Compliance: AML, KYC und Sanktionen

Die Compliance im Bereich Finanzkriminalität ist der Bereich, in dem die meisten neuen Banken ihren ersten ernsthaften Aufsichtsbefunden begegnen und der von Korrespondenzbanken vor der Kontoeröffnung am genauesten geprüft wird. Eine Bank mit einem soliden Kapitalplan, aber schwachen Kontrollen zur Bekämpfung der Geldwäsche wird Schwierigkeiten haben, eine Lizenz zu erhalten und sich an das internationale Zahlungssystem anzuschließen, sobald sie eine Lizenz hat.

Der globale Standard: FATF

Die Financial Action Task Force (FATF) legt mit ihren 40 Empfehlungen den internationalen Standard fest. Der aktuelle Text, der 2012 verabschiedet wurde, wurde zuletzt im Oktober 2025 aktualisiert.Die Länder implementieren die Empfehlungen durch Gesetze, und die FATFund ihre regionalen Gremien beurteilen jedes Land durch gegenseitige Evaluierungen.

Die Empfehlungen, die für Banken am relevantesten sind, werden unten aufgeführt.

Empfehlung	Betreff
R.1	Risikobewertung und Anwendung eines risikobasierten Ansatzes
R.6 und R.7	Gezielte finanzielle Sanktionen gegen Terrorismus und Proliferation
R.10	Kunden-Due-Diligence
R.11	Aufzeichnung
R.12	Politisch exponierte Personen
R.13	Korrespondenzbank
R.15	Neue Technologien, einschließlich virtueller Assets
R.16	Zahlungstransparenz, früher Überweisungen
R.17 bis R.19	Abhängigkeit von Dritten, interne Kontrollen, Länder mit höherem Risiko
R.20 und R.21	Verdächtige Transaktionen melden und Tipping-off
R.24 und R.25	Nutznießer von juristischen Personen und Vereinbarungen

Grundlage ist der risikobasierte Ansatz in R.1: Maßnahmen sollten im Verhältnis zu den ermittelten Risiken stehen, d. h. bei Kunden und Produkten mit höherem Risiko eine stärkere Kontrolle und bei nachweislich niedrigeren Risiken vereinfachte Maßnahmen.

Kennen Sie Ihren Kunden und die Sorgfaltspflichten gegenüber dem Kunden

Empfehlung 10 Das Gesetz verbietet anonyme Konten und Konten mit offensichtlich fiktiven Namen, schreibt die CDD bei der Aufnahme einer Geschäftsbeziehung vor, für gelegentliche Transaktionen über USD/EUR 15.000, wenn der Verdacht auf Geldwäsche oder Terrorismusfinanzierung besteht und wenn das Institut Zweifel an zuvor erhaltenen Identifikationsdaten hat.

Die CDD-Maßnahmen sind:

1. Identifizierung des Kunden und Überprüfung der Identität anhand zuverlässiger, unabhängiger Quellendokumente, Daten oder Informationen.
2. Identifizierung des wirtschaftlichen Eigentümers und Ergreifung angemessener Maßnahmen zur Überprüfung der Identität, einschließlich Verständnis für die Eigentums- und Kontrollstruktur juristischer Personen und Vereinbarungen.
3. Verständnis und gegebenenfalls Einholung von Informationen über den Zweck und die beabsichtigte Art der Beziehung.
4. Durchführung einer fortlaufenden Sorgfaltspflicht und Überprüfung der Transaktionen, um sicherzustellen, dass sie mit den Kenntnissen des Instituts über den Kunden übereinstimmen, einschließlich, falls erforderlich, der Quelle der Gelder.

Wenn ein Institut die CDD nicht abschließen kann, sollte es das Konto nicht eröffnen oder die Beziehung beenden und in Erwägung ziehen, eine Meldung über verdächtige Transaktionen einzureichen. R.11, Transaktions- und CDD-Aufzeichnungen müssen mindestens fünf Jahre aufbewahrt werden.

Erweiterte Due Diligence

Die erweiterte Sorgfaltspflicht (Enhanced Due Diligence, EDD) wird dort angewendet, wo das Risiko höher ist. Typische Auslöser sind komplexe Eigentumsstrukturen, bargeldintensive Unternehmen, Kunden mit Verbindungen zu Ländern mit höherem Risiko, Private Banking und nicht-persönliche Beziehungen ohne starke Überprüfung.

Nutznießer

Ein wirtschaftlicher Eigentümer ist die natürliche Person, die letztendlich einen Kunden besitzt oder kontrolliert. R.24 verpflichtet Länder sicherzustellen, dass den Behörden durch ein Register oder einen alternativen Mechanismus angemessene, genaue und aktuelle Informationen über den wirtschaftlichen Eigentümer zur Verfügung stehen. Es verbietet auch neue Inhaberaktien und fordert Maßnahmen gegen Missbrauch von nominellen Aktionären und Direktoren.

