Virtuelle IBANs („vIBANs“) sind längst ein Standardbaustein moderner Zahlungsprodukte. Sie erleichtern die automatisierte Zuordnung eingehender Zahlungen, ermöglichen eine effiziente Abstimmung von Forderungen und werden unter anderem in Plattform-, Marketplace-, E-Commerce- und Treasury-Modellen eingesetzt. Technisch handelt es sich um individuelle Kennungen, die einem Kunden oder einem bestimmten Zahlungsvorgang zugeordnet werden, ohne dass ihnen zwingend ein eigenes Zahlungskonto zugrunde liegt. Eingehende Zahlungen werden dabei einem zentralen Haupt- oder Sammelkonto („Masterkonto“) zugeordnet und dort geführt. Kreditinstitute können Zahlungsdienstleistern Masterkonten sowie damit verknüpfte vIBANs zur Verfügung stellen; die Zahlungsdienstleister weisen diese wiederum ihren eigenen Kunden zur individuellen Zuordnung von Zahlungsvorgängen zu. Die Führung eines § 17 ZAG entsprechenden Kontos ist dabei im Rahmen einer Korrespondenzbeziehung möglich.
Inhaltsverzeichnis
Mit ihrer Aufsichtsmitteilung 06/2026 vom 27. Juli 2026 rückt die Bafin nun die geldwäscherechtlichen Risiken solcher Strukturen in den Fokus. Grundlage sind gemeinsame Erkenntnisse von Bafin und Financial Intelligence Unit (FIU). Nach den Aufsichtserfahrungen können virtuelle IBANs insbesondere in komplexen, grenzüberschreitenden Strukturen genutzt werden, um die tatsächlich an Transaktionen beteiligten Personen und die wirtschaftlichen Hintergründe von Zahlungen zu verschleiern.
Die Mitteilung gilt mit sofortiger Wirkung und ist bis zum 10. Juli 2027 befristet – also bis zum Geltungsbeginn der europäischen Geldwäscheverordnung (AMLR). Sie richtet sich an sämtliche Verpflichtete des Finanzsektors, betrifft praktisch aber vor allem zwei Gruppen:
- Kreditinstitute, die Zahlungsdienstleistern Masterkonten und vIBAN-Strukturen bereitstellen, sowie
- Zahlungsdienstleister, die solche vIBANs ihren eigenen Kunden zuordnen.
zentrales Risiko: fehlende Transparenz
Das Kernproblem ist nicht die virtuelle IBAN als solche, sondern eine mögliche Informationsasymmetrie entlang der Zahlungskette. Besonders kritisch sind mehrstufige Modelle: Das kontoführende Kreditinstitut kennt als unmittelbaren Vertragspartner häufig nur den Zahlungsdienstleister. Die vIBAN wird dagegen von einem Endkunden dieses Zahlungsdienstleisters genutzt. Fehlen der Bank ausreichende Informationen über diesen Endkunden, seine wirtschaftlich Berechtigten oder die zugrunde liegende Geschäftstätigkeit, kann sie Zahlungsströme nur eingeschränkt wirtschaftlich einordnen.
Die Bafin beschreibt damit ein strukturelles Spannungsverhältnis: Derjenige, der das Masterkonto führt und Transaktionen verarbeitet, verfügt möglicherweise nicht über die für eine belastbare Risikoanalyse erforderlichen Informationen; derjenige, der die Endkundenbeziehung unterhält, ist dagegen nicht zwingend das Institut, bei dem die Zahlungsströme technisch zusammenlaufen.
Verschärft wird dieses Problem bei grenzüberschreitenden Modellen. Eine vIBAN mit deutscher Länderkennung kann einem im Ausland geführten Masterkonto zugeordnet sein. Für Zahler und andere Beteiligte entsteht dadurch möglicherweise der Eindruck einer inländischen Kontoverbindung, obwohl Kontoführung, Zahlungsdienstleister und Endkunde in verschiedenen Jurisdiktionen angesiedelt sind. Die Länderkennung allein lässt daher keine verlässliche Aussage über die tatsächliche Kontoführung oder die beteiligten Institute zu.
