Regulatorischer Druck durch die BaFin: Warum regulierte Institute ihre KYC-Operations auslagern

Die Bundesanstalt für Finanzdienstleistungsaufsicht hat den Druck auf Kreditinstitute, Finanzdienstleister und ZAG-Institute in den vergangenen Jahren deutlich erhöht. Vor allem die Kundensorgfaltspflichten nach dem Geldwäschegesetz stehen im Fokus der Aufsicht. Lückenhafte Prozesse bei der Identifizierung und Überwachung von Kunden tauchen bei Sonderprüfungen regelmäßig als Beanstandung auf. Für Vorstände und Compliance-Verantwortliche heißt das: Jede neue Vorgabe verlangt eine revisionssichere Einbindung in bestehende Abläufe, ohne das Tagesgeschäft auszubremsen. Zugleich steht der größte Umbau des Geldwäscherechts seit Jahren bevor: Ab dem 10.07.2027 gilt die EU-Geldwäscheverordnung (AMLR) unmittelbar und tritt an die Stelle weiter Teile des Geldwäschegesetzes. Die neue EU-Behörde AMLA hat die ersten technischen Standards dazu bereits fertiggestellt. Bei Verstößen drohen Bußgelder oder aufsichtsrechtliche Maßnahmen, die bis hin zum Entzug der Geschäftserlaubnis reichen.

Rechtsstand: 20.10.2026

Was KYC für regulierte Institute bedeutet

Know Your Customer beschreibt die Gesamtheit der Kundensorgfaltspflichten, die das Geldwäschegesetz und das Kreditwesengesetz vorschreiben. Dazu zählen die Identifizierung von Vertragspartnern und wirtschaftlich Berechtigten, der Abgleich mit dem Transparenzregister, die Einstufung in Risikoklassen und die fortlaufende Überwachung jeder Geschäftsbeziehung. Sämtliche Schritte verlangen eine lückenlose Dokumentation, die bei einer Prüfung jederzeit nachvollziehbar vorliegen muss. Ab dem 10.07.2027 ergeben sich diese Pflichten unmittelbar aus Kapitel III der EU-Geldwäscheverordnung (AMLR). Art. 20 AMLR fasst sie zusammen: Kunden und wirtschaftlich Berechtigte identifizieren und ihre Identität überprüfen, Zweck und Art der Geschäftsbeziehung bewerten, prüfen, ob gezielte finanzielle Sanktionen bestehen, und die Geschäftsbeziehung laufend überwachen.

Bei komplexen Firmenkundenstrukturen mit mehreren Beteiligungsebenen vervielfacht sich dieser Aufwand. Jede Ebene erfordert eine gesonderte Prüfung. Genau deshalb greifen zahlreiche Institute inzwischen auf externe Unterstützung zurück. S+P Compliance Services etwa übernimmt die KYC Operations vom digitalen Onboarding über Register- und Screeningprüfungen bis zur fristgerechten Aktualisierung des Kundenbestands prüfungssicher und orientiert sich dabei strikt an den Mindestanforderungen der BaFin und den künftigen Vorgaben der AMLR.

Digitales Onboarding: schneller für Kunden, sicherer für das Institut

Ein gut gestalteter digitaler Onboarding-Prozess führt Kunden ohne Medienbruch durch alle Pflichtschritte und erzeugt dabei automatisch die Nachweise, die Prüfer sehen wollen. Bewährt hat sich folgender Ablauf:

