Big-4-Insights: AML/KYC-Trends 2024–2026
— Autopsie eines KI-Artikels
Wenn vier Gladiatoren in der Arena aus Excel-Tabellen dasselbe sagen, aber unterschiedlich abgerechnet wird. Ein investigativer Faktencheck des Grok-4-Artikels auf FinCrime Watchdog.
Der analysierte Artikel ist faktisch nicht falsch — aber er ist gefährlich oberflächlich. Alle vier Big-4-Sektionen sagen im Kern dasselbe (AMLA kommt, KI ist wichtig, 2028 ist die Deadline), ohne die spezifischen Unterschiede der Quellen herauszuarbeiten. Das GwG wird nicht erwähnt, die AMLR (VO (EU) 2024/1624) wird nicht beim Namen genannt, und zentrale regulatorische Verschärfungen — wie die Absenkung der UBO-Schwelle auf ≥25 % oder die Verdopplung der Bußgeldobergrenzen auf €10 Mio. / 10 % des Jahresumsatzes — fehlen vollständig. Für einen Compliance-Officer ist dieser Artikel wie ein Airbag, der nur aus Styropor besteht: Er sieht kompetent aus, nützt im Ernstfall aber wenig.
I. Faktencheck: Die Big 4 in der Arena
Jede Karte zeigt vorn die zentrale Behauptung des Originalartikels. Hover (oder tippen auf Mobilgeräten) enthüllt den investigativen Befund.
Der Artikel behauptet, KPMG betone „zentralisierte Datenmanagement-Systeme“ und empfehle „automatisierte Systeme zur Risikobewertung“. Die AMLA werde ab 2028 hochriskante Institutionen direkt überwachen.
🔎 Investigativer Befund
Korrekt, aber entscheidend verkürzt. KPMGs Report ist deutlich granularer: Er identifiziert vier konkrete Daten-Defizite bei Verpflichteten — Risikodaten, grenzüberschreitende Transaktionsdaten, UBO-Governance-Daten und Aufbewahrungskonzepte. Der Artikel unterschlägt die regulatorische Pointe: KPMG verweist explizit auf die BaFin-Datenabfrage bei ausgewählten Instituten als Vorboten der AMLA-Anforderungen. Das ist für deutsche Landesbanken hochrelevant — und fehlt.
Die Erwähnung Italiens und Spaniens als Vorbilder für datenbasierte AML-Aufsicht — ein Schlüsselargument, da AMLA-Chefin Bruna Szego aus der Banca d’Italia kommt — wird komplett ignoriert.
Der Artikel schreibt PwC zu, dass „bis 2028 bis zu 40 Institutionen direkt überwacht werden“ und PwC zu „KI-gestütztem Transaction Monitoring“ rate.
🔎 Investigativer Befund
Zeitliche Anomalie + Zuschreibungsproblem. Der verlinkte PwC-Artikel stammt vom 30. Juli 2025 und analysiert das erste AMLA Annual Work Programme (AWP). Die „bis zu 40 Institutionen“ sind keine PwC-Prognose, sondern regulatorische Fakten aus der AMLA-Verordnung selbst. Der Artikel stellt PwC dar, als hätten sie eine eigene Prognose abgegeben — in Wirklichkeit paraphrasieren sie geltendes Recht.
Schwerer wiegt: PwCs differenzierte Analyse der Doppelrolle der AMLA (Regulator und Aufseher) sowie das FIU-Pillar-Konzept werden auf einen Einzeiler reduziert. Die Empfehlung „AI für SAR/STR“ steht so nicht im verlinkten PwC-Artikel.
EY diskutiere risikobasierte CDD, perpetual KYC, eIDAS-Integration und automatisierte Risikoscores für inherent, control und residual risks.
