Finanzmarktregulierung.

Darunter fallen die Regeln, die festlegen, wer Finanzdienstleistungen anbieten darf, welche Erlaubnisse nötig sind und welche laufenden Organisations-, Kapital-, Risiko- und Compliance-Pflichten Institute einhalten müssen.

Typischerweise dann, wenn ein Geschäftsmodell Bankgeschäfte/Finanzdienstleistungen (KWG), Zahlungsdienste oder E-Geld (ZAG) oder Fondsverwaltung/Investmentgeschäft (KAGB) berührt – die genaue Einordnung hängt vom konkreten Produkt und den Abläufen ab.

Ein Erlaubnistatbestand ist ein gesetzlich definierter Tatbestand im KWG (z. B. Einlagengeschäft, Kreditgeschäft oder bestimmte Finanzdienstleistungen), der – wenn er durch das Geschäftsmodell erfüllt wird – eine aufsichtsrechtliche Erlaubnis auslösen kann. Das ist nicht nur für klassische Banken relevant: Auch die Darlehensvergabe kann – je nach Ausgestaltung und Systematik – eine Erlaubnispflicht begründen, etwa wenn sie gewerbsmäßig oder in kaufmännisch eingerichteter Weise betrieben wird. Unternehmerische Finanzierungslösungen sollten daher frühzeitig darauf geprüft werden, ob sie aufsichtsrechtlich als erlaubnispflichtiges Geschäft einzuordnen sind.

„Fit-and-Proper“ beschreibt die Anforderungen an Geschäftsleiter und Aufsichtsgremien, insbesondere fachliche Eignung, Erfahrung, Zuverlässigkeit und ausreichende zeitliche Verfügbarkeit.

Weil Aufsicht und Prüfer Governance als Grundlage für Risiko- und Compliance-Steuerung sehen: klare Zuständigkeiten, Kontrollfunktionen, Vergütungssysteme und dokumentierte Entscheidungsprozesse.

Die MaRisk (Mindestanforderungen an das Risikomanagement) konkretisieren organisatorische Erwartungen der Aufsicht – u. a. zu Aufbau-/Ablauforganisation, Risikocontrolling, Compliance, Auslagerungen und Dokumentation.

SREP (Supervisory Review and Evaluation Process) ist der aufsichtliche Überprüfungsprozess, in dem u. a. Geschäftsmodell, Governance, Risikoprofil, Kapitalausstattung und Liquidität bewertet werden; Ergebnisse können zusätzliche Anforderungen auslösen.

Bei kritischen/wesentlichen Auslagerungen erwartet die Aufsicht u. a. Provider-Due-Diligence, Mindestvertragsinhalte, Steuerungs- und Kontrollrechte, Exit-Strategien und laufendes Monitoring – sonst drohen Beanstandungen.

Typisch sind Audit- und Zugriffsrechte, Subdienstleister-Regeln, Informations-/Incident-Pflichten, Daten- und Geheimhaltung, Standort-/Cloud-Regeln, Exit/Transition sowie klare KPIs/SLA – abgestimmt auf Aufsichtsanforderungen.

DORA (Digital Operational Resilience Act) ist EU-weit geltendes Regelwerk zu ICT-Risikomanagement, Vorfallmeldungen, Resilienztests und ICT-Drittparteirisiken (inkl. vertraglicher Mindestanforderungen). Es gilt seit 17. Januar 2025.

Gemeint ist die Fähigkeit, DORA-Anforderungen operativ umzusetzen: Governance, Policies, Incident-Management, Tests, Drittparteiensteuerung und belastbare Dokumentation (z. B. Informationsregister/Provider-Landschaft).

MiCAR (Markets in Crypto-Assets Regulation) schafft ein EU-Regime für Krypto-Assets. Ein CASP ist ein „Crypto-Asset Service Provider“ (z. B. Verwahrung, Handel, Tausch, Plattformbetrieb) und benötigt – je nach Tätigkeit – eine MiCAR-Erlaubnis.

MiCAR gilt schrittweise; u. a. starteten Regelungen für bestimmte Token-Kategorien früher, während das Regime für Dienstleistungen breit Ende 2024 anwendbar wurde. Timing ist wichtig wegen Übergangs-/Grandfathering-Fragen und Lizenzierungsplanung.

Je nach Ausgestaltung können Kryptodienstleistungen zusätzlich Schnittstellen zu Bank-/Zahlungs-/Investmentrechtauslösen (z. B. Zahlungsabwicklung, E-Geld, Fondsstruktur) – deshalb ist die Produktstrukturierung entscheidend.

Das ist das aufsichtliche Verfahren bei Erwerb/Erhöhung qualifizierter Beteiligungen an Instituten. Es prüft u. a. Zuverlässigkeit des Erwerbers, Finanzkraft und Einfluss auf solide Geschäftsführung.