• Schritt 1 – Antrag und Datenerfassung: Der Kunde gibt seine Daten einmal in einer geführten Online-Strecke ein. Bei Firmenkunden werden Angaben aus Handels- und Transparenzregister vorbefüllt, sodass nur noch Lücken zu ergänzen sind.
• Schritt 2 – Identitätsprüfung: Heute stehen dafür unter anderem die Online-Ausweisfunktion (§ 12 Abs. 1 Nr. 2 GwG), die Videoidentifizierung nach dem BaFin-Rundschreiben 3/2017 (GW) und die qualifizierte elektronische Signatur zur Verfügung. Ab dem 10.07.2027 erlaubt Art. 22 Abs. 6 AMLR die Überprüfung mit elektronischen Identifizierungsmitteln der Vertrauensniveaus „substanziell“ oder „hoch“ oder mit qualifizierten Vertrauensdiensten. Hinzu kommt die EU-Brieftasche für die Digitale Identität (EUDI-Wallet): Die Mitgliedstaaten müssen sie bis Ende 2026 bereitstellen, Banken müssen sie auf Wunsch des Kunden nach derzeitiger Berechnung spätestens Ende Dezember 2027 akzeptieren (Art. 5f Abs. 2 der Verordnung (EU) Nr. 910/2014 in der Fassung der Verordnung (EU) 2024/1183).
• Schritt 3 – Wirtschaftlich Berechtigte: Beteiligungsketten werden aus Registerdaten und Kundenangaben aufgebaut und über alle Ebenen durchgerechnet; maßgeblich ist künftig eine Beteiligung von 25 % oder mehr. Nach dem finalen Entwurf der AMLA-Standards genügt der Registerauszug allein nicht, er ist mit Angaben des Kunden oder anderen verlässlichen Quellen abzugleichen. Unstimmigkeiten werden an das Transparenzregister gemeldet.
• Schritt 4 – Screening: Kunde, Vertreter und wirtschaftlich Berechtigte werden gegen Sanktionslisten geprüft und auf einen Status als politisch exponierte Person untersucht. Treffer werden vorbewertet und mit Begründung zur Entscheidung vorgelegt.
• Schritt 5 – Risikoeinstufung und Freigabe: Ein regelbasiertes Scoring schlägt die Risikoklasse vor. Die Entscheidung über das Risikoprofil und über die Aufnahme der Geschäftsbeziehung trifft das Institut selbst; diese Aufgaben dürfen nach Art. 18 Abs. 3 AMLR nicht ausgelagert werden.
• Schritt 6 – Dokumentation und Wiedervorlage: Jeder Prüfschritt wird mit Zeitstempel, Quelle und Bearbeiter gespeichert. Das System setzt automatisch die Wiedervorlage: spätestens nach einem Jahr bei erhöhtem Risiko, spätestens nach fünf Jahren bei allen übrigen Kunden (Art. 26 Abs. 2 AMLR).

Mehr Kundenzufriedenheit: Kunden erhalten einen Prozess, der rund um die Uhr verfügbar ist, Daten nur einmal abfragt und den Bearbeitungsstand transparent macht. Nachforderungen werden gezielt und gebündelt gestellt statt in mehreren Schleifen. Gerade bei Firmenkunden mit mehrstufigen Strukturen verkürzt das die Zeit bis zur Kontoeröffnung spürbar und vermeidet Rückfragen im Tagesgeschäft.

Höhere Sicherheit bei der AMLR-Erfüllung: Strukturierte Daten statt eingescannter Formulare, feste Prüfregeln und ein lückenloser Prüfpfad machen jede Entscheidung nachvollziehbar. Fristen für Aktualisierungen werden nicht mehr übersehen, und die künftigen AMLA-Standards zu Datenfeldern, Prüfquellen und Fernidentifizierung lassen sich als Regelwerk im System hinterlegen, statt sie in jedem Einzelfall manuell umzusetzen.

