Das „ZAG“-Minenfeld: Warum Zahlungsdienstleister-Lizenzen in Deutschland die schwierigsten sind und wie man sich vorbereitet

Für internationale Fintechs ist die deutsche ZAG-Lizenz nicht nur eine regulatorische Hürde – sie ist ein operativer Stresstest, an dem viele Unternehmen lange vor Einreichung eines formellen Antrags scheitern. Zu verstehen, warum, ist die wertvollste Vorbereitung, die ein Gründer leisten kann.

Das Zahlungsdiensteaufsichtsgesetz (ZAG) – Deutschlands Umsetzung der EU-Zahlungsdiensterichtlinien – hat sich den Ruf eines der rigorosesten Regime der Zahlungsdiensteaufsicht in Europa erworben. Während EU-Richtlinien im Grundsatz auf Harmonisierung abzielen, unterscheiden sich die nationalen Umsetzungen in der Praxis erheblich, und die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) legt Standards an, die häufig deutlich über das EU-Minimum hinausgehen. Das Ergebnis ist ein regulatorisches Umfeld, in dem eine in einem anderen EU-Mitgliedstaat erworbene Zahlungsinstituts-Lizenz nicht ohne erhebliche Nachrüstung als deutschlandtauglich vorausgesetzt werden kann.

Dieser Artikel führt durch das ZAG-Regime in jener Tiefe, die ein ernsthafter Antragsteller benötigt: Geschichte und Anwendungsbereich, Lizenzkategorien und Kapitalanforderungen, Zuverlässigkeitsanforderungen an die Geschäftsleitung, Sicherungs- und Auslagerungsregeln, IT-Governance-Rahmen, das Zusammenspiel mit dem Geldwäscherecht, realistische Antragszeiträume, typische Fehler sowie strategische Alternativen für Gründer, die feststellen, dass eine vollständige ZAG-Lizenz noch nicht die richtige Wahl ist. Das Ziel: Gründer mit einem klaren Verständnis dessen auszustatten, wie der ZAG-Perimeter tatsächlich aussieht – und was es braucht, ihn erfolgreich zu überschreiten.

Eine kurze Geschichte: Von der PSD1 zum aktuellen Regime

Das ursprüngliche ZAG trat 2009 als deutsche Umsetzung der Ersten Zahlungsdiensterichtlinie (PSD1, Richtlinie 2007/64/EG) in Kraft. Es begründete die Kategorie des Zahlungsinstituts, führte den Lizenzierungs- und Aufsichtsrahmen für Nichtbanken-Zahlungsdienstleister ein und definierte die Tätigkeiten, die künftig einer Zulassung durch die BaFin bedurften. Eine umfassende Überarbeitung folgte 2018 zur Umsetzung der Zweiten Zahlungsdiensterichtlinie (PSD2, Richtlinie (EU) 2015/2366), die den Anwendungsbereich der regulierten Tätigkeiten um Zahlungsauslösedienste (PIS) und Kontoinformationsdienste (AIS) erweiterte, starke Kundenauthentifizierung vorschrieb und Open-Banking-Pflichten für kontoführende Zahlungsdienstleister einführte.

Das ZAG ist seither durch ein wachsendes Geflecht sekundärer Regeln, BaFin-Merkblätter, Rundschreiben und europäischer technischer Standards ergänzt worden. Ein Gründer, der sich heute dem deutschen Zahlungsdiensteregime nähert, setzt sich nicht mit einem einzelnen Gesetz auseinander, sondern mit einem mehrschichtigen Rahmen, in dem nationales Recht, EU-Verordnungen, aufsichtliche Rundschreiben der BaFin und Marktpraxis zusammenwirken. Diese Verzahnung richtig zu verstehen, gehört zu den häufigsten Vorbereitungsfehlern internationaler Antragsteller. Die nächste Reform ist unterwegs: Parlament und Rat haben sich am 27. November 2025 politisch auf eine dritte Zahlungsdiensterichtlinie (PSD3) und eine Zahlungsdiensteverordnung (PSR) geeinigt; förmlich erlassen sind sie noch nicht (Stand Oktober 2026).

Der Regelungsperimeter: Was das ZAG erfasst

§ 1 ZAG definiert Zahlungsdienste unter Verweis auf einen Katalog von Tätigkeiten, die gewerblich nur mit Zulassung der BaFin erbracht werden dürfen. Dazu gehören die Bareinzahlung auf und Barauszahlung von einem Zahlungskonto samt der zugehörigen Vorgänge, die Ausführung von Zahlungsvorgängen (einschließlich Lastschriften, kartengestützter Zahlungen und Überweisungen), die Ausgabe von Zahlungsinstrumenten wie Karten, das Acquiring von Zahlungsvorgängen für Händler, der Finanztransfer, Zahlungsauslösedienste (PIS) und Kontoinformationsdienste (AIS). Wer als Zahlungsdienst ausschließlich Kontoinformationsdienste erbringt, braucht allerdings keine Erlaubnis, sondern eine Registrierung bei der BaFin nach § 34 ZAG; ein Anfangskapital ist dafür nicht vorgeschrieben, wohl aber eine Absicherung für den Haftungsfall (§ 36 ZAG).

Das ZAG regelt zudem die Ausgabe elektronischen Geldes als eigenständige Tätigkeit, die von E-Geld-Instituten (EMIs) erbracht wird. Obwohl die EMI-Lizenz formal eine eigene Kategorie ist, wird sie unter demselben ZAG-Rahmen beantragt und beaufsichtigt wie die Zahlungsinstituts-Lizenz, und viele inhaltliche Anforderungen sind deckungsgleich.

