Das AML-Playbook für Startups: Von null zu einem mitwachsenden Programm

Zusammenfassung

Für viele Gründer klingt „Compliance zur Bekämpfung der Geldwäsche“ zunächst nach einem großen, teuren Konzernproblem, das erst später relevant wird. Das stimmt nicht. Heute betrifft AML-Compliance jedes Unternehmen, das Geld bewegt, Kundengelder hält oder Finanzfunktionen anbietet. Sobald ein Unternehmen mit Zahlungen, Vermögenswerten oder regulierten Kundenbeziehungen arbeitet, erwarten Banken, Zahlungsabwickler und Investoren belastbare Kontrollen. Wer das ignoriert, baut ein operatives Risiko auf, das Wachstum sehr schnell blockieren kann. Die gute Nachricht: Es braucht kein 2.000-köpfiges Compliance-Team, sondern einen klaren Plan. Dies ist kein juristisches Lehrbuch, sondern ein praktischer Schritt-für-Schritt-Leitfaden für Gründer und Betriebsteams. Es geht direkt um das „Wie“: tatsächliche Risiken ermitteln, die erste AML-Richtlinie strukturieren, moderne Tools wie automatisierte Sanktionsprüfungen sinnvoll einsetzen und ein Programm aufbauen, das VCs und Bankpartnern zeigt, dass das Unternehmen nachhaltig wachsen kann. Ziel ist ein einfaches AML-Programm, das mit dem Unternehmen wächst.

Einführung: Warum „Abwarten“ eine gescheiterte Strategie ist

Am Anfang dreht sich alles um Produkt, Wachstum und schlichtes Überleben. „Compliance“ landet schnell auf der Liste für später. Das ist ein strategischer Fehler. Das AML-Setup interessiert nicht nur Aufsichtsbehörden, sondern auch die Partner, die ein Startup heute braucht, um überhaupt arbeiten zu können.

Zahlungsabwickler (Stripe, Adyen usw.): Zahlungsabwickler sind stark reguliert und tragen die Risiken, die eine Plattform mitbringt. Sie riskieren ihre Lizenzen nicht für ein Unternehmen ohne belastbares Compliance-Programm. Im Zweifel wird zuerst abgeschaltet und später nachgefragt. Ein plötzliches Einfrieren der Zahlungsabwicklung kann Cashflow und Unternehmen über Nacht zum Erliegen bringen.

Bankpartner: Ein echtes Geschäftskonto setzt Vertrauen voraus. Das erste, wonach Bankpartner häufig fragen, ist die AML-Richtlinie. Keine Richtlinie, kein Bankkonto. Oft endet eine Beziehung, bevor sie überhaupt begonnen hat, und zwingt Startups zu weniger attraktiven, gebührenintensiven Bankoptionen, die Wachstum behindern.

Investoren (VCs): Vorbei sind die Zeiten des „Wachstums um jeden Preis“. Insbesondere nach der Serie A führen Investoren ernsthafte Due-Diligence-Prüfungen durch. Ein chaotisches Compliance-Programm ist ein klares Warnsignal: mögliche Bußgelder, eingefrorene Konten und dringende Bereinigungsprojekte, die Produkt-Roadmap und Kapital belasten.

„Wir betrachten zwei Dinge: Produkt und Risiko. Ein starkes Produkt mit ungeordnetem Compliance-Setup ist ein Risiko, das wir nicht eingehen. Ein starkes Produkt mit einem sauberen, automatisierten Compliance-Programm ist ein reiferes Unternehmen, das kontrolliert wachsen kann.“

Das Ziel ist nicht, eine Bank zu werden. Das Ziel ist ein intelligentes, risikobasiertes und überprüfbares Programm, das zur Unternehmensgröße passt. Dieser Leitfaden zeigt den praktischen Aufbau.

Kapitel 1: Die Grundlage – AML-Risikoprüfung

Das Wichtigste zuerst: Ein sinnvoller Plan setzt voraus, dass die tatsächlichen Risiken klar sind. Genau das meinen Aufsichtsbehörden mit einem „risikobasierten Ansatz“. Einfach gesagt: Energie dort konzentrieren, wo die wirkliche Gefahr liegt. Vor der ersten Zeile der Richtlinie sollte eine kurze Risikoprüfung stehen. Ein einfaches internes Dokument reicht für den Anfang. Drei Bereiche sind besonders wichtig.

