Conduct- & IT-Risiko-Aufsicht über Banken

Einheitlicher Schutz im integrierten Finanzmarkt

Banken sind in Österreich der zentrale Vertriebskanal für eine Vielzahl an Finanzprodukten – von klassischen Bankdienstleistungen, wie Zahlungen oder Kredite, über Wertpapiere bis hin zu Versicherungen. Sie treten gegenüber ihren Kund:innen als Anbieter vielfältiger Produkte bzw Dienstleistungen auf.

Um sicherzustellen, dass Verbraucher:innen unabhängig vom konkreten Produkt oder Anbieter verlässlich geschützt sind, braucht es mehr als bloß harmonisierte Regeln: Es braucht einen einheitlichen Aufsichtsansatz, der alle über Banken angebotenen Finanzdienstleistungen umfasst. Entscheidend ist, dass die angebotenen Produkte den Bedürfnissen der Kund:innen entsprechen, transparent erklärt und fair vermittelt werden.

Auch im Bereich der IT-Risiken gewinnt ein kohärenter Aufsichtsrahmen zunehmend an Bedeutung. Die Digitalisierung des Finanzmarkts erfordert klare, einheitliche Standards – sowohl zur Stärkung der Cybersicherheit als auch zur Sicherstellung der digitalen Resilienz. Davon profitieren alle Marktteilnehmer – insbesondere aber die Verbraucher:innen.

Aufsichtsansatz der FMA: Konvergent, integriert, zukunftsorientiert

Bereits 2018 hat die FMA mit der Bündelung der Aufsicht von Banken über Vertriebsthemen aus den Bereichen Bank-, Wertpapier- und Versicherungsdienstleistungen einen wichtigen Schritt in Richtung konvergente Aufsicht gesetzt. Eine eigene Abteilung für Conduct- und Vertriebsaufsicht für Banken ermöglichte eine ganzheitliche Sicht auf Vertriebsfragen – produkt- und rechtsformübergreifend.

Seit 2025 ist die Conduct-Aufsicht vollständig in den Bereich Bankenaufsicht integriert. Damit werden verhaltensorientierte und prudentielle Aufsichtsansätze organisatorisch zusammengeführt. Das Ergebnis: Ein durchgängiger, kohärenter Aufsichtsrahmen entlang des gesamten Vertriebskanals Bank.

Ebenfalls seit 2025 erfolgt die IT-Risiko-Aufsicht über Banken (LSI ), Zahlungs- und E-Geld-Institute zentralisiert in der Abteilung „Conduct- und IT-Risiko-Aufsicht über Banken“. Im Fokus stehen dabei insbesondere die Vorgaben der EU-Verordnung DORA sowie relevante EBA-Leitlinien. Gemeldete IKT-Vorfälle, geplante Auslagerungen und Informationsregister werden systematisch erfasst, analysiert und risikoorientiert bewertet.

Neu seit April 2025 ist zudem die laufende Conduct-Aufsicht über Kreditdienstleister in dieser Abteilung verankert. Mit Inkrafttreten des Kreditkäufer- und Kreditdienstleister-Gesetzes (KKG) fällt auch diese neue Anbietergruppe unter das verhaltensorientierte Aufsichtsregime. Die Einbindung in die bestehende Abteilung stellt sicher, dass dieselben Maßstäbe an Kundenschutz, Transparenz und Geschäftspraktiken gelten – unabhängig davon, ob es sich um eine Bank oder einen Kreditdienstleister handelt. Für allgemeine Informationen siehe Kreditdienstleister und Kreditkäufer.

Synergien zwischen Conduct und IT-Risiko: Zwei Perspektiven, ein Ziel

Die Bündelung von Conduct- und IT-Risiko-Aufsicht in einer gemeinsamen Abteilung bringt bewusst zwei Perspektiven zusammen, die in einer zunehmend digitalen Finanzwelt untrennbar miteinander verbunden sind: Einerseits die Einhaltung von Wohlverhaltens- und Vertriebsregeln gegenüber Kund:innen – andererseits die Gewährleistung sicherer, stabiler und vertrauenswürdiger technischer Systeme im Hintergrund.

Denn eine faire Beratung, transparente Information und verlässliche Abwicklung setzen auch robuste IT-Prozesse voraus. Umgekehrt kann ein IT-Ausfall oder ein Cybervorfall unmittelbare Auswirkungen auf das Kundenerlebnis und das Vertrauen in den Finanzmarkt haben. Durch die institutionelle Verknüpfung beider Themen stärkt die FMA ihre Fähigkeit, Risiken gesamthaft zu erkennen und effizient zu adressieren – im Sinne eines modernen, resilienten und kundenorientierten Finanzmarkts.

