BaFin- und FINMA-Aufsichtsschwerpunkte: Was Compliance-Teams daraus ableiten

Kurzantwort: Die BaFin-Aufsichtsschwerpunkte für 2026 und der FINMA-Risikomonitor 2025 treffen sich bei drei Compliance-Themen: Geldwäschereiprävention, Cyber- und IKT-Risiken sowie Abhängigkeit von IT-Dienstleistern. Die FINMA zählt zusätzlich Sanktionen zu ihren neun Hauptrisiken. Die BaFin kündigt 2026 mindestens 75 Sonderprüfungen zur Geldwäscheprävention an. Compliance-Teams sollten Risikoanalyse, Kundenrisikoklassifizierung, Auslagerungsinventar und Sanktionsprozesse jetzt prüfen.

Dieser Überblick richtet sich an Heads of Compliance, Geldwäschereifachstellen und Legal-Teams von Banken, Versicherern, Vermögensverwaltern, Zahlungsdienstleistern und Kryptodienstleistern in Deutschland und der Schweiz. Er ordnet die BaFin-Aufsichtsschwerpunkte und den FINMA-Risikomonitor nebeneinander ein und zeigt, welche Arbeit daraus folgt und wer sie erledigt.

Worum geht es bei den Aufsichtsschwerpunkten von BaFin und FINMA?

Beide Aufsichtsbehörden veröffentlichen jährlich, welche Risiken sie besonders beobachten und wo sie ihre Aufsicht konzentrieren. Für Compliance-Teams sind diese Berichte eine verlässliche öffentliche Vorschau auf Prüfungen, Vor-Ort-Kontrollen und Aufsichtsgespräche.

• BaFin «Risiken im Fokus 2026» (28. Januar 2026): sechs Finanzmarktrisiken, darunter Cyber-Vorfälle mit gravierenden Auswirkungen, Konzentrationen bei der Auslagerung von IKT-Dienstleistungen und unzureichende Prävention von Geldwäsche und Terrorismusfinanzierung. Erstmals kommen drei Verbraucherrisiken dazu: Konsumfinanzierung auf Kredit, Investitionen in Kryptowerte unter dem Einfluss sozialer Medien und Kosten kapitalbildender Lebensversicherungen. Die Reihenfolge sagt laut BaFin nichts über die Priorität aus.
• FINMA-Risikomonitor 2025 (17. November 2025): neun Hauptrisiken. Finanziell sind es Immobilien und Hypotheken, übrige Kredite, Credit-Spread-Risiken sowie Liquidität und Refinanzierung. Nicht finanziell sind es Geldwäscherei, Sanktionen, Outsourcing, Cyberrisiken und IKT-Risiken. Erstmals ist der Klimarisikobericht Teil des Risikomonitors.

Für Compliance-Teams in beiden Ländern zählen vor allem die nicht finanziellen Risiken. Die folgende Tabelle stellt sie nebeneinander.

Quelle: BaFin, Risiken im Fokus 2026; FINMA, Risikomonitor 2025 und Medienmitteilung vom 17.11.2025; Zusammenstellung Alpinum Solutions, Stand November 2026.

Wer ist betroffen?

Betroffen sind alle Institute unter Aufsicht von BaFin oder FINMA, aber nicht alle gleich stark. Die Schwerpunkte zielen vor allem auf diese Gruppen:

• Banken: Geldwäscherei-Sonderprüfungen mit Fokus auf die Kundenrisikoklassifizierung (DE), Vor-Ort-Kontrollen zu Risikotoleranz und Hochrisikokunden (CH), Cyber-Kontrollen bei den grossen Kategorien.
• Vermögensverwaltung und Private Banking: Die FINMA sieht im Vermögensverwaltungsbereich teilweise hohe Geldwäschereirisiken; Kunden aus Hochrisikoländern und Kryptotransaktionen bleiben erhöht.
• Zahlungsdienstleister und Agenten: Die BaFin sieht organisatorische Schwächen bei Kundenidentifizierung und Risikobewertung und nimmt Agenten von EU-Zahlungsinstituten mit hohem Risiko in den Blick. In Deutschland sind mehr als 5'000 solcher Agenten registriert.
• Kryptowerte-Dienstleister: Prüfung der Travel Rule, die seit Dezember 2024 anwendbar ist, und Transaktionen mit selbst gehosteten Adressen.
• Versicherer: IKT-Auslagerungen und Cyber betreffen alle Sektoren; die BaFin nennt zudem die Kosten kapitalbildender Lebensversicherungen als Verbraucherrisiko.
• Schweizer Gruppen mit Gesellschaften in Deutschland: Sie müssen beide Schwerpunktlisten abdecken, oft mit demselben Team.