🔎 Investigativer Befund
Inhaltlich korrekt — und die einzige Sektion, die den Quelltext spürbar wiedergibt. EY beschreibt tatsächlich ein dreigliedriges Risikobewertungsmodell (inherent → control → residual) und verknüpft dies mit perpetual/event-driven KYC. Auch die eIDAS-2.0-Integration mit dem EUDI-Wallet ist korrekt referenziert.
Was fehlt: EY betont explizit, dass die AMLR ab 2027 gilt und die AMLA erst 2028 direkte Aufsicht übernimmt — eine zeitliche Differenzierung, die der Artikel nicht leistet. Außerdem fehlt EYs Hinweis auf die Pflicht zur 6-Mitgliedstaaten-Präsenz als Auswahlkriterium für die direkte AMLA-Aufsicht.
Deloitte beleuchte AMLR und AMLD6, empfehle Gap-Analysen für CDD-Policies und IT-Systeme und sehe die AMLA als zentrale Instanz für FIU-Koordination und Kryptoregulierung.
🔎 Investigativer Befund
Nicht falsch, aber substanzlos zusammengefasst. Deloittes Report enthält konkrete Handlungsanweisungen: CDD-Gap-Analyse, Überprüfung von Auslagerungsvereinbarungen (Third-Party Risk Assessment), und IT-System-Anpassungen für AMLR-Datenpunkte. Der Artikel reduziert dies auf „Gap-Analysen und IT-Systeme“.
Verschwiegen wird Deloittes Fokus auf die Ausweitung der Verpflichteten: Crowdfunding-Plattformen, Profifußballclubs und deren Agenten, Händler mit Edelmetallen — alles Neuland, das für das Risikomanagement einer Landesbank relevant ist, wenn sie solche Kunden betreut.
II. Link-Audit
Alle vier externen Quelllinks wurden am 12. März 2026 manuell geprüft:
| Quelle | URL-Status | Inhaltliche Deckung |
|---|---|---|
| KPMG | HTTP 200 | Inhalt deckt ~40 % der Artikelbehauptungen ab. Spezifische BaFin-Datenabfrage und IT-Defizite unerwähnt im Watchdog-Artikel. |
| PwC | HTTP 200 | Artikel datiert 30.07.2025. Zuschreibung der „40 Institutionen“ als PwC-Erkenntnis ist irreführend — das ist geltendes EU-Recht. KI-Empfehlung für SAR/STR nicht im Quelltext verifizierbar. |
| EY | HTTP 200 | Beste inhaltliche Deckung. Perpetual KYC, eIDAS, Risiko-Scoring-Modell korrekt wiedergegeben. Zeitliche Differenzierung AMLR 2027 vs. AMLA 2028 fehlt. |
| Deloitte | HTTP 200 | Seite lädt, erfordert JavaScript. Inhalte über Suchindex verifiziert. Gap-Analyse und Scope-Erweiterung (CASPs, Fußball) im Artikel nicht ausreichend dargestellt. |
III. Analyse durch die GwG-Brille
Was der Artikel für die Compliance verschweigt
Aus Sicht eines Geldwäschebeauftragten (GwB) einer Landesbank ist der Artikel bestenfalls ein Appetitanreger, schlimmstenfalls irreführend. Die folgenden regulatorischen Kernpunkte fehlen vollständig:
1. Keine Erwähnung der AMLR (VO (EU) 2024/1624) — Die Anti-Geldwäsche-Verordnung, die ab 10. Juli 2027 unmittelbar gilt und die bisherige Richtlinien-Architektur ersetzt, wird im Artikel nie beim Rechtsakt-Namen genannt. Für einen Compliance-Artikel über AML/KYC-Trends ist das wie eine Sportreportage ohne Erwähnung des Spielstands.
2. UBO-Schwelle: ≥25 % statt >25 % — Die AMLR senkt die Identifikationsschwelle für wirtschaftlich Berechtigte von „mehr als 25 %“ auf „25 % oder mehr“. Das klingt nach einem halben Prozentpunkt, bedeutet aber in der Praxis, dass Landesbanken mehr UBOs identifizieren und dokumentieren müssen. Kein Wort davon im Artikel.
