FinCrime Watchdog Weekly — Sonntag 22.03.2026: Der operative Umsetzungsdruck zwischen AMLA, GwGMeldV und Sanktionsverschiebungen

Deck/Subline

Zwischen dem holprigen Echtbetrieb der neuen GwGMeldV, den nahenden AMLA-Direktaufsicht-Konsultationen und verschärften UBO-/PEP-Regeln verlagert sich der Fokus der Finanzkriminalitätsbekämpfung radikal von Richtlinien-Theorie zu architektonischer Datenqualität.

Executive Summary

• AMLA & AMLR Roadmap: Die neue EU-Behörde führt aktuell einen Datenpiloten durch und konsultiert zentrale RTS-Entwürfe, während Institute sich auf die drastisch wachsende PEP-Definition der AMLR (direkt anwendbar ab 10. Juli 2027) vorbereiten müssen [1, 2].
• GwGMeldV-Echtbetrieb: Seit 1. März 2026 gelten verbindliche XML-Formate für Verdachtsmeldungen an die FIU via goAML; fehlende technische Validierungsfähigkeit durch schlechte KYC-Daten führt bereits zu spürbaren Abweisungen [3, 4].
• Sanktionsdynamik: Die Woche war von paradoxen Gegensätzen geprägt: Die EU verschärft Maßnahmen (Iran, russische Hybrid-Bedrohungen), während die USA in General Licenses 52 (Venezuela) und 134 (Russland-Öl) befristete Entlastungen schaffen [5-7].
• Konvergenz von Fraud & AML: Neue US-Assessments und EU-Sanktionslinien zeigen übereinstimmend, dass Betrug, Terrorfinanzierung, Cybercrime und Geldwäsche nicht länger isoliert betrachtet werden können, sondern vernetzte Kontrollketten erfordern [8, 9].
• Aufsichtsdruck der BaFin: Mit 75 angekündigten Sonderprüfungen für 2026 fokussiert sich die BaFin verstärkt auf operative Wirksamkeit, Terrorismusfinanzierung und die Belastbarkeit der Kunden-Risikoklassifizierung [10, 11].

Fünf redaktionelle Bewegungen

1. Der PEP-Zuwachs und UBO-Komplexität als regulatorische Kostentreiber: Die AMLR vervielfacht den PEP-Kreis durch die Inklusion lokaler Mandatsträger (Städte ab 50.000 Einwohner) und Geschwister [12, 13]. Ein mittleres Institut muss mit bis zu 70 FTEs Mehraufwand und 5,2 Millionen Euro Zusatzkosten im ersten Jahr rechnen, vor allem getrieben durch 3-6 stündige EDD-Zyklen bei komplexen UBO-Konstrukten [14, 15].
2. Datenqualität als Aufsichtsfrage: Der aktuelle AMLA-Datenpilot macht schlechte Daten zu einem unmittelbaren Aufsichtsrisiko. Fehlende UBO-Informationen oder inkonsistente Risikoklassifizierungen treiben den Instituts-Risikoscore in die Höhe und erhöhen die Wahrscheinlichkeit einer direkten AMLA-Aufsicht ab 2028 [16, 17].
3. Das blinde Durchleitgeschäft (DLG): Klassisches Transaktionsmonitoring in Girozentralen und bei PSPs scheitert an der fehlenden Kunden-Baseline. Die Überwachung erfordert stattdessen Aggregatanalysen, Gegenpartei-Monitoring und vor allem verbindliche Rückfrageprozesse (RFI) mit vertraglichen Exit-Kriterien [18-20].
4. Kritik an pauschaler Consulting-Methodik: Big-Four-Berater vermarkten AMLA-Readiness-Assessments, verschweigen aber systematisch die harten operativen Kostenschätzungen und konkrete Screening-Lücken bei Marktanbietern, um keine Mandanten abzuschrecken [21-23].
5. Agentic AI erfordert strikte Governance: Autonome KI in der Compliance fordert ein neues Accountability-Modell. Ohne klare "Model Governance", Tool-Limits und risikobasierte Human-in-the-Loop-Gates (vor Hochrisiko-SAR-Einreichungen) produzieren KI-Agenten nur mehr Kosten und unkontrollierbare Outputs [24, 25].

