AMLR tritt 2027 in Kraft und Einheitliches Geldwäscherecht für Institute

Was sich ändert

Ab dem 10. Juli 2027 wird die EU-Geldwäscheverordnung (AMLR) unmittelbar geltendes Recht und ersetzt weite Teile des nationalen Geldwäschegesetzes. Damit entsteht ein einheitliches Regelwerk für alle Verpflichteten in der EU, das bisherige Flickenteppich aus 27 nationalen Umsetzungen beseitigt. Die Verordnung verankert feste Aktualisierungszyklen für Kundendaten: grundsätzlich alle fünf Jahre, bei erhöhtem Risiko jährlich und zusätzlich anlassbezogen. Dadurch rückt das Konzept des perpetual KYC in den Fokus, bei dem Kundendaten laufend gepflegt werden statt nur bei der Neuanlage oder periodischen Prüfungen. Zusätzlich verpflichten technische Standards zu einem einheitlichen Sanktionsscreening und regeln die Auslagerung von KYC-Prozessen erstmals verbindlich.

Die neue EU-Behörde AMLA hat seit 1. Juli 2025 ihre operative Arbeit aufgenommen und wird ab 1. Januar 2028 die direkte Aufsicht über bis zu 40 ausgewählte grenzüberschreitend tätige Institute ausüben. Die Auswahl erfolgt bereits 2027. Für die Institute bedeutet das, dass sie nicht nur nationale Aufsichtsbehörden, sondern auch eine zentrale EU-Stelle im Blick behalten müssen. Die Vorbereitungsphase läuft bereits 2026, in der die Institute den Stand ihrer Systeme anhand von AMLA-Fragebögen und dem Datenpiloten bewerten sollen. Ziel ist eine frühzeitige Angleichung an die technischen Standards, damit der Stichtag 2027 nicht zu einem Sprint führt.

Was es kostet

Die Quelle veröffentlicht keine konkreten Zahlen zu den erwarteten Kosten der Umstellung auf die AMLR. Dennoch lässt sich der Kostenmechanismus ableiten: Institute müssen ihre IT-Systeme anpassen, um kontinuierliche Datenaktualisierungen, automatisierte Sanktionsscreenings und die Nachweisbarkeit von Auslagerungsarrangements zu ermöglichen. Dazu gehören Lizenzkosten für Monitoring-Tools, éventuelle Erweiterungen von Datenbanken sowie eventuelle Anschaffungen von Identifizierungslösungen für digitale Onboarding-Prozesse.

Zusätzlich entstehen Aufwendungen für externe Beratung bei der Gap-Analyse, für die Kalibrierung bestehender Systeme an die technischen Standards und für Schulungen der Mitarbeitenden. Auch der laufende Betrieb wird kostenintensiver, weil Datenbestände fortlaufend gepflegt und Qualitätssicherungsprozesse etabliert werden müssen. Diese laufenden Ausgaben zeigen sich in höheren Personalkosten für Compliance und IT sowie in erhöhten Ausgaben für Datenqualitätsmanagement.

Was dabei kaputtgeht

Die Umstellung von punktuellen KYC-Prüfungen auf ein perpétuelles Modell erfordert eine Migration der bestehenden Kundendatenbestände in Systeme, die Echtzeit- oder nahe-Echtzeit-Updates unterstützen. Dabei können Schnittstellen zu Legacy-Core-Banking-Systemen oder zu Drittanbieter-Plattformen angepasst oder ersetzt werden, was vorübergehende Ausfälle oder Leistungsreduktionen zur Folge haben kann. Insbesondere Institute, die stark auf Batch-Prozesse setzen, müssen ihre Abläufe überdenken.

Während der Umstellung können bestehende Schnittstellen zu Screening-Anbietern, zu Identifizierungsdienstleistern oder zu Outsourcing-Partner unterbrochen werden, bis die neuen Verbindungen stabil laufen. Dies erfordert sorgfältiges Testen und ggf. Parallelbetrieb, um den Geschäftsbetrieb nicht zu gefährden. Auch die Mitarbeitenden müssen geschult werden, um neue Arbeitsanweisungen für die kontinuierliche Datenpflege und das Umgang mit Auslöseereignissen zu befolgen, was vorübergehend Produktivitätseinbußen mit sich bringen kann.

Was ein Wechsel verlangt

Ein erfolgreicher Wechsel verlangt zunächst eine umfassende Gap-Analyse: Das bestehende KYC- und Monitoring-Setup wird gegen die Anforderungen der AMLR und die technischen Standards der AMLA abgeglichen. Auf Basis dieser Analyse wird ein Maßnahmenplan erstellt, der die notwendigen Systemanpassungen, Datenqualitätsinitiativen und Vertragsprüfungen priorisiert. Die Planung sollte bereits 2026 beginnen, um den Druck im Jahr 2027 zu vermeiden.

Die Umsetzung dauert typischerweise mehrere Monate bis über ein Jahr, abhängig von der Komplexität der IT-Landschaft und dem Umfang der notwendigen Änderungen. Dabei sind verschiedene interne Bereiche betroffen: der Chief Data Officer oder Datenverantwortliche leitet die Datenqualitätsinitiative, der Chief Risk Officer oder Compliance-Leiter überwacht die regulatorische Umsetzung, die IT-Abteilung führt die technischen Änderungen durch und der Vorstand bzw. die Geschäftsleitung freigibt die erforderlichen Budgets und Ressourcen. Ein frühzeitiger Entscheid über die Auswahl von Tools und eventuelle Auslagerungsarrangements ist entscheidend, um den Zeitplan einzuhalten.