1. FinCrime Watchdog Weekly — Sonntag 22.02.2026: Die operative Verdichtung von AMLA, BaFin-Druck und GwGMeldV

2. Deck/Subline

Die europäische Regulierungsarchitektur zieht sich durch konkrete AMLA-Konsultationen und den nahenden Go-Live der GwGMeldV spürbar enger, während die BaFin den Druck auf die wirksame Verzahnung von KYC, Fraud- und Sanktionskontrollen erhöht.

3. Executive Summary

• AMLA präzisiert die Aufsichtslogik: Die neue EU-Behörde hat drei zentrale Konsultationen zu technischen Standards gestartet, die CDD, die Abgrenzung von Geschäftsbeziehungen und die Aufsichtslogik enger definieren [1, 2].
• Countdown zur GwGMeldV: Ab dem 1. März 2026 gilt ein neuer technischer Melderahmen für Verdachtsmeldungen über goAML, der strikte XML-Strukturen und Pflichtfelder erzwingt [3, 4].
• BaFin-Fokus auf operative Reife: Im "Risikobild 2026" bleibt unzureichende AML/CFT-Prävention ein Kernrisiko; die Aufsicht fordert belastbare Risikoanalysen statt formaler Policies [5, 6].
• Länderrisiken bleiben dynamisch: Jüngste FATF-Updates (aufgegriffen durch FinCEN) zwingen Banken zu dynamischeren Anpassungen im Länderrisiko-Monitoring und bei Enhanced Due Diligence (EDD) [7, 8].
• Big-4-Analysen offenbaren blinde Flecken: Während große Beratungsfirmen stark auf KI und AMLA-Vorgaben fokussieren, bleiben kritische operative Lücken wie Legacy-Datenmigration und die unübertagbare Haftung bei Outsourcing (Art. 18 AMLR) in Publikationen oft unbehandelt [9-11].

4. Fünf redaktionelle Bewegungen

1. Verschärftes deutsches Sanktionsrecht trifft auf AML: Mit dem Anfang Februar in Kraft getretenen Anpassungsgesetz zu EU-Sanktionen wächst der operative Druck, Treffer konsistent zu bewerten und die Eskalationswege zwischen Sanktions-Compliance und AML-Steuerung zu verschmelzen [12, 13].
2. Harmonisierung statt nationaler Spielräume: BaFins Aufruf zur Beteiligung an den AMLA-Konsultationen signalisiert, dass die Toleranz für inkonsistente, nationale Sonderwege bei KYC und CDD stark sinken wird [1, 14].
3. Die Konvergenz von Fraud und Geldwäsche: Neue BaFin-Warnsignale bezüglich Finanzbetrug durch KI und Kryptowerte machen deutlich, dass Fraud-Indikatoren und AML-Meldesysteme in einer gemeinsamen Kontrollarchitektur zusammenlaufen müssen [15].
4. Der Wechsel zu strukturierter Meldelogik: Der bevorstehende Start der GwGMeldV zwingt Institute zu einer technischeren und strukturierteren Vorgehensweise bei Verdachtsmeldungen [4, 15]. (Interpretation: Meldeprozesse wandeln sich endgültig von Textarbeit zu Datenmanagement.)
5. Interessenkonflikte im Managed-Service-Markt: Investigative Analysen zu Big-4-Publikationen zeigen, dass Beratungsunternehmen verstärkt Outsourcing-Modelle bewerben (z.B. Deloitte mit 4.500+ Professionals), ohne die strenge behördliche Aufsichts- und Haftungsstruktur der AMLR kritisch für ihre Kunden zu beleuchten [10, 16, 17].

5. Perspektive RegTech-Engineer

Für Ingenieure steht der 1. März im Fokus: Die GwGMeldV erzwingt goAML-Verdachtsmeldungen in harter XML-Struktur mit neuen Pflichtfeldern [4]. Wenn bestehende KYC-Datensätze Lücken aufweisen, bricht die Validierung. Parallel diagnostiziert KPMG eine eklatante Datenfragmentierung: Relevante AML-Informationen liegen oft verstreut in Kernbankensystemen, Zahlungsgateways und Excel-Dateien [18, 19]. (Interpretation: Die Integration von Legacy-Systemen über APIs und der Aufbau einer sauberen "Data Lineage" sind aktuell weit kritischer als die Implementierung von Machine-Learning-Modellen.)

6. Perspektive FinCrime-Analysten

Die Rolle des Analysten steht vor einem Umbruch. Einerseits verspricht "Agentic AI" laut EY eine Zeitersparnis von 50 % pro Untersuchung [20, 21]. Andererseits warnt PwC vor Fachkräftemangel als Haupthindernis [22]. (Interpretation: Es droht ein systemischer "Skill-Gap": Wenn KI Routinefälle löst, fehlt Junior-Analysten das Training, um als Senior-Entscheider KI-Ergebnisse kompetent zu überwachen [23].) Zudem erhöht das jüngste FATF-Update den Druck, Länderrisiken nicht als statische Merkmale zu behandeln, sondern diese aktiv in laufende EDD-Prüfungen einzubinden [7, 8].

