutet, die zwischen 0,25 und 1 Prozent liegen können — hinzu kommt bei dünner Liquidität ein höherer Price Impact (Definition: der Kursverlust, den der eigene Trade selbst verursacht, weil er den Pool aus dem Gleichgewicht bringt).

Eine tatsächliche Live-Messung eines Tauschs über den integrierten Smart Router ergab: Bei einem Handelsvolumen von rund 855 US-Dollar in einem liquiden Paar betrug die tatsächlich gezahlte Gebühr etwa 0,46 US-Dollar — umgerechnet rund 0,053 Prozent, deutlich unter dem nominalen 0,25-Prozent-Tarif, weil der Router automatisch die günstigste verfügbare Route bzw. das günstigste Gebühren-Tier wählte. Der Price Impact lag bei unter 0,01 Prozent. Hinzu kam eine Netzwerkgebühr (Gas) von rund 0,006 US-Dollar auf der BNB Chain — ein Betrag, der sich je nach aktueller Netzwerkauslastung ändert und über den Gas Tracker von BscScan öffentlich einsehbar ist ^[Q13].

Vor Bestätigung eines Trades zeigt die Nutzeroberfläche sowohl die Gebühr, den Price Impact als auch den Mindestbetrag, der nach Slippage-Abzug tatsächlich empfangen wird. Was fehlt: ein eingebauter Vergleich mit einem externen Referenzkurs (also eine Einschätzung, ob der angezeigte Preis überhaupt marktgerecht ist), und eine verifizierte Warnschwelle, ab welchem Price-Impact-Wert die Oberfläche aktiv vor einem ungünstigen Trade warnt.

Ein strukturell wichtiger, aber leicht zu übersehender Risikofaktor ist die Standardeinstellung für die Slippage-Toleranz (Definition: die maximale Kursabweichung, die ein Nutzer für seinen Trade zulässt): Diese kann automatisch bis zu 5 Prozent betragen. Bei liquiden Paaren ist das unproblematisch, bei dünnen Pools kann eine so großzügige Voreinstellung dazu führen, dass Bots den Trade gezielt vor- und nachlaufen (Front-/Backrunning, Teil des sogenannten MEV — Maximal Extractable Value, Definition: Zusatzgewinne, die Netzwerkteilnehmer durch geschicktes Timing und Reihenfolge von Transaktionen abschöpfen).

Gegen genau dieses Risiko bietet PancakeSwap einen kostenlosen, aber opt-in-basierten Schutzmechanismus namens „MEV Guard" an: einen alternativen RPC-Endpunkt (bscrpc.pancakeswap.finance), der in Partnerschaft mit dem Infrastrukturanbieter bloXroute betrieben wird ^[Q6]. Entscheidend ist: Dieser Schutz ist nicht standardmäßig aktiv. Wer seine Wallet nicht manuell auf diesen RPC-Endpunkt umstellt, handelt ungeschützt gegen MEV-Angriffe — kombiniert mit der großzügigen Standard-Slippage ein Punkt, an dem unerfahrene Nutzer real Geld verlieren können, ohne es zu bemerken.

5. Angebot, Fiat-Zugang & Zusatzprodukte (LP/Farming/Perps)

PancakeSwap bietet über die reine Swap-Funktion hinaus ein breites Produktportfolio: Liquiditätspools (LP, Nutzer stellen Kapital für Trader bereit und erhalten dafür einen Anteil der Handelsgebühren), Farming (zusätzliche CAKE-Belohnungen für das Bereitstellen von Liquidität in ausgewählten Pools über den MasterChef-Vertrag) sowie seit jüngerer Zeit „Perpetuals V2" — ein Hebelprodukt für Terminkontrakte ohne Ablaufdatum, umgesetzt in Zusammenarbeit mit dem Partnerprotokoll Aster.

