/geldwaesche-aml-kyc:gwg-risikoanalyse
Zweck
Der Skill erzeugt das Grundgerüst einer dokumentierten Risikoanalyse nach § 5 GwG, ordnet Risikofaktoren den vier Pflichtkategorien (Kunde, Produkt / Dienstleistung, Vertriebsweg, geografisches Risiko) zu und leitet daraus das Sorgfaltspflichtenniveau (§§ 10, 14, 15 GwG) ab. Er stellt sicher, dass die Analyse die Supranationale Risikoanalyse der EU-Kommission und die Nationale Risikoanalyse des BMF berücksichtigt und mindestens jährlich oder anlassbezogen aktualisiert wird.
⚠️ Aktualität (Stand 2026-07): Rechtsgrundlage der Risikoanalyse ist weiterhin § 5 GwG. Das EU-AML-Paket löst das GwG nicht heute, sondern zum 10.07.2027 ab — der Übergang gehört jedoch bereits jetzt in die Analyse und in den Aktualisierungsanlass:
- AMLA (VO (EU) 2024/1620) ist seit dem 01.07.2025 in Frankfurt am Main operativ. Sie wird ausgewählte Verpflichtete unmittelbar beaufsichtigen und koordiniert im Übrigen die nationalen Aufsichtsbehörden.
- AMLR (VO (EU) 2024/1624) gilt ab 10.07.2027 als unmittelbar anwendbares Single Rulebook — ohne nationales Umsetzungsgesetz.
- AMLD6 (RL (EU) 2024/1640): Umsetzungsfrist für Art. 11–13, 15 (Register wirtschaftlich Berechtigter) am 10.07.2026 abgelaufen; allgemeine Umsetzungsfrist 10.07.2027.
- Der Großteil der AMLA-Level-2-/Level-3-Maßnahmen war zum 10.07.2026 fällig; rund 23 RTS/ITS und Leitlinien stehen noch aus — darunter Konkretisierungen zu Risikobewertung und Risikofaktoren.
- EU-weite Bargeldobergrenze 10.000 EUR, Mitgliedstaaten dürfen niedrigere Grenzen setzen — relevant für die Risikokategorie „Produkt/Dienstleistung" bei bargeldintensivem Geschäft.
[unverifiziert - prüfen]Konsequenz für diesen Skill: Der bevorstehende AMLR-Wechsel ist ein anlassbezogener Aktualisierungsgrund iSd § 5 II GwG. Die Analyse ist so zu strukturieren, dass sie zum 10.07.2027 auf die AMLR umgehängt werden kann (siehe Schritt 7a).
Eingaben
- Verpflichteten-Typ nach § 2 GwG (Kreditinstitut, Finanzdienstleister, Versicherer, Vermögensverwalter, RA / StB / Notar, Güterhändler ab Schwelle, Immobilienmakler, Edelmetall- / Kunsthändler, Glücksspielanbieter, Krypto-Verwahrer)
- Geschäftsmodell (Produktportfolio, Kundengruppen, Vertriebskanäle, geografische Reichweite)
- bestehende Risikoanalyse (falls vorhanden, mit Datum und letzter Aktualisierung)
- aufsichtsrechtlicher Rahmen (BaFin / Zoll / Landesaufsicht)
- besondere Vorfälle seit letzter Analyse (Verdachtsmeldungen, Prüfungsfeststellungen, Sanktionsverfahren)
Sub-Agent-Architektur
Researcher liefert § 5 GwG mit Bezug zu § 4 (risikobasierter Ansatz) und § 6 (interne Sicherungsmaßnahmen), Supranationale + Nationale Risikoanalyse, BaFin- und FIU-Auslegungshinweise sowie Kommentarstellen. Drafter erstellt das Risikoanalyse-Dokument mit Methodik, Risikofaktoren-Matrix, Risikoklassen und Ableitung des Pflichtenniveaus. Reviewer prüft Vollständigkeit der vier Kategorien, Dokumentationsdichte, Aktualisierungsturnus und Anbindung an § 6 GwG-Sicherungsmaßnahmen.
