BaFin ordnet NordLB Behebung von Geldwäsche-Datenrückstand an – Landesbanken im Visier

Die deutsche Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat am Montag öffentlich bekannt gegeben, dass sie eine bestandskräftige Anordnung gegen die Norddeutsche Landesbank (NordLB) erlassen hat. Damit wird die staatseigene Bank mit Sitz in Hannover angewiesen, gravierende Mängel in ihrem Compliance-Programm zur Geldwäschebekämpfung zu beheben – die jüngste in einer Reihe von Durchsetzungsmaßnahmen, die zeigen, dass die BaFin den Schutz, den staatliches Eigentum in Deutschland historisch geboten hat, faktisch aufgehoben hat.

Was die BaFin bei der NordLB feststellte

Die BaFin identifizierte bei der Landesbank mit Sitz in Hannover zwei miteinander verknüpfte Mängel. Die Bank hatte einen erheblichen Rückstand bei der Aktualisierung von Kundendaten aufgebaut – eine gesetzlich vorgeschriebene Pflicht nach dem deutschen Geldwäschegesetz (GwG) – und die Prüfer stellten darüber hinaus wesentliche Defizite bei den allgemeinen Sorgfaltspflichten der NordLB gegenüber Kunden fest, einschließlich der Art und Weise, wie laufende Geschäftsbeziehungen überwacht werden.

Nach § 10 GwG sind Finanzinstitute verpflichtet, ihre Kunden fortlaufend zu identifizieren, deren Identität zu überprüfen und diese Angaben während der gesamten Geschäftsbeziehung aktuell zu halten. Ein Rückstand bei Kundendaten ist nach deutschem Recht kein bloßes Verwaltungsproblem – er stellt ein strukturelles Versagen der Fähigkeit des Instituts dar, verdächtige Aktivitäten zu erkennen, da Algorithmen zur Transaktionsüberwachung nicht zuverlässig beurteilen können, ob eine Transaktion für einen Kunden mit veraltetem Profil ungewöhnlich ist.

Die Anordnung, die die BaFin am Montag öffentlich bekannt gab, wurde am 14. Juni bestandskräftig. Sie verpflichtet die NordLB, einen förmlichen Plan zur Bereinigung der Kundendaten vorzulegen und umzusetzen – mit dem Ziel, sämtliche Kundendaten mit dem GwG in Einklang zu bringen – und der Aufsicht direkt über die Fortschritte zu berichten. Die BaFin hat weder eine Frist für die Nachbesserung noch mögliche weitere Eskalationsschritte für den Fall einer Zielverfehlung offengelegt.

NordLB bestätigt die Anordnung und verweist auf Fortschritte

Die NordLB reagierte am Montag mit einer zurückhaltenden Stellungnahme und bestätigte die Anordnung, verwies dabei aber auf ihre laufenden Compliance-Arbeiten. Die Bank erklärte, sie stehe "in engem, konstruktivem und lösungsorientiertem Austausch mit der BaFin" und es seien bereits erhebliche Fortschritte erzielt worden.

Die NordLB ist kein Institut am Rande des Marktes. Sie ist eine Anstalt des öffentlichen Rechts, die mehrheitlich im Besitz der Bundesländer Niedersachsen und Sachsen-Anhalt ist, mit Hauptsitz in Hannover und Niederlassungen in Braunschweig und Magdeburg. Sie fungiert als zentrales Clearinginstitut für die regionalen Sparkassen in Niedersachsen, Sachsen-Anhalt und Mecklenburg-Vorpommern und unterhält internationale Niederlassungen in London, New York und Singapur. Die Bilanzsumme der Bank beläuft sich auf rund 120 Milliarden Euro (etwa 138,5 Milliarden US-Dollar).

Der Geschäftsbericht 2024 der Bank wies einen Gewinn vor Steuern von 356 Millionen Euro aus – ein Anstieg von 30 Prozent gegenüber dem Vorjahr – und markierte damit den Abschluss einer mehrjährigen Restrukturierung, die auf eine durch Verluste im Schiffskreditgeschäft ausgelöste Beinahe-Insolvenz und eine staatliche Rekapitalisierung in Höhe von 2,8 Milliarden Euro (3,2 Milliarden US-Dollar) im Jahr 2019 folgte. Die Durchsetzungsmaßnahme im Bereich Geldwäschebekämpfung trifft die NordLB zu einem Zeitpunkt, an dem sie eigenen Angaben zufolge gerade erst wieder finanzielle Stabilität erreicht hatte.

