AML-Richtlinien und -Verfahren: Ein vollständiger Leitfaden zur Einhaltung der Vorschriften
Nicht nur Banken müssen sich mit Geldwäsche auseinandersetzen. Kryptobörsen, Zahlungsdienstleister, Online-Händler – wenn Ihr Unternehmen Geldtransfers durchführt, wird früher oder später eine Aufsichtsbehörde fragen, wie Sie den Abfluss illegaler Gelder verhindern. Ihre Antwort muss schriftlich vorliegen. Das ist Ihre Geldwäschebekämpfungsrichtlinie. Fehlerhafte Richtlinien und Verfahren zur Bekämpfung von Geldwäsche können zu hohen Geldstrafen, Kontosperrungen und einem Reputationsschaden führen, der die eigentliche Ursache des Verstoßes überdauert.
Was genau gehört also in ein solches Dokument? Dieser Leitfaden erläutert den Inhalt einer Geldwäscherichtlinie, die Gründe für die Forderung der Aufsichtsbehörden und wie Sie ein Rahmenwerk erstellen, das einer Prüfung standhält. Ob Bank, Fintech-Startup oder Krypto-Zahlungsdienstleister – die zugrundeliegende Logik ist dieselbe.
Was sind AML-Richtlinien und -Verfahren?
Eine AML-Richtlinie ist das schriftliche Regelwerk Ihres Unternehmens zur Erkennung, Verhinderung und Meldung von Geldwäsche und Terrorismusfinanzierung. Sie beantwortet die Fragen nach dem „Was“ und „Warum“ – Risikobereitschaft, Kundengruppen, die grundsätzlich abgelehnt werden, und die Verantwortlichkeiten der Mitarbeiter. Dieser gesamte Bereich wird als Anti-Geldwäsche (AML) bezeichnet, und Aufsichtsbehörden verwenden diesen Begriff als Kurzform für alle Kontrollmaßnahmen, die darauf abzielen, illegale Gelder aus dem Finanzsystem fernzuhalten.
Die Verfahren beschreiben das „Wie“. Eine Transaktion wird aus irgendeinem Grund auffällig. Jemand prüft sie. Anschließend wird gemäß einem festgelegten Prozess eine Meldung über verdächtige Aktivitäten erstellt. Richtlinien und Verfahren bilden zusammen einen wesentlichen Bestandteil des sogenannten AML-Compliance-Programms, zu dem auch Schulungen, Technologie und unabhängige Audits gehören.
Diese Begriffe werden im allgemeinen Sprachgebrauch ständig verwechselt, von Aufsichtsbehörden jedoch nicht. Eine Richtlinie ohne entsprechende Verfahren ist im Grunde nicht durchsetzbar. Verfahren ohne zugrundeliegende Richtlinie haben keine rechtliche Grundlage.
Hier liegt der Grund, warum diese Unterscheidung im Arbeitsalltag so wichtig ist: Ein Prüfer überprüft nicht einfach nur, ob ein Richtliniendokument irgendwo in einer Schublade existiert. Er zieht reale Transaktionen heran und verfolgt sie anhand Ihrer Prozesse, um zu prüfen, ob die Dokumentation mit den tatsächlichen Vorgängen übereinstimmt. Viele Richtlinien lesen sich auf dem Papier hervorragend, versagen aber, sobald sie mit realen Akten abgeglichen werden – dies ist eine der häufigsten Lücken, die Wirtschaftsprüfer in kleinen und mittelständischen Unternehmen feststellen.
Warum jedes Unternehmen eine Geldwäscherichtlinie benötigt
Hier geht es nicht um ein Bagatelldelikt. Die UN schätzt, dass jährlich 2–5 % des globalen BIP gewaschen werden, und allein im Jahr 2023 flossen über 3 Billionen US-Dollar an illegalen Geldern durch die Weltwirtschaft. Jedes Unternehmen, das diesen Geldfluss nicht kontrolliert, ob wissentlich oder unwissentlich, wird Teil dieses Systems.
Die Aufsichtsbehörden wissen das, weshalb Finanzinstitute, Geldtransferunternehmen und nun auch Kryptofirmen alle den Vorschriften zur Bekämpfung von Geldwäsche unterliegen. Die Strafen reichen von Geldbußen bis zum vollständigen Entzug der Betriebserlaubnis. Und das rechtliche Risiko ist ehrlich gesagt nur die halbe Wahrheit – ein Geldwäscheskandal bleibt Kunden und Partnern jahrelang im Gedächtnis.
