Startseite›Seminare News›KI-Einsatz zur Geldwäschebekämpfung: Wird das rechtliche Risiko von Sanktionen nach Art. 6 Abs. 2 der KI-Verordnung unterschätz?
KI-Einsatz zur Geldwäschebekämpfung: Unterschätzen Sie das rechtliche Risiko von Sanktionen nach Art. 6 Abs. 2 der KI-Verordnung?
I. Praktische und juristische Relevanz
Als Geldwäschebeauftragter ist dieser Text für Sie eine essenzielle Lektüre, da er aktuelle regulatorische und aufsichtsrechtliche Entwicklungen bündelt. Er liefert Ihnen wesentliche erforderliche Updates zu den neuen FATF-Länderrisiken, die umgehend in Ihre Risikobewertung einfließen müssen. Zudem erhalten Sie rechtliche Klarheit zur direkten AMLA-Aufsicht sowie strategische Einblicke in die verschärfte Prüfungspraxis der BaFin. Abschließend sichern die Ausführungen zur KI-Verordnung Ihre künftigen Entscheidungen bei der Implementierung von Überwachungssystemen rechtlich ab.
Inhaltsverzeichnis
KI-Einsatz zur Geldwäschebekämpfung: Unterschätzen Sie das rechtliche Risiko von Sanktionen nach Art. 6 Abs. 2 der KI-Verordnung?
FAQ: KI-Einsatz in der Geldwäschebekämpfung – AI Act, FATF, AMLA und BaFin 2026
Warum ist der Einsatz von KI in der Geldwäschebekämpfung rechtlich besonders relevant?
KI-Systeme werden zunehmend zur Transaktionsüberwachung, Betrugserkennung, Kundenrisikobewertung und Identifizierung verdächtiger Muster eingesetzt. Rechtlich entscheidend ist der konkrete Verwendungszweck. Übernimmt ein System neben AML-Funktionen beispielsweise auch Aufgaben der Bonitäts- oder Kreditwürdigkeitsprüfung, kann ein Hochrisiko-Anwendungsfall nach der KI-Verordnung vorliegen. Eine fehlerhafte Klassifizierung kann zusätzliche Governance-, Dokumentations- und Konformitätspflichten sowie erhebliche Bußgeldrisiken auslösen.
Wann kann ein AML-KI-System als Hochrisiko-KI eingestuft werden?
Ein ausschließlich zur Geldwäsche- oder Betrugserkennung eingesetztes System ist nicht automatisch als Hochrisiko-KI einzustufen. Kritisch wird es, wenn dasselbe System zusätzlich natürliche Personen bewertet, Kreditscores erstellt oder Entscheidungen über ihre Kreditwürdigkeit unterstützt. In diesem Fall ist zu prüfen, ob Art. 6 Abs. 2 in Verbindung mit Anhang III der Verordnung (EU) 2024/1689 einschlägig ist.
Welche Folgen hat eine falsche Klassifizierung des KI-Systems?
Wird ein Hochrisiko-KI-System irrtümlich als gewöhnliches AML-Tool behandelt, können wesentliche Pflichten unberücksichtigt bleiben. Dazu gehören unter anderem Anforderungen an das Risikomanagement, die technische Dokumentation, die Datenqualität, die Protokollierung, die menschliche Aufsicht und die laufende Überwachung. Verstöße gegen die KI-Verordnung können empfindliche aufsichtsrechtliche Sanktionen und Bußgelder nach sich ziehen.
Wie sollten Unternehmen den Verwendungszweck eines KI-Systems dokumentieren?
Für jedes KI-System sollte ein nachvollziehbarer und möglichst eng abgegrenzter Verwendungszweck festgelegt werden. Im KI-Register sollte dokumentiert sein, welche Daten verarbeitet werden, welche Entscheidungen unterstützt werden und welche Funktionen ausdrücklich ausgeschlossen sind. Bei einem reinen AML-System kann beispielsweise festgehalten werden: „Ausschließlich Transaktionsüberwachung und Betrugserkennung; keine Bonitäts- oder Kreditwürdigkeitsprüfung.“
Warum sollten AML-Überwachung und Kreditscoring technisch getrennt werden?
Die technische und organisatorische Trennung reduziert das Risiko, dass ein AML-System durch zusätzliche Funktionen in einen Hochrisiko-Anwendungsbereich fällt. Empfohlen werden getrennte Datenbestände, Modelle, Zugriffsrechte, Schnittstellen und Entscheidungsprozesse. Ein KI-Modell zur Transaktionsüberwachung sollte nicht ohne gesonderte Prüfung gleichzeitig auf Daten für die Kreditwürdigkeitsbewertung zugreifen.
Welche FATF-Änderungen müssen Institute in ihren Länderrisiken berücksichtigen?
Die im Juni 2026 beschlossenen Änderungen der FATF-Länderlisten müssen in der institutsspezifischen Risikoanalyse bewertet werden. Insbesondere sind die Aufnahme von Bosnien und Herzegowina sowie dem Irak in die verstärkte Beobachtung und die Streichung von Algerien und Namibia zu berücksichtigen. Daraus können Anpassungen der KYC-Prozesse, der Kundenrisikoklassifizierung und der Transaktionsüberwachung folgen.
