Für Finanzinstitute beginnt mit dem EU-AML-Paket (AML: Anti-Money Laundering) eine neue Phase der europäischen Geldwäscheprävention. An die Stelle eines bislang stärker durch nationale Umsetzung geprägten Rahmens tritt ein zunehmend einheitliches Regelwerk auf EU-Ebene. Sein Kern besteht aus der AML-Verordnung (engl.: Anti-Money Laundering Regulation – AMLR), der AMLA-Verordnung (AMLA: Anti-Money Laundering Authority), der 6. Geldwäscherichtlinie und der Geldtransferverordnung. Zusammen schaffen diese Regelwerke ein europäisches „Single Rulebook“, das die Anforderungen an
Geldwäscheprävention und Terrorismusfinanzierung stärker harmonisiert. Mit der Anwendung der zentralen Vorgaben ab dem 10.07.2027 gewinnt diese Umstellung zunehmend an Dringlichkeit.
Die Praxis bereits begonnener Umsetzungsprojekte innerhalb von Instituten zeigt, dass die neuen komplexen regulatorischen Anforderungen erhebliche Ressourcen und Vorbereitungszeit in Anspruch nehmen. Schon zusätzliche Kundendaten können Anpassungen bei Know-Your-Customer-Prozessen (KYC), Datenfeldern und Informationsmanagementsystemen auslösen und Kundenansprachen erforderlich machen.
Das EU-AML-Paket umfasst mehr als 50 Spezifikationen, darunter regulatorische technische Standards (RTS), technische Durchführungsstandards, Leitlinien sowie delegierte Rechtsakte und Durchführungsrechtsakte. Die Detailtiefe und die Veröffentlichungstermine der neuen Vorgaben erfordern eine daran angepasste schrittweise Umsetzung.
Ein später Start erhöht jedoch das Risiko überhasteter Implementierungen, je näher man dem Umsetzungstermin am 10.07.2027 kommt. Entscheidend dabei: Die AMLR gilt, anders als die bisherigen EU-Geldwäscherichtlinien, ab dem ersten Tag unmittelbar und einheitlich in allen EU-Mitgliedstaaten. Ein zusätzlicher zeitlicher Spielraum durch nationale Umsetzung besteht nicht.
Für eine ausgewählte Gruppe von etwa 40 Instituten steigt der Druck zusätzlich. Die in Frankfurt am Main ansässige Anti-Money Laundering Authority (AMLA) wird ab Januar 2028 die direkte Aufsicht übernehmen. Auch andere Institute müssen sich auf eine stärker datengetriebene Aufsicht und höhere Erwartungen europäischer und nationaler Aufsichtsbehörden einstellen.
Was ändert sich durch das EU-AML-Paket?
Das EU-AML-Paket bringt wesentliche Änderungen für Geschäftsprozesse, Systeme, Datenarchitekturen und kundenbezogene Aktivitäten.
Erweiterte Anforderungen an Kundeninformationen
Sogenannte Ultra-High-Net-Worth Individuals (UHNWI) und High-Net-Worth Individuals (HNWI) werden ausdrücklich als Hochrisikokategorien eingestuft. In der Praxis bedeutet dies nicht nur eine Anpassung von Richtlinien. Je nach Ausgangslage müssen auch Prozesse, Datenfelder und Informationsmanagementsysteme angepasst, weitere Daten eingeholt sowie bestehende Kunden erneut angesprochen werden.
Neu definierte Risikokategorien
Die erweiterte Definition politisch exponierter Personen (PEPs) wird voraussichtlich die Zahl der Hochrisikokunden erhöhen. Damit steigt der Aufwand für verstärkte Sorgfaltspflichten und kürzere KYC-Überprüfungszyklen. Institute sollten frühzeitig prüfen, welche Kundenbestände betroffen sind und welche zusätzlichen Kapazitäten für die notwendigen Maßnahmen erforderlich werden.
Harmonisierte KYC-Fristen
Für Kunden mit niedrigem Risiko sind maximale Überprüfungsintervalle von fünf Jahren vorgesehen. Bei Kunden mit hohem Risiko beträgt das maximale Intervall zwölf Monate. Für alle anderen Kunden muss dem risikobasierten Ansatz folgend ein Intervall zwischen einem und fünf Jahren festgelegt werden. Bestehende KYC-Prozesse, IT-Systeme und personelle Kapazitäten müssen so rechtzeitig ausgerichtet werden, dass sie die neuen regulatorischen Fristen einhalten.
