Ab dem 10. Juli 2027 gilt die EU-Verordnung zur Bekämpfung der Geldwäsche unmittelbar in allen 27 Mitgliedstaaten. Im Gegensatz zu den ihr vorausgehenden Richtlinien lässt die AMLR keinen Spielraum für nationale Auslegungen. Ab diesem Datum gelten überall dieselben Vorschriften, dieselben technischen Regulierungsstandards und dieselben Erwartungen hinsichtlich der Durchsetzung.
Für RegTech-Anbieter hat der Übergang von einer Richtlinie zu einer Verordnung konkrete architektonische Auswirkungen. Richtlinien räumten den nationalen Regulierungsbehörden Interpretationsspielraum ein, was bedeutete, dass Ihr Produkt unterschiedliche Umsetzungen in verschiedenen Rechtsordnungen bewältigen konnte, indem es lokale Abweichungen berücksichtigte. Eine einheitliche Verordnung hebt diese Möglichkeit auf. Compliance-Logik, die auf nationaler Flexibilität basierte, muss möglicherweise überdacht werden.
Die meisten Produktteams, mit denen wir sprechen, fangen nicht bei Null an. Sie verfügen bereits über eine funktionierende Lösung. Die Frage ist, ob dieses Produkt die neuen technischen Standards erfüllt, ohne dass umfangreiche Nacharbeiten erforderlich sind. Im Folgenden finden Sie zehn Fragen, die Sie sich jetzt stellen sollten, bevor ein Kunde oder Vorgesetzter sie Ihnen vorwegnimmt.
Zehn Fragen zu Ihrem AML-Stack
1. Kann Ihr Produkt einen lückenlosen Prüfpfad für eine einzelne Kundenentscheidung erstellen?
Die Anforderung besteht in einem einzigen abrufbaren Datensatz, der jeden Schritt, jede herangezogene Datenquelle und jede getroffene Entscheidung – vom anfänglichen Onboarding bis hin zur laufenden Überwachung – in chronologischer Reihenfolge miteinander verknüpft und nachvollziehbar darstellt. Sollten Ihre Screening-Ergebnisse und Ihre Überwachungsergebnisse in getrennten Systemen gespeichert sein, die nicht reibungslos miteinander kommunizieren, stellt dies eine Lücke dar, die den Aufsichtsbehörden auffallen wird.
2. Entspricht Ihre KYC- und CDD-Logik einem einheitlichen Standard, oder haben sich im Laufe der Jahre länderspezifische Abweichungen eingeschlichen?
Die meisten AML-Produkte, die im Rahmen der bisherigen Richtlinie entwickelt wurden, enthalten im Laufe der Zeit landesspezifische Abläufe, da dies für die nationale Umsetzung erforderlich war. Die AMLR ersetzt all dies durch einen einheitlichen Standard. Sollte Ihre Onboarding-Logik je nach Land so verzweigt sein, dass für denselben Kundentyp unterschiedliche Nachweisketten entstehen, wird diese Inkonsistenz in einem harmonisierten Rahmen sichtbar werden.
3. Unterstützt Ihr Produkt eine fortlaufende KYC-Prüfung, oder wird die Ersterfassung als das wichtigste Compliance-Ereignis betrachtet?
Das AMLR erfordert eine kontinuierliche Überwachung, bei der das Kundenrisiko planmäßig aktualisiert wird und bei Änderungen entsprechend reagiert wird. Wenn Ihr Produkt darauf ausgelegt war, die Kundenaufnahme als primären Compliance-Zeitpunkt zu betrachten, stellt die Einführung einer fortlaufenden KYC-Prüfung keine bloße Funktionserweiterung dar. Sie wirkt sich auf Ihr Datenmodell, Ihre Verarbeitungsinfrastruktur und darauf aus, wie nahtlos Kundendatensätze plattformübergreifend miteinander verknüpft sind.
4. Kann Ihr Transaktionsüberwachungssystem erklären, warum eine bestimmte Transaktion als verdächtig markiert wurde?
Eine statische, ausschließlich auf Regeln basierende Überwachung wird von den Aufsichtsbehörden zunehmend als unzureichend angesehen. Die AMLR setzt auf risikobasierte Bewertung und KI-gestützte Erkennung, wobei die Ergebnisse nachvollziehbar und überprüfbar sein müssen. Ein Überwachungssystem, das Transaktionen ohne nachvollziehbare Begründung kennzeichnet, wird einer genauen Prüfung unterzogen werden – ebenso wie das dahinterstehende Produkt.
5. Ist Ihre Sanktions- und PEP-Prüfung mit Ihrem Onboarding- und Überwachungsprozess verknüpft, oder wird sie separat durchgeführt?
Die AMLR-Richtlinie verknüpft Sorgfaltspflichten und Sanktionsverpflichtungen miteinander. Eine Überprüfung, die isoliert von der Kundenaufnahme und der laufenden Überwachung stattfindet, führt zu einem fragmentierten Prüfpfad, der für die Aufsichtsbehörden schwer nachvollziehbar ist. Nach dem neuen Standard stellt diese Trennung keine geringfügige Lücke dar.
6. Spiegelt Ihr Datenmodell den von der AMLR aktualisierten Schwellenwert für die wirtschaftliche Eigentümerschaft von 25 % wider?
Gemäß den AMLR-Vorschriften wird die Schwelle für die Identifizierung des wirtschaftlich Berechtigten (UBO) auf 25 % oder mehr angehoben, wobei damit strengere Anforderungen an die Überprüfung verbunden sind. Ihr Datenmodell und Ihre Prüflogik müssen diesen Schwellenwert klar widerspiegeln. Bei Produkten, die unter Berücksichtigung dieser Flexibilität entwickelt wurden, handelt es sich um eine unkomplizierte Aktualisierung. Bei Produkten, bei denen dies nicht der Fall ist, ist der Aufwand für die Überarbeitung größer, als es auf den ersten Blick erscheint.