Müssen bei Kunden mit Bezug zum Irak oder zu Bosnien und Herzegowina automatisch verstärkte Sorgfaltspflichten angewendet werden?
Die FATF-Einstufung ist ein wesentlicher Risikofaktor, führt jedoch nicht losgelöst vom Einzelfall zu einer automatischen Entscheidung. Das Institut muss prüfen, ob unter Berücksichtigung der Geschäftsbeziehung, des Kundentyps, der Transaktionen und weiterer Risikofaktoren verstärkte Sorgfaltspflichten nach § 15 GwG erforderlich sind. Die Entscheidung und ihre Gründe sollten nachvollziehbar dokumentiert werden.
Dürfen zusätzliche Maßnahmen nach der Streichung eines Staates sofort reduziert werden?
Eine Streichung von der FATF-Liste rechtfertigt keine pauschale und undokumentierte Herabstufung. Erforderlich ist eine risikobasierte Neubewertung. Zusätzliche Maßnahmen sollten erst reduziert werden, wenn keine anderen erhöhten Risiken bestehen, etwa im Zusammenhang mit Sanktionen, Korruption, Terrorismusfinanzierung, der Kundenstruktur oder auffälligen Transaktionsmustern.
Was können Institute tun, wenn die IT-Systeme nicht rechtzeitig angepasst werden können?
Bis zur technischen Umsetzung sollten kontrollierte Übergangsmaßnahmen eingerichtet werden. Dazu gehören ein regulatorischer Emergency-Change-Prozess, manuelle Länderkennzeichnungen, zusätzliche Compliance-Freigaben und ein „Compliance Flash“ an die erste Verteidigungslinie. Neugeschäfte und relevante Transaktionen mit Bezug zu neu eingestuften Ländern können vorübergehend manuell eskaliert und geprüft werden.
Welche GwG-Risiken entstehen bei einer verspäteten Anpassung der Länderlisten?
Eine verspätete Anpassung kann dazu führen, dass relevante Geschäftsbeziehungen nicht angemessen bewertet und erforderliche verstärkte Sorgfaltspflichten nicht angewendet werden. Betroffen sein können insbesondere die Anforderungen an die Risikoanalyse nach § 4 GwG, die internen Sicherungsmaßnahmen nach § 6 GwG sowie die verstärkten Sorgfaltspflichten nach § 15 GwG.
Was bedeutet die neue BaFin-Struktur für Geldwäschebeauftragte und Compliance?
Mit der organisatorischen Bündelung des Bereichs Anti-Financial-Crime ist von einer stärkeren fachlichen Konzentration der Aufsicht auszugehen. Institute sollten deshalb ihre Prüfungsfähigkeit, Dokumentationstiefe, Ressourcen, Eskalationswege und die Wirksamkeit ihrer internen Sicherungsmaßnahmen kritisch überprüfen. Insbesondere sollten Unterlagen kurzfristig vollständig und konsistent vorgelegt werden können.
Welche Bedeutung hat § 25a KWG bei unzureichenden AML-Ressourcen?
Nach § 25a Abs. 1 KWG muss ein Institut über eine ordnungsgemäße Geschäftsorganisation verfügen. Dazu zählen angemessene personelle, technische und organisatorische Ressourcen. Sind Geldwäscheprävention, Transaktionsüberwachung oder KYC-Prozesse dauerhaft unterbesetzt oder organisatorisch unzureichend ausgestaltet, kann dies aufsichtsrechtliche Beanstandungen und Verantwortungsrisiken für die Geschäftsleitung begründen.
Wie können sich Institute auf BaFin-Sonderprüfungen vorbereiten?
Empfehlenswert sind regelmäßige Mock-Audits, Stichproben zur Qualität der KYC-Akten, Tests der Transaktionsüberwachung sowie eine Überprüfung des Maßnahmen- und Mängelmanagements. Außerdem sollten Verantwortlichkeiten, Freigaben, Eskalationen und Kontrollen revisionssicher dokumentiert sein. Ziel ist, die tatsächliche Wirksamkeit der Prozesse und nicht nur das Vorhandensein formaler Richtlinien nachweisen zu können.
Wann entstehen konkrete Mitwirkungs- oder Datenlieferungspflichten gegenüber der AMLA?
Eine konkrete Informations- oder Datenlieferungspflicht entsteht grundsätzlich aufgrund einer entsprechenden Aufforderung der BaFin, der AMLA oder einer anderen zuständigen Stelle. Inhalt, Umfang und Frist ergeben sich aus dem jeweiligen Anschreiben. Eine Kontaktaufnahme im Rahmen des Auswahlverfahrens bedeutet nicht automatisch, dass das Institut bereits unmittelbar durch die AMLA beaufsichtigt wird.
Was sollten Institute nach Erhalt eines AMLA-bezogenen Anschreibens tun?
