S+P Compliance | Geldwäscherecht
Kundendatenaktualisierung GwG: Die neuen Regeln und Fristen für 2026
Mit dem Start der neuen EU-Geldwäschebehörde (AMLA) und verschärften Auslegungshinweisen der BaFin reicht es 2026 nicht mehr, Kundendaten nur zu sammeln – sie müssen aktiv „frisch“ gehalten werden. Wer veraltete KYC-Akten führt, riskiert Bußgelder und Feststellungen in der Jahresabschlussprüfung.
Management Summary
Das Geldwäschegesetz fordert eine kontinuierliche Überwachung der Geschäftsbeziehung. Die Kundendatenaktualisierung ist damit kein einmaliger Vorgang bei Kontoeröffnung, sondern ein dauerhafter Prozess, dessen Häufigkeit von der Risikoklassifizierung des Kunden abhängt.
Bei hohem Risiko (§ 15 GwG, z. B. PEPs) gilt eine jährliche Frist, beim Normalrisiko eine 5-Jahres-Frist, bei geringem Risiko (§ 14 GwG) eine risikoangemessene Frist von oft 7 bis 10 Jahren. Daneben lösen bestimmte Ereignisse („Trigger-Events“) wie unzustellbare Post oder neue Sanktionslisten-Treffer eine sofortige Aktualisierung aus.
Können die erforderlichen Daten nicht aktualisiert oder verifiziert werden, ist das Institut nach § 10 Abs. 9 GwG verpflichtet, die Geschäftsbeziehung zu beenden.
Inhalt dieses Beitrags
- 1. Kontinuierliche Überwachung: Warum einmal prüfen nicht reicht
- 2. Fristen zur Kundendatenaktualisierung (periodisch)
- 3. Anlassbezogene Aktualisierung: Trigger-Events
- 4. Mythos vs. Praxis: Muss ich den Kunden anrufen?
- 5. Typische Schwachstellen mit Normbezug
- 6. Fazit: Datenqualität ist dein Schutzschild
- 7. Häufige Fragen
- 8. Quellen
Kontinuierliche Überwachung: Warum einmal prüfen nicht reicht
Das Geldwäschegesetz fordert eine kontinuierliche Überwachung der Geschäftsbeziehung. Das bedeutet: Die Kundendatenaktualisierung ist kein einmaliger Vorgang bei Kontoeröffnung, sondern ein dauerhafter Prozess.
Zentrale Frage der Aufsicht ist: Sind die Informationen über den wirtschaftlich Berechtigten, die Branche und das Transaktionsprofil noch aktuell? Die Häufigkeit der Aktualisierung hängt dabei strikt von der Risikoanalyse ab.
Fristen zur Kundendatenaktualisierung GwG (periodisch)
Die Aufsicht unterscheidet streng nach Risikoklassen. Vier Konstellationen haben sich für 2026 etabliert:
Hohes Risiko (High Risk)
Bei PEPs oder Kunden aus Hochrisikoländern muss die Aktualisierung mindestens alle 12 Monate erfolgen, inklusive Prüfung der Vermögensherkunft (Source of Wealth) und Abgleich der UBO-Daten.
Normales Risiko
Für den Großteil des Kundenbestands gilt die 5-Jahres-Frist, etwa mit Adressabgleich und Prüfung des Handelsregisterauszugs.
Geringes Risiko (Low Risk)
Bei Behörden oder börsennotierten Unternehmen gilt eine risikoangemessene Frist, oft 7 bis 10 Jahre. „Risikoangemessen“ heißt aber nicht „nie“.
Sonderfall: Umsatzlose Konten
Bei inaktiven Konten mit geringem Guthaben kann die Aktualisierung ausgesetzt werden, bis der Kunde wieder aktiv wird. Beim „Aufleben der Geschäftsbeziehung“ muss sofort geprüft werden.
| Risikoklasse | Rechtsgrundlage | Frist zur Aktualisierung |
|---|---|---|
| Hohes Risiko | § 15 GwG | Jährlich (alle 12 Monate) |
| Normales Risiko | Standard-Praxis | Alle 5 Jahre |
| Geringes Risiko | § 14 GwG | Risikoangemessen (z. B. 7–10 Jahre) |
| Inaktive Kunden | AuAs / BaFin | Unverzüglich bei Reaktivierung |
Anlassbezogene Kundendatenaktualisierung GwG: Trigger-Events
Neben den starren Fristen gibt es Ereignisse, die eine sofortige Aktualisierung auslösen müssen. Das Monitoring-System sollte hierauf sensibel reagieren:
- Unzustellbare Post: Der Klassiker. Kommt Post zurück, ist die Erreichbarkeit nicht mehr gegeben – sofortige Prüfung erforderlich.
- Änderung der Stammdaten: Meldet der Kunde eine neue Adresse oder ändert sich die Rechtsform, ist dies ein Anlass für eine Aktualisierung.
- Zweifel an der Identität: Passen die Transaktionen nicht mehr zum Kundenprofil? Gibt es Presseberichte über Straftaten?
- Neue Sanktionslisten: Treffer auf Sanktions- oder PEP-Listen erfordern eine sofortige Überprüfung der Datenbasis.
Mythos vs. Praxis: Muss ich den Kunden anrufen?
Ein häufiges Missverständnis: Man muss nicht zwingend zum Hörer greifen.
- Externe Quellen: Für die Aktualisierung dürfen zuverlässige Register (Transparenzregister, Handelsregister) oder Auskunfteien genutzt werden.
- Identifizierung vs. Aktualisierung: § 11 Abs. 3 GwG erlaubt oft das Absehen von einer erneuten Identifizierung (Ausweiskopie), solange keine Zweifel an der Person bestehen. Die Aktualisierung des Datenabgleichs muss dennoch durchgeführt und dokumentiert werden.
