Was sich am 10. Juli 2027 ändert: die AMLR in zehn Pflichten

Am 10. Juli 2027 tritt die Verordnung (EU) 2024/1624, die Geldwäscheverordnung (AMLR), in jedem Mitgliedstaat in Anwendung. Anders als die Richtlinien, die sie ersetzt, muss sie nicht umgesetzt werden: Derselbe Text bindet eine Bank in Lissabon, ein Treuhandbüro in Amsterdam und einen Anbieter von Kryptowerte-Dienstleistungen in Vilnius. Das nationale Recht verschwindet nicht, aber es schrumpft auf das, was die Sechste Geldwäscherichtlinie (AMLD6) den Mitgliedstaaten überlässt: Aufsicht, die zentrale Meldestelle (FIU), Register und Sanktionen.

Die meisten Detailregeln werden noch geschrieben. AMLA, die neue Behörde zur Bekämpfung der Geldwäsche, arbeitet an den technischen Regulierungsstandards (RTS), den technischen Durchführungsstandards (ITS) und den Leitlinien, die die AMLR ausfüllen, und mehrere davon befinden sich in der Konsultation oder haben sie gerade abgeschlossen. Das ist kein Grund zu warten: Die nachstehenden Pflichten ergeben sich aus dem Level-1-Text selbst. Hier sind die zehn, die sich für einen Verpflichteten am stärksten ändern, mit dem zu lesenden Artikel und einem ersten Schritt.

1. Ein Compliance-Manager auf Leitungsebene (Artikel 11)

Die AMLR verlangt zwei Rollen. Ein Compliance-Manager ist ein Mitglied des Leitungsorgans, das für die Umsetzung der AMLR verantwortlich ist; ein Compliance-Beauftragter führt das tägliche Programm und berichtet dem Leitungsorgan mindestens einmal jährlich. Viele Unternehmen haben die zweite Rolle, aber nicht die erste. Der Compliance-Manager muss identifizierbar sein, muss das Mandat zum Handeln haben, und die Aufsichtsbehörden werden nach Belegen suchen, dass das Leitungsorgan die Berichte tatsächlich erhält und erörtert.

Erster Schritt: Benennen Sie den Compliance-Manager in den Governance-Dokumenten und setzen Sie einen jährlichen AML-Bericht auf den Kalender des Leitungsorgans.

2. Eine unternehmensweite Risikobewertung, die lebt (Artikel 10)

Die unternehmensweite Risikobewertung ist nicht länger ein Dokument, das einmal jährlich aufgefrischt wird. Sie muss dokumentiert, aktuell gehalten, dem Geschäft angemessen und für die Aufsichtsbehörde verfügbar sein, und sie steuert die Strategien, Verfahren und Kontrollen des Artikels 9. AMLA bereitet Leitlinien dazu vor; die Richtung ist eine Risikobewertung, die sich ändert, wenn sich das Geschäft ändert: ein neues Produkt, ein neues Land, ein neuer Vertriebskanal.

Erster Schritt: Ordnen Sie jedes Produkt, jeden Kundentyp, jedes Land und jeden Kanal der aktuellen Bewertung zu und notieren Sie, wo sie schweigt.

3. Sorgfaltspflichten gegenüber Kunden mit festem Datensatz (Artikel 19 bis 22)

Die AMLR legt fest, welche Identitätsdaten bei natürlichen und juristischen Personen erhoben werden müssen und wie sie überprüft werden dürfen, einschließlich durch elektronische Identifizierung und, mit der Zeit, die EU-Brieftasche für die Digitale Identität. Gelegentliche Transaktionen lösen oberhalb fester Schwellenwerte Sorgfaltspflichten aus. Die RTS zu den Sorgfaltspflichten gegenüber Kunden nach Artikel 28 werden die Quellen sowie die vereinfachten und verstärkten Maßnahmen konkretisieren; die EBA hat den Entwurf 2025 konsultiert, und AMLA stellt ihn fertig.

Erster Schritt: Vergleichen Sie die Felder in Ihren Onboarding-Formularen und Kernsystemen mit der Liste in Artikel 22.

4. Ein einheitlicher Schwellenwert für wirtschaftliches Eigentum (Artikel 51 bis 56)

Das Halten von 25 % oder mehr der Anteile oder Stimmrechte macht eine natürliche Person zum wirtschaftlichen Eigentümer, ebenso Kontrolle auf andere Weise. Mehrstufige Strukturen müssen durch jede Ebene hindurch nachverfolgt werden; kann nach Ausschöpfung aller angemessenen Mittel kein wirtschaftlicher Eigentümer ermittelt werden, werden die Führungskräfte der obersten Leitungsebene erfasst, mit Angabe des Grundes. Artikel 24 fügt die Pflicht hinzu, das Register einzusehen und Unstimmigkeiten zu melden.

Erster Schritt: Ermitteln Sie die Kunden, bei denen Ihr aktueller Schwellenwert oder Ihre Methode abweicht, und planen Sie eine Welle der erneuten Überprüfung.

5. Verstärkte Sorgfaltspflichten bei großem Privatvermögen (Artikel 34)

Kunden oder wirtschaftliche Eigentümer mit einem Vermögen von mindestens 50 Mio. EUR oder verwalteten Vermögenswerten von mindestens 5 Mio. EUR ziehen verstärkte Maßnahmen nach sich: Herkunft des Vermögens, Genehmigung durch die Geschäftsleitung und engere Überwachung. Korrespondenzbeziehungen mit Anbietern von Kryptowerte-Dienstleistungen (Artikel 37), Transaktionen mit selbst gehosteten Adressen (Artikel 38) und die von der Kommission ermittelten Drittländer mit hohem Risiko (Artikel 29) sind ebenfalls mit spezifischen verstärkten Maßnahmen verbunden.

