Die Maßnahmen zur Bekämpfung von Geldwäsche in der gesamten Europäischen Union nähern sich mit der Einführung der AMLR immer stärker einer Harmonisierung. Doch was genau wird sich mit der neuen Verordnung ändern? Welche Organisationen fallen in ihren Anwendungsbereich, und wie viel Zeit haben sie, um sich auf die Einhaltung vorzubereiten? Dieser Artikel beantwortet diese und weitere Fragen.
Warum die AMLR existiert: Von fragmentierten Richtlinien zu einem einheitlichen EU-Regelwerk
Gesetze zur Bekämpfung von Geldwäsche sind in der Europäischen Union nichts Neues. Die erste entsprechende Richtlinie wurde 1991 veröffentlicht, und Stand 2026 folgen wir einer Kombination aus AMLD 4, 5 und 6.
Diese Richtlinien sollten die Maßnahmen zur Bekämpfung von Geldwäsche in den Mitgliedstaaten standardisieren und die Sicherheit des Finanzsektors gewährleisten.
Dennoch überlassen Richtlinien den lokalen Regierungen mehr Spielraum bei der Ausgestaltung, Umsetzung und Aufsicht, was wiederum zu einer fragmentierten Rechtslandschaft geführt hat und gelegentlich zu Lücken bei der Einhaltung oder zu Inkonsistenzen zwischen den Mitgliedstaaten führt.
Mit der Einführung einer einheitlichen AMLR werden diese Lücken geschlossen und die AML-Compliance in der EU harmonisiert. Als Verordnung gilt sie unmittelbar in allen Mitgliedstaaten und reduziert nationale Abweichungen.
Wann tritt die AMLR in Kraft?
Die Frist für die Einhaltung der AMLR ist der 10. Juli 2027. Alle Organisationen, die in den Anwendungsbereich der Verordnung fallen, müssen bis zu diesem Datum sichergestellt haben, dass ihre Produkte und Arbeitsabläufe dem neuen Standard entsprechen.
Neue Aufsicht: Lernen Sie die AMLA kennen
Die Verordnung wird von der Anti-Money Laundering Authority (AMLA) überwacht. Sie ist eine zentrale Aufsichtsbehörde, die eng mit den nationalen Aufsichtsbehörden zusammenarbeiten wird.
Dank der zentralen Autorität der AMLA wird es eine verstärkte Prüfung und eine einheitliche Durchsetzung in allen Ländern geben.
Infolgedessen werden Compliance-Teams wahrscheinlich Verbesserungen in Form von Folgendem sehen:
- strengere Erwartungen
- weniger Argumente der „lokalen Auslegung“
- mehr Druck für evidenzbasierte Kontrollen.
Wer ist von der AMLR betroffen?
Die Anti-Money Laundering Regulation gilt für eine Reihe regulierter Sektoren sowie für Branchen mit hochvolumigen Transaktionen. Die Liste umfasst unter anderem:
Traditionelle regulierte Finanzdienstleistungen
Unternehmen, die Finanzdienstleistungen anbieten und bisher in den Anwendungsbereich der AML-Richtlinien fielen, unterliegen der AMLR:
- Banken
- Zahlungsinstitute
- Fintechs
- Versicherungsunternehmen
- Investmentdienstleistungen
Krypto-Plattformen und digitale Handelsdienste
Krypto-Börsen und digitale Plattformen für den Finanzhandel werden im neuen Regime ausdrücklich genannt.
Luxussektoren und andere benannte nichtfinanzielle Unternehmen
Hochwertige und luxuriöse Sektoren mit hohen Transaktionswerten sind ebenfalls eingeschlossen. Zu dieser Kategorie gehören nicht nur gehobene Einzelhändler, sondern beispielsweise auch Organisationen wie Fußballvereine und Glücksspielplattformen.
Darüber hinaus fallen auch Rechtsanwender, Immobilienunternehmen und Trust-Service-Provider in den Anwendungsbereich der AMLR.
Nicht-EU-Unternehmen, die in der EU Geschäfte tätigen
Obwohl die AMLR eine europäische Verordnung ist, betrifft sie auch ausländische Unternehmen, sofern sie in der EU geschäftlich tätig sind. Dadurch wird sichergestellt, dass Gelder, die in die Union hinein- und aus ihr herausfließen, den neuen Standards zur Bekämpfung von Geldwäsche entsprechen.