1. Produkt- und Servicerisiko: Was macht ein Produkt für Geldwäsche attraktiv?

Hohes Risiko: Kundengelder halten: Digitale Wallets, Marktplätze mit treuhänderischer Verwahrung oder Plattformen mit Ein- und Auszahlungen tragen erhöhtes Risiko. Immer wenn ein Unternehmen Gelder für Kunden hält, steigt die AML-Relevanz. Gelder bewegen (insbesondere grenzüberschreitend): Fintechs, Überweisungs-Apps und Zahlungsunternehmen bewegen Geld schnell und häufig über Grenzen hinweg. Je schneller und globaler die Bewegung, desto höher ist das Risiko. Geldwäscher wollen Gelder weit und schnell bewegen, um ihre Herkunft zu verschleiern. Anonymität: Anonyme oder pseudonyme Konten sind ein Warnsignal. Deshalb stehen Krypto-Börsen besonders im Fokus. Komplexe Produkte: Glücksspiel und iGaming, digitale Vermögenswerte (NFTs), Peer-to-Peer-Kredite (P2P) oder ähnliche Modelle können die Herkunft der Gelder verschleiern.

Geringes Risiko: Einfaches B2B-SaaS: Ein Abonnement für 50 $/Monat für ein Softwaretool, das keine Kundengelder berührt. E-Commerce: Verkauf physischer Waren wie T-Shirts oder Kaffee direkt an Verbraucher. Hinweis: Sanktionsrisiko bleibt bestehen, denn auch ein T-Shirt darf nicht an eine sanktionierte Person versendet werden. Informationsdienste: Eine B2B-Insights-Plattform, bei der Kunden lediglich ein Abonnement bezahlen, um Inhalte zu lesen.

2. Kundenrisiko

Wer sind die Kunden und was machen sie wirklich?

Hohes Risiko: Politisch exponierte Personen (PEPs): Regierungsbeamte, ihre Familien und enge Vertraute. PEPs sind keine Kriminellen, gelten aber als erhöhtes Risiko, weil ihre Position mehr Möglichkeiten für Bestechung und Korruption schaffen kann. Bargeldintensive Unternehmen: Restaurants, Lebensmittelgeschäfte, Autowaschanlagen usw., die möglicherweise mit einem neuen Kassensystem bedient werden. Unklare Strukturen: Kunden wie Mantelgesellschaften, Trusts mit unklaren Eigentümern oder Unternehmen mit Nominee-Direktoren. Kritisch ist jede Struktur, die verschleiert, wer das Konto tatsächlich kontrolliert. Kunden, deren Verhalten nicht plausibel ist: Warum versucht ein Nutzer aus einem nicht bedienten Land, 100.000 US-Dollar über eine kleine App zu bewegen? Warum erhält ein „T-Shirt-Unternehmen“ plötzlich Zahlungen in Höhe von 500.000 US-Dollar aus einem Hochrisikogebiet? Das sind Warnsignale.

Geringes Risiko: Normale Menschen (die breite Öffentlichkeit), die kleine, vorhersehbare Zahlungen im Inland leisten (z. B. für ihren Kaffee bezahlen). Bekannte B2B-Unternehmen in regulierten Branchen, etwa der Verkauf einer SaaS-Plattform an ein bekanntes, börsennotiertes Technologieunternehmen.

3. Geografisches Risiko

Wo sind die Kunden und wohin geht das Geld oder woher kommt es?

Hohes Risiko (sanktioniert): Das sind Ausschlussbereiche. Geschäfte mit Einzelpersonen oder Organisationen in Ländern wie Nordkorea, Iran, Syrien, Kuba und den besetzten Gebieten der Ukraine können illegal sein und ein Unternehmen unmittelbar gefährden. Hierzu zählen auch Staatsangehörige dieser Länder, selbst wenn sie anderswo wohnen. Bei Sanktionen gilt häufig eine verschuldensunabhängige Haftung: „Wir wussten es nicht“ ist dann keine tragfähige Verteidigung.

