AML-Compliance: Ein Praxisleitfaden für Compliance-Teams

AML-Compliance wird oft auf eine Checkliste verkürzt: Kunden identifizieren, Namen abgleichen und verdächtige Aktivitäten melden. Dadurch gerät das Kontrollsystem aus dem Blick, das diese Maßnahmen zuverlässig macht. Ein praxistaugliches Programm verbindet rechtlichen Anwendungsbereich, Risikobewertung, Kundenkenntnis, Monitoring, Untersuchung, Eskalation, Dokumentation und Wirksamkeitskontrolle.

Die konkreten rechtlichen Pflichten sind weltweit nicht identisch. FATF beschreibt seine Empfehlungen als internationale Standards, die Länder durch an ihre rechtlichen, administrativen und operativen Systeme angepasste Maßnahmen umsetzen.¹ Die Aussage „jedes Unternehmen muss diese AML-Checkliste nutzen“ ist daher selten zutreffend. Die bessere Frage lautet: Welche Regeln gelten für diese Organisation, und wie sollen ihre Kontrollen zusammenspielen?

Rechtlichen Anwendungsbereich verstehen → Risiko bewerten → angemessene Kontrollen gestalten → Kunden und Eigentumsverhältnisse kennen → Beziehung überwachen → Signale untersuchen → rechtsordnungsspezifisch über Eskalation oder Meldung entscheiden → Nachweise bewahren → Programm testen und verbessern.

Was AML-Compliance in der Praxis bedeutet

AML-Compliance ist der Rahmen, mit dem ein Unternehmen Risiken der Geldwäsche und Terrorismusfinanzierung erkennt, bewertet und steuert sowie die für es geltenden Melde- und Kontrollpflichten erfüllt. Sie ist mehr als ein Tool und mehr als ein einzelner Workflow.

Die gegenwärtige US-Regel zum AML-Programm verlangt von erfassten Banken beispielsweise interne Kontrollen, unabhängige Prüfungen, eine für die tägliche Steuerung verantwortliche Person, Schulungen und risikobasierte fortlaufende Kundensorgfalt.² Im Vereinigten Königreich müssen relevante Personen ihre eigenen Risiken der Geldwäsche und Terrorismusfinanzierung bewerten und angemessene Richtlinien, Kontrollen und Verfahren aufrechterhalten.³⁴ Die EU-Geldwäscheverordnung schafft einen neuen unmittelbar geltenden Rahmen, der überwiegend ab 10. Juli 2027 anwendbar ist; vor diesem Zeitpunkt darf sie nicht als bereits geltende Pflicht dargestellt werden.⁵

Die gemeinsame Architektur ist hilfreich. Gesetzeswortlaut, sektoraler Geltungsbereich, Meldeschwelle, Aufbewahrungsfrist, Funktionsbezeichnungen und Überprüfungsrhythmus können jedoch unterschiedlich sein.

AML-Compliance ist nicht dasselbe wie KYC, Sanktionen oder Transaktionsmonitoring

Diese Trennung verhindert Doppelarbeit und Fehlentscheidungen. Weiterführende Informationen finden sich zu KYC und KYB, Sanktionsscreening und Kundenrisikobewertung.

Anforderungen nach Autorität und Anwendungsbereich lesen

Bevor eine Quelle zur Richtlinie oder Systemregel wird, sollte dokumentiert sein, welche Aussageart sie enthält. Eine verbindliche Regel kann nur für einen bestimmten Sektor oder Rechtsträger gelten. Aufsichtliche Leitlinien können erklären, wie eine Behörde Systeme und Kontrollen bewertet, ohne eine eigenständige Pflicht zu schaffen. FATF-Material ist ein globaler Standard für Staaten, nicht automatisch anwendbares Privatrecht. Eine operative Empfehlung ist eine bewusste Kontrollentscheidung, die auf Risikobewertung und anwendbare Regeln zurückführbar sein sollte.