Prüfer und Aufsichtsbehörden verlangen als Erstes die dokumentierte Richtlinie. Ohne Richtlinie lässt sich der gute Wille nicht nachweisen, selbst wenn das tägliche Vorgehen völlig angemessen ist.
Man muss sich nur die bisherigen Durchsetzungsmaßnahmen ansehen. Aufsichtsbehörden weltweit verhängen immer wieder Millionenstrafen wegen Versäumnissen in Programmen zur Bekämpfung von Geldwäsche, und oft wurde Geldwäsche selbst gar nicht nachgewiesen – die Strafe resultierte aus Lücken in den Richtlinien, Schulungen oder der Überwachung, die eine Prävention unmöglich machten. Eine gut durchdachte Richtlinie kostet weitaus weniger als ein solches Risiko.
Wichtige Geldwäschegesetze und -vorschriften, die Sie kennen müssen
Die Anforderungen an die Bekämpfung von Geldwäsche variieren je nach Rechtsordnung, doch einige wenige Rahmenwerke prägen nahezu jede heute verfasste Richtlinie. Diese zu verstehen ist der schnellste Weg, um zu wissen, was Ihr Dokument abdecken muss.
| Verordnung | Region | Kernanforderung |
|---|---|---|
| Bankgeheimnisgesetz (BSA) | Vereinigte Staaten | Erfordert Aufzeichnungen, Meldung verdächtiger Transaktionen und ein schriftliches Geldwäschebekämpfungsprogramm. |
| USA PATRIOT Act, Abschnitt 352 | Vereinigte Staaten | Es werden vier Säulen vorgeschrieben: Compliance-Beauftragter, Schulung, Prüfung und interne Kontrollen. |
| EU-Geldwäscherichtlinien (AMLD) | europäische Union | Harmonisiert die Sorgfaltspflichten gegenüber Kunden, die Bestimmungen zum wirtschaftlichen Eigentum und die Meldepflichten in den Mitgliedstaaten. |
| FATF-Empfehlungen | Global | Setzt den internationalen Standard, auf dem nationale Geldwäschegesetze basieren. |
Keines dieser Rahmenwerke ist optional. Sie bilden die Grundlage, und eine Richtlinie, die das für Ihre Region relevante Rahmenwerk ignoriert, wird bei der ersten behördlichen Prüfung scheitern. Insbesondere die Financial Action Task Force (FATF) setzt den Maßstab, an dem sich die meisten nationalen Gesetze zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung orientieren. Deshalb finden sich Formulierungen der FATF in Richtlinien wieder, die in ganz unterschiedlichen Ländern verfasst wurden.
Kernbestandteile, die jede AML-Richtlinie enthalten muss
Abschnitt 352 des USA PATRIOT Act legt vier obligatorische Säulen für ein schriftliches AML-Compliance-Programm fest, die in den meisten globalen Rahmenwerken weitgehend übernommen wurden. Jede Richtlinie, die eine dieser Säulen nicht erfüllt, entspricht nicht den regulatorischen Standards.
- Ein designierter Compliance-Beauftragter, der für die tägliche Überwachung der Geldwäschebekämpfung und die Meldung an die Aufsichtsbehörden zuständig ist.
- Laufende Mitarbeiterschulungen zu Warnsignalen, Meldepflichten und Aktualisierungen der Vorschriften
- Unabhängige Tests oder Audits sollen bestätigen, dass das Programm wie beschrieben und nicht nur wie geplant funktioniert.
- Schriftliche Richtlinien, Verfahren und interne Kontrollen, die die Kundenaufnahme bis hin zur Transaktionsüberwachung abdecken
Moderne Geldwäschebekämpfungsrichtlinien ergänzen die vier Säulen typischerweise um zwei weitere Komponenten: eine dokumentierte Geldwäscherisikobewertung und ein Sanktionsprüfungsverfahren. Aufsichtsbehörden behandeln beides zunehmend als selbstverständlich, selbst wenn das Gesetz dies nicht explizit vorschreibt.
