Die deutsche Finanzaufsicht BaFin schlägt Alarm: Virtuelle IBANs (vIBANs) haben sich zu einem zentralen Werkzeug für Kriminelle entwickelt, um illegale Zahlungsströme im Schattenreich des Underground Bankings zu verschleiern. Am 27. Juli 2026 hat die BaFin eine neue Aufsichtsmitteilung (06/2026) veröffentlicht, die Kreditinstitute und Zahlungsdienstleister zu deutlich strengeren Kontrollen verpflichtet. Die Gefahr ist real: Kriminelle nutzen kaskadierte Strukturen und gefälschte Identitäten, um Gelder unbemerkt über Konten im In- und Ausland zu schleusen. Doch wie genau funktioniert die Geldwäsche mit virtuellen IBANs, welche Warnsignale müssen Banken erkennen und welche Konsequenzen drohen der Finanzbranche? Wir werfen einen tiefen Blick in die neuen Vorgaben der Aufsicht.
Was genau sind vIBANs und warum begünstigen sie Geldwäsche mit virtuellen IBANs?
Eine virtuelle IBAN ist eine alphanumerische Kennung, die nach außen hin wie eine gewöhnliche Bankverbindung aussieht – inklusive der Länderkennung (wie zum Beispiel „DE“ für Deutschland), einer Bankleitzahl und Kontonummer. Der entscheidende Unterschied liegt jedoch in der technischen Verknüpfung: Einer vIBAN liegt kein eigenes, separat geführtes Bankkonto zugrunde. Stattdessen werden alle eingehenden Zahlungen automatisch auf ein zentrales Haupt- oder Sammelkonto – ein sogenanntes Master-Account – weitergeleitet und dort gebucht.
In der Praxis bringt diese Technologie erhebliche betriebswirtschaftliche Vorteile mit sich:
- Effizienz im Rechnungswesen: Unternehmen nutzen vIBANs, um eingehende Kundenzahlungen automatisiert und ohne manuelle Abgleiche von Rechnungsnummern zuzuordnen.
- Skalierbarkeit für FinTechs: Zahlungsdienstleister (z. B. ZAG-Institute) können ihren Geschäftskunden rasch individuelle Kennungen für Zahlungsabwicklungen bereitstellen.
Allerdings entsteht genau durch diese Bauweise ein gravierendes Transparenzproblem, das die Geldwäsche mit virtuellen IBANs massiv erleichtert:
- Verdeckung der tatsächlichen Endkunden: Kontoführende Kreditinstitute kennen häufig nur den zwischengeschalteten Zahlungsdienstleister als ihren direkten Vertragspartner. Die tatsächlichen Nutzer der vIBAN – die Endkunden oder wirtschaftlich Berechtigten – bleiben für die Bank oft völlig unsichtbar.
- Kaskadierung („Re-Issuing“): Vergibt eine Bank eine vIBAN an ein FinTech, und reicht dieses die vIBAN weiter an weitere Zwischenhändler, Marktplätze oder Plattformen, entsteht eine mehrstufige Kette ohne direkte vertragliche Bindung zum ursprünglichen Kreditinstitut.
- Täuschende Länderkennungen: Eine vIBAN kann eine deutsche Länderkennung („DE“) besitzen, während das dazugehörige Master-Account tatsächlich im Ausland (beispielsweise in Asien oder Drittstaaten) geführt wird. Dies täuscht Verbraucher sowie Sicherheitsbehörden über den realen Zielort der Gelder.
Das Trojanische Pferd im Underground Banking: Zitate aus dem BaFin-Interview
Wie gefährlich die Situation im Alltag tatsächlich ist, verdeutlicht BaFin-Exekutivdirektorin Birgit Rodolphe im offiziellen Interview zur Veröffentlichung der Aufsichtsmitteilung. Sie beschreibt die Systematik mit drastischen Worten:
„Underground-Banking-Systeme haben sich längst zu professionellen, digitalen Finanznetzwerken entwickelt. Die vIBAN kann dann als trojanisches Pferd dienen. Komplexe Strukturen im Hintergrund sind nicht auf Anhieb erkennbar.“
Beim Underground Banking – also informellen Finanztransfersystemen wie dem bekannten Hawala-Banking – werden Gelder außerhalb regulierter Finanzkanäle verschoben. Kriminelle nutzen die Anonymität von vIBAN-Kaskaden, um Herkunft, Empfänger und wirtschaftliche Hintergründe systematisch zu verschleiern.
Rodolphe betont zudem, dass die bisherigen regulatorischen Mittel der Finanzaufsicht nicht mehr ausreichten:
„Ja, wir brauchen die Aufsichtsmitteilung, weil unsere Allgemeinverfügung aus dem Jahr 2020 nicht mehr ausreichte. Sie hat zwar die Transparenz verbessert. Sie hat aber nicht alle Risiken abgedeckt. Mit der Aufsichtsmitteilung beleuchten wir vor allem grenzüberschreitende und komplexe Strukturen oder Zahlungen in Hochrisikoländer.“
Erkenntnisse der Financial Intelligence Unit (FIU) und der BaFin bestätigen diese Sorge: In der Vergangenheit wurden großvolumige Transaktionsströme über internationale Unternehmen aufgedeckt, bei denen ausländische Zahlungsdienstleister – beispielsweise aus Hongkong oder China – zwischengeschaltet waren und generische Verwendungszwecke genutzt wurden.
