EU-Geldwäschepaket: AMLR, AMLD6 und AMLA

Das EU-Geldwäschepaket verändert Pflichten und Zuständigkeiten. Die AMLR enthält unmittelbar anwendbare Anforderungen für Verpflichtete, während die AMLD6 nationale Umsetzung verlangt und die AMLA-Verordnung den europäischen Aufsichtsrahmen festlegt. Für die Vorbereitung im Institut müssen diese Rechtsakte mit ihren unterschiedlichen Anwendungsfristen zusammengeführt werden.

Was ist das EU-AML-Paket und was ändert sich 2027?

Das EU-AML-Paket besteht aus drei Kernrechtsakten, die 2024 im EU-Amtsblatt veröffentlicht wurden. Der erste und wichtigste für die operative Praxis ist die AMLR (Anti-Money Laundering Regulation), Verordnung (EU) 2024/1624 (EUR-Lex). Als EU-Verordnung gilt sie unmittelbar in allen Mitgliedstaaten, ohne nationalen Umsetzungsakt. Sie ist das sogenannte Single Rulebook der AML-Regulierung: einheitliche Pflichten zur Sorgfalt gegenüber Kunden (Customer Due Diligence, CDD), zur Ermittlung wirtschaftlich Berechtigter und zur internen Steuerung des Geldwäscherisikos. Die AMLR ist anwendbar ab dem 10.07.2027 (Art. 90 AMLR; für den Profifußball ab 10.07.2029); sie ersetzt weite Teile des deutschen Geldwäschegesetzes (GwG), soweit das GwG bisher die entsprechenden EU-Richtlinien umgesetzt hat.

Die Hauptumsetzungsfrist der AMLD6 endet am 10.07.2027. Für Art. 11, 12, 13 und 15 galt bereits der 10.07.2026. Die Frist zum 10.07.2029 betrifft Art. 18 zum Zugang zu Immobilieninformationen, nicht pauschal die Vernetzung von Bankkontenregistern. Richtlinie (EU) 2024/1640, Artikel 78

Die AMLA plant den Beginn ihrer direkten Aufsicht im Jahr 2028. Rechtlich beginnt die Aufsicht sechs Monate nach Veröffentlichung der Auswahlliste. Das erste Auswahlverfahren ist bis zum 01.07.2027 einzuleiten und binnen sechs Monaten abzuschließen; ein fester Beginn am 01.01.2028 steht nicht in Art. 13. Verordnung (EU) 2024/1620, Artikel 13 AMLA: Behörde und Zeitplan

Welche Fristen gelten? (Zeitstrahl bis 2029)

Die folgende Tabelle enthält alle wesentlichen Fristen des EU-AML-Pakets bis 2029 mit Fundstelle. Fristen aus dem nationalen Recht (GwG, GwG-MeldV, goAML) sind gesondert ausgewiesen.

Was macht die AMLA in Frankfurt?

Die Anti-Money Laundering Authority (AMLA) hat ihren Sitz in Frankfurt am Main (Art. 4 AMLA-VO (EU) 2024/1620, EUR-Lex) und nahm ihre Arbeit am 01.07.2025 auf (BMF). Die AMLA ist die erste sektorübergreifende EU-Aufsichtsbehörde im Bereich der Geldwäschebekämpfung.

Die AMLA plant den Beginn ihrer direkten Aufsicht im Jahr 2028. Rechtlich beginnt die Aufsicht sechs Monate nach Veröffentlichung der Auswahlliste. Das erste Auswahlverfahren ist bis zum 01.07.2027 einzuleiten und binnen sechs Monaten abzuschließen; ein fester Beginn am 01.01.2028 steht nicht in Art. 13. Für die erste Auswahl plant die AMLA mit 40 direkt beaufsichtigten Verpflichteten. Die Auswahlregeln des Art. 13 sind gesondert zu beachten; die Verordnung legt 40 nicht als ausnahmslose Höchstzahl fest. Verordnung (EU) 2024/1620, Artikel 13 AMLA: Behörde und Zeitplan

Über alle übrigen Verpflichteten wirkt die AMLA indirekt: Sie koordiniert die nationalen Aufsichtsbehörden. In Deutschland sind das unter anderem die BaFin sowie weitere Aufsichtsbehörden je nach Verpflichteten-Kategorie. Die AMLA verfügt über weitreichende Befugnisse, einschließlich der Verhängung von Geldbußen und Zwangsgeldern (Art. 5 Abs. 2 sowie Art. 21 bis 23 AMLA-VO, EUR-Lex).

Wer ist nach der AMLR verpflichtet?

