Die wichtigsten Erkenntnisse
Nichtbank-Akteure werden in der neuen EU-Geldwäschereiverordnung ab dem 10. Juli 2027 ausdrücklich als Verpflichtete genannt. Nicht analog zu Banken, sondern namentlich.
Die AMLR unterscheidet sich qualitativ von allen bisherigen Richtlinien: eine Verordnung, keine nationale Umsetzung, eine neue Aufsichtsbehörde, die die Standards in allen 27 Mitgliedstaaten harmonisiert. Der Ansatz, der ausschließlich auf PDF-Anweisungen und E-Mails basiert, ist nicht mehr tragfähig, da die Aufsichtsbehörden für jeden Kunden eine strukturierte, abrufbare Compliance-Dokumentation erwarten werden – und keine nachträgliche Rekonstruktion anhand von E-Mail-Ketten.
Ein digital gestützter Onboarding-Prozess macht zukünftige Regeländerungen zu Konfigurationsaktualisierungen und nicht zu einer Neufassung von Verfahren. Der Aufbau einer solchen Architektur, die auf Automatisierung basiert und an Entscheidungspunkten menschliches Urteilsvermögen einbezieht, braucht Zeit. Unternehmen müssen sich jetzt entscheiden – oder unter Notfallbedingungen.
Wie Onboarding ohne integrierte Plattform aussieht und warum es funktioniert
Die meisten Nicht-Bank-Anbieter wickeln die Kundenanbindung nach wie vor genauso ab wie schon seit einem Jahrzehnt. Über ein Kundenportal oder einen E-Mail-Verlauf werden Dokumente gesammelt. Die Abteilungen Compliance, Kreditprüfung und Rechtsabteilung durchlaufen jeweils ihre eigenen Schritte. Ein erfahrener Analyst sorgt für die Koordination. Wenn diese Person verfügbar ist und den Prozess kennt, verläuft die Kundenaufnahme effizient. Ist sie jedoch im Urlaub, gerade erst eingestiegen oder mit mehreren Anträgen gleichzeitig beschäftigt, verlangsamt sich der Prozess oder kommt zum Stillstand.
Die Anpassung an regulatorische Änderungen folgt dem gleichen Muster. Eine neue AML-Richtlinie bedeutet ein neues Verfahren in Word, eine aktualisierte Checkliste und eine E-Mail an die zuständigen Personen, in der erklärt wird, was sich geändert hat. Compliance-Berater halten die Dokumente auf dem neuesten Stand – eine effektive Vorgehensweise, auf die sich viele Unternehmen verlassen. Das Problem ist nicht, ob das Verfahren aktuell ist. Es geht darum, ob seine Anwendung nachweisbar ist.
Kann Ihr Unternehmen heute bestätigen, dass jeder Analyst in jeder Kundenakte in den letzten zwölf Monaten dieselbe Version der Checkliste zur Überprüfung der wirtschaftlich berechtigten Personen (UBO) angewendet hat? Diese Frage – nicht „Haben wir die richtigen Verfahren?“, sondern „Können wir nachweisen, was in diesem konkreten Fall angewendet wurde?“ – ist entscheidend für das Prüfungsrisiko ab 2027.
Was die AMLR tatsächlich vorschreibt – und warum es sich hierbei nicht um „eine weitere Richtlinie“ handelt
Im Juli 2027 werden Nichtbank-Factoring-Unternehmen in ganz Europa gemäß einem neuen Rechtsrahmen zu verpflichteten Unternehmen – nicht in Anlehnung an das Bankwesen, nicht aufgrund nationaler Auslegung, sondern namentlich. Die Verordnung (EU) 2024/1624, die EU-Geldwäschebekämpfungsverordnung (AMLR), definiert den Begriff „Finanzinstitut“ unter Verweis auf Anhang I der CRD IV, in dem „Factoring mit oder ohne Rückgriff“ ausdrücklich aufgeführt ist. Die Verordnung gilt ab dem 10. Juli 2027 unmittelbar in allen 27 EU-Mitgliedstaaten.
