Finanzaufsichtsrecht und BaFin-Erlaubnisse

Finanzaufsichtsrecht in Deutschland: die kurze Antwort

Das Finanzaufsichtsrecht in Deutschland beginnt mit einer Frage: Ist die Tätigkeit erlaubnispflichtig? Wer im Inland gewerbsmäßig oder in einem Umfang, der einen in kaufmännischer Weise eingerichteten Geschäftsbetrieb erfordert, Bankgeschäfte betreiben oder Finanzdienstleistungen erbringen will, bedarf der schriftlichen Erlaubnis (§ 32 Abs. 1 Kreditwesengesetz, KWG).

Parallele Erlaubnisregime gelten für Wertpapierinstitute nach dem Wertpapierinstitutsgesetz (WpIG), für Zahlungs- und E-Geld-Institute nach dem Zahlungsdiensteaufsichtsgesetz (ZAG), für Fondsverwalter nach dem Kapitalanlagegesetzbuch (KAGB), für Versicherer nach dem Versicherungsaufsichtsgesetz (VAG) und für Kryptowerte-Dienstleister nach der EU-Verordnung über Märkte für Kryptowerte (MiCAR) und dem Kryptomärkteaufsichtsgesetz (KMAG). Wer erlaubnispflichtige Geschäfte ohne Erlaubnis betreibt, macht sich strafbar (§ 54 KWG). Die Prüfung der Erlaubnispflicht steht deshalb am Anfang jedes Vorhabens, das im Finanzaufsichtsrecht relevant sein könnte, und sollte erfolgen, bevor erste Kunden angesprochen werden.

Nach Erteilung der Erlaubnis unterliegen Institute der laufenden Aufsicht: Kapital- und Liquiditätsanforderungen, Governance und Risikomanagement, Steuerung von Auslagerungen, IKT und operationelle Resilienz, Meldewesen, Prüfungen, Inhaberkontrolle und Wohlverhaltensregeln. Aufsichtsbehörden sind die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin), die Deutsche Bundesbank und, für bedeutende Banken im Euroraum, die Europäische Zentralbank (EZB). Diese Seite erläutert die Erlaubnisregime, das Antragsverfahren, das Inhaberkontrollverfahren, die zentralen organisatorischen Anforderungen einschließlich MaRisk und der Verordnung über die digitale operationale Resilienz (DORA) sowie die Durchsetzung.

Sie richtet sich an Banken, Wertpapierinstitute, Zahlungsinstitute, Fondsverwalter und deren Eigentümer, an Unternehmen aus anderen Branchen, die in Finanzdienstleistungen einsteigen, und an ausländische Unternehmen, die deutsche Kunden bedienen wollen. Fintech- und Krypto-Geschäftsmodelle behandeln wir ausführlicher auf unserer Seite zu Fintech, Zahlungsverkehr und Kryptowerten, die Fondsregulierung auf der Seite zu Investmentfonds und Asset Management.

Erlaubnisregime im Finanzaufsichtsrecht

Das deutsche Finanzaufsichtsrecht definiert erlaubnispflichtige Tätigkeiten im Einzelnen. Das KWG zählt Bankgeschäfte auf, etwa das Einlagen-, Kredit-, Finanzkommissions-, Depot- und Garantiegeschäft, sowie Finanzdienstleistungen, etwa Anlageberatung, Platzierung, Finanzportfolioverwaltung, Factoring und Finanzierungsleasing. Seit Inkrafttreten des WpIG erhalten die meisten Wertpapierinstitute, die keine Banken sind, ihre Erlaubnis nach § 15 WpIG statt nach dem KWG, mit einem verhältnismäßigen Regime auf Grundlage der EU-Verordnung und der EU-Richtlinie über Wertpapierfirmen. Zahlungsdienste und das E-Geld-Geschäft werden nach §§ 10 und 11 ZAG erlaubt, die die zweite Zahlungsdiensterichtlinie und die E-Geld-Richtlinie umsetzen.

Ob ein Erlaubnistatbestand erfüllt ist, ist häufig eine Auslegungsfrage. Die Kreditvergabe an deutsche Kreditnehmer, die Vermittlung von Finanzierungen, eingebettete Zahlungen auf einer Plattform oder das Halten von Kundengeldern können je nach Ausgestaltung erlaubnispflichtig sein. Die BaFin veröffentlicht zu vielen Tätigkeiten Merkblätter, und Unternehmen können bei der BaFin eine verbindliche Einschätzung beantragen, ob ihr Modell erlaubnispflichtig ist. Ausnahmen bestehen für bestimmte gruppeninterne Tätigkeiten, für manche Nebentätigkeiten von Unternehmen außerhalb des Finanzsektors sowie für begrenzte Netze und Handelsvertreter im Zahlungsverkehr. Ob eine solche Ausnahme greift, hängt von Einzelheiten der Vertragsgestaltung und der tatsächlichen Abläufe ab, die sorgfältig dokumentiert werden sollten.