Hohes Risiko (Jurisdiktion): Dies sind Länder, die wegen schwacher AML-Kontrollen auf einer „grauen Liste“ stehen. Die Financial Action Task Force (FATF) führt dazu eine öffentliche Liste. Geschäfte sind dort möglich, erfordern aber besondere Vorsicht. Dazu gehören auch klassische Bankgeheimnis-Standorte. Geringes Risiko: Tätigkeit ausschließlich in einem gut regulierten Land, zum Beispiel nur in den USA oder nur im Vereinigten Königreich.

Kapitel 2: Der Bauplan – die zentrale AML-Richtlinie

Sobald die Risiken klar sind, kann das „Regelwerk“ entstehen: die AML-Richtlinie. Sie ist die „Verfassung“ des Compliance-Programms und meist das erste Dokument, das eine Bank oder ein Investor sehen möchte. Sie muss keine 100 Seiten haben, aber die folgenden Abschnitte sollten enthalten sein.

Was in die AML-Richtlinie eines Startups (v1.0) gehört:

1. Grundsatzerklärung (das „Versprechen“):

• Ein kurzer Absatz des Gründers oder CEO, zum Beispiel: „Wir setzen uns dafür ein, Finanzkriminalität auf unserer Plattform zu verhindern. Wir nehmen dies ernst.“ Das ist keine Floskel, sondern der „Tone from the top“, auf den Prüfer achten.

2. Verantwortliche Person (MLRO):

• Die Person benennen, die letztendlich für dieses Programm verantwortlich ist. Name und Titel sollten klar angegeben werden, zum Beispiel: „Jane Doe, COO, ist unsere benannte Geldwäschebeauftragte (MLRO).“ Damit ist die Verantwortung zentralisiert und das Problem „Das ist nicht mein Job“ wird vermieden.

3. Das „Warum“: risikobasierter Ansatz

• Festhalten, dass das Unternehmen einen „risikobasierten Ansatz“ verwendet.
• Eine kurze Zusammenfassung der Risikoprüfung beifügen, z. B. „Unsere Bewertung ergab hohe Risiken bei grenzüberschreitenden Transaktionen und der Anonymität der Nutzer...“. Dieser Abschnitt belegt, dass die Richtlinie keine Einheitslösung ist, sondern auf das Unternehmen zugeschnitten wurde.

4. Kunden-Due-Diligence (CDD) / Know Your Customer (KYC):

• Wann geprüft wird: z. B. „Wir identifizieren und verifizieren alle Nutzer bei der Kundenaufnahme, bevor sie auf Finanzfunktionen zugreifen können.“
• Was erfasst wird: z. B. „Für alle Nutzer erfassen wir den offiziellen Namen, das Geburtsdatum und die Wohnadresse. Für Nutzer mit hohem Risiko erfassen wir auch einen amtlichen Ausweis.“
• Wie geprüft wird: z. B. „Wir prüfen diese Informationen mithilfe einer Kombination aus dokumentenbasierten (ID) und nicht dokumentenbasierten (Datenbank) Methoden über externe Technologiepartner.“ In diesem Abschnitt werden die „Haustür“-Regeln beschrieben: wer Zugang erhält und wie die Identität geprüft wird.

5. Sanktionen und PEP-Screening („Schild“):

• Welche Listen geprüft werden: Genau benennen, zum Beispiel: „Wir prüfen alle Nutzer mindestens anhand der Sanktionslisten des U.S. Office of Foreign Assets Control (OFAC), der Vereinten Nationen (UN), der Europäischen Union (EU) und des Vereinigten Königreichs (HMT).“
• Wann geprüft wird: „Die Prüfung erfolgt automatisch über die API bei der Kundenaufnahme. Unser gesamter Kundenstamm wird täglich erneut geprüft, um neue Aktualisierungen dieser Listen zu erkennen.“ Das ist der nicht verhandelbare Schutzschild: riskante Akteure stoppen, bevor sie ins System gelangen.

6. Transaktionsüberwachung (das Warnsystem):

• Wie überwacht wird: „Wir überwachen Transaktionen auf verdächtige Aktivitäten mithilfe einer Mischung aus automatisierten Regeln und manuellen, risikobasierten Prüfungen.“
• Rote Flaggen: 5–10 Warnsignale auflisten, die speziell für das Unternehmen gelten. Mehr dazu in Kapitel 3. Wenn KYC die Haustür ist, ist dies die Alarmanlage im Haus.