AMLR-KYC-Anforderungen in der Praxis
Wie würde also der KYC-Prozess eines Unternehmens aussehen, sobald die Geldwäscheverordnung in Kraft tritt? Hier sind einige der wichtigsten Änderungen.
Informationen nach dem Need-to-know-Prinzip
Die Organisation muss eine gründliche Identitätsprüfung jedes Nutzers durchführen. Dennoch werden im Prozess nicht alle einzelnen Attribute erfasst. Es wird klare Vorgaben dazu geben, welche der erfassten Attribute verifiziert werden müssen.
Bei der Identifizierung natürlicher Personen gehören zu den erforderlichen Attributen:
- Name
- Geburtsdatum und Geburtsort
- Staatsangehörigkeit
- Identifikationsnummer
- Adressangaben
Wichtiger noch: Es gibt neue Vorgaben dazu, wie Kundendaten aktuell gehalten werden. Bei Hochrisikopersonen müssen Sie die Daten jedes Jahr aktualisieren. Bei Personen, bei denen Sie kein großes Risiko festgestellt haben, reicht es aus, die Kundendaten einmal innerhalb eines Fünfjahreszeitraums zu aktualisieren.
Onboarding-Pfade unter der AMLR
Mit dem Inkrafttreten der AMLR haben Organisationen weiterhin die Wahl, wie sie ihre KYC- und Onboarding-Prozesse gestalten. Die älteren Prüfungen von Ausweisdokumenten bleiben eine Option, aber es gibt eine klare Präferenz für eIDAS-first-Prozesse, unterstützt durch qualifizierte Vertrauensdienste und die kommende EUDI-Wallet.
Methode 1: Elektronische Identifizierung (bevorzugt)
Qualifizierte Vertrauensdienste gemäß der eIDAS-Verordnung, insbesondere die elektronische Identifizierung, stehen im AMLR-Zeitalter im Mittelpunkt. Da diese Dienste bereits nach den höchsten Standards in der EU konzipiert und geprüft sind, sind sie standardmäßig konform, verursachen die geringste Reibung und lassen keine Compliance-Lücken entstehen.
Unternehmen im Bankensektor sind sich bereits bewusst, dass die EBA eIDAS-Vertrauensdienste als primäre Richtung empfiehlt.
Die EUDI Wallet wird, sobald sie EU-Bürgern weithin zur Verfügung steht, ebenfalls in diese Kategorie fallen, da die Methoden der Attributerfassung und -bestätigung mit der Wallet ebenfalls eIDAS-kompatibel sind.
Methode 2: Identitätsdokumentbasierte Identifizierung (Fallback)
Als Backup-Flow können Organisationen weiterhin Prozesse beibehalten, die Kunden über Prüfungen von Identitätsdokumenten identifizieren. Dieser Weg ist besonders nützlich in Szenarien, in denen Bürger keine EUDI Wallet haben (da sie nicht verpflichtend sein wird) oder bis die Interoperabilität zwischen den Mitgliedstaaten vollständig sichergestellt ist.
Dennoch wird die Verifizierung von Ausweisdokumenten weithin als weniger sichere Methode angesehen und dürfte allmählich an Bedeutung verlieren.
In Ländern, die bereits einen hohen Digitalisierungsgrad aufweisen, z. B. den Niederlanden, Belgien, Dänemark und Norwegen, kann die Aufforderung nach einem Identitätsdokument statt nach eID sogar dem Ruf schaden, da Bürger eher Betrug vermuten.
ETSI 119 461 Identitätsprüfung
ETSI 119 461 bleibt die bevorzugte Grundlage für die Identitätsprüfung über verschiedene Methoden hinweg (Video, NFC-Auslesen, eIDAS-Szenarien). Die Ausrichtung Ihrer Prozesse an diesem Standard ermöglicht eine Zertifizierung und verringert das Risiko, dass Aufsichtsbehörden Sie bei Audits mit unerwarteten Anforderungen konfrontieren.