Ein direkter Fiat-Zugang (Ein- oder Auszahlung von Euro) existiert bei einer DEX strukturell nicht — das ist keine Schwäche von PancakeSwap speziell, sondern liegt am Funktionsprinzip: Es gibt kein Bankkonto, keine SEPA-Anbindung und keine Möglichkeit, direkt mit Euro zu handeln. Wer einsteigen will, muss zunächst über eine zentrale Börse (CEX) oder einen anderen On-Ramp-Dienst Kryptowährung erwerben und in die eigene Wallet transferieren.

Das Listing neuer Token folgt einem permissionless-Prinzip (Definition: jeder kann ohne Genehmigung einen neuen Liquiditätspool für ein beliebiges Token erstellen). Das erhöht die Auswahl massiv — praktisch jeder Token auf den unterstützten 11 Chains kann gehandelt werden — bringt aber eine strukturelle Kehrseite mit: Es gibt keine Vorprüfung, ob ein gelisteter Token seriös ist. Betrugstoken (Scam-Token) und sogenannte Rugpulls (Definition: Projekte, bei denen Entwickler nach dem Einsammeln von Liquidität die Mittel abziehen und verschwinden) sind auf DEX mit offenem Listing ein bekanntes, strukturelles Risiko, das nicht auf einzelne Vorfälle zurückgeht, sondern aus dem Geschäftsmodell selbst folgt.

Beim Bereitstellen von Liquidität besteht zusätzlich das Risiko des impermanenten Verlusts (Impermanent Loss, IL, Definition: ein rechnerischer Verlust gegenüber einfachem Halten der Coins, der entsteht, wenn sich die Kurse der gepoolten Coins zueinander verschieben). Dieses Risiko wird in der Dokumentation und im Umfeld von PancakeSwap benannt, was positiv zu werten ist.

Für das neue Hebelprodukt „Perpetuals V2" konnte hingegen kein expliziter, prominent platzierter Hinweis auf das Liquidations- bzw. Totalverlustrisiko gefunden werden — ein Punkt, der bei einem Hebelprodukt, das erfahrungsgemäß unerfahrene Nutzer anzieht, eigentlich zu erwarten wäre. Dieser Bereich wurde in der zugrundeliegenden Recherche nur von einer einzelnen Perspektive geprüft und ist entsprechend vorsichtig zu werten — als offener Punkt, nicht als abschließend bestätigtes Fehlen.

Für die Nutzung des Perpetuals-Produkts und für den Handel mit tokenisierten Aktien gilt das in Kapitel 2 beschriebene Geoblocking ^[Q7]; für den einfachen Swap, für Liquiditätspools und Farming griff dieses Geoblocking im Test nicht.

6. Selbstverwahrung: Deine Coins, Deine Verantwortung

Ein zentrales, in den Nutzungsbedingungen ausdrücklich festgehaltenes Merkmal von PancakeSwap ist die Selbstverwahrung (Non-Custodial, Definition: der Anbieter hat zu keinem Zeitpunkt Zugriff oder Kontrolle über die Coins des Nutzers) ^[Q8]. Coins verlassen die eigene Wallet nur für die Dauer der eigentlichen Tauschtransaktion und kehren danach — bzw. als getauschter Coin — sofort wieder dorthin zurück. Es gibt keinen Zwischenschritt, bei dem PancakeSwap selbst die Coins „hält".

Das ist strukturell ein Vorteil gegenüber zentralen Börsen: Ein klassisches Risiko wie der Ausfall oder die Insolvenz eines Börsenbetreibers, bei dem Kundengelder eingefroren oder verloren sind, entfällt bei einer DEX praktisch komplett — es gibt schlicht keine zentrale Stelle, die insolvent gehen könnte. Aus demselben Grund ist die sonst geprüfte Frage „coin_abhebung" (kann ich meine Coins jederzeit abheben?) bei einer DEX gegenstandslos: Es gibt nichts abzuheben, weil die Coins nie wirklich „bei" PancakeSwap liegen.

