Die Landkarte der Aufsichtsbehörden: Wer setzt was durch und wie Prüfungen ablaufen

# Die Landkarte der Aufsichtsbehörden: Wer setzt was durch und wie Prüfungen ablaufen

Der Chief Compliance Officer eines Fintechs bekommt an einem Dienstag eine E-Mail: „Das OCC will bis Freitag einen Walkthrough Ihres BSA/AML-Programms, und es zieht das über Ihre Partnerbank, nicht über Sie." Dieser Satz enthält die gesamte Architektur der Fintech-Regulierung in einer Zeile: Das Fintech selbst hat oft keinen direkten Regulator, seine Partnerbank aber schon, und die Befugnis dieses Regulators fließt über den Partnerschaftsvertrag direkt in den Betrieb des Fintechs.

Diese Lektion baut die Landkarte: Wer besitzt welches Risiko, und was passiert tatsächlich, wenn ein Prüfer auftaucht.

Warum Fintechs indirekt reguliert werden

Die meisten Kredit-, Einlagen- und Zahlungsprodukte von Fintechs in den USA basieren nicht auf der eigenen Banklizenz des Fintechs. Sie basieren auf der Lizenz einer Partnerbank, über Konstruktionen, die man manchmal „Bank-Fintech-Partnerschaften" nennt oder, im Kreditgeschäft, „Rent-a-Bank"-Modelle.

Das ist wichtig, weil US-Bankenaufseher Banken beaufsichtigen, nicht Fintechs. Wenn ein Fintech mit einer Bank kooperiert, wird das Fintech zum „Dritten" im Risikomanagement der Bank, und der Regulator der Bank erhält über die Prüfung der Bank indirekte, aber reale Befugnisse über das Fintech.

Die US-Landkarte: vier Behörden, vier Risikoperspektiven

OCC (Office of the Comptroller of the Currency): erteilt Lizenzen an und beaufsichtigt national chartered banks und federal savings associations. Wenn Ihre Partnerbank eine nationale Lizenz hat (die Cross River Bank war historisch state-chartered, aber viele Partnerbanken werden vom OCC beaufsichtigt), ist die Guidance zum Third-Party-Risikomanagement des OCC (Bulletin 2021-19) das Regelwerk dafür, wie diese Bank Sie prüfen, vertraglich binden und überwachen muss.

FDIC (Federal Deposit Insurance Corporation): beaufsichtigt state-chartered banks, die keine Mitglieder der Federal Reserve sind, und versichert Einlagen bis 250.000 USD pro Einleger pro Bank (Stand 2026, unverändert seit 2010). Viele „Banking-as-a-Service"-Partner von Fintechs, etwa die Banken hinter Neobank-Apps, sind FDIC-beaufsichtigte state nonmember banks.

Federal Reserve: beaufsichtigt state-chartered banks, die Fed-Mitglieder sind, sowie Bankholdings. Besitzt Systemrisiko und die Transmission der Geldpolitik; für Fintechs vor allem über den Zugang zu Zahlungssystemen und Holdingstrukturen relevant.

CFPB (Consumer Financial Protection Bureau): geschaffen durch den Dodd-Frank Act (2010), setzt Verbraucherschutzrecht direkt gegenüber Nichtbanken ab bestimmten Größenschwellen durch, nicht nur über Partnerbanken. Das ist die einzige Behörde, die Fintechs direkt erreichen kann. Sie setzt unter anderem den Truth in Lending Act (TILA), den Equal Credit Opportunity Act (ECOA) und den Electronic Fund Transfer Act (EFTA) durch. 2024-2025 hat das CFPB eine Regel finalisiert, große Nichtbanken mit digitalen Zahlungs-Apps direkt zu beaufsichtigen, eine substanzielle Ausweitung der direkten Fintech-Aufsicht (Status und Durchsetzungshaltung haben mit Führungswechseln geschwankt, prüfen Sie den aktuellen Geltungsbereich, bevor Sie sich darauf verlassen).

FinCEN (Financial Crimes Enforcement Network): eine Behörde des US-Finanzministeriums, verwaltet den Bank Secrecy Act (BSA, 1970) und dessen Anti-Money-Laundering-(AML-)Anforderungen. FinCEN prüft die meisten Fintechs nicht direkt, setzt aber die Regeln (Know Your Customer/KYC, Suspicious Activity Reports/SARs, Currency Transaction Reports/CTRs), die Banken in ihre Partnerschaftsverträge mit Fintechs weitergeben. Money Services Businesses (MSBs), zu denen viele Krypto- und Zahlungsunternehmen gehören, registrieren sich direkt bei FinCEN.

