Die deutsche Geldwäsche-Compliance wird 2026 von drei Dingen gleichzeitig geprägt: dem Geldwäschegesetz (GwG) in seiner jetzigen Fassung, den aktualisierten Auslegungshinweisen der BaFin, die mehrere praktische Pflichten verschärft haben, und der herannahenden EU-Geldwäscheverordnung, die ab dem 10. Juli 2027 einen Großteil der nationalen Substanz verdrängt.
Für eine in Deutschland tätige Bank oder Vermögensverwaltung ist die nützliche Einordnung: die heutige Arbeit ist kein Endzustand. Investitionen darin, wie Kundendaten aktuell gehalten werden, tragen weiter; Investitionen in die Paraphrase des GwG nicht.
1. Wer beaufsichtigt, und wohin die Daten gehen
Die BaFin ist die Aufsichtsbehörde für Finanzinstitute nach dem GwG. Verdachtsmeldungen gehen an die Financial Intelligence Unit, Angaben zu wirtschaftlich Berechtigten an das Transparenzregister.
Eine Entwicklung, die für alle in Frankfurt Tätigen erwähnenswert ist: die neue EU-Geldwäschebehörde AMLA arbeitet seit 2026 von Frankfurt aus. Sie wird die meisten Institute nicht direkt beaufsichtigen — ihr Mandat betrifft ausgewählte grenzüberschreitende Verpflichtete sowie die Konvergenz der Aufsichtspraxis —, aber ihre Präsenz bedeutet, dass die deutsche Aufsichtspraxis dem entstehenden europäischen Standard ungewöhnlich nahe sein wird.
2. Was das GwG verlangt
Das GwG setzt die EU-Richtlinien in deutsches Recht um und regelt die bekannten Pflichten: Vertragspartner und für ihn auftretende Personen identifizieren und überprüfen, wirtschaftlich Berechtigte feststellen, verstärkte Sorgfalt bei entsprechendem Risiko anwenden, die Geschäftsbeziehung laufend überwachen, Aufzeichnungen führen und Verdacht unverzüglich melden.
Zwei Merkmale prägen die deutsche Praxis. Erstens ist die institutsweite Risikoanalyse ein formelles, dokumentiertes Instrument, das die Aufsicht unmittelbar prüft, und kein internes Memo. Zweitens unterliegt die Fernidentifizierung besonderen Anforderungen — ein wiederkehrender Reibungspunkt für digitales Onboarding und ein Bereich, in dem sich die zulässigen Verfahren weiterentwickelt haben.
3. Die aktualisierten BaFin-Hinweise: drei konkrete Verschärfungen
Die überarbeiteten Auslegungs- und Anwendungshinweise (AuA) der BaFin traten im März 2025 in Kraft. Drei Änderungen sind operativ bedeutsam.
Die Risikoanalyse muss mehr tragen. Die Erwartungen an ihre Granularität und an die Nachvollziehbarkeit vom erkannten Risiko zur angewandten Kontrolle sind beide gestiegen. Eine Risikoanalyse, die Risiken auflistet, ohne zu zeigen, welche Kontrolle jedes adressiert, ist nun die schwächere Position.
Die Dokumentationspflichten wurden erweitert. Der praktische Test ist, ob ein Prüfer nicht nur das Ergebnis einer Entscheidung, sondern die Begründung und die damals verfügbaren Nachweise rekonstruieren kann.
Die Fristen zur Aktualisierung von Kundendaten wurden verkürzt. Dies ist die Änderung mit der größten operativen Folge und der geringsten Sichtbarkeit, weil sie nicht ändert, was Sie tun — nur wie schnell. Eine verkürzte Frist über einen großen Bestand verwandelt eine handhabbare periodische Last in eine kontinuierliche. Es ist derselbe strukturelle Wechsel, den wir bei perpetuellem KYC beschreiben — hier über Aufsichtshinweise statt über Gesetzgebung.
4. Meldung: goAML ab März 2026
Ab März 2026 sind Verdachtsmeldungen unverzüglich über goAML einzureichen. Institute, die Meldungen als periodischen Stapelprozess behandelt haben, brauchen einen ereignisgesteuerten — was praktisch heißt, dass der Erkennungsschritt rechtzeitig genug sein muss, um die Meldung überhaupt zu ermöglichen.
Die Abhängigkeit läuft von der Frist rückwärts: unverzüglich melden kann nicht, wessen zugrunde liegende Überwachung den Sachverhalt Wochen zu spät sichtbar macht.
5. Transparenzregister: erweiterte Mitteilungspflichten
Die EU-weite Harmonisierung hat die Pflichten deutscher und ausländischer Gesellschaften erweitert, ihre wirtschaftlich Berechtigten dem Transparenzregister mitzuteilen. Für ein Institut ist die Folge zweifach: Registerdaten werden zu einer nützlicheren Eingangsgröße der eigenen Überprüfung, und Ihre Firmenkunden tragen eine eigene Compliance-Last — häufig genau dort, wo die Reibung beim Onboarding tatsächlich liegt.
Registerdaten bleiben eine Eingangsgröße, kein Ersatz. Die Pflicht, den wirtschaftlich Berechtigten festzustellen, liegt bei Ihnen; ein Registereintrag ist zu würdigender Nachweis, und Abweichungen zwischen der Kundenauskunft und dem Register sind selbst ein Risikosignal. Die Methode steht in Automatisierung der UBO-Prüfung.