EU-Geldwäschepaket (AMLP): Acht Fehler, die Finanzinstitute bei der Umsetzung vermeiden sollten

Das Paket umfasst mehr als 50 Spezifikationen, darunter regulatorische technische Standards (RTS), technische Durchführungsstandards, Leitlinien sowie delegierte Rechtsakte und Durchführungsrechtsakte. Für eine Gruppe von etwa 40 Instituten übernimmt ab Januar 2028 zudem die neue, in Frankfurt am Main ansässige EU-Geldwäschebehörde AMLA (EU-Anti-Money Laundering Authority) die direkte
Aufsicht. Welche Institute konkret darunter fallen, wird erst im Auswahlprozess festgelegt. Doch auch alle übrigen Institute müssen sich auf eine intensivere und stärker datenbasierte Aufsicht durch europäische und nationale Behörden einstellen, obwohl viele der finalen technischen Standards bis heute ausstehen.

Operativ besonders relevant sind unter anderem erweiterte Hochrisikokategorien, darunter besonders vermögende Privatkunden (Ultra-High-Net-Worth-Individuals, UHNWI und High-Net-Worth-Individuals, HNWI), sowie eine ausgeweitete Definition politisch exponierter Personen. Kundendaten müssen künftig EU-weit einheitlich überprüft werden: Bei Kunden mit niedrigem Risiko spätestens alle fünf Jahre, bei Kunden mit hohem Risiko spätestens alle zwölf Monate.

Viele Institute müssen Datenmodelle anpassen

Bei wirtschaftlich Berechtigten können eine neue Berechnungsmethode und eine neue Beteiligungsschwelle dazu führen, dass deutlich mehr natürliche Personen dokumentiert werden müssen, in manchen Fällen sämtliche leitenden Führungskräfte eines Kundenunternehmens, ergänzt um zusätzliche Pflichtangaben wie Ausweisnummern. Viele Institute müssen dafür ihre Datenmodelle, Risikoklassifizierungen und Überprüfungsprozesse anpassen. Dazu sind umfassende Transformationsmaßnahmen erforderlich, die schrittweise umgesetzt werden müssen

Die verbleibende Zeit wirkt auf den ersten Blick komfortabel. In der Praxis ist sie für eine Umsetzung dieser Größenordnung knapp bemessen. Das Paket greift in Prozesse und Systeme ein und reicht bis in die Datenarchitektur und die direkte Kundenansprache hinein. Die meisten Schwächen entstehen dabei durch lückenhafte Daten, unklare Verantwortlichkeiten und zu spät getestete Kontrollen. Genau diese Punkte lassen sich kurz vor dem Geltungsbeginn kaum noch sauber beheben.

Durch das Hinzuziehen vergleichbarer regulatorischer Vorhaben können acht typische Umsetzungsfallen identifiziert werden:

1. Auf die finalen Standards warten

Bislang liegen nur wenige Entwürfe der technischen Regulierungsstandards vor. Die finalen Fassungen werden frühestens Ende des dritten Quartals 2026 erwartet. Viele Institute halten ihre Vorbereitung deshalb an, weil sie kurzfristige Änderungen befürchten.

Das Zögern ist nachvollziehbar und trotzdem die teuerste Option. Die Grundrichtung der Anforderungen steht fest, auch wenn sich Details noch ändern werden. Institute, die auf dieser Basis jetzt ihre Steuerung, ihren Datenhaushalt und ihre Programmstruktur aufsetzen, können spätere Änderungen gezielt einarbeiten. Alle anderen verschieben Entscheidungen und Umsetzungsrisiken in die letzte
Projektphase.

2. Zu viel in zu kurzer Zeit umsetzen wollen

Bis zum Geltungsbeginn der Kernanforderungen bleibt gut ein Jahr. Der Versuch, alle Anforderungen parallel anzugehen, führt erfahrungsgemäß zu falsch identifizierten Risiken und schlecht aufeinander abgestimmten Kontrollen. Sinnvoller ist es, Anforderungen zu bündeln, strukturierte Gap-Analysen durchzuführen und daraus einen belastbaren Ressourcen- und Maßnahmenplan abzuleiten.