Mit der Einbindung der Aufsicht über Kreditdienstleister wird dieser ganzheitliche Ansatz nochmals gestärkt. Gerade bei kreditbezogenen Dienstleistungen – etwa der Abwicklung notleidender Forderungen – ist es entscheidend, dass sowohl die verhaltensorientierte Behandlung der Kund:innen als auch die technische Infrastruktur (z. B. zur Datenverarbeitung, Kommunikation und Reklamationsbearbeitung) hohen Standards entspricht.

So entsteht eine integrierte Aufsicht über Technologie, Compliance und Vertrieb – abgestimmt, effizient und zukunftssicher.

Im Bereich des Bankwesengesetzes bestehen Compliance- und Wohlverhaltensanforderungen in Bezug auf die Erbringung von Bankdienstleistungen und beim Verkauf von Bankprodukten, wie Anforderungen in Bezug auf das Beschwerdemanagement und die Vergütungspolitik und -praktiken. Im Zusammenhang mit der Kreditvergabe bestehen umfangreiche Conduct-Pflichten zu Immobilienkrediten. Diese reichen von Grundsätzen für die Kreditvergabe und Bewertung von Wohnimmobilien, Kenntnissen und Fähigkeiten der Berater bis hin zu Regeln für die Bonitätsprüfung, den Umgang mit Zahlungsrückständen und Zwangsvollstreckung sowie Vorgaben für die Vergütungspolitik.

Die Conduct- und Wohlverhaltensregeln bei der Erbringung von Zahlungsdiensten umfassen unter anderem die Informationspflichten des 3. Hauptstückes, die Rechte und Pflichten bei der Erbringung und Nutzung von Zahlungsdiensten gemäß dem 4. Hauptstück sowie Regeln für das Beschwerdemanagement nach dem 5. Hauptstück.

Hier finden Sie das durch die Europäische Kommission erstellte Merkblatt zur Information der Verbraucher über ihre Rechte bei europaweiten Zahlungen gem § 38 ZaDiG 2018.

Informationsbroschüre "Ihre Rechte bei europaweiten Zahlungen" (Dateiformat: pdf, Dateigröße: 359,1 KB, Sprache: Deutsch)

Kreditinstitute, die aufgrund ihrer Legalkonzession gemäß § 1 Abs. 3 BWG auch Wertpapierdienstleistungen wie die Anlageberatung, die Portfolioverwaltung auf Einzelkundenbasis und/oder die Annahme und Übermittlung von Wertpapieraufträgen (§ 3 Abs. 2 Z 1 bis 3 WAG 2018) erbringen, haben das 2. Hauptstück – Organisatorische Anforderungen des Wertpapieraufsichtsgesetzes (WAG 2018), die darauf beruhenden Verordnungen, sowie die direkt anwendbaren EU-Verordnungen – insbesondere die Delegierte Verordnung (EU) 565/2017 – einzuhalten. Diese umfassen einerseits organisatorische Anforderungen, wie die Einrichtung einer Compliance-Funktion, andererseits eine breite Palette an Wohlverhaltensregeln bei der Erbringung von Wertpapierdienstleistungen.

Die Versicherungsvertriebsrichtlinie (IDD) und darauf basierende delegierte EU-Verordnungen bringen weitgehend der MiFID II bzw. dem Wertpapieraufsichtsgesetz 2018 nachgebildete Conduct- und Wohlverhaltensregeln für die Versicherungsvermittlung. Gemäß § 21 Abs. 4 BWG haben Kreditinstitute bei der Vermittlung von Versicherungsverträgen und Versicherungsanlageprodukten insbesondere die einschlägigen Regeln in der Gewerbeordnung 1994 (§ 69 Abs. 2, §§ 137f.) sowie die auf dieser Basis erlassenen nationalen Verordnungen (zB die Standesregeln für Versicherungsvermittlung) zu beachten.

Bei der Herstellung verpackter Anlageprodukte für Kleinanleger und beim Vertrieb dieser Produkte sowie von Versicherungsanlageprodukten an Kleinanleger haben Kreditinstitute die Bestimmungen der PRIIP-Verordnung, des PRIIP-Vollzugsgesetzes sowie der direkt anwendbaren EU-Verordnungen, insbesondere der Delegierten Verordnung (EU) 2017/653, einzuhalten. Diese schreiben unter anderem Herstellern die Abfassung eines Basisinformationsblattes (KID) für diese Produkte vor. Der Vertreiber trifft unter anderem die Pflicht, das KID dem Kleinanleger rechtzeitig vor Vertragsabschluss zur Verfügung zu stellen.