Underground Banking
Besondere Aufmerksamkeit widmet die Aufsicht dem sogenannten „Underground Banking“. Darunter versteht sie informelle Finanztransfersysteme, die Vermögenswerte außerhalb regulierter Banken- und Zahlungsverkehrsstrukturen transferieren und dabei häufig Vermittler, Handelsgeschäfte oder alternative Zahlungswege einsetzen. Solche Modelle können darauf angelegt sein, regulatorische Kontrollen, Kapitalverkehrsbeschränkungen oder Transparenzanforderungen zu umgehen. Kennzeichnend sind fragmentierte, häufig grenzüberschreitende Zahlungsstrukturen, die darauf abzielen, Herkunft, Empfänger und wirtschaftlichen Hintergrund von Vermögenswerten zu verschleiern.
vIBANs können in solchen Systemen als technische oder organisatorische Zwischenschicht eingesetzt werden. Die Trennung zwischen formellem Kontoinhaber, zwischengeschaltetem Zahlungsdienstleister und tatsächlichem Endkunden erschwert dann die Zuordnung von Einzahlern, Empfängern und wirtschaftlichem Zweck. Besonders bemerkenswert ist ein konkreter Befund der Bafin: Nach Analysen der FIU wurden in der Vergangenheit großvolumige Zahlungsströme über internationale Unternehmen mit zwischengeschaltetem Zahlungsdienstleister aus Hong Kong, China sowie generischen Verwendungszwecken festgestellt. Diese Erkenntnisse stützen die Annahme erhöhter Betrugs- und Geldwäscherisiken bei der Nutzung komplexer vIBAN-Strukturen durch ausländische Zahlungsdienstleister
Zu betonen ist, dass die Aufsichtsmitteilung vIBAN-Modelle nicht generell unter den Verdacht des Underground Banking stellt. Sie benennt vielmehr Konstellationen, in denen vorhandene Transparenzdefizite missbraucht werden können. Ein pauschaler Rückzug aus vIBAN-Produkten ist daher weder gefordert noch risikoadäquat. Gefordert ist eine Architektur, in der Informationen, Verantwortlichkeiten und Kontrollen der tatsächlichen Komplexität des Modells entsprechen.
Red Flags der Aufsicht
Die Bafin nennt in ihrer neuen Aufsichtsmitteilung eine Reihe typischer Risikoindikatoren. Für Institute bieten sie damit zugleich einen konkreten Ausgangspunkt, um Szenarien im Transaktionsmonitoring und Kriterien der Kundenrisikoklassifizierung zu überprüfen. Die konkreten Trigger für besondere Aufmerksamkeit sind aus Sicht der Aufsicht sind:
- zahlreiche vIBANs, die einem Masterkonto eines ausländischen Zahlungsdienstleisters – insbesondere aus einem Drittstaat – zugeordnet sind;
- unvollständige Angaben zu Endkunden, Adressdaten oder wirtschaftlich Berechtigten;
- hohe Transaktionsvolumina ohne erkennbare wirtschaftliche Tätigkeit;
- Zahlungseingänge von möglichen Strohgesellschaften (etwa neu gegründete Unternehmen, gleiche oder ungewöhnliche Geschäftsadresse, keine oder generische Internetauftritte) oder Zahlungen an Empfänger mit entsprechenden Merkmalen;
- generische oder unklare Verwendungszwecke (beispielhaft genannt werden „saldo invoice“, „saldo fattura“ oder „payment for goods“)
- kurze Nutzungsdauern einzelner vIBANs und auffällig schnelle Kontodurchläufe;
- komplexe internationale Zahlungswege oder die Zwischenschaltung mehrerer Zahlungsdienstleister;
- fragmentierte und wirtschaftlich nicht plausible Transaktionsmuster; sowie
- die Kombination von Handelsgeschäften und Zahlungsströmen ohne erkennbare wirtschaftliche Plausibilität.
Keiner dieser Indikatoren belegt für sich genommen Geldwäsche oder unerlaubtes Underground Banking. Entscheidend ist die Gesamtschau. Gerade die Kombination mehrerer Merkmale (z.B. Drittstaatenbezug + kurze Durchlaufzeiten + generische Verwendungszwecke + nicht nachvollziehbare Warenströme) kann jedoch Anlass für eine vertiefte Prüfung und gegebenenfalls eine Verdachtsmeldung geben.