3. Bußgeldrahmen: Verdopplung auf €10 Mio. / 10 % Jahresumsatz — Die AMLD6 verdoppelt die bisherigen Obergrenzen für Geldbußen bei schwerwiegenden, wiederholten oder systematischen Verstößen. Für eine Landesbank ein existenzielles Risiko. Kein Wort.
4. § 2 GwG — Kein Bezug zum deutschen Umsetzungsrecht — Der Artikel spricht ausschließlich über EU-Ebene, ohne zu thematisieren, dass die AMLD6 bis Juli 2027 in deutsches Recht umgesetzt werden muss und welche Auswirkungen das auf das bestehende GwG, die GwG-Meldeverordnung und die BaFin-AuAs haben wird.
5. „KI empfehlen“ ohne Risikohinweis — Der Artikel empfiehlt pauschal „AI für Transaction Monitoring“, ohne auf die aufsichtsrechtlichen Anforderungen an erklärbare KI (Explainable AI) hinzuweisen, die für § 6 Abs. 2 Nr. 4 GwG (angemessene Risikomanagementsysteme) relevant sind. Die BaFin hat wiederholt betont, dass KI-Systeme nachvollziehbar sein müssen.
IV. Überarbeitete Fassung (Auszug)
Management Summary — korrigiert
Die Big 4 haben im Zeitraum 2024–2026 substanzielle Analysen zum EU-AML-Paket veröffentlicht — bestehend aus der AMLR (VO (EU) 2024/1624), der 6. Geldwäscherichtlinie (AMLD6, RL (EU) 2024/1640) und der AMLA-Verordnung (VO (EU) 2024/1620). Trotz unterschiedlicher Schwerpunktsetzung konvergieren die Reports in drei Kernbotschaften:
Erstens: Die AMLA in Frankfurt wird ab 2028 bis zu 40 hochriskante, grenzüberschreitend tätige Verpflichtete (Präsenz in ≥6 Mitgliedstaaten, hohes Residualrisiko) direkt beaufsichtigen. Die AMLR selbst gilt bereits ab Juli 2027 unmittelbar in allen Mitgliedstaaten.
Zweitens: Datenqualität und -verfügbarkeit werden zur aufsichtsrechtlichen Kernkompetenz. KPMG verweist auf die bereits laufenden BaFin-Datenabfragen, Deloitte empfiehlt Gap-Analysen gegen AMLR-Datenpunktanforderungen, und EY modelliert ein dreigliedriges Risiko-Scoring (inherent → control → residual).
Drittens: Die digitale Transformation der Sorgfaltspflichten — perpetual KYC, eIDAS-2.0-konforme digitale Identifikation via EUDI-Wallet, risikobasierte Abstufung der CDD — ist kein Zukunftsthema mehr, sondern regulatorische Anforderung ab 2027.
Für Landesbanken, die typischerweise nicht in sechs EU-Staaten operieren, liegt das Hauptrisiko weniger in der direkten AMLA-Aufsicht als vielmehr in der indirekten Harmonisierung: Die AMLR setzt einheitliche Standards, die via BaFin durchgesetzt werden. Wer sein GwG-Risikomanagementsystem (§ 4 GwG) nicht auf AMLR-Niveau hebt, riskiert Bußgelder von bis zu €10 Mio. oder 10 % des Jahresumsatzes.
Differenzierte Big-4-Analyse — was wirklich drinsteht
KPMG liefert den operativsten Beitrag: Vier konkrete Daten-Defizite (Risikodaten, grenzüberschreitende Transaktionsdaten, UBO-Governance, Aufbewahrungskonzepte) werden als Handlungsfelder identifiziert. Besonders relevant für deutsche Institute: Der Verweis auf die BaFin-Datenabfrage als Vorläufer der AMLA-Anforderungen und auf Italien/Spanien als Vorbilder datenbasierter AML-Aufsicht — ein Signal, wohin die Reise geht.