In Bezug auf die Berücksichtigung der Nachhaltigkeit im Finanzbereich haben Kreditinstitute im Wertpapiervertrieb die Vorgaben der Delegierten VO (EU) 2017/565 und der §§ 30 und 31 WAG 2018 einzuhalten. Somit sind in den organisatorischen Vertriebsvorkehrungen die Nachhaltigkeitsrisiken zu berücksichtigen. Weiters ist im Rahmen der Product Governance unter anderem bei der Zielmarktbestimmung anzugeben, auf welche nachhaltigkeitsbezogenen Anlageziele ein Finanzinstrument ausgerichtet ist. Bei der Anlageberatung haben Kreditinstitute auf die Nachhaltigkeitspräferenzen der Kunden einzugehen.

Darüber hinaus haben Kreditinstitute, die Finanzmarktteilnehmer (Art 2 Z 1 lit j Offenlegungs VO) oder Finanzberater (Art 2 Z 11 lit c Offenlegungs VO) sind, die Transparenzverpflichtungen der Offenlegungs-Verordnung (EU) 2019/2088 zu befolgen. In diesem Zusammenhang sind auf den Internetseiten, in der Vergütungspolitik sowie in den vorvertraglichen Informationen und regelmäßigen Berichten der Kreditinstitute unter anderem Informationen zu Nachhaltigkeitsrisiken, nachteiligen Nachhaltigkeitsauswirkungen und produktbezogene Nachhaltigkeitsinformationen offenzulegen.

Die FMA überprüft im Rahmen der Conductaufsicht die Einhaltung dieser gesetzlichen Bestimmungen anhand verschiedener Aufsichtsinstrumente. Sie setzt dabei FMA auf eine bewährte 3-stufige Strategie unter Einbindung der beaufsichtigten Kreditinstitute und deren Interessenvertretungen. Diese Strategie umfasst die gezielte Marktüberwachung, den strukturierten Dialog mit dem Markt sowie die konkrete Prüfung einzelner Rechtsträger.

Der Überprüfung dienen Vor-Ort-Prüfungen:

gemäß § 21 Abs 5 BWG hinsichtlich der Versicherungsvermittlung durch Kreditinstitute,
gemäß § 90 Abs. 3 Z 3 WAG 2018 hinsichtlich der Erbringung von Wertpapierdienstleistungen und
gemäß § 4 Abs 1 PRIIP-VG hinsichtlich der Pflichten aus der PRIIP-Verordnung.

Darüber hinaus werden Einsichtnahmen und Managementgespräche durchgeführt. Diese Aufsichtsinstrumente dienen der anlassbezogenen Erörterung von konkreten Sachverhalten, der tourlichen Prüfung sowie der Erhebung des Marktstandards und insbesondere der Aufrechterhaltung des laufenden Aufsichtskontakts.

Managementgespräche und Einsichtnahmen werden überdies gezielt als Follow-up Maßnahme insbesondere nach einer Vor-Ort-Prüfung gesetzt.

Informationsquellen und wichtige Links

Als Beitrag zur Gewährleistung der Rechtssicherheit und zur Rechtsfortbildung werden von der FMA im Rahmen der Aufsichtsentwicklung zahlreiche Rundschreiben erlassen. Zusätzlich werden gemeinsam mit den Marktteilnehmern Selbstregulierungswerke erarbeitet, die Mindestregelungen darstellen, wobei es aber jedem Marktteilnehmer unbenommen bleibt, strengere Regelungen zu treffen.

Integrierter Bankenvertriebsbericht

Der Integrierte Bankenvertriebsbericht bietet anhand der einschlägigen materiellen Rechtsgrundlagen einen Überblick über die Vertriebstätigkeiten von österreichischen Kreditinstituten im Inland eines Geschäftsjahres. Anhand der analysierten Daten und Kennzahlen wird dargestellt, welche Bedeutung Kreditinstituten beim Vertrieb von Kredit-, Versicherungs- und Wertpapierprodukten insbesondere an Verbraucher*innen bzw. Kleinanleger in Österreich zukommt.

Integrierter Bankenvertriebsbericht 2024 (Dateiformat: pdf, Dateigröße: 2,5 MB, Sprache: Deutsch) Integrierter Bankenvertriebsbericht 2023 (Dateiformat: pdf, Dateigröße: 1,7 MB, Sprache: Deutsch) Integrierter Bankenvertriebsbericht 2022 (Dateiformat: pdf, Dateigröße: 3,6 MB, Sprache: Deutsch) Integrierter Bankenvertriebsbericht 2021 (Dateiformat: pdf, Dateigröße: 2,4 MB, Sprache: Deutsch)