Das Anschreiben sollte unverzüglich an Geldwäschebeauftragte, Compliance, Recht, Risikomanagement und Geschäftsleitung weitergeleitet werden. Anschließend sind die geforderten Daten, die Zuständigkeiten und die Fristen festzulegen. Vor der Übermittlung sollten Vollständigkeit, Konsistenz und Nachvollziehbarkeit der Angaben durch einen dokumentierten Freigabeprozess sichergestellt werden.
Welche Rolle spielt ein zentrales KI-Register?
Ein zentrales KI-Register schafft Transparenz über sämtliche eingesetzten oder geplanten KI-Systeme. Erfasst werden sollten unter anderem Anbieter, Systemverantwortliche, Verwendungszweck, Datenquellen, betroffene Personengruppen, Risikoklassifizierung, menschliche Kontrollmechanismen und relevante Schnittstellen. Das Register erleichtert die Prüfung nach der KI-Verordnung und unterstützt eine konsistente KI-Governance.
Wann sollte Compliance in die Beschaffung eines KI-Systems eingebunden werden?
Compliance, Datenschutz, Informationssicherheit und Risikomanagement sollten bereits vor der Beschaffung und spätestens in der Proof-of-Concept-Phase eingebunden werden. Nur so lassen sich der tatsächliche Verwendungszweck, mögliche Hochrisiko-Funktionen, Datenflüsse, Protokollierungsanforderungen und vertragliche Nachweispflichten rechtzeitig bewerten. Eine nachträgliche Korrektur ist regelmäßig kostenintensiver und rechtlich riskanter.
Wie können Institute den Fachkräftemangel im Anti-Financial-Crime-Bereich abfedern?
Mögliche Maßnahmen sind die Automatisierung wiederkehrender Recherche- und Dokumentationsschritte, die Optimierung von Alert-Szenarien und das kontrollierte Outsourcing standardisierter Level-1-Prüfungen. Das Institut bleibt jedoch für eine ordnungsgemäße Auslagerungssteuerung, Qualitätskontrollen, Eskalationswege und die Erfüllung der aufsichtsrechtlichen Pflichten verantwortlich.
Welche Auswirkungen hat der FATF-Schwerpunkt auf Betrugsringe?
Die Überschneidungen zwischen Betrug, Geldwäsche, Identitätsmissbrauch und organisierter Kriminalität sollten stärker in Risikoanalysen und Überwachungsmodelle einfließen. Institute sollten prüfen, ob ihre Szenarien komplexe Betrugsnetzwerke, schnelle Geldbewegungen, Mule Accounts, auffällige Geräte- oder Identitätsdaten und Verbindungen zwischen mehreren Kunden angemessen erkennen.
Wie sollten sich Unternehmen auf die EUDI-Wallet vorbereiten?
Digitale Onboarding-Systeme sollten modular und schnittstellenorientiert aufgebaut werden. Neue elektronische Identifizierungsmittel sollten sich über standardisierte APIs integrieren lassen, ohne den gesamten KYC-Prozess neu entwickeln zu müssen. Zusätzlich sind die Entwicklungen zum EBDI-Gesetz, zur eIDAS-Regulierung, zu technischen Standards und zu datenschutzrechtlichen Anforderungen fortlaufend zu beobachten.
Wer trägt im Unternehmen die Verantwortung für eine rechtskonforme KI-Governance?
Die Geschäftsleitung trägt die Gesamtverantwortung für eine ordnungsgemäße Geschäftsorganisation. Compliance und Risikomanagement übernehmen typischerweise die regulatorische Klassifizierung und das KI-Register. Der Geldwäschebeauftragte bewertet die AML-bezogenen Einsatzszenarien, während IT, Datenschutz und Informationssicherheit die technische Umsetzung, Datenverarbeitung und Kontrollmechanismen absichern.
Welche Maßnahmen sollten Institute jetzt priorisieren?
Priorität haben die Aktualisierung der Länder- und Kundenrisikomodelle, die Prüfung möglicher AMLA-Anschreiben, die Bestandsaufnahme aller KI-Systeme und die klare Trennung von AML- und Kreditscoring-Funktionen. Ergänzend sollten ein regulatorischer Emergency-Change-Prozess, ein belastbares KI-Register, eine modulare KYC-Architektur und regelmäßige Mock-Audits etabliert werden.
Was ist der wichtigste Quick-Check für AI-Act- und AML-Readiness?
Der zentrale Quick-Check lautet: Kann das Institut jederzeit nachweisen, welche KI-Systeme eingesetzt werden, welchem konkreten Zweck sie dienen, wie sie klassifiziert wurden, auf welche Daten sie zugreifen und welche menschlichen Kontrollen bestehen? Gleichzeitig müssen Länderlisten, Risikoanalyse, KYC-Prozesse und Transaktionsüberwachung aktuell sowie Verantwortlichkeiten und Entscheidungen revisionssicher dokumentiert sein.
Haftungsrelevante Fristen, wesentliche Daten und Ereignisse
1.) Sofort umzusetzende / Stichtagsbezogene Daten
17. bis 19. Juni 2026 (FATF-Beschlüsse): Seit der Plenarsitzung sind die Änderungen der Länderlisten aktiv. Die Aufnahme von Bosnien und Herzegowina sowie dem Irak (Verstärkte Beobachtung) und die Streichung von Algerien und Namibia sollten zeitnah in der institutsspezifischen Risikoanalyse bewertet und gegebenenfalls in den KYC-Prozessen berücksichtigt werden.
