AML: EBA veröffentlicht RTS Entwurf zum neuen EU-AML-Rahmenwerk

Das AML/CFT-System der Europäischen Union ist in die Umsetzungsphase eingetreten. Nach der Verabschiedung der EU-Geldwäscherichtlinie (AMLR (EU) 2024/1624), der 6. AML-Richtlinie (AMLD6 – Richtlinie (EU) 2024/1640) und der Einrichtung der Europäischen Behörde für die Bekämpfung der Geldwäsche (AMLA) hat die Europäische Bankenaufsichtsbehörde (EBA) nun die ersten detaillierten technischen Regulierungsstandards (RTS) vorgelegt, mit denen das neue Rahmenwerk in Kraft treten wird.

Diese RTS bilden das technische Rückgrat des einheitlichen AML-Regelwerks und standardisieren die Art und Weise, wie Finanzinstitute und andere verpflichtete Unternehmen Risiken bewerten, Kundenüberprüfungen (Customer Due Diligence, CDD) erfüllen, interne Kontrollen durchführen, Sanktionen verhängen und mit den Aufsichtsbehörden interagieren. Während die EBA von fünf wichtigsten RTS spricht, enthält das Paket tatsächlich sieben detaillierte RTS-Entwürfe, die jeweils bestimmten Artikeln der AMLR oder AMLD6 entsprechen.

Warum das wichtig ist: Diese Unterscheidung stellt sicher, dass die Verpflichtungen sowohl grundsätzlich risikobasiert als auch operativ detailliert sind, wodurch den Instituten klare Leitlinien an die Hand gegeben werden, während gleichzeitig in bestimmten Bereichen, wie z. B. der CDD, Flexibilität gewahrt bleibt, wo ein prinzipienbasierter Formulierungsstil operative Wahlmöglichkeiten offen lässt.

Aktuelle Situation: EBA legt erstes RTS-Paket vor

Am 31. Oktober 2025 legte die EBA der Europäischen Kommission ein umfassendes Paket mit fünf Entwürfen für technische Regulierungsstandards (RTS) zur Verabschiedung im Rahmen der AMLR und AMLD6 vor. Die RTS legen gemeinsam fest, wie Institute Risiken bewerten, Sorgfaltspflichten erfüllen, interne Kontrollen gestalten, restriktive Maßnahmen einhalten müssen und wie Aufsichtsbehörden, einschließlich der AMLA, ihre Aufsicht ausüben müssen.

Detaillierte Übersicht über den Entwurf der technischen Regulierungsstandards

1. Entwurf der technischen Regulierungsstandards zur Bewertung des inhärenten und verbleibenden Risikoprofils der meldepflichtigen Unternehmen (Artikel 40 Absatz 2 AMLD6)

Artikel 40 der AMLD6 verpflichtet die Aufsichtsbehörden, bei der AML/CFT-Aufsicht einen risikobasierten Ansatz anzuwenden, der sowohl das allgemeine Risiko des Mitgliedstaats als auch die spezifischen Risiken einzelner Institute berücksichtigt.
Um einen einheitlichen Ansatz zu ermöglichen, schlägt die EBA den Aufsichtsbehörden eine dreistufige Methodik vor:

Bewertung des inhärenten ML/TF-Risikos jedes verpflichteten Unternehmens auf der Grundlage von Faktoren wie Kundentypen, Produkten, Dienstleistungen und geografischer Exposition.

Bewertung der Qualität der zur Minderung dieser Risiken implementierten AML/CFT-Kontrollen, einschließlich Governance, Risikobewertung, Richtlinien, Verfahren und Gruppenaufsicht.

Ermittlung des verbleibenden ML/TF-Risikos durch Kombination des inhärenten Risikos und der Kontrollqualität in einem einzigen Risikoprofil.

Die RTS führen ein numerisches Bewertungssystem (1–4) zur Quantifizierung des inhärenten und des verbleibenden Risikos ein, das den Aufsichtsbehörden eine einheitliche Klassifizierung der Unternehmen ermöglicht. Das System stützt sich auf gewichtete Indikatoren (definiert in Anhang I, Abschnitte A und B der RTS), die es den Aufsichtsbehörden ermöglichen, sowohl quantitative Daten als auch qualitative Beurteilungen zu berücksichtigen.

