Das EU-Paket AML und AMLA: Was ändert sich wann?

Zwei Jahrzehnte lang bekämpfte die EU Geldwäsche mit Richtlinien, die jeder Mitgliedsstaat auf seine eigene Weise umsetzte, so dass eine Bank in Lissabon und ein E-Geld-Institut in Vilnius denselben Text lesen und unterschiedliche Kontrollen durchführen konnten. Das am 31. Mai 2024 verabschiedete Paket ersetzt einen Großteil davon durch ein einziges Regelwerk, eine schlankere Richtlinie und eine neue Aufsichtsbehörde.

In diesem Leitfaden wird erläutert, was jedes Instrument bewirkt, welche Daten wichtig sind und welche praktischen Änderungen für Kreditinstitute, Zahlungs- und E-Geldunternehmen, Wertpapierfirmen, Fonds, Dienstleister im Bereich Kryptowährungen und den Nichtfinanziellen Sektor gelten.

Drei Instrumente, drei Aufgaben

Instrument	Rechtliches Formular	Hauptjob	Gilt ab
Verordnung (EU) 2024/1624 (AMLR)	Verordnung, unmittelbar anwendbar	Verpflichtungen für Unternehmen: Risikobewertung, Due Diligence, wirtschaftlicher Eigentümer, Berichterstattung, Aufzeichnungspflichten, Bargeldlimit	10. Juli 2027 (Fußballsektor 10. Juli 2029)
Richtlinie (EU) 2024/1640 (AMLD6)	Richtlinie, national umgesetzt	Verpflichtungen der Mitgliedstaaten: Aufsichtsbehörden, zentrale Meldestellen (FIUs), Register, Sanktionen	Umsetzung bis zum 10. Juli 2027, mit früheren und späteren Terminen für bestimmte Artikel
Verordnung (EU) 2024/1620 (AMLA Verordnung)	Regulierung	Schaffung der Behörde zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung (AMLA)	1. Juli 2025, mit einigen Artikeln vom 26. Juni 2024

Die praktische Konsequenz der Übertragung von Regeln auf Unternehmensebene in eine Verordnung ist, dass die nationale Goldplating-Strategie schrumpft: Die Mitgliedstaaten behalten einen gewissen Spielraum, um beispielsweise niedrigere Bargeldlimits festzulegen oder Glücksspiele mit geringem Risiko auszunehmen, aber die Kernverpflichtungen sind überall gleich.

Die Zeitleiste

1. 26. Juni 2024. AMLA ist rechtskräftig festgelegt. Ausgewählte Artikel der AMLA Verordnung gelten ab diesem Datum nach Artikel 108.
2. 1. Juli 2025. Die AMLA Verordnung gilt allgemein. AMLA Der Ausschuss berichtet, dass seine erste Vorsitzende, Bruna Szego, am 16. Februar 2025 ihr Amt angetreten hat.
3. 10. Juli 2025. Die Mitgliedstaaten mussten die AMLD6-Änderungen an der bestehenden Richtlinie über den Zugang zu Informationen über wirtschaftliche Eigentümer (AMLD6, Artikel 74 und 78) umsetzen.
4. 10. Juli 2026. Frist für die AMLD6-Vorschriften über den Zugang zu Registern der wirtschaftlichen Eigentümer durch Behörden, Verpflichtete und Personen mit einem berechtigten Interesse (Artikel 11, 12, 13 und 15).
5. Bis zum 1. Juli 2027. AMLA Der EZB-Rat beginnt mit der ersten Auswahl von Unternehmen für die direkte Beaufsichtigung und muss diese innerhalb von sechs Monaten abschließen (AMLA Verordnung, Artikel 13 Absatz 4).
6. 10. Juli 2027. Es gilt AMLR (Artikel 90) und die AMLD6 muss generell umgesetzt werden.
7. 2028. AMLA beginnt die direkte Aufsicht, sechs Monate nachdem sie die Liste der ausgewählten Einrichtungen veröffentlicht hat. AMLAs eigener Zeitplan setzt den vollen Betrieb auf 2028.
8. 10. Juli 2029. Das AMLR gilt für Fußballagenten und Profifußballvereine, Inhaberaktien müssen umgewandelt, immobilisiert oder hinterlegt worden sein (AMLR, Artikel 79), der zentrale Zugangspunkt zum Immobilieninformationssystem AMLD6 ist fällig (Artikel 18).