1. Juli 2026 (BaFin-Umstrukturierung): Zu diesem Stichtag trat die neue Organisationsstruktur der BaFin in Kraft. Die Abwicklungsfunktion wurde in den Geschäftsbereich SPS integriert, und der Bereich A agiert nun fokussiert als „Anti-Financial-Crime“. Für Institute bedeutet dies, dass Prüfungen ab diesem Zeitpunkt unter der neuen personellen und organisatorischen Bündelung stattfinden.
2.) Relevante Zeiträume und Ereignisse
1. Juli 2026 bis 30. Juni 2028 (Britischer FATF-Vorsitz): In diesem Zweijahreszeitraum liegen die internationalen Prüfungsschwerpunkte verstärkt auf der Bekämpfung von Betrugsringen, der Optimierung der risikobasierten Aufsicht und dem öffentlich-privaten Informationsaustausch. Darauf sollten Compliance-Abteilungen ihre langfristige Strategie ausrichten.
10. / 16. Juni 2026 (AMLA-Webinarunterlagen): Seit dem 16. Juni stehen die vollständigen Kriterien zur Identifizierung direkt zu beaufsichtigender Institute bereit. Wichtig für die Fristenkontrolle: Eine konkrete Datenlieferungs- oder Mitwirkungspflicht im beschriebenen Verfahren entsteht grundsätzlich aufgrund einer entsprechenden behördlichen Aufforderung. Inhalt und Umfang richten sich nach dem jeweiligen Anschreiben.
Hinweis zu Gesetzesentwürfen (EUDI-Wallet & KI-Verordnung):
Für das nationale Gesetz zur Europäischen Brieftasche (EBDIG / GwG-Änderung) sowie für die finalen KI-Leitlinien nach der Konsultation vom 19. Mai 2026 sind im Text noch keine konkreten Inkrafttretens- oder Übergangsfristen genannt. Diese müssen im Rahmen des regulatorischen Monitorings weiter beobachtet werden.
Pflichten für Geldwäschebeauftragte, C-Level und Compliance
1.) Aktualisierung der Länderrisiken und KYC-Prozesse
Pflicht: Die internen Länderrisiko-Modelle und IT-Systeme müssen unverzüglich angepasst werden. Für Geschäftsbeziehungen mit Bezug zu neu aufgenommenen Staaten ist zu prüfen, ob aufgrund der FATF-Einstufung und weiterer Risikofaktoren verstärkte Sorgfaltspflichten anzuwenden sind. Bei gestrichenen Staaten sollte eine dokumentierte risikobasierte Neubewertung erfolgen. Eine Reduzierung zusätzlicher Maßnahmen kommt nur in Betracht, wenn keine anderen erhöhten Risikofaktoren (z. B. Sanktionen, Korruption oder Terrorismusfinanzierung) vorliegen.
Relevant für: Geldwäschebeauftragter (operative Umsetzung), Compliance (Anpassung der internen Richtlinien).
2.) Prüfung der AMLA-Meldepflicht
Pflicht: Es muss intern geprüft werden, ob das Institut ein offizielles Anschreiben der BaFin bezüglich der direkten Aufsicht durch die EU-Behörde (AMLA) erhalten hat. Es ist zu prüfen, ob das Institut von der BaFin oder einer anderen zuständigen Stelle im Zusammenhang mit dem AMLA-Auswahlverfahren kontaktiert wurde. Die im jeweiligen Anschreiben genannten Informations- und Datenlieferpflichten sind fristgerecht umzusetzen. Eine solche Aufforderung bedeutet nicht zwingend, dass das Institut bereits unmittelbar durch die AMLA beaufsichtigt wird. Unabhängig davon bleiben die allgemeinen Pflichten nach GwG und den einschlägigen BaFin-Regelungen vollumfänglich bestehen.
Relevant für: Geldwäschebeauftragter (Datenlieferung), Compliance, C-Level (Kenntnisnahme eines möglichen Wechsels zur direkten EU-Aufsicht).
3.) Ressourcenplanung und Vorbereitung auf BaFin-Sonderprüfungen
Pflicht: Die Neuorganisation und personelle Verstärkung der BaFin geben Anlass, die Angemessenheit der eigenen Geldwäsche- und Compliance-Ressourcen sowie die Prüfungsfähigkeit des Instituts kritisch zu überprüfen.
Relevant für: C-Level (Bereitstellung von Budget/Personal), Compliance & Geldwäschebeauftragter (Sicherstellung der Prüfungsfähigkeit).