Das ist besonders bei grenzüberschreitenden Programmen wichtig. „Die EU-Geldwäscheverordnung wird verlangen“ ist nur mit Datum und Geltungsbereich aussagekräftig: Verordnung (EU) 2024/1624 gilt überwiegend ab 10. Juli 2027.⁵ „Eine US-Bank muss“ verlangt die Benennung der einschlägigen Regel; §1020.210 gilt für Banken in seinem Anwendungsbereich, nicht für jedes Unternehmen weltweit.²

Mit dem risikobasierten Ansatz beginnen

Ein risikobasiertes Programm bedeutet nicht, weniger zu tun. Es nutzt ein dokumentiertes Bild der Exponierung, um zu entscheiden, wo stärkere Kontrollen, bessere Daten, häufigere Überprüfung und spezialisierte Eskalation erforderlich sind.

Unternehmensweite Risikobewertung

Die unternehmensweite Risikobewertung ist die Grundlage für die Programmgestaltung. Sie berücksichtigt Kunden, Produkte, Dienstleistungen, Vertriebskanäle, Länder, Transaktionsarten, Partner, neue Technologien und externe Bedrohungsinformationen. Die britische Regulation 18 verpflichtet relevante Personen, die ML/TF-Risiken ihres Geschäfts zu ermitteln und zu bewerten.³ Auch die EU-Geldwäscheverordnung verlangt ab 2027 eine dokumentierte Risikobewertung, die bei wesentlichen internen oder externen Änderungen des Risikoprofils aktuell gehalten und überprüft wird.⁵

Das Ergebnis sollte unter anderem bestimmen:

• welche Rechtsträger und Tätigkeiten in das Programm fallen;
• welche Kunden- und Eigentumsdaten je Produkt erforderlich sind;
• welche Risikofaktoren und Eskalationsauslöser gelten;
• welche Monitoring-Szenarien, Überprüfungsintervalle und Qualitätssicherungen nötig sind; und
• welche Ressourcen, Schulungen, Tests und Managementinformationen gebraucht werden.

Die Bewertung muss nutzbar sein und darf kein statisches Risikoregister bleiben. Ein Prüfer sollte erkennen können, wie Produkt, Kundentyp, Geografie oder Vertriebskanal Exponierung erzeugen, welche Kontrollen sie mindern, welches Restrisiko verbleibt und wer bei veränderten Annahmen handeln muss.

Kundenrisikobewertung

Die Kundenrisikobewertung wendet die Methodik auf eine einzelne Beziehung an. Sie sollte relevante Angaben zu Kunde, Geschäftstätigkeit, Eigentum, Zweck der Beziehung, Geografie, Produkten und erwarteter Aktivität nutzen. Daraus folgt die Intensität von CDD, verstärkter Sorgfalt, Monitoring und Überprüfung.

Ein Score ist keine Rechtsentscheidung. Ein niedriger Wert kann nur die gegenwärtig verfügbare Information abbilden; ein hoher Wert kann verstärkte Maßnahmen erfordern, deren genaue Auslöser aber vom anwendbaren Regime abhängen. Eine belastbare Kundenrisikoakte trennt Eingangsdaten — Kundentyp, Rechtsform, Eigentumskomplexität, Produkte, erwartete Aktivität, Kanal, Geografie und nachteilige Informationen — vom fachlichen Urteil. Sie sollte erläutern, welche Faktoren wesentlich sind, wann menschliche Beurteilung erforderlich ist, wer ein automatisches Ergebnis übersteuern kann und welche Nachweise die Ausnahme tragen.

Risiko bei geänderten Fakten aktualisieren

Ereignisbasierte Pflege ist hilfreicher als eine unbegründete globale Regel für eine „jährliche Aktualisierung“. Risiko ist neu zu bewerten, wenn sich Eigentum oder Kontrolle ändern, Kundenverhalten von Erwartungen abweicht, ein neues Produkt oder Land hinzukommt, Daten verlässlicher werden, eine wesentliche externe Bedrohung entsteht oder eine Regulierungsänderung das Kontrolldesign berührt. Auslöser, Entscheidung und betroffene Population sind zu dokumentieren.