Die Kehrseite dieser Konstruktion: Jede Verantwortung, die bei einer zentralen Börse beim Anbieter läge, liegt bei einer DEX vollständig beim Nutzer selbst. Verliert man den privaten Schlüssel (Private Key, Definition: das geheime Passwort, das Zugriff auf eine Wallet gibt) oder die Seed-Phrase (Definition: eine Wortfolge, aus der sich alle Schlüssel einer Wallet wiederherstellen lassen), gibt es keine Stelle, die ein Konto zurücksetzt oder ein Passwort erneuert. Verschickt man Coins an eine falsche Adresse, gibt es keine Rückbuchung. Genehmigt man einer betrügerischen Webseite versehentlich Zugriff auf die eigene Wallet (etwa über eine sogenannte „Approval"-Transaktion), können Coins vollständig und unwiderruflich abfließen — ohne jede Widerspruchsmöglichkeit.

Genau dieser Übergabepunkt zwischen „dezentralem Vertrag" und „zentral kontrollierter Webseite" ist historisch auch bei PancakeSwap bereits einmal ausgenutzt worden: Am 15.03.2021 wurde das Frontend über ein kompromittiertes GoDaddy-Konto (den Domain-Registrar) per DNS-Hijack (Definition: Umleitung der Webadresse auf eine gefälschte Kopie der Seite) angegriffen. Nutzer, die zu diesem Zeitpunkt die Seite besuchten, wurden mit Phishing-Aufforderungen konfrontiert, ihre Seed-Phrase einzugeben. Seit diesem Vorfall wurde kein vergleichbarer Angriff auf das PancakeSwap-Frontend dokumentiert. Der Vorfall betraf ausdrücklich die Webseite, nicht die Smart Contracts selbst, die während des gesamten Vorfalls unverändert und funktionsfähig blieben.

Für Nutzer bedeutet Selbstverwahrung praktisch: Hardware-Wallet statt Browser-Wallet für größere Beträge erwägen, die tatsächliche URL vor jeder Transaktion prüfen (Lesezeichen statt Suchmaschinen-Ergebnis nutzen), und Token-Genehmigungen (Approvals) regelmäßig über ein Approval-Checker-Tool überprüfen und nicht mehr benötigte Freigaben widerrufen.

7. Steuer bei DeFi-Nutzung in Deutschland

Für in Deutschland steuerpflichtige Personen gilt: Jeder Swap auf PancakeSwap — also der Tausch eines Coins gegen einen anderen — ist steuerlich eine Veräußerung im Sinne von § 23 Abs. 1 Satz 1 Nr. 2 Einkommensteuergesetz (EStG, private Veräußerungsgeschäfte), direkt am Gesetzestext nachvollziehbar ^[Q20]. Es gilt die einjährige Spekulationsfrist (Definition: Zeitraum zwischen Kauf und Verkauf, innerhalb dessen ein Gewinn steuerpflichtig bleibt): Liegen zwischen Erwerb und Tausch eines Coins mehr als ein Jahr, bleibt ein Gewinn steuerfrei; erfolgt der Tausch innerhalb eines Jahres, ist der Gewinn grundsätzlich steuerpflichtig.

Eine früher kursierende „Zehn-Jahres-Falle" — die Annahme, dass Staking oder Verleihen (Lending) von Coins die Spekulationsfrist automatisch auf zehn Jahre verlängert — wurde durch ein Schreiben des Bundesministeriums der Finanzen (BMF) vom 10.05.2022 ausdrücklich verworfen und durch ein Aktualisierungsschreiben vom 06.03.2025 (dem Aktenzeichen IV C 1 - S 2256/00042/064/043 zugeordnet) bekräftigt ^[Q19]. Es bleibt also für Staking, Lending und ähnliche Vorgänge bei der regulären einjährigen Frist. Wichtiger Hinweis zur Beleglage: Der Volltext beider BMF-Schreiben ließ sich in der zugrundeliegenden Recherche nicht direkt abrufen (die Seiten des Bundesfinanzministeriums sind gegen automatisierte Zugriffe geschützt); die genannten Daten und das Aktenzeichen stützen sich auf konsistente Sekundärquellen, nicht auf eine eigene Volltextprüfung am Original.