Wer ist ein Verpflichteter?

AMLR Artikel 3 Die Definition von Finanzinstituten nennt nun neben Zahlungs- und E-Geld-Unternehmen, Wertpapierfirmen, Lebensversicherern, OGAW und deren Verwaltungsgesellschaften sowie alternativen Investmentfonds und deren Managern ausdrücklich auch Dienstleister für Krypto-Assets.

Die nichtfinanzielle Liste enthält mehrere Ergänzungen oder Klarstellungen, die für lizenzierte Gruppen und deren Kunden wichtig sind:

• Treuhand- oder Gesellschaftsdienstleister, Steuerberater, Wirtschaftsprüfer, Rechtsanwälte und Notare bei definierten Transaktionen;
• Crowdfunding-Dienstleister und Crowdfunding-Vermittler;
• Anbieter von Investitionsmigration, die Bewerber um Aufenthaltsrechte im Austausch gegen Investitionen vertreten;
• Händler von hochwertigen Gütern und Kulturgütern über 10.000 EUR;
• nichtfinanzielle gemischte Holdinggesellschaften;
• Fußballagenten und Profi-Fußballvereine für Transaktionen mit Investoren, Sponsoren, Agenten und für Spielertransfers.

Die Mitgliedstaaten können Glücksspieldienste mit geringem Risiko gemäß Artikel 4 von der Steuer ausnehmen, jedoch nicht Kasinos und Anbieter, deren Haupttätigkeit Online-Glücksspiele oder Sportwetten sind, die nicht staatlich betriebene oder staatlich regulierte Online-Dienste darstellen.

Was ändert sich für Unternehmen

Governance

Artikel 11 erfordert zwei benannte Rollen: Ein Compliance Manager ist Mitglied des Leitungsorgans in seiner Führungsfunktion und verantwortlich für die Einhaltung der AMLR und der Mittelübertragungsverordnung. Ein Compliance Officer, der von diesem Organ mit ausreichend hohem Ansehen bestellt wird, leitet den täglichen AML und sanktioniert Kontrollen und ist die Kontaktstelle für Behörden.

Der Compliance-Manager kann nur nach Mitteilung an das Leitungsorgan und unter Angabe der Aufsichtsbehörde entfernt werden. Kleinere Unternehmen können die beiden Funktionen kombinieren, wenn dies aufgrund der Größe und des Risikos gerechtfertigt ist.

Wenn Due Diligence ausgelöst wird

Artikel 19 legt EU-weit die gleichen Auslöser fest:

Situation	Schwelle für Kunden-Due-Diligence
Aufbau einer Geschäftsbeziehung	Immer
Gelegenheitsgeschäft, allgemeine Regel	EUR 10.000 oder mehr, einzeln oder verbunden
Gelegentliche Geldtransfers durch Banken und Finanzinstitute (nicht CASPs)	EUR 1.000 oder mehr
Gelegentliche Transaktion durch einen Krypto-Asset-Dienstleister	EUR 1.000 oder mehr; Identifikationsmaßnahmen darunter
Gelegentliche Bargeldtransaktion	Mindestens Identifikation und Verifizierung ab 3.000 EUR
Glücksspieleinsätze oder -gewinne	EUR 2.000 oder mehr
Verdacht auf Geldwäsche oder Terrorismusfinanzierung	Immer, unabhängig vom Schwellenwert

Dateien aktuell halten

Under Artikel 26, müssen Kundeninformationen in Intervallen aktualisiert werden, die das Risiko widerspiegeln, jedoch nicht länger als ein Jahr für Kunden mit einem höheren Risiko und fünf Jahre für alle anderen.Unternehmen, die sich nur auf ereignisgesteuerte Überprüfungen verlassen, benötigen einen kalendergesteuerten Backstop.

