Das ZAG bestimmt, welche Tätigkeiten erlaubnispflichtige Zahlungsdienste sind: Ein- und Auszahlungsgeschäft, Zahlungsgeschäft mit und ohne Kreditgewährung, Akquisitionsgeschäft (Issuing und Acquiring), Finanztransfergeschäft, Zahlungsauslöse- und Kontoinformationsdienste sowie das E-Geld-Geschäft. Der Negativkatalog des § 2 ZAG nimmt unter anderem Handelsvertreter, begrenzte Netze und rein technische Infrastrukturdienste aus. Reine Kontoinformationsdienste werden nur registriert (§ 34 ZAG). Die BaFin erläutert die Abgrenzung in ihrem Merkblatt zum ZAG (Stand Juli 2024).
In der laufenden Aufsicht stehen Eigenmittel nach der ZAG-Instituts-Eigenmittelverordnung, die Sicherung entgegengenommener Gelder nach § 17 ZAG, die Einbindung und Anzeige von Agenten, Auslagerungen nach § 26 ZAG sowie die Anzeige- und Meldepflichten der ZAG-Anzeigenverordnung und der ZAG-Monatsausweisverordnung im Mittelpunkt. Hinzu kommen die jährliche Bewertung operationeller und sicherheitsrelevanter Risiken, die Meldung schwerwiegender Vorfälle und die Betrugsstatistik nach der Delegierten Verordnung (EU) 2018/389.