Gemäß Artikel 5 müssen die Aufsichtsbehörden das Risikoprofil jedes Unternehmens jährlich oder alle drei Jahre für Sektoren mit geringen Auswirkungen, wie z. B. kleine Intermediäre, überprüfen, sofern keine größeren Ereignisse eintreten. Dieser standardisierte Ansatz soll für Objektivität und Vergleichbarkeit bei der AML-Aufsicht in der gesamten EU sorgen.

2. Entwurf einer technischen Regulierungsvorschrift zur Risikobewertung für die Auswahl von Unternehmen für die direkte Beaufsichtigung durch die AMLA (Artikel 12 Absatz 7 AMLR)

Gemäß den Artikeln 12 und 13 der AMLR übernimmt die AMLA die direkte Aufsicht über etwa 40 Verpflichtete, bei denen das höchste Restrisiko in Bezug auf Geldwäsche und Terrorismusfinanzierung festgestellt wurde. Der Entwurf der EBA für eine technische Regulierungsvorschrift legt die Kriterien für diese Auswahl fest.

Ein Unternehmen gilt als förderfähig, wenn es in mindestens sechs Mitgliedstaaten wesentlich tätig ist und sein Restrisikoprofil (das anhand der in den RTS gemäß Artikel 40 festgelegten Methodik ermittelt wird) als hoch eingestuft wird.
Eine wesentliche Tätigkeit in einem anderen Mitgliedstaat liegt vor, wenn das Unternehmen dort mehr als 20 000 Kunden hat oder Transaktionen im Wert von 50 Millionen Euro mit dieser Gerichtsbarkeit verbunden sind.

Die RTS definieren, wie die Restrisikobewertungen auf Unternehmensebene durch gewichtete Durchschnittswerte gruppenweit aggregiert werden, was zu einer endgültigen Einstufung als niedrig, mittel, erheblich oder hoch führt. Dadurch wird sichergestellt, dass die AMLA ihre direkte Aufsicht auf grenzüberschreitende Unternehmen mit echter operativer Präsenz und systemischer Relevanz in der EU-Finanzlandschaft konzentriert.

3. Entwurf einer technischen Regulierungsvorschrift zur Sorgfaltspflicht gegenüber Kunden (Artikel 28 Absatz 1 AMLR)

Der Entwurf einer technischen Regulierungsvorschrift zur Sorgfaltspflicht gegenüber Kunden (CDD) legt fest, welche Informationen für die Standard-, vereinfachte und verstärkte Sorgfaltspflicht erhoben und überprüft werden müssen und welche Quellen für die Überprüfung herangezogen werden können. Die technische Regulierungsvorschrift verfolgt einen prinzipienbasierten Ansatz, indem sie Arten von Informationen und Überprüfungsquellen auflistet, anstatt genaue Dokumentformen vorzuschreiben, was Flexibilität ermöglicht und gleichzeitig eine Mindestdatenqualität gewährleistet.

Identifizierung und Überprüfung (ID&V)

Verpflichtete Unternehmen müssen wichtige Identifizierungsdaten wie Namen, Adressen, Geburtsdatum und -ort sowie Staatsangehörigkeit einholen. Die Überprüfung sollte in der Regel anhand von Originalausweisdokumenten in einem persönlichen Gespräch erfolgen. Für die nicht-persönliche Kundenaufnahme erlaubt Artikel 6 die Verwendung elektronischer Identifizierungsmittel, die der eIDAS-Verordnung entsprechen (substanzielles oder hohes Sicherheitsniveau). Ist eine eIDAS-Überprüfung nicht möglich, können Fernüberprüfungsinstrumente verwendet werden, sofern strenge Sicherheitsvorkehrungen getroffen werden, wie z. B. verschlüsselte Videokommunikation, Integritätsprüfungen, Zeitstempel und sichere Aufbewahrung aller Aufzeichnungen.

Wirtschaftliche Eigentümer und leitende Führungskräfte

Die RTS stärken die Transparenz hinsichtlich der Eigentumsstrukturen. Unternehmen müssen alle zwischengeschalteten Unternehmen oder Vereinbarungen zwischen dem Kunden und dem wirtschaftlichen Eigentümer erfassen und Informationen über Rechtsform, Gerichtsbarkeit, nominierte Anteilseigner, Eigentumsanteile und Stimmrechte sammeln. Kann ein wirtschaftlicher Eigentümer nicht identifiziert werden, müssen Informationen über leitende Führungskräfte gesammelt und mit gleicher Sorgfalt überprüft werden.