Die erste Aufgabe eines Gründers bei der Annäherung an das ZAG besteht darin, präzise zu bestimmen, ob das geplante Geschäftsmodell in eine oder mehrere dieser regulierten Tätigkeiten fällt. Deutschland sieht keine allgemeine Ausnahme für kleinvolumige Zahlungsdienste vor, und der Perimeter wird strikt angewandt. Geschäftsmodelle, die auf den ersten Blick bloße IT-Dienstleistungen zu sein scheinen, können bei genauerer Analyse die Ausführung von Zahlungsvorgängen umfassen und damit lizenzpflichtig sein. Modelle, die Zahlungsdienste mit anderen Angeboten (etwa Krediten, Kartenausgabe oder Datendiensten) kombinieren, lösen häufig mehrere regulatorische Rahmen gleichzeitig aus.

Das ZAG enthält eine Reihe von Ausnahmen und Ausschlüssen, die bestimmte Tätigkeiten grundsätzlich von der Lizenzpflicht ausnehmen können. Dazu zählen Tätigkeiten, die ausschließlich als Vermittler für Waren oder Dienstleistungen ausgeübt werden, bestimmte geschlossene Zahlungsinstrumente, die nur bei definierten Händlern akzeptiert werden, sowie technische Dienstleister, die Zahlungsdienste unterstützen, ohne selbst Kundengelder zu halten oder eine Position in der Zahlungstransaktion einzunehmen. Jede Ausnahme hat enge Grenzen, und Gründer sollten ohne dokumentierte rechtliche Analyse nicht davon ausgehen, dass ihr Geschäftsmodell in eine solche fällt. Das Vertrauen auf eine Ausnahme, die die BaFin später verwirft, gehört zu den kostspieligsten Fehlern, die ein Fintech in Deutschland machen kann.

Eine weitere Komplikation entsteht dort, wo der ZAG-Perimeter mit anderer deutscher Finanzdienstleistungsgesetzgebung interagiert. Das Kreditwesengesetz (KWG) regelt das Einlagen- und Kreditgeschäft mit einer Mindestkapitalanforderung von 5.000.000 EUR für eine vollständige Kreditinstituts-Lizenz. Das 2021 verabschiedete Wertpapierinstitutsgesetz (WpIG) regelt Unternehmen, die Wertpapierdienstleistungen erbringen, und legt ein eigenes Anfangskapital fest, das sich nach der beantragten Dienstleistung richtet (§ 17 WpIG): 75.000 EUR für Anlagevermittlung, Abschlussvermittlung, Finanzportfolioverwaltung, Anlageberatung oder Platzierungsgeschäft ohne Zugriff auf Kundengelder oder Kundenwertpapiere, 750.000 EUR unter anderem für den Eigenhandel auf eigene Rechnung und das Verwahrgeschäft, 150.000 EUR in den übrigen Fällen. Geschäftsmodelle, die gleichzeitig Zahlungsdienste, Kreditvergabe und Wertpapierdienstleistungen berühren, müssen gegen alle drei Gesetze gescopt werden, und die regulatorische Strategie sollte den vollen Satz erforderlicher Zulassungen abbilden und nicht nur die ZAG-Dimension.

Lizenzkategorien und Kapitalanforderungen nach § 12 ZAG

§ 12 ZAG legt die Anfangskapitalanforderungen für die verschiedenen Kategorien von Zahlungsdiensten fest. Die Struktur ist bewusst nach dem Risikoprofil der jeweiligen Tätigkeit skaliert:

• Ausschließlich Finanztransfergeschäft: Anfangskapital von 20.000 EUR.
• Ausschließlich Zahlungsauslösedienste (PIS): Anfangskapital von 50.000 EUR.
• Übrige Zahlungsdienste nach § 1 Abs. 1 Satz 2 Nr. 1 bis 5 ZAG: Anfangskapital von 125.000 EUR.
• E-Geld-Institute (EMIs): Anfangskapital von 350.000 EUR.

Diese Beträge stellen gesetzliche Mindestwerte dar, keine realistischen Betriebsbudgets. In der Praxis erwartet die BaFin von Antragstellern den Nachweis, dass das Anfangskapital zusammen mit der geplanten laufenden Finanzierung ausreicht, um das Unternehmen durch Zulassung, Aufbauphase und anfängliche Tätigkeit ohne Notkapitalzuführungen zu tragen. Antragsteller, die am gesetzlichen Minimum ankommen, ohne einen glaubwürdigen Puffer auszuweisen, werden häufig aufgefordert, vor Fortsetzung des Verfahrens zusätzliche finanzielle Rückendeckung nachzuweisen.

Über das Anfangskapital hinaus müssen lizenzierte Institute laufende Eigenmittel vorhalten, die nach Maßgabe des ZAG und der zugrundeliegenden EU-Anforderungen berechnet werden. Die Berechnungsmethodik hängt von der jeweiligen Tätigkeit ab und, bei EMIs, vom durchschnittlich ausstehenden E-Geld. Gründer sollten diese laufenden Anforderungen im Rahmen ihrer Geschäftsplanung sorgfältig modellieren – sowohl das gesetzliche Minimum nach dem ZAG als auch die zusätzlichen Puffer, die die BaFin faktisch von glaubwürdigen Lizenznehmern erwartet.