4.) Vorbereitung auf neue digitale Identifizierungsverfahren (EUDI-Wallet)
Pflicht: Die anstehenden Änderungen des Geldwäschegesetzes (GwG) durch das EBDI-Gesetz müssen überwacht werden. IT- und Onboarding-Prozesse sind so zu gestalten, dass elektronische Identifizierungsmittel (z. B. die nationale eID-Funktion sowie künftige EUDI-Wallets) rechtskonform in die Kundenidentifizierung integriert werden können. Dabei sind die Vorgaben des Geldwäschegesetzes (GwG), der eIDAS-Verordnung (einschließlich eIDAS 2.0) sowie die technischen und datenschutzrechtlichen Anforderungen zu berücksichtigen.
Relevant für: C‑Level (Bereitstellung von Budget und Ressourcen für eine modulare, API‑zentrierte KYC‑Architektur), Compliance & Geldwäschebeauftragter (Definition fachlicher Anforderungen, Anpassung der Richtlinien und Risikoanalyse), IT (technische Implementierung der Schnittstellen und Sicherstellung der Protokollierung)
5.) Klassifizierung von KI-Systemen (AI Act)
Pflicht: Bei der Beschaffung oder Nutzung von KI-Systemen zur Geldwäschebekämpfung muss sichergestellt und dokumentiert werden, dass diese gemäß Anhang III der KI-Verordnung richtig klassifiziert sind. Insbesondere ist zu dokumentieren, zu welchen Zwecken die Systeme eingesetzt werden und ob sie zusätzliche Funktionen (z. B. Bonitäts- oder Kreditwürdigkeitsprüfungen) übernehmen. Solche Funktionen können eigenständige Hochrisiko-Anwendungsfälle nach Anhang III der KI-Verordnung begründen und damit zusätzliche regulatorische Pflichten auslösen.
Relevant für: Geldwäschebeauftragter (fachliche Einordnung AML‑bezogener KI‑Use‑Cases und Sicherstellung ihrer Einbindung in die interne Sicherungsorganisation), Compliance & Risikomanagement (Führung eines KI‑Registers, Bewertung von Hochrisiko‑Systemen und Umsetzung der regulatorischen Anforderungen), C‑Level (Übernahme der Gesamtverantwortung für KI‑Governance und ordnungsgemäße Geschäftsorganisation).
6.) Strategische Ausrichtung auf Betrugsprävention (FATF-Ziele)
Aufsichtliche Erwartung / strategische Best Practice: Die internen Risikomodelle und Präventionsmaßnahmen sollten verstärkt auf die Überschneidungen von Geldwäsche und Betrugsringen ausgerichtet werden. Dies entspricht den aktuellen Schwerpunkten und strategischen Zielen des britischen FATF-Vorsitzes (Bekämpfung von Betrugsringen, Optimierung der risikobasierten Aufsicht und Förderung des öffentlich-privaten Informationsaustauschs).
Relevant für: Geldwäschebeauftragter (Erweiterung der Risikoanalyse), Compliance.
Kritische Felder und Haftunsgrisiken
Bei der Umsetzung der neuen Vorgaben stehen Institute vor operativen und technischen Hürden. Werden diese nicht rechtzeitig bewältigt, drohen erhebliche Verstöße gegen konkrete gesetzliche Normen.
1. Die Pain Points bei der Umsetzung
Der IT-Flaschenhals (Länderrisiko & KYC): Die sofortige Anpassung der Länderlisten in den KYC- und Transaktionsüberwachungssystemen scheitert in der Praxis oft an starren IT-Release-Zyklen. Eine verspätete Systemumstellung führt dazu, dass Alarmsysteme bei Transaktionen aus dem Irak oder Bosnien-Herzegowina nicht sofort anspringen.
Abgrenzungsprobleme bei der KI-Nutzung: Die saubere Trennung von Geldwäscheerkennung (Transaktionsmuster) und Bonitätsprüfung/Kreditscoring in der IT-Infrastruktur ist komplex. Wenn ein System für beide Zwecke genutzt wird, kann das Gesamtsystem als Hochrisiko-KI im Sinne der KI-Verordnung eingestuft werden und zusätzliche Dokumentations-, Governance- und Konformitätsanforderungen auslösen.
Ressourcenmangel vs. BaFin-Aufrüstung: Die personelle und organisatorische Bündelung deutet auf eine stärkere Fokussierung der Aufsicht auf den Bereich Anti-Financial-Crime hin. Der Markt für qualifiziertes Personal im Bereich Anti-Financial-Crime ist jedoch leergefegt. Der größte Pain Point ist, die von der BaFin erwartete Prüfungsbereitschaft und Dokumentationstiefe mit bestehendem Personal zu leisten.
Technische Integration der EUDI-Wallet: Die Anbindung der Systeme an elektronische Identifizierungsmittel (z. B. nationale eID-Funktion und künftige EUDI-Wallets) erfordert grundlegende Umbauten im digitalen Onboarding-Prozess.“
2. Gegen welche konkreten Normen kann verstoßen werden?
Ein Verzug oder Fehler bei der Umsetzung führt schlimmstenfalls zu direkten Verstößen gegen das Geldwäschegesetz (GwG), das Kreditwesengesetz (KWG) sowie die europäische KI-Verordnung:
a.) Verstöße gegen das GwG (Geldwäschegesetz)
§ 15 Abs. 3 Nr. 1 GwG (Verstärkte Sorgfaltspflichten): Wenn die FATF-Neuzugänge (Irak, Bosnien) nicht sofort im System hinterlegt sind, unterlassen Sie bei diesen Kunden zwingend vorgeschriebene verstärkte Sorgfaltspflichten. Das ist gegebenenfalls als Ordnungswidrigkeit zu qualifizieren.