Dies unterscheidet sich wesentlich von den früheren Richtlinien. AMLD4, AMLD5 und AMLD6 wurden jeweils in nationales Recht umgesetzt. Jeder Mitgliedstaat erarbeitete seine eigene Fassung mit einer eigenen Aufsichtsbehörde und eigenen Toleranzgrenzen hinsichtlich der praktischen Umsetzung der Vorschriften. Die AMLR ist eine Verordnung: identisch in allen EU-Mitgliedstaaten, anwendbar ohne nationale Anpassung und ohne Spielraum für lokale Auslegung.
Ab Januar 2028 beginnt die AMLA (die Geldwäschebekämpfungsbehörde mit Sitz in Frankfurt) mit der Harmonisierung der Aufsichtsstandards in allen Mitgliedstaaten. Die größten grenzüberschreitend tätigen Institute unterliegen der direkten Aufsicht der AMLA; alle anderen unterliegen der indirekten Aufsicht, wobei die nationalen Aufsichtsbehörden verpflichtet sind, die harmonisierten Standards der AMLA anzuwenden. Eine Aufsichtsbehörde, die diese Standards anwendet, wird „So machen wir das hier“ nicht als Erklärung akzeptieren. Sie akzeptiert einen dokumentierten Prozess mit einem abrufbaren Protokoll.
Zwei weitere Fristen fallen in denselben 18-monatigen Zeitraum. Bis Dezember 2027 müssen Finanzinstitute in der Lage sein, das EUDI-Wallet, den digitalen Identitätsnachweis der EU, als gültige Methode für die KYC-Prüfung wirtschaftlicher Eigentümer zu akzeptieren. Für ein Unternehmen, das seit einem Jahrzehnt tätig ist, stellt dies eine größere operative Herausforderung dar als die Aufnahme neuer Kunden und unterliegt denselben Anforderungen an die Nachprüfbarkeit.
Optimierung der Architektur einer Anwendung, mit der täglich über 20 Millionen Rechnungen verarbeitet werden können
Lesen Sie die FallstudieWarum es diesmal nicht ausreichen wird, die Checkliste zu aktualisieren
Die übliche Vorgehensweise bei einer neuen AML-Richtlinie besteht darin, das Verfahren zu aktualisieren und das Team zu unterrichten. Das hat bei zwei Richtlinienrunden funktioniert. Bei den aktuellen Anforderungen der AMLR wird es jedoch nicht funktionieren.
Eine neue Checkliste ist der richtige Ausgangspunkt. Das Problem ist jedoch, dass sich dadurch nichts daran ändert, wie der Analyst seine Erkenntnisse dokumentiert, welche Entscheidung er getroffen hat oder welche Regel er angewendet hat. Ein Berater kann das Verfahrensdokument zwar effektiv aktualisieren, doch niemand kann nachweisbar bestätigen, dass die Aktualisierung in jedem einzelnen Fall umgesetzt wurde.
Wenn ein Vorgesetzter eine Kundenakte von vor drei Monaten hervorholt, lautet die Frage: Zeigen Sie mir, was hier passiert ist. Eine nachträglich zusammengestellte Dokumentation in E-Mail-Verläufen reicht einem Vorgesetzten, der harmonisierte EU-Standards anwendet, nicht aus. Die fünfjährige Aufbewahrungspflicht gemäß AMLR ist keine Archivierungspflicht; sie basiert auf der Annahme, dass eine strukturierte Aufzeichnung existiert und vorgelegt werden kann.
Sowohl die AMLR- als auch die AMLA-Aufsichtstätigkeiten laufen auf dieselbe Prozessanforderung hinaus: nicht ein Verfahren, das beschreibt, was geschehen sollte, sondern ein System, das aufzeichnet, was tatsächlich geschehen ist.
So sieht ein strukturierter Onboarding-Workflow aus
Die Architektur, die diese Anforderung erfüllt, ist nicht neu. Es handelt sich um die systematische Anwendung von Automatisierung und strukturierter Datenerfassung auf einen Prozess, der derzeit auf menschliches Urteilsvermögen und die Koordination per E-Mail angewiesen ist. Nicht jedes Unternehmen muss alle diese Maßnahmen umsetzen. Der richtige Umfang hängt von der Größe, dem Volumen und davon ab, wo der aktuelle Prozess das größte Compliance-Risiko birgt.
