Deutschland reguliert Online-Dienste nicht durch eine einzige zentrale Behörde, sondern durch ein Geflecht aus Bundes- und Länderbehörden, jeweils mit eigener Rechtsgrundlage, eigenen Befugnissen und eigenen Beschwerdewegen. Wer als Verbraucher oder Unternehmen wissen möchte, an wen er sich wenden soll, verliert dabei schnell den Überblick.
Die Infografik zeigt die fünf wichtigsten regulierten Online-Dienstleistungssektoren in Deutschland (Online-Banking, Krypto, Zahlungsdienste, Online-Glücksspiel und Versicherungen) und ordnet jeden Sektor seiner zuständigen Behörde, seiner Rechtsgrundlage und seinem Behördentyp zu. Der wichtigste Unterschied dabei: Bundesbehörden wie die BaFin auf der einen Seite, länderübergreifende Anstalten wie die GGL auf der anderen.
Der Text darunter erklärt die rechtliche Architektur hinter den Behörden, das MiCAR/KMAG-Update von 2024 und den passenden Beschwerdeweg für Verbraucher.
Regulierung ohne Zentralbehörde: Deutschlands fragmentiertes System
Das deutsche Recht kennt keine einheitliche "Behörde für Online-Dienste". Stattdessen orientiert sich die Regulierungszuständigkeit am Sachbereich: Finanzdienstleistungen unterliegen dem Bundesrecht und der BaFin, während das Glücksspielwesen traditionell Ländersache ist; daher die eigentümliche Konstruktion der GGL. Die Aufteilung nach Sachbereichen ist historisch gewachsen und folgt der föderalen Struktur Deutschlands.
Für Verbraucher entstehen daraus zwei Hauptprobleme: Erstens ist nicht immer auf den ersten Blick erkennbar, welche Behörde für welchen Anbieter zuständig ist. Zweitens unterscheiden sich die Rechtsmittel und Beschwerdewege erheblich, je nachdem, ob man es mit einer Bundesbehörde oder einer Länderkörperschaft zu tun hat. Wer mit einer Beschwerde an der falschen Stelle landet, verliert Zeit und riskiert, Fristen zu verpassen.
Hinzu kommt das europäische Mehrebenensystem: BaFin und GGL handeln zwar national, sind aber in europäische Aufsichtsstrukturen eingebettet. Die BaFin kooperiert mit der EBA (European Banking Authority), ESMA und EIOPA; die GGL hat kein direktes europäisches Gegenstück, da Online-Glücksspiel bislang kein harmonisiertes EU-Recht kennt. Das ermöglicht Regulierungsarbitrage zwischen Mitgliedstaaten.
BaFin: Die Bundesfinanzaufsicht
Die BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) wurde am 1. Mai 2002 durch die Fusion der drei Vorläuferbehörden BAKred (Banken), BAV (Versicherungen) und BAWe (Wertpapiere) gegründet. Seitdem ist sie die zentrale Aufsichtsbehörde für den deutschen Finanzmarkt und beaufsichtigt Kreditinstitute, Versicherungsunternehmen, Kapitalverwaltungsgesellschaften und Wertpapierdienstleister.
Die BaFin handelt auf Grundlage eines umfangreichen Gesetzeskatalogs: Das Kreditwesengesetz (KWG) regelt die Bankenaufsicht, das Versicherungsaufsichtsgesetz (VAG) die Versicherungsbranche, das Zahlungsdiensteaufsichtsgesetz (ZAG) Zahlungsdienstleister, ergänzt durch EU-Recht wie die unmittelbar anwendbaren Verordnungen CRR und (seit Ende 2024) MiCAR sowie die über das ZAG umgesetzte Zahlungsdiensterichtlinie PSD2. Die Erlaubnispflicht ist dabei das Kerninstrument: Ohne BaFin-Zulassung darf kein reguliertes Finanzprodukt in Deutschland angeboten werden.
Die laufende Aufsicht umfasst Meldepflichten, Kapitalunterlegungsvorschriften und anlassbezogene Prüfungen. Bei Verstößen kann die BaFin weitreichende Eingriffsbefugnisse ausüben: von der Anordnung von Maßnahmen über das Abberufungsverlangen für Geschäftsleiter bis hin zur Schließung von Instituten. Im Strafrecht kann sie Strafanzeige erstatten.
Organisatorisch ist die BaFin eine Anstalt des öffentlichen Rechts und steht unter der Rechts- und Fachaufsicht des Bundesministeriums der Finanzen. Finanziert wird sie nicht aus Steuermitteln, sondern durch Umlagen und Gebühren der beaufsichtigten Unternehmen. Das Modell soll ihre Unabhängigkeit sichern, wird aber gelegentlich als Interessenkonflikt diskutiert.