Fristen und Stand

Die Schwerpunkte selbst sind keine Fristen, aber sie fallen mit festen Terminen zusammen. Diese Daten sind an den Primärquellen geprüft:

Weitere Termine aus EU-Recht, Deutschland und der Schweiz zeigt der Regulatorik-Kalender Legal & Compliance.

Was Unternehmen jetzt tun müssen

Compliance-Teams sollten die Schwerpunkte wie eine angekündigte Prüfungsagenda behandeln und die eigenen Unterlagen vorher gegen sie abgleichen. Ein bewährtes Vorgehen:

1. Abgleich durchführen: Jedes Schwerpunktthema der zuständigen Aufsicht einer verantwortlichen Person und einem aktuellen Dokument zuordnen, etwa Risikoanalyse, Weisung oder Auslagerungsinventar.
2. Geldwäschereirisikoanalyse aktualisieren: Risikotoleranz, Kundenrisikoklassifizierung und den Umgang mit Hochrisikokunden und politisch exponierten Personen prüfen. In Deutschland gelten dafür das Geldwäschegesetz und die Auslegungs- und Anwendungshinweise der BaFin, in der Schweiz das GwG und die GwV-FINMA.
3. Szenarien für Umgehungsgeschäfte einbauen: Monitoring-Regeln um Muster wie Phantomhandel, Über- oder Unterfakturierung und Zwischenschaltung von Gesellschaften ohne plausiblen Grund erweitern, wie es die BaFin beschreibt.
4. Sanktionsmanagement testen: Screening, Eigentums- und Kontrollprüfungen und die Behandlung von Treffern dokumentieren, besonders bei Geschäft mit Bezug zu Russland oder zu Anrainerstaaten.
5. Auslagerungen und IKT-Drittparteien inventarisieren: In Deutschland das DORA-Informationsregister vollständig halten, in der Schweiz das Inventar wesentlicher Auslagerungen und die Vorgaben zur operationellen Resilienz nach FINMA-RS 2023/1.
6. Befunde nachhalten: Offene Feststellungen aus Prüfberichten priorisieren und mit Termin und Verantwortung abarbeiten, bevor eine Vor-Ort-Kontrolle ansteht.

Wie Institute offene Feststellungen strukturiert abbauen, zeigt der Ratgeber Compliance-Remediation nach Prüfungsfeststellungen. Die deutschen Pflichten im Detail erklärt der Beitrag Geldwäscheprävention in Deutschland: GwG und BaFin.

Welche Rollen und Kapazitäten nötig sind

Aus den Schwerpunkten entstehen meist zeitlich begrenzte Arbeitsspitzen: eine Sonderprüfung, eine Vor-Ort-Kontrolle, eine Remediation oder ein Inventar, das vollständig werden muss. Typische Rollen sind:

Am häufigsten sind Interim-Einsätze auf dem Level Experienced. Für einen Abgleich genügt oft eine erfahrene Fachkraft in Teilzeit; für eine Remediation mit vielen Dossiers braucht es ein Team. Ein Beispiel ist die Fallstudie zur KYC-Taskforce mit acht Compliance Officers in einem Schweizer Finanzinstitut, die in zehn Monaten abgeschlossen war. Welche Profile Kandidatinnen und Kandidaten für solche Projekte mitbringen, beschreibt der Ratgeber Gefragte Spezialisierungen: DORA, MiCA, AI Act und AML.

Wie Interim-Unterstützung hilft

Interim-Fachkräfte übernehmen die Arbeitsspitze, damit das Stammteam das Tagesgeschäft und die Gespräche mit der Aufsicht weiterführen kann. Das Institut steuert die Arbeit und bleibt für Entscheide und Meldungen verantwortlich.