Die Bedeutung der NordLB im deutschen Sparkassenverbund bedeutet, dass ihre Compliance-Situation über die eigene Bilanz hinaus Gewicht hat. Mängel bei der Geldwäschebekämpfung in einem zentralen Institut für regionale Sparkassen können sich durch das gesamte Netzwerk der Banken fortsetzen, die für Clearing- und Korrespondenzbankdienstleistungen von ihr abhängen.

Zeichnet sich ein Muster ab? Auch die Helaba erhielt kürzlich eine Anordnung.

Die Maßnahme gegen die NordLB steht nicht für sich allein. Nur wenige Wochen zuvor, im Juli 2026, erließ die BaFin eine eigenständige bestandskräftige Anordnung gegen die Landesbank Hessen-Thüringen (Helaba) und verpflichtete die staatseigene Landesbank mit Sitz in Frankfurt, ihre Parameter für die automatisierte Überwachung zu überarbeiten, technische Erfassungsfehler zu beheben und die Arbeitsabläufe zur Bewertung verdächtiger Aktivitäten zu optimieren, nachdem Prüfer kritische Schwachstellen in der Infrastruktur zur Transaktionsüberwachung aufgedeckt hatten.

Dass zwei große deutsche Landesbanken innerhalb desselben Aufsichtszeitraums bestandskräftige Anordnungen im Bereich der Geldwäschebekämpfung erhalten, ist kein Zufall – es spiegelt eine bewusste Ausweitung des Durchsetzungsradius der BaFin wider. Deutsche Landesbanken haben historisch eine faktische Schutzzone in der Finanzregulierung eingenommen: Ihr öffentliches Eigentum, ihre politischen Verbindungen und ihre systemische Bedeutung für die regionalen Volkswirtschaften machten ein aggressives öffentliches Durchgreifen politisch heikel. Dieser Schutz scheint nun der Vergangenheit anzugehören.

Die Reorganisation der BaFin machte dieses Vorgehen erst möglich

Die institutionelle Struktur hinter diesen Durchsetzungsmaßnahmen ist ebenso bedeutsam wie die Maßnahmen selbst. Am 27. Mai 2026 kündigte die BaFin eine deutliche Verstärkung ihrer Aufsichtstätigkeiten in den Bereichen Geldwäschebekämpfung, Terrorismusfinanzierungsbekämpfung und Verfolgung unerlaubt betriebener Finanzgeschäfte an.

Mit Wirkung zum 1. Juli 2026 strukturierte die BaFin ihre Abteilungsgliederung um und wandelte die "Abteilung A" in eine neue Abteilung für "Bekämpfung von Finanzkriminalität" um, die die Prävention von Geldwäsche und Terrorismusfinanzierung in einer einzigen spezialisierten Einheit bündelt. Rund 30 zusätzliche Stellen wurden geschaffen in der Aufsichtsabteilung für Geldwäsche- und Terrorismusfinanzierungsbekämpfung. BaFin-Präsident Mark Branson benannte die Beweggründe unumwunden: "Wir verlagern Ressourcen in Bereiche, in denen die Risiken zunehmen."

Die Anwaltskanzlei A&O Shearman bezeichnete die Reorganisation in einer am 9. Juli 2026 veröffentlichten Mandanteninformation als Anlehnung an das Modell der Aufsichtsstruktur der Europäischen Zentralbank (EZB) im Rahmen des Einheitlichen Aufsichtsmechanismus – hin zu horizontalen, themenspezifischen Fachteams statt einer institutsbezogenen Einzelaufsicht. Die Anordnungen gegen NordLB und Helaba sind demnach die ersten Ergebnisse eines strukturell schlagkräftigeren Durchsetzungsapparats.

Die BaFin hat 2026 zudem gesondert Maßnahmen gegen die Cronbank AG ergriffen, darunter die Bestellung eines Sonderbeauftragten sowie Eigenkapitalauflagen, nachdem eine im August 2025 abgeschlossene aufsichtsrechtliche Prüfung schwerwiegende Mängel bei der Geldwäschebekämpfung ergeben hatte.

