Compliance-Architektur 2028: Was der EU-Umbau wirklich bedeutet
1. AMLA im Messeturm: Was gesichert ist — und was nicht
Die Anti-Money Laundering Authority (AMLA) hat im Juli 2025 ihre operative Arbeit im Frankfurter Messeturm aufgenommen. Ab Januar 2028 soll sie 40 grenzüberschreitende Hochrisiko-Institute direkt beaufsichtigen. So viel ist gesichert. Einiges im Umlauf geisternde Zahlenmaterial verdient allerdings einen genaueren Blick.
⚠ Faktencheck-Korrektur
Häufig wird kolportiert, „über 200 Mitarbeiter“ seien in der Direktaufsicht eingesetzt. Dafür gibt es keine offizielle Quelle. Die AMLA-FAQ und das Single Programming Document 2026–2028 nennen 432 Gesamtbeschäftigte, ohne die interne Aufteilung zu beziffern. Ebenso ist die Verortung als „neben EZB und Bundesbank“ geographisch ungenau — der Messeturm liegt im Europaviertel, nicht im Ostend (EZB) oder Ginnheim (Bundesbank).
2. Das Single Rulebook: Ein Regelwerk, 27 Mitgliedstaaten
Am 10. Juli 2027 tritt die Anti-Money Laundering Regulation (AMLR, Verordnung (EU) 2024/1624) in Kraft. Anders als die bisherigen Richtlinien (AMLD-Reihe) gilt sie unmittelbar in allen EU-Staaten — ohne nationale Umsetzung und damit ohne den bisherigen Flickenteppich aus 27 verschiedenen Auslegungen.
| Bereich | Bisher (AMLD-Ära) | Ab Juli 2027 (AMLR) |
|---|---|---|
| CDD-Standards | 27 nationale Auslegungen | Vollharmonisiert, direkt anwendbar |
| UBO-Schwelle | Variierende Schwellen | 25 % — absenkbar auf 15 % für Hochrisiko präzisiert |
| Bargeldobergrenze | 1.000 € bis unbegrenzt | 10.000 € EU-weit |
| Verpflichtete | Fokus Finanzsektor | +CASPs, Fußballvereine (ab 2029), Luxushändler |
Die EY-Analyse bringt es auf den Punkt: Begrenzte Daten-Lineage, inkonsistente Registeranbindungen und ungleichmäßige Gruppenstrukturen beeinflussen künftig nicht nur die Compliance, sondern auch den Marktzugang und die Kapitalkosten. Programme, die 2025 als konform galten, verfehlen mit hoher Wahrscheinlichkeit den 2027er Standard, sofern sie auf nationalen Interpretationen aufsetzen.
3. MiCA & Krypto: Regulierung als Marktbereinigung
Die Markets in Crypto-Assets Regulation (MiCA) ist das weltweit erste umfassende Krypto-Rahmenwerk. In Kombination mit der seit Ende 2024 aktiven Travel Rule wird Krypto-Compliance integraler Bestandteil jeder AML-Strategie.
Fragmentierte Übergangsfristen
Während Deutschland die MiCA-Übergangsfrist zum Jahresende 2025 auslaufen ließ, haben andere Mitgliedstaaten verlängert. Die ESMA identifizierte in ersten Audits 2025 bereits inkonsistente Aufsichtsansätze — ein Warnzeichen dafür, dass die regulatorische Realität dem Gesetzestext hinterherhinkt.
4. FRAML: Warum die Trennung von Fraud und AML ein Relikt ist
Die historische Trennung von Betrugserkennung (Fraud) und Geldwäscheprävention (AML) in getrennten Abteilungen mit getrennten Budgets erzeugt blinde Flecken. Das lässt sich an einem konkreten Fall illustrieren: Die britische FCA verhängte 2022 eine Strafe von £107,8 Mio. gegen Santander UK, weil Konten trotz interner Warnungen jahrelang offen blieben — über £298 Mio. flossen durch, bevor sie geschlossen wurden.
integriert
(Ziel 2028)
Die Konvergenz von Fraud- und AML-Datenströmen auf einer einheitlichen Plattform — oft als FRAML bezeichnet — ist der operative Schlüssel, um solche Fälle künftig zu verhindern. Analysten aus beiden Bereichen benötigen Cross-Training und Zugang zu denselben Echtzeitdaten.