Darüber hinaus müssen Kredit- und Finanzinstitute ihren Kundenstamm bei jeder neuen Benennung zusätzlich zu risikobasierten regelmäßigen Prüfungen auf gezielte finanzielle Sanktionen hin überprüfen.

Nutznießer

Der 25 %-Test ist nun in der Verordnung selbst enthalten. Artikel 52, wird eine Person zum wirtschaftlichen Eigentümer, wenn sie direkt oder indirekt mindestens 25 % der Aktien, Stimmrechte oder sonstigen Beteiligungen besitzt. Dabei werden die Beteiligungen auf allen Ebenen der Kette berücksichtigt. Die Kommission kann einen niedrigeren Schwellenwert von höchstens 15 % für Unternehmenskategorien festlegen, die sie als risikoreicher einstuft.

Artikel 53 fügt einen separaten Kontrolltest hinzu: Kontrolle durch Eigentum bedeutet 50% plus eine der Aktien oder Stimmen, und Kontrolle auf andere Weise umfasst das Recht, eine Mehrheit des Verwaltungsrats zu bestellen oder abzusetzen, Vetorechte und Entscheidungen über die Gewinnausschüttung.

Vermögende Kunden

Artikel 34 Absatz 5 fügt spezifische erweiterte Maßnahmen für Beziehungen mit höherem Risiko hinzu, die den Umgang mit Vermögenswerten in Höhe von mindestens 5 Mio. EUR durch personalisierte Dienstleistungen für einen Kunden mit einem Gesamtvermögen von mindestens 50 Mio. EUR beinhalten, wobei der private Wohnsitz ausgeschlossen wird. Es gilt für Kreditinstitute, Finanzinstitute und Trust- oder Gesellschaftsdienstleister, was Privatbanken, Vermögensverwalter und Treuhänder eindeutig in den Anwendungsbereich einschließt. AMLA muss bis zum 10. Juli 2027 Leitlinien zur Messung dieses Vermögens herausgeben.

Krypto-Vermögenswerte

Artikel 19 senkt die Schwelle für gelegentliche Transaktionen auf EUR 1.000 ab. Artikel 40 verpflichtet sie, Risiken von Überweisungen an oder von selbstgehosteten Adressen zu beurteilen und zu mindern. Artikel 79 verbietet anonyme Konten und Konten, die eine Anonymisierung oder erhöhte Verschleierung von Transaktionen ermöglichen, „einschließlich durch anonymitätsverstärkende Münzen“.

Aufzeichnungen, Bargeld und Anfragen der FIU

• Aufbewahrung der Daten: fünf Jahre nach Beendigung der Geschäftsbeziehung oder des gelegentlichen Geschäftes oder nach einer Verweigerung der Aufnahme, die von den Behörden um bis zu weitere fünf Jahre verlängert werden kann (Artikel 77).
• Barbegrenzung: Personen, die mit Waren handeln oder Dienstleistungen erbringen, dürfen keine Barzahlungen über 10.000 EUR annehmen oder leisten. Die Mitgliedstaaten können niedrigere Beschränkungen festlegen (Artikel 80). Zahlungen und Einlagen in den Räumlichkeiten von Banken, E-Geld-Emittenten und Zahlungsdienstleistern sind von der Steuer befreit, müssen aber über die Grenze hinaus der zentralen Meldestelle gemeldet werden.
• Anfragen der zentralen Meldestelle: Unternehmen müssen innerhalb von fünf Arbeitstagen antworten, wobei die zentrale Meldestelle in dringenden Fällen diese Frist auf weniger als 24 Stunden verkürzen kann (Artikel 69).