Was ist eine bestandskräftige Anordnung im Bereich der Geldwäschebekämpfung – und wie funktioniert die Nachbesserung?

Eine bestandskräftige Anordnung nach deutschem Bankrecht ist ein Verwaltungsakt, der dem betroffenen Institut mit sofortiger Wirkung eine rechtliche Verpflichtung auferlegt. Anders als ein Bußgeld – das strafenden Charakter hat und rückwirkend verhängt wird – ist eine Anordnung zukunftsgerichtet: Sie legt fest, was das Institut zu tun hat und mit welchen Mitteln, und verpflichtet es, über seine Fortschritte zu berichten. Ein Verstoß gegen die Anordnung selbst stellt eine eigenständige rechtliche Verletzung dar.

Für die NordLB verlangt die Anordnung zweierlei: die Vorlage eines förmlichen Plans zur Aktualisierung sämtlicher veralteter Kundendaten sowie die tatsächliche Umsetzung dieses Plans, um alle Kundendaten mit den aktuellen Anforderungen des GwG in Einklang zu bringen. Die Bank teilte Journalisten mit, der Sanierungsplan sei bereits erarbeitet und die Umsetzung laufe bereits, wobei "erhebliche Fortschritte" erzielt worden seien.

Die BaFin kann ihr Vorgehen verschärfen, sollten die Vorgaben zur Nachbesserung nicht erfüllt werden. Nach § 56 GwG reichen die Höchstbußgelder bei besonders schwerwiegenden und systematischen Verstößen großer Institute von 1 Million bis 5 Millionen Euro oder 10 Prozent des Bruttoertrags des Vorjahres – je nachdem, welcher Betrag höher ist. Für ein Institut wie die NordLB, deren Gewinn vor Steuern 2024 über 350 Millionen Euro (404 Millionen US-Dollar) lag, ist diese Obergrenze erheblich.

Präzedenzfall: BaFin verhängte kürzlich ein Rekordbußgeld gegen JPMorgan

Im vergangenen November setzte die BaFin eine neue Bestmarke bei Bußgeldern im Bereich der Geldwäschebekämpfung: Ein Bußgeld in Höhe von 45 Millionen Euro (rund 52 Millionen US-Dollar) gegen die J.P. Morgan SE, den in Frankfurt ansässigen europäischen Ableger des US-Bankkonzerns, wegen dessen, was die BaFin als "systemische Mängel" bei der Geldwäscheprävention bezeichnete. Zwischen Oktober 2021 und September 2022 verzögerte JPMorgan systematisch die Übermittlung von Verdachtsmeldungen an die deutsche Zentralstelle für Finanztransaktionsuntersuchungen (FIU), obwohl diese unverzüglich hätten erfolgen müssen. Der Bußgeldbescheid wurde am 30. Oktober 2025 bestandskräftig.

Die Maßnahme gegen JPMorgan war das bis dahin höchste Bußgeld der BaFin und übertraf damit ein 40-Millionen-Euro-Bußgeld gegen die Deutsche Bank aus dem Jahr 2015. Für Compliance-Verantwortliche war das Signal eindeutig: Die BaFin behandelte verspätete Meldungen nicht als administratives Versehen, sondern als systemischen Verstoß, der die Höchststrafen auslöst. Die Anordnung gegen die NordLB – wenngleich kein Bußgeld und auf eine andere Art von Verstoß bezogen – fügt sich in dieselbe Haltung ein: Verfahrensmängel sind Anlass für Durchsetzungsmaßnahmen.

Was verlangt Datenhygiene bei der Geldwäschebekämpfung tatsächlich – und warum scheitert sie?

Die Art von Verstoß, die die BaFin bei der NordLB feststellte – veraltete Kundendaten und Prozessmängel bei den Sorgfaltspflichten gegenüber Kunden – ist ein verbreitetes Versagensmuster, das die Aufsichtsbehörden jedoch zunehmend ernst nehmen. Nach den 40 Empfehlungen der FATF (dem globalen Standard zur Geldwäschebekämpfung) und der deutschen Umsetzung im GwG müssen Finanzinstitute fortlaufende Sorgfaltspflichten erfüllen: die laufende Überwachung von Geschäftsbeziehungen sowie die regelmäßige erneute Überprüfung von Kundendaten, um Veränderungen im Risikoprofil des Kunden abzubilden.

