- Das Zahlungsdiensteaufsichtsgesetz (ZAG) regelt Erlaubnis und Beaufsichtigung von Zahlungs- und E-Geld-Instituten durch die BaFin.
- Die ZAG-MaRisk konkretisieren als Rundschreiben der BaFin die Mindestanforderungen an das Risikomanagement dieser Institute.
- Kernthemen sind Governance, internes Kontrollsystem, Auslagerungsmanagement und die Sicherung von Kundengeldern.
- Die europäischen Rechtsakte (DORA, PSD3, Geldwäschepaket) setzen auf dieser nationalen Aufsichtsstruktur auf, statt sie zu ersetzen.
Was ZAG und ZAG-MaRisk regeln
Das ZAG ist die nationale Grundlage der Zahlungsaufsicht: Es setzt den europäischen Rahmen um und bestimmt, wer unter welchen Voraussetzungen ein Zahlungs- oder E-Geld-Institut betreiben darf und wie die BaFin es beaufsichtigt. Die ZAG-MaRisk füllen diesen Rahmen mit Substanz — als Verwaltungspraxis, die konkretisiert, was ein angemessenes Risikomanagement bedeutet.
Die Bausteine, die tragen
- Governance und Verantwortlichkeiten: klar zugeordnete Rollen, ein wirksames internes Kontrollsystem.
- Auslagerungsmanagement: Wer Wesentliches auslagert, bleibt verantwortlich — mit Register, Verträgen und Kontrolle.
- Sicherung der Kundengelder und angemessene Eigenmittel.
- Geldwäscheprävention und die dafür vorgesehenen Beauftragtenrollen.
„Europäische Rechtsakte geben die Richtung vor. Getragen wird sie von der nationalen Aufsicht, Tag für Tag.“
Warum das Fundament zählt
DORA schärft das IKT-Risiko, das Geldwäschepaket die Prävention, PSD3 die operativen Pflichten. Doch all das greift in eine bestehende Struktur: Erlaubnis, Governance, internes Kontrollsystem, Auslagerung. Wer diese Basis sauber führt, integriert neue EU-Vorgaben als Ergänzung — nicht als Neubau. Das ist der eigentliche Vorteil eines belastbaren Fundaments.
Aus meiner Rolle
Als Compliance-Beauftragter nach ZAG-MaRisk erlebe ich täglich, dass gute Aufsicht nicht aus Dokumenten besteht, sondern aus gelebten Prozessen. Ein Kontrollsystem, das nur auf Papier existiert, fällt in der ersten Prüfung auf. Eines, das im Betrieb verankert ist, trägt auch die nächste europäische Reform.
Häufige Fragen
Was ist das ZAG?
Das Zahlungsdiensteaufsichtsgesetz. Es regelt in Deutschland die Erlaubnis und die Beaufsichtigung von Zahlungs- und E-Geld-Instituten durch die BaFin und setzt den europäischen Rahmen um.
Was sind die ZAG-MaRisk?
Ein Rundschreiben der BaFin, das die Mindestanforderungen an das Risikomanagement von Zahlungs- und E-Geld-Instituten konkretisiert — etwa zu Governance, internem Kontrollsystem und Auslagerung.
Wie verhalten sich ZAG-MaRisk und DORA zueinander?
DORA schärft insbesondere das IKT-Risikomanagement. Es fügt sich in die bestehende Aufsichtsstruktur aus ZAG und ZAG-MaRisk ein, statt sie zu ersetzen.
Wer ist der Compliance-Beauftragte nach ZAG-MaRisk?
Eine im Institut benannte Person, die die Einhaltung der aufsichtsrechtlichen Anforderungen überwacht und auf ein wirksames internes Kontrollsystem hinwirkt.
Dieser Beitrag gibt allgemeine, persönliche Einschätzungen zum genannten Stand wieder und stellt keine Rechts- oder Steuerberatung dar. Keine Gewähr für Aktualität und Richtigkeit.