Virtuelle IBANs: Was die BaFin-Aufsichtsmitteilung für Institute bedeutet

Okt. 28, 2026

Virtuelle IBANs (vIBANs) erleichtern die automatisierte Zuordnung von Zahlungen und kommen in unterschiedlichen Zahlungsmodellen zum Einsatz. Insbesondere bei mehrstufigen und grenzüberschreitenden Strukturen können sie jedoch erhebliche Transparenz- und Kontrollrisiken für die Prävention von Geldwäsche und Terrorismusfinanzierung begründen.

Auf diese Risiken macht die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) mit ihrer Aufsichtsmitteilung 06/2026 (A) vom 27. Juli 2026 aufmerksam. Grundlage sind unter anderem gemeinsame Erkenntnisse mit der Zentralstelle für Finanztrans-aktionsuntersuchungen (Financial Intelligence Unit, FIU) zu informellen Finanztransfer-systemen (Underground Banking).

Auf einen Blick

Was gilt: Die BaFin stellt vIBANs nicht in Frage, erwartet aber bei mehrstufigen und grenzüberschreitenden Strukturen Transparenz bis auf Endkundenebene. Die Aufsichtsmitteilung gilt bis zum 10. Juli 2027.
Was verbindlich ist: Neue Pflichten schafft die Mitteilung nicht. Sie konkretisiert GwG, KWG und ZAG. Für Kreditinstitute unmittelbar verbindlich ist dagegen die Allgemeinverfügung zur Kontenabrufdatei aus dem Jahr 2020.
Was zu tun ist: Bestandsaufnahme jetzt, Verträge und Monitoring bis Ende des ersten Quartals 2027, AMLR-Readiness bis Juli 2027 (siehe Fahrplan unten).

Warum virtuelle IBANs Risiken mit sich bringen können

Virtuelle IBANs sind Kennungen im IBAN-Format, die einem Kunden oder einem Zahlungsvorgang zugeordnet werden, ohne dass ihnen zwingend ein eigenes Zahlungskonto zugrunde liegt. Eingehende Zahlungen werden stattdessen auf ein zentrales Sammelkonto, das sogenannte Masterkonto, geleitet.

Besonders relevant sind mehrstufige Modelle (Re-Issuing). Dabei gibt ein Zahlungsdienstleister vIBANs an eigene Kunden weiter. Für das kontoführende Kreditinstitut kann dadurch eine Transparenzlücke entstehen: Es kennt unter Umständen nur den Zahlungsdienstleister, nicht aber die Endkunden und deren wirtschaftlich Berechtigte.

Eine zusätzliche Herausforderung ergibt sich bei grenzüberschreitenden Modellen. Trägt eine vIBAN beispielsweise eine deutsche Länderkennung, während das zugehörige Masterkonto im Ausland geführt wird, kann ein unzutreffender Inlandsbezug entstehen.

Entscheidend ist damit nicht allein die technische Nutzung virtueller IBANs, sondern auch die Frage, wie nachvollziehbar die dahinterliegenden Kundenbeziehungen und Zahlungsströme für die beteiligten Institute sind.

BaFin und FIU sehen konkrete Missbrauchsrisiken

Dass solche Transparenzlücken auch für illegale Finanztransaktionen genutzt werden können, zeigen Erkenntnisse aus der Aufsichtspraxis. Komplexe Strukturen können die Identifizierung der Beteiligten und die Nachvollziehbarkeit des wirtschaftlichen Hintergrunds erschweren.

Laut BaFin hat die FIU großvolumige Zahlungsströme über international tätige Unternehmen unter Einschaltung von Zahlungsdienstleistern aus Hongkong und China festgestellt, häufig mit generischen Verwendungszwecken. Nach Einschätzung der BaFin stützt dies die Annahme erhöhter Betrugs- und Geldwäscherisiken bei komplexen vIBAN-Strukturen.

Um entsprechende Risiken besser erkennen und bewerten zu können, benennt die BaFin verschiedene Indikatoren. Diese betreffen sowohl den Aufbau der Zahlungs-strukturen als auch die verfügbaren Kundendaten und das Transaktionsverhalten.