Die Top-Themen 2026/2027 im Überblick

Bis zum Geltungsbeginn der AMLR bleiben Geldwäschegesetz und BaFin-Auslegungshinweise maßgeblich. Die folgenden Änderungen sollten Institute aber schon jetzt einplanen:

• AMLR gilt ab 10.07.2027 unmittelbar in allen Mitgliedstaaten (Art. 90 AMLR). Bis zum selben Tag ist die 6. Geldwäscherichtlinie (EU) 2024/1640 grundsätzlich in nationales Recht umzusetzen.
• Compliance-Manager im Vorstand: Ein Mitglied des Leitungsorgans wird ausdrücklich für die Einhaltung der Geldwäschevorschriften verantwortlich und muss für ausreichende personelle und sachliche Ressourcen sorgen (Art. 11 Abs. 1 AMLR).
• Feste Aktualisierungsfristen: Kundendaten sind bei erhöhtem Risiko spätestens jährlich, bei allen übrigen Kunden spätestens nach fünf Jahren zu aktualisieren (Art. 26 Abs. 2 AMLR). Wer seinen Bestand bisher nur anlassbezogen aktualisiert, muss mit einem erheblichen Nachholbedarf rechnen.
• Wirtschaftlich Berechtigte: Maßgeblich ist künftig eine Beteiligung von 25 % oder mehr (Art. 52 Abs. 1 AMLR), bisher „mehr als 25 %“ (§ 3 Abs. 2 GwG). Indirekte Beteiligungen werden über alle Ebenen multipliziert und addiert.
• Barzahlungsobergrenze: Händler und Dienstleister dürfen Barzahlungen nur noch bis 10.000 Euro annehmen oder leisten (Art. 80 AMLR). Für die Überwachung von Firmenkunden mit hohem Bargeldaufkommen ist das ein neues Prüfkriterium.
• AMLA-Standards zur Sorgfaltspflicht: Die AMLA hat am 01.10.2026 den finalen Entwurf der technischen Regulierungsstandards nach Art. 28 Abs. 1 AMLR an die EU-Kommission übermittelt. Er regelt unter anderem die zu erhebenden Daten, zulässige Prüfquellen, die Fernidentifizierung, elektronische Identifizierungsmittel und die Prüfung politisch exponierter Personen. Verbindlich wird er erst mit Annahme durch die Kommission und Veröffentlichung im Amtsblatt.
• Direkte EU-Aufsicht: 2027 wählt die AMLA bis zu 40 grenzüberschreitend tätige Institute mit hohem Risikoprofil aus, die sie ab 2028 direkt beaufsichtigt. Für alle anderen bleibt die BaFin zuständig; die AMLA überwacht dann aber die nationalen Aufseher.
• Verdachtsmeldungen: Seit dem 01.03.2026 legt die GwG-Meldeverordnung Form und Pflichtangaben für Meldungen an die FIU verbindlich fest. Mit der AMLR werden Meldeformate künftig EU-weit vereinheitlicht.
• Nationale Begleitgesetzgebung: Das Bundesfinanzministerium hat am 03.03.2026 einen Gesetzentwurf vorgelegt, mit dem das Geldwäschegesetz überwiegend schon zum 01.01.2027 geändert werden soll, unter anderem beim Transparenzregister.
• Sanktionsprüfung im Zahlungsverkehr: Zahlungsdienstleister, die Echtzeitüberweisungen anbieten, müssen ihren Kundenbestand seit dem 09.01.2025 mindestens täglich gegen EU-Sanktionslisten prüfen (Verordnung (EU) 2024/886).

Welche Anforderungen stellt die BaFin an KYC Operations bei regulierten Instituten?

Die BaFin verlangt von regulierten Instituten eine lückenlose Kundensorgfaltspflicht über die gesamte Dauer jeder Geschäftsbeziehung. Laufendes Transaktions- und Sanktionsmonitoring gehört ebenso dazu wie eine revisionssichere Dokumentation sämtlicher Prüfschritte. Die Prozesse eines Instituts haben Auffälligkeiten zeitnah zu erkennen, ohne dass ein Bearbeitungsstau in der laufenden Kundenbetreuung entsteht.

Näher ausgeführt werden diese Vorgaben in den Auslegungs- und Anwendungshinweisen zum Geldwäschegesetz. Risikoklassifizierungen sind regelmäßig zu aktualisieren. Verdachtsfälle sind ohne Verzögerung an die Zentralstelle für Finanztransaktionsuntersuchungen zu melden. Die internen Kontrollsysteme eines Instituts sollten so gestaltet sein, dass Zuständigkeiten jederzeit klar zugeordnet bleiben.