Ablauf
1. Verpflichteten-Eigenschaft
Vor Beginn klären, welche Nummer des § 2 I GwG einschlägig ist — der Pflichtenumfang variiert (z. B. § 2 I Nr. 1: Kreditinstitute; Nr. 10: RA / StB / Notare nur bei Katalogtätigkeiten; Nr. 14: Güterhändler erst ab Bargeldschwelle iSv § 4 V GwG). Bei mehrfacher Einstufung gilt das jeweils strengere Pflichtenregime.
2. Methodik der Risikoanalyse (§ 5 GwG)
Die Risikoanalyse muss schriftlich vorliegen, nachvollziehbar sein, und die Methodenwahl dokumentieren. Üblich:
- qualitative Bewertung pro Risikofaktor (niedrig / normal / hoch)
- quantitative Gewichtung (z. B. Scorecard)
- aggregierte Risikoklasse je Geschäftsbeziehung / Transaktion
Maßstab und Mindestinhalt: Herzog, GwG, X. Aufl. Jahr, § 5 Rn. 1 ff. [unverifiziert – Auflage prüfen]; BaFin, Auslegungs- und Anwendungshinweise zum GwG, Allgemeiner Teil.
3. Externe Quellen einbeziehen
- Supranationale Risikoanalyse der EU-Kommission (Art. 6 RL (EU) 2015/849, alle zwei Jahre)
- Nationale Risikoanalyse (NRA) des BMF (zuletzt aktualisiert; konkrete Ausgabe
[unverifiziert – Stand prüfen]) - Sektorale Risikoanalysen der zuständigen Aufsicht (BaFin für Banken / Versicherer / FDI; Landes-RAK / StBK / Notarkammer; Zoll-FIU; Glücksspielbehörde)
- EU-Liste der Hochrisikoländer (delegierte VO der KOM nach Art. 9 RL 2015/849)
- FATF-Empfehlungen und FATF-Länderlisten
4. Vier Risikokategorien (§ 5 I GwG)
| Kategorie | Beispielindikatoren (nicht abschließend) |
|---|---|
| Kunde | natürliche / juristische Person; Branche; PEP-Eigenschaft § 1 XII GwG; Nominee-Strukturen; bargeldintensives Geschäft; Bestandskunde vs. Neukunde |
| Produkt / Dienstleistung | Produkte mit Anonymitätspotenzial (Inhaberinstrumente, E-Geld, Krypto), grenzüberschreitende Zahlungen, Korrespondenzbank-Beziehungen, Trade Finance |
| Vertriebsweg | Präsenz-Onboarding vs. Fernidentifizierung (Videoident, eID); Vermittler / Tippgeber; nicht regulierte Intermediäre |
| Geografisches Risiko | EU-Hochrisikoländer-Liste; FATF-Listen; Offshore-Zentren; Sanktionsländer (UN, EU, OFAC); Korruptionsindex (TI CPI) |
5. Risikoklassen und Pflichtenniveau
| Risikoklasse | Pflichtenniveau | Norm |
|---|---|---|
| niedrig (mit nachgewiesener Begründung) | vereinfachte Sorgfalt | § 14 GwG |
| normal | allgemeine Sorgfalt | § 10 GwG |
| hoch (PEP, Hochrisikoland, komplexe Struktur, ungewöhnliches Transaktionsverhalten) | verstärkte Sorgfalt | § 15 GwG |
Die Zuordnung darf nicht pauschal sein — jede Klasse ist auf den konkreten Geschäftsvorgang anzuwenden.
6. Anbindung an § 6 GwG (interne Sicherungsmaßnahmen)
Die Risikoanalyse muss in konkrete Sicherungsmaßnahmen münden: Verfahren zur Kundenannahme, Monitoring, Mitarbeiterzuverlässigkeit, Schulung, GW-Beauftragter (§ 7 GwG, bei Kreditinstituten + Stellvertreter, MaRisk AT 4.4.3). Ohne diese Anbindung ist die Risikoanalyse formal unvollständig.