Für steuerpflichtige Veräußerungsgewinne aus § 23 EStG gilt seit dem Steuerjahr 2024 eine Freigrenze von 1.000 Euro pro Jahr (angehoben von zuvor 600 Euro durch das Wachstumschancengesetz) ^[Q20]. Freigrenze bedeutet: Wird dieser Betrag auch nur um einen Euro überschritten, ist der gesamte Gewinn steuerpflichtig, nicht nur der übersteigende Teil.

Erträge aus Farming (also die zusätzlichen CAKE-Belohnungen, die man für das Bereitstellen von Liquidität erhält) werden nach vorliegenden Sekundärquellen als sonstige Einkünfte nach § 22 Nr. 3 EStG eingeordnet, bewertet zum Marktkurs im Zeitpunkt des Zuflusses, mit einer separaten Freigrenze von 256 Euro pro Jahr. Dieser Punkt ist in der Recherche nur einfach belegt (eine Quelle, keine eigene Primärtextprüfung) und sollte entsprechend mit Vorsicht behandelt werden.

Für das Ein- und Auszahlen in bzw. aus einem Liquiditätspool (LP) gibt es in der Fachliteratur eine überwiegende, aber nicht amtlich im Volltext bestätigte Praxisauffassung: Der Vorgang wird meist selbst als Tauschgeschäft (und damit als potenziell steuerpflichtige Veräußerung) gewertet, weil man dabei üblicherweise LP-Token als Gegenwert erhält bzw. zurückgibt. Eine explizite BMF-Aussage speziell zu LP-Token-Vorgängen wurde in der Recherche nicht gefunden. Dieser Punkt bleibt daher als „herrschende Praxisauffassung, nicht amtlich bestätigt" zu kennzeichnen.

Praktische Konsequenz für Nutzer: Wer auf PancakeSwap aktiv tauscht, Liquidität bereitstellt oder Farming betreibt, sollte jede einzelne dieser Aktionen protokollieren (Zeitpunkt, Kurswert, beteiligte Coins) — ein PancakeSwap-eigenes Steuerreporting existiert erwartungsgemäß nicht (die Prüffrage „steuerreport" ist bei einer DEX strukturell n/a), sodass die gesamte Dokumentationslast beim Nutzer selbst bzw. bei einer externen Krypto-Steuersoftware liegt.

8. Governance: Wer kontrolliert Protokoll und Frontend?

PancakeSwap bewirbt sich als dezentrales Protokoll mit Community-Governance über den CAKE-Token. Seit dem Update „Tokenomics 3.0" (April/Mai 2025) gilt formal „ein CAKE = eine Stimme", ohne dass Token für ein Stimmrecht gelockt (fest eingeschlossen) werden müssen ^[Q4][Q5]. Das ist demokratischer als das vorherige veCAKE-System, bei dem länger gelockte Token überproportional mehr Stimmgewicht hatten.

Entscheidend für die tatsächliche Machtverteilung ist jedoch eine Einschränkung, die in der offiziellen Governance-Dokumentation selbst steht: Nur das Kernteam („Core Team") darf bindende „Core Proposals" (verbindliche Vorschläge) einreichen ^[Q4]. Community-Mitglieder können zwar über die Governance-Plattform Vorschläge einbringen und abstimmen, diese sind jedoch ausdrücklich unverbindlich (nicht bindend) für das Protokoll. Zusätzlich behält sich das Kernteam ein Notfall-Eingriffsrecht vor, das ohne vorherige Abstimmung ausgeübt werden kann. Das bedeutet: Die Abstimmungsmechanik selbst wurde demokratisiert, die exekutive Entscheidungsmacht — wer überhaupt etwas verbindlich zur Abstimmung stellen darf und wer im Notfall eingreifen kann — bleibt beim Kernteam konzentriert.

