Bankprüfung: Ablauf, Pflichten und rechtliche Risiken

Eine Bankprüfung ist für Kreditinstitute, Finanzdienstleister, Zahlungsinstitute und banknahe Unternehmen regelmäßig mehr als ein rein formaler Vorgang. Sie kann die Jahresabschlussprüfung betreffen, eine aufsichtsrechtliche Sonderprüfung auslösen, interne Kontrollsysteme überprüfen oder einzelne Risikobereiche wie Geldwäscheprävention, IT-Sicherheit, Kreditgeschäft oder Eigenmittel betreffen. Für Geschäftsleiter, Compliance-Verantwortliche und Aufsichtsgremien stellt sich häufig die Frage, welche Unterlagen vorzulegen sind, wie weit Auskunftspflichten reichen und welche Folgen ein kritischer Prüfungsbericht haben kann.

Grundsätzlich dient die Bankprüfung der Kontrolle von Ordnungsmäßigkeit, Risikotragfähigkeit, Rechnungslegung und aufsichtsrechtlicher Compliance. Je nach Anlass können jedoch unterschiedliche Rechtsgrundlagen, Prüferrollen und Fristen gelten. Nicht jede Beanstandung führt automatisch zu Sanktionen; ebenso wenig ist jede „formale“ Feststellung harmlos. Entscheidend sind die konkrete Rechtsgrundlage, der Prüfungsauftrag, die belastbaren Nachweise und der Umgang mit festgestellten Mängeln. Der Beitrag ordnet die wichtigsten Fallgruppen ein und zeigt, wie Betroffene eine Prüfung rechtlich und organisatorisch strukturiert begleiten können.

Inhaltsverzeichnis

1. Was bedeutet Bankprüfung rechtlich?
2. Gesetzliche Grundlagen und Aufsicht: Wer darf was prüfen?
3. Bankprüfung ist nicht gleich Bankprüfung: wichtige Abgrenzungen
4. Ablauf einer Bankprüfung: von der Prüfungsanordnung bis zum Abschlussbericht
5. Typische Fallkonstellationen aus der Praxis
6. Risiken, Haftung und typische Fehler bei einer Bankprüfung
7. Fristen, Verjährung und Aufbewahrungspflichten
8. Beweisfragen und Dokumentation: Was sollte nachweisbar sein?
9. Handlungsschritte: Wie sollten Institute eine Bankprüfung vorbereiten und begleiten?
10. Kommunikation mit Prüfern, Aufsicht und internen Gremien
11. Bankprüfung bei FinTechs, Zahlungsdienstleistern und ausgelagerten Dienstleistern
12. FAQ zur Bankprüfung
13. … und 1 weitere Abschnitte

Was bedeutet Bankprüfung rechtlich?

Der Begriff Bankprüfung ist kein einheitlich abschließend definierter Gesetzesbegriff. In der Praxis beschreibt er verschiedene Prüfungsformen, die sich auf Kreditinstitute, Finanzdienstleistungsinstitute, Wertpapierinstitute, Zahlungsdienstleister oder sonstige regulierte Marktteilnehmer beziehen können. Gemeint sein kann die Prüfung des Jahresabschlusses durch einen Wirtschaftsprüfer, eine bankaufsichtliche Prüfung durch oder im Auftrag der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) und der Deutschen Bundesbank, eine Sonderprüfung nach dem Kreditwesengesetz oder auch eine interne Prüfung durch Revision und Compliance.

Rechtlich maßgeblich sind vor allem das Kreditwesengesetz (KWG), das Handelsgesetzbuch (HGB), die Capital Requirements Regulation (CRR), das Wertpapierinstitutsgesetz, das Zahlungsdiensteaufsichtsgesetz (ZAG), das Geldwäschegesetz (GwG) sowie aufsichtsrechtliche Verwaltungspraxis wie MaRisk, BAIT beziehungsweise IT-bezogene Anforderungen und seit 2025 insbesondere DORA für digitale operationelle Resilienz. Daneben können gesellschaftsrechtliche Pflichten der Geschäftsleitung, arbeitsrechtliche Fragen im Umgang mit Mitarbeitern und datenschutzrechtliche Anforderungen eine Rolle spielen.

Für Institute ist wesentlich, zwischen Pflichtprüfung und anlassbezogener Prüfung zu unterscheiden. Die Pflichtprüfung knüpft regelmäßig an Jahresabschluss, Lagebericht und aufsichtsrechtliche Berichterstattung an. Eine Sonderprüfung wird dagegen häufig durch konkrete Auffälligkeiten, Risiken, Beschwerden, Datenmeldungen oder frühere Feststellungen ausgelöst. Sie kann enger begrenzt sein, etwa auf Kreditprozesse, Risikomanagement, Auslagerungen oder Geldwäscheprävention, oder sehr weit reichen.