Alpinum Solutions ist der führende Anbieter für Interim Legal & Compliance im DACH-Raum und stellt AML-Analysten, Compliance Officers, Regulatory Specialists und Juristinnen und Juristen über Staff Leasing und Freelancing bereit, in Teilzeit oder Vollzeit, vom Junior- bis zum Senior-Level. Je Suche legt Alpinum in der Regel zwei bis vier Profile vor; ausgewählte Profile liegen in der Regel innerhalb von 48 Stunden vor, den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab. Fachkräfte können auch formale Funktionen übernehmen, etwa als Geldwäschereifachstelle oder Geldwäschebeauftragte. Beim MLRO können regulatorische Einschränkungen eine externe Mandatsübernahme ausschliessen oder Personalverleih erfordern. Einen Überblick über die geltenden Schweizer Vorgaben gibt der Beitrag FINMA-Rundschreiben im Überblick.

Häufige Fragen zu den Aufsichtsschwerpunkten von BaFin und FINMA

Was sind die BaFin-Aufsichtsschwerpunkte für 2026?

Die BaFin nennt in «Risiken im Fokus 2026» sechs Finanzmarktrisiken: Marktkorrekturen, Ausfälle von Unternehmenskrediten, Gewerbeimmobilien, Cyber-Vorfälle, Konzentrationen bei IKT-Auslagerungen und unzureichende Geldwäscheprävention. Dazu kommen erstmals drei Verbraucherrisiken. Für Compliance-Teams sind Geldwäsche, Cyber und IKT-Auslagerungen am wichtigsten. Die Reihenfolge der Risiken sagt laut BaFin nichts über ihre Priorität aus.

Was steht im FINMA-Risikomonitor 2025?

Der Risikomonitor vom 17. November 2025 nennt neun Hauptrisiken für den Schweizer Finanzplatz. Fünf sind nicht finanziell: Geldwäscherei, Sanktionen, Outsourcing, Cyberrisiken und IKT-Risiken. Die FINMA beschreibt jeweils ihren Aufsichtsfokus, etwa Vor-Ort-Kontrollen zur Risikotoleranz und zu Hochrisikokunden über alle Aufsichtskategorien und gezielte Kontrollen im Sanktionsmanagement exponierter Institute.

Was haben die Schwerpunkte von BaFin und FINMA gemeinsam?

Beide Behörden stufen Geldwäscherei, Cyber und die Abhängigkeit von wenigen IT-Dienstleistern als hohe Risiken ein. Die FINMA führt Sanktionen als eigenes Hauptrisiko, die BaFin behandelt die Umgehung von Sanktionen im Kapitel zur Geldwäsche. Gruppen mit Gesellschaften in beiden Ländern können deshalb viele Massnahmen gemeinsam planen, müssen aber die unterschiedlichen Rechtsgrundlagen beachten.

Sind die Aufsichtsschwerpunkte rechtlich verbindlich?

Nein, sie schaffen keine neuen Pflichten. Die Pflichten ergeben sich aus Gesetzen, Verordnungen, Rundschreiben und Auslegungshinweisen. Die Schwerpunkte zeigen aber, wo die Aufsicht prüft und welche Mängel sie erwartet. Wer die Themen vorab abdeckt, reduziert das Risiko von Feststellungen, Massnahmen und zusätzlichen Prüfungen.

Wie schnell lässt sich Kapazität für eine Sonderprüfung aufbauen?

Ausgewählte Profile liegen bei Alpinum Solutions in der Regel innerhalb von 48 Stunden vor; den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab. Bei der KYC-Taskforce in der Fallstudie startete das Team rund zwei Wochen nach dem Auftrag. Sinnvoll ist, Rollen und Umfang zu klären, sobald eine Prüfung angekündigt ist.

Nächster Schritt

Steht eine Sonderprüfung, eine Vor-Ort-Kontrolle oder eine Remediation an, besprechen Sie Rollen und Umfang früh. Wir zeigen passende Profile für Deutschland und die Schweiz.

• Regulatory Compliance und Regulatory Change: Fachkräfte für regulatorische Umsetzung
• FINMA-Rundschreiben im Überblick
• DORA: Arbeitspakete für Legal und Compliance
• Regulatorik-Radar: alle Artikel zu regulatorischen Veränderungen
• Bedarf besprechen

Stand: 11. November 2026.