Für die Bewertung dieser Risiken nennt die BaFin insbesondere folgende Indikatoren:

Struktur: zahlreiche vIBANs für das Masterkonto eines ausländischen Zahlungsdienstleisters, insbesondere aus einem Drittstaat; die Zwischenschaltung mehrerer Zahlungsdienstleister; komplexe internationale Zahlungswege.
Kunden und Daten: Hinweise auf eine unvollständige Erfassung von Kunden- und Adressdaten oder Angaben zu wirtschaftlich Berechtigten durch den Zahlungsdienstleister; hohe Zahlungseingänge von möglichen Strohgesellschaften; Hinweise auf Strohgesellschaften aufseiten der Zahlungsempfänger.
Transaktionen: hohe Volumina ohne erkennbare wirtschaftliche Tätigkeit; generische oder unklare Verwendungszwecke; kurze Nutzungsdauern der vIBANs oder auffällig schnelle Kontodurchläufe; fragmentierte oder wirtschaftlich nicht plausible Transaktionsmuster; eine nicht plausible Verbindung zwischen Handelsgeschäften und Zahlungsströmen.

Für die praktische Bewertung ist dabei eine wichtige Unterscheidung zu beachten: Die Indikatoren begründen für sich genommen weder einen Verdachtsfall noch eine Meldepflicht, sondern sind in einer dokumentierten Gesamtwürdigung zu bewerten.

Deuten Tatsachen darauf hin, dass ein Vermögensgegenstand aus einer strafbaren Handlung stammt, die eine Vortat der Geldwäsche darstellen könnte, oder im Zusammenhang mit Terrorismusfinanzierung steht, ist unverzüglich an die FIU zu melden (§ 43 Abs. 1 GwG). Ein strafprozessualer Verdacht ist dafür nicht erforderlich.

Was die BaFin von Instituten erwartet

Aus den beschriebenen Risiken ergeben sich konkrete Anforderungen an den Umgang mit virtuellen IBANs. Die Aufsichtsmitteilung schafft dabei keine neuen gesetzlichen Pflichten, sondern konkretisiert den aufsichtlichen Maßstab für die risikoorientierte Erfüllung bestehender Pflichten.

Art und Intensität der Maßnahmen richten sich nach der Komplexität der Struktur, der Zahl der beteiligten Zahlungsdienstleister und der Transparenz über Endkunden. Bei mehrstufigen, grenzüberschreitenden oder ausländisch geprägten Modellen ist regelmäßig zu prüfen, ob verstärkte Sorgfalts-pflichten nach § 15 GwG anzuwenden sind.

Im Mittelpunkt stehen dabei insbesondere die Transparenz über Endkunden und wirtschaftlich Berechtigte sowie aktuelle Informationen über das Geschäftsmodell und die Kontrollen eingebundener Zahlungsdienstleister. Hinzu kommen die Plausibilitätsprüfung von Zahlungsströmen, ein risikoorientiertes Transaktionsmonitoring sowie regelmäßige Schulungen.

Neben diesen aufsichtlichen Erwartungen müssen Kreditinstitute eine weitere Vorgabe berücksichtigen. Bereits seit 2020 besteht eine unmittelbar verbindliche Regelung zur Erfassung virtueller IBANs in der Kontenabrufdatei. Nach der BaFin-Allgemeinverfügung vom 8. Dezember 2020 sind vIBANs, die an Zahlungsdienst-leister zur Weitergabe ausgegeben werden, in der Kontenabrufdatei nach § 24c KWG zu erfassen. Dabei ist der Zahlungsdienstleister als Kontoinhaber und der Endkunde bzw. die letztberechtigte Person als Verfügungsberechtigter bzw. wirtschaftlich Berechtigter anzugeben.

Als Verwaltungsakt ist die Allgemeinverfügung für ihre Adressaten unmittelbar verbindlich.

Fahrplan: In drei Phasen bis zur AMLR

Neben den bestehenden Anforderungen müssen sich Institute auf die EU-Geldwäscheverordnung (AMLR) vorbereiten, die ab dem 10. Juli 2027 anzuwenden ist. Bis zu diesem Zeitpunkt bleiben rund neun Monate, um vorhandene vIBAN-Strukturen zu überprüfen und notwendige Anpassungen vorzubereiten.

Dafür bietet sich ein Vorgehen in drei Phasen an. Zunächst sollten Institute Transparenz über bestehende Modelle und mögliche Risiken schaffen. Darauf aufbauend lassen sich vertragliche und operative Maßnahmen umsetzen, bevor Datenmodelle und Prozesse auf die Anforderungen der AMLR ausgerichtet werden.