SEC (Securities and Exchange Commission): relevant, wenn Fintech-Produkte Wertpapiere berühren, Robo-Advisors, Krypto-TokenTokenA token is the basic unit of text that language models process, often a word fragment, whole word, or punctuation mark rather than a single character.Vollständige Definition ansehen →, die als Wertpapiere eingeordnet werden, tokenisierte Fonds. Die laufenden Enforcement-Verfahren der SEC gegen Krypto-Plattformen (Coinbase, Ripple-Verfahren über 2023-2025) zeigen, dass diese Grenze aktiv umstritten ist.

CFTC (Commodity Futures Trading Commission): besitzt Derivate und, je nach laufender Zuständigkeitsdebatte, viele Krypto-Commodities wie Bitcoin.

Die Europa-Landkarte: weniger Behörden, breitere Binnenmarktreichweite

EZB (Europäische Zentralbank): beaufsichtigt die größten, „bedeutenden" Banken des Euroraums direkt über den Single Supervisory Mechanism (SSM) und setzt die Geldpolitik für die Eurozone. Fintechs, die mit einer großen Bank des Euroraums kooperieren, sind indirekt von den Aufsichtsstandards der EZB betroffen.

EBA (European Banking Authority): schreibt bindende technische Standards, die EU-weit gelten, darunter Regeln unter PSD2 (der zweiten Zahlungsdiensterichtlinie, 2015/2018) zu Open-Banking-APIs und starker Kundenauthentifizierung.

National Competent Authorities (NCAs): Die laufende Aufsicht in der EU ist überwiegend national. Die deutsche BaFin, die französische ACPR und die Central Bank of Ireland sind die Stellen, mit denen Fintechs tatsächlich zu tun haben, da viele Fintechs eine Lizenz aus einem EU-Mitgliedstaat nach Binnenmarktregeln in die gesamte Union „passporten".

FCA (Financial Conduct Authority): der britische Conduct-Regulator (nach dem Brexit nicht mehr im EU-Passporting-Regime), zuständig für Verbraucherschutz, Marktverhalten und die meisten Fintech-Zulassungen (Payment Institutions, E-Money Institutions). Die Regulatory Sandbox der FCA war Vorlage für andere Regulatoren.

PRA (Prudential Regulation Authority): Teil der Bank of England, übernimmt die prudenzielle Aufsicht (Kapital, Solvenz) über britische Banken und größere Versicherer und arbeitet im britischen „Twin Peaks"-Modell neben der FCA.

Der Einzeiler zur Risikoverantwortung

| Risikobereich | Zuständig USA | Zuständig EU/UK |

|---|---|---|

| Sicherheit und Solidität von Banken | OCC / FDIC / Fed | EZB / nationale NCAs / PRA |

| Verbraucherschutz, fair lending | CFPB | FCA |

| Geldwäschebekämpfung | FinCEN (Regeln), Banken (Umsetzung) | EBA (Standards), NCAs (Durchsetzung) |

| Wertpapiere und TokenTokenA token is the basic unit of text that language models process, often a word fragment, whole word, or punctuation mark rather than a single character.Vollständige Definition ansehen → | SEC | ESMA / NCAs |

| Zahlungsverkehr und Open Banking | Fed (Rails), CFPB (Conduct) | EBA / PSD2, FCA |

Eine echte Third-Party-Risk-Prüfung durchgespielt

So läuft die Abfolge, wenn eine Partnerbank eine OCC- oder FDIC-Prüfung durchläuft, die Ihr Fintech als Dritten mit „critical activity" einbezieht.

1. Dokumentenanforderung vor der Prüfung. Der Prüfer schickt der Bank eine Anforderungsliste; die Bank leitet die relevanten Punkte an Sie weiter. Typische Anfragen: Ihre Informationssicherheitsrichtlinie, SOC-2-Bericht, BSA/AML-Verfahren, Vendor Management Ihrer eigenen Subunternehmer, Incident-Response-Plan sowie Protokolle des Board oder der Geschäftsführung zur Aufsicht über die Partnerschaft.