Die Zuverlässigkeitsprüfung der Geschäftsleiter

Die Anforderungen der BaFin an die fachliche Eignung und die Zuverlässigkeit der Geschäftsleiter von Zahlungsinstituten sind im ZAG und in der Aufsichtspraxis verankert. Die zentrale Anforderung lautet: Der Antragsteller muss mindestens zwei Geschäftsleiter bestellen (nur bei Unternehmen mit geringer Größe genügt nach § 10 Abs. 2 ZAG einer); sie müssen die fachliche Eignung und die persönliche Zuverlässigkeit für die Funktion besitzen und ausreichend Zeit für die Leitung des Instituts aufwenden. Diese Erwartungen sind nicht pro forma: Die BaFin prüft die beruflichen Werdegänge anhand der eingereichten Unterlagen, fragt nach, kann die vorgesehenen Geschäftsleiter zu einem Gespräch bitten und bildet sich ein inhaltliches Urteil über ihre Eignung.

In der Praxis kristallisiert sich die Erwartung um drei Eigenschaften, die Gründer nachweisen müssen:

• Einschlägige Erfahrung: Kandidaten müssen eine Erfolgsbilanz in Zahlungsdiensten, Finanzdienstleistungen oder unmittelbar relevanter Compliance nachweisen. Allgemeine Technologie- oder Vertriebshintergründe reichen trotz ihrer Qualität allein nicht aus. Die BaFin sucht konkrete Belege für Erfahrung mit dem operativen Betrieb von Zahlungsdiensten, mit Compliance-Rahmenwerken und mit aufsichtlichem Engagement.
• Verfügbarkeit und Präsenz: Geschäftsleiter müssen ausreichend Zeit aufwenden und tatsächlich in Deutschland präsent sein. Vorkehrungen, bei denen ein Geschäftsleiter aus einer anderen Jurisdiktion pendelt und Sitzungen remote wahrnimmt, werden mit erheblicher Skepsis betrachtet. Die BaFin erwartet eine substanzielle physische Präsenz in Deutschland, die damit im Einklang steht, dass das Entscheidungszentrum des Instituts in Deutschland liegt.
• Deutschkenntnisse: Obwohl die Fähigkeit, aufsichtliche Vorgänge auf Deutsch zu führen, nicht als formale gesetzliche Anforderung kodifiziert ist, erwartet die BaFin in der Praxis effektive Kommunikation auf Deutsch, insbesondere in Bereichen mit spezialisierter regulatorischer Terminologie. Kandidaten, die regulatorisches Material nicht auf Deutsch bearbeiten können, erleben praktische Reibung.

Die Zuverlässigkeitsprüfung erstreckt sich über die Geschäftsleiter hinaus auf wesentliche Anteilseigner und, je nach Struktur, auf Mitglieder des Aufsichtsrats. Ein Anteilseigner mit bedeutender Beteiligung muss ebenfalls die Zuverlässigkeitskriterien erfüllen, und die BaFin wird den Einstieg von Anteilseignern ablehnen, deren Hintergründe prudentielle Bedenken aufwerfen.

Die Vorbereitung der Geschäftsleiter auf Rückfragen und mögliche Gespräche mit der BaFin ist ein eigenständiger und oft unterschätzter Arbeitsstrang. Die Eignung wird zunächst anhand der eingereichten Unterlagen beurteilt (Lebenslauf, Erklärungen zu Straf- und anderen Verfahren, Führungszeugnis, Auszug aus dem Gewerbezentralregister); die Behörde kann darüber hinaus Auskünfte verlangen und die vorgesehenen Geschäftsleiter zu einem Gespräch bitten. Wer dann Fragen zu den regulatorischen Anforderungen, zum Geschäftsmodell, zu den Risiken und zu den geplanten Kontrollen nicht konkret und nachvollziehbar beantworten kann, weckt Zweifel an seiner fachlichen Eignung. Die Vorbereitung umfasst typischerweise die Durchsicht der für das Geschäftsmodell einschlägigen ZAG-Paragrafen, die Prüfung der BaFin-Merkblätter und das Durchspielen wahrscheinlicher Fragen im Vorfeld.

Die Sicherung von Kundengeldern

§ 17 ZAG begründet Sicherungspflichten für Zahlungsinstitute und EMIs, die Kundengelder halten. Das Gesetz erlaubt zwei wesentliche Sicherungsmethoden: die Segregation von Kundengeldern auf separaten Konten bei zugelassenen Kreditinstituten oder die Deckung der Gelder durch eine Versicherungspolice bzw. eine Garantie eines zugelassenen Instituts. Die Wahl zwischen diesen Methoden hat erhebliche operative und kommerzielle Implikationen und sollte von Gründern bereits in der Entwurfsphase der Lizenzstrategie sorgfältig abgewogen werden.

Die Segregation ist der üblichere Ansatz. Sie verlangt, dass Kundengelder auf identifizierbaren Konten gehalten werden, die von den eigenen Mitteln des Instituts getrennt sind, sodass im Insolvenzfall die Kundenvermögen vom Vermögen abgegrenzt werden können. Die Mechanik der Segregation – wie Gelder auf die getrennten Konten geleitet werden, wie sie verfolgt und wie Abgleiche durchgeführt werden – muss der BaFin in einer für sie zufriedenstellenden Weise dokumentiert werden. Nachlässige Segregation ist eine klassische Ursache für aufsichtliche Beanstandung, selbst wenn das Institut im Übrigen konform ist.

Die versicherungsbasierte Sicherung ist zulässig, bringt aber eigene operative Lasten mit sich, darunter die Notwendigkeit, angemessenen Versicherungsschutz zu beschaffen und aufrechtzuerhalten, sicherzustellen, dass der Schutz im Insolvenzfall tatsächlich verfügbar ist, und die BaFin davon zu überzeugen, dass die Regelung einen der Segregation gleichwertigen Schutz bietet. In der Praxis wird versicherungsbasierte Sicherung häufiger als Ergänzung zur Segregation denn als vollständiger Ersatz eingesetzt.

