Die deutsche Geldwäsche-Compliance wird 2026 von drei Dingen gleichzeitig geprägt: dem Geldwäschegesetz (GwG) in seiner jetzigen Fassung, den aktualisierten Auslegungshinweisen der BaFin, die mehrere praktische Pflichten verschärft haben, und der herannahenden EU-Geldwäscheverordnung, die ab dem 10. Juli 2027 einen Großteil der nationalen Substanz verdrängt.
Für eine in Deutschland tätige Bank oder Vermögensverwaltung ist die nützliche Einordnung: die heutige Arbeit ist kein Endzustand. Investitionen darin, wie Kundendaten aktuell gehalten werden, tragen weiter; Investitionen in die Paraphrase des GwG nicht.
1. Wer beaufsichtigt, und wohin die Daten gehen
Die BaFin ist die Aufsichtsbehörde für Finanzinstitute nach dem GwG. Verdachtsmeldungen gehen an die Financial Intelligence Unit, Angaben zu wirtschaftlich Berechtigten an das Transparenzregister.
Eine Entwicklung, die für alle in Frankfurt Tätigen erwähnenswert ist: die neue EU-Geldwäschebehörde AMLA arbeitet seit 2026 von Frankfurt aus. Sie wird die meisten Institute nicht direkt beaufsichtigen — ihr Mandat betrifft ausgewählte grenzüberschreitende Verpflichtete sowie die Konvergenz der Aufsichtspraxis —, aber ihre Präsenz bedeutet, dass die deutsche Aufsichtspraxis dem entstehenden europäischen Standard ungewöhnlich nahe sein wird.
2. Was das GwG verlangt
Das GwG setzt die EU-Richtlinien in deutsches Recht um und regelt die bekannten Pflichten: Vertragspartner und für ihn auftretende Personen identifizieren und überprüfen, wirtschaftlich Berechtigte feststellen, verstärkte Sorgfalt bei entsprechendem Risiko anwenden, die Geschäftsbeziehung laufend überwachen, Aufzeichnungen führen und Verdacht unverzüglich melden.
Zwei Merkmale prägen die deutsche Praxis. Erstens ist die institutsweite Risikoanalyse ein formelles, dokumentiertes Instrument, das die Aufsicht unmittelbar prüft, und kein internes Memo. Zweitens unterliegt die Fernidentifizierung besonderen Anforderungen — ein wiederkehrender Reibungspunkt für digitales Onboarding und ein Bereich, in dem sich die zulässigen Verfahren weiterentwickelt haben.
3. Die aktualisierten BaFin-Hinweise: drei konkrete Verschärfungen
Die überarbeiteten Auslegungs- und Anwendungshinweise (AuA) der BaFin traten im März 2025 in Kraft. Drei Änderungen sind operativ bedeutsam.
Die Risikoanalyse muss mehr tragen. Die Erwartungen an ihre Granularität und an die Nachvollziehbarkeit vom erkannten Risiko zur angewandten Kontrolle sind beide gestiegen. Eine Risikoanalyse, die Risiken auflistet, ohne zu zeigen, welche Kontrolle jedes adressiert, ist nun die schwächere Position.
Die Dokumentationspflichten wurden erweitert. Der praktische Test ist, ob ein Prüfer nicht nur das Ergebnis einer Entscheidung, sondern die Begründung und die damals verfügbaren Nachweise rekonstruieren kann.
Die Fristen zur Aktualisierung von Kundendaten wurden verkürzt. Dies ist die Änderung mit der größten operativen Folge und der geringsten Sichtbarkeit, weil sie nicht ändert, was Sie tun — nur wie schnell. Eine verkürzte Frist über einen großen Bestand verwandelt eine handhabbare periodische Last in eine kontinuierliche. Es ist derselbe strukturelle Wechsel, den wir bei perpetuellem KYC beschreiben — hier über Aufsichtshinweise statt über Gesetzgebung.
4. Meldung: goAML ab März 2026
Ab März 2026 sind Verdachtsmeldungen unverzüglich über goAML einzureichen. Institute, die Meldungen als periodischen Stapelprozess behandelt haben, brauchen einen ereignisgesteuerten — was praktisch heißt, dass der Erkennungsschritt rechtzeitig genug sein muss, um die Meldung überhaupt zu ermöglichen.
Die Abhängigkeit läuft von der Frist rückwärts: unverzüglich melden kann nicht, wessen zugrunde liegende Überwachung den Sachverhalt Wochen zu spät sichtbar macht.
5. Transparenzregister: erweiterte Mitteilungspflichten
Die EU-weite Harmonisierung hat die Pflichten deutscher und ausländischer Gesellschaften erweitert, ihre wirtschaftlich Berechtigten dem Transparenzregister mitzuteilen. Für ein Institut ist die Folge zweifach: Registerdaten werden zu einer nützlicheren Eingangsgröße der eigenen Überprüfung, und Ihre Firmenkunden tragen eine eigene Compliance-Last — häufig genau dort, wo die Reibung beim Onboarding tatsächlich liegt.
Registerdaten bleiben eine Eingangsgröße, kein Ersatz. Die Pflicht, den wirtschaftlich Berechtigten festzustellen, liegt bei Ihnen; ein Registereintrag ist zu würdigender Nachweis, und Abweichungen zwischen der Kundenauskunft und dem Register sind selbst ein Risikosignal. Die Methode steht in Automatisierung der UBO-Prüfung.
