Fintech as a Service

Ein Anbieter von Fintech as a Service zerlegt Finanzprodukte in Module, die ein Entwickler einzeln aufrufen kann. Übliche Module sind Konten mit IBAN, SEPA- und Kartenzahlungen, die Ausgabe von Debit- oder Prepaid-Karten, Identitätsprüfungen beim Onboarding, Kredite sowie Handel und Verwahrung von Wertpapieren und Kryptowerten. Ein Abnehmer kann ein einzelnes Modul wie die Kartenausgabe nutzen oder mehrere zu einem vollständigen Finanzprodukt für seine Kunden verbinden.

Große Zahlungsunternehmen verkaufen solche Module an Plattformen und Marktplätze. Adyen bietet Plattformen Geschäftskonten und Karten (auf Englisch) für deren Nutzer an, nennt Banklizenzen in der EU, im Vereinigten Königreich und in den USA und erklärt, KYC-Prüfungen und Compliance zu übernehmen. Mit Stripe Issuing gibt eine Plattform Firmenkarten an ihre gewerblichen Nutzer im Europäischen Wirtschaftsraum aus und kann sie in Apple Pay oder Google Pay hinterlegen. Gruppen wie Ephelia in London verbinden Konten, Karten und Zahlungen mit den Lizenzen ihrer eigenen Gruppengesellschaften.

Fintech as a Service schafft keine neue Lizenzart, denn jede Funktion bleibt nach den Regeln für die jeweilige Tätigkeit reguliert. Wer in Deutschland Zahlungsdienste erbringt, braucht eine Erlaubnis der BaFin nach dem Zahlungsdiensteaufsichtsgesetz, und für Einlagen oder Kredite ist eine Banklizenz nach dem KWG nötig. Der Abnehmer des Dienstes hat meist keine eigene Lizenz und arbeitet als Partner, Agent oder Auslagerungskunde eines Lizenzträgers, ein Aufbau, der auch Lizenz as a Service heißt. Nach § 25 ZAG muss ein Zahlungsinstitut jeden Agenten der BaFin und der Deutschen Bundesbank melden, und der Agent darf erst nach seiner Eintragung im Zahlungsinstituts-Register beginnen.

Ein lizenziertes Institut, das eine Funktion bei einem Technologieanbieter einkauft, muss diesen Anbieter als Drittpartei steuern. Seit dem 17. Januar 2025 verlangt DORA von jedem Finanzunternehmen ein Informationsregister über seine Verträge mit IKT-Drittdienstleistern und eine Ausstiegsplanung für Dienste, die kritische oder wichtige Funktionen unterstützen. Am 18. November 2025 haben die Europäischen Aufsichtsbehörden die ersten kritischen IKT-Drittdienstleister benannt (auf Englisch), die sie seitdem direkt überwachen. Für Dienste außerhalb der IKT hat die EBA im September 2026 Leitlinien zum Drittparteienrisiko (auf Englisch) veröffentlicht, die ihre Auslagerungsleitlinien von 2019 ersetzen, sobald sie gelten.

Die Geldwäscheverordnung AMLR, die ab dem 10. Juli 2027 gilt, erlaubt Banken und Zahlungsinstituten, KYC-Aufgaben an Dienstleister auszulagern, und lässt das Institut dafür voll haften. Artikel 18 der Verordnung behält einige Entscheidungen dem Institut selbst vor, darunter das Risikoprofil eines Kunden, die Annahme des Kunden und die Meldung verdächtiger Vorgänge an die zentrale Meldestelle. Bis dahin richtet sich KYC in Deutschland nach dem Geldwäschegesetz.

In der Schweiz erteilt die FINMA eine Fintech-Bewilligung nach Artikel 1b des Bankengesetzes. Ein Institut mit dieser Bewilligung darf Publikumseinlagen bis 100 Millionen Franken oder kryptobasierte Vermögenswerte annehmen, solange es sie weder anlegt noch verzinst, und diese Einlagen fallen bei einem Konkurs nicht unter die Einlagensicherung. Schweizer Banken, die Funktionen auslagern, folgen dem FINMA-Rundschreiben 2018/3, das seit dem 1. April 2018 gilt und ein Inventar der wesentlichen ausgelagerten Funktionen verlangt.

