S&P Global übernimmt OpenZeppelin: Ratingriese drängt in Smart-Contract-Sicherheit

Laut übereinstimmenden Berichten von CoinDesk und Decrypt hat S&P Global — die Ratingagentur, die seit Jahrzehnten Anleihen und Unternehmen bewertet — am 17. September 2026 vereinbart, das Krypto-Sicherheitsunternehmen OpenZeppelin zu übernehmen. OpenZeppelin prüft den Programmcode hinter Krypto-Anwendungen auf Schwachstellen, bevor er live geht. Für Anleger und Finanzinstitute in Deutschland ist das ein deutliches Signal: Traditionelle Finanzinfrastruktur beginnt, auch die technische Ebene digitaler Vermögenswerte systematisch unter die Lupe zu nehmen.

Was S&P Global mit OpenZeppelin plant — und was der Deal konkret umfasst

Laut übereinstimmenden Berichten von S&P Global Acquires OpenZeppelin in Tokenized Finance Risk Push (CoinDesk) und S&P Global to Acquire Crypto Security Firm OpenZeppelin (Decrypt) wurde am 17. September 2026 eine Übernahme-Vereinbarung bekanntgegeben — der Abschluss steht noch unter üblichen Abschlussbedingungen. Finanzielle Details wurden nicht offengelegt; S&P Global erwartet laut beiden Quellen keinen wesentlichen Einfluss auf seine eigenen Finanzergebnisse.

OpenZeppelin, 2015 gegründet, ist vor allem für seine Open-Source-Bibliothek bekannt — eine Art Baukasten aus geprüften Codebausteinen, auf den Entwickler zurückgreifen, wenn sie Krypto-Anwendungen bauen. Durch diese Bibliothek floss laut beiden Medien Wertvolumen von über 37 Billionen US-Dollar — gemeint ist der durch die Bausteine verarbeitete Transaktionswert, kein verwaltetes Vermögen. Dazu hat das Unternehmen mehr als 900 Smart-Contract-Audits — unabhängige Sicherheitsprüfungen von Programmcode — durchgeführt und dabei über 10.000 Schwachstellen aufgespürt, bevor der jeweilige Code in Betrieb ging.

OpenZeppelin bleibt nach dem geplanten Abschluss eine eigenständige Einheit unter eigenem Namen. Mitgründer und CEO Demian Brener führt das Unternehmen weiter und berichtet künftig an Yann Le Pallec, President von S&P Global Ratings.

Wenn die Ratingagentur den Code liest: Was dieser Schritt wirklich bedeutet

Bisher endete die Arbeit einer Ratingagentur an der Frage: Ist dieser Emittent kreditwürdig? Bei tokenisierten Produkten — also Fonds, Anleihen oder Währungen, die als digitale Token auf einer Blockchain existieren — reicht diese Frage allein nicht mehr. Denn selbst ein solides Unternehmen kann einen Smart Contract herausgeben, der einen Programmierfehler enthält und dadurch Gelder gefährdet. Genau diese Lücke versucht S&P Global mit der Übernahme zu schließen.

Das ist analytisch neu: Nicht nur wer hinter einem Produkt steht, soll bewertet werden, sondern auch wie der zugrundeliegende Code gebaut ist. Für deutsche Banken, Fondsgesellschaften oder Versicherer, die sich mit tokenisierten Wertpapieren beschäftigen, könnte das mittelfristig bedeuten, dass externe Code-Sicherheitsurteile Teil der Due-Diligence-Dokumentation werden — ähnlich wie heute Kredit- oder Nachhaltigkeitsratings.

Gleichzeitig sollte man die Einschränkungen klar benennen: Ein Sicherheitsaudit bescheinigt, dass kein bekannter Fehler zum Prüfzeitpunkt vorlag — er ist keine Garantie gegen künftige Angriffe oder unentdeckte Lücken. Und S&P Globals Einstieg macht den Markt für Code-Prüfungen nicht automatisch standardisiert oder regulatorisch verbindlich. Solange europäische Aufsichtsbehörden keine konkreten Anforderungen an technische Audits für tokenisierte Produkte formulieren, bleibt das zunächst ein freiwilliges Qualitätsmerkmal.

Was dieser Deal jedoch unmissverständlich zeigt: Krypto-Infrastruktur ist für große Finanzdienstleister kein Randthema mehr.

Wenn Ratingagenturen auf Krypto-Code treffen: zwei Welten, ein gemeinsames Risikoproblem

S&P Global ist eine der drei großen Ratingagenturen weltweit — Unternehmen und Staaten erhalten dort Bonitätsnoten, die Investoren als Risikomaßstab nutzen. OpenZeppelin hingegen kommt aus einer ganz anderen Welt: Das 2015 gegründete Unternehmen hat sich auf die Sicherheit von Smart Contracts spezialisiert — also selbst ausführenden Verträgen, die auf einer Blockchain laufen und Regeln automatisch umsetzen, ohne Mittelsmänner.

Das Kernprodukt von OpenZeppelin ist dabei zweigeteilt: eine weit verbreitete Open-Source-Bibliothek mit geprüften Code-Bausteinen, die Entwickler in eigene Projekte einbauen können, sowie ein Audit-Dienst — die systematische Prüfung von Code auf Sicherheitslücken vor dem Launch. Letztere ähnelt konzeptionell einer Due-Diligence-Prüfung, wie sie aus dem klassischen Finanzbereich bekannt ist, nur dass hier nicht Bilanzen, sondern Programmcode unter die Lupe genommen wird.

Häufige Fragen

Quellen

• CoinDesk
• Decrypt