Zweck und Art der Geschäftsbeziehung

Die Institute müssen Informationen über den Zweck und die wirtschaftlichen Gründe jeder Geschäftsbeziehung sammeln, einschließlich des erwarteten Transaktionsvolumens, der Herkunft der Gelder und der beabsichtigten Verwendung der Produkte. Für Kunden mit geringem Risiko kann eine vereinfachte Sorgfaltspflicht angewendet werden, sofern weiterhin Mindestinformationen über die Verwendung der Produkte, die Herkunft der Gelder und die Transaktionserwartungen eingeholt werden.

Vereinfachte und verstärkte Sorgfaltspflicht

Die RTS legen Mindestanforderungen für die CDD im Rahmen vereinfachter Maßnahmen (SDD) und zusätzliche Informationsanforderungen im Rahmen einer verstärkten Sorgfaltspflicht (EDD) fest. Im Rahmen der EDD müssen die verpflichteten Unternehmen detailliertere Informationen über die Herkunft des Vermögens, den Zweck der Transaktionen sowie den Ruf und den geschäftlichen Hintergrund der Kunden und wirtschaftlichen Eigentümer einholen. Die EDD schreibt auch eine kontinuierliche Sanktionsprüfung (Artikel 29 RTS) unter Verwendung automatisierter Tools oder manueller Kontrollen vor, die in den CDD-Lebenszyklus integriert sind.

Die EBA räumt ein, dass die Anwendung der neuen Standards auf alle bestehenden Kunden bis zum 10. Juli 2027 (dem Datum des Inkrafttretens der AMLR) eine große Herausforderung darstellt. Daher schlägt sie eine risikobasierte Übergangsfrist von fünf Jahren für die Aktualisierung von Beziehungen ohne hohes Risiko vor, wobei Kunden mit hohem Risiko Vorrang eingeräumt wird.

4. Entwurf einer technischen Regulierungsvorschrift zu internen Richtlinien, Kontrollen und Verfahren (Artikel 19 AMLR)

Diese RTS legen fest, wie verpflichtete Unternehmen robuste interne AML/CFT-Rahmenwerke gestalten und aufrechterhalten müssen. Sie umfassen Governance-Regelungen, Compliance-Funktionen, Mitarbeiterschulungen, unabhängige Audits und die Aufbewahrung von Aufzeichnungen. Außerdem werden Erwartungen für die Integration der Transaktionsüberwachung und der Meldung verdächtiger Aktivitäten in die umfassendere AML-Kontrollarchitektur festgelegt. Die Rechenschaftspflicht der Geschäftsleitung ist ein wiederkehrendes Thema: Vorstände müssen AML-Rahmenwerke formell genehmigen und eine klare Zuweisung von Verantwortlichkeiten sicherstellen. Zusammen legen diese Bestimmungen den Mindeststandard für die Governance von Instituten im Rahmen der AMLR fest.

5. Entwurf einer technischen Regulierungsnorm zu Aufsichtsmethoden und Zusammenarbeit (Artikel 38 AMLD6)

Diese technische Regulierungsnorm legt fest, wie die nationalen zuständigen Behörden und die AMLA ihre Aufsichtstätigkeiten koordinieren, risikobasierte Inspektionen durchführen und Informationen austauschen.

Sie führt harmonisierte Vorlagen und Kooperationsmechanismen ein, um eine einheitliche Aufsicht in allen Mitgliedstaaten zu unterstützen.

Die RTS operationalisieren auch die Aufsicht der AMLA über die nationalen zuständigen Behörden und gewährleisten so eine EU-weit einheitliche Aufsichtsqualität.