Eine Bankprüfung ist nicht nur eine technische Dokumentenprüfung. Prüfer bewerten regelmäßig auch, ob Prozesse wirksam gelebt werden. Ein Institut kann also formal über Richtlinien verfügen, aber dennoch Beanstandungen erhalten, wenn Kompetenzen unklar sind, Kontrollen nicht dokumentiert werden oder Eskalationen nur auf dem Papier existieren. Umgekehrt kann eine einzelne Prozessabweichung rechtlich anders zu bewerten sein als ein struktureller Organisationsmangel.

Gesetzliche Grundlagen und Aufsicht: Wer darf was prüfen?

Die rechtlichen Grundlagen der Bankprüfung bestimmen, welche Stellen prüfen dürfen, welche Auskunfts- und Vorlagepflichten bestehen und welche Folgen eine fehlende Mitwirkung haben kann. Bei Kreditinstituten stehen BaFin und Deutsche Bundesbank im Mittelpunkt. Die laufende Aufsicht wird in Deutschland arbeitsteilig wahrgenommen: Die Bundesbank analysiert typischerweise Meldungen, Berichte und Risikolage, während die BaFin hoheitliche Maßnahmen erlässt. Bei bedeutenden Instituten kann außerdem die Europäische Zentralbank im Rahmen des einheitlichen Aufsichtsmechanismus beteiligt sein.

Eine zentrale Norm für bankaufsichtliche Prüfungen ist § 44 KWG. Danach können die Aufsichtsbehörden Prüfungen anordnen und Auskünfte sowie Unterlagen verlangen. Die Vorschrift ist weit gefasst, aber nicht grenzenlos. Umfang und Tiefe der Prüfung müssen vom Prüfungszweck getragen sein. Gleichzeitig ist der Prüfungszweck im Bankenaufsichtsrecht häufig breit, weil die Aufsicht Risiken für Einleger, Marktstabilität und ordnungsgemäße Geschäftsorganisation frühzeitig erkennen soll.

Daneben spielt die Jahresabschlussprüfung nach HGB und spezialgesetzlichen Vorgaben eine erhebliche Rolle. Wirtschaftsprüfer prüfen nicht nur Bilanz und Gewinn- und Verlustrechnung, sondern bei Instituten auch aufsichtsrechtlich relevante Sachverhalte. Prüfungsberichte können der Aufsicht wichtige Informationen liefern. Das Institut darf deshalb nicht davon ausgehen, dass ein Abschlussprüfer ausschließlich als privater Dienstleister agiert. In bestimmten Konstellationen bestehen gesetzliche Informations- und Berichtspflichten gegenüber der Aufsicht.

Für einzelne Geschäftsbereiche gelten weitere Prüfungsregime. Bei Zahlungsdiensten kommen das ZAG und einschlägige technische und organisatorische Anforderungen hinzu. Bei Wertpapierdienstleistungen sind unter anderem Wohlverhaltenspflichten, Organisationspflichten und Meldepflichten relevant. Im Geldwäschebereich prüfen Aufsicht und Prüfer, ob Risikoanalyse, Kundenidentifizierung, Verdachtsmeldungen und interne Sicherungsmaßnahmen angemessen sind.

Für Geschäftsleiter folgt aus diesen Normen keine bloße Delegationsaufgabe. Die Geschäftsleitung muss für eine ordnungsgemäße Geschäftsorganisation sorgen, Risiken steuern und die Einhaltung aufsichtsrechtlicher Anforderungen überwachen. Aufgaben können fachlich auf Compliance, Risikocontrolling, Rechtsabteilung, interne Revision oder externe Berater verteilt werden. Die Gesamtverantwortung verbleibt jedoch grundsätzlich bei den Organen. Im Einzelfall hängt die Verantwortlichkeit davon ab, ob Zuständigkeiten klar geregelt, Informationen ordnungsgemäß weitergeleitet und erkannte Defizite angemessen behandelt wurden.

Bankprüfung ist nicht gleich Bankprüfung: wichtige Abgrenzungen

In der Praxis entstehen viele Missverständnisse, weil unterschiedliche Prüfungsarten unter demselben Begriff zusammengefasst werden. Für die rechtliche Reaktion ist die Abgrenzung jedoch entscheidend. Eine interne Revisionsprüfung hat eine andere Funktion als eine aufsichtsrechtliche Sonderprüfung. Eine Jahresabschlussprüfung folgt anderen Maßstäben als eine Geldwäscheprüfung. Auch der Adressat der Prüfung kann variieren: Manchmal steht das Institut als Unternehmen im Fokus, manchmal ein bestimmter Geschäftsbereich, ein ausgelagerter Dienstleister oder die Verantwortlichkeit einzelner Organmitglieder.