7. Verdächtige Aktivitäten melden (SARs):

• Interner Prozess: Festlegen, wie Mitarbeiter der verantwortlichen Person melden, wenn ihnen etwas Verdächtiges auffällt.
• Externe Einreichung: Festhalten, dass die zuständige Person für die Untersuchung und gegebenenfalls Einreichung eines Suspicious Activity Report (SAR) bei der zuständigen Behörde verantwortlich ist, zum Beispiel FinCEN in den USA oder NCA im Vereinigten Königreich. Dieser Abschnitt erklärt die Meldepflicht: was passiert, wenn ein begründeter Verdacht besteht.

8. Teamtraining (die praktische Umsetzung):

• Wer: „Alle Mitarbeiter erhalten eine AML-Schulung mit speziellen, rollenbasierten Schulungen für Technik, Support und Betrieb.“
• Wann: „Schulungen werden bei der Einstellung und auf jährlicher Basis angeboten.“ So bleibt die Richtlinie nicht nur ein Dokument, sondern wird gelebte Praxis im Unternehmen.

9. Aufzeichnungen (Der „Beweis“):

• Was aufbewahrt wird: „Wir bewahren alle KYC-Daten, Überprüfungsergebnisse, Transaktionsprotokolle und Untersuchungsnotizen auf.“
• Wie lange: „Alle Aufzeichnungen werden nach Beendigung der Geschäftsbeziehung mit dem Kunden mindestens fünf Jahre lang aufbewahrt.“ Das ist die Prüfspur: der Nachweis, dass die zugesagten Kontrollen tatsächlich umgesetzt wurden.

Kapitel 3: Die 5 Säulen des AML-Programms

Okay, bauen wir das Programm jetzt Säule für Säule auf.

Säule 1: Die verantwortliche Person (Owner/MLRO)

Es muss eine Person benannt werden, die die letzte Verantwortung trägt. In einem Startup ist dies fast nie ein hauptberuflicher Compliance-Verantwortlicher.

• Wer: Normalerweise ist es der COO, Head of Operations, Head of Finance oder ein Mitbegründer.
• Was macht eine geeignete Person aus? Sie muss organisiert, skeptisch im positiven Sinne, analytisch und detailorientiert sein und genug Autorität haben, um anderen Teams zu sagen: „Nein, das können wir noch nicht auf den Markt bringen.“ Diese Befugnis ist nicht verhandelbar; die Person muss die Richtlinie durchsetzen können.

Säule 2: Kunden-Due-Diligence (KYC / CDD)

Einfach gesagt: Wissen, mit wem das Unternehmen es zu tun hat. Das ist keine einzelne Maßnahme, sondern eine Leiter mit mehreren Stufen.

• Schritt 1: CIP (Customer Identification Program)

  • Was es ist: Nur die grundlegenden Informationen erfassen. Das ist das sign_up_form.js des Nutzers: die Mindestdaten, die nötig sind, um überhaupt mit einer Prüfung beginnen zu können.
  • Informationen: offizieller Name, Geburtsdatum, Adresse, Regierungs-ID-Nummer (z. B. SSN oder gleichwertig).

• Schritt 2: CDD (Kunden-Due-Diligence)

  • Was es ist: Nachweisen, dass die Informationen echt sind. Hier geht es vom „Sammeln“ zum „Prüfen“.
  • Wie: Dafür wird mit einem Technologieanbieter gearbeitet.
  • Dokumentenbasiert: Der Nutzer lädt ein Foto seines Reisepasses oder Führerscheins hoch. Das Tool nutzt KI, um zu prüfen, ob das Dokument echt ist.
  • Nicht dokumentenbasiert: Das Tool gleicht Datenbanken ab (Kreditauskunfteien, Regierungsunterlagen), um festzustellen, ob „Jane Doe, geboren am 1.1.1990 in der 123 Main St“ eine echte, lebende Person ist. Die Kombination beider Methoden führt zu einer deutlich stärkeren Verifizierung als eine Methode allein.

