Das EU-Geldwäschepaket 2026-2027: AMLR, AMLD6 und die neue AMLA — aus Luxemburger/CSSF-Sicht

Die Anti-Geldwäsche-Reform der Europäischen Union ist die folgenreichste Neufassung der AML-Architektur des Blocks seit einer Generation. Drei Instrumente — die unmittelbar anwendbare Geldwäscheverordnung (AMLR), die sechste Geldwäscherichtlinie (AMLD6) und die Verordnung zur Errichtung einer einheitlichen Anti-Geldwäsche-Behörde (AMLA) mit Sitz in Frankfurt — ersetzen einen Flickenteppich national umgesetzter Richtlinien durch ein einheitliches Regelwerk und, zum ersten Mal, durch eine europäische Aufsicht mit direkten Befugnissen. Für Chief Compliance Officers bei EU-orientierten Banken, unabhängigen Vermögensverwaltern (GFI) und Fintechs lautet die praktische Frage nicht länger, ob sich ihre Pflichten ändern, sondern wie sie bereit sein können, bevor die gestaffelten Anwendungstermine über 2027 und 2028 eintreffen.

Dieser Artikel ist ein Bereitschaftsleitfaden mit Fokus auf Luxemburg/CSSF — die Jurisdiktion, in der ein grosser Teil der grenzüberschreitenden Fonds- und Private-Banking-Tätigkeit der EU verwaltet wird und in der viele Schweizer Institute eine Präsenz unterhalten. Er ordnet auch die grenzüberschreitende Realität jener Schweizer Institute ein, die das revidierte Schweizer Regime (das Geldwäschereigesetz, GwG; die Verordnung der FINMA, GwV-FINMA; und das Transparenzgesetz TJPG) neben dem EU-Regime betreiben werden.

1. Das Paket auf einen Blick: AMLR, AMLD6 und die AMLA-Behörde

Die Reform versteht man am besten als drei Instrumente, die drei unterschiedliche Aufgaben erfüllen. Sie zu vermengen ist die häufigste Quelle von Verwirrung, denn sie unterscheiden sich in ihrer Rechtsnatur, darin, wie sie einen Verpflichteten erreichen, und im Zeitplan, zu dem sie greifen.

Die Geldwäscheverordnung (AMLR) ist unmittelbar anwendbar. Sie ist ein einheitliches Regelwerk, das die materiellen Pflichten harmonisiert — Sorgfaltspflicht gegenüber Kunden (CDD), verstärkte Sorgfaltspflicht (EDD), Identifikation der wirtschaftlich Berechtigten, Behandlung politisch exponierter Personen und eine EU-weite Obergrenze für grosse Barzahlungen — sodass in jedem Mitgliedstaat dieselben Regeln ohne nationale Umsetzung gelten. Dies ist das Instrument, das die tägliche Compliance-Arbeit am stärksten verändern wird.

Die sechste Geldwäscherichtlinie (AMLD6) wird in nationales Recht umgesetzt. Sie regelt die institutionelle Verrohrung: Register der wirtschaftlich Berechtigten, zentrale Meldestellen (FIUs), Befugnisse der nationalen Aufsichtsbehörden sowie Regeln über Zugang und Zusammenarbeit zwischen ihnen. Da es sich um eine Richtlinie handelt, werden ihre Details noch etwas von Mitgliedstaat zu Mitgliedstaat variieren.

Die AMLA-Behörde, durch ihre eigene Verordnung errichtet und mit Sitz in Frankfurt, ist die strukturelle Neuerung. Sie verbindet die direkte Aufsicht über eine begrenzte Zahl hochriskanter, grenzüberschreitender „ausgewählter Verpflichteter" mit der indirekten Aufsicht über nationale Aufsichtsbehörden und FIUs in der gesamten Union. Zum ersten Mal wird ein europäisches Organ bestimmte Gruppen selbst prüfen, statt die Aufsicht vollständig den nationalen Behörden zu überlassen.

Die Staffelung ist entscheidend. Die AMLR wird 2027 EU-weit anwendbar, die AMLA baut ihre Kapazität auf, um ab 2028 die direkte Aufsicht über die erste Kohorte ausgewählter Verpflichteter aufzunehmen, und die AMLD6 wird auf einem parallelen Pfad national umgesetzt. Das Zeitfenster zur Vorbereitung ist jetzt — nicht dann, wenn das erste Prüfungsschreiben eintrifft.