Die folgende Gegenüberstellung zeigt typische Unterschiede. Sie ersetzt keine Einzelfallprüfung, hilft aber bei der ersten Einordnung, welche Pflichten und Risiken im Vordergrund stehen können.

Nach der Einordnung ist zu prüfen, wer die Prüfung veranlasst hat und auf welcher Rechtsgrundlage sie beruht. Eine interne Prüfung erlaubt dem Institut häufig mehr Steuerung bei Umfang, Zeitplan und Dokumentationsformat. Bei einer hoheitlich angeordneten Prüfung bestehen dagegen regelmäßig weitergehende Mitwirkungspflichten. Dennoch bedeutet Mitwirkung nicht, dass rechtliche Schutzpositionen unberücksichtigt bleiben. Geschäftsgeheimnisse, personenbezogene Daten, Anwaltskorrespondenz und Verhältnismäßigkeitsfragen müssen sorgfältig behandelt werden.

Abzugrenzen ist die Bankprüfung außerdem von einer strafrechtlichen Durchsuchung oder einem Ordnungswidrigkeitenverfahren. Eine aufsichtsrechtliche Prüfung ist grundsätzlich präventiv und kontrollierend ausgerichtet. Sie kann aber Erkenntnisse hervorbringen, die später für Sanktionen, Bußgeldverfahren oder zivilrechtliche Haftungsfragen relevant werden. Sobald sich eine Prüfung erkennbar in Richtung persönlicher Vorwürfe gegen Organmitglieder oder Mitarbeiter entwickelt, sollte die Kommunikation besonders strukturiert erfolgen.

Ablauf einer Bankprüfung: von der Prüfungsanordnung bis zum Abschlussbericht

Der konkrete Ablauf einer Bankprüfung hängt von Anlass, Rechtsgrundlage, Institutsgröße und Prüfungsgegenstand ab. Gleichwohl gibt es typische Phasen. Zunächst erhält das Institut meist eine Prüfungsankündigung, eine Anordnung oder ein Auskunftsersuchen. Darin werden Prüfungsgegenstand, Zeitraum, Prüfer, vorzulegende Unterlagen und Fristen benannt. Bei anlassbezogenen Prüfungen können die Angaben bewusst offen formuliert sein, wenn die Aufsicht zunächst einen breiten Eindruck gewinnen will.

In der Vorbereitungsphase sollte das Institut den Prüfungsauftrag rechtlich und fachlich analysieren. Wichtig ist, die betroffenen Bereiche zu identifizieren und einen koordinierten Kommunikationsweg festzulegen. Unabgestimmte Einzelantworten verschiedener Abteilungen führen häufig zu Widersprüchen, obwohl inhaltlich keine schwerwiegenden Mängel vorliegen. Ebenso problematisch ist es, Unterlagen ohne Kontext zu übermitteln, wenn diese nur in Verbindung mit ergänzenden Prozessen verständlich sind.

Während der eigentlichen Prüfung fordern Prüfer Unterlagen an, führen Interviews und nehmen Stichproben. Bei IT-, Kredit- oder Geldwäscheprüfungen werden häufig Fallakten, Systemauszüge, Kontrollprotokolle und Entscheidungsvorlagen betrachtet. Das Institut muss nachvollziehbar erklären können, warum eine bestimmte Entscheidung getroffen wurde, welche Kontrollen erfolgt sind und wer zuständig war. Das gilt besonders bei Ermessensentscheidungen, etwa im Kreditrisiko, bei Kundenrisikoklassifizierungen oder bei Auslagerungsbewertungen.

Nach Abschluss der Prüfung folgt regelmäßig ein Entwurf oder eine Darstellung vorläufiger Feststellungen. Diese Phase ist rechtlich bedeutsam. Das Institut sollte prüfen, ob Sachverhalte zutreffend wiedergegeben sind, ob Unterlagen unvollständig verstanden wurden und ob Beanstandungen rechtlich tragfähig sind. Eine Stellungnahme sollte weder pauschal abwehren noch vorschnell Mängel anerkennen. Sinnvoll ist eine differenzierte Reaktion: zutreffende Feststellungen akzeptieren, unzutreffende Punkte belegen und für erkannte Schwächen konkrete Abhilfemaßnahmen darstellen.

Der Abschlussbericht kann die Grundlage für weitere Maßnahmen sein. Diese reichen von informellen Erwartungsschreiben über Fristsetzungen und Nachschauprüfungen bis zu förmlichen Anordnungen. Bei schwerwiegenden Organisationsmängeln können Kapitalanforderungen, Geschäftsbegrenzungen, Sonderbeauftragte oder persönliche Zuverlässigkeitsfragen relevant werden. Ob solche Folgen drohen, hängt jedoch von Art, Dauer, Wiederholung und Risikogehalt der Feststellungen ab.