• Schritt 3: EDD (verstärkte Sorgfaltspflicht)

  • Was es ist: Die vertiefte Prüfung für Kunden mit dem höchsten Risiko, zum Beispiel einen bestätigten PEP oder einen Nutzer, der 5 Millionen US-Dollar bewegen möchte.
  • Wie: Zusätzliche Fragen stellen, etwa „Woher kommt dieses Geld?“ (Herkunft der Gelder) und „Woher stammt das Gesamtvermögen?“ (Vermögensherkunft). Dazu kann auch die Prüfung negativer Medien gehören, bei der Nachrichtenquellen auf Hinweise zu Betrug, Bestechung oder anderen Straftaten geprüft werden. Das ist häufig ein manueller Vorgang.

Säule 3: Sanktionen und PEP-Screening (automatisierter Schutz)

Dies ist eine der wichtigsten Kontrollen. Geschäfte mit einer Person oder einem Unternehmen auf einer Sanktionsliste können illegal sein, und die Geldstrafen sind erheblich.

Was ist eine Sanktion? Eine von einer Regierung herausgegebene „Sperrliste“. Wenn eine Person, ein Unternehmen oder ein Land darauf erscheint, dürfen mit dieser Partei möglicherweise keine Geschäfte getätigt werden. Die Hauptlisten sind OFAC (USA), EU, UN und UK (HMT) – zusammen bilden sie die globale Grundlage für die Einhaltung.

Was ist ein PEP? Eine politisch exponierte Person. PEPs sind nicht automatisch kriminell, gelten aber als erhöhtes Risiko, weil ihre Rolle sie anfälliger für Korruption oder Bestechung machen kann. Beispiele hierfür sind Minister, Landesgouverneure, hochrangige Militärbeamte und ihre unmittelbaren Familienangehörigen. Eine Geschäftsbeziehung ist möglich, erfordert aber verstärkte Sorgfaltspflichten (EDD).

Warum Automatisierung nötig ist

• Listen ändern sich täglich: OFAC allein kann an einem Tag Dutzende Namen hinzufügen oder aktualisieren. Manuelle Updates sind nicht möglich.
• Fuzzy Matching ist komplex: „Mohamed Al-Fayed“ vs. „Muhammed el Fayed“. Eine geeignete Prüf-Engine berücksichtigt Transliteration, Rechtschreibung und kulturelle Unterschiede.
• Manuelle Suchen reichen nicht aus: Das Googeln von Nutzern ist nicht überprüfbar oder belastbar. Aufsichtsbehörden erwarten einen zeitgestempelten Nachweis jedes Prüfereignisses.

Umsetzung

Bei der Kundenaufnahme Wenn sich ein Nutzer anmeldet, sollte das Backend einen schnellen API-Aufruf an den Prüfanbieter auslösen, z. B. POST /v1/screen_user. Wenn die Antwort ein Treffer ist, wird die Aufnahme gestoppt oder der Nutzer in den Status Überprüfung ausstehend versetzt. Das ist das Eingangstor: niemand wird freigegeben, bevor die Prüfung abgeschlossen ist.

Laufende Prüfung Dieser Teil ist besonders wichtig. Der Prüfpartner sollte den gesamten Kundenstamm täglich neu prüfen anhand aktualisierter Sanktions- und PEP-Listen. Ein Nutzer, der am Montag unauffällig ist, kann am Dienstag auf einer Sanktionsliste erscheinen. Das muss unmittelbar sichtbar werden, nicht erst bei der nächsten Anmeldung.

Säule 4: Transaktionsüberwachung (Warnsystem)

So lassen sich verdächtige Aktivitäten erkennen, nachdem sich ein Nutzer im System befindet. Der Fokus liegt auf Verhalten, das nicht plausibel ist.

Startup-Tipp: Am ersten Tag braucht es keine millionenschwere KI-Plattform. Ein paar einfache, automatisierte Regeln reichen für den Start, solange ausgelöste Hinweise von der verantwortlichen Person geprüft werden.

Säule 5: Berichterstattung (SARs)

Wenn das Warnsystem etwas meldet, das sich nicht erklären lässt, kein Fehlalarm ist und nicht zur Kundengeschichte passt, besteht eine gesetzliche Meldepflicht.

Was es ist Ein Suspicious Activity Report (SAR) ist ein standardisierter, vertraulicher Bericht, der bei der Financial Intelligence Unit (FIU) des zuständigen Landes eingereicht wird. Das Einreichen einer Verdachtsanzeige bedeutet nicht, dass der Nutzer schuldig ist. Es bedeutet, dass ein begründeter Verdacht besteht und diese Informationen an die Behörden weitergegeben werden.