Auf technischer Ebene zeigt sich ein ähnliches Bild bei den administrativen Rechten der Smart Contracts selbst. Eine eigene, direkte On-Chain-Prüfung der Mint-Berechtigung (Definition: das Recht, neue Token zu erzeugen) des CAKE-Tokens ergab folgende Kontrollkette: Der CAKE-Token-Contract (Adresse 0x0E09FaBB…1cE82) wird vom sogenannten „Main Staking Contract" (MasterChef, Adresse 0x73feAA1e…9E24E) kontrolliert; dessen eigene Kontrolle wiederum liegt bei einem Vertrag namens „MigrationHelper" (Adresse 0x6E85689f…9daFd5); und die Kontrolle über diesen letzten Vertrag liegt schließlich bei einem Gnosis-Safe-Multisig (Definition: eine Wallet, die erst dann Transaktionen ausführt, wenn eine Mindestanzahl mehrerer hinterlegter Schlüssel zustimmt) mit einer Schwelle von 3 von 7 Unterzeichnern. Diese konkrete Kontrollkette ließ sich in dieser Prüfung nur einfach, nicht durch einen zweiten unabhängigen technischen Zugriff bestätigen — ein eigener Verifizierungsversuch scheiterte an den verfügbaren Werkzeugen (kein Zugriff auf rohe JSON-RPC-Aufrufe gegen einen BNB-Chain-Knoten möglich).

Eine 3-von-7-Schwelle ist ein solider, aber kein Höchstsicherheits-Standard: Sie liegt unterhalb einer Mehrheitsschwelle von über 50 Prozent der Signer, und die Identität der sieben Unterzeichner ist nicht öffentlich unter Klarnamen bekannt — es bleibt also unklar, wie unabhängig diese sieben Personen bzw. Institutionen tatsächlich voneinander agieren.

Wichtig zur Einordnung: Diese 3-von-7-Absicherung gilt nachweislich nur für das CAKE-Mint-Recht — die wichtigste Einzelfunktion des gesamten Protokolls. Für andere administrative Funktionen ist die Absicherung deutlich weniger klar: Bei der Parameterhoheit des MasterChefV2-Vertrags (also wer über Pool-Gewichtungen und Emissionsraten für das Farming entscheidet) fand sich im Vertragscode kein erkennbarer Timelock- oder Multisig-Zwang, und die Identität des kontrollierenden Owners blieb ungeklärt. Ebenso ungeklärt blieb die Kontrolle über die Rolle „feeToSetter" der V2-Factory (die Person oder Institution, die über die Gebührenverteilung im V2-System entscheiden kann) — auch hier ist unklar, ob dahinter eine Einzel-Wallet, ein Multisig oder ein Timelock-Mechanismus steht.

Die auf der Docs-Seite formulierte Eigenaussage, „the chefs use multisig for all contracts" (die Entwickler nutzen für alle Verträge eine Multisig-Absicherung), ist damit nur für den Kern-Token nachweisbar bestätigt, nicht aber für jede einzelne Komponente des Protokolls unabhängig verifiziert.

Beim Frontend — also der eigentlichen Webseite pancakeswap.finance, über die praktisch alle Nutzer mit den Verträgen interagieren — ist die Betreiberfrage noch ungeklärter als bei den Verträgen selbst. Es gibt keinen im üblichen Sinn identifizierbaren Rechtsträger. Eine Firma mit passendem Namen, „PANCAKESWAP LIMITED" (UK Companies House, Registernummer 13599505), taucht zwar im britischen Handelsregister auf, mit Sitz in South Croydon und einem einzelnen, chinesisch registrierten Director ^[Q14] — die Umstände (ein für ein Milliarden-TVL-Protokoll ungewöhnlich unauffälliger Massensitz, ein widersprüchlicher Auflösungsstatus im Register) sprechen jedoch eher dafür, dass es sich um einen reinen Namens-Trittbrettfahrer handelt als um den tatsächlichen Betreiber des Frontends. Wer also tatsächlich Server, Domain und Deployment der Webseite kontrolliert, bleibt im eigentlichen Sinne unbekannt.

