Virtuelle IBANs, BaFin und Strafrecht: wenn die deutsche IBAN zum Problem wird
Eine IBAN mit der Kennung „DE" sieht nach Deutschland aus - nach einem Konto unter der Aufsicht der BaFin. Wenn dahinter aber eine im Ausland regulierte Bank und ein ausländisches Masterkonto stehen, entsteht genau die Diskrepanz, die Aufseher alarmiert. Aus einem Effizienzinstrument des Zahlungsverkehrs wird dann schnell ein Aufsichtsverfahren - und im nächsten Schritt ein strafrechtlicher Vorwurf gegen die Verantwortlichen.
Was virtuelle IBANs sind
Eine virtuelle IBAN (vIBAN) ist eine Kennung, die einem Kunden oder einem bestimmten Zahlungsvorgang zugeordnet wird, ohne dass ihr zwingend ein eigenes Zahlungskonto zugrunde liegt. Eingehende Zahlungen werden einem zentralen Haupt- oder Sammelkonto („Masterkonto") zugeordnet und dort geführt. Kreditinstitute stellen Zahlungsdienstleistern ein solches Masterkonto samt verknüpfter vIBANs bereit; die Zahlungsdienstleister weisen diese wiederum ihren eigenen Endkunden zu, um Zahlungen sauber zuordnen zu können.
Für den Zahlungsverkehr ist das ein enormer Effizienzgewinn: Gelder lassen sich automatisiert und pro Kunde zuordnen, ohne für jeden ein eigenes Konto zu eröffnen. Die Kehrseite: In mehrstufigen Modellen kennt das kontoführende Institut oft nur den Zahlungsdienstleister als seinen Kunden - nicht aber die Endkunden, die die vIBAN tatsächlich nutzen, und schon gar nicht deren wirtschaftlich Berechtigte. Damit wird die Nachvollziehbarkeit von Zahlungsströmen genau dort unscharf, wo die Geldwäscheprävention sie am dringendsten braucht.
Der DE-Schein: Aufsicht, die nur so aussieht
Der eigentliche Zündstoff liegt in der Länderkennung. Eine vIBAN kann mit deutschem Präfix „DE" ausgegeben werden, obwohl das zugehörige Masterkonto im Ausland geführt wird und die dahinterstehende Bank von einer ausländischen Aufsicht reguliert ist. Für Kunden und Geschäftspartner entsteht der Eindruck, es handele sich um ein deutsches Konto unter der Aufsicht der BaFin - tatsächlich ist es das nicht.
Diese Diskrepanz ist es, die Aufseher alarmiert: Sie sehen die Gefahr, dass über die vertraute deutsche IBAN eine Aufsicht suggeriert wird, die gar nicht besteht, und dass sich hinter der technischen Struktur Zahlungsströme verbergen, die niemand mehr sauber einem Endkunden zuordnen kann. Zu beachten ist dabei: Eine im EWR zugelassene Bank oder ein Zahlungsinstitut darf ihre Dienste über den sogenannten Europäischen Pass (Passporting) grundsätzlich auch in Deutschland erbringen - über eine Niederlassung oder grenzüberschreitend im Wege der Dienstleistungsfreiheit. Die grenzüberschreitende Tätigkeit als solche ist also nicht das Problem. Heikel wird es, wenn in Deutschland eine eigene Erlaubnis erforderlich gewesen wäre - etwa bei Instituten aus Drittstaaten oder bei Tätigkeiten außerhalb der Zulassung -, wenn Transparenz- und Sorgfaltspflichten verletzt werden, oder wenn der äußere Anschein einer deutschen IBAN die tatsächliche Aufsichtslage verdeckt.
BaFin und FIU: die Aufsichtsmitteilung 06/2026
Am 27. Juli 2026 haben BaFin und die Financial Intelligence Unit (FIU) mit der Aufsichtsmitteilung 06/2026 (A) ausdrücklich vor den geldwäscherechtlichen Risiken virtueller IBANs im Zusammenhang mit Underground-Banking gewarnt - also mit informellen Finanztransfersystemen außerhalb regulierter Strukturen. Ziel ist es, die Verpflichteten des Finanzsektors zu sensibilisieren; die Mitteilung gilt bis zum Geltungsbeginn der EU-Geldwäscheverordnung am 10. Juli 2027.
Die Aufsicht benennt konkrete Warnzeichen. Nach Analysen der FIU wurden dabei großvolumige Zahlungsströme über internationale Unternehmen mit zwischengeschalteten Zahlungsdienstleistern aus Hongkong und China und generischen Verwendungszwecken festgestellt.