Arbeitsanweisungen sollten deshalb schon jetzt jeder geltenden GwG-Pflicht die künftige AMLR-Norm zuordnen. So lässt sich die Umstellung zum 10.07.2027 ohne Bruch in den Abläufen vollziehen.

Wo Prüfer regelmäßig Mängel finden

Die Schwachstellen ähneln sich von Prüfung zu Prüfung. Risikoklassifizierungen weisen Lücken auf, Kundendaten werden verspätet aktualisiert und Eskalationswege bei verdächtigen Transaktionen fehlen oder sind unklar dokumentiert. Prüfer beanstanden außerdem häufig schlecht nachvollziehbare Entscheidungswege im Monitoring. Veraltete Risikoanalysen, die den tatsächlichen Geschäftsverlauf nicht mehr abbilden, fallen ebenfalls negativ auf. In einigen Fällen fehlt sogar ein nachvollziehbarer Vier-Augen-Prozess bei der Freigabe risikobehafteter Transaktionen. Mit den festen Aktualisierungsfristen der AMLR werden veraltete Kundendaten ab Juli 2027 zu einem unmittelbaren Rechtsverstoß.

Auslagerung als Antwort auf den Fachkräftemangel

Compliance-Teams in Banken und Finanzdienstleistungsinstituten arbeiten vielerorts unter Hochdruck. Fachkräfte für Geldwäscheprävention sind schwer zu finden. Stellen bleiben teilweise über Monate unbesetzt. Die regulatorischen Anforderungen werden dabei nicht weniger, im Gegenteil. Sonderprüfungen binden Personal, das an anderer Stelle dringend gebraucht wird.

Fusionen und Bestandsübertragungen verstärken den Druck zusätzlich. Je größer ein Haus wird, desto dringlicher werden einheitliche KYC-Prozesse. Unterschiedliche Altsysteme und Datenbestände lassen sich schließlich nicht über Nacht zusammenführen. Hinzu kommt die Datennachholung, die die Aktualisierungsfristen der AMLR in vielen Kundenbeständen auslösen werden.

Externe Partner bringen eingespielte Teams und standardisierte Abläufe mit. Das lässt sich deutlich schneller skalieren als ein interner Stellenaufbau. Gleichzeitig profitieren die Institute von erprobten Prüfroutinen, die sich bereits bei anderen Häusern bewährt haben.

Was ausgelagert werden darf – und was nicht

Nach geltendem Recht dürfen Institute interne Sicherungsmaßnahmen durch Dritte durchführen lassen, wenn sie dies vorher der Aufsichtsbehörde angezeigt haben (§ 6 Abs. 7 GwG). Kundensorgfaltspflichten können sie unter den Voraussetzungen von § 17 GwG durch Dritte ausführen lassen. Handelt es sich um eine wesentliche Auslagerung, gelten zusätzlich § 25b KWG und AT 9 MaRisk. Ab dem 10.07.2027 regelt Art. 18 AMLR die Auslagerung EU-weit einheitlich:

• Die Auslagerung ist der Aufsicht vor Beginn der Tätigkeit des Dienstleisters mitzuteilen (Art. 18 Abs. 1).
• Der Dienstleister gilt als Teil des Instituts; das Institut haftet in vollem Umfang für dessen Handlungen und Unterlassungen und muss der Aufsicht nachweisen können, dass es Vorgehen und Wirkung der ausgelagerten Tätigkeit versteht (Art. 18 Abs. 2).
• Nicht auslagerbar sind die Billigung der Risikobewertung und der internen Strategien und Kontrollen, die Entscheidung über das Risikoprofil eines Kunden, die Entscheidung über die Aufnahme einer Geschäftsbeziehung, Verdachtsmeldungen an die FIU (mit Ausnahme gruppeninterner Auslagerungen im selben Mitgliedstaat) sowie die Billigung der Kriterien zur Erkennung verdächtiger Transaktionen (Art. 18 Abs. 3).