5. Von periodischem KYC zu Perpetual KYC
Das traditionelle Modell der zeitgesteuerten Überprüfung — alle ein, drei oder fünf Jahre — ist in einer Welt von Echtzeit-Sanktionslisten kaum noch vertretbar. Perpetual KYC (pKYC) ersetzt den starren Zyklus durch eine eventgesteuerte, kontinuierliche Überwachung.
| Merkmal | Periodisches KYC | Perpetual KYC |
|---|---|---|
| Auslöser | Zeitgesteuert (1/3/5 J.) | Event-gesteuert (Echtzeit) |
| Fokus | Statische Review-Listen | Materielle Risikoänderungen |
| Effizienz | Hohe Backlogs, ~80 % Routine | Automatisierte Triage, High-Risk-Fokus |
Einordnung der Kostenzahlen
Häufig wird eine PwC-Studie zitiert, die eine Kostenreduktion von 60–80 % bei der KYC-Wartung durch pKYC verspricht. Diese Zahl ist plausibel, aber die Primärquelle ist nicht frei verfügbar. Zudem verschweigt sie ein wesentliches Risiko: Die Datenvolumina von pKYC übersteigen menschliche Verarbeitungskapazitäten und erfordern zwingend automatisierte Systeme — die wiederum Investitionen verlangen.
6. Agentic AI: Autonome Agenten in der Compliance
Die Ära der passiven Scoring-Modelle nähert sich ihrem Ende. Der nächste Schritt sind Agentic-AI-Systeme — autonome Agenten, die eigenständig Ermittlungsketten bearbeiten: von der Daten-Aggregation über Adverse-Media-Checks bis zum Entwurf regulatorisch verwertbarer Verdachtsmeldungen (SARs).
🔍 Investigator
Aggregiert Daten, prüft Adverse Media, erstellt Dispositionsempfehlungen.
📡 pKYC-Monitor
Überwacht kontinuierlich Quellen auf materielle Änderungen (z. B. UBO-Wechsel).
📝 SAR-Drafter
Erstellt Verdachtsmeldungen mit lückenlosem Audit-Trail.
🕸 Netzwerk-Analyst
Identifiziert Geldwäsche-Cluster mittels Graph-Analysen.
⚠ Regulatorische Pflicht: Human-in-the-Loop
Unter der AMLR ist menschliche Letztentscheidung bei Hochrisiko-Fällen keine optionale Best Practice, sondern regulatorische Verpflichtung. Agenten dürfen vorbereiten und empfehlen — aber die finale Disposition bleibt beim Menschen. Zudem prognostiziert Gartner eine hohe Scheiterquote bei KI-Projekten, primär wegen mangelhafter Datenqualität.
7. Deepfakes & synthetische Identitäten: Das KI-Wettrüsten
Deepfake-gestützte Betrugsversuche sind laut einer Signicat-Studie zwischen 2022 und 2025 um 2.137 % gestiegen. Die drastischste Illustration lieferte der Fall des Ingenieurbüros Arup: Ein Mitarbeiter in Hongkong überwies 25,6 Mio. USD an Betrüger, nachdem er an einer Videokonferenz teilgenommen hatte, in der sämtliche Teilnehmer — einschließlich des vermeintlichen CFO — KI-generierte Deepfakes waren.
Multi-Layer-Verteidigung
Injection Attack Detection (IAD) zur Identifikation synthetischer Streams in Echtzeit, Verhaltensbiometrie zur Bot-Erkennung über Tipp- und Interaktionsmuster, und institutionenübergreifender Datenaustausch via Graph-Analysen, um synthetische Identitäten als Cluster zu erkennen.
8. Roadmap 2026–2028: Der kritische Pfad
Drei Erfolgsfaktoren für das C-Level
1. Silos jetzt aufbrechen
Die isolierte Betrachtung von AML, Fraud und Krypto-Compliance ist ab 2027 ein Haftungsrisiko. Ein integrierter Governance-Ansatz ist keine Option, sondern Voraussetzung.
2. Datenqualität vor KI-Hype
Agentic AI scheitert ohne saubere, konsistente Daten. Investitionen in Data Governance müssen der KI-Implementierung vorausgehen — nicht umgekehrt.
3. Talent transformieren, nicht nur rekrutieren
Die Umschulung bestehender Analysten zu KI-gestützten Forensik-Spezialisten ist strategisch wertvoller als Neueinstellungen in einem ausgetrockneten Arbeitsmarkt.
AMLA: amla.europa.eu · FAQ · Single Programming Document 2026–2028 (PDF)
AMLR: eucrim.eu · Deloitte Legal · Docusign-Überblick
Santander: FCA Final Notice
Arup/Deepfakes: WEF-Analyse · Signicat Report 2025
EY: How EU leaders can stay ahead · AMLA-Standort: gft.com · Skyline Atlas