Insgesamt zeigt dieses Kapitel: Governance-Konzentration bei PancakeSwap ist real, sitzt aber weniger in der Token-Stimmengewichtung (die inzwischen fair verteilt ist) als in der exekutiven Kontrolle — wer Vorschläge verbindlich einbringen darf, wer im Notfall eingreifen kann, wer den kritischsten Vertrag über eine Multisig kontrolliert, und wer die Webseite betreibt, auf der fast alle Nutzer tatsächlich handeln.

9. Stärken und Schwächen — unser Gesamt-Verdikt

Stärken:

• Eine der größten und am längsten laufenden DEX im Krypto-Bereich, mit TVL von rund 2 Milliarden US-Dollar und Aktivität auf elf Blockchains ^[Q1].
• Breite, über mehrere Jahre gewachsene Audit-Abdeckung durch verschiedene, teils konkurrierende Prüffirmen ^[Q3].
• Kein dokumentierter erfolgreicher Angriff auf die Kernverträge selbst; historische Exploit-Meldungen unter dem Namen „PancakeSwap" betreffen nachweislich ein separates Projekt (PancakeBunny) ^[Q11].
• Echte Selbstverwahrung: Coins verbleiben durchgehend in der Nutzer-Wallet, kein Emittenten- oder Insolvenzrisiko eines Anbieters ^[Q8].
• Reale Swap-Kosten bei liquiden Paaren gering — im gemessenen Beispiel unter 0,1 Prozent Gesamtkosten inklusive Gas.
• Aktives Bug-Bounty-Programm über Immunefi als zusätzliche Sicherheitsebene ^[Q9].
• Kostenloser, wenn auch opt-in-basierter MEV-Schutz über einen speziellen RPC-Endpunkt verfügbar ^[Q6].
• Kein Geoblocking für DE/EU-Nutzer beim einfachen Swap; kein Treffer in BaFin- oder ESMA-Warnregistern ^[Q15][Q16].

Schwächen:

• Die MiCA-Einordnung bleibt ungeklärt, mit begründeten Zweifeln, ob PancakeSwap den strengen „vollständig dezentral"-Test der EU-Aufsichtsbehörden bestehen würde ^[Q17].
• Zentrale administrative Kontrolle ist ungleichmäßig verteilt: solide 3-von-7-Multisig für das CAKE-Mint-Recht, aber ungeklärte oder augenscheinlich schwächer abgesicherte Kontrolle bei anderen Vertragsfunktionen (MasterChefV2-Parameter, V2-Factory-Gebührenrolle).
• Kein identifizierbarer, glaubwürdiger Rechtsträger für das Frontend; die einzige passend benannte Firma wirkt wie ein Namens-Trittbrettfahrer statt echter Betreiber ^[Q14].
• Historischer Frontend-Angriff (DNS-Hijack 2021) zeigt, dass die Webseite selbst — trotz dezentraler Verträge — ein zentraler Angriffspunkt bleibt.
• Governance-Vorschläge der Community sind unverbindlich; nur das Kernteam kann bindende Vorschläge einreichen, plus ein Notfall-Eingriffsrecht ohne Votum ^[Q4].
• Standard-Slippage-Toleranz bis zu 5 Prozent und nur opt-in aktivierbarer MEV-Schutz erhöhen das Risiko unbemerkt schlechter Handelsausführung für unerfahrene Nutzer.
• Permissionless-Listing öffnet strukturell die Tür für Scam-Token und Rugpulls — ohne jede Vorprüfung durch das Protokoll selbst.
• Steuerliche Behandlung von Swaps, Farming und LP-Vorgängen erfordert vollständige Eigendokumentation; es existiert kein integriertes Reporting.