Die goldene Regel

Kapitel 4: Verbindende Kontrollen – Schulung und Aufzeichnungen

Diese letzten beiden Säulen sind keine einzelnen Handlungsschritte, sondern verbindende Kontrollen, die ein AML-Programm überprüfbar und vertretbar halten. Bei einer späteren Prüfung belegt dieser Teil, dass die in Kapitel 3 beschriebenen Kontrollen tatsächlich umgesetzt wurden.

1. Mitarbeiterschulung

Wenn das Team, insbesondere der Support, nicht weiß, worauf es achten muss, schlägt das Programm fehl.

Wer: Alle benötigen mindestens eine grundlegende Einführung in AML. Spezialisiert: Technik-, Produkt- und Supportteams benötigen eine tiefergehende, rollenspezifische Schulung.

• Support: Social Engineering erkennen und sensible Kundenanfragen wie „Warum wurde meine 50.000-Dollar-Überweisung markiert?“ richtig bearbeiten.
• Technik/Produkt: Verstehen, dass AML strengen Datenschutz und sicheres Design voraussetzt. Diese Teams verarbeiten hochsensible personenbezogene Daten und müssen sie entsprechend behandeln.

Wie: Diese Schulung sollte bei der Einarbeitung live stattfinden; eine aufgezeichnete Auffrischung eignet sich für die jährliche Wiederholung. Ein Anwesenheitsprotokoll für Schulungen gehört zu den zentralen Nachweisen, weil Prüfer es als Compliance-Beleg anfordern können.

2. Aufzeichnungen führen

Wenn es nicht dokumentiert ist, ist es nicht passiert. Bei einer Prüfung sind Unterlagen der wichtigste Nachweis.

Wie lange: Alle Aufzeichnungen sollten mindestens fünf Jahre nach Schließung des Kundenkontos aufbewahrt werden. Diese Aufbewahrungsfrist ist eine standardmäßige globale Anforderung.

Kapitel 5: Aufbau des AML-Programms nach Etappen

Das Compliance-Programm sollte mit dem Unternehmen mitwachsen. Diese Übersicht zeigt, worauf es in jeder Wachstumsphase ankommt.

Stufe 1: Das „Survival Kit“

Unternehmensstatus: Pre-Seed / Seed (Produktaufbau, 0–10.000 Nutzer)

Stufe 2: Das „Skalierbare System“

Unternehmensstatus: Serie A / B (Wachstum, 10.000–500.000 Nutzer)

Stufe 3: Das ausgereifte Programm

Unternehmensstatus: Serie C+ (Skalierung, 500.000+ Nutzer)

Kapitel 6: Technologieauswahl: selbst bauen oder einkaufen?

Auf Stufe 1 steht jeder Gründer vor der gleichen Frage: „Kann unser Engineering-Team das nicht einfach selbst bauen?“

Fazit: Von der Compliance-Pflicht zum Wachstumsvorteil

AML-Compliance ist nicht nur ein rechtliches Kontrollkästchen – es ist ein Signal für Vertrauen, Reife und operative Exzellenz. Startups und Scale-ups, die Compliance als Wachstumsfaktor und nicht als Ablenkung betrachten, erhalten Zugang zu besseren Bankpartnern, gewinnen schneller Vertrauen bei Investoren und können reibungsloser international expandieren.

Der moderne Ansatz ist einfach:

• Automatisieren, was Maschinen am besten können: Prüfung, Überwachung und Aufzeichnung.
• Menschen auf Urteilsvermögen, Kontrolle und Transparenz konzentrieren.
• Alles dokumentieren, alle schulen und intern prüfen, bevor es jemand anderes tut.

Für regelkonformes Arbeiten braucht es keine 50-köpfige Compliance-Abteilung, sondern Klarheit, Automatisierung und klare Zuständigkeiten. So entwickeln wachstumsstarke Unternehmen Programme, die mit ihnen wachsen und nicht gegen sie.

„Die stärksten Compliance-Programme bremsen Innovation nicht aus. Sie schaffen die Grundlage für sicheres Wachstum.“