Hochrisiko-Drittländer

Die Kommission ermittelt weiterhin Drittländer mit erheblichen strategischen Mängeln im Wege delegierter Rechtsakte, wobei sie FATF Aufforderungen zum Handeln (Artikel 29Geschäftsbeziehungen und gelegentliche Transaktionen mit Personen aus den aufgeführten Ländern erfordern die verstärkten Maßnahmen des Artikels 34 Absatz 4. Für Institute außerhalb der EU erhöht eine Aufnahme ihres Heimatstaates in die Liste unmittelbar die Kosten für jede Korrespondenz- und Gegenparteibeziehung innerhalb der EU.

AMLA: was die neue Autorität tut

Die AMLA hat ihren Sitz in Frankfurt am Main (AMLA Verordnung, Artikel 4) und übernimmt drei große Aufgaben: die direkte Beaufsichtigung einer kleinen Zahl von Finanzgruppen mit hohem Risiko, die indirekte Überwachung der nationalen Aufsichtsbehörden sowie die Unterstützung und Koordinierung der nationalen zentralen Meldestellen.

Wer AMLA direkt beaufsichtigt

Die Auswahl erfolgt nach der in den Artikeln 12 und 13 festgelegten Formel:

1. AMLA bewertet regelmäßig Kredit- und Finanzinstitute sowie Gruppen, die in Mindestens sechs Mitgliedstaaten, einschließlich des Herkunftsmitgliedstaats, sei es über Niederlassungen oder grenzüberschreitende Dienstleistungen und sei es physisch oder aus der Ferne.
2. Es klassifiziert inhärentes und Restrisiko als niedrig, mittel, erheblich oder hoch unter Verwendung separater Methoden für Kategorien, die Kreditinstitute, E-Geld-Institute, Zahlungsinstitute, Wertpapierfirmen, Organismen für gemeinsame Anlagen und Krypto-Asset-Dienstleister umfassen.
3. Unternehmen, deren Restrisiko hoch In der ersten Runde, wenn sich mehr als 40 qualifizieren, AMLA Die 40, die in der höchsten Anzahl von Mitgliedstaaten tätig sind.
4. Wenn sich kein Unternehmen in einem bestimmten Mitgliedstaat qualifiziert, wird in einem zusätzlichen Verfahren das Unternehmen mit dem höchsten Risiko ausgewählt, obwohl dies in der ersten Runde nicht gilt.

Die erste Auswahl muss bis zum 1. Juli 2027 erfolgen, die Liste wird alle drei Jahre überprüft: Eine grenzüberschreitende Zahlungs- oder E-Geld-Gruppe mit schwachen Kontrollen und breiter Passierbarkeit ist also ebenso plausibel wie eine große Bank.

AMLA-Befugnisse

Für direkt beaufsichtigte Unternehmen, AMLA Bei schwerwiegenden, wiederholten oder systematischen Verstößen gegen Sorgfaltspflichten gegenüber Kunden, interne oder gruppenweite Kontrollen oder Meldepflichten beträgt die Obergrenze 10 % des Gesamtumsatzes im vorangegangenen Geschäftsjahr. Bei schwerwiegenden Verstößen gegen sonstige Anforderungen beträgt die Obergrenze nach Anpassungen 10 Mio. EUR (inkl.Artikel 22).

Die AMLA erarbeitet auch die technischen Standards, mit denen der AMLR ausgefüllt wird. Sie hat vom 9. Februar bis zum 8. Mai 2026 zu Entwürfen technischer Regulierungsstandards zur Sorgfaltspflicht gegenüber Kunden Konsultationen durchgeführt und das Ergebnis dieser Konsultationen am 6. Oktober 2026 veröffentlicht (AMLA).

AMLD6: Was die Mitgliedstaaten aufbauen müssen

Die Richtlinie ist für Unternehmen weniger sichtbar, prägt aber das Umfeld, in dem sie tätig sind.