§ 4 Abs. 3 GwG (Risikoanalyse): Eine unterlassene oder verspätete Bewertung neuer relevanter Länder- und Betrugsrisiken kann dazu führen, dass die Risikoanalyse nicht mehr den aktuellen Risikoverhältnissen entspricht.
§ 6 GwG (Interne Sicherungsmaßnahmen): Unzureichende oder nicht angemessen aktualisierte Überwachungssysteme können die Wirksamkeit der internen Sicherungsmaßnahmen beeinträchtigen und aufsichtsrechtliche Beanstandungen nach sich ziehen.
b.) Verstöße gegen das KWG / MaRisk (Aufsichtsrecht)
§ 25a Abs. 1 KWG (OrdnungsgemäßeGeschäftsorganisation): Eine nicht angemessene personelle oder organisatorische Ausstattung kann einen Verstoß gegen die Anforderungen an eine ordnungsgemäße Geschäftsorganisation begründen.
c.) Verstöße gegen die Verordnung (EU) 2024/1689 (KI-Verordnung / AI Act)
Art. 6 Abs. 2 i.V.m. Anhang III Punkt 5(b) KI-Verordnung: Übernimmt ein KI-System neben AML-Funktionen auch Aufgaben der Kreditwürdigkeitsbewertung, ist zu prüfen, ob insoweit ein Hochrisiko-Anwendungsfall nach Anhang III vorliegt. Werden daraus resultierende Pflichten nicht erfüllt, kann der Einsatz des Systems nicht mit der KI-Verordnung vereinbar sein. Die KI-Verordnung sieht für solche Verstöße empfindliche Bußgelder vor.
Quick-Check: KI-Einsatz in der Geldwäschebekämpfung – AI Act, FATF, AMLA & BaFin 2026
Check
Zentrale Fragestellung zur Vermeidung von GwG-, KWG- und AI-Act-Risiken
FATF-Länderrisiken und institutsspezifische Risikoanalyse aktualisiert?
Wurden die Änderungen der FATF-Länderlisten, insbesondere die Aufnahme von Bosnien und Herzegowina sowie dem Irak und die Streichung von Algerien und Namibia, zeitnah bewertet und nachvollziehbar in die Risikoanalyse übernommen?
KYC- und Transaktionsüberwachungssysteme technisch angepasst?
Sind Länderparameter, Kundenrisikoklassen, Monitoring-Szenarien und Eskalationsregeln in allen relevanten Systemen aktualisiert, getestet, freigegeben und revisionssicher dokumentiert?
Manuelle Fallback-Prozesse bei verzögerten IT-Releases eingerichtet?
Bestehen bis zur vollständigen technischen Umsetzung verbindliche Übergangsmaßnahmen wie Compliance-Freigaben, manuelle Länderkennzeichnungen, zusätzliche Kontrollen oder ein Compliance Flash an die First Line of Defense?
Verstärkte Sorgfaltspflichten risikobasiert geprüft?
Wird bei Geschäftsbeziehungen mit Bezug zu erhöhten Länderrisiken geprüft, ob nach § 15 GwG zusätzliche Informationen, verstärkte Überwachung, Herkunftsnachweise oder Managementfreigaben erforderlich sind?
AMLA-bezogene Behördenanschreiben zentral erfasst und bearbeitet?
Ist sichergestellt, dass Anschreiben von BaFin, AMLA oder anderen zuständigen Stellen unverzüglich an Geldwäschebeauftragte, Compliance, Recht, Risikomanagement und Geschäftsleitung weitergeleitet und fristgerecht beantwortet werden?
Prüfungsfähigkeit gegenüber BaFin und AMLA nachweisbar?
Können Risikoanalysen, KYC-Akten, Transaktionsalerts, Eskalationen, Freigaben, Maßnahmenpläne und Managemententscheidungen kurzfristig vollständig, konsistent und revisionssicher vorgelegt werden?
KI-Use-Cases vollständig in einem zentralen Register erfasst?
Sind für jedes eingesetzte KI-System Anbieter, Zweck, Datenquellen, Nutzer, Verantwortliche, Schnittstellen, Entscheidungsunterstützung und regulatorische Klassifizierung dokumentiert?
Verwendungszweck der AML-KI eindeutig und belastbar abgegrenzt?
Ist ausdrücklich dokumentiert, ob das System ausschließlich der Geldwäsche- und Betrugserkennung dient oder zusätzlich Funktionen wie Bonitätsprüfung, Kreditscoring oder Kreditwürdigkeitsbewertung übernimmt?
Hochrisiko-Klassifizierung nach Art. 6 Abs. 2 und Anhang III geprüft?