7. Aktualisierung
Mindestens jährlich und anlassbezogen (neue Produkte, neue Märkte, geänderte Aufsichtsleitlinien, neue NRA / SNRA, sichtbare Veränderung des Bedrohungsbildes). Aktualisierungen sind zu dokumentieren mit Datum, Anlass und Verantwortlichem.
7a. Vorbereitung auf AMLR, AMLA und AMLD6
Der Übergang auf das EU-AML-Paket ist kein künftiges Thema, sondern ein anlassbezogener Aktualisierungsgrund nach § 5 II GwG. Vier Arbeitsstränge gehören in die Analyse und in den Maßnahmenplan:
a) Gap-Mapping der bestehenden GwG-Verfahren auf die AMLR (Stichtag 10.07.2027). Jede in der Risikoanalyse verankerte Pflicht wird auf die entsprechende AMLR-Vorschrift abgebildet und eingeordnet als deckungsgleich, verschärft (Prozess- und IT-Vorlauf einplanen) oder entfallend/abweichend. Wichtig: Die AMLR ist vollharmonisierend — nationale Zusatzanforderungen, die heute selbstverständlich sind, lassen sich nicht ohne Weiteres fortschreiben. Das Mapping ist zu dokumentieren und mit Zuständigkeiten und Terminen zu versehen.
b) UBO-Daten an der 25-%-Schwelle ausrichten. Die Umsetzungsfrist der Register-Vorschriften (AMLD6 Art. 11–13, 15) ist am 10.07.2026 abgelaufen. Die Analyse muss die Datenqualität zu wirtschaftlich Berechtigten als eigenen Risikofaktor der Kategorie „Kunde" abbilden — insbesondere bei mehrstufigen und grenzüberschreitenden Beteiligungsketten.
c) AMLA-Level-2-Pipeline überwachen. Rund 23 technische Standards und Leitlinien sind noch offen; sie konkretisieren gerade die Risikobewertung. In der Risikoanalyse ist ein Verantwortlicher für das Monitoring zu benennen, und Festlegungen, die von noch ausstehenden Standards abhängen, sind als vorläufig zu kennzeichnen.
d) Auswahl zur direkten AMLA-Aufsicht prüfen. Verpflichtete mit grenzüberschreitender Tätigkeit und erhöhtem Risikoprofil können unmittelbar der AMLA unterstellt werden. Die Selbsteinschätzung („Kommen wir in Betracht?") gehört in die Risikoanalyse; folgt daraus ein realistischer Kandidatenstatus, sind Dokumentationstiefe, Datenqualität und Ansprechstellen entsprechend zu heben. Auswahlkriterien und Zeitplan sind an der AMLA-Verordnung und den AMLA-Veröffentlichungen zu verifizieren. [unverifiziert - prüfen]
8. Bußgeldrisiko
Pflichtverletzung iSv § 5 GwG ist Ordnungswidrigkeit nach § 56 I Nr. 6 GwG [unverifiziert – konkrete Nr. prüfen]. Bußgeldrahmen bei vorsätzlichen Verstößen bis 1 Mio. EUR bzw. 10 % des jährlichen Gesamtumsatzes (§ 56 III GwG).
Quellen und Zitierweise
Verbindlich: ../../../references/zitierweise.md.