Typische Risikoindikatoren: Wann Banken hellhörig werden müssen
Um Verpflichtete aus dem Finanzsektor effektiv zu unterstützen, listet die BaFin in ihrer Aufsichtsmitteilung 06/2026 konkrete Alarmzeichen (Red Flags) auf. Tritt eine Kombination dieser Faktoren auf, ist das Risiko für Geldwäsche mit virtuellen IBANs als extrem hoch einzustufen:
| Risiko-Kategorie | Konkrete Indikatoren & Warnsignale |
|---|---|
| Partner- & Netzwerkstruktur | Exzessive Nutzung zahlreicher vIBANs für ein einziges Masterkonto eines ausländischen Zahlungsdienstleisters (insbesondere aus Drittstaaten); Zwischenschaltung mehrerer Zahlungsdienstleister ohne klaren Grund. |
| Endkunden-Transparenz | Unvollständige oder fehlende Stammdaten, Adressangaben und Identitätsnachweise bezüglich der wirtschaftlich Berechtigten bei den Zahlungsdienstleistern. |
| Strohgesellschaften | Hohe Zahlungseingänge von oder an neu gegründete Unternehmen mit auffälligen Merkmalen (gleiche/ungewöhnliche Adresse, fehlender oder generischer Internetauftritt, unplausibles Warenangebot). |
| Transaktionsverhalten | Hohe Transaktionsvolumina ohne erkennbare reale wirtschaftliche Tätigkeit; auffällig schnelle Kontodurchläufe und kurze Nutzungsdauern der vIBANs. |
| Verwendungszwecke | Vage und generische Angaben in der Überweisung wie „saldo invoice“, „saldo fattura“ oder „payment for goods“. |
| Komplexität | Fragmentierte, grenzüberschreitende Zahlungswege und Kombinationen von Handelsgeschäften ohne ökonomische Plausibilität. |
Welche Maßnahmen verlangt die BaFin von Kreditinstituten und Zahlungsdienstleistern?
Die Aufsichtsmitteilung ist kein unverbindlicher Leitfaden, sondern stellt klare Erwartungen an das Risikomanagement der Banken und FinTechs. Die Institute müssen ihre geldwäscherechtlichen Sorgfalts-, Kontroll- und Überwachungsmaßnahmen risikoorientiert anpassen.
1. Verstärkte Sorgfaltspflichten nach § 15 GwG
Sobald mehrstufige vIBAN-Modelle oder ausländische Zahlungsdienstleister eingebunden sind, müssen Institute regelmäßig prüfen, ob verstärkte Sorgfaltspflichten gemäß § 15 Geldwäschegesetz (GwG) anzuwenden sind. Das bedeutet:
- Umfassende Beschaffung von Zusatzinformationen über die Identität der tatsächlichen Endkunden.
- Laufende Überprüfung der ökonomischen Plausibilität von Transaktionsmustern und Kundenprofilen.
2. Prüfung des Geschäftsmodells von Partnern
Kreditinstitute dürfen Konten für FinTechs nicht mehr blind bereitstellen. Birgit Rodolphe stellt hierzu klar:
„Wenn potenzielle Kunden ein Geschäftsmodell haben, das nur daraus besteht, virtuelle IBANs herauszugeben, sollten Banken und Zahlungsdienstleister dies auf jeden Fall kritisch hinterfragen und angemessen auf die Risiken reagieren.“
3. Anpassung des Transaktionsmonitorings (§ 25h KWG)
Die automatisierte Überwachung von Zahlungsvorgängen muss so programmiert werden, dass sie atypische Mustersplitterungen, ungewöhnliche Transaktionsketten über mehrere Länder und vIBAN-Kaskaden verlässlich erkennt.
4. Speicherung in der Kontenabrufdatei (§ 24c KWG)
Bereits seit der Allgemeinverfügung von 2020 gilt: Banken müssen sicherstellen, dass die Endkunden bzw. letztberechtigten natürlichen Personen hinter einer vIBAN ordnungsgemäß in der Kontenabrufdatei erfasst werden.
Übergangsfrist bis 2027: Die EU-Geldwäscheverordnung wirft ihren Schatten voraus
Die vorliegende Aufsichtsmitteilung 06/2026 der BaFin ist mit sofortiger Wirkung gültig und gilt exakt bis zum 10. Juli 2027. An diesem Stichtag tritt die neue EU-Geldwäscheverordnung (AMLR) in Kraft, die europaweit einheitliche und noch strengere Regeln zur Geldwäscheprävention etablieren wird.
Bis dahin nutzt die BaFin die verbleibende Zeit, um den deutschen Finanzmarkt intensiv zu durchleuchten. Bereits 2025 führte die Behörde eine umfassende Feldstudie durch, bei der Institute identifiziert wurden, die vIBAN-Modelle mit stark erhöhtem Risiko betrieben. Die klare Botschaft an Vorstände und Compliance-Offiziere lautet daher: Wer jetzt keine wirksamen Präventionsmaßnahmen ergreift, riskiert aufsichtsrechtliche Sanktionen.
Fazit: Transparenz ist die einzige Medizin gegen das Trojanische Pferd
Virtuelle IBANs sind an sich keine illegale Erfindung – sie bieten moderne, effiziente Lösungen für den digitalen Handel. Doch in den Händen internationaler Geldwäscher-Netzwerke verwandeln sie sich schnell in gefährliche Werkzeuge der Kriminalität.
Für Kreditinstitute und FinTechs gibt es daher ab sofort nur noch einen Weg: Lückenlose Transparenz schaffen, Partner kritisch prüfen und verstärkte Sorgfaltspflichten konsequent umsetzen. Nur durch ein risikoadäquates Transaktionsmonitoring und gut geschultes Personal lässt sich das Trojanische Pferd im Zahlungsverkehr erfolgreich stoppen.