Die Rolle von eIDAS-Vertrauensdiensten im AMLR-KYC
Wenn es um die Einbindung von eIDAS-definierten Diensten in AMLR-konforme KYC-Prozesse geht, müssen Organisationen die Nutzung notifizierter eIDs/elektronischer Identifizierung, qualifizierter elektronischer Signaturen (QES) und qualifizierter elektronischer Bestätigungen von Attributen (QEAA) berücksichtigen.
eID
Für die Zwecke der AMLR-Compliance muss der KYC-Prozess auf elektronischer Identifizierung mit entweder substanzieller oder hoher Vertrauensstufe beruhen. Beachten Sie, dass das notifizierte eID-Schema von Evrotrust diese Stufen abdeckt. Auf den LOAs gilt die Identifizierung als mehr als zuverlässig.
QES beim Onboarding
In vielen Fällen kann QES nicht nur zum Signieren, sondern auch als Onboarding-/Identifizierungsmethode verwendet werden. Schließlich wurde bei der Ausstellung des qualifizierten Zertifikats, das das qualifizierte eSigning ermöglicht, die Identität des Nutzers bereits verifiziert. Jede Signatur mit QES erfordert eine Bestätigung, üblicherweise eine biometrische Prüfung, die sicherstellt, dass nur der rechtmäßige Inhaber der eSignature sie verwenden kann.
Mit der breiten Abdeckung von QTSPs in Europa sowie der bevorstehenden EUDI Wallet (die für Bürger eine kostenlose QES enthält) haben die meisten Menschen einfachen Zugang zu qualifizierten elektronischen Signaturen, selbst in Ländern, die noch keine nationale eID-App haben.
Zum Beispiel dauert mit Lösungen wie der mobilen App von Evrotrust die Ausstellung eines QES-Zertifikats nur etwa 2 Minuten und erfolgt vollständig aus der Ferne, ohne auf einen Video-Operator warten zu müssen. Dadurch ist die ferne QES von Evrotrust sehr zugänglich und kann für viele ein geeignetes Identifizierungsmittel sein. Evrotrust ist außerdem ein notifiziertes eID-Schema, vollständig an eIDAS ausgerichtet.
Bereit, eIDAS-qualifizierte Vertrauensdienste in Ihr Unternehmen zu integrieren? Kontaktieren Sie das Expertenteam von Evrotrust, um zu erfahren, wie unsere Lösungen Ihre Compliance-Anforderungen erfüllen können.
Qualifizierte elektronische Bestätigung von Attributen
QEAA ist ein Vertrauensdienst, bei dem eine Organisation vom Nutzer nur die benötigten Attribute anfordert, ohne Zugriff auf alle personenbezogenen Daten zu erhalten.
Zum Beispiel muss ein Online-Casino oder ein Online-Alkoholshop bestätigen, dass der Nutzer mindestens 18 Jahre alt ist. Sie können das Attribut „Alter“ verifizieren, ohne Zugriff auf die nationale PIN/Sozialversicherungsnummer, die Adresse oder andere für die Transaktion nicht erforderliche Angaben des Nutzers zu haben.
Wenn die EUDI Wallet verfügbar wird und eine Organisation bereits den KYC-Prozess mit einem Nutzer durchlaufen hat, kann sie außerdem eine Bestätigung ausstellen, die andere Organisationen wiederverwenden können, wenn sie eines oder mehrere dieser Attribute benötigen, ohne KYC von Grund auf neu durchzuführen.
AMLR-Herausforderungen und wie man sie überwindet
Natürlich gibt es mit der neuen Regulierung und dem Übergang zu einer stärkeren Abhängigkeit von eIDAS-Diensten einige mögliche Bereiche, in denen Unternehmen zunächst Schwierigkeiten haben können. Dazu gehören unter anderem verstreute Attribute, Probleme mit der Interoperabilität und eine uneinheitliche Einführung.
Fehlende Attribute
Je nachdem, wie der Dienst eingerichtet ist, kann es sein, dass die Identifizierung bestimmte Attribute an verschiedenen Stellen suchen muss.
Wenn sich beispielsweise eine Form von eID auf das Auslesen personenbezogener Daten über den NFC-Chip im Reisepass oder Personalausweis einer Person stützt, können einige Attribute fehlen, etwa die aktuelle Adresse (da diese möglicherweise nicht Teil des Ausweisdokuments ist).