Woran die Aufsicht erhöhte Risiken erkennt
- Viele vIBANs auf einem Masterkonto eines ausländischen Zahlungsdienstleisters, besonders aus einem Drittstaat.
- Unvollständige Angaben zu wirtschaftlich Berechtigten der Endkunden.
- Hohe Transaktionsvolumina ohne erkennbare wirtschaftliche Tätigkeit.
- Hinweise auf Strohgesellschaften (neu gegründet, generische oder fehlende Internetauftritte, ungewöhnliche Adressen).
- Generische Verwendungszwecke („saldo invoice", „payment for goods"), sehr kurze Nutzungsdauer der vIBANs, schnelle Kontodurchläufe.
- Komplexe internationale Zahlungswege, Zwischenschaltung mehrerer Zahlungsdienstleister.
Wo das Aufsichtsrecht ins Strafrecht kippt
Solange die BaFin fragt, prüft und Auflagen macht, bewegt man sich im Aufsichtsrecht. Der Ton ändert sich, sobald der Verdacht im Raum steht, dass in Deutschland ohne die erforderliche Erlaubnis Bankgeschäfte oder Zahlungsdienste erbracht werden. Dann geht es nicht mehr nur um Auflagen, sondern um Straftatbestände:
- Unerlaubtes Betreiben von Bankgeschäften (§ 54 KWG) - wer ohne Erlaubnis nach § 32 KWG Bankgeschäfte betreibt. Schon Leichtfertigkeit genügt.
- Unerlaubte Erbringung von Zahlungsdiensten (§ 63 ZAG) - das Pendant für Zahlungsdienste und E-Geld-Geschäft ohne die erforderliche Erlaubnis.
- Geldwäsche (§ 261 StGB) - seit der Reform 2021 im All-Crime-Ansatz und bereits bei Leichtfertigkeit strafbar; die Verschleierung von Herkunft und wirtschaftlichem Hintergrund ist der Kern des Underground-Banking.
- Flankierend: Bußgelder nach dem GwG (§ 56 GwG) und eine Verbandsgeldbuße gegen das Institut (§§ 30, 130 OWiG).
Der entscheidende Punkt für die Verteidigung ist, dass diese Vorwürfe rechtlich anspruchsvoll sind: ob in Deutschland überhaupt eine eigene Erlaubnis erforderlich war oder die ausländische Zulassung über den Europäischen Pass genügte, wo genau die Erlaubnispflicht beginnt, ob den Verantwortlichen Vorsatz oder Leichtfertigkeit trifft - das sind schwierige Fragen an der Grenze von Aufsichts-, Europa- und Strafrecht. Genau hier lässt sich am meisten erreichen, wenn man früh und sauber argumentiert, statt den Vorwurf als gegeben hinzunehmen.
Die persönliche Verantwortung der Geschäftsleiter
Das deutsche Strafrecht kennt keine Unternehmensstrafe. Die Staatsanwaltschaft ermittelt daher gegen die verantwortlichen natürlichen Personen - regelmäßig die Geschäftsleiter sowie die für Compliance und Geldwäscheprävention Verantwortlichen. Für die Betroffenen bedeutet das: Es geht nicht abstrakt um „die Bank", sondern um die eigene Person, die eigene Zulassung, den eigenen Ruf. Und weil dieselben Sachverhalte parallel im Aufsichts-, Bußgeld- und Strafverfahren verhandelt werden, wirkt jede Aussage in einem Strang in allen anderen fort.
Die ersten Schritte.
- Strafrechtliche Verteidigung früh hinzuziehen - parallel zur aufsichtsrechtlichen Beratung, nicht erst nach der Drohung mit Strafanzeige.
- Kommunikation mit der Aufsicht steuern - abgestimmt über eine Hand, keine spontanen Erklärungen der Verantwortlichen.
- Unterlagen sichern und ordnen - Verträge mit Zahlungsdienstleistern, KYC-Nachweise, Monitoring-Protokolle, Erlaubnis- und Passporting-Lage.
- Die Rechtsfrage aufbereiten - ob eine deutsche Erlaubnis erforderlich war oder die ausländische Zulassung (Europäischer Pass) genügte, Vorsatz vs. Leichtfertigkeit.
- Die Personen schützen - die persönliche Verantwortlichkeit der Geschäftsleiter von Anfang an mitdenken.