Erwartete risikoorientierte Maßnahmen
Aus den beschriebenen Risiken leitet die BaFin konkrete Erwartungen an Kreditinstitute und Zahlungsdienstleister ab. Die neue Aufsichtsmitteilung konkretisiert, wie die Bafin die bereits bestehenden Pflichten aus dem Geldwäschegesetz und den einschlägigen Fachgesetzen auf vIBAN-Strukturen angewendet wissen will. Für Prüfungen und die laufende Aufsicht dürfte sie deshalb künftig einen wichtigen Erwartungsmaßstab bilden.
Die beschriebenen Risiken können insbesondere für kontoführende Kreditinstitute eine Anpassung ihrer geldwäscherechtlichen Sorgfalts-, Kontroll- und Überwachungsmaßnahmen erforderlich machen. Diese Maßnahmen sollen risikoorientiert an den Besonderheiten von vIBAN-Strukturen ausgerichtet werden. Verpflichtete haben den identifizierten Risiken durch angemessene Präventionsmaßnahmen zu begegnen – das betrifft sowohl Kreditinstitute als auch Zahlungsdienstleister.
Für die Bemessung des erforderlichen Aufwands gibt die BaFin einen klaren Maßstab vor: Art, Umfang und Intensität der Maßnahmen sollen sich insbesondere an der Komplexität der jeweiligen vIBAN-Strukturen, der Anzahl der beteiligten Zahlungsdienstleister sowie dem Grad der Transparenz über die Endkunden und deren wirtschaftlich Berechtigte orientieren. Praktisch bedeutet dies eine abgestufte Sorgfaltspflichtenlogik: Soweit vIBAN-Strukturen eine eindeutige Zuordnung von Zahlungsströmen zu den tatsächlichen Endkunden erschweren, sind risikobasiert erhöhte Anforderungen an die Informationsbeschaffung, Dokumentation und laufende Überwachung der Geschäftsbeziehung zu stellen. Dies gilt insbesondere bei mehrstufigen Modellen, grenzüberschreitenden Zahlungsstrukturen oder der Einbindung ausländischer Zahlungsdienstleister. Aufgrund der Komplexität dieser Strukturen ist regelmäßig zu prüfen, ob verstärkte Sorgfaltspflichten gemäß § 15 GwG anzuwenden sind.
Konkret nennt die BaFin folgende Mitigationsmaßnahmen:
1. Sicherstellung ausreichender Transparenz über Endkunden, wBs und Rollen
Institute müssen die Rollen sämtlicher an der Zahlungsabwicklung beteiligten Akteure verstehen und dokumentieren: Wer führt das Masterkonto? Wer gibt die vIBAN aus oder ordnet sie zu? Wer führt die Kundenidentifizierung durch? Wer kennt den wirtschaftlich Berechtigten? Wer überwacht welche Transaktionen und wer entscheidet über Auffälligkeiten oder Verdachtsmeldungen?
Dabei folgt aus der Mitteilung nicht automatisch, dass das kontoführende Institut jeden Endkunden als eigenen Vertragspartner nach § 10 GwG identifizieren muss. Es muss aber über ein Informationsniveau und vertraglich abgesicherte Zugriffsrechte verfügen, das eine angemessene Bewertung und Überwachung seiner eigenen Geschäftsbeziehung ermöglicht. Ein bloßer Verweis darauf, dass der zwischengeschaltete Zahlungsdienstleister seine Endkunden kenne, dürfte bei erhöhtem Risiko nicht genügen.
2. Verstärkte Sorgfaltspflichten prüfen
Bei mehrstufigen Modellen, grenzüberschreitenden Zahlungsstrukturen, ausländischen Zahlungsdienstleistern oder erheblichen Transparenzdefiziten ist nach der Bafin regelmäßig zu prüfen, ob verstärkte Sorgfaltspflichten nach § 15 GwG anzuwenden sind. „Regelmäßig prüfen“ bedeutet nicht, dass jede vIBAN-Struktur automatisch ein höheres Risiko aufweist. Die Entscheidung muss vielmehr auf einer dokumentierten Einzelfallbewertung beruhen. Je komplexer und intransparenter das Modell, desto höher sind allerdings die Anforderungen an die Begründung, wenn ein Institut kein erhöhtes Risiko annimmt.