2. Prüfung von Vertrag und Due Diligence. Prüfer kontrollieren, ob die Bank vor Ihrem Onboarding ausreichende Due Diligence gemacht hat (Finanzlage, rechtliche Historie, Datensicherheitsniveau) und ob der Vertrag der Bank echte Auditrechte, KKThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →ündigungsrechte und klare Datenverantwortung gibt. Schwache Verträge sind ein Top-Finding.

3. Walkthrough und Testing. Prüfer (manchmal mit dem Fintech vor Ort, manchmal remote über die Bank) testen Kontrollen: Sie ziehen eine Stichprobe von Kreditakten oder Konten, prüfen die Vollständigkeit der KYC-Dokumentation, verifizieren die Fristgerechtheit von SAR-Meldungen, testen, ob Marketingaussagen zu den tatsächlichen APR-Angaben nach TILA passen.

4. Matters Requiring Attention (MRAs) oder Consent Orders. Finden Prüfer Lücken, erhält die Bank eine MRA (eine formale, nicht öffentliche Anweisung, etwas bis zu einer Frist zu beheben) oder, bei schweren oder wiederholten Problemen, eine öffentliche Consent Order. Das sickert vertraglich durch: Die Bank verlangt vom Fintech häufig, einen Remediation-Plan mit konkreten Terminen und Nachweisen zum Abschluss mitzuzeichnen.

5. Remediation und Folgeprüfung. Das Fintech setzt Korrekturen um, erzeugt Nachweise (aktualisierte Richtlinien, nachgeschultes Personal, korrigierte Angaben), und die Bank berichtet den Prüfern den Fortschritt, teils mit einer Prüfung durch Dritte, um zu bestätigen, dass die Korrektur tatsächlich gewirkt hat.

Die praktische Lehre: Ein Compliance-Team im Fintech sollte davon ausgehen, dass jede interne Kontrolle irgendwann von einem Prüfer gelesen wird, nur mit 18 bis 24 Monaten Verzögerung über den Prüfzyklus der Bank.

Wo Enforcement tatsächlich landet

Die jüngere Geschichte ist lehrreich, nicht vollständig. US-Bankenaufseher haben Consent Orders gegen Partnerbanken wegen BSA/AML-Schwächen im Zusammenhang mit Fintech-Partnerschaften erlassen (mehrere Verfahren 2023-2024 gegen Banken wie Blue Ridge Bank und Cross River Bank betrafen Mängel in Fintech-Programmen, öffentlich einsehbar in der Enforcement-Action-Datenbank der FDIC). Das CFPB hat direkte Verfahren gegen Nichtbank-Fintechs wegen irreführenden Marketings und Junk Fees geführt. Das Muster: Banken werden für Aufsichtsversäumnisse belangt, Fintechs für direkten Verbraucherschaden, und beide, wenn AML-Kontrollen versagen.

🎬 [VIDEO: „How Banking Regulation Works in the US" - youtube.com - suchen Sie nach Erklärinhalten der Federal Reserve oder des OCC zur US-Bankenaufsichtsstruktur und zum Prüfprozess]

Key Takeaways

• In den USA werden die meisten verbrauchernahen Fintechs indirekt über den Regulator ihrer Partnerbank reguliert (OCC, FDIC oder Fed), während die Regeln des CFPB und von FinCEN Fintechs direkter erreichen kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen.
• In Europa übernehmen nationale Behörden (BaFin, ACPR, Central Bank of Ireland) die laufende Aufsicht nach EU-weiten Standards von EBA und EZB; die britischen FCA und PRA betreiben nach dem Brexit ein eigenes „Twin Peaks"-System.
• Die Third-Party-Risk-Prüfung einer Partnerbank folgt einer vorhersehbaren Abfolge: Dokumentenanforderung, Due-Diligence- und Vertragsprüfung, Kontrolltests, Findings (MRA oder Consent Order) und ein Remediation-Plan, den das Fintech in der Regel mitzeichnen muss.
• Schwache Verträge mit Dritten, vor allem fehlende Auditrechte oder unklare Datenverantwortung, sind ein wiederkehrendes Prüferfinding, unabhängig vom zugrunde liegenden Geschäft.
• Rechnen Sie mit 18 bis 24 Monaten Verzögerung zwischen einer internen Kontrolllücke und dem Moment, in dem ein Prüfer sie findet: Bauen Sie Compliance-Nachweise jetzt auf, nicht reaktiv.