6. Was kommt, und die Daten
| Wann | Was |
|---|---|
| März 2025 | Aktualisierte BaFin-AuA in Kraft — Risikoanalyse, Dokumentation, kürzere Aktualisierungsfristen |
| 2026 | AMLA in Frankfurt operativ |
| März 2026 | Verdachtsmeldungen unverzüglich über goAML |
| 1. Januar 2027 | Finanzholdinggesellschaften sollen GwG-Verpflichtete werden |
| 10. Juli 2027 | EU-Geldwäscheverordnung gilt und verdrängt einen Großteil der nationalen Substanz |
Das Datum 2027 ist das Planungsdatum. Eine Verordnung gilt unmittelbar und wie geschrieben, wodurch die Schicht nationaler Auslegung entfällt, durch die deutsche Compliance-Funktionen gewohnt sind zu arbeiten. Weisungen, die als Kommentar zu GwG-Paragrafen verfasst sind, müssen gegen den Verordnungstext neu geschrieben werden, nicht kommentiert.
7. Eine praktische Checkliste
- Lesen Sie Ihre Risikoanalyse gegen die aktualisierten AuA und machen Sie die Zuordnung Risiko zu Kontrolle ausdrücklich statt implizit.
- Messen Sie Ihren tatsächlichen Aktualisierungszyklus für Kundendaten — nicht die Weisung, den beobachteten — gegen die verkürzten Fristen. Die Differenz ist Ihr Risiko.
- Prüfen Sie, ob Ihr Weg von der Erkennung zur Meldung schnell genug für eine unverzügliche goAML-Meldung ist.
- Behandeln Sie Transparenzregister-Einträge als abzugleichende Nachweise und dokumentieren Sie den Abgleich, auch wo er abwich.
- Prüfen Sie, ob eine Gruppengesellschaft ab Januar 2027 als Finanzholding verpflichtet wird.
- Beginnen Sie jetzt, Pflichten dem AMLR-Text zuzuordnen, damit Juli 2027 ein Referenzwechsel und keine Neufassung unter Zeitdruck ist.
8. Häufig gestellte Fragen
Was ist das GwG?
Das Geldwäschegesetz. Es setzt die EU-Geldwäscherichtlinien in deutsches Recht um und regelt Kundensorgfalt, wirtschaftlich Berechtigte, Aufzeichnung und Meldepflichten der Verpflichteten.
Wer beaufsichtigt die Geldwäsche-Compliance in Deutschland?
Die BaFin beaufsichtigt Finanzinstitute nach dem GwG. Verdachtsmeldungen gehen an die Financial Intelligence Unit, Daten zu wirtschaftlich Berechtigten an das Transparenzregister.
Was hat sich in den aktualisierten BaFin-Hinweisen geändert?
Die überarbeiteten Auslegungs- und Anwendungshinweise gelten seit März 2025, mit höheren Erwartungen an die institutsweite Risikoanalyse, erweiterten Dokumentationspflichten und verkürzten Fristen zur Aktualisierung von Kundendaten.
Ab wann müssen Verdachtsmeldungen über goAML erfolgen?
Ab März 2026, unverzüglich.
Ersetzt die EU-Geldwäscheverordnung das GwG?
Sie verdrängt ab dem 10. Juli 2027 einen Großteil des nationalen materiellen Rechts und gilt unmittelbar statt über deutsche Umsetzung. Nationales Recht bleibt für Aufsicht, Sanktionen und die den Mitgliedstaaten überlassenen Bereiche maßgeblich, doch die materiellen Sorgfaltsanforderungen werden aus der Verordnung gelesen.
Beaufsichtigt die AMLA in Frankfurt mein Institut?
Für die meisten Institute nein. Ihr direktes Aufsichtsmandat betrifft ausgewählte grenzüberschreitende Verpflichtete, neben einer breiteren Rolle bei der Konvergenz der Aufsichtspraxis in den Mitgliedstaaten.
9. Wo Wecan passt
Die beiden oben beschriebenen deutschen Besonderheiten — kürzere Aktualisierungsfristen und unverzügliche Meldung — sind beide Probleme der Aktualität, nicht der Prozessgestaltung. Durch schnelleres Arbeiten lassen sie sich schwer lösen, durch Verlagerung des Zeitpunkts der Arbeit vergleichsweise leicht.
Wecan Comply hält jedes Kundendossier laufend aktuell, statt es nach Kalender wieder aufzunehmen: Dokumente werden bei der Erfassung strukturiert, Screening läuft gegen frische Quellen statt zum Überprüfungszeitpunkt, und eine wesentliche Änderung tritt hervor, wenn sie eintritt, nicht im nächsten Zyklus. Jeder Schritt trägt einen zeitgestempelten Audit-Trail mit Urheber — genau das, was die erweiterten Dokumentationserwartungen der BaFin letztlich verlangen: die Begründung und die Nachweise, wie sie im Moment der Entscheidung vorlagen.
Zu den Nachbarrahmen siehe unsere Leitfäden zum EU-Geldwäschepaket aus luxemburgischer Sicht und zur Schweizer GwG-Praxis 2026.