Bevor die Datei eine Person erreicht, wird die Vollständigkeit automatisch geprüft. Wenn ein Kunde im Rahmen des Onboarding-Verfahrens Dokumente einreicht, überprüft ein automatisierter Prozess die Vollständigkeit, bevor ein Analyst die Datei öffnet: Sind alle für diesen Unternehmenstyp erforderlichen Dokumente vorhanden, liegen die Außenstände innerhalb des vorgeschriebenen Zeitraums, sind die Formate kompatibel? Bei unvollständigen Einreichungen erfolgt innerhalb weniger Minuten eine konkrete Rückmeldung. Die Dokumentenanforderungen sind in einer konfigurierbaren Anleitung hinterlegt. Wenn sich die Anforderungen ändern, setzt das System die Aktualisierung automatisch durch. Die Einhaltung der Vorschriften hängt nicht mehr davon ab, dass jeder Analyst die neueste Version gelesen und angewendet hat.
Datenextraktion – der Analyst überprüft die Beurteilung, nicht die Informationen. Strukturierte Daten werden automatisch aus den vom Kunden eingereichten Dokumenten extrahiert: Registrierungsdaten, die Kette der wirtschaftlichen Eigentümer oberhalb des geltenden Schwellenwerts, Finanzdaten. Der Analyst erhält aufbereitete, strukturierte Ergebnisse statt eines Stapels von PDF-Dateien, die er durcharbeiten muss. Wenn sich beispielsweise durch eine regulatorische Änderung der Schwellenwert für den wirtschaftlichen Eigentümer (UBO) verschiebt, ändert sich ein Parameter in der Extraktionsanweisung.
Überprüfung des wirtschaftlichen Eigentümers über externe Register. Die extrahierten UBO-Daten werden automatisch an eine PEP- und Sanktionsdatenbank sowie an das zuständige nationale UBO-Register weitergeleitet. Die EU vernetzt die nationalen Register über das BORIS-System. Das Ergebnis wird strukturiert zurückgemeldet: bestätigt, Abweichung oder PEP-Übereinstimmung. Dies ist ein API-Aufruf, keine Aufgabe für den Analysten.
Weiterleitung auf den richtigen Pfad nach Regel, nicht nach Verfügbarkeit. Die zusammengestellte Fallakte wird automatisch an den entsprechenden Pfad weitergeleitet: Standard-CDD an einen Analysten der ersten Ebene; ein Kunde aus einer Hochrisikojurisdiktion an einen leitenden Compliance-Analysten; eine vermögende Privatperson an einen obligatorischen EDD-Pfad. Die Weiterleitungsregeln sind konfigurierbar. Die Änderung eines EDD-Auslösers erfordert keine Neugestaltung des Prozesses.
Die menschliche Entscheidung mit einer nachverfolgbaren Dokumentation. Der Analyst prüft einen vorbereiteten Fall: extrahierte Daten, Screening-Ergebnisse, Markierungen. Er trifft eine Entscheidung und dokumentiert diese mit einer Begründung. Gemäß AMLR ist diese Dokumentation vorgeschrieben. Das Prüfprotokoll enthält, was extrahiert wurde, welche Regeln angewendet wurden, wie der Analyst entschieden hat und warum. Aufbewahrungsfrist: fünf Jahre. Wenn ein Vorgesetzter die Dokumentation anfordert, wird sie abgerufen und nicht neu erstellt.
Was ändert sich im Jahr 2027 – und was bleibt gleich?
Der auffälligste Unterschied liegt darin, wie sich regulatorische Änderungen auswirken.