Die EU legt einen gemeinsamen Schwellenwert fest. Verordnung zur Bekämpfung der Geldwäsche, bedeutet eine Beteiligung das direkte oder indirekte Besitzen von 25% oder mehr der Aktien, Stimmrechte oder anderer Eigentumsanteile an einer juristischen Person. Kontrolle durch andere Mittel kann auch eine Person zum wirtschaftlichen Eigentümer machen. Eine Schwelle von 25% beseitigt nicht die Notwendigkeit, die vollständige Struktur zu verstehen.

Politisch exponierte Personen

Ein PEP ist jemand, der mit einer prominenten öffentlichen Funktion betraut wird, wie z.B. ein Staatsoberhaupt, ein hochrangiger Politiker, ein hoher Richter oder ein hoher Beamter eines staatseigenen Unternehmens; auch Familienangehörige und enge Mitarbeiter sind abgedeckt.

Für ausländische PEPs verlangt R.12 von den Instituten Folgendes:

1. Risikomanagementsysteme haben, um festzustellen, ob ein Kunde oder wirtschaftlicher Eigentümer ein PEP ist.
2. Die Genehmigung der Geschäftsführung einholen, um die Beziehung aufzubauen oder fortzusetzen.
3. Ergreifen Sie angemessene Maßnahmen, um die Quelle des Reichtums und der Quelle der Mittel festzustellen.
4. Führen Sie eine verbesserte laufende Überwachung durch.

Für inländische PEPs und Personen mit herausragenden Funktionen bei internationalen Organisationen gelten diese Maßnahmen dort, wo die Beziehung ein höheres Risiko darstellt.

Sanktionen-Screening

Sanktionen sind gesetzliche Verbote, keine Risikourteile. Unter R.6, müssen die Länder „unverzüglich“ die Gelder von Personen einfrieren, die vom UN-Sicherheitsrat für Terrorismus ausgewiesen wurden, und R.7 wendet dieselbe Logik auf die Proliferationsfinanzierung an.

Die Banken wenden auch die autonomen Sanktionen der Gerichtsbarkeiten an, in denen sie tätig sind, in der EU sind dies Verordnungen des Rates. Banken, die Zahlungen in anderen Währungen vornehmen, müssen auch die Sanktionsregelungen ihrer Korrespondenzbanken berücksichtigen, da eine Zahlung, die gegen diese Regelungen verstößt, in der Kette gestoppt wird.

Ein Sanktionsprogramm umfasst:

1. Überprüfung von Kunden, wirtschaftlichen Eigentümern und verbundenen Parteien beim Onboarding und bei Änderungen der Listen.
2. Überprüfung von Zahlungen, einschließlich der Namen von Parteien, Banken, Schiffen und Standorten, in Echtzeit vor der Ausführung.
3. Verwaltung von Warnungen mit dokumentierten Entscheidungen, wobei sowohl falscher Komfort als auch übermäßige Blockierung vermieden werden.
4. Einfrieren und Melden von Spielen an die zuständige Behörde.
5. Kontrollen gegen Umgehung, wie z. B. das Streifen oder Ändern von Zahlungsinformationen.

Transaktionsüberwachung und Berichte über verdächtige Aktivitäten

Die Transaktionsüberwachung vergleicht die Kundenaktivität mit dem erwarteten Profil und bekannten Typologien.Die Überwachung ist in der Regel automatisiert, mit Szenarien und Schwellenwerten, die auf den eigenen Kundenbestand abgestimmt sind, und wird von geschulten Analysten überprüft.

Under R.20, muss eine Institution, die „den Verdacht hegt oder begründete Gründe hat zu vermuten“, dass Gelder Erträge aus Straftaten sind oder mit der Terrorismusfinanzierung in Zusammenhang stehen, diese unverzüglich an die Finanznachrichtenzentrale melden.Diese Meldungen werden je nach Gerichtsbarkeit als Meldungen verdächtiger Transaktionen oder Meldungen verdächtiger Aktivitäten bezeichnet.

R.21 schützt Mitarbeiter, die in gutem Glauben melden und verbietet das „Tipping-off“, d.h. die Offenlegung der Meldung gegenüber dem Kunden oder anderen Personen. Eine Bank muss daher die Kundenbeziehung nach der Meldung sorgfältig pflegen, ohne die Meldung offenzulegen.

Das EU-Paket AML und AMLA

Die EU verabschiedete 2024 ein Paket, das die meisten Regeln von Richtlinien in eine direkt anwendbare Verordnung überführt und eine EU-Behörde schafft.