Manche Schweizer Banken arbeiten auch auf der Anbieterseite des Modells. Die Sygnum Bank in Zürich bindet Partnerbanken über APIs an Konten, Zahlungen, Verwahrung, Brokerage und Tokenisierung an, sodass eine kleinere Bank ihren Kunden digitale Vermögenswerte anbieten kann, ohne den Betrieb selbst zu führen.

Das Modell verteilt ein Finanzprodukt auf mehrere Unternehmen, und an jeder Übergabe können Daten, Geld oder Pflichten verloren gehen. Synapse Financial Technologies verband in den USA Fintech-Apps mit Partnerbanken, und nach dem Zusammenbruch des Unternehmens beschrieb die FDIC (auf Englisch), wie schwer es war, die Guthaben der Kunden zu rekonstruieren und die Daten von Synapse mit denen der Banken abzugleichen. Im September 2024 schlug die FDIC eine Regel vor (auf Englisch), nach der Banken den Eigentümer jeder von Dritten platzierten Einlage kennen und jedes Guthaben täglich abgleichen müssten.

In Deutschland zeigten die Aufsichtsmaßnahmen gegen Solaris in Berlin die Geldwäsche-Seite desselben Risikos. Die BaFin schickte nach einer Prüfung der Kontrollen einen Sonderbeauftragten in die Bank und machte neue Partnerprogramme später von ihrer Zustimmung abhängig. Ein weiteres Risiko ist die Konzentration, denn ein Fehler bei einem Anbieter trifft alle Marken, die von ihm abhängen, im selben Moment. Die BaFin zählt die Konzentration bei IT-Auslagerungen zu ihren Fokusrisiken, und die Europäische Bankenaufsicht warnte schon im September 2021 in ihrem Bericht über digitale Plattformen (auf Englisch), dass die Aufseher diese Abhängigkeiten nur zum Teil sehen.

Fintech as a Service, kurz FaaS, ist die Bereitstellung von Finanzfunktionen wie Konten, Zahlungen, Karten, KYC-Prüfungen oder Handel durch einen Anbieter über APIs. Das abnehmende Unternehmen bietet diese Funktionen seinen eigenen Kunden unter eigener Marke an, und ein lizenziertes Institut hinter dem Anbieter trägt für jede Funktion die aufsichtsrechtlichen Pflichten.

Banking as a Service ist der Teil des Modells, der eine Bank braucht, also Konten mit Einlagensicherung, Karten und Kredite eines lizenzierten Kreditinstituts. Fintech as a Service umfasst auch Funktionen unter anderen Lizenzen, etwa Brokerage as a Service für Wertpapiere oder Crypto as a Service für Kryptowerte, und Funktionen wie Identitätsprüfungen, für die keine Lizenz nötig ist. Alle diese Dienste beliefern Embedded Finance, bei der eine Marke außerhalb der Finanzbranche das Finanzprodukt verkauft.

Eine White-Label-Lösung ist fertige Software, etwa eine Banking-App, ein Kartenportal oder eine Handelsoberfläche, die ein Anbieter für jeden Abnehmer in dessen Marke gestaltet. Beim API-Modell baut der Abnehmer dagegen seine eigene Oberfläche und bezieht nur das regulierte Backend vom Anbieter, und viele Verträge verbinden beide Ansätze für verschiedene Teile des Produkts.

Payments as a Service bedeutet, dass ein Anbieter für ein anderes Unternehmen Zahlungsannahme, Auszahlungen oder Überweisungen über APIs abwickelt, und zwar unter seiner eigenen Zahlungs- oder E-Geld-Lizenz. Stripe bedient Händler im EWR zum Beispiel über ein E-Geld-Institut, das die irische Zentralbank zugelassen hat. Der Abnehmer baut den Zahlungsablauf in seinen Checkout oder seine Plattform ein, was auch als Embedded Payments bekannt ist.

KYC as a Service ist die Auslagerung von Identitätsprüfung, Sanktionsscreening und Eigentümerprüfung an einen spezialisierten Anbieter, meist über eine API mit Video- oder eID-Verfahren. Die Bank oder das Zahlungsinstitut haftet weiter voll für das Ergebnis, und ab Juli 2027 verbietet die AMLR, die Entscheidung über Risikoprofil und Annahme des Kunden abzugeben. Solche Anbieter gehören zum größeren Feld der Regtech in Europa.