Für eine Großbank in der Größenordnung der NordLB – die Privatkunden, Firmenkunden, institutionelle Anleger und öffentliche Einrichtungen bedient und zugleich als Zentralinstitut für Hunderte regionaler Sparkassen fungiert – gilt diese Pflicht für eine sehr große Kundenbasis mit stark unterschiedlichen Aktualisierungsintervallen. Automatisierte Systeme, die eine erneute Überprüfung anhand verstrichener Zeit, Risikoereignissen oder regulatorischer Änderungen auslösen sollten, können bei mangelnder Pflege in Rückstand geraten. Das Ergebnis ist eine strukturelle Lücke in der Fähigkeit des Instituts, verdächtige Aktivitäten zu erkennen: Ein System zur Transaktionsüberwachung kann Auffälligkeiten nur anhand eines Kundenprofils erkennen, das es korrekt kennt. Sind die Kundendaten veraltet, ist auch dieses Profil falsch.

Warum jetzt: Die EU verschärft die Vorgaben für deutsche Banken

Die Maßnahme gegen die NordLB fällt zudem in eine Phase deutlicher Verschärfung der Geldwäschebekämpfung auf EU-Ebene, die die Glaubwürdigkeit der nationalen Aufsichtsbehörden wichtiger macht als zuvor. Die neue EU-Geldwäscheverordnung (AMLR) gilt ab dem 10. Juli 2027 unmittelbar in allen 27 EU-Mitgliedstaaten und ersetzt den bisherigen Flickenteppich nationaler Umsetzungen durch ein einheitliches, verbindliches Regelwerk.

Noch bedeutsamer: AMLA, die neue EU-Behörde zur Bekämpfung von Geldwäsche mit Sitz in Frankfurt, die seit dem 1. Juli 2025 tätig ist, wird ab Januar 2028 bis zu 40 Institute direkt beaufsichtigen, nach einem Auswahlverfahren, das im Juli 2027 beginnt.

Die grenzüberschreitende Präsenz der Landesbanken (die NordLB unterhält Niederlassungen in London, New York und Singapur) und ihre systemische Bedeutung machen sie zu potenziellen Kandidaten für die direkte Aufsicht durch die AMLA. Eine Bank, die unter einer bestandskräftigen Anordnung ihrer nationalen Aufsichtsbehörde steht, ist für dieses Auswahlverfahren nicht gut positioniert. Die öffentlichen Bekanntmachungen der BaFin mögen zum Teil auch demonstrieren sollen, dass die nationale Aufsicht in Deutschland funktioniert – und zwar vor einer Phase, in der die AMLA genau dies bewerten wird.

Was Compliance-Verantwortliche daraus mitnehmen sollten

Für Compliance-Verantwortliche und Fintech-Unternehmen, die dem deutschen Aufsichtsregime unterliegen, senden die Anordnungen gegen NordLB und Helaba eine eindeutige Botschaft: Die Sorgfaltspflichten gegenüber Kunden sind keine bloßen Zielvorgaben. Die Aufsichtsbehörden erwarten eine Datenhygiene in Echtzeit, und Rückstände – so nachvollziehbar sie angesichts des Umfangs der Kundenbestände und der Komplexität der Aktualisierung von Altsystemen operativ auch sein mögen – werden als Verstöße gegen das GwG behandelt und nicht als Prüfungsfeststellungen, die im nächsten Zyklus behoben werden können.

Der strukturelle Wandel ist die tiefere Lehre daraus. Die neue Abteilung für Bekämpfung von Finanzkriminalität der BaFin steht dauerhaft für ein höheres Maß an Durchsetzungsintensität bei der Geldwäschebekämpfung. Bereits in ihren ersten Monaten hat sie bestandskräftige Anordnungen gegen zwei der größten staatseigenen Großbanken Deutschlands, ein Rekordbußgeld gegen eine der größten amerikanischen Banken sowie öffentliche Durchsetzungsmaßnahmen gegen kleinere Institute hervorgebracht. Die Schwelle dafür, was in Deutschland als meldepflichtiger, eskalationsfähiger Mangel bei der Geldwäschebekämpfung gilt, hat sich verschoben. Institute, die BaFin-Prüfungen zur Geldwäschebekämpfung bislang mit Nachbesserungszusagen und in gutem Glauben vorgelegten Fortschrittsplänen bewältigten, bewegen sich nun in einem Umfeld, in dem ein solches Vorgehen stattdessen bestandskräftige öffentliche Anordnungen nach sich zieht.