MiCAR und KMAG 2024: Die Krypto-Revolution
Am 30. Dezember 2024 wurde die MiCAR (Markets in Crypto-Assets Regulation, EU-Verordnung 2023/1114) vollständig anwendbar, begleitet vom deutschen Aufsichtsgesetz KMAG (Kryptomärkteaufsichtsgesetz). Damit wurde die Regulierung von Krypto-Asset-Dienstleistern (CASPs) in Deutschland grundlegend neu geordnet. Was bis dato ein Flickenteppich aus nationalen Übergangslösungen, GwG-Pflichten und fragmentierten KWG-Erlaubnissen war, ist nun durch ein einheitliches EU-Regelwerk ersetzt.
Vor MiCAR: Krypto-Anbieter in Deutschland benötigten eine KWG-Erlaubnis (als Finanzkommissionsgeschäft oder Eigenhandel), wenn sie mit bestimmten Krypto-Werten handelten. Die Kategorisierung war jedoch streitig, die Durchsetzung uneinheitlich, eine europäische Harmonisierung fehlte. Mit MiCAR gilt nun: Wer als CASP tätig ist, braucht eine BaFin-Zulassung oder die Anerkennung einer gleichwertigen Zulassung aus einem anderen EU-Mitgliedstaat (EU-Pass).
Für Verbraucher bedeutet MiCAR konkret: Krypto-Plattformen müssen Kapitalanforderungen erfüllen, White Papers veröffentlichen, Verwahrungsrisiken offenlegen und Interessenkonflikte managen. Die BaFin führt ein öffentliches Register aller zugelassenen CASPs. Wer seinen Krypto-Anbieter nicht in diesem Register findet, sollte äußerste Vorsicht walten lassen; die Chance, auf einen unregulierten und ggf. betrügerischen Anbieter gestoßen zu sein, ist erheblich.
Das KMAG regelt ergänzend die nationalen Verfahrensfragen: Zuständigkeiten der BaFin, Übergangsfristen für Anbieter, die bereits unter dem alten Regime tätig waren, sowie Bußgeldvorschriften. Anbieter, die schon vor dem 30. Dezember 2024 rechtmäßig tätig waren, durften ihre Tätigkeit im Rahmen der auf zwölf Monate verkürzten deutschen Übergangsregelung längstens bis zum 30. Dezember 2025 fortsetzen, sofern nicht zuvor über ihren Zulassungsantrag entschieden wurde.
GGL: Ein Sonderfall im deutschen Verwaltungsrecht
Die GGL, die Gemeinsame Glücksspielbehörde der Länder, ist aus verwaltungsrechtlicher Sicht ein Unikum im deutschen Staatsgefüge. Sie wurde durch den Glücksspielstaatsvertrag 2021 (GlüStV 2021) errichtet, ist seit dem 1. Januar 2023 vollumfänglich für das länderübergreifende Online-Glücksspiel zuständig und hat ihren Sitz in Halle (Saale). Der entscheidende Unterschied zu einer Bundesbehörde: Die GGL ist eine Anstalt des öffentlichen Rechts (§ 27a GlüStV 2021), getragen von allen 16 Bundesländern. Sie ist kein Bundesorgan und untersteht nicht dem Bundesinnenministerium oder einer anderen Bundesbehörde.
Die Rechtsgrundlage, der GlüStV 2021, ist Landesrecht, nicht Bundesrecht. Er wurde von allen 16 Länderparlamenten ratifiziert und trat am 1. Juli 2021 in Kraft. Das bedeutet: Jede Änderung des GlüStV erfordert die Zustimmung aller 16 Länder. Dieser politische Prozess erschwert Reformen erheblich und hat in der Vergangenheit zu jahrelangen Blockaden geführt. Dies unterscheidet das Glücksspielrecht fundamental vom BaFin-Bereich, wo der Bundesgesetzgeber allein handeln kann.
Für die Durchsetzung gilt: Die GGL handelt im Namen aller Länder, aber die residualen Hoheitsrechte der einzelnen Länder bleiben bestehen. Ein Beispiel: Landesbehörden können weiterhin gegen unerlaubte stationäre Glücksspielbetriebe vorgehen, auch wenn die GGL für das Online-Segment zuständig ist. Das führt in der Praxis bisweilen zu Abstimmungsbedarf zwischen GGL und Länderbehörden.
Kernfunktionen der GGL: Die GGL erteilt Erlaubnisse für virtuelle Automatenspiele, Online-Poker und Sportwetten. Online-Casinospiele im engeren Sinne (etwa Roulette oder Blackjack) lizenzieren dagegen die einzelnen Bundesländer. Das OASIS-Sperrsystem (§§ 8 bis 8d, 23 GlüStV 2021), über das sich Spieler sperren lassen und an das alle Anbieter verpflichtend angeschlossen sein müssen, wird dagegen vom Land Hessen (Regierungspräsidium Darmstadt) geführt; die GGL überwacht die Einhaltung dieser Pflichten durch die Anbieter, führt ein Werbemonitoring durch und kann gegen unerlaubte Werbung vorgehen.