Grenzüberschreitende Dienstleistungen nach Deutschland

Unternehmen mit einer Erlaubnis in einem anderen Staat der EU oder des EWR können ihre Dienstleistungen in Deutschland nach einem Anzeigeverfahren über ihre Heimataufsicht im Rahmen des Europäischen Passes erbringen, entweder grenzüberschreitend oder über eine Zweigniederlassung. Unternehmen aus Drittstaaten, einschließlich des Vereinigten Königreichs seit dem Brexit und der Vereinigten Staaten, benötigen eine deutsche Erlaubnis oder eine Freistellung, um erlaubnispflichtige Geschäfte in Deutschland zu betreiben. Die BaFin vertritt die Auffassung, dass grenzüberschreitende Geschäfte im Inland betrieben werden, wenn sich der Anbieter gezielt an den deutschen Markt wendet, auch ohne physische Präsenz; die Ansprache deutscher Kunden aus dem Ausland kann daher die Erlaubnispflicht auslösen. Die passive Dienstleistungsfreiheit, bei der ein deutscher Kunde den ausländischen Anbieter ausschließlich aus eigener Initiative anspricht, wird eng ausgelegt.

Alternativen zur Vollerlaubnis

Nicht jeder neue Marktteilnehmer braucht vom ersten Tag an eine eigene Erlaubnis. Manche Geschäftsmodelle lassen sich als vertraglich gebundener Vermittler eines zugelassenen Wertpapierinstituts betreiben, das die aufsichtsrechtliche Verantwortung für die Tätigkeit des Vermittlers übernimmt, oder über eine Kooperation mit einer zugelassenen Bank, die die regulierte Leistung erbringt, während der Partner die Kundenschnittstelle stellt („Banking as a Service“). Zahlungsdienste können mitunter so strukturiert werden, dass sie unter Ausnahmen fallen, etwa für Handelsvertreter oder begrenzte Netze, die allerdings eng ausgelegt werden. Jede Alternative hat Folgen für die Kontrolle über die Kundenbeziehung, die Wirtschaftlichkeit und die Haftung, und die Partnerbank unterliegt selbst Anforderungen an Auslagerung und Geldwäscheprävention, die den Vertrag prägen. Wer eine solche Kooperation plant, sollte die Verteilung der aufsichtsrechtlichen Pflichten deshalb von Anfang an vertraglich klar regeln.

Der Erlaubnisantrag

Ein Erlaubnisantrag ist ein umfangreiches Projekt. Der Antragsteller muss ein angemessenes Anfangskapital nachweisen, mindestens zwei fachlich geeignete und zuverlässige Geschäftsleiter (für die meisten Institute gilt das Vier-Augen-Prinzip), einen schlüssigen Geschäftsplan mit Finanzplanung für die ersten Jahre, eine ordnungsgemäße Geschäftsorganisation einschließlich Risikomanagement, Compliance, Interner Revision und Geldwäscheprävention, eine IT-Strategie und einen DORA-konformen IKT-Risikorahmen sowie geeignete Inhaber bedeutender Beteiligungen. Die Unterlagen müssen nicht nur Richtlinien zeigen, sondern auch die Ressourcen, um sie umzusetzen. Die Aufsicht achtet besonders darauf, ob Personal, Systeme und Budget zum geplanten Geschäftsumfang passen und ob ausgelagerte Funktionen wirksam gesteuert werden können.

Die fachliche Eignung der Geschäftsleiter wird anhand theoretischer Kenntnisse und praktischer Erfahrungen im betreffenden Geschäft beurteilt, in der Regel einschließlich Leitungserfahrung in einem vergleichbaren Institut, ihre Zuverlässigkeit anhand strafrechtlicher und aufsichtlicher Auskünfte. Auch Mitglieder von Aufsichtsorganen müssen zuverlässig sein und die erforderliche Sachkunde besitzen. BaFin und Bundesbank führen in der Regel Vorgespräche vor der Antragstellung und stellen im Verfahren detaillierte Fragen. Realistische Zeitpläne reichen von mehreren Monaten für einfachere Erlaubnisse als Zahlungsinstitut oder Wertpapierinstitut bis zu erheblich längeren Zeiträumen für eine Vollbanklizenz, über die die EZB entscheidet.