Art. 3 AMLR bestimmt den Kreis der Verpflichteten. Er umfasst unter anderem Kredit- und Finanzinstitute sowie bestimmte berufliche Tätigkeiten. Die Pflichten für das eigene Institut sind anhand der jeweiligen Kategorie und der künftig anwendbaren EU- und nationalen Vorschriften zuzuordnen. Verordnung (EU) 2024/1624 (AMLR)

Wichtig für die Praxisüberleitung: Bestehende Verweise auf die frühere Vierte Geldwäscherichtlinie (RL (EU) 2015/849) in Verträgen, Satzungen oder Unternehmensrichtlinien gelten ab dem 10.07.2027 als Bezugnahmen auf die AMLR beziehungsweise die AMLD6, soweit die Entsprechungstabelle in Anhang VI der AMLR (Art. 89 AMLR) eine Zuordnung ausweist. Die Überprüfung bestehender interner Regelwerke auf veraltete Richtlinienverweise ist daher Teil der Vorbereitungsarbeiten.

Wer ist wirtschaftlich Berechtigter – heute und ab 2027?

Nach dem heute noch geltenden § 3 GwG (gesetze-im-internet.de) ist wirtschaftlich Berechtigter die natürliche Person, die unmittelbar oder mittelbar mehr als 25 Prozent der Kapitalanteile oder Stimmrechte hält oder auf vergleichbare Weise Kontrolle ausübt. Lässt sich kein wirtschaftlich Berechtigter ermitteln, gilt der gesetzliche Vertreter als fiktiver wirtschaftlich Berechtigter.

Ab dem 10.07.2027 gilt unmittelbar die AMLR-Definition. Art. 52 Abs. 1 AMLR definiert die relevante Eigentumsbeteiligung als direktes oder indirektes Eigentum von 25 Prozent oder mehr an dem juristischen Gebilde. Art. 53 Abs. 2 Buchst. c AMLR definiert "Kontrolle durch Eigentumsbeteiligung" als den Besitz von 50 Prozent zuzüglich eines Anteils. Für Kategorien juristischer Gebilde, die von den Mitgliedstaaten als hochriskant eingestuft werden, kann die Kommission per delegiertem Rechtsakt einen niedrigeren Schwellenwert festlegen, maximal jedoch 15 Prozent (Art. 52 Abs. 2 AMLR).

Für die praktische Umsetzung bedeutet die AMLR: Die Ermittlung und Verifizierung des wirtschaftlich Berechtigten darf nicht allein auf dem Transparenzregister beruhen. Registerangaben werden mit weiteren Informationen abgeglichen; erkannte Widersprüche müssen aufgeklärt werden. Diese Zusammenfassung ersetzt die Prüfung der einzelnen Sorgfaltspflichten nicht.

Wann muss eine Verdachtsmeldung an die FIU?

Die Pflicht zur Erstattung einer Verdachtsmeldung ergibt sich aus § 43 Abs. 1 GwG (gesetze-im-internet.de). Verdächtige Sachverhalte sind unverzüglich an die FIU (Zentralstelle für Finanztransaktionsuntersuchungen, angesiedelt beim Zoll) zu melden. Der Meldeweg ist goAML; seit dem 01.09.2025 ist die Zwei-Faktor-Authentisierung für goAML verpflichtend (FIU/Zoll, technischer Hinweis).

Seit dem 01.03.2026 sind bei Verdachtsmeldungen die Vorgaben der GwG-Meldeverordnung und die technischen Hinweise der FIU zu berücksichtigen. Formale Übermittlung und inhaltliche Erfüllung der Meldepflicht sind getrennt zu prüfen. FIU: technischer Hinweis zur GwG-Meldeverordnung

Wie oft müssen Kundendaten aktualisiert werden (KYC)?

Die BaFin-Auslegungs- und Anwendungshinweise (AuA) zum GwG wurden Anfang 2025 überarbeitet (gültig ab 02/2025, ergänzt 03/2025 unter anderem um Kryptowerte-Dienstleister; BaFin, Meldung vom 06.03.2025). Die AuA sehen eine risikobasierte Aktualisierungspflicht vor: Bei allgemeinem beziehungsweise mittlerem Risiko sind Kundendaten spätestens alle 5 Jahre zu aktualisieren; bei erhöhtem Risiko gilt eine Pflicht zur Aktualisierung mindestens jährlich. Die Aufbewahrungsfrist für Unterlagen beträgt 5 Jahre (§ 8 GwG, gesetze-im-internet.de).

Für die Identifizierung per Videoidentifizierungsverfahren gilt das BaFin-Rundschreiben 3/2017 (GW).

Gilt eine EU-weite Bargeldobergrenze?