Die FATF-Liste der Länder unter verstärkter Beobachtung ist ein gutes Beispiel: Nach FATF löst dieser Status nach FATF-Standards nicht allein verstärkte Sorgfalt aus. Er soll die Risikobewertung informieren; lokales Recht kann weitere Folgen vorsehen.⁶

Governance und Verantwortlichkeiten um das Programm aufbauen

Ein Programm braucht benannte Entscheider, ausreichende Ressourcen und einen Weg von einer Kontrollschwäche zur Behebung. Je nach Organisation und Rechtsordnung können Funktionen MLRO, AML-Compliance Officer, BSA Officer, verantwortliche Führungskraft oder ähnlich heißen. Daraus folgt nicht, dass weltweit dieselbe Bezeichnung verwendet werden muss.

Ein tragfähiges Governance-Modell benennt Verantwortliche für:

• rechtlichen Anwendungsbereich und regulatorische Auslegung;
• Risikomethodik und deren Genehmigung;
• CDD-, verstärkte Sorgfalts- und UBO-Standards;
• Monitoring-Szenarien, Screening-Konfiguration und Änderungsfreigabe;
• Alert-Warteschlangen, Untersuchungsqualität und Eskalation;
• Meldeentscheidungen und behördenspezifische Verfahren;
• Aufzeichnungen, Zugriffsrechte, Aufbewahrung und Datenqualität; sowie
• Schulung, unabhängige Überprüfung, Vorfälle und Abhilfemaßnahmen.

Die Geschäftsleitung braucht Informationen zur Gesundheit der Kontrollen, nicht nur eine Alert-Zahl. Nützlich sind Risikobewertungsänderungen, Volumen und Alterung der Warteschlangen, unvollständige CDD, Lücken bei Eigentumsdaten, Monitoring- und Screening-Ausnahmen, Meldeentscheidungen, fehlerhafte Daten- oder Quellenaktualisierungen, QA-Feststellungen, Schulungsstand, Lieferantenvorfälle und überfällige Abhilfen.

CDD, verstärkte Sorgfalt und wirtschaftlich Berechtigte verbinden

CDD schafft belastbaren Kontext für die Beziehung. Dazu können Identität, Verifizierung, Geschäftstätigkeit, Vertreter, wirtschaftlich Berechtigte, Zweck und erwartete Aktivität gehören. KYB ist ein nützlicher Begriff für die unternehmensbezogene Seite dieser Arbeit; rechtliche Definitionen und Nachweisanforderungen unterscheiden sich jedoch.

Verstärkte Sorgfalt ist keine weltweit einheitliche Zusatzdokumentenliste. Sie umfasst intensivere Maßnahmen in Fällen, die lokales Recht vorsieht oder die die Risikomethodik identifiziert. Die britische Regulation 33 verlangt beispielsweise in bestimmten Hochrisikofällen verstärkte Sorgfalt und verstärktes fortlaufendes Monitoring.⁷

Nachweise zu wirtschaftlich Berechtigten nutzbar machen

Wirtschaftlich Berechtigte und verbundene Parteien sind nicht bloß ein Prozentfeld. Das Programm muss wissen, welcher Rechtsträger und welche Beziehung bewertet werden, welche Eigentums- oder Kontrollnachweise vorliegen, wann sie erhoben wurden, wer sie geprüft hat und was unbekannt bleibt. Komplexe Gruppen, Treuhand- oder Nominee-Strukturen, Kontrollrechte, jüngste gesellschaftsrechtliche Änderungen und widersprüchliche Register können einen dokumentierten Eskalationsweg erfordern.