Inhaberkontrolle und bedeutende Beteiligungen

Das Finanzaufsichtsrecht in Deutschland erfasst auch die Eigentümer von Instituten. Wer beabsichtigt, allein oder im Zusammenwirken mit anderen eine bedeutende Beteiligung an einem Institut zu erwerben, muss dies der BaFin und der Deutschen Bundesbank vorab anzeigen (§ 2c Abs. 1 KWG). Eine bedeutende Beteiligung ist eine qualifizierte Beteiligung im Sinne der Eigenmittelverordnung, im Wesentlichen 10 % oder mehr des Kapitals oder der Stimmrechte oder die Möglichkeit, einen maßgeblichen Einfluss auszuüben. Weitere Anzeigen sind erforderlich, wenn die Beteiligung 20 %, 30 % oder 50 % der Stimmrechte oder des Kapitals erreicht oder überschreitet oder wenn das Institut ein Tochterunternehmen wird. Vergleichbare Regime gelten nach WpIG, ZAG, KAGB und VAG. Das Finanzaufsichtsrecht erfasst damit auch mittelbare Erwerbe, etwa über eine Holdinggesellschaft, sodass Konzernumstrukturierungen ebenfalls anzeigepflichtig sein können.

Die Aufsicht prüft die Zuverlässigkeit des Erwerbers, seine finanzielle Solidität, die Herkunft der Mittel und ob der Erwerb eine wirksame Aufsicht beeinträchtigen oder das Risiko der Geldwäsche erhöhen könnte. Bei Banken im Euroraum entscheidet die EZB über den Erwerb qualifizierter Beteiligungen. Es gelten gesetzliche Beurteilungsfristen, und die Aufsicht kann den Erwerb untersagen. Erwerber sollten diese Fristen deshalb von Anfang an in ihre Transaktionsplanung einbeziehen. Bei M&A-Transaktionen mit Finanzinstituten ist die Freigabe im Inhaberkontrollverfahren daher eine Vollzugsbedingung, und die Anzeige muss detaillierte Angaben zur Gruppe, zu den Eigentümern und zu den Plänen des Erwerbers enthalten.

Käufer sollten zudem eine aufsichtsrechtliche Due Diligence der Zielgesellschaft durchführen: offene Prüfungsfeststellungen, laufende Aufsichtsmaßnahmen, den Stand der Auslagerungs- und IKT-Rahmenwerke und etwaige frühere unerlaubte Geschäfte, denn der Käufer übernimmt mit der Erlaubnis auch die aufsichtsrechtliche Vorgeschichte des Instituts. Unsere Seite zu Mergers & Acquisitions erläutert, wie solche Freigaben in den Transaktionszeitplan eingebaut werden.

Governance, MaRisk, Auslagerung und DORA

Institute müssen über eine ordnungsgemäße Geschäftsorganisation verfügen, die die Einhaltung der gesetzlichen Bestimmungen und der betriebswirtschaftlichen Notwendigkeiten gewährleistet, und die Geschäftsleiter sind dafür verantwortlich (§ 25a Abs. 1 KWG). Die BaFin konkretisiert diese Anforderungen in ihrem Rundschreiben zu den Mindestanforderungen an das Risikomanagement (MaRisk), das Risikostrategie, Risikotragfähigkeit, interne Kontrollverfahren, Risikocontrolling-, Compliance- und Revisionsfunktion, Neu-Produkt-Prozesse und Auslagerungen behandelt. Vergleichbare Rundschreiben gibt es für Wertpapierinstitute, Zahlungsinstitute und Fondsverwalter. Die Anforderungen werden nach Größe, Komplexität und Risikoprofil des Instituts verhältnismäßig angewandt.

Die Auslagerung von Aktivitäten und Prozessen, die für die Bankgeschäfte oder Finanzdienstleistungen wesentlich sind, erfordert angemessene Vorkehrungen, um übermäßige zusätzliche Risiken zu vermeiden; sie darf weder die Ordnungsmäßigkeit der Geschäfte noch die Steuerungs- und Kontrollmöglichkeiten der Geschäftsleitung noch die Prüfungs- und Kontrollrechte der BaFin beeinträchtigen (§ 25b KWG). Auslagerungsverträge müssen Informations-, Prüfungs- und Weisungsrechte, Kündigungsrechte und Ausstiegsstrategien enthalten, und wesentliche Auslagerungen sind anzuzeigen. In der Praxis betrifft das neben IT-Dienstleistungen häufig auch Funktionen wie Interne Revision, Geldwäscheprävention oder Kundenservice, deren Auslagerung sorgfältig gesteuert werden muss.