2. Was die Harmonisierung von CDD, EDD und wirtschaftlich Berechtigten operativ ändert

Das Versprechen der AMLR ist Konvergenz: weniger Fragmentierung, weniger nationale Ausnahmen, eine Auslegung. Für eine Compliance-Funktion schneidet Konvergenz in beide Richtungen. Die gute Nachricht ist, dass eine Gruppe, die in mehreren Mitgliedstaaten tätig ist, im Prinzip einen CDD-Standard betreiben kann, statt ein Dutzend abzugleichen. Die unbequeme Nachricht ist, dass Harmonisierung eher nach oben nivelliert: Das einheitliche Regelwerk setzt einen anspruchsvollen Boden, und eine Akte, die zuvor eine leichtere nationale Lesart erfüllte, kann nun unzureichend sein.

Sorgfaltspflicht und verstärkte Sorgfaltspflicht

Die AMLR legt harmonisierte Erwartungen fest, um den Kunden zu identifizieren und zu überprüfen, den Zweck und die beabsichtigte Art der Beziehung zu verstehen und eine laufende Überwachung durchzuführen. Auslöser für die verstärkte Sorgfaltspflicht — Hochrisiko-Drittländer, Korrespondenzbeziehungen, bestimmte undurchsichtige oder hochwertige Strukturen und politisch exponierte Personen — werden auf EU-Ebene definiert, statt der Anleitung jeder Aufsicht überlassen. Die operative Folge ist, dass EDD nicht länger eine diskretionäre lokale Überlagerung sein kann; sie wird zu einem dokumentierten, regelbasierten Schritt, dessen konsistente Anwendung ein Prüfer in jedem Mitgliedstaat erwartet.

Wirtschaftlich Berechtigte: eine Definition, angewandt auf die letztliche natürliche Person

Bei den wirtschaftlich Berechtigten hat die Harmonisierung die schärfste operative Kante. Die AMLR verankert eine gemeinsame Definition rund um einen Beteiligungsschwellenwert von 25 % und kontrollbasierte Tests und verpflichtet Institute, durch geschichtete Strukturen hindurch bis zur natürlichen Person zu blicken, die den Kunden letztlich besitzt oder kontrolliert — unabhängig davon, wie viele zwischengeschaltete Holdinggesellschaften, Fonds oder Vehikel in der Kette liegen. Dies ist dieselbe Stossrichtung wie die Schweizer Reform, und aus demselben Grund: Bei der ersten Gesellschaftsschicht stehenzubleiben ist nicht mehr vertretbar.

Für eine Bank oder einen GFI, die eine über zwei oder drei Vehikel in mehreren Jurisdiktionen gehaltene Gesellschaft onboarden, ist dies genau die Arbeit, die das manuelle Modell zum Einsturz bringt. Eine Eigentümerkette von Hand zu rekonstruieren — Registerauszüge anfordern, übersetzen, Beteiligungen abbilden und bei jeder Überprüfung neu verifizieren — ist die Art von Aufgabe, die 2 bis 4 Stunden pro Akte dauert und komplexes Onboarding Richtung vier bis sechs Wochen ausdehnt. Dies konsistent, im Volumen, gegen einen einheitlichen EU-Standard zu tun, ist ein Datenproblem, bevor es ein rechtliches ist — weshalb die Automatisierung der Prüfung wirtschaftlich Berechtigter nun eine aufsichtsrechtliche Erwartung statt einer blossen Effizienzannehmlichkeit ist.

3. Das Aufsichtsmodell der AMLA und die „ausgewählten Verpflichteten"

Die AMLA ersetzt die nationalen Aufsichtsbehörden nicht; sie ist eine neue Schicht über und neben ihnen, mit zwei unterschiedlichen Modi.

Die direkte Aufsicht gilt für eine kleine Gruppe ausgewählter Verpflichteter — die Kredit- und Finanzinstitute, die in mehreren Mitgliedstaaten tätig sind und definierte Risikokriterien erfüllen. Für diese Kohorte führt die AMLA Prüfungen über gemeinsame Aufsichtsteams durch, die sich aus der AMLA und den zuständigen nationalen Behörden zusammensetzen. Die Zahl der direkt Beaufsichtigten ist anfangs bewusst begrenzt, doch die enthaltenen Einheiten sind genau die grossen, grenzüberschreitenden Gruppen, für die Luxemburg ein verbreiteter Knotenpunkt ist.