3. Kunden- und Transaktionsprofile plausibilisieren
Die laufende Überwachung nach § 10 Abs. 1 Nr. 5 GwG muss das konkrete vIBAN-Modell abbilden. Erwartete Volumina, Herkunfts- und Zielländer, typische Zahler- und Empfängergruppen, Verwendungszwecke, Laufzeiten und Durchlaufgeschwindigkeiten sollten bereits beim Onboarding erhoben und anschließend mit dem tatsächlichen Verhalten abgeglichen werden. Abweichungen müssen nicht nur technisch erkannt, sondern wirtschaftlich untersucht und nachvollziehbar abgeschlossen werden.
4. Transaktionsmonitoring nachschärfen
Generische Monitoring-Szenarien werden komplexen vIBAN-Modellen häufig nicht gerecht. Benötigt werden Regeln, die nicht nur das Masterkonto aggregiert betrachten, sondern – soweit technisch und rechtlich möglich – auf Ebene einzelner vIBANs und der zugeordneten Endkunden analysieren. Relevant sind insbesondere schnelle Ein- und Auszahlungen, fragmentierte, mehrstufige oder grenzüberschreitender Zahlungsfolgen, ungewöhnliche Gegenparteien, Drittstaatenbezüge, wechselnde vIBANs und Abweichungen vom dokumentierten Geschäftsmodell.
5. Kontenabrufdatei nach § 24c KWG
Besondere praktische Bedeutung hat der Hinweis auf die Bafin-Allgemeinverfügung vom 8. Dezember 2020. Danach müssen Kreditinstitute bei bestimmten vIBAN-Strukturen mit deutscher Länderkennung die relevanten Endkundendaten in der Kontenabrufdatei nach § 24c Abs. 1 KWG erfassen. Die neue Aufsichtsmitteilung greift diese Erwartung ausdrücklich auf. Institute sollten daher prüfen, ob sämtliche betroffenen vIBANs vollständig, richtig und aktuell erfasst werden und ob die Datenlieferung durch eingebundene Zahlungsdienstleister vertraglich und technisch abgesichert ist.
6. Governance, Verträge und Schulungen
Die Kontrollarchitektur endet nicht beim Monitoringder vIBANs. Verträge mit eingebundenen Zahlungsdienstleistern sollten klare Pflichten zur Datenbereitstellung, Aktualisierung und Qualitätssicherung enthalten. Erforderlich sind außerdem Auskunfts-, Prüfungs- und Eskalationsrechte sowie Regelungen zu Unterauftragnehmern und weiteren Zahlungsdienstleistern in der Kette. Relevante Fachbereiche – insbesondere Vertrieb, Onboarding, Compliance, Geldwäscheprävention, Operations und Transaktionsmonitoring – sind zu den spezifischen Missbrauchsrisiken von vIBANs zu schulen. Die Bafin verweist insoweit ausdrücklich auf § 6 Abs. 2 Nr. 6 GwG.
Nicht nur ein Thema für die kontoführende Bank
Auch wenn viele Maßnahmen auf die Perspektive der kontoführenden Kreditinstitute zugeschnitten sind, nimmt die Bafin ausdrücklich auch Zahlungsdienstleister in die Pflicht. Sie sind häufig die einzige Stelle mit unmittelbarem Zugang zu Endkunden- und Geschäftsmodelldaten. Damit wird die Qualität ihrer KYC-Prozesse, ihres Monitorings und ihrer Datenhaltung zu einem wesentlichen Risikofaktor für die gesamte Zahlungskette.
Für Zahlungsdienstleister kann dies faktisch strengere Anforderungen aus der Bankbeziehung nach sich ziehen. Banken werden ihre Due-Diligence-Fragebögen, vertraglichen Informationsrechte und laufenden Kontrollen voraussichtlich erweitern. Zahlungsdienstleister sollten sich darauf einstellen, detaillierter nachweisen zu müssen, wie Endkunden identifiziert, wirtschaftlich Berechtigte ermittelt, Risiken klassifiziert und Auffälligkeiten untersucht werden. Ebenso wichtig ist die Fähigkeit, erforderliche Daten kurzfristig und in einem technisch nutzbaren Format bereitzustellen.