Wurde rechtlich und technisch bewertet, ob zusätzliche Funktionen des KI-Systems einen eigenständigen Hochrisiko-Anwendungsfall nach der Verordnung (EU) 2024/1689 begründen?
AML-Überwachung und Kreditscoring technisch getrennt?
Bestehen getrennte Modelle, Datenbestände, Zugriffsrechte, Schnittstellen und Entscheidungsprozesse, sodass ein AML-System nicht unkontrolliert zugleich auf Daten für Kreditwürdigkeitsprüfungen zugreifen kann?
Compliance by Design im Beschaffungsprozess verankert?
Werden Compliance, Geldwäschebeauftragte, Datenschutz, Informationssicherheit und Risikomanagement bereits vor Beschaffung, Proof of Concept und Produktivsetzung neuer KI-Systeme verbindlich eingebunden?
Menschliche Aufsicht und Eskalation bei KI-Entscheidungen sichergestellt?
Sind automatische Treffer, Risikoeinstufungen und Handlungsempfehlungen durch qualifizierte Mitarbeitende überprüfbar und bestehen klare Regeln für Freigabe, Übersteuerung und Eskalation?
Datenqualität, Protokollierung und Modellüberwachung geregelt?
Werden Datenquellen, Trainings- und Eingangsdaten, Modelländerungen, Fehlerraten, False Positives, Nutzerzugriffe und Entscheidungen fortlaufend überwacht und nachvollziehbar protokolliert?
Ressourcen für Anti-Financial-Crime und KI-Governance angemessen?
Verfügt das Institut über ausreichend qualifiziertes Personal, Budget und technische Kapazitäten, um KYC, Transaktionsüberwachung, KI-Kontrollen, regulatorische Meldungen und Prüfungsanfragen fristgerecht zu bearbeiten?
Outsourcing und Automatisierung kontrolliert gesteuert?
Sind bei ausgelagerten Level-1-Alerts, Managed Services oder automatisierten KYC-Recherchen Verantwortlichkeiten, Qualitätsstandards, Kontrollrechte, Eskalationen und Exit-Szenarien eindeutig geregelt?
Betrugs- und Geldwäscherisiken integriert bewertet?
Berücksichtigen Risikoanalyse und Überwachungsmodelle Überschneidungen zwischen Betrugsringen, Mule Accounts, Identitätsmissbrauch, schnellen Geldbewegungen und organisierter Geldwäsche?
Modulare KYC-Architektur für EUDI-Wallet und eID-Verfahren vorbereitet?
Können neue elektronische Identifizierungsmittel über standardisierte Schnittstellen integriert werden, ohne das gesamte digitale Onboarding-System neu entwickeln zu müssen?
Regulatorisches Monitoring für AI Act, EBDIG, FATF und AMLA etabliert?
Werden Leitlinien, technische Standards, Gesetzgebungsverfahren, Behördenveröffentlichungen und neue Fristen laufend beobachtet, bewertet und in konkrete interne Maßnahmen überführt?
Verantwortlichkeiten für KI-Governance eindeutig zugewiesen?
Sind Aufgaben von Geschäftsleitung, Geldwäschebeauftragten, Compliance, Risikomanagement, IT, Datenschutz und Informationssicherheit schriftlich festgelegt und bestehen klare Berichts- und Eskalationswege?
Entlastungs- und Entscheidungsdokumentation vollständig?
Sind Klassifizierungen, Risikoabwägungen, Freigaben, Kontrollen, Schulungen, Systemänderungen und Managemententscheidungen so dokumentiert, dass die ordnungsgemäße Geschäftsorganisation nachgewiesen werden kann?
🚦 Readiness-Status aus Sicht von Geldwäschebeauftragten, Compliance, C-Level & IT
ROT
Akutes Aufsichts- und Sanktionsrisiko: veraltete Risikoanalyse, fehlende Systemanpassungen, unklare KI-Klassifizierung und keine belastbare Prüfungsdokumentation
GELB
Wesentliche Gaps vorhanden: einzelne KYC-, AMLA-, AI-Act-, Governance- oder EUDI-Wallet-Anforderungen sind noch nicht vollständig umgesetzt
GRÜN
Hohe Readiness: aktuelle Risikomodelle, klar klassifizierte KI-Systeme, belastbare Governance, flexible IT-Prozesse und revisionssichere Dokumentation
Konkrete Lösungsansätze zur Haftungsvermeidung und Risikominimierung
Um die operativen und rechtlichen Hürden effizient zu meistern, müssen Sie Prozesse flexibilisieren und IT-Architekturen klar abgrenzen. Hier sind praxorientierte Lösungsansätze für die vier wesentlichen Handlungsfelder:
1.) Agilität bei FATF-Updates (Der IT-Flaschenhals)
Automatisierte Datenversorgung (APIs): Binden Sie Ihre Sanktions- und Länderlisten-Anbieter (z. B. Dow Jones, Refinitiv, LexisNexis) über Schnittstellen direkt an Ihre Kernsysteme an. Dadurch können Änderungen zeitnah und mit geringerem manuellem Aufwand in die relevanten Systeme übernommen werden.
