Giropay unter BaFin-Aufsicht: was die Regulierung für Casino-Zahlungen bedeutete und warum sie nach 2024 weiterwirkt

In meinen ersten Berufsjahren habe ich die BaFin als bürokratischen Buchstabenklang erlebt — irgendwo zwischen technischer Aufsicht und Verbraucherschutz, in beiden Rollen wenig sichtbar. Erst als ich anfing, die Zahlungsverkehrs-Seite des iGaming-Marktes systematisch zu analysieren, erschloss sich die Bedeutung. Die BaFin ist kein Glücksspielregulator, aber sie war für Giropay-Casinos die unsichtbare zweite Aufsicht — und sie ist es heute für jede Bankmethode, die in einem deutschen Casino zum Einsatz kommt. Wer ihren Rahmen kennt, versteht, warum manche Produkte plötzlich verschwinden, ohne dass das Glücksspielrecht etwas damit zu tun hat.

Was die BaFin bei Zahlungsdiensten konkret prüft

Eine erhellende Episode: 2019 saß ich in einem Workshop, in dem ein Compliance-Anwalt einer großen Bank erklärte, dass die Aufsicht über einen Zahlungsdienst sich nicht auf den Glücksspielnutzer richtet, sondern auf das Zahlungssystem als Ganzes. Diese Trennung war für mich der Schlüssel zu vielem, was später kam.

Die BaFin reguliert auf Basis des Zahlungsdiensteaufsichtsgesetzes — kurz ZAG — und der europäischen PSD2. Geprüft werden vier Komplexe: die Kapitalausstattung des Zahlungsinstituts, die Trennung von Kundengeldern (sogenannte Safeguarding-Pflichten), die organisatorische Sicherheit gegen Betrug und Geldwäsche sowie die technische Implementierung der Strong Customer Authentication. Wer eine Zahlungslizenz nach ZAG hält, durchläuft jährliche Prüfungen, hat eine geprüfte Bilanz vorzulegen und steht unter laufender Beobachtung.

Was die BaFin nicht prüft: ob das Casino, das einen Zahlungsdienst nutzt, eine gültige Glücksspiellizenz besitzt. Das ist Aufgabe der Gemeinsamen Glücksspielbehörde der Länder. Beide Aufsichten arbeiten nebeneinander, aber nicht zusammen. Ein Zahlungsdienst kann BaFin-konform sein und dennoch Transaktionen für einen Anbieter abwickeln, der keine GGL-Lizenz hat — solange dieser Anbieter formal außerhalb des deutschen Marktes operiert. Diese Lücke ist klein, aber sie existiert.

Die EU-weite Diskussion läuft seit Jahren genau in diese Richtung — engere Verzahnung der Zahlungs- und Glücksspielaufsicht über die Anti-Geldwäsche-Schiene. AMLD6 hat die Pflichten zur Quellenprüfung verschärft, was indirekt die Zahlungsdienste betrifft. Wer heute eine Banküberweisung für ein nicht-lizenziertes Casino abwickelt, läuft in zwei Aufsichtsregimes hinein gleichzeitig.

Paydirekt GmbH als Aufsichtsobjekt

Hinter Giropay stand bis Ende 2024 die Paydirekt GmbH, ein bankeigenes Gemeinschaftsunternehmen der deutschen Kreditwirtschaft. Diese Gesellschaft war als Zahlungsinstitut mit BaFin-Lizenz registriert und unterlag dem vollen Aufsichtspaket. Das ist der eine, harte Grund, warum Spieler sich auf die technische Solidität von Giropay verlassen konnten — die Aufsicht stand strukturell hinter dem Produkt.

Gleichzeitig dokumentierten die Bilanzen der Paydirekt GmbH eine schwierige Geschäftslage. Im Jahr 2023 wies das Unternehmen einen Verlustvortrag von rund 8 Millionen Euro aus. Diese Zahl war öffentlich, sie war im Bundesanzeiger einsehbar, und sie war einer der wesentlichen Bausteine in der Entscheidung der Anteilseigner, das Produkt zum 31. Dezember 2024 abzuschalten. Die BaFin selbst hat den Schritt nicht initiiert, aber sie hat ihn beaufsichtigt — geordneter Marktrückzug eines Zahlungsdienstes folgt einem regulatorisch vorgegebenen Prozess.

Was dieser Prozess im Hintergrund leistet: Kundengelder bleiben durch die Safeguarding-Pflichten getrennt vom Insolvenzrisiko des Dienstes selbst. Bei Giropay floss kein Geld der Spieler durch das Paydirekt-Vermögen — die SEPA-Überweisung lief direkt zwischen den Banken, Paydirekt sah nur die Auslösung. Das ist der entscheidende Unterschied zu E-Wallets, bei denen das Kundenguthaben tatsächlich beim Anbieter geparkt ist und im Krisenfall eine eigene Schutzschicht brauchen.