Die Verordnung über die digitale operationale Resilienz im Finanzsektor (Verordnung (EU) 2022/2554, DORA), die seit dem 17. Januar 2025 gilt, harmonisiert das IKT-Risikomanagement im gesamten Finanzsektor. Sie verlangt einen vom Leitungsorgan gebilligten Rahmen für das IKT-Risikomanagement, die Klassifizierung und Meldung schwerwiegender IKT-bezogener Vorfälle, Tests der digitalen operationalen Resilienz (mit bedrohungsorientierten Penetrationstests für ausgewählte Unternehmen), ein Management des IKT-Drittparteienrisikos einschließlich eines Informationsregisters über alle vertraglichen Vereinbarungen mit IKT-Dienstleistern sowie verpflichtende Vertragsbestimmungen. Kritische IKT-Drittdienstleister, etwa große Cloud-Anbieter, werden unmittelbar von den europäischen Aufsichtsbehörden überwacht. Für die Unternehmen in ihrem Anwendungsbereich hat DORA die bisherigen deutschen IT-spezifischen Rundschreiben weitgehend abgelöst. Für viele Institute bedeutete die Umstellung auf DORA eine umfassende Überarbeitung ihrer Verträge mit IT-Dienstleistern und ihrer internen Meldeprozesse.

Kapital, Liquidität und Meldewesen

Kreditinstitute unterliegen den aufsichtsrechtlichen Anforderungen der Eigenmittelverordnung und den deutschen Vorschriften zur Umsetzung der Eigenmittelrichtlinie: Mindesteigenmittel, Kapitalpuffer, Liquiditätsdeckungsquote und strukturelle Liquiditätsquote, Großkreditgrenzen und Verschuldungsquote. Wertpapierinstitute haben ein eigenes, verhältnismäßigeres Aufsichtsregime, und Zahlungsinstitute und Fondsverwalter müssen ein Anfangskapital und Eigenmittel vorhalten, die sich nach ihrem Geschäft richten. Das aufsichtliche Meldewesen gegenüber der Bundesbank ist umfangreich und muss aus verlässlichen Daten erstellt werden; Meldefehler sind eine häufige Prüfungsfeststellung und ein häufiger Anlass für Aufsichtsmaßnahmen. Investitionen in Datenqualität und klare Verantwortlichkeiten im Meldewesen zahlen sich deshalb regelmäßig aus.

Wohlverhaltensregeln und Kundenschutz

Über die aufsichtsrechtlichen Solvenzregeln hinaus umfasst das Finanzaufsichtsrecht in Deutschland Wohlverhaltensregeln zum Schutz der Kunden. Wertpapierinstitute und Banken, die Wertpapierdienstleistungen erbringen, müssen die in das Wertpapierhandelsgesetz umgesetzten MiFID-II-Regeln einhalten: Geeignetheits- und Angemessenheitsprüfung, Produktüberwachung, Zuwendungsregeln, bestmögliche Ausführung und Aufzeichnung von Telefongesprächen. Verbraucherkredite und Zahlungsdienste unterliegen detaillierten Informationspflichten nach dem BGB. Der Verbraucherschutzauftrag der BaFin erlaubt es ihr, gegen Praktiken vorzugehen, die Verbraucher kollektiv schädigen, und das Beschwerdemanagement ist selbst ein regulierter Prozess. Beschwerden sind für die Aufsicht zugleich eine wichtige Erkenntnisquelle über mögliche Schwachstellen eines Instituts.

Vergütung und interne Governance

Institute müssen Vergütungssysteme haben, die angemessen, transparent und auf eine nachhaltige Geschäftsstrategie ausgerichtet sind, mit zusätzlichen Regeln zu variabler Vergütung, Zurückbehaltung und Rückforderung für bedeutende Institute und Risikoträger. Die Anforderungen an die interne Governance betreffen auch Interessenkonflikte, die Zusammensetzung und Arbeit des Aufsichtsorgans sowie interne Hinweisgebersysteme, die Institute unabhängig von ihrer Beschäftigtenzahl vorhalten müssen. Auch diese Anforderungen gehören zum Kernbestand des Finanzaufsichtsrechts und werden bei Prüfungen regelmäßig betrachtet.