Ein häufiger Fehler besteht darin, diese Komponenten als einmalig abzuhakende Checkliste zu betrachten, anstatt als ein dynamisches System. Die Rolle des Compliance-Beauftragten erfordert beispielsweise echte Befugnisse und ein entsprechendes Budget. Eine Bezeichnung ohne diese ist nicht haltbar, wenn Aufsichtsbehörden nachfragen, wer tatsächlich die Befugnis hat, ein verdächtiges Konto einzufrieren. Schulungen, die nur einmalig beim Onboarding stattfinden und danach nie wieder angeboten werden, werden mit neuen Typologien und aktualisierten Vorschriften schnell nicht mehr Schritt halten.
Sorgfaltspflichten gegenüber Kunden und risikobasierte Verfahren
Kundenprüfung (Customer Due Diligence, CDD) bedeutet, sowohl bei der Registrierung als auch im weiteren Verlauf der Geschäftsbeziehung genau zu prüfen, mit wem man tatsächlich Geschäfte macht. Dazu gehört die Bestätigung der Identität, das Verständnis der Geschäftstätigkeit des Kunden und die Beobachtung verdächtiger Aktivitäten. Eine Geldwäscherisikoanalyse (AML-Risikoanalyse) zeigt Ihnen, wo zusätzlicher Aufwand nötig ist – welche Konten nur kurz geprüft werden müssen und welche einer eingehenden Überprüfung bedürfen.
Das Risiko ist nicht gleichmäßig auf alle Kunden verteilt, und genau das ist der Kern eines risikobasierten Ansatzes. Politisch exponierte Personen, Kunden in Hochrisikogebieten, Konten mit ungewöhnlichen Geldbewegungen – all dies erfordert eine verstärkte Sorgfaltsprüfung. Gründlichere Hintergrundprüfungen. Häufigere Überwachung. Die Freigabe durch eine Führungskraft, bevor das Konto weiterverfolgt wird. Wird eine politisch exponierte Person übersehen, zieht man schnell die Aufmerksamkeit der Aufsichtsbehörden auf sich. Integrieren Sie diese Prüfung daher nicht in den allgemeinen Onboarding-Prozess, sondern widmen Sie ihr einen eigenen Schritt.
Dann folgt die Sanktionsprüfung, bei der neue Kunden (und ehrlich gesagt auch Transaktionen) anhand von Regierungslisten wie OFAC überprüft werden, bevor Geld irgendwohin fließt. Wer diesen Schritt auslässt, begeht einen der kostspieligsten Fehler, die eine Geldwäscherichtlinie enthalten kann.
Nichts davon hört nach dem Onboarding auf. Ein Kunde, der am ersten Tag völlig sicher erschien, kann das möglicherweise nicht bleiben – höhere Transaktionsvolumina, neue Geschäftspartner in risikoreichen Regionen, Aktivitäten, die nicht mehr mit den Angaben zum Geschäft übereinstimmen. Gute risikobasierte Richtlinien überprüfen Kundenbewertungen regelmäßig, anstatt die erste Prüfung als einmalige Kontrolle zu betrachten.
Schritt für Schritt: Aufbau Ihres AML-Richtlinienrahmens
Das Erstellen einer AML-Richtlinie von Grund auf ist einfacher, wenn man einer festgelegten Reihenfolge folgt. Hier ist die Vorgehensweise, die zu einem rechtssicheren und revisionssicheren Dokument führt:
- Führen Sie eine Risikoanalyse durch – ermitteln Sie, welche Produkte, Kunden und Regionen das höchste Geldwäscherisiko bergen.
- Ernennen Sie einen Compliance-Beauftragten oder Geldwäschebeauftragten – jemanden mit der Befugnis und den Ressourcen, das Programm im Tagesgeschäft zu leiten.
- Definieren Sie den Geltungsbereich und die Risikobereitschaft der Richtlinie – legen Sie klar fest, welche Kundentypen und Aktivitäten akzeptabel, eingeschränkt oder verboten sind.
- CDD- und erweiterte Due-Diligence-Auslöser festlegen – genau angeben, wann Standardprüfungen zu einer eingehenderen Überprüfung eskalieren.
- Erstellen Sie Regeln zur Transaktionsüberwachung – definieren Sie Schwellenwerte und Muster, die interne Warnmeldungen auslösen.