Weil zusätzlich zu SPA/Share Deal Fragen aufsichtliche Anzeigen/Erlaubnisse, Inhaberkontrolle, Governance-Anpassungen, Outsourcing- und IT-Risiken sowie oft ein enger Zeitplan mit Behördenkommunikation relevant sind.

EMIR regelt u. a. Clearing-, Reporting- und Risikominderungspflichten bei OTC-Derivaten; betroffen sind je nach Konstellation Finanz- und bestimmte Nichtfinanzunternehmen.

LCR (Liquidity Coverage Ratio) und NSFR (Net Stable Funding Ratio) sind Kennzahlen zur kurzfristigen bzw. strukturellen Liquidität – zentral bei Aufsichtsdialogen, Funding-Strategie und SREP.

MREL (Minimum Requirement for own funds and Eligible Liabilities) ist eine Mindestanforderung an verlusttragfähige Mittel/Passiva, relevant für Sanierungs- und Abwicklungsfähigkeit und Funding-Strukturen.

SAG/BRRD bilden den Rahmen für Sanierung und Abwicklung von Instituten. Recovery & Resolution Planning betrifft u. a. Sanierungspläne, Abwicklungsstrategien und operative Umsetzbarkeit im Krisenfall.

MAR (Market Abuse Regulation) betrifft Insiderinformationen und Marktmanipulation; Berührungspunkte ergeben sich z. B. über Emittenten, handelbare Instrumente, Projektinformationen oder Insiderlisten/Compliance-Prozesse.

Ein AML-Framework umfasst Risikoanalyse, KYC/Monitoring, Verdachtsmeldungen, Schulungen, interne Kontrollen und klare Verantwortlichkeiten – oft eng mit Sanktions-/Embargo-Screening verzahnt.

Enforcement umfasst aufsichtliche Maßnahmen und Verfahren – von Beanstandungen und Anordnungen über Sonderprüfungen bis zu Bußgeldverfahren und Remediation-Programmen.

SFDR und EU-Taxonomie regeln ESG-Offenlegung und Klassifizierung nachhaltiger Aktivitäten; relevant sind Governance, Produkt-Disclosure, Datenprozesse und konsistente Kommunikation (auch zur Vermeidung von Greenwashing-Risiken).

In Deutschland sind typischerweise die BaFin als zentrale Finanzaufsicht und die Deutsche Bundesbank im Rahmen der laufenden Aufsicht und Prüfungen eingebunden. Je nach Institutsart und Größe kommt außerdem eine Einbindung europäischer Institutionen hinzu, insbesondere im einheitlichen Aufsichtsmechanismus (SSM).

Der SSM ist das europäische Aufsichtssystem, in dem die EZB die direkte Aufsicht über bedeutende Institute führt, während nationale Behörden (z. B. BaFin/Bundesbank) in die Aufsicht eingebunden bleiben. Weniger bedeutende Institute werden meist weiterhin national beaufsichtigt, jedoch unter dem Rahmen des SSM.

Die EBA (Banken), ESMA (Kapitalmärkte) und EIOPA (Versicherungen) sind EU-Behörden, die technische Standards, Leitlinien und Auslegungshilfen erarbeiten. Auch wenn sie nicht immer direkt „aufsichtliche Bescheide“ erlassen, prägen ihre Vorgaben maßgeblich die Aufsichtspraxis und damit Anforderungen an Governance, Reporting und Compliance.

EU-Passporting ermöglicht es regulierten Unternehmen, bestimmte Finanzdienstleistungen grenzüberschreitend im EWR zu erbringen, entweder über eine Zweigniederlassung (Branch) oder im Rahmen der Dienstleistungsfreiheit (Freedom to provide services). Praktisch erfolgt das über ein Notifikationsverfahren: Das Institut meldet der Heimataufsicht (Home NCA), in welchen Ländern und mit welchen Aktivitäten es tätig werden will; die Heimataufsicht informiert die zuständigen Behörden im Aufnahmestaat (Host). Je nach Regime (z. B. MiFID-Kontext) sind Inhalt und Form der Notifikationen detailliert standardisiert.

Bei luxemburgischen Instituten läuft die Notifikation typischerweise über die CSSF als zuständige Heimataufsicht. Die CSSF beschreibt für verschiedene Institutsarten (u. a. Kreditinstitute, Investment Firms) die „European passport“-Prozesse und die Einreichung der Notifikationsunterlagen (inkl. Änderungen/Beendigung) über die vorgesehenen Kanäle/Portale.

Die Schweiz ist nicht Teil des EU/EWR-Passporting-Systems. Grenzüberschreitende Aktivitäten mit Schweiz-Bezug müssen daher nach schweizerischem Aufsichtsrecht strukturiert werden; zentrale Ansprechpartnerin ist die FINMA als Schweizer Finanzmarktaufsicht. Ob und welche lokalen Pflichten (z. B. Zulassungen, Verhaltens-/Organisationspflichten, ggf. Registrierungen/Anknüpfungen) ausgelöst werden, hängt stark vom Geschäftsmodell und der Zielkundschaft ab.