Typische Fallkonstellationen aus der Praxis

Bankprüfungen entstehen häufig nicht isoliert, sondern aus konkreten Risikosignalen. Ein typisches Beispiel ist eine Sonderprüfung im Kreditgeschäft. Die Aufsicht oder der Abschlussprüfer stellt fest, dass mehrere großvolumige Engagements kurz vor Ausfall standen und Risikovorsorge spät gebildet wurde. Geprüft wird dann nicht nur die einzelne Kreditakte. Im Fokus stehen auch Kompetenzordnung, Votierungsverfahren, Sicherheitenbewertung, Frühwarnindikatoren und die Frage, ob die Geschäftsleitung angemessen informiert war.

Eine weitere Fallgruppe betrifft Geldwäscheprävention. Ein Institut wächst stark im Online-Kundengeschäft und gewinnt viele Kunden aus unterschiedlichen Jurisdiktionen. Wenn Transaktionsmonitoring, Risikoanalyse und Kundenaktualisierung nicht Schritt halten, kann eine Prüfung erhebliche Defizite aufdecken. Rechtlich problematisch wird es insbesondere, wenn Verdachtsmeldungen unterblieben sind oder Hochrisikokunden ohne ausreichende Prüfung fortgeführt wurden. Allerdings ist nicht jede verspätete Aktualisierung automatisch ein schwerer Verstoß. Entscheidend sind Risikoprofil, interne Vorgaben, Häufigkeit und dokumentierte Nachsteuerung.

Auch IT- und Auslagerungsthemen stehen zunehmend im Mittelpunkt. Banken nutzen Cloud-Dienste, Kernbankensysteme externer Anbieter und spezialisierte Zahlungsdienstleister. Eine Prüfung kann klären, ob Auslagerungsverträge die erforderlichen Prüfungs-, Informations- und Weisungsrechte enthalten, ob Notfallkonzepte getestet wurden und ob kritische Dienstleister ausreichend überwacht werden. Nach DORA gewinnt die Dokumentation digitaler Resilienz zusätzlich an Bedeutung. Ein häufiger Fehler besteht darin, Outsourcing als Einkaufs- oder Technikthema zu behandeln, obwohl aufsichtsrechtlich Governance, Risikoanalyse und laufende Kontrolle erforderlich sind.

Praxisrelevant sind zudem Prüfungen nach Beschwerden von Kunden oder Whistleblower-Hinweisen. Eine Serie fehlerhafter Anlageberatungen, systematische Überziehungsgebühren, mangelhafte Produktfreigabeprozesse oder Unstimmigkeiten bei Kundengeldern können eine Prüfung auslösen. In solchen Konstellationen überschneiden sich Aufsichtsrecht, Zivilrecht und Reputationsfragen. Das Institut muss dann einerseits mit der Aufsicht kooperieren, andererseits mögliche Ansprüche von Kunden, arbeitsrechtliche Maßnahmen und Haftungsfragen gegen Organmitglieder oder Mitarbeiter im Blick behalten.

Schließlich können Bankprüfungen bei Erlaubnisfragen relevant werden. Unternehmen, die banknahe Geschäftsmodelle entwickeln, unterschätzen gelegentlich, dass Einlagengeschäft, Kreditgeschäft, Zahlungsdienste oder Kryptowerteverwahrung erlaubnispflichtig sein können. Eine Prüfung oder Nachfrage der Aufsicht kann dann klären, ob ein Geschäftsmodell genehmigungsfrei ist oder ob eine unerlaubte Finanzdienstleistung vorliegt. Die Rechtsfolgen können erheblich sein, insbesondere wenn Kundengelder betroffen sind oder das Geschäftsmodell bereits operativ läuft.

Risiken, Haftung und typische Fehler bei einer Bankprüfung

Die Risiken einer Bankprüfung liegen nicht allein im Prüfungsbericht selbst. Häufig entstehen rechtliche Nachteile durch unkoordinierte Kommunikation, fehlende Dokumentation oder eine defensive Reaktion ohne belastbaren Sachverhaltsabgleich. Grundsätzlich ist Kooperation mit Prüfern geboten. Sie sollte aber professionell gesteuert werden, damit rechtliche Positionen erhalten bleiben und der tatsächliche Sachverhalt vollständig dargestellt wird.

Für Institute können Beanstandungen zu aufsichtsrechtlichen Maßnahmen, zusätzlichen Berichtspflichten, Nachprüfungen, erhöhtem Kapitalbedarf, Einschränkungen bestimmter Geschäfte oder Bußgeldern führen. Für Geschäftsleiter können Organisationspflichten, Überwachungspflichten und Informationspflichten relevant werden. Eine persönliche Haftung setzt regelmäßig mehr voraus als eine bloße Feststellung im Prüfungsbericht. Dennoch können wiederholte oder gravierende Mängel Fragen nach Geschäftsleiterzuverlässigkeit, Ressortverantwortung und pflichtgemäßem Handeln auslösen.