Die indirekte Aufsicht deckt alle anderen ab. Hier setzt die AMLA Standards, gibt Leitlinien heraus, koordiniert die nationalen Aufsichtsbehörden und greift ein, wo eine nationale Behörde versagt. Der praktische Effekt ist Konvergenz: Selbst ein Institut, das nie direkt von der AMLA beaufsichtigt wird, wird von einer nationalen Aufsicht geprüft, die AMLA-konforme Erwartungen anwendet. Es gibt keine inhaltliche Ausnahme mit der Begründung, „zu klein für die AMLA" zu sein.

Für Chief Compliance Officers ist die strategische Lesart einfach. Ob Ihre Gruppe auf der Auswahlliste steht oder nicht, sollten Sie davon ausgehen, am harmonisierten Standard gemessen zu werden, mit derselben Forderung, die die Schweizer Aufsicht bereits umgestaltet hat: Prüfer wollen den Nachweis, dass Kontrollen wirken, nicht bloss, dass sie existieren. Ein eingeschaltetes Screening-Tool, eine verfasste Überprüfungsrichtlinie, eine unterschriebene Onboarding-Checkliste — nichts davon beantwortet für sich allein die Frage, die die Aufsicht im AMLA-Zeitalter stellt: Hat die Kontrolle das richtige Ergebnis erbracht, zur richtigen Zeit, in dieser konkreten Akte?

4. Der Luxemburger/CSSF-Blickwinkel

Luxemburg bündelt mehrere der Merkmale, auf die die EU-Reform genau abzielt: Es ist ein führender Domizilstandort für Investmentfonds, ein Zentrum grenzüberschreitenden Private Bankings und Heimat einer grossen Population von Fondsverwaltern, Verwaltungsgesellschaften und Vermögensverwaltern, die Kunden in der gesamten Union und darüber hinaus bedienen. Diese Kombination — grenzüberschreitende Reichweite plus komplexe Eigentümerstrukturen — macht die Jurisdiktion zentral dafür, wie das Paket in der Praxis spürbar wird.

Die CSSF als Aufsicht

Die Commission de Surveillance du Secteur Financier (CSSF) beaufsichtigt die AML/CFT-Compliance des Grossteils des Luxemburger Finanzsektors über ihre Verordnungen, Rundschreiben und periodischen AML/CFT-Meldungen. Unter der neuen Architektur bleibt die CSSF die nationale Aufsicht und der tägliche Ansprechpartner der meisten Einheiten, während sie im Konvergenzrahmen der AMLA arbeitet und, für in Luxemburg ansässige oder stark aktive ausgewählte Verpflichtete, neben der AMLA in gemeinsamen Aufsichtsteams. In der Praxis sollten in Luxemburg ansässige Gruppen erwarten, dass sich CSSF-Erwartungen und AMLA-Standards im Gleichschritt bewegen.

Das Register der wirtschaftlich Berechtigten (RBE)

Luxemburgs Registre des Bénéficiaires Effectifs (RBE), geführt von den Luxembourg Business Registers, verpflichtet Einheiten bereits, ihre wirtschaftlich Berechtigten zu melden. Unter der AMLD6 werden die Register der wirtschaftlich Berechtigten in der gesamten Union verstärkt und besser vernetzt. Für eine Compliance-Funktion hebt dies die Latte an, statt sie zu senken: Das Register ist eine zweite Wahrheitsquelle, mit der Ihre eigene KYC-Schlussfolgerung abgeglichen werden muss. Eine Diskrepanz zwischen dem, was das RBE zeigt, und dem, was Ihre Akte schlussfolgert, ist eine Abweichung, die Sie erkennen, auflösen und dokumentieren müssen — keine interne Angelegenheit. Am besten zurecht kommen jene Institute, die eine Eigentümerkette rekonstruieren, sie mit dem RBE vergleichen und den Vergleich in Minuten statt in Tagen belegen können.

Grenzüberschreitende Tätigkeit als Auswahlfaktor

Weil Luxemburger Einheiten ihre Dienstleistungen so oft EU-weit passportieren und international gehaltene Strukturen verwalten, sind sie natürliche Kandidaten für die Mehrstaaten-Präsenz, die in die Kriterien der AMLA für ausgewählte Verpflichtete einfliesst. Eine Luxemburger Privatbank oder Fondsplattform mit wirklich paneuropäischer Kundschaft sollte jetzt modellieren, ob sie unter die direkte Aufsicht fallen könnte, und ihre Akten auf einen Standard vorbereiten, der einer AMLA-geführten Prüfung standhielte.