Die praktische Realität besteht darin, dass Institute jederzeit nachweisen können müssen, dass der aggregierte Saldo der gesicherten Mittel der aggregierten ausstehenden Verbindlichkeit gegenüber den Zahlungsdienstnutzern entspricht oder diese übersteigt. Abgleichfehler – unabhängig von ihrer technischen Ursache – werden von der BaFin als potenziell gravierend behandelt. Antragsteller sollten ihre Sicherungsoperationen mit automatisiertem Abgleich, klaren Eskalationsverfahren bei Abweichungen und regelmäßigem Management-Reporting gestalten, das die Integrität der Regelung bestätigt. Die Qualität dieser operativen Disziplin wird in BaFin-Prüfungen häufig näher untersucht.

Das Geldwäsche-Rahmenwerk

Zahlungsinstitute und EMIs sind Verpflichtete nach dem deutschen Geldwäschegesetz (GwG), das die EU-Geldwäscherichtlinien umsetzt und das mittelfristig mit der neuen EU-Geldwäscheverordnung und der Aufsicht durch die EU-Geldwäschebekämpfungsbehörde (AMLA) in Frankfurt zusammenspielen wird. Das GwG-Rahmenwerk auferlegt einen umfassenden Katalog von Pflichten, die die BaFin im Rahmen des Lizenzverfahrens und in der laufenden Aufsicht rigoros prüft.

Zu den zentralen GwG-Pflichten zählen:

• Risikobewertung (§ 5): Das Institut muss eine umfassende Risikoanalyse durchführen und dokumentieren, die die für sein Geschäft relevanten Kundentypen, Produkte, Dienstleistungen, Geografien und Vertriebskanäle abdeckt. Diese Risikobewertung ist das Fundament des gesamten AML-Rahmens und muss inhaltlich substanziell, spezifisch und regelmäßig aktualisiert sein.
• Geldwäschebeauftragter (§ 7): Das Institut muss einen Geldwäschebeauftragten mit klar definierten Verantwortlichkeiten, direktem Zugang zur Geschäftsleitung und ausreichenden Ressourcen und Befugnissen zur Wahrnehmung der Funktion bestellen.
• Kundenidentifikation (§ 10): Das Institut muss Kunden identifizieren und verifizieren, das Wesen der Geschäftsbeziehung verstehen und laufend überwachen. Die konkreten Pflichten hängen von Kundentyp und Risikoprofil ab.
• Verstärkte Sorgfaltspflichten (§ 15): Höherriskante Kunden und Beziehungen – darunter politisch exponierte Personen und Kunden in Risikogeografien – erfordern verstärkte Sorgfaltspflichten, einschließlich zusätzlicher Identifizierung, Verifizierung und laufender Prüfung.
• Verdachtsmeldungen (§ 43): Das Institut muss bei Anhaltspunkten für Geldwäsche oder Terrorismusfinanzierung Verdachtsmeldungen an die deutsche Financial Intelligence Unit (FIU) abgeben.

Eine AML-Richtlinie, die für die Aufsicht eines anderen Mitgliedstaats geschrieben wurde, genügt der BaFin nicht ohne Weiteres. Die deutsche Geldwäscheaufsicht erwartet spezifische Risikobewertungen, konkrete Transaktionsüberwachungslogik und dokumentierte Verfahren, die das tatsächliche Geschäftsmodell des Instituts widerspiegeln statt generischer Vorlagen. Automatisierte Transaktionsüberwachungssysteme werden faktisch von jedem Institut erwartet, das ein nennenswertes Transaktionsvolumen abwickelt.

Das Zusammenspiel mit der EU-Geldwäschebekämpfungsbehörde (AMLA) ist eine weitere Dimension, die vorausschauende Antragsteller berücksichtigen sollten. Die AMLA mit Sitz in Frankfurt am Main hat ihre Tätigkeit am 1. Juli 2025 aufgenommen und wird ab 2028 die direkte Aufsicht über bestimmte risikoreiche und grenzüberschreitend tätige verpflichtete Stellen übernehmen. Während die überwältigende Mehrheit der ZAG-lizenzierten Institute weiter primär von der BaFin beaufsichtigt werden wird, sollten Institute, die zu der Größe und dem Risikoprofil heranwachsen, das AMLA-Aufmerksamkeit auf sich zieht, ihre AML-Rahmenwerke mit Blick auf die künftige Aufsichtsbeziehung gestalten. Ein Rahmen, der nur die aktuellen BaFin-Erwartungen erfüllt, läuft Gefahr, erheblich überarbeitet werden zu müssen, sobald die AMLA als weitere Aufsichtsbehörde hinzutritt.

Auch die Sanktionsprüfung ist ein praktischer Bereich, in dem deutsche Aufsichtsbehörden die operative Bereitschaft der Institute erwarten. Das EU-Sanktionsregime hat sich in den vergangenen Jahren erheblich ausgeweitet, und die BaFin erwartet von Zahlungsinstituten eine Echtzeit-Prüfung gegen Sanktionslisten, dokumentierte Verfahren für den Umgang mit möglichen Treffern und klare Eskalationspfade, wenn eine Transaktion oder Kundenbeziehung Sanktionsbedenken aufwirft. Manuelle Prüfungsprozesse werden nur für die kleinsten Institute toleriert; von jedem Institut mit nennenswertem Transaktionsvolumen wird erwartet, dass es eine automatisierte Prüfung in seine Onboarding- und Zahlungsabwicklungsabläufe integriert hat.