7. Kann Ihr Produkt die Daten abrufen, die einer Compliance-Entscheidung zugrunde liegen, und zwar fünf Jahre nach deren Fassung?
Die fünfjährige Aufbewahrungspflicht ist eine Anforderung der AMLR. Die Aufbewahrung ist der einfache Teil, während der Abruf schwieriger ist. Die Frage ist, ob Ihre Datenarchitektur es ermöglicht, auf Anfrage eines Vorgesetzten schnell einen vollständigen Entscheidungsdatensatz abzurufen, ohne dass eine manuelle Rekonstruktion über verschiedene Systeme hinweg erforderlich ist.
8. Erzeugt Ihr Produkt eine Dokumentation, die einen vertretbaren risikobasierten Ansatz untermauert, und nicht nur die Compliance-Ergebnisse selbst?
Die AMLR verlangt von Unternehmen, dass sie neben der eigentlichen Umsetzung auch einen dokumentierten risikobasierten Ansatz zur Bekämpfung der Geldwäsche nachweisen. Ein Produkt, das zwar konforme Ergebnisse liefert, es seinen Kunden jedoch überlässt, ihre Methodik separat zu dokumentieren, schafft eine Lücke, die im Rahmen der Aufsicht sichtbar wird. Die Dokumentation, die einen vertretbaren risikobasierten Ansatz untermauert, sollte direkt aus dem System hervorgehen und nicht manuell um das System herum zusammengestellt werden.
9. Kann Ihr Produkt auch neu in den Geltungsbereich fallende Unternehmen bedienen, oder wurde es ausschließlich für traditionelle Finanzinstitute entwickelt?
Die AMLR erweitert den Kreis der verpflichteten Unternehmen um Anbieter von Krypto-Asset-Dienstleistungen, Crowdfunding-Vermittler und Händler von hochwertigen Gütern wie Edelmetallen. Falls einer Ihrer Kunden in eine dieser neu verpflichteten Kategorien fällt, muss Ihr Produkt möglicherweise Compliance-Abläufe bewältigen, für die es ursprünglich nicht konzipiert wurde. Das sollten Sie wissen, bevor diese Kunden nachfragen.
10. Wenn einer Ihrer Kunden morgen einen Kontrollbesuch erhalten würde, könnte Ihr Produkt dann alles Notwendige bereitstellen, ohne dass Ihr Entwicklungsteam eingreifen müsste?
Darauf laufen in der Praxis alle anderen Fragen hinaus. Bei der Einhaltung der AMLR-Vorschriften geht es darum, dass Daten so organisiert, vernetzt und abrufbar sind, wie es die Aufsichtsbehörden erwarten. Ohne dies wird jede behördliche Anfrage zu einem internen technischen Projekt.
Wo soll man anfangen?
Bevor Sie mit der Entwicklung beginnen, sollten Sie sich vergewissern, dass Sie genau wissen, wo Ihr aktueller Stack tatsächlich steht:
1. Ermitteln Sie Ihre Wissenslücken. Gehen Sie die oben genannten zehn Fragen anhand Ihrer tatsächlichen Architektur durch. Wo unterbricht sich der Prüfpfad zwischen den Modulen? Spiegelt Ihr Datenmodell den aktualisierten UBO-Schwellenwert wider? Enthält Ihre KYC-Logik noch immer länderspezifische Abweichungen aus der Zeit der Richtlinie? Produktteams stoßen in dieser Phase häufig auf Lücken, mit denen sie nicht gerechnet hatten.
2. Priorisieren Sie nach regulatorischem Risiko. Nicht jede Lücke hat das gleiche Gewicht. Die Vollständigkeit des Prüfpfads und die Datenherkunft sind die Aspekte, auf die die Aufsichtsbehörden als Erstes achten werden. Ordnen Sie die Arbeiten nach regulatorischer Priorität und nicht nach technischer Zweckmäßigkeit.
3. Starten Sie die Zuordnung nun. Angesichts des realistischen Zeitrahmens von 12 bis 18 Monaten ist das Zeitfenster äußerst eng. Da der Juli 2027 in weniger als einem Jahr bevorsteht, haben Teams, die unverzüglich mit der Bestandsaufnahme beginnen, noch immer eine realistische Chance, die Anforderungen zu erfüllen.
Wie viel Zeit Ihnen tatsächlich zur Verfügung steht
Der 10. Juli 2027 ist näher, als es den Anschein hat.
Die AMLA hat am 1. Juli 2025 ihre Arbeit aufgenommen und wird ab 2028 die direkte Aufsicht über die grenzüberschreitend tätigen Institute mit dem höchsten Risiko übernehmen. Die Frist des EU-KI-Gesetzes für KI-Systeme mit hohem Risiko, einschließlich Geldwäschebekämpfung und Betrugsaufdeckung, läuft im Dezember 2027 ab, fünf Monate nach der AMLR. Falls Ihr Produkt in den Anwendungsbereich beider Vorschriften fällt, überschneiden sich die technischen Arbeiten erheblich. Wenn Sie jetzt beginnen, können Sie beide Anforderungen in einem einheitlichen Programm angehen, anstatt zwei aufeinanderfolgende Programme unter zunehmendem Zeitdruck durchführen zu müssen.
Dreamix entwickelt und integriert AML-Systeme für RegTech-Anbieter und Finanzinstitute – KYC, Screening, Überwachung und FIU-Meldungen ohne den Betriebsbeeinträchtigungen. Möchten Sie eine von Ingenieuren durchgeführte Überprüfung Ihres AML-Stacks hinsichtlich der AMLR-Anforderungen?