5. Schweiz ↔ EU: zwei Regime betreiben, ohne die Arbeit zu verdoppeln

Für Schweizer Institute mit EU-orientierter Tätigkeit — und für Gruppen mit sowohl einer Schweizer als auch einer Luxemburger Präsenz — schafft die Reform eine Zwei-Regime-Realität. Die Schweiz ist nicht in der EU und wird die AMLR nicht anwenden, aber sie verschärft ihre eigenen Regeln auf einem parallelen Zeitplan: das revidierte GwG und die GwV-FINMA sowie das Transparenzgesetz TJPG, das ab dem 1. Oktober 2026 ein eidgenössisches Register der wirtschaftlich Berechtigten einführt (ausführlich in unserem Leitfaden zu den Schweizer AML-Änderungen für 2026). Die Versuchung besteht darin, zwei Compliance-Stapel zu bauen. Die bessere Antwort ist, einen zu bauen und ihn auf zwei Regime abzubilden.

Der gemeinsame Nenner ist frappierend. Beide Regime wollen die letztliche natürliche Person durch jede Schicht hindurch identifiziert, beide wollen diese Schlussfolgerung mit einem Register abgeglichen, beide wollen dokumentierte risikobasierte Sorgfalt, und beide wollen Nachweise auf Verlangen erzeugt statt für eine Prüfung neu zusammengesetzt. Ein Institut, das sein KYC um diese gemeinsamen Eigenschaften herum aufbaut, erfüllt den Grossteil beider Regime aus einem Datenmodell — und behandelt nur die wirklich jurisdiktionsspezifischen Unterschiede als Ausnahmen, statt zwei parallele Betriebe zu unterhalten. Duplizierung ist hier der teure Fehlermodus, und er ist vermeidbar.

6. Eine Bereitschafts-Checkliste für 2027-2028

Das Folgende ist eine praktische Checkliste, um die Lücke zu schliessen, bevor die gestaffelten Termine eintreffen. Sie gilt, ob Ihr Schwerpunkt eine Schweizer Bank, eine Luxemburger Fondsplattform, ein GFI oder ein Fintech ist.

Kartieren Sie Ihre Präsenz. Stellen Sie fest, in welchen Mitgliedstaaten Sie tätig sind und ob Ihre grenzüberschreitende Tätigkeit Sie in die Kriterien der AMLA für ausgewählte Verpflichtete bringen könnte. Auch wenn nicht, gehen Sie davon aus, am harmonisierten Standard gemessen zu werden.

Führen Sie eine Gap-Analyse gegen den höchsten Boden durch. Vergleichen Sie Ihre aktuellen CDD-, EDD- und Beneficial-Ownership-Verfahren mit den harmonisierten Erwartungen der AMLR und behandeln Sie die anspruchsvollste Lesart als Ausgangsbasis. Verabschieden Sie nationale Ausnahmen, auf die sich Ihre Akten stillschweigend verliessen.

Fixieren Sie den wirtschaftlich Berechtigten auf die natürliche Person. Stellen Sie sicher, dass jede Akte das Eigentum durch geschichtete Strukturen bis zur letztlichen natürlichen Person auflöst, die Quellen hinter jedem Glied festhält und mit dem einschlägigen Register abgleicht — dem RBE in Luxemburg, dem eidgenössischen Register in der Schweiz und den Entsprechungen andernorts.

Machen Sie die Überwachung kontinuierlich. Wechseln Sie von kalendergesteuerten periodischen Überprüfungen zu ereignisgesteuerter Überwachung, damit Eigentumsänderungen, Sanktionsaktualisierungen und negative Medien die Akte erreichen, wenn sie eintreten.

Bauen Sie einen einzigen Prüfpfad. Stellen Sie sicher, dass jede Entscheidung — ein Risikorating, ein ausgeräumter Alarm, ein akzeptierter wirtschaftlich Berechtigter — nachverfolgbar, mit Zeitstempel versehen und nachweisverknüpft ist, sodass eine vollständige Akte auf Verlangen sowohl für einen CSSF/AMLA- als auch einen FINMA-Prüfer erzeugt werden kann.

Konsolidieren Sie auf ein Datenmodell. Widerstehen Sie dem Bau getrennter Schweizer und EU-Stapel. Strukturieren Sie KYC-Daten einmal und bilden Sie sie auf die Besonderheiten jedes Regimes ab.