- Richten Sie einen Prozess zur Meldung verdächtiger Aktivitäten (SAR) ein – dokumentieren Sie, wer Warnmeldungen prüft und wie Meldungen an die Aufsichtsbehörden übermittelt werden.
- Schulen Sie alle relevanten Mitarbeiter – nicht nur die Compliance-Teams, sondern alle, die mit Kunden oder Transaktionen zu tun haben.
- Planen Sie unabhängige Prüfungen ein – tragen Sie eine regelmäßige Überprüfung in den Kalender ein, bevor die Richtlinie in Kraft tritt, und nicht erst, nachdem eine Aufsichtsbehörde dies verlangt hat.
Diese Vorgehensweise vermeidet einen häufigen Fehler: das Verfassen detaillierter Verfahrensanweisungen, bevor die zugrundeliegende Risikoanalyse durchgeführt wurde. Lässt man diesen Schritt aus, muss man in der Regel später die Hälfte des Dokuments neu schreiben.
Die meisten Unternehmen können einen Arbeitsentwurf dieses Rahmenwerks in vier bis sechs Wochen erstellen, wobei der Zeitrahmen stark davon abhängt, wie viele Produktlinien und Rechtsordnungen die Richtlinie abdecken soll. Firmen, die versuchen, dies in wenigen Tagen zu erledigen, verwenden in der Regel generische Formulierungen aus Vorlagen. Diese Formulierungen wirken zwar vollständig, spiegeln aber nicht das tatsächliche Risikoprofil wider – und genau das wird einem Wirtschaftsprüfer als Erstes auffallen.
Überwachung, Prüfung und Aktualisierung der AML-Verfahren
Ihre Versicherungspolice ist nur so gut wie das System, das die Transaktionen überwacht. Ob manuell oder automatisiert – es muss Strukturierungsbetrug, ungewöhnlich schnelle Geldflüsse oder Aktivitäten erkennen, die nicht dem üblichen Kundenprofil entsprechen.
Bei Verdachtsmomenten kommt es auf den richtigen Zeitpunkt an. Unternehmen haben gemäß dem Bankgeheimnisgesetz in der Regel 30 Tage Zeit, um eine Meldung über verdächtige Aktivitäten einzureichen, bevor Strafen für verspätete Meldungen fällig werden. Werfen Sie die Unterlagen anschließend nicht weg – Ausweisdokumente, Transaktionsprotokolle, Meldungen verdächtiger Aktivitäten (SARs) müssen gemäß dem Bankgeheimnisgesetz und der EU-Geldwäscherichtlinie 4 fünf Jahre lang aufbewahrt werden.
Die Richtlinie selbst muss ebenfalls überprüft werden, nicht nur die darüber abgewickelten Transaktionen. Vorschriften ändern sich, Geschäftsmodelle wandeln sich, und neue Geldwäschemethoden tauchen auf. Die meisten Compliance-Teams überprüfen ihre Geldwäscherichtlinie mindestens einmal jährlich und nehmen zusätzliche Aktualisierungen vor, sobald sich Vorschriften oder Risiken so stark verändern, dass dies relevant wird.
Internationale AML-Compliance-Überlegungen
Bleibt man in einem Land, muss man nur einen regulatorischen Rahmen erfüllen. Überschreitet man Grenzen, muss die Politik plötzlich mehreren Rahmenbedingungen gleichzeitig standhalten, ohne dass diese sich widersprechen.
Die meisten Compliance-Teams gehen folgendermaßen vor: Sie erstellen eine globale Kernrichtlinie und ergänzen diese um lokale Zusätze für jede Jurisdiktion. Die Kernrichtlinie regelt universelle Aspekte wie den risikobasierten Ansatz, die Sorgfaltspflichten gegenüber Kunden (CDD) und die Sanktionsprüfung. Die Zusätze befassen sich mit lokalen Meldeformaten, den zuständigen Ansprechpartnern bei der Aufsichtsbehörde und den länderspezifischen Schwellenwerten.
Fintech- und Krypto-Unternehmen spüren diesen Druck besonders stark, da viele von ihnen bereits vor ihrem ersten Jahrestag Kunden in Dutzenden von Ländern bedienen. Die Richtlinie sollte als einheitliches globales Dokument zentral geprüft und lokal angewendet werden. So lassen sich die Lücken vermeiden, die entstehen, wenn regionale Richtlinien nachträglich zusammengefügt werden, anstatt von Anfang an darauf abgestimmt zu sein.