Instrument	Was es tut	Schlüsseltermin
Verordnung (EU) 2024/1624 (AMLR)	Einheitliches Regelwerk für Verpflichtete: CDD, wirtschaftlicher Eigentümer, PEPs, Berichterstattung, EU-weite Obergrenze von 10.000 EUR für Barzahlungen durch Händler in Waren und Dienstleistungen	Gilt ab dem 10. Juli 2027, mit einem späteren Datum für bestimmte Unternehmen
Richtlinie (EU) 2024/1640 (AMLD6)	Nationale Aufsichtsbehörden, zentrale Meldestellen, Register der wirtschaftlichen Eigentümer, Bankkontoregister	Allgemeine Umsetzung bis zum 10. Juli 2027, mit früheren Terminen für einige Artikel
Verordnung (EU) 2024/1620 (AMLA)	Schaffung der Geldwäschebehörde mit Sitz in Frankfurt am Main	Gilt ab 1. Juli 2025, einige Artikel früher

AMLA wird eine begrenzte Anzahl von hochriskanten Kredit- und Finanzinstituten, die in mindestens sechs Mitgliedstaaten tätig sind, direkt beaufsichtigen. Die Verordnung verlangt, dass das erste Auswahlverfahren bis 1 Juli 2027 beginnt und die direkte Beaufsichtigung der ausgewählten Einrichtungen im 2028 beginnen soll. Wenn sich mehr als 40 Unternehmen in der ersten Runde qualifizieren, beaufsichtigt AMLA das 40, das in der höchsten Anzahl von Mitgliedstaaten tätig ist.

Bei anderen Instituten bleiben die nationalen Aufsichtsbehörden zuständig, wobei AMLA die technischen Standards koordiniert und festlegt.

Die Reiseregel

Die Travel-Regel erfordert, dass Zahlungsinformationen über den Absender und den Empfänger einen Transfer durch die Zahlungskette begleiten.Sie leitet sich von FATF R.16 ab.

In der EU Verordnung (EU) Nr. 2023/1113 Die Verordnung gilt ab dem 30. Dezember 2024 für Geldtransfers und Krypto-Vermögenswerte. Bei Geldtransfers sind vollständige Informationen über Auftraggeber und Zahlungsempfänger über EUR 1.000 erforderlich, bei kleineren Transfers, die nicht miteinander verknüpft sind, gelten leichtere Anforderungen. Für Krypto-Vermögenswerte gelten die gleichen Anforderungen „ungeachtet ihres Betrags und ob es sich um inländische oder grenzüberschreitende Transfers handelt“.

Im Juni 2025 überarbeitete die FATF R.16 und ihre Auslegungsnotiz unter dem Namen Zahlungstransparenz. Laut der Zusammenfassung der CSSF standardisieren die Änderungen die in Zahlungsnachrichten erforderlichen Informationen, klären die Verantwortlichkeiten entlang der Zahlungskette, fügen Maßnahmen gegen Betrug, Fehlleitung und Fehler wie die Überprüfung des Zahlungsempfängers hinzu. Sie sollen bis Ende 2030 in Kraft treten.

Länderrisiko und öffentliche Listen

Die FATF veröffentlicht nach jeder Plenartagung zwei Listen. Auf der Plenartagung im Juni 2026 wurden, wie von Maltas FIAU zusammengefasst, die Demokratische Volksrepublik Korea, der Iran und Myanmar weiterhin als Hochrisiko-Rechtsordnungen betrachtet, für die ein Handlungsaufruf ergangen war, Bosnien und Herzegowina sowie der Irak auf die Liste der Rechtsordnungen mit verschärfter Überwachung gesetzt und Algerien und Namibia entfernt.

Die EU führt eine eigene Liste von Drittländern mit hohem Risiko. Die Europäische Kommission Im Dezember 2025 verabschiedete die Kommission Änderungen, mit denen Russland, Bolivien und die Britischen Jungferninseln ab dem 29. Januar 2026 in den Anwendungsbereich der Richtlinie aufgenommen wurden.

Was die Aufsichtsbehörden von einer neuen Bank erwarten

1. Eine unternehmensweite Risikobewertung Kunden, Produkte, Kanäle und Länder abdecken, die vom Vorstand genehmigt wurden.
2. Ein Geldwäsche-Meldebeauftragter mit Befugnissen, Ressourcen und direktem Zugang zum Vorstand.
3. Schriftliche Richtlinien und Verfahren Entsprechend den tatsächlichen Onboarding- und Überwachungssystemen.
4. Getestete Systeme für Identitätsprüfung, Screening und Monitoring mit dokumentierter Abstimmung.
5. Ausbildung Für alle Mitarbeiter, mit speziellen Schulungen für Front Office und Compliance.
6. Unabhängige Prüfung durch eine interne Revision oder einen externen Gutachter.
7. Konsistenz mit dem Geschäftsplan. Die Regulierungsbehörden vergleichen das AML Rahmenwerk mit den Zielkunden und Ländern in der Anwendung und stellen Lücken fest.

Der nächste Artikel befasst sich mit dem Korrespondenzbankgeschäft, bei dem diese Kontrollen von anderen Banken sowie von Aufsichtsbehörden getestet werden.