Neue Standards für wirtschaftliche Eigentümer
Die vorgesehene neue Berechnungsmethode und Beteiligungsschwelle können dazu führen, dass weitaus mehr natürliche Personen als wirtschaftliche Eigentümer festgestellt, erfasst und dokumentiert werden müssen. In bestimmten Fällen können zudem Personen in leitenden Führungspositionen identifiziert und verifiziert werden. Hinzu kommen zusätzliche Datenpunkte wie Ausweisnummern und spezifische Verifizierungsanforderungen. Frühzeitig zu klären ist, welche Informationen bereits vorliegen und wo Daten nacherhoben werden müssen.
Zentrale Herausforderungen bei der Umsetzung
Erfahrungen aus laufenden und vergleichbaren regulatorischen Transformationsprojekten zeigen wiederkehrende Herausforderungen. Sie betreffen insbesondere Zeitplanung, Governance, Programmgestaltung, Ressourcen und Daten.
Komprimierte Zeitpläne
Der verbleibende Zeitraum für die Umsetzung der Kernanforderungen ist knapp. Unter Zeitdruck besteht die Gefahr, zu viele Maßnahmen gleichzeitig zu starten, statt eine realistische Roadmap zu entwickeln. Die Folge können falsch priorisierte Risiken und unzureichend abgestimmte Kontrollen sein.
Regulatorische Anforderungen sollten deshalb gebündelt und ihre operativen Auswirkungen verbunden betrachtet werden. Strukturierte Gap-Analysen helfen, betroffene Prozesse, Systeme und Datenbestände frühzeitig zu identifizieren und daraus belastbare Ressourcen- und Maßnahmenpläne abzuleiten.
Unzureichende Governance und Aufsicht
Bei solchen regulatorischen Großprojekten können unklare Governancestrukturen und nicht ausreichend definierte Rollen zu Lücken, Doppelarbeiten und Verzögerungen führen. Vor einer breiten Mobilisierung sollte eine klare Programm-Governance über alle drei Verteidigungslinien hinweg mit definierten Entscheidungswegen, Eskalationsmechanismen und Zuständigkeiten stehen. Beteiligte Fachbereiche wie Rechtsfunktion, Compliance, IT und operative Bereiche sollten Verantwortlichkeiten und Übergaben klar festlegen.
Unterschätzte Komplexität der Veränderungen
Die detaillierten Anforderungen des EU-AML-Pakets erfordern tiefgreifende Transformationen und organisatorische Weiterentwicklungen. Dazu gehört insbesondere die Einführung der neuen Funktion des Compliance-Managers.
Eine ausgewogene Governance unter Beteiligung der ersten und zweiten Verteidigungslinie (1LOD und 2LOD) des Drei-Linien-Modells (Three Lines of Defense; kurz: 3LOD) sowie die frühzeitige Einbindung weiterer relevanter Stakeholder helfen dabei, neue Kontrollrahmen praktikabel und verhältnismäßig auszugestalten.
Schwaches Programmdesign
Aufgrund des Umfangs des EU-AML-Pakets besteht die Gefahr, ein Betriebsmodell zu schaffen, das zu komplex oder von der operativen Realität entkoppelt ist. Institute sollten ein einheitliches unternehmensweites Zielmodell entwickeln und dieses vor der vollständigen Einführung testen. So lassen sich regulatorische Anforderungen und operative Umsetzbarkeit frühzeitig abgleichen.
Fehlende Benchmark-Standards
Bislang wurden nur einige Entwürfe der RTS veröffentlicht. Weitere Konkretisierungen und finale Fassungen stehen teilweise noch aus. Viele Institute zögern deshalb mit der Finalisierung einzelner Maßnahmen.