Die entscheidende Frage lautet nicht „Gibt es ein UBO-Feld?“, sondern „Können wir erklären, wer diese Beziehung besitzt oder kontrolliert, warum das für ihr Risiko zählt und wie eine spätere Änderung die zuständigen Personen und Kontrollen erreicht?“ Diese Nachweise können CDD, Kundenrisiko, Sanktionsanalyse und spätere Untersuchungen speisen; jeder nachgelagerte Kontrollschritt kann aber einen anderen rechtlichen Maßstab anwenden.

Verstärkte Maßnahmen anhand des anwendbaren Auslösers festlegen

Verstärkte Sorgfalt kann zusätzliche Informationen über Beziehung oder Herkunft von Mitteln bzw. Vermögen, eine höhere Genehmigung, intensiveres Monitoring oder kürzere Überprüfungsintervalle umfassen. Die genaue Kombination folgt anwendbarem Recht, aufsichtlicher Erwartung und der dokumentierten Risikomethodik. Globale Regeln wie „jede PEP muss abgelehnt werden“ oder „jeder Kunde aus einem Grey-List-Land wird gleich behandelt“ sind zu vermeiden.

Aktivitäten überwachen und Alerts untersuchen

Fortlaufendes Monitoring verbindet das Wissen über eine Beziehung mit später beobachteten Aktivitäten. Die US-Aufsicht beschreibt Kundensorgfalt als Grundlage eines starken BSA/AML-Programms und verknüpft Kundenverständnis mit fortlaufendem Monitoring verdächtiger Transaktionen und risikobasierten Aktualisierungen.⁸

Ein nützlicher Ablauf ist:

1. Erwartete Beziehungsinformationen durch CDD und Risikobewertung feststellen.
2. Ein Signal durch Aktivität, Screening, Datenänderung, Meldung oder eine andere Kontrolle erkennen.
3. Das Signal im Kontext von Kundendaten, Eigentum, Transaktionshistorie, früheren Fällen, Geografie und verfügbaren Nachweisen prüfen.
4. Die Untersuchung dokumentieren und entscheiden, ob geschlossen, Informationen eingeholt, eine Risikomaßnahme ergriffen oder eskaliert wird.
5. Für SAR/STR, Sanktionsmeldung, Transaktionsentscheidung oder andere Maßnahme den rechtsordnungsspezifischen Weg nutzen.

Untersuchungen kontextbezogen und nachvollziehbar gestalten

Eine Untersuchung sollte nicht darin bestehen, dass ein Analyst bei einem Einzeilen-Alert auf „bereinigen“ klickt. Sie muss zeigen, was das Signal ausgelöst hat, welche Kunden- und Eigentumsinformationen verfügbar waren, welche Aktivität und Historie geprüft wurden, welche Fakten die Sorge stützten oder entkräfteten, wer den Fall prüfte und warum das gewählte Ergebnis angemessen war. Der Dokumentationsumfang muss mit Bedeutung, Unsicherheit und möglicher regulatorischer Folge des Falls skalieren.

Definieren Sie getrennte Zustände wie möglicher Treffer, Information angefordert, in Untersuchung, an Spezialprüfung verwiesen, gelöst, eskaliert und mit Abhilfe geschlossen. Das macht Warteschlangenverantwortung sichtbar und verhindert, dass Fälle in einer allgemeinen Kategorie „False Positive“ verschwinden. Ein Alert beweist keine Geldwäsche, und eine SAR/STR beweist nicht, dass ein Kunde eine Straftat begangen hat. Im Vereinigten Königreich werden SARs bei der UK Financial Intelligence Unit der National Crime Agency eingereicht.⁹

Meldeschwellen, Zeitvorgaben, Vertraulichkeit, Tipping-off-Beschränkungen und die Behandlung von Transaktionen richten sich nach anwendbarem Recht. Eine Sanktionsmeldung darf nicht allein deshalb über einen AML-SAR-Prozess laufen, weil beide Fragen aus derselben Fallakte stammen.