Statute
- § 4 GwG (risikobasierter Ansatz)
- § 5 GwG (Risikoanalyse)
- § 6 GwG (interne Sicherungsmaßnahmen)
- § 7 GwG (Geldwäschebeauftragter)
- §§ 10, 14, 15 GwG (Pflichtenniveau)
- § 56 GwG (Bußgelder)
- Art. 6, 7, 8 RL (EU) 2015/849 (Risikobewertungspflichten)
- VO (EU) 2024/1624 (AMLR — Single Rulebook) — unmittelbar anwendbar ab 10.07.2027; Vorschriften zur Risikobewertung, zu Sorgfaltspflichten und zur EU-weiten Bargeldobergrenze von 10.000 EUR. Konkrete Artikelzuordnung am Verordnungstext verifizieren
[unverifiziert - prüfen] - RL (EU) 2024/1640 (AMLD6) — Art. 11–13, 15 (Register wirtschaftlich Berechtigter) Umsetzungsfrist 10.07.2026; allgemeine Umsetzungsfrist 10.07.2027
- VO (EU) 2024/1620 (AMLA-Verordnung) — AMLA seit 01.07.2025 in Frankfurt am Main operativ; direkte Aufsicht über ausgewählte Verpflichtete, Level-2-/Level-3-Rechtsetzung
Verwaltungsvorschriften
- BaFin, Auslegungs- und Anwendungshinweise zum GwG, Allgemeiner Teil und Besonderer Teil Kreditinstitute
- FIU-Auslegungs- und Anwendungshinweise (für Nichtfinanzsektor)
- BMF, Nationale Risikoanalyse
[unverifiziert – aktuellen Stand prüfen] - EU-Kommission, Supranational Risk Assessment, COM(2022) 554 final
[unverifiziert – aktuelle Ausgabe prüfen] - MaRisk (AT 4.4.3 Compliance-Funktion, BT 5 GW-Prävention)
Kommentare
- Herzog, GwG, X. Aufl. Jahr, § 5 Rn. 1 ff.
[unverifiziert – Auflage prüfen] - Bülte, GwG, § 5 Rn. 1 ff.
[unverifiziert] - Kreitmair, GwG, § 5 Rn. 1 ff.
[unverifiziert] - Quedenfeld, Handbuch Bekämpfung Geldwäsche und Wirtschaftskriminalität, X. Aufl., Kap. zu Risikomanagement
[unverifiziert]
Rechtsprechung ([unverifiziert – prüfen in juris])
- Bußgeld-Rspr. zu § 56 GwG (Aufsichts- und Verwaltungsgerichte, vereinzelt KG / OLG) — konkrete Aktenzeichen sind im Modellwissen nicht zuverlässig erinnerbar; in juris mit Suchstring „GwG Risikoanalyse Bußgeld" recherchieren.
Ausgabeformat
RISIKOANALYSE — § 5 GwG Verpflichteter: <Firma / Kanzlei>, § 2 I Nr. <…> GwG Stand: <Datum> Verantwortlich: <Name GW-Beauftragter> Letzte Aktualisierung: <Datum> Nächste Wiedervorlage: <Datum + 12 Monate> I. Methodik - Bewertungslogik (qualitativ / quantitativ / Scorecard) - Berücksichtigte externe Quellen (SNRA, NRA, BaFin-AuA, FATF) II. Risikofaktoren 1. Kunde - <Faktor> → Bewertung (niedrig / normal / hoch) → Begründung 2. Produkt / Dienstleistung 3. Vertriebsweg 4. Geografisches Risiko III. Risikoklassen und Pflichtenniveau - niedrig → § 14 GwG (vereinfachte Sorgfalt) - normal → § 10 GwG - hoch → § 15 GwG (verstärkte Sorgfalt) IV. Interne Sicherungsmaßnahmen § 6 GwG - Kundenannahme, Monitoring, Mitarbeiterschulung, GW-Beauftragter V. Aktualisierungsregime - jährlich + anlassbezogen V-a. Übergang EU-AML-Paket - Gap-Mapping GwG → AMLR (Stichtag 10.07.2027): <Stand, Verantwortlicher, Termin> - UBO-Datenqualität / 25-%-Schwelle (AMLD6 Art. 11–13, 15; Frist 10.07.2026): <…> - AMLA-Level-2-Pipeline (offene RTS/ITS/Leitlinien): <Monitoring-Verantwortlicher> - Kandidat für direkte AMLA-Aufsicht? <ja / nein / offen — Begründung> VI. Risiken / offene Punkte 🟢 / 🟡 / 🔴 <Einstufung mit Begründung> VII. Quellenverzeichnis
Beispiel (Auszug, Gutachtenstil)
III. Risikoklassen und Pflichtenniveau
Die Geschäftsbeziehung zu einer in Deutschland ansässigen mittelständischen GmbH ohne PEP-Bezug und ohne Hochrisikoland-Bezug fällt nach den unter II. zusammengetragenen Indikatoren in die Risikoklasse „normal". Anwendbar ist daher § 10 I GwG (allgemeine Sorgfaltspflichten: Identifizierung des Vertragspartners, Abklärung des wirtschaftlich Berechtigten gem. §§ 10 I Nr. 2, 11 V GwG, Klärung von Zweck und angestrebter Art der Geschäftsbeziehung, kontinuierliche Überwachung). Eine vereinfachte Sorgfalt nach § 14 GwG kommt nicht in Betracht, weil eine nachgewiesen niedrige Risikolage iSd § 14 I GwG nicht belegt ist; das pauschale Argument „inländischer Mittelstand" trägt nicht (vgl. Herzog, GwG, § 14 Rn. 12 ff.