Was jetzt zu tun ist
Für Institute und Zahlungsdienstleister, die mit vIBAN-Strukturen arbeiten, lohnt der Blick auf drei Ebenen. Erstens die eigene Struktur: Wie viel Transparenz besteht tatsächlich über Endkunden und wirtschaftlich Berechtigte, und lassen sich Zahlungsströme sauber zuordnen? Zweitens die Prozesse: verstärkte Sorgfaltspflichten (§ 15 GwG), risikoorientiertes Transaktionsmonitoring (§ 25h KWG) und die korrekte Erfassung in der Kontenabrufdatei (§ 24c KWG). Drittens - und das wird oft zu spät bedacht - die strafrechtliche Vorsorge: Wer die persönliche Verantwortlichkeit der Geschäftsleiter erst dann ernst nimmt, wenn die BaFin mit Strafanzeige droht, verhandelt aus der Defensive.
Die Erfahrung zeigt: Solche Verfahren lassen sich beruhigen, wenn aufsichtsrechtliche und strafrechtliche Verteidigung von Anfang an zusammenarbeiten - die eine ordnet das Verhältnis zur Aufsicht, die andere schützt die handelnden Personen und verhindert, dass aus einer angespannten Anhörung ein Ermittlungsverfahren wird.
Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Beratung im Einzelfall. Rechtsstand: August 2026. Grundlage der aufsichtlichen Einordnung ist die BaFin-Aufsichtsmitteilung 06/2026 (A) vom 27. Juli 2026.
Niels Hoffmann berät Banken, Zahlungsdienstleister und ihre Geschäftsleiter an der Schnittstelle von Wirtschaftsstrafrecht, Geldwäscheprävention und Aufsicht - und übernimmt die strafrechtliche Flanke, wenn ein BaFin-Verfahren zu eskalieren droht. Aus Frankfurt, dem Sitz von BaFin und AMLA.
Virtuelle IBANs und Strafrecht - kurz beantwortet.
Was ist eine virtuelle IBAN (vIBAN)?
Eine Kennung, die einem Kunden oder Zahlungsvorgang zugeordnet wird, ohne dass ihr zwingend ein eigenes Zahlungskonto zugrunde liegt. Eingehende Zahlungen laufen auf ein zentrales Masterkonto. Kreditinstitute stellen Zahlungsdienstleistern Masterkonten samt vIBANs bereit; diese vergeben sie an ihre Endkunden. Effizient - aber die Nachvollziehbarkeit von Zahlungsströmen kann leiden.
Warum ist eine deutsche IBAN (DE) für eine ausländische Bank heikel?
Eine vIBAN mit DE-Kennung erweckt den Eindruck eines deutschen, von der BaFin beaufsichtigten Kontos - obwohl das Masterkonto im Ausland geführt und die Bank von einer anderen Aufsicht reguliert sein kann. Diese Diskrepanz stört die BaFin: Sie sieht Transparenz- und Aufsichtslücken und die Gefahr, dass über die tatsächliche Aufsicht getäuscht wird.
Wo kippt das Aufsichtsrecht ins Strafrecht?
Wenn die BaFin annimmt, dass in Deutschland ohne die erforderliche Erlaubnis Bankgeschäfte oder Zahlungsdienste erbracht werden, steht der Vorwurf des unerlaubten Betreibens im Raum - strafbar nach § 54 KWG bzw. § 63 ZAG, wobei schon leichtfertiges Handeln genügen kann. Hinzu treten Geldwäsche (§ 261 StGB) und Bußgelder nach dem GwG.
Wer haftet strafrechtlich - die Bank oder die Geschäftsleiter?
Das deutsche Strafrecht kennt keine Unternehmensstrafe. Ermittelt wird gegen die verantwortlichen natürlichen Personen - regelmäßig die Geschäftsleiter und die für Geldwäscheprävention Verantwortlichen. Das Institut kann daneben mit einer Verbandsgeldbuße (§§ 30, 130 OWiG) und aufsichtsrechtlichen Maßnahmen belegt werden.
Was sagt die BaFin-Aufsichtsmitteilung 06/2026?
Die Aufsichtsmitteilung 06/2026 (A) vom 27. Juli 2026 warnt gemeinsam mit der FIU vor geldwäscherechtlichen Risiken virtueller IBANs im Zusammenhang mit Underground-Banking, benennt typische Risikoindikatoren und erwartet risikoorientiert verstärkte Sorgfaltspflichten (§ 15 GwG). Sie gilt bis zum Geltungsbeginn der EU-Geldwäscheverordnung am 10. Juli 2027.
Was sollten betroffene Institute jetzt tun?
vIBAN-Strukturen auf Transparenz über Endkunden und wirtschaftlich Berechtigte prüfen, verstärkte Sorgfaltspflichten und Monitoring anpassen, die Erfassung in der Kontenabrufdatei (§ 24c KWG) sicherstellen - und sobald die BaFin Fragen stellt oder mit Verfahren droht, neben der aufsichtsrechtlichen Beratung früh strafrechtliche Verteidigung hinzuziehen.