IT-Governance: Von den ZAIT zu DORA

Die IT-Governance ist einer der am gründlichsten geprüften Bereiche der BaFin-Aufsicht über Zahlungsinstitute und EMIs. Maßgeblich ist seit dem 17. Januar 2025 die unmittelbar geltende DORA-Verordnung (Verordnung (EU) 2022/2554) mit ihren technischen Standards; Zahlungsinstitute und E-Geld-Institute sind dort ausdrücklich als Finanzunternehmen genannt (Art. 2 Abs. 1 Buchst. b und d). Daneben stehen die Organisationspflichten des § 27 ZAG und die Auslagerungsregeln des § 26 ZAG.

Bis dahin galt für Zahlungs- und E-Geld-Institute ein eigenes BaFin-Rundschreiben, die Zahlungsdiensteaufsichtlichen Anforderungen an die IT (ZAIT, Rundschreiben 11/2021 (BA)). Die BaFin hat die ZAIT, ebenso wie die VAIT für Versicherungsunternehmen und die KAIT für Kapitalverwaltungsgesellschaften, mit Ablauf des 16. Januar 2025 aufgehoben, um eine Doppelregulierung neben DORA zu vermeiden. Die Bankaufsichtlichen Anforderungen an die IT (BAIT, Rundschreiben 10/2017 (BA)) richten sich an Institute nach dem Kreditwesengesetz, gelten nur noch für solche, die DORA noch nicht anwenden müssen, und werden mit Ablauf des 31. Dezember 2026 vollständig aufgehoben. Wer seine Unterlagen noch an den ZAIT oder den BAIT ausrichtet, arbeitet mit einem Regelwerk, das für Zahlungs- und E-Geld-Institute nicht gilt.

Die praktische Konsequenz ist, dass ein antragstellendes Zahlungsinstitut seinen IT-Governance-Rahmen unmittelbar an DORA und den zugehörigen technischen Standards ausrichten muss. Zu den inhaltlichen Erwartungen gehören eine klare Zuordnung der Verantwortung für die IT-Strategie, dokumentiertes Informationssicherheitsmanagement, strukturiertes Change Management, rigorose Auslagerungskontrollen, an DORA ausgerichtete Vorfallsbearbeitungsprozesse sowie Tests der operativen Resilienz. Die BaFin prüft die Ausgestaltung und die Dokumentation jedes dieser Elemente im Lizenzverfahren und in der laufenden Aufsicht.

Das Informationssicherheitsmanagement verdient besondere Aufmerksamkeit. Die BaFin erwartet, dass Antragsteller ihren Informationssicherheitsrahmen an anerkannten Standards ausgerichtet haben, mit ausdrücklicher Abdeckung von Zugriffsmanagement, Verschlüsselung ruhender und übertragener Daten, Netzwerksegmentierung, Endpunktschutz, Protokollierung und Überwachung, Schwachstellenmanagement und Vorfallserkennung. Die Dokumentation muss den tatsächlichen Technologie-Bestand widerspiegeln, nicht eine vorlagenbasierte Beschreibung einer idealen Architektur. Antragsteller, die stark auf Cloud-Infrastruktur angewiesen sind, müssen besonders sorgfältig dokumentieren, wie das Modell der geteilten Verantwortung in der Praxis funktioniert und wie der Antragsteller die Kontrolle über sicherheitskritische Konfigurationen behält.

Auch Geschäftskontinuitäts- und Disaster-Recovery-Arrangements werden genau geprüft. Antragsteller müssen nachweisen, dass sie ihre kritischen Geschäftsfunktionen identifiziert, Wiederherstellungszeitziele und Wiederherstellungspunktziele für jede definiert und Arrangements eingerichtet haben – einschließlich Backup-Infrastruktur, alternativer Verarbeitungsstandorte wo sinnvoll und dokumentierter Wiederherstellungsverfahren –, die diese Ziele realistisch erreichen können. Geschäftskontinuitätspläne, die in der Praxis nie getestet wurden, werden mit Skepsis behandelt; die BaFin erwartet Belege für Übungen und gezogene Lehren.

Das Auslagerungsparadoxon

Fintechs setzen oft stark auf Auslagerung, um operativ schlank zu bleiben. Das ZAG verbietet Auslagerung nicht, behandelt sie aber als ein substanzielles Risiko, das vom Institut selbst gesteuert werden muss. Die operative Regel ist einfach: Auslagerung überträgt keine Haftung. Das Institut bleibt gegenüber der BaFin und seinen Kunden für jede ausgelagerte Funktion oder Tätigkeit voll verantwortlich und muss in der Lage sein, jede Auslagerung zu überwachen, zu steuern und gegebenenfalls zu beenden.

§ 26 ZAG und, soweit IKT-Dienstleistungen betroffen sind, die DORA-Vorgaben zum IKT-Drittparteienrisiko (Art. 28 bis 30 DORA) verlangen ein strukturiertes Auslagerungsmanagement-Rahmenwerk. Dazu gehören eine formale Risikobewertung für jede Auslagerung, ein schriftlicher Vertrag mit Mindestklauseln zu Prüfungsrechten, Service Levels, Datenverarbeitung, Weiterverlagerung und Ausstiegsregelungen, die laufende Überwachung von Leistung und Solvenz des Dienstleisters sowie eine klare interne Verantwortungszuweisung für die Steuerung der Beziehung. Cloud-Auslagerung an große Hyperscaler ist zulässig, muss aber diese Anforderungen erfüllen, und die BaFin prüft die Auslagerungsvereinbarungen von Antragstellern mit erheblichen Cloud-Abhängigkeiten im Detail.

