BaFin-ZAG-Lizenz 2026: Der vollständige Leitfaden für PI und EMI in Deutschland

BaFin und der ZAG-Rahmen

Das Zahlungsdiensteaufsichtsgesetz (ZAG) ist die deutsche Umsetzung von PSD2 und EMD2. Es regelt Zulassung und Aufsicht von Zahlungsinstituten (PI) und E-Geld-Instituten (EMI). Zuständige Behörde ist die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin), unterstützt durch die Deutsche Bundesbank bei prudentiellen Fragen.

Deutschland ist die größte EU-Wirtschaft und der größte Endnutzermarkt für Zahlungsdienste. Eine BaFin PI- oder EMI-Lizenz ist ein tier-1-Gütesiegel, das bei institutionellen Kunden, Corporate-Kunden und Banking-Partnern Gewicht hat. Der Trade-off: Die BaFin ist einer der gründlichsten und anspruchsvollsten EU-Supervisoren.

Umfang: PI, EMI und Abgrenzung zum KWG

ZAG deckt PSD2-Annex-I-Services und EMD2-E-Geld ab. Einige Aktivitäten, die in anderen Jurisdiktionen unter Zahlungs-Lizenzen fallen, bleiben in Deutschland unter dem separaten Kreditwesengesetz (KWG): Einlagen, Kredite, Wertpapier-Brokerage, Custody von Finanzinstrumenten und Krypto-Verwahrung (letzteres jetzt MiCA).

Verfahren und Zeitrahmen

• Voranfrage. BaFin-Industry-Contact-Desk-Gespräche essenziell.
• Einreichung. Akte auf Deutsch bei der BaFin. Für die Erlaubnis fällt eine Gebühr an; den aktuellen Betrag vorab bei der BaFin klären.
• Materielle Prüfung. 3 Monate gesetzlich ab vollständiger Akte, 9 bis 15 Monate real end-to-end.
• EMI: 12 bis 18 Monate real.

Substanz, Organisation und DORA

• Geschäftsleiter. Mindestens zwei mit BaFin-Einzelzulassung.
• Geldwäschebeauftragter, Compliance, Risk, IT-Verantwortung mit echter Präsenz und ausreichender Kapazität.
• Reales Büro in Deutschland, BaFin-Ortsbesuche.
• DORA statt ZAIT. Die BaFin hat die ZAIT (IT-Anforderungen für Zahlungs- und E-Geld-Institute) mit Ablauf des 16. Januar 2025 aufgehoben, seit dem 17. Januar 2025 gilt DORA. Die Pflicht zu einer ordnungsgemäßen Geschäftsorganisation mit angemessenem Risikomanagement nach § 27 ZAG bleibt.
• ICT-Incident-Reporting innerhalb 4 Stunden nach Erkennung.

PSD3 für deutsche ZAG-Institute

PSD3 und PSR erreichten am 27. November 2025 eine vorläufige politische Einigung. Deutsche ZAG-Institute werden in die einheitliche PSD3-Kategorie "Zahlungsinstitut mit E-Geld-Emissionsbefugnis" übernommen. Die Empfängerüberprüfung (Verification of Payee, IBAN-Namens-Abgleich) gilt schon jetzt: Nach der Instant-Payments-Verordnung (EU) 2024/886 ist sie seit dem 9. Oktober 2025 für alle Euro-Überweisungen verpflichtend, Standard wie Instant, auch für Zahlungs- und E-Geld-Institute. Für PSD3 sollten Sie zusätzlich APP-Betrugserkennung, Safeguarding-Diversifikation und strengere Substanz einplanen.

Starten Sie Ihr ZAG-lizenziertes Produkt mit Crassula

Crassula Core führt das Ledger, Kundenkonten mit virtuellen IBANs, SEPA- und SEPA-Instant-Flows und den Audit-Trail. Karten kommen über vorintegrierte Issuer, mit denen Sie selbst den Vertrag schließen, und die Identitätsprüfung läuft über angebundene Verifizierungsanbieter. Transaktionsmonitoring, Sanktionsscreening, die Sicherungspflicht und das Meldewesen an die BaFin bleiben bei Ihnen und Ihren Dienstleistern. Crassula liefert dafür Ledger-Salden, Transaktionsexporte und als Ihr IKT-Dienstleister die Angaben zu Vorfällen und Auslagerung, die Sie für DORA brauchen.

FAQ