• Eignungs- und Eignungsprüfungen: Aufsichtsbehörden müssen überprüfen, ob die Geschäftsführung und die wirtschaftlichen Eigentümer von Kreditinstituten, Finanzinstituten und anderen börsennotierten Verpflichteten einen guten Ruf haben und mit Ehrlichkeit und Integrität handeln, und können eine Entlassung oder Veräußerung verlangen (AMLD6, Artikel 6).
• Register der wirtschaftlichen Eigentümer: Zentralregister mit festgelegten Zugangsregeln für Behörden, Verpflichtete und Personen mit einem berechtigten Interesse (Artikel 10 bis 15).
• Kontoregister: zentralisierte Mechanismen zur Identifizierung der Inhaber von Zahlungs- und Bankkonten, einschließlich virtueller IBANs, Wertpapierkonten, Kryptowährungskonten und Tresorschränken, die den zentralen Meldestellen unmittelbar zugänglich sind (Artikel 16).
• Sanktionen: für Kredit- und Finanzinstitute Geldstrafen in Höhe von mindestens 10 Mio. EUR oder 10 % des Jahresumsatzes, je nachdem, welcher Betrag höher ist, und mindestens 5 Mio. EUR für natürliche Personen (Artikel 55).

Wirkungen außerhalb der EU

Die AMLR bindet in der EU niedergelassene Unternehmen, hat aber in der Praxis eine größere Tragweite.

• Gruppen mit EU-Tochtergesellschaften müssen die AMLR in diesen Tochtergesellschaften erfüllen und gruppenweite Richtlinien anwenden, die wiederum die Kontrollen bei der Muttergesellschaft prägen.
• Korrespondenten und Gegenparteien in der EU Sie werden die harmonisierten Sorgfaltspflicht- und wirtschaftlichen Eigentumstests auf ihre Kunden außerhalb der EU anwenden, wobei verstärkte Maßnahmen für Drittländer mit hohem Risiko gelten.
• Nachbarregime Die Schweiz hat beispielsweise ihr revidiertes Geldwäschegesetz und ein neues Gesetz über die Transparenz juristischer Personen und die Identifizierung der wirtschaftlichen Eigentümer am 1. Oktober 2026 in Kraft gesetzt, wodurch Übergangsfristen für die Eintragung von Unternehmen in ein neues Transparenzregister eingeführt wurden (siehe hierzu auch:Schweizerischer Bundesrat).

Termine für Samstag, 10. Juli 2027

1. Umfang der Karte. Bestätigen Sie, welche Unternehmen der Gruppe Verpflichtete gemäß Artikel 3 sind und welche nationalen Ausnahmeregelungen (falls vorhanden) ablaufen.
2. Benennen Sie die beiden Rollen. Benennen Sie den Compliance-Manager und den Compliance-Beauftragten und dokumentieren Sie ihre Berichtslinien zum Vorstand.
3. Gap-Analyse Due Diligence. Vergleichen Sie die aktuellen Schwellenwerte, Datenfelder, Aktualisierungszyklen und Logik des wirtschaftlichen Eigentums mit den Artikeln 19, 26, 52 und 53 und dann mit den technischen Standards von AMLA, sobald sie angenommen werden.
4. Überprüfen Sie die Produkte. Überprüfen Sie die Bargeldakzeptanz, anonyme oder Datenschutzfunktionen, Inhaberinstrumente und selbst gehostete Wallet-Flüsse.
5. Bewerten Sie das AMLA Risiko. Zählen Sie die Mitgliedstaaten, in denen die Gruppe tätig ist, einschließlich des Passes, und testen Sie das Restrisiko ehrlich anhand der veröffentlichten Methodik.
6. Planen Sie Daten. Erwarten Sie strukturiertere Anfragen von FIUs und Aufsichtsbehörden sowie kurze Fristen für die Beantwortung dieser Anfragen.

Das Paket ändert nichts an der grundlegenden Logik von AML: man muss wissen, mit wem man es zu tun hat, verstehen, warum und melden, was nicht passt. Es nimmt zwar viel Spielraum weg, den unterschiedliche nationale Regelungen einst boten, und stellt eine europäische Aufsichtsbehörde direkt über die risikoreichsten grenzüberschreitenden Gruppen.