Erster Schritt: Kennzeichnen Sie die Kunden, die die Vermögens- und Anlageschwellen erreichen; Private-Banking- und Wealth-Einheiten kennen sie in der Regel, markieren sie aber selten.

6. Politisch exponierte Personen zwölf Monate nach dem Ausscheiden aus dem Amt (Artikel 42 bis 45)

Die AMLR definiert die wichtigen öffentlichen Ämter, verpflichtet die Mitgliedstaaten und die EU-Institutionen zur Veröffentlichung entsprechender Listen und hält risikobasierte Maßnahmen für mindestens zwölf Monate nach dem Ausscheiden einer Person aus dem Amt aufrecht. Familienmitglieder und bekanntermaßen nahestehende Personen sind wie bisher erfasst.

Erster Schritt: Prüfen Sie, ob Ihr PEP-Screening eine zeitlich befristete Aufhebung des PEP-Status anstelle einer manuellen Entscheidung anwenden kann.

7. Sanktionsscreening als Teil der Sorgfaltspflichten (Artikel 27)

Die Überprüfung, ob ein Kunde oder wirtschaftlicher Eigentümer gezielten finanziellen Sanktionen der EU unterliegt, wird zu einer ausdrücklichen Sorgfaltsmaßnahme gegenüber Kunden, beim Onboarding und bei Änderung der Listen. Für die meisten Finanzinstitute ist dies bestehende Praxis; für freiberufliche Dienstleister und Güterhändler ist es oft neu.

Erster Schritt: Stellen Sie sicher, dass das Screening die wirtschaftlichen Eigentümer erfasst, nicht nur die Vertragspartei.

8. Meldung bei Verdacht, auf einer gemeinsamen Vorlage (Artikel 69 und die ITS)

Verpflichtete melden der FIU, wenn sie wissen, vermuten oder berechtigten Grund zu der Annahme haben, dass Geldwäsche oder Terrorismusfinanzierung vorliegt. Für niederländische Institute ersetzt dies das indikatorgesteuerte Modell der ungewöhnlichen Transaktionen des Wwft. Die ITS zur Meldevorlage werden das Format standardisieren; auf Indikatoren kalibrierte Transaktionsüberwachungsszenarien müssen auf Verdacht neu kalibriert werden.

Erster Schritt: Listen Sie die Szenarien und Typologien hinter Ihren aktuellen Meldungen auf und fragen Sie, welche davon einen Verdacht beschreiben.

9. Auslagerung und Rückgriff auf Dritte mit harten Grenzen (Artikel 18, 48 und 49)

Aufgaben dürfen ausgelagert werden, nicht jedoch die unternehmensweite Risikobewertung, die Compliance-Funktionen und Entscheidungen über verdächtige Transaktionen. Der Rückgriff auf die Sorgfaltsmaßnahmen eines anderen Verpflichteten bleibt möglich, wobei der zurückgreifende Verpflichtete die volle Verantwortung trägt. AMLA-Leitlinien zu beidem sind in Vorbereitung.

Erster Schritt: Erfassen Sie jede AML-Aufgabe, die von einem Gruppenunternehmen oder einem Dienstleister ausgeführt wird, und markieren Sie diejenigen, die die AMLR im Haus behält.

10. Bargeld, Aufzeichnungen und gruppenweite Regeln (Artikel 16, 17 und die Bargeldobergrenze)

Barzahlungen über 10.000 EUR sind für Händler von Gütern und Dienstleistungen verboten, wobei es den Mitgliedstaaten freisteht, eine niedrigere Grenze festzulegen. Aufzeichnungen müssen fünf Jahre lang aufbewahrt und anschließend gelöscht werden, im Ausgleich mit den Datenschutzregeln, die für KYC-Daten gelten. Mutterunternehmen müssen gruppenweite Strategien ausrollen, einschließlich des Informationsaustauschs innerhalb der Gruppe und zusätzlicher Maßnahmen, wenn ein Drittland diese nicht zulässt.

Erster Schritt: Wenn Sie Güter gegen Bargeld verkaufen, entscheiden Sie jetzt, wie Sie Bargeld oberhalb der Grenze ablehnen werden; wenn Sie eine Gruppe sind, entscheiden Sie, welche Gruppenstrategien für jedes Unternehmen verbindlich werden.

Was jetzt zu tun ist

• Lesen Sie den Level-1-Text für Ihren Typ von Verpflichtetem; die oben genannten Artikel gelten unmittelbar und werden sich in den RTS und Leitlinien nicht ändern.
• Führen Sie eine Gap-Analyse anhand eines Frameworks durch, Block für Block, statt anhand einer Liste von Artikeln; das Dashboard von AMLR Monitor ordnet genau zu diesem Zweck jedes Instrument dem Compliance-Framework zu.
• Verfolgen Sie die Konsultationen. Die RTS zu den Sorgfaltspflichten gegenüber Kunden, die RTS zur Methodik der Risikobewertung und die Leitlinien zu Risikofaktoren werden die Details klären, auf die es am meisten ankommt; die Antwort auf eine Konsultation ist die letzte Gelegenheit, Einfluss zu nehmen.
• Planen Sie rückwärts vom 10. Juli 2027. Änderungen am Datenmodell, Wellen der erneuten Überprüfung und die Neukalibrierung von Szenarien dauern Quartale, nicht Wochen.

AMLR Monitor verfolgt den Status jedes hier genannten Instruments, mit Quellenlinks und erwarteten Terminen, und sein Arbeitsbereich macht aus dem Framework einen Readiness-Tracker für Ihre Organisation.