Phase 1 – sofort (bis Ende 2026): alle vIBAN-Modelle mit Masterkonten, Zahlungsdienstleistern, Intermediären und Länderkennungen inventarisieren; die Kontenabrufdatei auf Vollständigkeit prüfen; die Risikoanalyse nach § 5 GwG ergänzen und die Entscheidung über verstärkte Sorgfaltspflichten je Modell dokumentieren.
Phase 2 – bis Ende des ersten Quartals 2027: Verträge mit Zahlungsdienstleistern nachschärfen, das Transaktionsmonitoring um die BaFin-Indikatoren erweitern und die betroffenen Fachbereiche schulen.
Phase 3 – bis 10. Juli 2027: Datenmodell und Prozesse an Art. 22 Abs. 3 AMLR ausrichten, Stichproben bei Zahlungsdienstleistern durchführen und die Wirksamkeit der Maßnahmen überprüfen.

Mit dieser zeitlichen Staffelung können Institute zunächst bestehende Transparenz-lücken identifizieren und anschließend gezielt an den betroffenen Prozessen und Kontrollen ansetzen.

Empfehlungen für die Praxis

Über die beschriebenen Anforderungen hinaus können weitere organisatorische und technische Maßnahmen helfen, die Transparenz über virtuelle IBANs zu verbessern. Besonders bei komplexen Strukturen kommt es darauf an, die Informationen über beteiligte Zahlungsdienstleister, Endkunden und Transaktionen nachvollziehbar zusammenzuführen.

Die folgenden Empfehlungen gehen über die Aufsichtsmitteilung hinaus und stellen keine aufsichtlichen Mindestanforderungen dar:

Korrespondenzbeziehung prüfen: Bei Masterkonten für Zahlungsdienstleister aus Drittstaaten sollte nach hier vertretener Auffassung geprüft werden, ob eine Korrespondenzbeziehung im Sinne des GwG vorliegen kann; in diesem Fall greifen die verstärkten Pflichten nach § 15 Abs. 3 Nr. 4 i. V. m. Abs. 7 GwG.
Vertragliche Absicherung: Herausgaberechte zu Endkundendaten mit festen Fristen (Orientierung: fünf Arbeitstage nach Art. 22 Abs. 3 AMLR), Zustimmungsvorbehalt für die Weitergabe an weitere Intermediäre sowie Audit- und Kündigungsrechte vereinbaren.
Zentrales vIBAN-Register: jede vIBAN mit Masterkonto, Zahlungsdienstleister, Endkunde, Eröffnungs- und Schließungsdatum verknüpfen und regelmäßig mit der Kontenabrufdatei abgleichen.
Monitoring auf Endkundenebene: vIBAN-spezifische Szenarien (z. B. Durchlaufquoten, Lebensdauer, Namensabweichungen) einsetzen und Ergebnisse der Empfängerüberprüfung (Verification of Payee) sowie das Sanktionsscreening der Endkunden einbeziehen.
Governance und Kommunikation: neue vIBAN-Modelle über den Neu-Produkt-Prozess freigeben, Exit-Kriterien festlegen und bei Rückfragen an Zahlungsdienstleister das Verbot der Informationsweitergabe nach § 47 GwG beachten.

Ausblick: EU-Geldwäscheverordnung

ab 10. Juli 2027

Mit dem Anwendungsbeginn der AMLR am 10. Juli 2027 verändert sich auch der regulatorische Rahmen für virtuelle IBANs. Die aktuelle BaFin-Aufsichtsmitteilung ist bis zu diesem Zeitpunkt befristet. Diese Befristung betrifft jedoch ausschließlich die Mitteilung selbst. Die Risiken und die Pflicht zu ihrer Berücksichtigung bestehen fort.

Die AMLR definiert die vIBAN erstmals (Art. 2 Abs. 1 Nr. 26) und verpflichtet Kredit- und Finanzinstitute in Art. 22 Abs. 3, die Nutzer der von ihnen ausgegebenen vIBANs zu identifizieren. Das kontoführende Institut muss die Daten zur Identifizierung der natürlichen Person, die die vIBAN nutzt, vom ausgebenden Institut spätestens innerhalb von fünf Arbeitstagen nach Anforderung erhalten können. Zudem sind nach Art. 16 der 6. EU-Geldwäscherichtlinie die zentralen Kontenregister auf vIBANs zu erstrecken (Umsetzung in nationales Recht erforderlich).

Für Institute ist die Transparenz über die tatsächlichen Nutzer virtueller IBANs damit sowohl unter den bestehenden aufsichtsrechtlichen Erwartungen als auch mit Blick auf die AMLR relevant. Wer bereits jetzt die notwendigen Informationen bis auf Endkundenebene verfügbar macht und die zugehörigen Prozesse überprüft, schafft eine Grundlage, um die aktuellen Anforderungen zu erfüllen und sich auf die AMLR vorzubereiten.

Quellen

Stand: Oktober 2026

Titelfoto von Christian Lue auf Unsplash

Sophie Karl