Für die Praxis heißt das: Datenerhebung, Identitäts- und Dokumentenprüfung, Ermittlung wirtschaftlich Berechtigter, Screening, Vorbewertung von Treffern und Dokumentation lassen sich auslagern. Die abschließenden Risiko- und Annahmeentscheidungen und die Verdachtsmeldung bleiben im Institut. Gute Dienstleister bereiten diese Entscheidungen so vor, dass sie im Institut nachvollziehbar und schnell getroffen werden können.

Den richtigen Partner finden

Bei der Auswahl externer Unterstützung geht es um mehr als den Preis. Folgende Kriterien helfen bei der Orientierung:

• Nachweisbare Erfahrung mit BaFin-Prüfungen und aufsichtsrechtlichen Anforderungen
• Zertifizierungen im Bereich Geldwäscheprävention und Datenschutz
• Technische Schnittstellenkompetenz zu bestehenden Kernbanksystemen
• Transparente Berichtswege zwischen Dienstleister und interner Revision
• Prozesse und Verträge, die die Grenzen von Art. 18 Abs. 3 AMLR abbilden und Entscheidungen beim Institut belassen
• Erfahrung mit der Umstellung von GwG-Prozessen auf AMLR und AMLA-Standards

Die BaFin aktualisiert ihre Auslegungs- und Anwendungshinweise in unregelmäßigen Abständen. Ab 2027 kommen die technischen Standards und Leitlinien der AMLA hinzu. Ein Dienstleister, der regulatorische Änderungen zügig umsetzt und über einen festen Ansprechpartner verfügt, erleichtert die Zusammenarbeit mit der internen Revision erheblich.

Compliance lohnt sich strategisch

KYC ist längst kein reines Pflichtprogramm mehr. Institute, die ihre Prozesse vorausschauend aufstellen und bei Bedarf auf spezialisierte Partner setzen, senken regulatorische Risiken und schaffen intern Freiräume. In einem Aufsichtsumfeld, das stetig anspruchsvoller wird, zahlt sich diese Weitsicht aus. Wer die Umstellung auf die AMLR jetzt plant, vermeidet einen Umsetzungsstau im ersten Halbjahr 2027.

Quellen

• Verordnung (EU) 2024/1624 (AMLR), Art. 11, 18, 20, 22, 26, 28, 52, 80, 90
• Richtlinie (EU) 2024/1640 (6. Geldwäscherichtlinie)
• Verordnung (EU) 2024/1620 (AMLA-Verordnung)
• AMLA: Final Report – Draft RTS under Article 28(1) AMLR, 30.09.2026
• AMLA: Towards AMLA’s direct supervision (Explainer), 2026
• Geldwäschegesetz (GwG), §§ 3, 6, 12, 13, 17, 43
• BaFin: Rundschreiben 3/2017 (GW) – Videoidentifizierungsverfahren
• Verordnung (EU) Nr. 910/2014 (eIDAS) in der Fassung der Verordnung (EU) 2024/1183, Art. 5a und 5f
• AMLA: Factsheet on RTS on Customer Due Diligence under Article 28(1) AMLR, 2026
• GwG-Meldeverordnung vom 26.08.2025, BGBl. 2025 I Nr. 200, in Kraft seit 01.03.2026
• BaFin: Auslegungs- und Anwendungshinweise zum Geldwäschegesetz
• Bundesministerium der Finanzen: Referentenentwurf eines Gesetzes für mehr Gerechtigkeit durch die Stärkung der Zollverwaltung und die Bekämpfung der Finanzkriminalität, 03.03.2026
• Verordnung (EU) 2024/886 (Echtzeitüberweisungen)
• Kreditwesengesetz (KWG), § 25b; BaFin-Rundschreiben 06/2026 (BA) – MaRisk, AT 9

(exb)