Fast-Track-Releases: Etablieren Sie mit der IT-Abteilung einen "Emergency Change Process". Für dringliche regulatorische Parameteränderungen sollte ein kontrollierter Emergency-Change-Prozess vorgesehen werden, der beschleunigte Anpassungen unter Wahrung der erforderlichen Freigabe-, Test- und Dokumentationskontrollen ermöglicht.
Manuelle Fallback-Prozesse: Solange die systemseitige Anpassung noch läuft, weisen Sie die 1st Line of Defense (z. B. Kundenberater) per "Compliance Flash" an, Neugeschäfte mit den betroffenen Ländern (Irak, Bosnien-Herzegowina) temporär manuell zur Freigabe an Compliance zu eskalieren.
2. ) KI-Architektur und AI Act Compliance
Striktes Datensiloing: Trennen Sie Ihre Datenbanken und KI-Modelle für die Transaktionsüberwachung (AML) strikt von jenen für das Kreditscoring. Ein KI-Modell darf systemseitig nicht auf beide Datentöpfe gleichzeitig zugreifen.
Use-Case-Inventar: Führen Sie ein zentrales Register für alle im Haus eingesetzten KI-Systeme. Dokumentieren Sie dort für jedes AML-Tool explizit den Verwendungszweck ("Ausschließlich Betrugsprävention/Geldwäsche, keine Bonitätsprüfung"), um bei Audits die Ausnahme von der Hochrisiko-Klassifizierung sofort belegen zu können.
Compliance by Design: Binden Sie Compliance bereits in der Beschaffungs- und Proof-of-Concept-Phase neuer Software ein, um eine falsche Klassifizierung von vornherein zu verhindern.
3.) Ressourcenmangel vs. BaFin-Prüfungsdruck
Outsourcing von Level-1-Alerts: Lagern Sie die initiale Sichtung von Transaktionswarnungen (Triage / False-Positive-Bearbeitung) an spezialisierte Managed-Service-Provider aus. Das entlastet Ihr internes Kernteam, das sich auf die Analyse komplexer Verdachtsfälle fokussieren kann.
Prozessautomatisierung (RPA): Automatisieren Sie wiederkehrende, manuelle Recherchearbeiten im KYC-Prozess (z. B. das Abrufen von Handelsregisterauszügen oder negativer Medienberichterstattung), um Analystenzeit freizuschaufeln.
Mock-Audits: Führen Sie eine simulierte BaFin-Sonderprüfung durch externe Prüfer durch. So identifizieren Sie Lücken in Ihrer Organisation und Dokumentation, bevor die neu gebündelte BaFin-Einheit "Anti-Financial-Crime" unangekündigt prüft.
4.) Vorbereitung auf die EUDI-Wallet
Modulare KYC-Architektur: Bauen Sie Ihr digitales Onboarding nicht als monolithisches System. Nutzen Sie eine API-zentrierte Architektur, in die neue Ident-Verfahren (wie die EUDI-Wallet) künftig per "Plug-and-Play" integriert werden können, ohne den gesamten Prozess neu programmieren zu müssen.
Legislatives Monitoring: Richten Sie einen Beobachtungsprozess ein, der die Verabschiedung des EBDI-Gesetzes verfolgt, um rechtzeitig die technischen Schnittstellenanforderungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) zu adaptieren.
Strategische Exzellenz auf C-Level erfordert kontinuierliche Orientierung. Damit du nach deinem Lehrgang nicht allein gelassen wirst, haben wir S+P C.O.R.E. entwickelt.
S+P Mehrwert-Garantie: Dein Wissens-Vorsprung für 2026
Jede Buchung eines S+P Seminars beinhaltet automatisch den kostenfreien Zugang zum quartalsweisen S+P C.O.R.E. Executive Update. Warum? Weil wir wissen, dass die regulatorische Welt nicht stillsteht. Wir halten dein Wissen aktuell – garantiert.
Dein Mehrwert mit S+P C.O.R.E.
Fokusbereich
Dein konkreter Mehrwert
Compliance
Sicherheit im Handeln:
Einordnung aktueller Anforderungen (z. B. DORA / NIS 2, EU AI Act, ESG, Compliance),
damit du genau weißt, was für Haftung und Praxis tatsächlich relevant ist.
Optimization
Effizienz statt Bürokratie:
Umsetzung regulatorischer Vorgaben mit smarten Prozessen,
geeigneten Tools und effizienten Outsourcing-Strukturen.
Regulatory
Frühwarnsystem nutzen:
Strukturierte Bewertung neuer Aufsichtsschwerpunkte und
regulatorischer Trends, bevor sie zum akuten Handlungsdruck werden.
Exchange
Vorsprung durch Dialog:
Austausch im geschützten Raum mit Fach- und Führungskräften
auf Augenhöhe – mit praxiserprobten Lösungsansätzen aus dem Kreis deiner Peers.
Bekannt aus
S+P als Fachexperte in den Medien – Governance & Haftung für Geschäftsführer
Wir verwenden Cookies und ähnliche Technologien, um Ihre Erfahrung auf unserer Website zu verbessern.
Weitere Informationen in unserer Datenschutzerklärung.