Auch für Mitarbeiter und verantwortliche Beauftragte entstehen Risiken. Compliance Officer, Geldwäschebeauftragte, Risikocontrolling und Interne Revision können in Prüfungsinterviews eine Schlüsselrolle einnehmen. Ihre Aussagen sollten sachlich, vollständig und abgestimmt auf den Verantwortungsbereich sein. Das bedeutet nicht, Antworten zu „scripted“ oder unzutreffend zu gestalten. Es bedeutet, Zuständigkeiten, Datenquellen und Grenzen des eigenen Wissens transparent zu machen.

Typische Fehler in Bankprüfungen sind insbesondere:

• Prüfungsanordnungen oder Auskunftsersuchen werden nicht rechtlich auf Umfang, Frist und Zuständigkeit geprüft.
• Unterlagen werden ohne Erläuterung übermittelt, obwohl sie nur mit Prozesskontext verständlich sind.
• Abteilungen kommunizieren parallel mit Prüfern und erzeugen widersprüchliche Angaben.
• Vorläufige Feststellungen werden nicht fristgerecht oder nur pauschal kommentiert.
• Interne Mängelberichte werden ignoriert, obwohl sie eine Pflicht zur Nachsteuerung auslösen können.
• Rechtsabteilung, Datenschutz, Informationssicherheit und Fachbereiche werden zu spät eingebunden.
• Abhilfemaßnahmen werden angekündigt, aber nicht nachweisbar umgesetzt.
• Persönliche Haftungs- und Interessenkonflikte von Organmitgliedern werden nicht erkannt.

Besonders kritisch ist der Umgang mit Anerkenntnissen. Wenn ein Institut pauschal einräumt, über Jahre gegen bestimmte Pflichten verstoßen zu haben, kann dies später in Bußgeld-, Zivil- oder Organhaftungsverfahren relevant werden. Umgekehrt wirkt eine rein abwehrende Stellungnahme ohne Belege wenig überzeugend. Rechtlich tragfähig ist meist eine präzise Differenzierung: Welche Tatsachen sind unstreitig? Welche Bewertung wird geteilt? Welche Feststellung beruht auf unvollständigen Informationen? Welche Maßnahmen laufen bereits?

Fristen, Verjährung und Aufbewahrungspflichten

Fristen spielen bei der Bankprüfung auf mehreren Ebenen eine Rolle. Zunächst enthalten Prüfungsankündigungen, Auskunftsersuchen und Anordnungen häufig konkrete Vorlage- und Stellungnahmefristen. Diese Fristen sollten sofort intern erfasst, Verantwortlichen zugewiesen und auf Realisierbarkeit geprüft werden. Ist eine Frist wegen Umfang, Datenverfügbarkeit oder Abstimmungsbedarf nicht einhaltbar, kann eine begründete Fristverlängerung sinnvoll sein. Sie sollte frühzeitig beantragt werden und konkrete Zwischenschritte nennen.

Daneben bestehen gesetzliche Fristen für Rechnungslegung, Berichterstattung und Meldungen. Jahresabschlüsse, Prüfungsberichte, Eigenmittelmeldungen, Großkreditmeldungen, Verdachtsmeldungen nach dem Geldwäschegesetz oder Informationspflichten bei schwerwiegenden IT-Vorfällen folgen jeweils eigenen Vorgaben. Nicht jede verspätete Meldung führt automatisch zu Sanktionen. Wiederholte Versäumnisse oder verspätete Meldungen in risikorelevanten Bereichen können aber als Organisationsmangel bewertet werden.

Verjährungsfragen werden häufig erst relevant, wenn aus einer Prüfung Ansprüche oder Sanktionen folgen. Zivilrechtliche Schadensersatzansprüche unterliegen grundsätzlich der regelmäßigen Verjährungsfrist von drei Jahren, beginnend mit dem Schluss des Jahres, in dem Anspruch und Kenntnis oder grob fahrlässige Unkenntnis vorliegen. Je nach Anspruchsgrundlage, Organstellung, Kapitalmarktkontext oder vertraglicher Gestaltung können abweichende Fristen gelten. Für Ordnungswidrigkeiten und Straftaten gelten wiederum besondere Verjährungsregeln, die vom jeweiligen Tatbestand abhängen.