Ein häufiger Fehler ist die Annahme, dass ein Standard-Lieferantenvertrag ausreicht, um die BaFin-Erwartungen zu erfüllen. Dem ist nicht so. Verträge müssen durch aktive Überwachung, periodische Überprüfung und dokumentierte Eskalationsverfahren ergänzt werden. Gründer sollten davon ausgehen, dass jede wesentliche Auslagerungsbeziehung im Lizenzverfahren von der BaFin geprüft wird und dass Mängel im besten Fall zusätzliche Nachforderungen und im schlechtesten Fall Verzögerungen nach sich ziehen.

Die Verzahnung zwischen dem Auslagerungsrahmen des ZAG und den DORA-Anforderungen zum IKT-Drittanbieter-Risikomanagement verdient ebenfalls besondere Aufmerksamkeit. Seit dem 17. Januar 2025 müssen Zahlungsinstitute die DORA-Bestimmungen zu IKT-Drittanbietern erfüllen, einschließlich der Führung eines Informationsregisters, der Aufnahme verpflichtender Vertragsklauseln und der Bewertung von Konzentrationsrisiken. Die BaFin erwartet, dass Antragsteller zeigen, wie ihre Auslagerungs- und IKT-Drittanbieter-Rahmenwerke gemeinsam wirken, um sowohl den ZAG-Auslagerungsanforderungen als auch den DORA-Drittanbieter-Verpflichtungen zu genügen. Eine fragmentierte Herangehensweise, bei der diese Rahmen isoliert betrachtet werden, erzeugt Lücken, die die BaFin in ihren Nachforderungen regelmäßig identifiziert.

Das Antragsverfahren: Von der Vorbereitung zur Zulassung

Das Erlaubnisverfahren ist in den §§ 10 bis 12 ZAG geregelt (§ 10 für Zahlungsdienste, § 11 für das E-Geld-Geschäft, § 12 für die Versagungsgründe) und folgt einer weitgehend vorhersehbaren Struktur, wobei die Details je nach Lizenzkategorie und Komplexität des Geschäftsmodells variieren. Der Prozess beginnt mit der Vorbereitung und idealerweise mit einem Vorfeldgespräch bei der BaFin. Er setzt sich fort mit formaler Antragstellung, Nachforderungen, inhaltlicher Prüfung und schließlich der Zulassung.

Ein vollständiges Antragspaket umfasst typischerweise:

• Geschäftsplan: Ein detailliertes Dokument für mindestens drei Jahre, einschließlich operativer Strategie, Finanzprognosen, Kundensegmenten, Transaktionsvolumina, Technologiearchitektur, Risikomanagement und Governance.
• Organisationsdokumentation: Organigramme, Stellenbeschreibungen, Berichtslinien und interne Richtlinien zu allen wesentlichen Funktionen.
• Zuverlässigkeitsdokumentation: Vollständige Unterlagen für jeden Geschäftsleiter und jeden wesentlichen Anteilseigner, einschließlich Lebensläufen, Referenzen, regulatorischen Offenlegungen und Belegunterlagen.
• Risikomanagement-Rahmenwerk: Eine umfassende Beschreibung der für das Geschäft relevanten Risikokategorien, der vorhandenen Kontrollen, der Überwachungsarrangements und der Berichtsstruktur.
• IT-Governance-Dokumentation: Dokumentation des Informationssicherheits-Rahmenwerks, der Maßnahmen zur operativen Resilienz, der Vorfallsbearbeitungsverfahren und der Einhaltung von DORA.
• AML-Richtlinien: Das vollständige Set GwG-konformer Unterlagen, einschließlich Risikoanalyse, Kundenidentifikationsverfahren, Transaktionsüberwachungslogik und Abläufen zur Verdachtsmeldung.
• Auslagerungsregister und -verträge: Ein vollständiges Register wesentlicher Auslagerungsvereinbarungen zusammen mit den relevanten Verträgen und Kontrollunterlagen.
• Sicherungsvorkehrungen: Dokumentation der Sicherungsmethode, der vorgehaltenen Konten oder Versicherungsvereinbarungen und der operativen Kontrollen zum Schutz der Kundengelder.
• Geprüfte oder prognostizierte Finanzen: Entweder geprüfte Jahresabschlüsse (für bestehende Einheiten) oder glaubwürdige Finanzprognosen, die die Kapitaladäquanz des Antragstellers tragen.

Gesetzlich entscheidet die BaFin binnen drei Monaten, nachdem ihr der Antrag vollständig vorliegt (§ 10 Abs. 3 ZAG). Die meiste Zeit vergeht davor, weil die BaFin iterativ Nachforderungen stellt. Als Richtwert für einen gut vorbereiteten ZAG-Antrag gelten neun bis fünfzehn Monate von der ersten Einreichung bis zur Erlaubnis; das ist eine Schätzung, keine amtliche Zahl. Langsame Reaktionszeiten des Antragstellers verlängern das Verfahren nicht beliebig: Liegen zwölf Monate nach Eingang des Antrags trotz Aufforderung der BaFin noch keine ausreichenden Unterlagen vor, ist der Antrag abzulehnen, und das Verfahren beginnt mit einem neuen Antrag von vorn.

Gründer sollten auch verstehen, dass der aktive Antragszeitraum nicht die inhaltliche Vorbereitungsphase einschließt, die der Einreichung vorausgeht. Ein gut vorbereiteter Antragsteller investiert typischerweise mehrere Monate vor Einreichung in den Aufbau von Governance-Strukturen, das Entwerfen von Richtlinien, die Etablierung der IT-Architektur, die Dokumentation von Auslagerungsarrangements und die Vorbereitung der Zuverlässigkeitsunterlagen für Geschäftsleiter. Die gesamte verstrichene Zeit von der ersten Entscheidung zur Verfolgung einer ZAG-Lizenz bis zum operativen Start beträgt daher häufig zwei Jahre oder mehr, wenn alle Phasen berücksichtigt werden. Budgetierung und Kapitalplanung sollten diese Realität abbilden, und Gründer, die versuchen, den Zeitrahmen durch überhastete Vorbereitung zu komprimieren, produzieren typischerweise unterlegene Anträge, die insgesamt länger dauern.