Das OASIS-System (Übergreifendes Sperrsystem) ist dabei ein zentrales Instrument des Verbraucherschutzes: Einmal gesperrte Personen können bei keinem lizenzierten Anbieter mehr spielen, bis die Sperre aufgehoben wird. Anbieter, die OASIS-gesperrten Personen trotzdem Spielmöglichkeiten anbieten, verstoßen gegen ihre Lizenzbedingungen und riskieren den Entzug der Erlaubnis.
Da das GlüStV Landesrecht ist, bestehen für Verbraucher zudem andere Rechtsmittelwege als im Bundesrecht. Klagen gegen GGL-Entscheidungen sind vor den Verwaltungsgerichten der Bundesländer zu erheben, zugeordnet ist die GGL dem Verwaltungsgericht Halle. Für Betroffene aus anderen Bundesländern kann das eine erhebliche praktische Hürde sein.
Was bedeutet das für Verbraucher?
Die wichtigste praktische Faustregel: Welche Behörde zuständig ist, entscheidet sich nach dem Sektor des Anbieters, nicht nach dem Wohnort des Verbrauchers. Ein Überblick:
| Sektor | Zuständige Stelle | Kontakt / Beschwerde |
|---|---|---|
| Online-Banking, Kredit | BaFin + Schlichtungsstelle Dt. Bundesbank | BaFin Verbrauchertelefon: 0800 2 100 500 (kostenfrei) |
| Krypto-Dienstleister | BaFin | BaFin-Register prüfen; Beschwerde über BaFin-Formular |
| Zahlungsdienste | BaFin | Schlichtungsstelle je nach Institut; BaFin bei schwerwiegenden Verstößen |
| Online-Glücksspiel | GGL | GGL-Beschwerdeformular auf gluecksspiel-behoerde.de; OASIS-Spielersperren über das Regierungspräsidium Darmstadt |
| Versicherungen | BaFin | BaFin Verbrauchertelefon; Ombudsmann Versicherungen |
Wichtig: Aufsichtsbehörden wie BaFin und GGL schützen den Markt als Ganzes; Schiedsrichter in individuellen Zivilstreitigkeiten sind sie nicht. Eine BaFin-Beschwerde führt nicht automatisch zu einer Rückzahlung. Wer individuelle Ansprüche durchsetzen will (etwa Rückforderung von Verlusten bei einem nicht lizenzierten Glücksspielanbieter oder die Rückabwicklung eines fehlerhaften Bankprodukts), braucht in der Regel einen Anwalt oder den Rechtsweg über die ordentlichen Gerichte.
Verbraucher sollten außerdem beachten, dass nur lizenzierte Anbieter der Behördenaufsicht unterliegen. Wer bei einem nicht lizenzierten Anbieter spielt oder Gelder anlegt, hat möglicherweise keine behördliche Beschwerdemöglichkeit, aber in manchen Fällen zivilrechtliche Rückforderungsansprüche nach § 812 BGB (ungerechtfertigte Bereicherung), die vor Gericht geltend gemacht werden können.
Regulierungslücken und offene Fragen
Trotz zunehmend dichter werdender Regulierung bestehen weiterhin Lücken. Soziale Medien und große Online-Plattformen werden nicht durch branchenspezifische Behörden wie BaFin oder GGL kontrolliert. Hier gilt der Digital Services Act (DSA), dessen Durchsetzung in Deutschland über den nationalen Digital Services Coordinator (die Bundesnetzagentur in ihrer Eigenschaft als DSC) läuft. Für Verbraucher, die sich über Löschungen, Sperrungen oder algorithmische Entscheidungen beschweren wollen, ist der Weg deutlich weniger klar als im Finanzbereich. Auch sogenannte Dark Patterns in Abo-Diensten, die Verbraucher zu ungewollten Vertragsabschlüssen verleiten, fallen zwischen die Stühle: Keine der genannten Behörden ist dafür primär zuständig; stattdessen greifen Verbraucherschutzbehörden auf Landesebene und das UWG.
Im Krypto-Bereich schützt MiCAR vor allem zugelassene Dienstleister; DeFi-Protokolle (Decentralized Finance) und nicht-fungible Token (NFTs) in bestimmten Ausgestaltungen sind von der Verordnung zunächst ausgenommen. Hier verbleibt eine erhebliche Regulierungslücke, die die EU-Kommission in einer MiCAR-Überprüfungsklausel für 2025/2026 adressieren soll. Für Verbraucher bedeutet das: Wer DeFi-Protokolle nutzt oder in bestimmte NFT-Projekte investiert, bewegt sich außerhalb des regulierten Rahmens, mit allen damit verbundenen Risiken und ohne behördliche Beschwerdemöglichkeit.
Einen lizenzierten Dienst in Deutschland gründen?
UG, GmbH und regulatorische Pflichten: alles Wichtige zur Unternehmensgründung im regulierten Umfeld, klar erklärt.
Zur Gründungsseite →