Aufbewahrungspflichten sind für Bankprüfungen praktisch entscheidend. Handels- und steuerrechtlich relevante Unterlagen sind regelmäßig sechs oder zehn Jahre aufzubewahren, je nach Dokumentenart. Im Geldwäschebereich bestehen eigenständige Aufzeichnungs- und Aufbewahrungspflichten, häufig mit fünfjährigem Rahmen und besonderen Löschungsanforderungen. IT-Logs, Kommunikationsdaten und Monitoring-Daten unterliegen zusätzlich Datenschutz- und Sicherheitsanforderungen. Hier muss ein Institut vermeiden, Daten zu früh zu löschen, aber auch nicht ohne Rechtsgrundlage dauerhaft vorzuhalten.

Für die Praxis empfiehlt sich ein Fristenregister, das nicht nur gesetzliche Abgabefristen enthält, sondern auch Prüfungsfristen, Stellungnahmefristen, Maßnahmenfristen und Nachweiszeitpunkte. Gerade nach einer Prüfung ist die Umsetzungsfrist für Abhilfemaßnahmen oft entscheidend. Wenn Maßnahmen zwar beschlossen, aber nicht rechtzeitig dokumentiert abgeschlossen werden, kann eine Nachprüfung erneut Beanstandungen feststellen.

Beweisfragen und Dokumentation: Was sollte nachweisbar sein?

In einer Bankprüfung entscheidet sich viel an der Dokumentationslage. Prüfer bewerten nicht allein, ob eine Entscheidung im Nachhinein plausibel erscheint, sondern ob sie zum relevanten Zeitpunkt auf einer belastbaren Grundlage getroffen und kontrolliert wurde. Für Institute ist deshalb wichtig, Prozesse nicht nur zu gestalten, sondern ihre Anwendung nachvollziehbar zu dokumentieren. Dies gilt besonders für Kreditentscheidungen, Geldwäscheprüfungen, Risikobewertungen, Auslagerungen, Produktfreigaben und IT-Sicherheitsmaßnahmen.

Beweisfragen betreffen auch die Verantwortungsverteilung. Geschäftsleiter können sich in der Regel nicht pauschal darauf berufen, operative Aufgaben delegiert zu haben. Sie müssen zeigen können, dass Zuständigkeiten angemessen geregelt, Berichte eingefordert und erkennbare Probleme behandelt wurden. Umgekehrt kann eine gute Dokumentation helfen, den Unterschied zwischen einem Einzelfehler und einem Organisationsmangel herauszuarbeiten.

Benötigte Nachweise können insbesondere sein:

• Organigramme, Geschäftsverteilungspläne und Kompetenzordnungen
• Richtlinien, Arbeitsanweisungen und Prozessbeschreibungen mit Versionshistorie
• Vorstands- und Ausschussprotokolle einschließlich Beschlussvorlagen
• Risikoberichte, Compliance-Berichte und Berichte der Internen Revision
• Kreditakten, Sicherheitenbewertungen und Votierungsunterlagen
• KYC-Unterlagen, Risikoanalysen und Transaktionsmonitoring-Nachweise
• Auslagerungsverträge, Risikoanalysen und Dienstleisterberichte
• IT-Sicherheitskonzepte, Notfalltests, Vorfallsberichte und Log-Auswertungen
• Maßnahmenpläne mit Verantwortlichen, Fristen und Erledigungsnachweisen

Dokumentation sollte verständlich, versioniert und auffindbar sein. Eine Sammlung unstrukturierter Dateien genügt häufig nicht, wenn Prüfer die Wirksamkeit eines Kontrollsystems nachvollziehen sollen. Zugleich sind rechtliche Grenzen zu beachten. Personenbezogene Daten dürfen nicht unbegrenzt weitergegeben werden; Anwaltskorrespondenz und interne Untersuchungen können besondere Schutzinteressen berühren. Vor der Übermittlung sensibler Unterlagen sollte daher geprüft werden, ob Schwärzungen, Datenräume, Zugriffsbeschränkungen oder erläuternde Begleitschreiben erforderlich sind.

Handlungsschritte: Wie sollten Institute eine Bankprüfung vorbereiten und begleiten?

Eine Bankprüfung lässt sich nicht vollständig kontrollieren, aber strukturiert begleiten. Ziel ist nicht, Feststellungen zu vermeiden, sondern den Sachverhalt vollständig, rechtlich zutreffend und fristgerecht darzustellen. Je früher Zuständigkeiten und Dokumentationswege festgelegt werden, desto geringer ist das Risiko widersprüchlicher Angaben oder verspäteter Reaktionen. Besonders bei Sonderprüfungen sollte das Institut einen zentralen Prüfungsstab bilden, in dem Fachbereich, Recht, Compliance, Risikocontrolling, Datenschutz, IT und gegebenenfalls externe Berater zusammenarbeiten.