PwC analysiert das erste AMLA Annual Work Programme (AWP) vom Juli 2025 und fokussiert auf die institutionelle Architektur: die Doppelrolle der AMLA als Regulator und Aufseher, die RTS-Entwicklung in Zusammenarbeit mit EBA und AMLA-Arbeitsgruppen, sowie das FIU-Pillar als Koordinierungsinstrument zwischen nationalen Geldwäschemeldestellen.
EY geht am tiefsten in die operative CDD-Umsetzung: Das dreigliedrige Risikobewertungsmodell, die Integration von eIDAS-2.0 und dem EUDI-Wallet in Onboarding-Prozesse, sowie die Klarstellung, dass Firmen mit niedrigem Risiko längere Re-Assessment-Zyklen erhalten dürfen, während Hochrisiko-Entitäten jährlich neu bewertet werden müssen.
Deloitte liefert den breitesten Scope-Überblick: Die Erweiterung der Verpflichteten auf CASPs, Crowdfunding-Plattformen und professionelle Fußballclubs; die direkte Anwendbarkeit der AMLR (kein nationales Umsetzungsgesetz nötig); und konkrete Handlungsschritte — CDD-Gap-Analyse, Third-Party-Risk-Assessment, IT-System-Anpassung.
Handlungsempfehlungen — was wirklich zu tun ist
1. Gap-Analyse gegen AMLR-Anforderungen durchführen — Nicht nur CDD-Policies prüfen, sondern auch Datenarchitektur, UBO-Identifikation (neue ≥25%-Schwelle) und Aufbewahrungsfristen (5 Jahre ab Beendigung der Geschäftsbeziehung gemäß Art. 56 AMLR).
2. Risikobewertungssystematik umstellen — Vom bisherigen BaFin-orientierten Ansatz auf das AMLA-Modell: inherent risk → control effectiveness → residual risk. EYs Framework bietet hier eine brauchbare Orientierung.
3. eIDAS-2.0-Readiness herstellen — EUDI-Wallet-Akzeptanz für Onboarding bis 2027 vorbereiten. Remote-Identifikation wird zum Standardfall, nicht zur Ausnahme.
4. Bußgeld-Exposure quantifizieren — Die neuen Obergrenzen (€10 Mio. / 10 % Jahresumsatz) in die eigene Risikokalkulation einpreisen. Für Landesbanken kann das zweistellige Millionenbeträge bedeuten.
5. GwG-Umsetzung antizipieren — AMLD6 muss bis Juli 2027 in deutsches Recht transponiert werden. Wer jetzt schon auf AMLR-Niveau arbeitet, spart die doppelte Umstellung.
6. KI mit Augenmaß einsetzen — Explainable AI ist keine Option, sondern aufsichtsrechtliche Anforderung. Jedes Transaction-Monitoring-System muss nachvollziehbare Entscheidungen liefern (§ 6 Abs. 2 GwG).
Transparenzhinweis: Diese investigative Analyse wurde am 12. März 2026 durch Claude Opus 4.6 (Anthropic) erstellt. Alle vier Quelllinks wurden maschinell abgerufen und inhaltlich gegen die Behauptungen des Originalartikels geprüft. Die regulatorischen Rechtsakte (AMLR, AMLD6, AMLA-VO) wurden anhand offizieller EU-Quellen und Sekundärliteratur verifiziert. Trotz sorgfältiger Recherche: Regulatorische Auslegungen ersetzen keine Rechtsberatung.
Originalartikel: watchdog.endvater.de — Big-4-Insights (Grok-4), 26.02.2026
Methodik: Faktencheck (4 Quellen), Link-Audit (4 URLs), GwG-Relevanzprüfung, inhaltliche Überarbeitung mit korrigierten Rechtsakt-Referenzen.