Der Maßstab „vollständiger Antrag“ und Nachforderungen

Die BaFin legt einen strengen Maßstab dafür an, was einen vollständigen Antrag ausmacht. Die gesetzliche Dreimonatsfrist für die Entscheidung beginnt erst, wenn der Antrag vollständig ist. Dies schafft einen starken Anreiz für Antragsteller, Anträge einzureichen, die die voraussichtlichen Bedenken der Behörde tatsächlich antizipieren und beantworten, statt früh einzureichen und zu erwarten, Lücken im Laufe des Verfahrens zu schließen.

Nachforderungen sind ein Standardmerkmal jedes Antragsverfahrens. Auch gut vorbereitete Einreichungen werden eine Reihe von Folgefragen erhalten, und die Behörde erwartet, dass diese zeitnah, umfassend und auf Deutsch beantwortet werden. Die Qualität der Antworten auf Nachforderungen fließt selbst in die Bewertung der BaFin ein: Reaktionsschnelle, inhaltliche und gut belegte Antworten beschleunigen den Prozess, während ausweichende oder oberflächliche Antworten weitere Fragen und Verzögerungen auslösen.

Sinnvoll ist ein eigenes internes Verzeichnis der Nachforderungen. Jede einzelne Frage der BaFin sollte nachverfolgbar dokumentiert, zuständigen internen Verantwortlichen zugewiesen, mit einer Frist versehen und nach Beantwortung abgeschlossen werden. Wer diesen Prozess diszipliniert führt, vermeidet widersprüchliche Antworten und Verzögerungen, die entstehen, wenn Nachforderungen ad hoc und unkoordiniert behandelt werden. Die BaFin bemerkt, wenn Antworten widersprüchlich sind oder wenn unterschiedliche Teile des Antragstellerteams unterschiedliche Aussagen machen.

Alternativen zur Volllizenz

Für Unternehmen, die zu dem Schluss kommen, dass eine vollständige ZAG-Lizenz verfrüht ist, können verschiedene alternative Strukturen einen regulierten Marktzugang ermöglichen, während das Geschäftsmodell validiert wird. Diese Alternativen ersetzen in den meisten Fällen keine spätere Lizenz, können aber einen schnelleren Weg zu ersten Umsätzen und aufsichtlichem Engagement bieten.

Zu den wesentlichen Alternativen zählen:

• Agentenmodell (§ 1 Abs. 9, § 25 ZAG): Ein Agent führt Zahlungsdienste im Namen eines zugelassenen Instituts aus; sein Handeln wird dem Institut zugerechnet. Er braucht keine eigene Erlaubnis. Das Institut meldet ihn der BaFin und der Bundesbank und muss sicherstellen, dass er zuverlässig und fachlich geeignet ist; tätig werden darf der Agent erst nach Eintragung in das Zahlungsinstituts-Register. Das Modell eignet sich für Unternehmen, die Zahlungsdienste vertreiben wollen, ohne eine eigene Erlaubnis aufzubauen.
• Banking-as-a-Service (BaaS)-Partnerschaften: BaaS-Anbieter stellen Fintechs lizenzierte Infrastruktur über kommerzielle Vereinbarungen zur Verfügung, bei denen der BaaS-Anbieter die einschlägige Zulassung hält und das Fintech innerhalb seines kommerziellen Rahmens operiert. Dies ist ein häufiger erster Schritt für frühphasige Unternehmen, insbesondere für solche, die Kartenprodukte oder digitale Wallets anbieten.
• Passporting aus einem anderen EU-Mitgliedstaat: Ein in einem anderen EU- oder EWR-Staat lizenziertes Unternehmen kann seine Zahlungsdienste im Rahmen der Dienstleistungsfreiheit oder durch Errichtung einer Zweigniederlassung nach Deutschland passporten. Die Leichtigkeit und Qualität des Passporting hängen stark von der Aufsichtsbehörde des Herkunftsstaats und vom jeweiligen Produkt ab; Passporting isoliert das Unternehmen nicht von deutschen Verhaltensregeln oder Geldwäscheerwartungen.

Jede dieser Alternativen hat Abwägungen in Bezug auf kommerzielle Kontrolle, Margenabschöpfung, regulatorische Exponierung und langfristige strategische Passgenauigkeit. Keine ist eine dauerhafte Lösung für ein Unternehmen, das eine substanzielle deutsche Präsenz aufbauen will, aber jede kann eine Anlaufstrecke für die anfängliche Marktvalidierung bieten.

Nachgelagerte Pflichten nach Zulassungserteilung

Die Zulassung ist der Anfang, nicht das Ende des regulatorischen Engagements. Lizenzierte Zahlungsinstitute und EMIs unterliegen fortlaufenden aufsichtlichen Pflichten, darunter regelmäßige Meldungen an die BaFin, laufende Einhaltung der Eigenmittelanforderungen, Aufrechterhaltung der Sicherungsvorkehrungen, Mitwirkung bei BaFin-Prüfungen und Audits, Anzeige wesentlicher Änderungen am Geschäft sowie laufende Geldwäscheaufsicht.