Nachweise bewahren und Wirksamkeit der Kontrollen testen

Die Evidenzakte sollte es ermöglichen, die Grundlage einer wesentlichen Entscheidung zu rekonstruieren:

Künftige Bestimmungen der EU-Geldwäscheverordnung umfassen Aufzeichnungen zu Bewertungen verdächtiger Aktivitäten, auch wenn keine Meldung erfolgt. Dies sollte mit dem Anwendungsdatum 2027 beschrieben und vor Veröffentlichung erneut überprüft werden.⁵ Als operative Empfehlung sollten genügend Daten erhalten bleiben, um sowohl die Einzelentscheidung als auch die sie auslösende Konfiguration zu reproduzieren.

Tests sollten Design und operative Wirksamkeit abdecken: Datenqualität, Verhalten von Szenarien oder Matching, Alert-Alterung, Analystenkonsistenz, Eskalationen, Quellenupdates, Lieferantenleistung, Ausfälle und Abhilfen. Für erfasste US-Banken sind unabhängige Tests ausdrücklich vorgeschrieben; andere Organisationen sollten einen zu ihren Pflichten und Risiken passenden Assurance-Ansatz wählen.²

Die ganze Kontrolle testen, nicht nur das Tool

Ein Modell kann entsprechend seiner Konfiguration arbeiten, während das Programm trotzdem versagt. Testen Sie, ob Quelleninformationen die Kontrolle erreichen, Kunden- und Eigentumsdaten ausreichend vollständig sind, neue Produkte oder Länder vor dem Start bewertet wurden, Alerts eine verantwortete Warteschlange erreichen, Entscheidungen stichprobenartig geprüft werden und Feststellungen fristgerecht korrigiert werden. Berücksichtigen Sie Ausfall und Wiederherstellung: nicht verfügbare Anbieter, verzögerte Datenfeeds, geänderte Quellformate, Ausfälle von Mitarbeitenden, Massenrückstände und früher bereinigte Beziehungen mit später geänderten Fakten.

Technologie, Auslagerung und KI

Technologie kann Screening, Monitoring, Fallbearbeitung und Nachweise unterstützen. Sie überträgt weder Verantwortung noch macht sie ein Unternehmen automatisch compliant. Dokumentieren Sie Anbieterscope, Quellen- und Datenherkunft, Konfigurationsverantwortung, Zugriffe, Änderungssteuerung, Ausfallbehandlung, Tests sowie Exit- und Wiederherstellungsregelungen.

Bei automatisierten oder KI-unterstützten Entscheidungen sind Zweck, menschliche Entscheidungspunkte, Tests, Grenzen, Übersteuerungen und aufbewahrte Nachweise festzulegen. Für kontrollierte KI-Agenten-Workflows mit autorisiertem Zugriff auf AML-Fähigkeiten siehe Agentic AML über MCP. Die EU-Geldwäscheverordnung enthält für bestimmte automatisierte oder KI-Entscheidungen Anforderungen an eine sinnvolle menschliche Intervention ab dem 10. Juli 2027; diese zukünftige EU-Regel ist keine globale Vorgabe.⁵

Checkliste für die Umsetzung eines AML-Programms

Ein praktischer Plan für die ersten 90 Tage

Diese Abfolge ist ein Umsetzungsansatz und kein allgemeingültiger regulatorischer Zeitplan.

Tage 1–30: Ausgangslage herstellen

Dokumentieren Sie Rechtsträger, Produkte, Länder, Kunden, Kanäle, Datenquellen und Teams des aktuellen Betriebsmodells. Bestimmen Sie die anwendbaren Aufsichtsbehörden und die Quellen, die jede Aktivität tatsächlich regeln. Kartieren Sie, wo CDD, Eigentumsinformationen, Screening, Monitoring, Fallbearbeitung und Meldeentscheidungen heute stattfinden. Zuerst ist festzustellen, wo Informationen fehlen, Verantwortlichkeiten unklar sind oder ein Fall zwischen Teams verloren gehen kann.