Es geht hier um mehr als nur um Papierkram. Eine Transaktion, die in einem Land keine Auffälligkeiten zeigt, kann in einem anderen Land eine Meldepflicht auslösen. Wer trifft also die Entscheidung, wenn zwei Regelungen voneinander abweichen? In der Regel obliegt diese Aufgabe einer Person, dem Compliance-Beauftragten oder Geldwäschebeauftragten, der genau verstehen muss, wo die Schwellenwerte voneinander abweichen.
AML-Compliance für Krypto- und digitale Zahlungsunternehmen
Kryptowährungen unterliegen strengeren Geldwäscheprüfungen als die meisten traditionellen Finanztechnologieunternehmen, und das aus gutem Grund. Pseudonyme Wallets, grenzüberschreitende Überweisungen in Sekundenschnelle, Blockchain-basierte Abwicklung – schneller als jede Banküberweisung – all das erhöht den Druck auf die Regulierungsbehörden, Geldwäsche und Terrorismusfinanzierung über digitale Vermögenswerte zu verhindern. Und diese Prüfung richtet sich direkt gegen diejenigen, die die Kryptozahlungen abwickeln.
Eine für Kryptowährungen geeignete AML-Richtlinie benötigt einige Punkte, die eine Standardvorlage für Finanzdienstleistungen einfach nicht abdeckt:
- Vor der Annahme von Geldern wird die Wallet-Adresse anhand bekannter Datenbanken für illegale Aktivitäten und Sanktionen überprüft.
- On-Chain-Transaktionsüberwachung , die Geldflüsse über mehrere Zwischenstationen hinweg verfolgt, nicht nur den unmittelbaren Absender.
- Klare Eskalationswege für Transaktionen mit Mixern, Hochrisikobörsen oder gesperrten Adressen
Wenn Sie einen Online-Shop betreiben und Kryptowährungen akzeptieren, ist der Aufbau der gesamten Infrastruktur in Eigenregie übertrieben. Einfacher ist es, mit einem Zahlungsdienstleister zusammenzuarbeiten, der bereits AML- und KYC-Kontrollen integriert hat. Plisio übernimmt die Wallet- und Transaktionsprüfung als Teil seiner Infrastruktur, sodass Händler Kryptowährungen akzeptieren können, ohne die gesamte Compliance-Last allein tragen zu müssen.
Diese Lücke ist größer als sie zunächst erscheint. Ein Händler, der Krypto-Zahlungen auf einer Plattform ohne Geldwäschekontrollen implementiert, übernimmt dieses Risiko stillschweigend – niemand bemerkt es, bis eine Aufsichtsbehörde oder ein Bankpartner kritische Fragen zu möglichen Geldwäscheaktivitäten stellt. Wählt man hingegen eine Infrastruktur, die die Überprüfung bereits übernimmt, hat man die Antwort parat, noch bevor jemand danach fragt.
Schlussbetrachtung
Eine solide Geldwäscherichtlinie ist kein Dokument, das man einmal erstellt und dann ablegt. Sie ist ein dynamisches System, das regelmäßig überwacht, geprüft und aktualisiert werden muss, um den sich wandelnden Vorschriften und Risiken gerecht zu werden. Wenn die Grundlagen stimmen – eine klare Risikobewertung, definierte Sorgfaltspflichtverfahren und ein benannter Compliance-Beauftragter –, ist jedes Unternehmen, von der traditionellen Bank bis zur Krypto-Zahlungsplattform, den meisten regulatorischen Prüfungen einen Schritt voraus.
Unternehmen, die Schwierigkeiten mit der Einhaltung der Geldwäschebestimmungen haben, sind selten diejenigen, die mit wirklich neuen Risiken konfrontiert sind – sie haben ihre Richtlinien eher als einmalige Formalität denn als operatives System betrachtet. Der Aufbau solider Geldwäscherichtlinien und -verfahren von Anfang an, mit klarer Verantwortlichkeit und regelmäßigen Überprüfungen, ist deutlich kostengünstiger als deren Überarbeitung nach einem Verstoß, der das Thema unumgänglich macht.