Gründer sollten die Kosten laufender Compliance in ihren Nach-Zulassungs-Businessplan einplanen. Die Kosten sind nicht trivial: regulatorisches Reporting, Interne Revision, Externe Prüfung, Compliance-Personal und aufsichtliche Interaktion bilden gemeinsam einen erheblichen Bestandteil des Betriebsbudgets jedes lizenzierten Instituts. Unternehmen, die die Zulassung als einmaliges Projekt angehen und die laufende Compliance anschließend unterdotieren, schaffen aufsichtliche Risiken, die in den schwersten Fällen zu Durchsetzungsmaßnahmen führen können.

Der laufende aufsichtliche Dialog ist ebenfalls ein Merkmal, auf das sich Gründer einstellen sollten. Die BaFin führt regelmäßige aufsichtliche Gespräche mit beaufsichtigten Instituten, versendet Ad-hoc-Informationsanfragen und behält sich das Recht vor, Vor-Ort-Prüfungen durchzuführen. Die Qualität der Reaktion des Instituts auf diese Interaktionen prägt die aufsichtliche Beziehung im Laufe der Zeit. Institute, die proaktiv über wesentliche Themen kommunizieren, zeitnah auf Informationsanfragen reagieren und Schwächen selbst melden, bevor sie zu aufsichtlichen Bedenken werden, erleben tendenziell konstruktive Aufsicht. Institute, die defensiv, ausweichend oder langsam im Engagement sind, sehen sich eskalierender aufsichtlicher Aufmerksamkeit gegenüber, die sich letztlich in Durchsetzungsmaßnahmen niederschlagen kann.

Typische Fehler in ZAG-Anträgen

Bestimmte Fehler gelten bei ZAG-Anträgen als typisch. Gründer, die sie erkennen und vermeiden, verbessern ihre Aussichten auf ein reibungsloses Verfahren deutlich:

• Unterschätzung der Vorbereitungszeit: Anträge, die eingereicht werden, bevor interne Governance, Richtlinien und Kontrollen tatsächlich etabliert sind, erzeugen umfangreiche Nachforderungen und Nacharbeit.
• Generische Richtlinien: AML-Richtlinien, IT-Richtlinien und Risikomanagement-Dokumentation, die aus Vorlagen oder anderen Jurisdiktionen kopiert wurden, erfüllen selten die Erwartungen der BaFin an Spezifität für das tatsächliche Geschäft des Antragstellers.
• Schwache Zuverlässigkeitsunterlagen: Lebensläufe, die Erfahrung im Zahlungsdienstebereich nicht klar belegen, oder Geschäftsleiter, die sich nicht glaubhaft auf Deutschland festlegen können, erzeugen unmittelbare aufsichtliche Bedenken.
• Unzureichender Kapitalpuffer: Kapital am gesetzlichen Minimum ohne glaubwürdigen Puffer wirft prudentielle Fragen auf und lädt zu Aufforderungen nach zusätzlicher Finanzierung vor Zulassung ein.
• Unstrukturierte Auslagerung: Dienstleisterbeziehungen ohne formale Risikobewertung, Vertragsprüfung und laufende Überwachung sind eine häufige Quelle von Nachforderungen.
• Passive Antragstellerhaltung: Gründer, die darauf warten, dass die BaFin den Prozess treibt, statt das Antragszeitmanagement und das Engagement aktiv zu steuern, erleben längere und frustrierendere Verfahren.

Praktische Vorbereitungsempfehlungen

Die seriöse Vorbereitung eines ZAG-Antrags beginnt Monate vor der formellen Einreichung. Gründer sollten damit rechnen, parallel in mehrere Arbeitsstränge zu investieren: regulatorisches Scoping zur Bestätigung der richtigen Lizenzkategorie, Governance-Design zur Etablierung von Richtlinien und Kontrollen, die aufsichtlicher Prüfung standhalten, IT-Architekturdokumentation, die die DORA-Anforderungen erfüllt, Aufbau eines AML-Rahmens auf Grundlage einer inhaltlichen Risikoanalyse, Vorbereitung der Geschäftsleiter auf Rückfragen und mögliche Gespräche mit der Aufsicht, Kapital- und Finanzplanung sowie Engagement rechtlicher Beratung für die formelle Interaktion mit der BaFin.

Die Unternehmen, die den ZAG-Prozess erfolgreich navigieren, sind jene, die ihn als substanzielle operative Vorbereitungsübung angehen statt als Papierübung. Die Zulassung, die aus einer solchen Vorbereitung hervorgeht, trägt echtes regulatorisches Gewicht bei deutschen Banken, Unternehmenskunden und institutionellen Partnern und bildet das Fundament eines dauerhaft lizenzierten Geschäfts.

Fazit

Das ZAG ist bewusst anspruchsvoll gestaltet, und die Aufsichtsstandards der BaFin gehen in einer Weise über das EU-Minimum hinaus, die internationale Antragsteller häufig überrascht. Aber die Anspruchsdichte ist nicht willkürlich: Sie spiegelt eine Aufsichtsphilosophie wider, die Substanz, Dokumentation und echte operative Leistungsfähigkeit vor oberflächlicher Konformität wertschätzt. Unternehmen, die die Zeit und Mühe investieren, diese Erwartungen zu erfüllen, erhalten nicht nur eine Lizenz, sondern eine kommerziell wertvolle institutionelle Beglaubigung im deutschen Markt. Die Aegiron Capital Group steuert für Gründer die Vorbereitung auf das ZAG-Erlaubnisverfahren als Projekt, an der Seite der deutschen Kanzlei, die Sie beauftragen. Die Vorbereitung ist rigoros, der Lohn aber ebenso.