Tage 31–60: Kontrollen und Nachweise verbinden

Aktualisieren Sie unternehmensweite Risikobewertung und Kundenrisikomethodik so, dass sie beobachtbare Kontrollentscheidungen erzeugen. Definieren Sie Mindestfelder für Kunden-, Unternehmens- und Eigentumsnachweise, Eskalationskriterien, Fallzustände, Prüfbefugnisse und Aufbewahrungsverantwortung. Gleichen Sie Systemkonfiguration und dokumentierte Richtlinie ab und prüfen Sie aktuelle Alerts, geschlossene Fälle und Kundenüberprüfungen stichprobenartig.

Tage 61–90: testen, steuern und verbessern

Führen Sie realistische Kontrollen mit unvollständigen Daten, Eigentumsänderungen, ungewöhnlicher Aktivität, verzögerten Quellenupdates und Lieferanten- oder Systemausfällen durch. Jede Feststellung erhält einen Verantwortlichen und ein Abschlussdatum. Richten Sie Managementinformationen und ein Change-Governance-Forum für Produkte, Länder, Quellen, regulatorische Entwicklungen und wesentliche Vorfälle ein. Ergebnis sollte ein priorisierter Abhilfeplan sein, nicht die Behauptung universeller Compliance.

Häufige Fragen

Was ist AML-Compliance?

AML-Compliance ist der Rahmen, mit dem ein Unternehmen Risiken der Geldwäsche und Terrorismusfinanzierung steuert und die für es geltenden Anforderungen erfüllt. FATF liefert internationale Standards; verbindliche Pflichten entstehen durch anwendbares lokales oder regionales Recht.

Ist AML-Compliance dasselbe wie KYC?

Nein. KYC, KYB und CDD liefern Identitäts-, Eigentums- und Beziehungsinformationen. AML-Compliance umfasst darüber hinaus Risikobewertung, Governance, Monitoring, Untersuchung, Eskalation, Aufzeichnungen, Tests und Verbesserung.

Wie oft sollte eine AML-Risikobewertung aktualisiert werden?

Es gibt kein weltweit einheitliches Intervall. Die Bewertung ist zu überprüfen, wenn wesentliche interne oder externe Ereignisse die Exponierung ändern; spezifische lokale Vorgaben sind zusätzlich anzuwenden.

Führt ein FATF-Grey-List-Land automatisch zu verstärkter Sorgfalt?

Nicht nach FATF-Standards allein. Die verstärkte Beobachtung soll eine risikobasierte Analyse informieren. Lokales Recht oder aufsichtliche Erwartungen können jedoch zusätzliche Maßnahmen verlangen.⁶

Kann AML-Compliance ausgelagert werden?

Technologie, Daten und operative Unterstützung können ausgelagert werden. Die Organisation muss ihr Programm aber weiterhin steuern, wesentliche Risiken verstehen und die nach anwendbaren Regeln bestehende Verantwortung behalten.

Wie sollte eine Organisation KI in AML-Kontrollen einsetzen?

Automatisierung und KI sollten als gesteuerte Unterstützung für definierte Aufgaben eingesetzt werden, nicht als verantwortungsloser Compliance-Entscheider. Zweck, Daten, Tests, Grenzen, menschliche Überprüfung, Übersteuerungen, Nachweise und Änderungsprozess sind zu dokumentieren. Die speziellen EU-Regeln zur sinnvollen menschlichen Intervention gelten ab dem 10. Juli 2027.⁵

Abschließende Perspektive

Ein AML-Programm funktioniert, wenn seine Kontrollen ein einheitliches, verantwortetes Betriebsmodell bilden. Beginnen Sie mit rechtlichem Anwendungsbereich und Risiko; verbinden Sie Kunden- und Eigentumsinformationen mit Monitoring; untersuchen Sie Signale im Kontext; treffen Sie die rechtsordnungsspezifische Eskalationsentscheidung und bewahren Sie Nachweise, mit denen sich Kontrollen testen, erklären und verbessern lassen. Einen ergänzenden operativen Überblick bietet AML-Compliance von Checklynx.

Quellen