Wenn die EU-Kommission ein neues Land in die Liste der Hochrisikodrittländer aufnimmt – was mehrmals im Jahr geschieht –, reagiert der PDF- und E-Mail-Workflow: Der Berater aktualisiert das Verfahren, das Team erhält eine E-Mail. Die Anpassung ist innerhalb eines Tages erledigt. Das Problem tritt drei Monate später auf, wenn ein Vorgesetzter eine Kundenakte heranzieht, die in der Woche nach der Aktualisierung aufgenommen wurde: Der wirtschaftliche Eigentümer (UBO) des Kunden stammt aus diesem Land. Wurde eine erweiterte Sorgfaltsprüfung (EDD) durchgeführt? Die Antwort findet sich irgendwo in den Notizen des Analysten. Oder auch nicht. In einem strukturierten Workflow wird die Liste der Hochrisikoländer in der Konfiguration des Sachbearbeiters aktualisiert, Routing-Regeln lösen automatisch eine EDD für jeden nachfolgenden Fall aus, und in der Fallakte wird festgehalten, welche Regel wann angewendet wurde. Die gleiche Logik gilt für neue EDD-Auslöser und Änderungen der UBO-Schwellenwerte
Der Umfang der zu automatisierenden Prozesse variiert je nach Unternehmen. Manche Unternehmen streben eine durchgängige Automatisierung an; andere konzentrieren sich auf bestimmte Engpässe (Vollständigkeitsprüfung, UBO-Ermittlung, Sanktionsprüfung), während sie an anderer Stelle auf manuelle Schritte setzen. Der richtige Ausgangspunkt ist keine Entscheidung zur Systemarchitektur. Es ist eine ehrliche Einschätzung, an welchen Stellen Ihr aktueller Prozess einem Audit nicht standhalten würde: wo Aufzeichnungen fehlen, wo Regeln inkonsistent angewendet werden, wo Entscheidungen nicht nachvollziehbar sind. Investitionen in die Automatisierung an diesen Stellen liefern den schnellsten Ertrag hinsichtlich des Compliance-Risikos. Ein kleinerer Faktor kann denselben Standard der Nachprüfbarkeit erreichen wie ein größerer mit engerem Anwendungsbereich, vorausgesetzt, der Anwendungsbereich deckt die richtigen Schritte ab. Was sich nicht ändert, ist die Anforderung selbst. Jeder unter AMLR genannte Faktor muss in der Lage sein, eine strukturierte, nachverfolgbare Compliance-Dokumentation zu erstellen, unabhängig davon, wie stark der Prozess automatisiert ist.
Das Schwierige besteht nicht darin, ein System zu entwickeln, das die heutigen Anforderungen erfüllt. Es geht vielmehr darum, ein System zu entwickeln, das auch die nächste und die darauffolgende Anforderungsrunde bewältigt. Die AML/KYC-Vorschriften ändern sich häufig. Jede Änderung ist für sich genommen beherrschbar; erst die Summe der Änderungen führt zu kostspieligen Neuentwicklungen. Die richtige Architektur von Anfang an (modular, konfigurierbar, mit von den Kernprozessabläufen getrennter Compliance-Logik) entscheidet darüber, ob zukünftige regulatorische Aktualisierungen reine Konfigurationsaufgaben oder umfassende Neugestaltungsprojekte sind. Ein Anbieter mit Fachwissen im Bereich Compliance und Erfahrung in der Entwicklung KI-gesteuerter Workflows macht hier den entscheidenden Unterschied: nicht in der Technologie, sondern in den Designentscheidungen, die für Langlebigkeit sorgen.
Das Fenster
Ein Nicht-Bank-Faktor kann seine Verfahren aktualisieren, sein Compliance-Programm auf dem neuesten Stand halten und im Juli 2027 Kunden ohne technische Probleme einbinden. Zu zeigen, was in jedem einzelnen Fall geschehen ist, ist eine andere Aufgabe.
Ein Umsetzungsprojekt dieser Art – von der Entscheidung über die Lieferantenauswahl bis hin zur Implementierung, zum Testen und zur Inbetriebnahme – dauert neun bis zwölf Monate. Unternehmen, die sich jetzt entscheiden, haben Zeit für eine planmäßige Umsetzung vor Juli 2027. Unternehmen, die sich im ersten Quartal 2027 entscheiden, werden unter Notfallbedingungen implementieren müssen – parallel zu Verfahrensaktualisierungen und unter dem Zeitdruck der Aufsichtsbehörde.
Unternehmen, die diese Architektur jetzt aufbauen, sichern sich nicht nur die Bereitschaft für 2027. Sie sichern sich für jede nachfolgende Runde eine neue Anpassungsfähigkeit. Die nächste Runde steht bereits auf dem Kalender der AMLA.
Bewertung der KI-Bereitschaft
Verschaffen Sie sich einen klaren Überblick darüber, inwieweit Ihre Daten darauf vorbereitet sind, KI-Initiativen in Ihrem Unternehmen zu unterstützen und zu skalieren.