• Halten Sie das Auslagerungsregister und das DORA-Informationsregister konsistent.
• Testen Sie die Prozesse zur Klassifizierung und Meldung von Vorfällen, bevor ein Vorfall eintritt.
• Prüfen Sie Cloud- und IT-Verträge auf die verpflichtenden DORA-Klauseln, einschließlich Ausstiegsrechten.
• Dokumentieren Sie die Billigung des IKT-Risikorahmens durch das Leitungsorgan und dessen regelmäßige Überprüfung.

Aufsicht und Durchsetzung

Die laufende Aufsicht stützt sich auf das Meldewesen, die jährliche Prüfung durch externe Abschlussprüfer mit besonderer Berichterstattung über aufsichtsrechtliche Anforderungen, Aufsichtsgespräche und von der BaFin angeordnete Sonderprüfungen. Werden Mängel festgestellt, kann die BaFin Maßnahmen zu ihrer Beseitigung anordnen, Kapitalzuschläge festsetzen, Geschäfte beschränken, die Abberufung von Geschäftsleitern verlangen, einen Sonderbeauftragten zur Überwachung der Umsetzung bestellen und als letztes Mittel die Erlaubnis aufheben. Bußgelder können gegen Institute und Einzelpersonen verhängt werden, und die BaFin veröffentlicht die meisten bestandskräftigen Maßnahmen unter Nennung des Instituts auf ihrer Internetseite.

Unerlaubte Geschäfte werden konsequent verfolgt. Die BaFin kann die sofortige Einstellung und Abwicklung unerlaubter Geschäfte anordnen, einschließlich der Rückzahlung von Kundengeldern, und die Staatsanwaltschaft kann Anklage nach § 54 KWG erheben, der Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe vorsieht. Geschäftsleiter von Unternehmen, die unerlaubte Geschäfte betreiben, können Kunden zudem zivilrechtlich haften. Mängel in der Geldwäscheprävention werden nach dem Geldwäschegesetz verfolgt und sind häufig Gegenstand von Sonderprüfungen und Bußgeldern.

Das Finanzaufsichtsrecht in Deutschland wird zunehmend von EU-Institutionen geprägt. Die EU-Behörde zur Bekämpfung der Geldwäsche in Frankfurt baut ihre Aufsichtsfunktionen auf, und die europäischen Aufsichtsbehörden erlassen technische Standards und Leitlinien, die die BaFin anwendet. Unternehmen sollten die Entwicklungen auf EU-Ebene ebenso aufmerksam verfolgen wie die Veröffentlichungen der BaFin. Wer das Finanzaufsichtsrecht nur aus nationaler Perspektive betrachtet, übersieht leicht Änderungen, die unmittelbar aus Brüssel, Paris oder Frankfurt kommen. Für Krisensituationen beaufsichtigter Unternehmen erläutert unsere Seite zu Insolvenzverfahren den allgemeinen Rahmen; für Banken gilt ein gesondertes Abwicklungsregime.

Für Geschäftsleiter gewinnt die persönliche Verantwortlichkeit an Gewicht. Die Aufsicht erwartet, dass Geschäftsleiter die Risiken ihres Instituts kennen, Entscheidungen dokumentieren und auf Prüfungsfeststellungen reagieren. Geschäftsleiter, die schwerwiegende Mängel dulden, riskieren die Abberufung, den Ausschluss von künftigen Positionen und in manchen Fällen eine Strafverfolgung. Die Einhaltung des Finanzaufsichtsrechts ist damit auch persönliches Risikomanagement für die Geschäftsleitung.

So unterstützt TRW & Co

Wir beraten Banken, Wertpapierinstitute, Zahlungs- und E-Geld-Institute, Kryptowerte-Dienstleister, Fondsverwalter, deren Eigentümer und neue Marktteilnehmer im Finanzaufsichtsrecht in Deutschland. Wir prüfen, ob Geschäftsmodelle erlaubnispflichtig sind, und holen verbindliche Einschätzungen der BaFin ein, bereiten Erlaubnisanträge und Anzeigen im Inhaberkontrollverfahren vor und gestalten Governance-, Risikomanagement-, Auslagerungs- und DORA-Rahmenwerke. Wir prüfen und verhandeln IT- und Auslagerungsverträge auf ihre aufsichtsrechtliche Konformität, begleiten Institute bei Sonderprüfungen und Durchsetzungsverfahren und beraten zu aufsichtsrechtlichen Freigaben bei M&A-Transaktionen. Um eine aufsichtsrechtliche Frage zu besprechen, nehmen Sie Kontakt mit uns auf.