Eine Beobachtung am Rande: die BaFin hat in Zusammenhang mit der Giropay-Abwicklung 2024 keine außerordentlichen Schutzmaßnahmen veröffentlicht. Das war ein stilles Signal — der Marktrückzug verlief geordnet, weil die Architektur des Dienstes selbst den Kundenschutz strukturell trennte. Bei einem anderen Zahlungsdienstleister mit eigenem Kundengeld-Pool hätte die Aufsicht aktiver eingreifen müssen.

BaFin und iGaming-Zahlungen

Hier ist die Schnittstelle interessant. Ein lizenziertes deutsches Casino ist verpflichtet, ausschließlich mit Zahlungsdienstleistern zu arbeiten, die regulatorisch saubere Verhältnisse vorweisen können. In der Praxis bedeutet das BaFin-Lizenz oder eine gleichwertige Aufsicht aus einem anderen EU-Mitgliedsstaat unter dem PSD2-Passporting.

Diese Verpflichtung steht weniger explizit im Glücksspielstaatsvertrag, sie ergibt sich aus den Geldwäsche-Vorschriften und den allgemeinen Sorgfaltspflichten gegenüber dem Aufsichtsregime. Im Jahr 2024 führte die GGL 231 Untersagungsverfahren gegen illegale Online-Glücksspielanbieter durch und überprüfte über 1 700 Webseiten — ein nicht unwesentlicher Teil dieser Verfahren stützte sich darauf, dass die jeweiligen Anbieter mit Zahlungsdienstleistern arbeiteten, die im Glücksspielkontext nicht hätten tätig sein dürfen. Aufsicht greift hier auf Aufsicht, ohne dass formal eine Behörde der anderen Anweisungen erteilt.

Für Spieler heißt das im Ergebnis: ein lizenziertes deutsches Casino mit Bankzahlung bietet zwei Schutzebenen — die Glücksspielaufsicht der GGL und die Zahlungsaufsicht der BaFin. Beide sind unabhängig, beide haben eigene Sanktionsmittel. Das ist die regulatorische Substanz hinter dem Begriff „deutsche Lizenz“, über den Marketing-Texte gerne schreiben, ohne ihn ernsthaft auszupacken.

Wero und die BaFin nach dem Übergang

Wero ist als Nachfolger von Giropay regulatorisch eine andere Konstruktion. Die EPI Company SE/NV operiert mit Sitz in Brüssel und unterliegt der belgischen Zahlungsaufsicht, mit Passporting in alle EU-Mitgliedsstaaten. Für den deutschen Markt heißt das, dass die BaFin nicht primär zuständig ist, aber Mitspracherechte hat und Verstöße melden kann. Die Aufsichtssubstanz ist gleichwertig — sie sitzt nur an einer anderen Adresse.

Mit 46 Millionen Nutzern in Europa zum Stand November 2025 und 16 europäischen Großbanken und Zahlungsdienstleistern als Gesellschafter ist Wero ein deutlich größeres Aufsichtsobjekt als Giropay je war. Die Deutsche Bank hat die Wero-Anbindung im Dezember 2025 für ihre Privatkunden ausgerollt, die Commerzbank ist am 11. Februar 2026 gefolgt — nach Austritt aus EPI im Jahr 2022 eine deutliche Kehrtwende. Beide Schritte erforderten BaFin-konforme Implementierungen der SCA und der Safeguarding-Mechanismen.

Was das für Casinos bedeutet, ist absehbar. Sobald Wero in deutschen lizenzierten Casinos als Methode auftaucht — voraussichtlich im Lauf des Jahres 2026 — wird die regulatorische Schicht identisch zu der sein, die bei Giropay galt: BaFin-Aufsicht über die SCA-Implementierung der deutschen Banken, EPI-konforme Abwicklung beim Zahlungsdienst, GGL-Aufsicht über das Casino selbst. Die Aufsichtstrennung bleibt, die Namen wechseln.

Diese mehrschichtige Aufsichtsarchitektur erklärt auch, warum der Übergang von Giropay zu Wero so geräuschlos vonstatten ging. Es gab keine Aufsichtslücke. Die Lizenzen aller beteiligten Banken blieben aktiv. Die SCA-Implementierungen sind ohnehin standardisiert. Was für den Spieler wie ein dramatischer Methodenwechsel aussieht, war aus Sicht der Aufsicht ein Umschaltprozess innerhalb eines etablierten Rahmens.

Ein Punkt, den ich Lesern gern mit auf den Weg gebe: ein Anbieter, der seine BaFin-Konformität als Marketing-Argument bemüht, ohne die Lizenz konkret zu benennen, hat in der Regel keine zu nennen. Echte regulierte Zahlungsdienste tragen ihre BaFin-Registrierungsnummer öffentlich, einsehbar auf der BaFin-Webseite über die Unternehmensdatenbank. Wer das nicht kommuniziert, lässt sich nicht prüfen — und genau das ist das Signal, das ein vorsichtiger Spieler ernst nehmen sollte. Wer die nächsthöhere Aufsichtsschicht — die der Glücksspielregulierung selbst — kennenlernen will, findet vertieft im Überblick über GGL und die Lizenzlandschaft.