Die folgenden Schritte haben sich in der Praxis bewährt:

• Prüfungsanordnung auswerten: Rechtsgrundlage, Prüfungsgegenstand, Zeitraum, Prüfer, Fristen und verlangte Unterlagen erfassen.
• Fristenkalender anlegen: Vorlagefristen, Interviewtermine, Stellungnahmefristen und interne Review-Zeitpunkte dokumentieren.
• Zentrale Kommunikation festlegen: Einen Ansprechpartner oder ein kleines Koordinationsteam bestimmen, damit Antworten konsistent bleiben.
• Dokumentenliste erstellen: Alle angeforderten Unterlagen mit Quelle, Verantwortlichem, Version und Übermittlungsdatum erfassen.
• Sachverhalt intern klären: Vor der Übermittlung prüfen, ob Unterlagen vollständig, aktuell und erklärungsbedürftig sind.
• Datenschutz und Vertraulichkeit prüfen: Personenbezogene Daten, Geschäftsgeheimnisse und privilegierte Kommunikation gesondert bewerten.
• Interviews vorbereiten: Beteiligte über Prüfungsgegenstand, Zuständigkeiten und Grenzen eigener Auskunftsfähigkeit informieren.
• Vorläufige Feststellungen analysieren: Sachverhaltsfehler, Bewertungsfragen und fehlende Unterlagen innerhalb der gesetzten Frist adressieren.
• Maßnahmenplan formulieren: Für erkannte Mängel konkrete Verantwortliche, Umsetzungsfristen und Nachweise festlegen.
• Erledigung dokumentieren: Abhilfemaßnahmen nicht nur umsetzen, sondern mit Protokollen, Systemnachweisen und Kontrollberichten belegen.
• Organinformation sicherstellen: Geschäftsleitung und Aufsichtsgremium über wesentliche Feststellungen und Risiken nachvollziehbar informieren.
• Follow-up einplanen: Nachprüfungen, Berichtspflichten und Lessons Learned in Revision und Compliance-Prozesse integrieren.

Wichtig ist, zwischen kurzfristiger Prüfungsreaktion und langfristiger Organisationsverbesserung zu unterscheiden. Eine schnelle Stellungnahme kann eine akute Frist wahren, ersetzt aber keine belastbare Beseitigung struktureller Mängel. Wenn Prüfer etwa Defizite im Auslagerungsmanagement feststellen, genügt eine neue Richtlinie allein meist nicht. Erforderlich sind häufig Vertragsprüfung, Risikoanalyse, Verantwortlichkeiten, Kontrollhandlungen und regelmäßige Berichte.

Bei persönlicher Betroffenheit einzelner Organmitglieder oder leitender Mitarbeiter können Interessenkonflikte entstehen. Das Institut verfolgt dann möglicherweise andere Interessen als eine einzelne Person, deren Verantwortlichkeit geprüft wird. In solchen Fällen sollte früh geklärt werden, wer für wen spricht, welche Unterlagen verwendet werden und ob separate rechtliche Beratung notwendig ist. Diese Abgrenzung ist kein Misstrauensvotum, sondern dient einer sauberen Verfahrensführung.

Kommunikation mit Prüfern, Aufsicht und internen Gremien

Die Kommunikation während einer Bankprüfung sollte sachlich, vollständig und nachvollziehbar sein. Prüfer erwarten keine perfekte Organisation, wohl aber eine konsistente Darstellung und eine erkennbare Steuerung. Werden Fragen ausweichend beantwortet oder Unterlagen mehrfach in unterschiedlichen Versionen eingereicht, kann dies Zweifel an der Prozessreife verstärken. Umgekehrt kann eine offene Darstellung bereits identifizierter Schwächen positiv wirken, wenn zugleich belastbare Maßnahmen und Verantwortlichkeiten vorliegen.

Bei Auskunftsersuchen ist zunächst zu unterscheiden, ob eine konkrete Tatsachenfrage, eine rechtliche Bewertung oder eine Prognose verlangt wird. Tatsachen sollten präzise beantwortet und mit Unterlagen belegt werden. Rechtliche Bewertungen sollten nicht vorschnell in operative E-Mails aufgenommen werden, wenn sie später missverstanden oder aus dem Zusammenhang gerissen werden könnten. Prognosen zu Maßnahmen sollten realistisch bleiben. Zu ambitionierte Zusagen können bei Nichterfüllung als erneutes Defizit erscheinen.

Interne Gremien müssen angemessen informiert werden. Die Geschäftsleitung benötigt einen Überblick über Prüfungsgegenstand, kritische Feststellungen, Fristen, mögliche Rechtsfolgen und Ressourcenbedarf. Aufsichtsräte oder Verwaltungsräte sind einzubinden, wenn wesentliche Risiken, Organpflichten oder strategische Fragen betroffen sind. Die interne Revision sollte nicht nur Datenlieferant sein, sondern auch prüfen, ob erkannte Mängel systematisch in den Prüfungsplan einfließen.