Um solche Attributlücken zu umgehen, kann der ideale KYC-Prozess den Nutzer bitten, eine Kombination von Methoden zu verwenden, um sicherzustellen, dass alle erforderlichen Attribute berücksichtigt werden.
Interoperabilität der EUDI Wallet
Obwohl die Europäische Kommission die Anforderung festgelegt hat, dass alle digitalen Identitäts-Wallets der Mitgliedstaaten interoperabel sein werden, kann es hier und da zu technischen Problemen kommen. Da jede Wallet ihre eigene App mit eigenem Code ist, können selbst bei Entwicklung nach demselben Standard dennoch Missverständnisse auftreten, insbesondere in den frühen Phasen der Einführung der Wallet.
Institutionen müssen bereit sein, die Wallet jedes EU-Mitgliedstaats zu akzeptieren, und sich aktiv auf die Komplexität vorbereiten, die die Unterstützung von 27+ Wallets mit sich bringt.
Uneinheitliche Einführung
Digitale IDs und die EUDI Wallet bleiben für Bürger freiwillig. Daher können die Einführungsraten von einem Mitgliedstaat zum anderen variieren. Während die AMLR ein starker Anreiz ist, die Digitalisierung zu erhöhen, müssen Organisationen mit der Zurückhaltung mancher Nutzer rechnen, eIDs zu verwenden, und für alle Fälle zuverlässige Fallback-Methoden beibehalten.
Kombinationen aus Scans von Ausweisdokumenten und Liveness-Checks können weiterhin Bürgern dienen, die keine digitalen Identitäts-Wallets verwenden.
Fazit
Die neue Anti-Geldwäsche-Verordnung und die eIDAS-Organisation sind bereits miteinander vertraut und verstärken sich gegenseitig. Die AMLR verbessert die KYC-Standards und fördert eine stärkere Nutzung von eIDAS-Vertrauensdiensten wie notifizierten eID-Schemata, elektronischer Identifizierung, QES und der bevorstehenden EUDI Wallet.
Mitgliedstaaten, in denen die eID-Nutzung bereits hoch ist und in denen die Wallet voraussichtlich nahtlos passt, könnten besser auf die AMLR-Compliance vorbereitet sein. Staaten, die hinterherhinken, benötigen möglicherweise länger, bis die Einführungsraten steigen – Unternehmen aus solchen Mitgliedstaaten müssen möglicherweise Methoden zur Attributerfassung kombinieren, um die Compliance sicherzustellen.
Häufig gestellte Fragen
Was ist die EU-Geldwäscheverordnung?
Die AMLR ist eine neue, einheitliche Verordnung zur Bekämpfung von Geldwäsche, die die bestehenden AML-Richtlinien ersetzen wird. Sie tritt im Juli 2027 in Kraft und gilt für alle EU-Mitgliedstaaten.
Was passiert mit Dokumentenscans und Liveness-Prüfungen?
Die dokumentenbasierte Identifizierung als Teil des KYC-Prozesses bleibt unter der AMLR als Fallback bestehen, insbesondere wenn sie mit der Identitätsprüfung nach ETSI 119 461 abgestimmt ist.
Und was ist mit der Schweiz und Nutzern außerhalb der EU?
Die AMLR ist EU-Recht und gilt nicht für die Schweiz selbst. Allerdings würde die Identifizierung von Personen außerhalb der EU weiterhin erfordern, dass sich EU-Unternehmen und -Institutionen an die AMLR halten.
Wenn der Nutzer keine eID oder digitale Identitäts-Wallet verwenden kann, kann eine dokumentenbasierte Identifizierung oder eine QES genutzt werden. Reisepässe sind in diesen Abläufen möglicherweise das bevorzugte Ausweisdokument.
Was bedeutet „government-grade assurance“?
Der Begriff bezieht sich auf notifizierte eIDs und EUDI-Wallets auf vertrauenswürdigen Listen, die europaweit akzeptiert werden sollen. Diese staatlich gestützten Systeme bieten eine stärkere rechtliche Sicherheit und werden von Aufsichtsbehörden weniger wahrscheinlich abgelehnt als rein private Systeme.
![dsc01915[19]](https://evrotrust.com/de/wp-content/uploads/sites/9/2026/08/dsc0191519-1-1024x683.jpg)