[unverifiziert]).
Risiken / typische Fehler
- Risikoanalyse als „Schubladendokument" ohne Anbindung an konkrete Sicherungsmaßnahmen (§ 6 GwG) — formaler Verstoß, Bußgeldrisiko nach § 56 GwG.
- Pauschale Einstufung „niedriges Risiko" ohne Begründung der vereinfachten Sorgfalt § 14 GwG — Aufsicht und FIU-AuA verlangen Einzelfallbegründung.
- PEP-Status unbeachtet — § 1 XII GwG erfasst auch ausländische und nationale Amtsträger sowie Angehörige; ohne strukturierte PEP-Abfrage ist § 15 III GwG verletzt.
- Keine Aktualisierung seit > 12 Monaten oder trotz neuer NRA / EU-Hochrisikoliste — verletzt § 5 II GwG.
- GW-Beauftragter ohne Stellvertreter bei Verpflichteten mit entsprechender Pflicht (§ 7 GwG iVm Branchenspezifik) — MaRisk-Verstoß bei Kreditinstituten.
- AMLR-/AMLA-Übergang ignoriert — ab 10.07.2027 greifen die vollharmonisierten Pflichten der AMLR unmittelbar. Wer das Gap-Mapping erst 2027 beginnt, hat für IT- und Prozessanpassungen keinen Vorlauf mehr.
- AMLR bereits heute als Prüfungsmaßstab verwendet — bis zum 10.07.2027 ist § 5 GwG die Rechtsgrundlage der Risikoanalyse. Eine auf die AMLR gestützte Analyse ist derzeit aufsichtsrechtlich unbrauchbar.
- Auf ein nationales AMLR-Umsetzungsgesetz gewartet — die AMLR ist eine Verordnung und gilt unmittelbar; nur die AMLD6 wird national umgesetzt.
- Vollharmonisierung unterschätzt — nationale Zusatzanforderungen aus dem GwG lassen sich unter der AMLR nicht ohne Weiteres fortschreiben. Das Gap-Mapping muss auch entfallende Pflichten ausweisen, nicht nur Lücken.
- UBO-Datenqualität nicht als Risikofaktor abgebildet — die AMLD6-Frist für die Register-Vorschriften (Art. 11–13, 15) ist am 10.07.2026 abgelaufen; lückenhafte Ketten oberhalb der 25-%-Schwelle sind ein typischer Prüfungsbefund.
- Noch offene AMLA-Level-2-Standards als final behandelt — rund 23 RTS/ITS und Leitlinien stehen aus; darauf gestützte Festlegungen sind als vorläufig zu kennzeichnen und mit einem Monitoring-Verantwortlichen zu versehen.
- Direkte AMLA-Aufsicht nicht selbst eingeschätzt — die AMLA (seit 01.07.2025 in Frankfurt operativ) beaufsichtigt ausgewählte Verpflichtete unmittelbar; die Selbsteinschätzung gehört in die Risikoanalyse.