3. Daten als Randthema behandeln

Mit dem Übergang zu einer datenbasierten Aufsicht rücken Kundendaten ins Zentrum der Prüfungspraxis. Eine frühe, umfassende Datenanalyse deckt Lücken bei Kundeninformationen, wirtschaftlich Berechtigten, Risikobewertungen und Managementinformationen auf. Der Fortschritt lässt sich anschließend über messbare Kennzahlen verfolgen, etwa über den Anteil vollständiger Kundendatensätze oder über Datenqualitätsquoten.

Die neue Aufsicht wird Institute in erster Linie über ihre Daten lesen. Vollständigkeit und Qualität der Kundendaten werden damit
vom Hygienethema zum Prüfungsgegenstand. In unserer Beratungspraxis fördert die erste systematische Datenanalyse regelmäßig deutlich mehr Lücken zutage, als intern erwartet wurde. Je früher ein Institut das weiß, desto günstiger lässt es sich beheben.

4. Mobilisieren, bevor die Governance steht

Bevor Teams neue Vorgaben in die Prozesse bringen, müssen Entscheidungsrechte geklärt sein. Sonst entstehen bei regulatorischen Großprojekten Lücken und Doppelarbeit. Am Anfang sollte deshalb eine klare Programm-Governance mit definierten Verantwortlichkeiten und Eskalationswegen stehen.

5. Die organisatorische Tiefe unterschätzen

Mit der neuen Funktion des Compliance Managers greift das Paket direkt in Organisationsstrukturen ein. Neue Kontrollrahmen werden nur dann praktikabel und verhältnismäßig, wenn erste und zweite Verteidigungslinie von Beginn an gemeinsam an ihrer Ausgestaltung arbeiten.

6. Ein Betriebsmodell am Reißbrett entwerfen

Bei einem Vorhaben dieser Größe entsteht leicht ein Zielmodell, das auf dem Papier überzeugt und im Tagesgeschäft scheitert, etwa weil Prüfprozesse Bearbeitungszeiten verlängern, die im Kundengeschäft niemand akzeptiert. Institute sollten ihr Zielbild deshalb vor der flächendeckenden Einführung in einem abgegrenzten Bereich erproben, zum Beispiel in einer einzelnen Einheit oder einem klar umrissenen Kundensegment.

7. Harmonisierung mit Einheitlichkeit verwechseln

Trotz der angestrebten Vereinheitlichung bleiben nationale Ausnahmeregelungen und Auslegungsspielräume bestehen. International tätige Institute müssen die neuen Vorgaben zusätzlich mit den geldwäscherechtlichen Vorgaben anderer Rechtsräume in Einklang bringen. Ohne enge bereichs- und länderübergreifende Abstimmung drohen widersprüchliche Auslegungen zwischen Einheiten und Ländergesellschaften.

8. Spezialisten zu spät sichern

Der Wettbewerb um erfahrene Kräfte in Geldwäscheprävention, Datenmanagement und Compliance ist bereits heute intensiv und wird durch die parallel anlaufenden Programme der gesamten Branche weiter zunehmen. Institute sollten deshalb früh festlegen, welche Fähigkeiten sie intern aufbauen und für welche Aufgaben sie externe Unterstützung einplanen. Wer personelle Ressourcen erst kurz vor der Frist aufbaut, trifft auf denselben Engpass wie der Rest des Marktes.

Wie weitreichend der Anpassungsbedarf im Einzelfall ausfällt, hängt vom organisatorischen Reifegrad, der bestehenden Compliance-Landschaft und der geografischen Präsenz des jeweiligen Instituts ab. Die ersten Prüfungszyklen der neuen Behörde werden auch für Institute
außerhalb der direkten Aufsicht Maßstäbe setzen.Sie zeigen, wie die europäische Aufsicht Datenqualität, Kontrolllogik und Governance in der Praxis bewertet. Lückenhafte Daten oder improvisierte Kontrollen ziehen dann über Jahre Nacharbeiten und zusätzliche Aufsichtskommunikation nach sich.

Literatur & Weblinks

1. Anti-Money laundering and countering the financing of terrorism at EU level. finance.ec.europe.eu
2. Regulation (EU) 2024/1624 of the European Parliament and of the Council of 31 May 2024 on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing. EUR-Lex European Union.

^{Bildnachweis: Pixabay.com}