Die noch ausstehenden Standards rechtfertigen jedoch kein vollständiges Abwarten. Auf Basis der bekannten Anforderungen können Institute Datenlücken identifizieren, Governancestrukturen festlegen und technische Abhängigkeiten analysieren. Die Projektplanung sollte zugleich Flexibilität für spätere Anpassungen vorsehen und bezüglich noch unklarer Auslegungen von Rechtsbegriffen einen Zielkorridor definieren, damit eine Umsetzung infolge weiterer Veröffentlichungen zeitnah gelingen kann.
Fortbestehende nationale Unterschiede
Das EU-AML-Paket zielt auf eine weitgehende Harmonisierung der geldwäscherechtlichen Anforderungen. Gleichwohl werden in den 27 Mitgliedstaaten nationale Ausnahmeregelungen und offene Auslegungsfragen weiterhin zu Unterschieden in der Anwendung führen, die ebenso erkannt und berücksichtigt werden müssen.
Für Unternehmen und Konzerne auch mit außereuropäischen Aktivitäten kommt hinzu, dass die europäischen Vorgaben mit bestehenden Finanzkriminalitätsregimen in anderen Jurisdiktionen abgestimmt werden müssen. In der Praxis sind daher eine enge bereichs- und länderübergreifende Zusammenarbeit und klare Entscheidungen über gemeinsame sowie lokale Standards erforderlich.
Ressourcenengpässe
Der Wettbewerb um qualifizierte Fachkräfte in den Bereichen Geldwäscheprävention, Datenmanagement und Compliance ist bereits heute hoch und dürfte sich durch die anstehenden Transformationsprogramme weiter verschärfen.
Institute sollten frühzeitig bestimmen, welche personellen Kapazitäten einerseits für die Umsetzung und andererseits für die Zeit in der neuen Zielarchitektur erforderlich sind. Gerade in der Transformationsphase können KYC-Überprüfungen, Kundenansprachen und Datenbereinigungen erhebliche operative Ressourcen binden und sollten spätestens in der Umsetzungsplanung berücksichtigt werden.
Einschränkungen bei Daten und Analysen
Mit dem von der AMLA proklamierten Übergang zu einer immer stärker datengetriebenen Aufsicht müssen Daten einschließlich Datenhaushalt und Datenmanagement in das Zentrum der Transformationsprogramme rücken. Eine frühzeitige Datenanalyse hilft, Lücken bei Kundeninformationen, wirtschaftlichen Eigentümern, Risikobewertungen und Managementinformationen zu identifizieren sowie Qualitäts- und Integrationsprobleme zu beheben.
Fortschritte sollten anhand messbarer Kennzahlen (Key Performance Indicators – KPIs) verfolgt werden. Geeignet sind beispielsweise der Anteil vollständiger Kundendatensätze sowie Kennzahlen zur Datenqualität und Datengenauigkeit. So wird sichtbar, welche Datenbestände belastbar sind und wo Handlungsbedarf besteht.
Umsetzungsreife für das EU-AML-Paket maßgebend
Künftig werden Harmonisierung, das neue Aufsichtsmodell der AMLA und eine stärker datengetriebene Aufsicht die Geldwäscheprävention in der Europäischen Union prägen.
Wie umfangreich die erforderlichen Anpassungen ausfallen, hängt maßgeblich von der Ausgangssituation des jeweiligen Instituts ab. Insbesondere der organisatorische Reifegrad, die bestehende Compliancelandschaft und die geographische Präsenz bestimmen den notwendigen Transformationsbedarf.
Für die laufenden Umsetzungsprogramme kommt es darauf an, rechtliche Anforderungen frühzeitig mit Prozessen, Daten und technischen Abhängigkeiten zu verbinden. Datenlücken oder fehlende Zuständigkeiten sollten nicht erst in der abschließenden Testphase sichtbar werden.
Institute sollten das EU-AML-Paket nicht lediglich als Complianceprojekt betrachten. Die Umsetzung bietet die Möglichkeit, Kontrollsysteme, Datenhaushalte und Governancestrukturen nachhaltiger und zukunftsfähiger auch für andere Zwecke auszurichten.
Umfangreiche Veränderungen müssen innerhalb eines engen Zeitrahmens umgesetzt werden. Wer jetzt strukturiert plant, ein klares Zielbild entwickelt und relevante Stakeholder einbindet, verbessert die Voraussetzungen, zum 10.07.2027 über robuste und aufsichtsreife Kontrollsysteme zu verfügen.