Wechselkurse Stand 3. August 2026; alle Umrechnungen in US-Dollar sind ungefähre Angaben.

Häufig gestellte Fragen

Was genau hat die BaFin der NordLB angeordnet?

Die seit dem 14. Juni 2026 bestandskräftige Anordnung der BaFin verpflichtet die NordLB, einen förmlichen Plan zur Aktualisierung sämtlicher veralteter Kundendaten gemäß dem deutschen Geldwäschegesetz (GwG) vorzulegen und umzusetzen. Die Bank muss zudem allgemeinere Prozessmängel bei ihren Sorgfaltspflichten gegenüber Kunden beheben – einschließlich der Art und Weise, wie sie laufende Geschäftsbeziehungen überwacht. Die NordLB hat erklärt, der Sanierungsplan sei bereits erarbeitet und die Umsetzung laufe bereits.

Welche Bedeutung hat es, dass staatseigene Banken öffentliche Anordnungen im Bereich der Geldwäschebekämpfung erhalten?

Historisch nahmen Deutschlands Landesbanken – im öffentlichen Eigentum der Bundesländer – eine faktische Pufferzone bei der aufsichtsrechtlichen Durchsetzung ein. Ihre politische Bedeutung und ihre systemische Rolle in den regionalen Bankennetzwerken machten aggressives öffentliches Durchgreifen unüblich. Die öffentlichen Anordnungen der BaFin gegen NordLB und Helaba im selben Aufsichtszeitraum, unter der neu geschaffenen Abteilung für Bekämpfung von Finanzkriminalität der Behörde, markieren einen strukturellen Bruch mit diesem Muster. Staatliches Eigentum schützt diese Institute nicht länger vor der öffentlichen Offenlegung von Mängeln bei der Geldwäschebekämpfung – ein Wandel, der Auswirkungen auf jedes Institut im Landesbanken-Verbund hat.

Was ist die neue Abteilung für Bekämpfung von Finanzkriminalität der BaFin, und was hat sich am 1. Juli 2026 geändert?

Am 1. Juli 2026 strukturierte die BaFin ihre interne Organisation um und benannte die "Abteilung A" in eine eigene Abteilung für "Bekämpfung von Finanzkriminalität" um, die die Prävention von Geldwäsche und Terrorismusfinanzierung sowie die Verfolgung unerlaubt betriebener Finanzgeschäfte in einer spezialisierten Einheit bündelt. Rund 30 zusätzliche Stellen wurden in der Aufsichtsabteilung für Geldwäsche- und Terrorismusfinanzierungsbekämpfung geschaffen. BaFin-Präsident Mark Branson beschrieb den Schritt als Verlagerung von Ressourcen in Bereiche mit steigenden Risiken. Die Anwaltskanzlei A&O Shearman bezeichnete die Struktur als Anlehnung an das Aufsichtsmodell der Europäischen Zentralbank (EZB) – hin zu horizontalen, themenspezifischen Fachteams.

Was droht EU-Banken, die die Geldwäsche-Standards vor dem AMLA-Übergang 2027/2028 nicht erfüllen?

Die neue EU-Geldwäscheverordnung (AMLR) gilt ab dem 10. Juli 2027 unmittelbar in allen EU-Mitgliedstaaten. Die AMLA – mit Sitz in Frankfurt und seit 2025 tätig – beginnt ab Januar 2028 mit der direkten Aufsicht über bis zu 40 grenzüberschreitend tätige Institute mit hohem Risiko, wobei das Auswahlverfahren bis 2027 läuft. Banken, die unter aktiven Anordnungen nationaler Aufsichtsbehörden wie der BaFin stehen, sind für diesen Übergang nicht gut aufgestellt. Die öffentlichen Durchsetzungsmaßnahmen der BaFin gegen NordLB und Helaba können zudem als Demonstration der Wirksamkeit der deutschen nationalen Aufsicht dienen – vor der förmlichen Überprüfung der Aufsicht in den Mitgliedstaaten durch die AMLA.