Gesamt-Verdikt: GELB. PancakeSwap ist technisch eine der am gründlichsten geprüften und am längsten bewährten DEX am Markt, ohne dokumentierten Hack der eigenen Kernverträge. Gleichzeitig zeigt eine genauere Prüfung, dass die Selbstbeschreibung als „dezentrales Protokoll" an mehreren Stellen — Governance-Vetorecht, ungleichmäßig abgesicherte Admin-Funktionen, unklare Frontend-Betreiberschaft — differenzierter ausfällt, als das Marketing suggeriert. Für erfahrene Nutzer, die Selbstverwahrung, MEV-Schutz und Steuerdokumentation selbst im Griff haben, ist das Protokoll technisch solide nutzbar. Für Einsteiger, die die Feinheiten von Slippage, Approvals und Wallet-Sicherheit nicht überblicken, ist das Risiko real und wird durch keine externe Instanz abgefedert.

10. Was wir gerne gewusst hätten — und nicht gefunden haben

• Den genauen Wortlaut von MiCA-Erwägungsgrund 22 im Original — der Zugriff auf die entsprechende EUR-Lex-Seite blieb technisch blockiert, sowohl in der ursprünglichen Recherche als auch bei einem eigenen erneuten Versuch ^[Q18].
• Eine zweite, unabhängige technische Bestätigung der gefundenen Kontrollkette CAKE-Token → MasterChef → MigrationHelper → 3-von-7-Gnosis-Safe. Der Fund stammt aus einer einzelnen direkten On-Chain-Abfrage und konnte mit den in dieser Prüfung verfügbaren Werkzeugen nicht redundant reproduziert werden.
• Die exakte prozentuale Aufteilung der V2-Handelsgebühr zwischen Treasury-Anteil und CAKE-Burn-Anteil — die entsprechende Dokumentationsseite lieferte bei wiederholtem Abruf keine auslesbare Tabelle.
• Die tatsächliche Identität bzw. Kontrollform (Einzel-Wallet, Multisig oder Timelock) hinter dem Owner von MasterChefV2 und der „feeToSetter"-Rolle der V2-Factory.
• Eine belastbare Zahl zur tatsächlichen Konzentration von Stimmrechten unter den CAKE-Governance-Teilnehmern — also wie viele Adressen wie viel Stimmgewicht auf sich vereinen.
• Eine explizite Aussage des Bundesministeriums der Finanzen im Volltext zur steuerlichen Behandlung von LP-Token speziell — nur die allgemeine Praxisauffassung, nicht der Originaltext, war zugänglich.
• Den vollständigen Wortlaut der Nutzungsbedingungen für das Kern-AMM-Produkt (Swap/LP) — direkt zitierbar war zuverlässig nur der Abschnitt zu den Perpetuals.
• Eine formelle Einzelfallentscheidung von BaFin oder ESMA zu PancakeSwap. Deren Fehlen selbst ist dabei nur als Negativrecherche zu werten (kein Treffer in durchsuchbaren Registern), nicht als Beweis für eine abschließende behördliche Prüfung, da das ESMA-Register dynamisch nachlädt und nicht vollständig auslesbar war.

11. Quellen

^[Q1] DefiLlama Protocol-API (TVL-Daten PancakeSwap). https://api.llama.fi/protocol/pancakeswap — Abgerufen am 22.07.2026.

^[Q2] DefiLlama Fees-API (Gebühren-Daten PancakeSwap). https://api.llama.fi/summary/fees/pancakeswap — Abgerufen am 22.07.2026.