7. Perspektive AI-/Compliance-Architekten

Architekten müssen 2026 organisatorische Silos einreißen: Sanktionsscreening, Transaktionsmonitoring und KYC dürfen nicht länger als isolierte Inseln betrieben werden [13, 24]. Besondere Vorsicht gilt bei Cloud- und Outsourcing-Strategien: Gemäß Art. 18 AMLR gilt ein Outsourcing-Dienstleister rechtlich als Teil des Verpflichteten, und die volle Verantwortung verbleibt bei der Bank [9, 10]. Die Architektur muss daher vollständige Transparenz ("Observability") gewährleisten, um gegenüber der BaFin und künftig der AMLA die Rationale hinter jeder (KI- oder drittanbieter-gestützten) Entscheidung beweisen zu können [10, 17].

8. Wochenchronik Montag bis Sonntag

• Montag (16.02.): Fokus auf das schärfere deutsche Sanktionsrecht und BaFins "Risikobild 2026", das die operative Reife von AML-Kontrollen einfordert [12, 25].
• Dienstag (17.02.): FATF-Updates rücken in den Blickpunkt; die Notwendigkeit einer engeren operativen Logik zwischen AML und Länderrisiko-KYC wird betont [6, 7].
• Mittwoch (18.02.): AMLA startet drei zentrale Konsultationen (u.a. zu CDD und Geschäftsbeziehungen); die BaFin ruft Institute zur Teilnahme auf [1, 26].
• Donnerstag (19.02.): Die Verdichtung des europäischen Maßstabs schreitet voran, wachsender Druck auf die technischen Aspekte der CDD-Erhebung [27, 28].
• Freitag (20.02.): BaFin-Druck und AMLA-Regeln fordern zunehmend das organisatorische Zusammenwachsen von KYC und Sanktions-Compliance [2, 13].
• Samstag (21.02.): Der Vorlauf zur GwGMeldV und BaFin-Warnungen vor KI-/Krypto-Betrug forcieren eine engere Verzahnung von AML und Fraud [3, 15].
• Sonntag (22.02.): Synthese der Woche: Die neue Meldelogik (ab 1. März) erzwingt Konsistenz von Daten und Prozessen, da die europäische Aufsicht datenbasiert anzieht [4, 29].

9. Kontrollagenda für die Folgewoche: 7 Actions

1. GwGMeldV-Readiness testen: Technische Überprüfung, ob die XML-Generierung und Pflichtfeld-Logik für goAML zum 1. März 2026 produktionsbereit ist [4].
2. AMLA-Konsultationen evaluieren: Fachbereiche prüfen, ob das Institut Feedback zu den CDD- und Aufsichtsstandards an die BaFin/AMLA übermitteln sollte [1].
3. FATF-Länderlisten aktualisieren: Das Länderrisiko-Scoring und die EDD-Trigger müssen an die jüngsten FinCEN/FATF-Veröffentlichungen angepasst werden [7, 8].
4. Eskalationswege Sanktionen auditieren: Überprüfung der internen Verantwortlichkeiten im Lichte des neuen Anpassungsgesetzes zu EU-Sanktionen [12].
5. Art.-18-AMLR-Gap-Analyse: Compliance-Prüfung aktueller und geplanter Managed-Service-Dienstleister hinsichtlich der nicht-delegierbaren Verantwortung der Bank [9, 10].
6. Fraud-AML-Silos identifizieren: Überprüfung, ob Betrugssignale (insbesondere aus KI- und Krypto-Fraud) automatisiert an die AML-Meldesysteme übergeben werden [15].
7. Datenfragmentierung mappen: Identifikation kritischer Legacy-Daten in dezentralen Systemen (Kernbank, Zahlungsgateways, Excel), um die von KPMG benannten Lücken für die kommende AMLA-Aufsicht zu schließen [19].

10. Caveats/offene Fragen

Die Kosten der KI-Effizienz: EY verspricht 50 % Zeitersparnis durch Agentic AI, jedoch fehlen belastbare Total-Cost-of-Ownership (TCO) Berechnungen [21, 30]. (Interpretation: Unklar bleibt, ob die Einsparungen in Legacy-IT-Infrastrukturen durch hohe Integrationskosten nicht sofort wieder verpuffen [31].)*

• Die Lücke bei Regionalbanken: AMLA und die Beratungsfirmen fokussieren sich auf die großen G-SIBs und 40 direkt beaufsichtigten Institute. Offen ist die Verhältnismäßigkeit ("Proportionalität") für mittelständische Banken, die mit der gleichen Regulierungslast konfrontiert werden [32-34].
• Das Kryptowährungs-Vakuum: Obwohl Krypto in Publikationen präsent ist, mangelt es der Branche (und den Big 4) an tiefgehender operativer Guidance für On-Chain-Analytics, MiCA und die TFR-Verordnung; die Integration von VASPs in klassische KYC-Prozesse bleibt ungelöst [35-37].
• Malta und das EU-Offshore-Problem: Offshore-Leaks zeigen massive Aktivitäten in Malta (über 83.000 Entities). Es stellt sich die offene Frage, wie die AMLA dieses lizensierte EU-Passporting-Risiko innerhalb der Union aufsichtlich eindämmen wird [38].