Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) baut den bürokratischen Aufwand für Zahlungsdienstleister deutlich ab. Mit einer Änderung des Rundschreibens 05/2024 (BA) vereinfacht die Aufsicht die Übermittlung operationeller und sicherheitsrelevanter Risiken nach § 53 Absatz 2 ZAG – ein Bereich, der seit Jahren als besonders administrativ belastend gilt.
Künftig müssen Institute nur noch wesentliche Risikoveränderungen melden. Konkret heißt das: Wer bereits eine vollständig ausgefüllte Erstmeldung abgegeben hat, muss ab dem Stichtag 31. Dezember 2025 nur noch dann eine erneute Meldung einreichen, wenn
-
mindestens ein neues Risiko als „hoch“ eingestuft wird, oder
-
ein bereits gemeldetes Risiko nun als „hoch“ gilt.
Damit fällt die bisher verpflichtende umfassende Jahresmeldung weg, sofern keine gravierenden Risikoänderungen auftreten. Für viele Unternehmen bedeutet dies eine spürbare Erleichterung – sowohl personell als auch finanziell.
Warum die BaFin die Regeln jetzt vereinfacht
Im Jahr 2025 hatten mehr als 1.200 Zahlungsdienstleister ihre Erstmeldung eingereicht. Die Aufsicht sieht damit eine ausreichende Datenbasis als geschaffen an und zieht nun Konsequenzen:
-
Reduktion des Verwaltungsaufwands für die Kredit- und Zahlungsdienstleistungsbranche,
-
Entlastung der eigenen Ressourcen,
-
Fokus auf relevante Risiken statt Vollständigkeitsmeldungen,
-
Effizientere Überwachung, da die Aufsicht künftig schneller erkennt, welche Institute tatsächlich neu oder stärker betroffen sind.
Die Neuregelung folgt dem Grundsatz der risikoorientierten Aufsicht: Meldungen sollen dort erfolgen, wo sie inhaltlich notwendig sind – nicht dort, wo sie nur formal vorgeschrieben wären.
Rechtlicher Rahmen: PSD2 und das ZAG bleiben bestehen
Auch wenn der Meldeaufwand sinkt, bleiben die Pflichten der Zahlungsdienstleister bestehen. Nach der Zweiten Zahlungsdiensterichtlinie (PSD2) und dem Zahlungsdiensteaufsichtsgesetz (ZAG) müssen Unternehmen weiterhin:
-
operationelle und sicherheitsrelevante Risiken identifizieren,
-
diese regelmäßig bewerten,
-
die Angemessenheit ihrer Risikominderungsmaßnahmen überprüfen,
-
wirksame Kontrollmechanismen implementieren.
Die Anpassung der BaFin ändert damit nicht die Risikosteuerungspflichten – sondern lediglich die Art der Meldepflicht, sobald Institute bereits eine vollständige Risikoberichtserstattung abgegeben haben.
Damit folgt die BaFin einem europaweiten Trend: Entbürokratisierung bei gleichzeitiger Beibehaltung hoher Sicherheitsstandards im digitalen Zahlungsverkehr.
Welche Risiken überhaupt meldepflichtig sind
Die Risikomeldungen nach § 53 Abs. 2 ZAG umfassen insbesondere:
-
IT- und Cyberrisiken (z. B. Systemausfälle, Hackerangriffe, Betrugsversuche),
-
operationelle Risiken (z. B. interne Fehler, Prozessausfälle, technische Störungen),
-
Ausfälle von Zahlungsinfrastrukturen und Dienstleistern,
-
sicherheitsrelevante Vorkommnisse nach PSD2-Standards.
Mit der neuen Regelung rückt die BaFin vor allem Risiken mit hoher Relevanz in den Fokus – ein deutlicher Schritt hin zu einer pragmatischen und proportional ausgestalteten Aufsicht.
Was die Änderung für Zahlungsdienstleister bedeutet
1. Massive Reduktion des Melde- und Dokumentationsaufwands
Die Erfassung der vollständigen Risikolandschaft ist komplex und zeitintensiv. Viele kleinere Zahlungsdienstleister hatten die Vorgaben als sehr ressourcenbindend kritisiert.
2. Konzentration auf wirklich kritische Risiken
Institute müssen künftig intern weiterhin umfassend bewerten – aber extern nur dann melden, wenn wirklich schwerwiegende Risiken neu auftreten oder sich verschärfen.
3. Verbesserte Aufsichtseffizienz
Die BaFin kann sich auf Meldungen mit potenziell hohem Gefährdungsgrad konzentrieren und ihre Ressourcen gezielter einsetzen.
4. Klarere Prozesse im Jahresverlauf
Statt einer jährlich wiederkehrenden Vollmeldung wird der Fokus auf die institutsinterne Überwachung gelegt.
Fazit: Weniger Bürokratie – gleiche Sicherheitsanforderungen
Mit der Anpassung des Rundschreibens 05/2024 setzt die BaFin ein deutliches Entbürokratisierungssignal, ohne Kompromisse bei den Sicherheitsstandards im Zahlungsverkehr zu machen. Die Maßnahme passt zur allgemeinen europäischen Linie, Risikoüberwachung stärker proportional, risikoorientiert und effizient zu gestalten.
Für die mehr als 1.200 betroffenen Zahlungsdienstleister bedeutet dies ab 2026 eine spürbare administrative Erleichterung – während die BaFin ihre Aufsichtsfunktion weiterhin zielgenau wahrnimmt.