Typische Schwachstellen mit Normbezug
Jahresfrist bei High-Risk-Kunden gerissen
Die jährliche Überprüfungspflicht bei PEPs oder Hochrisikoländern wird im operativen Alltag übersehen oder verspätet nachgeholt.
Unzustellbare Post nicht als Anlass erkannt
Postrückläufer werden administrativ verbucht, ohne eine sofortige Kundendatenprüfung auszulösen.
Geschäftsbeziehung trotz fehlender Daten fortgeführt
Kann der Kunde keine aktuellen Daten liefern, wird die eigentlich vorgeschriebene Beendigung der Geschäftsbeziehung verzögert.
„Risikoangemessen“ mit „nie“ verwechselt
Bei Low-Risk-Kunden wird die Aktualisierung faktisch dauerhaft ausgesetzt, obwohl auch hier eine Frist gilt.
Fazit: Datenqualität ist dein Schutzschild
Die korrekte Kundendatenaktualisierung nach GwG ist mehr als Bürokratie. Veraltete Daten machen die Risikoanalyse blind und das Monitoring-System wirkungslos.
- Die Aktualisierungspflicht ist ein dauerhafter Prozess, kein einmaliger Vorgang bei Kontoeröffnung.
- Fristen richten sich nach der Risikoklasse: jährlich (hoch), 5 Jahre (normal), 7 bis 10 Jahre (gering).
- Trigger-Events wie unzustellbare Post oder neue Sanktionslisten-Treffer lösen eine sofortige Prüfung aus.
- Externe Register dürfen genutzt werden; ein direkter Kundenkontakt ist nicht immer erforderlich.
- Bleiben Daten trotz Nachfrage unklar, ist die Geschäftsbeziehung nach § 10 Abs. 9 GwG zu beenden.
Klare Prozesse für die 1-Jahres- und 5-Jahres-Fristen sowie eine sensible Reaktion auf Trigger-Events sind für 2026 unverzichtbar.
Häufige Fragen
Wie oft ist eine Kundendatenaktualisierung nach GwG Pflicht?+–
Die Aktualisierungspflicht richtet sich nach der Risikoklassifizierung: hohes Risiko jährlich (alle 12 Monate), normales Risiko in der Regel alle 5 Jahre, geringes Risiko risikoangemessen, etwa alle 7 bis 10 Jahre. Grundlage sind die §§ 10, 14 und 15 GwG sowie die Verwaltungspraxis der Aufsicht.
Reicht ein Handelsregisterauszug für die Kundendatenaktualisierung?+–
In vielen Fällen ja. Können relevante Angaben wie Geschäftsführung, Sitz, Rechtsform oder Branche aus einem amtlichen Register verlässlich entnommen werden, ist kein direkter Kundenkontakt erforderlich, sofern keine zusätzlichen Auffälligkeiten vorliegen.
Was passiert bei fehlender Kundendatenaktualisierung?+–
Können die erforderlichen Daten nicht aktualisiert oder verifiziert werden, ist das Institut verpflichtet, die Geschäftsbeziehung zu beenden (§ 10 Abs. 9 GwG). Zusätzlich drohen aufsichtsrechtliche Maßnahmen, Bußgelder wegen Verletzung der Sorgfaltspflichten und Reputationsrisiken bei Prüfungen.
Quellen
Primärquellen zuerst. Jede Angabe in diesem Beitrag ist gegen diese Quellen geprüft.
- § 10 GwG, Allgemeine SorgfaltspflichtenSteht für die Beendigungspflicht der Geschäftsbeziehung nach § 10 Abs. 9 GwG bei fehlender Aktualisierung.
- § 11 GwG, IdentifizierungspflichtenSteht für die Abgrenzung zwischen erneuter Identifizierung und reiner Datenaktualisierung nach § 11 Abs. 3 GwG.
- § 14 GwG, Vereinfachte SorgfaltspflichtenSteht für die risikoangemessene Frist bei geringem Risiko.
- § 15 GwG, Verstärkte SorgfaltspflichtenSteht für die jährliche Aktualisierungsfrist bei hohem Risiko (PEPs, Hochrisikoländer).
- EBA: Anti-Money Laundering and Countering the Financing of TerrorismSteht für die europäische Einordnung und die neue Rolle der AMLA.
Weiterführende Angebote von S+P
Dieser Beitrag ordnet ein. Die Umsetzung findet an anderer Stelle statt, je nachdem, ob Kapazität oder Qualifizierung fehlt.
- Vorstufe klären: Wer korrekt vor jeder Datenprüfung als „auftretende Person“ identifiziert werden muss, behandelt ein eigener Beitrag.
- Verantwortlichkeit: Aufgaben eines Geldwäschebeauftragten nach § 7 GwG im Überblick.
- Qualifizierung im Team: Der Lehrgang Geldwäschebeauftragter (S+P Certified) vermittelt rechtssichere KYC-Prozesse.
- Auslagerung der Funktion: Die Überwachung der Kundendatenaktualisierung kann extern besetzt werden.
Direkt weiter
Achim Schulz
Achim Schulz ist selbst als Geldwäschebeauftragter (MLRO) für Banken, Wertpapierinstitute und weitere BaFin-regulierte Institute bestellt. Über S+P Compliance verantwortet er als Auslagerungsdienstleister die ausgelagerte Geldwäsche-Beauftragten-Funktion in der Praxis – genau dieses Praxis- und Prüfungswissen fließt direkt in den Lehrgang ein.
LinkedIn-Profil → · Redaktion & Experten →Seminare & Lehrgänge
Plattform & Methodik
Über S+P