^[Q3] PancakeSwap Docs — Audits. https://docs.pancakeswap.finance/welcome-to-pancakeswap/audits.md — Abgerufen am 22.07.2026.

^[Q4] PancakeSwap Docs — Voting/Governance. https://docs.pancakeswap.finance/protocol/voting.md — Abgerufen am 22.07.2026.

^[Q5] PancakeSwap Docs — veCAKE Sunset (Archiv). https://docs.pancakeswap.finance/welcome-to-pancakeswap/vecake-sunset/archive-vecake.md — Abgerufen am 22.07.2026.

^[Q6] PancakeSwap Docs — MEV Guard. https://docs.pancakeswap.finance/trading-tools/pancakeswap-mev-guard.md — Abgerufen am 22.07.2026.

^[Q7] PancakeSwap Docs — Perpetuals FAQ (Geoblocking-Liste). https://docs.pancakeswap.finance/trade/perpetual-trading/perpetuals-trading-new/perpetual-trading-faq — Abgerufen am 22.07.2026.

^[Q8] PancakeSwap — Nutzungsbedingungen (Terms of Service). https://pancakeswap.finance/terms-of-service — Abgerufen am 22.07.2026.

^[Q9] Immunefi — Bug-Bounty-Programm PancakeSwap. https://immunefi.com/bug-bounty/pancakeswap/ — Abgerufen am 22.07.2026.

^[Q10] CertiK Skynet — PancakeSwap-Sicherheitsscore. https://skynet.certik.com/projects/pancakeswap — Abgerufen am 22.07.2026.

^[Q11] rekt.news — Leaderboard der DeFi-Exploits. https://rekt.news/leaderboard/ — Abgerufen am 22.07.2026.

^[Q12] BscScan — CAKE-Token-Contract (0x0E09FaBB73Bd3Ade0a17ECC321fD13a19e81cE82). https://bscscan.com/address/0x0E09FaBB73Bd3Ade0a17ECC321fD13a19e81cE82 — Abgerufen am 22.07.2026.

^[Q13] BscScan — Gas Tracker (BNB Chain). https://bscscan.com/gastracker — Abgerufen am 22.07.2026.

^[Q14] UK Companies House — Firmenprofil „PANCAKESWAP LIMITED", Registernummer 13599505. https://find-and-update.company-information.service.gov.uk/company/13599505 — Abgerufen am 22.07.2026.

^[Q15] BaFin — Expertensuche, Suchbegriff „PancakeSwap". https://www.bafin.de/SiteGlobals/Forms/Suche/Expertensuche/Servicesuche_Formular.html?templateQueryString=PancakeSwap — Abgerufen am 22.07.2026.

^[Q16] ESMA — Register nicht-konformer Anbieter nach Art. 110 MiCA. https://registers.esma.europa.eu/publication/searchRegister?core=esma_registers_mica_ncnp — Abgerufen am 22.07.2026.

^[Q17] EBA/ESMA — Joint Report zu MiCA und Dezentralisierung, 13.01.2025 (ESMA75-453128700-1391 / EBA/Rep/2025/01) — Abgerufen am 22.07.2026.

^[Q18] EUR-Lex — MiCA-Verordnung (EU) 2023/1114, Volltext (Zugriff auf Erwägungsgrund 22 technisch blockiert). https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32023R1114 — Abgerufen am 22.07.2026.

^[Q19] Bundesministerium der Finanzen — BMF-Schreiben zur ertragsteuerlichen Behandlung von Kryptowerten, 10.05.2022, aktualisiert 06.03.2025 (Az. IV C 1 - S 2256/00042/064/043; nur Metadaten verifiziert, kein Volltextzugriff). bundesfinanzministerium.de — Abgerufen am 22.07.2026.

^[Q20] § 23 Einkommensteuergesetz (EStG) — Private Veräußerungsgeschäfte. https://www.gesetze-im-internet.de/estg/__23.html — Abgerufen am 22.07.2026.