6. Entwurf einer RTS zur Umsetzung restriktiver Maßnahmen (Artikel 51 AMLR)

Diese RTS präzisiert, wie verpflichtete Unternehmen restriktive Maßnahmen und Finanzsanktionen der EU im Rahmen ihrer AML-Rahmenwerke umsetzen müssen. Sie schreibt Regeln für die Überprüfung von Sanktionen, Eskalationsverfahren, die Rechenschaftspflicht der Unternehmensführung und die Pflege zuverlässiger Überprüfungsdaten vor. Unternehmen müssen sicherstellen, dass ihre Systeme sanktionierte Personen in Echtzeit identifizieren können, wobei Eskalations- und Entscheidungswege festgelegt sind. Die RTS schließt die Lücke zwischen der Einhaltung von Sanktionen und der umfassenderen AML-Überwachung und beseitigt damit eine seit langem bestehende operative Lücke zwischen den beiden Systemen.

7. Entwurf einer technischen Regulierungsmaßnahme zu Sanktionen und Verwaltungsmaßnahmen (Artikel 53 Absatz 10 der 6. Geldwäscherichtlinie)

Die endgültige technische Regulierungsmaßnahme harmonisiert die Art und Weise, wie AML/CFT-Aufsichtsbehörden Geldstrafen, Verwaltungsmaßnahmen und Zwangsgelder festlegen und anwenden. Sie führt einen Katalog von Indikatoren zur Einstufung der Schwere von Verstößen ein, darunter Dauer, Häufigkeit, Vorsatz und Kooperationsgrad. Außerdem enthält er eine Methodik zur Festsetzung von Geldbußen, die in einem angemessenen Verhältnis zur Schwere und Dauer des Verstoßes stehen, sowie Leitlinien für die Anwendung von Abhilfemaßnahmen oder Korrekturmaßnahmen. Durch die Festlegung dieser Kriterien sollen die technischen Standards eine einheitliche Durchsetzungspraxis gewährleisten und gleiche Wettbewerbsbedingungen für Institute in allen Mitgliedstaaten schaffen.

Nächste Schritte

Die Europäische Kommission wird das RTS-Paket der EBA prüfen und es nach Konsultation der Interessengruppen als delegierte Rechtsakte im Rahmen der AML-Verordnung verabschieden. Nach der Genehmigung werden die RTS in allen EU-Mitgliedstaaten unmittelbar gelten und die unterschiedlichen nationalen Vorschriften ersetzen. Die endgültige Veröffentlichung wird für 2026 erwartet, zeitgleich mit der breiteren Anwendung der AMLR Mitte 2027.

Weitere RTS-Pakete sind geplant, die sich mit der Transparenz der wirtschaftlichen Eigentumsverhältnisse, Datenaustauschprotokollen und den operativen Verfahren der AMLA befassen.

Risikobasiert vs. prinzipienbasiert: Eine wichtige Klarstellung

Alle RTS sind grundsätzlich risikobasiert, da sie sicherstellen sollen, dass Ressourcen, Prozesse und Aufsichtsintensität in einem angemessenen Verhältnis zum ML/TF-Risiko des Unternehmens, seiner Kunden, Produkte und Rechtsordnungen stehen.

• Risikobasiert: Gilt für alle RTS in Bezug auf die aufsichtliche Bewertung, die Einstufung von Unternehmen und die Compliance-Prioritäten. Aufsichtsbehörden und verpflichtete Unternehmen müssen die inhärenten und verbleibenden Risiken bewerten und die Aufsicht entsprechend anpassen.

• Grundsatzbasierte Ausarbeitung: Gilt insbesondere für die CDD-RTS (Artikel 28 AMLR). Sie definiert, was erreicht werden muss, lässt den Instituten jedoch Flexibilität bei der Umsetzung dieser Prozesse, einschließlich des Einsatzes technologischer Lösungen oder nicht standardisierter Überprüfungsmethoden.

cleversoft Compliance Commitment

Der neue EU-AML-Rahmen führt umfangreiche Verpflichtungen in Bezug auf risikobasierte Aufsicht, verstärkte CDD, interne Governance und die Einhaltung von Sanktionen ein. In den kommenden Monaten wird Cleversoft Produktverbesserungen prüfen und seine Kunden gleichzeitig über die laufenden regulatorischen Entwicklungen auf dem Laufenden halten. Sobald die RTS von der Europäischen Kommission offiziell bestätigt und veröffentlicht wurden, werden wir unsere Produktaktualisierungen und -verbesserungen in Übereinstimmung mit den endgültigen RTS bekannt geben, um sicherzustellen, dass unsere Kunden vor dem Anwendungsdatum im Juli 2027 vollständig vorbereitet sind.