7. Wie Automatisierung harmonisierte, nachweisbare Compliance über Jurisdiktionen hinweg liefert

Der Grund, warum ein einziges Datenmodell realistisch ist — statt nur eine Aspiration —, ist, dass Geschwindigkeit, Nachverfolgbarkeit und Nachweis sich als dieselbe Fähigkeit erweisen. Ein System, das eine Kette wirtschaftlich Berechtigter automatisch auflöst, zeichnet auch auf, wie es dies getan hat. Ein System, das einen Screening-Alarm kontextuell ausräumt, erfasst auch warum. Nachweisbare Wirksamkeit, die Eigenschaft, die nun sowohl das EU- als auch das Schweizer Regime verlangen, ist ein Nebenprodukt der Automatisierung und ohne sie äusserst teuer herzustellen.

Die Mechanik ist über Jurisdiktionen hinweg konsistent. Wirtschaftlich Berechtigte von Hand zu rekonstruieren dauert 2 bis 4 Stunden pro Akte; die automatisierte Auflösung reduziert dies auf Minuten, eine Ersparnis von rund 95 %. Ein Standard-Onboarding, das manuell 15 bis 21 Tage dauert — bis zu sechs Wochen bei komplexen Strukturen —, komprimiert sich auf 2 bis 3 Stunden, wenn Dokumentensammlung, Extraktion, Screening und Risikoscoring orchestriert statt sequenziell ablaufen. Manuell durchgeführtes Sanktions- und PEP-Screening erzeugt Fehlalarmquoten von 90 bis 99 %, wobei jeder rund 30 bis 60 Minuten Analystenzeit kostet; KI-Scoring senkt Fehlalarme auf 20 bis 25 % — rund 75 Punkte tiefer — sodass der Prüfpfad echte Entscheidungen statt Rauschen widerspiegelt. Die periodische Überprüfung pro Akte fällt von 2 bis 4 Stunden auf 20 bis 45 Minuten, und kontinuierliches, ereignisgesteuertes perpetuierliches KYC beseitigt 70 bis 90 % der geplanten Überprüfungsarbeit vollständig.

Der Kapazitätseffekt verstärkt all dies: Ein KYC-Analyst bearbeitet manuell 15 bis 25 Kunden pro Monat und mit Automatisierung 80 bis 120 — vier- bis fünfmal mehr —, was zählt, weil ein voll belasteter Analyst sowohl in Zürich als auch in Luxemburg eine knappe, teure, langsam zu rekrutierende Ressource ist. Die Kosten pro onboardetem Kunden fallen von CHF 300–800 auf CHF 50–150. Der typische Netto-ROI im ersten Jahr für diese Art von Automatisierung liegt bei rund 200–260 %, mit Amortisation in drei bis vier Monaten. Doch unter dem EU-Paket ist das stärkere Argument nicht der Preis — es ist, dass harmonisierte, nachweisbare Compliance über zwei Regime hinweg nur dann realistisch erreichbar ist, wenn der Nachweis automatisch im Zuge der Arbeit erzeugt wird.

8. Wie Wecan Comply hilft

Wecan Comply ist genau um die Eigenschaften herum gebaut, die sowohl das EU-Paket als auch die Schweizer Reform verlangen. Die Auflösung wirtschaftlich Berechtigter durchläuft geschichtete Strukturen automatisch und gleicht mit Registerdaten ab — dem RBE, dem eidgenössischen Register der Schweiz und anderen —, sodass die letztliche natürliche Person und die Nachweise hinter dieser Schlussfolgerung erfasst und nicht später rekonstruiert werden. Die Sorgfalts- und verstärkte Sorgfaltspflicht folgt einem strukturierten, regelbasierten Ablauf, der sich auf die harmonisierten Erwartungen der AMLR wie auch der FINMA abbildet, aus einem Datenmodell statt zweien.

Die Überwachung ist kontinuierlich und ereignisgesteuert, sodass Eigentumsänderungen, Sanktionsaktualisierungen und negative Medien die Akte erreichen, wenn sie eintreten — was ein kalendergebundenes Überprüfungsmodell in perpetuierliches KYC verwandelt. Und weil jede Handlung eine mit Zeitstempel versehene, quellenverknüpfte Aufzeichnung hinterlässt, kann ein vollständiger Prüfpfad für jede Akte auf Verlangen erzeugt werden, ob der Prüfer bei der CSSF, der AMLA oder der FINMA sitzt. Für Banken, GFI und Fintechs, die zwei Regimen zugleich gegenüberstehen, ist das die praktische Definition harmonisierter, nachweisbarer Compliance — und das Terrain, für das Automatisierung geschaffen wurde. Dieselbe Logik gilt, ob Sie dies als Schweizer Bank lesen, die sich auf KYC/AML-Veränderungen vorbereitet, oder als Luxemburger Plattform, die sich auf die AMLA vorbereitet.