Vorgeschmack auf die AML-VO
Die deutsche Aufsichtsmitteilung steht nicht isoliert. Bereits die Europäische Bankenaufsichtsbehörde EBA hatte in ihrem Bericht zu virtuellen IBANs aus dem Jahr 2024 erhebliche Unterschiede bei Definition, regulatorischer Behandlung und Aufsichtspraxis in der EU festgestellt. Zu den identifizierten Risiken gehörten unter anderem unklare Verantwortlichkeiten, Defizite bei der Geldwäscheprävention und die Gefahr, dass Endkunden oder Behörden die tatsächliche geografische Zuordnung einer vIBAN missverstehen.
Dass die Bafin ihre Mitteilung bis zum 10. Juli 2027 befristet, ist kein Signal, dass die Risiken danach an Bedeutung verlieren. Vielmehr gilt ab diesem Zeitpunkt die AML-VO grundsätzlich unmittelbar. Institute sollten davon ausgehen, dass die europäische AML-VO vergleichbare oder verschärfte Transparenzanforderungen an vIBAN-Strukturen enthalten wird – die Mitteilung liefert insofern bereits jetzt wertvolle Anhaltspunkte für die Ausgestaltung künftiger, EU-weit harmonisierter Compliance-Prozesse.
Was Institute jetzt konkret tun sollten
- Produktinventar erstellen: Sämtliche vIBAN-Angebote, Masterkonten, Länderkennungen, beteiligten Gesellschaften und Intermediäre vollständig erfassen.
- Risikobewertung aktualisieren: Produkt-, Kunden-, Länder-, Vertriebs- und Transaktionsrisiken der jeweiligen Struktur bewerten und die genannten Red Flags abbilden.
- Rollenmodell dokumentieren: Verantwortlichkeiten für KYC, wirtschaftlich Berechtigte, Monitoring, Investigation, Verdachtsmeldungen und Behördenanfragen eindeutig zuordnen.
- Datenverfügbarkeit testen: Prüfen, welche Endkunden- und Transaktionsdaten tatsächlich vorhanden sind, wie schnell sie abgerufen werden können und ob sie die gesamte Zahlungskette abdecken.
- 24c-KWG-Umsetzung validieren: Betroffene DE-vIBANs und die hierzu gespeicherten Endkundendaten auf Vollständigkeit, Richtigkeit und Aktualität überprüfen.
- Monitoring kalibrieren: Szenarien und Schwellenwerte an vIBAN-spezifische Muster anpassen und sicherstellen, dass Analysen nicht auf der aggregierten Masterkontoebene stehen bleiben.
- Verträge nachschärfen: Datenlieferungs-, Aktualisierungs-, Prüfungs-, Eskalations- und Kooperationspflichten entlang der gesamten Dienstleisterkette absichern.
- Kontrollen belegen: Entscheidungen, Stichproben, Alerts, Untersuchungen und Maßnahmen so dokumentieren, dass ihre Angemessenheit in einer Prüfung nachvollzogen werden kann.
- Mitarbeitende schulen: Betroffene Fachbereiche gezielt für vIBAN- und Underground-Banking-Risiken sensibilisieren.
Fazit
Die neue Aufsichtsmitteilung ist kein Abgesang auf virtuelle IBANs. Sie ist aber eine deutliche Warnung vor Geschäftsmodellen, bei denen technische Effizienz auf Kosten regulatorischer Transparenz geht. Je mehr Ebenen, Jurisdiktionen und Zahlungsdienstleister zwischen Masterkonto und tatsächlichem Endkunden liegen, desto belastbarer müssen Informationszugang, Datenqualität, Monitoring und Verantwortungszuordnung ausgestaltet sein.
Für Banken und Zahlungsdienstleister besteht daher kurzfristiger Handlungsbedarf. Wer vIBAN-Strukturen betreibt oder ermöglicht, sollte nicht bis zur nächsten Sonderprüfung oder zur Anwendung der AMLR warten. Die Aufsichtsmitteilung liefert bereits heute einen konkreten Katalog, an dem die Angemessenheit der eigenen Präventionsmaßnahmen gemessen werden kann.