Ja. Die AMLR legt erstmals eine EU-weit einheitliche Bargeldobergrenze fest. Art. 80 Abs. 1 der Verordnung (EU) 2024/1624 lautet im amtlichen Wortlaut:

Mitgliedstaaten dürfen niedrigere nationale Obergrenzen festlegen (Art. 80 Abs. 2 AMLR); bereits bestehende niedrigere Obergrenzen behalten ihre Gültigkeit (Art. 80 Abs. 3 AMLR). Von der 10.000-Euro-Grenze ausgenommen sind unter anderem Zahlungen zwischen nicht beruflich handelnden Privatpersonen sowie Zahlungen und Einlagen in den Räumlichkeiten von Kredit-, E-Geld- oder Zahlungsinstituten (Art. 80 Abs. 4 AMLR).

Was bleibt vom deutschen GwG?

Die AMLR gilt grundsätzlich ab dem 10.07.2027 unmittelbar. Nationale Vorschriften bleiben für die Bereiche relevant, die unionsrechtlich weiterhin national zu regeln sind. Bestehende Prozesse sind deshalb je Pflicht mit dem künftigen EU-Regelwerk und den deutschen Umsetzungsvorschriften abzugleichen. Verordnung (EU) 2024/1624 (AMLR) Richtlinie (EU) 2024/1640, Artikel 78

Die institutionelle Ebene, also die FIU, die nationalen Aufsichtsbehörden und die Transparenzregister, regelt nicht die AMLR, sondern die AMLD6 (EUR-Lex). Die AMLD6 bedarf der nationalen Umsetzung und lässt damit weiterhin Raum für nationales Recht.

Was heißt das für die Umsetzung im Institut?

Die operative Vorbereitung auf die AMLR lässt sich in vier Arbeitsbereiche gliedern, die sich unmittelbar aus der Verordnung ableiten:

1. 01Risikoanalyse und interne Strategie

   Art. 9 und 10 AMLR verpflichten zur Erstellung und laufenden Aktualisierung einer Risikoanalyse sowie zur Festlegung interner Strategien, Verfahren und Kontrollen. Diese Dokumente sind die Basis für sämtliche nachgelagerten Pflichten und müssen ab dem 10.07.2027 den Anforderungen der AMLR entsprechen.

2. 02CDD-Kette systematisch abbilden

   Die Customer Due Diligence regeln Art. 19, 20, 22, 23, 25 und 26 AMLR. Die Sorgfaltspflichten müssen prozessual verankert sein: von der Identifizierung über die Überprüfung bis zur laufenden Überwachung der Geschäftsbeziehung (Art. 26 AMLR). Die AMLR-Definition des wirtschaftlich Berechtigten tritt dabei an die Stelle von § 3 GwG.

3. 03Sanktionslisten-Screening verzahnen

   EU-Sanktionsverordnungen gelten unmittelbar; gescreent wird gegen die konsolidierte EU-Sanktionsliste (data.europa.eu). In Deutschland ist für Finanzsanktionen die Deutsche Bundesbank die zuständige Stelle (bundesbank.de). Das Screening ist vom GwG-Prozess getrennt zu steuern, muss aber organisatorisch verankert sein.

4. 04Organisatorische Verankerung prüfen

   Die organisatorischen Pflichten sind weiterhin im nationalen Recht verankert: Der Geldwäschebeauftragte nach § 7 GwG und die internen Sicherungsmaßnahmen nach § 25h KWG bleiben bis zur nationalen Anpassung des GwG verbindlich. Die Verantwortlichkeiten sollten dokumentiert und auf die ab 2027 unmittelbar geltenden AMLR-Pflichten ausgerichtet sein.

Verwandte Themen

• Regulatorik-Fahrplan: Wichtige Termine der Bankenregulierung 2026 bis 2028+ in Jahrestabellen, inklusive AMLR/AMLA.
• DORA-Verordnung (EU) 2022/2554: Parallele EU-Verordnung für digitale operationale Resilienz, seit dem 17.01.2025 anwendbar.
• MaRisk: aktuelle Fassung RS 06/2026: Abgrenzung MaRisk AT 9 zu DORA; MaRisk und GwG-Pflichten im Zusammenspiel.

Häufige Fragen zum EU-AML-Paket

Ein Angebot der T-NEX GmbH

Das Vorhaben mit T-NEX besprechen

Die Umsetzung neuer AML-Anforderungen verbindet Anforderungsarbeit, fachliche Prüfung und passende operative Werkzeuge. T-NEX Compliance unterstützt die Ableitung von Anforderungen; Fraud Detection bündelt Transaktionsauffälligkeiten zu prüfbaren Fällen. Der konkrete Umfang der Überwachung und des Meldeverfahrens wird gesondert festgelegt.