Bei externer Kommunikation ist Zurückhaltung geboten. Kunden, Medien, Investoren oder Geschäftspartner haben nicht in jeder Prüfungssituation Anspruch auf Detailinformationen. Gleichzeitig können kapitalmarktrechtliche, vertragliche oder aufsichtsrechtliche Informationspflichten bestehen. Ob eine Information erforderlich ist, hängt vom konkreten Sachverhalt ab. Unabgestimmte öffentliche Aussagen können zivilrechtliche, aufsichtsrechtliche oder reputationsbezogene Folgen haben.

Auch die interne E-Mail-Kultur verdient Aufmerksamkeit. Während einer Prüfung entstehen häufig zahlreiche spontane Einschätzungen. Nicht jede vorläufige Vermutung sollte unreflektiert schriftlich verbreitet werden. Das bedeutet nicht, Sachverhalte zu verschleiern. Es bedeutet, zwischen gesicherten Tatsachen, Prüfungsbedarf und rechtlicher Bewertung zu unterscheiden. Eine klare Dokumentationsdisziplin schützt sowohl das Institut als auch die handelnden Personen.

Bankprüfung bei FinTechs, Zahlungsdienstleistern und ausgelagerten Dienstleistern

Bankprüfungen betreffen längst nicht mehr nur klassische Banken mit Filialgeschäft. FinTechs, Zahlungsinstitute, E-Geld-Institute, Kryptodienstleister, Kreditplattformen und technische Dienstleister können ebenfalls in Prüfungen einbezogen werden. Teilweise sind sie selbst regulierte Unternehmen. Teilweise geraten sie über Auslagerungsverträge, Kooperationsmodelle oder White-Label-Strukturen in den Prüfungsfokus. Die rechtliche Einordnung hängt davon ab, welche Leistungen tatsächlich erbracht werden und wer gegenüber Kunden verantwortlich auftritt.

Für FinTechs ist besonders relevant, ob das Geschäftsmodell erlaubnispflichtige Tätigkeiten umfasst. Begriffe wie „Treuhandkonto“, „Wallet“, „Kreditvermittlung“, „Zahlungsabwicklung“ oder „Krypto-Verwahrung“ sollten nicht nur technisch, sondern aufsichtsrechtlich geprüft werden. Eine spätere Bankprüfung kann aufdecken, dass Rollen, Kundengelder, Vertragsketten oder Verantwortlichkeiten unklar sind. Dann entstehen Risiken nicht nur für das FinTech, sondern auch für kooperierende Banken.

Ausgelagerte Dienstleister müssen damit rechnen, dass Prüfer Zugriff auf relevante Informationen verlangen, wenn sie wesentliche Funktionen für ein Institut erbringen. Die erforderlichen Prüfungsrechte sollten bereits im Vertrag geregelt sein. Fehlen solche Rechte, gerät das Institut in ein aufsichtsrechtliches Problem, selbst wenn der Dienstleister technisch zuverlässig arbeitet. Bei Cloud- und IT-Dienstleistern sind zudem Standort, Unterauslagerungen, Zugriffsmöglichkeiten, Verschlüsselung, Notfallkonzepte und Exit-Strategien relevant.

Für kleinere regulierte Unternehmen besteht die Herausforderung oft darin, proportional angemessene Strukturen aufzubauen. Aufsichtsrecht verlangt nicht zwingend dieselben Prozesse wie bei einer Großbank. Es verlangt aber, dass Risiken erkannt, gesteuert und dokumentiert werden. Proportionalität bedeutet daher nicht Verzicht auf Compliance, sondern eine an Größe, Komplexität und Risikoprofil angepasste Organisation.

FAQ zur Bankprüfung

Fazit: Bankprüfung rechtlich und organisatorisch ernst nehmen

Eine Bankprüfung sollte weder als reine Formalität noch als zwangsläufige Krise verstanden werden. Entscheidend ist, früh die Rechtsgrundlage, den Prüfungsumfang, die Fristen und die betroffenen Verantwortungsbereiche zu klären. Danach sollten Unterlagen strukturiert zusammengestellt, Aussagen koordiniert und vorläufige Feststellungen sorgfältig geprüft werden. Erkannte Mängel sind am wirkungsvollsten zu behandeln, wenn Maßnahmen konkret, fristgebunden und nachweisbar umgesetzt werden.

Für Institute, FinTechs und Verantwortliche liegt der Schwerpunkt auf Dokumentation, Governance und sachlicher Kommunikation. Ob aus einer Feststellung aufsichtsrechtliche Maßnahmen, zivilrechtliche Ansprüche oder persönliche Haftungsfragen entstehen, hängt immer vom Einzelfall ab. Je früher Risiken, Beweise und Zuständigkeiten sauber aufgearbeitet werden, desto besser lässt sich eine Prüfung rechtlich belastbar begleiten.