Perspektive RegTech-Engineer

Die GwGMeldV zwingt IT-Abteilungen, Transaktionsüberwachung und Meldewege via XML an goAML ab sofort tief zu verzahnen, was bei Legacy-Systemen zu Validierungsfehlern führt [3, 4]. Mit Blick auf die AMLR (2027) müssen Datenmodelle massiv aufgerüstet werden, um event-driven Reviews und API-basierte Re-Klassifizierungen von assoziierten PEPs und Geschwistern vollautomatisiert abbilden zu können [26, 27]. Beim Einsatz von "Agentic AI" steht die IT vor explodierenden Token-Kosten (ca. 15-fach höher als Chat-Interaktionen); Multi-Agenten-Architekturen lohnen sich nur bei höchstwertigen Triage- oder SAR-Drafting-Aufgaben [28, 29].

Perspektive FinCrime-Analysten

Die Zeit isolierter Silo-Prüfungen endet. Analysten müssen Fraud-Muster, Cyber-Typologien, Sanktionsumgehung und AML in einer kontextuellen Fallbearbeitung zusammenführen [9, 30]. Das Volumen wird drastisch ansteigen: Ein Zuwachs von bis zu 300% bei False Positives wird allein durch die erweiterte PEP-Screening-Liste erwartet [31]. Im Durchleitgeschäft (Korrespondenzbanken) verschiebt sich die Analyse weg von der unbrauchbaren Endkunden-Prüfung hin zum Monitoring von Gegenbanken, Korridoren und Volumensprüngen [32].

Perspektive AI-/Compliance-Architekten

Das Zielbild 2026/2027 verlangt das Verknüpfen von Risiko, Technologie und Nachweisführung. Die Vorbereitung auf die AMLA (ab 2028 direkt zuständig für 40 ausgewählte Hochrisiko-Institute) zwingt zu gruppenweiten (Mutterunternehmen und Töchter) harmonisierten CDD-Standards und Governance-Strukturen nach Art. 16 AMLR [1, 33]. KI-Architekten müssen eine "Agentic Control Plane" etablieren, bei der KI-Agenten risikoklassifiziert agieren: Low-Risk-Triage weitgehend autonom, High-Risk (Enforcement, Kündigung) strikt durch Menschen freigegeben [34].

Wochenchronik Montag bis Sonntag

• Montag, 16.03.: AMLA rückt ins Zentrum. Drei Konsultationen zu den Regulatory Technical Standards (RTS) für Customer Due Diligence (CDD) und Geschäftsbeziehungen zeigen die operative Ausformung des kommenden Single Rulebooks. Gleichzeitig stabilisieren Institute den seit dem 1. März geltenden GwGMeldV-Echtbetrieb [35, 36].
• Dienstag, 17.03.: Die neuen US-Risk-Assessments des Treasury (FinCEN) betonen die Unteilbarkeit von Fraud, Cybercrime und AML [8]. Parallel veröffentlicht die EU neue restriktive Maßnahmen zu Iran und russischen Hybridbedrohungen [37].
• Mittwoch, 18.03.: Die Auswirkungen des FATF-Plenums vom Februar erreichen den operativen Betrieb: Kuwait und Papua-Neuguinea sind nun unter "Increased Monitoring". Die Bundesregierung formiert sich national stärker gegen organisierte Kriminalität [38, 39].
• Donnerstag, 19.03.: Der operative Korridor verengt sich. Die Meldequalität der GwGMeldV wird im Tagesgeschäft erprobt, während die AMLA-Hearings (für den 24.03. angesetzt) künftige europäische CDD-Vorgaben vorbereiten [40, 41].
• Freitag, 20.03.: Verdichtung des Umsetzungsdrucks: Die BaFin pocht bei ihren Fokusrisiken 2026 weiterhin kompromisslos auf die Wirksamkeit von Kontrollen statt auf reine Dokumentation. Im Drittstaatengeschäft bleiben EDD-Auslöser und Listenlogik im Fokus [10, 42].
• Samstag, 21.03.: Die BaFin kündigt offiziell 75 Sonderprüfungen für das Jahr 2026 an, wobei Terrorismusfinanzierung und Krypto-Akteure im Mittelpunkt stehen. FIU meldet erste formale Abweisungen wegen fehlerhafter GwGMeldV-XML-Strukturen [4, 11].
• Sonntag, 22.03.: OFAC überrascht mit temporären Ausnahmen: General License 52 lockert Energie-Sanktionen gegen Venezuela, und GL 134 erlaubt bis zum 11. April kurzfristig russische Öl-Verkäufe. Die AMLA treibt derweil ihre Daten-Erhebungsphase weiter voran [6, 7, 43].

Kontrollagenda für die Folgewoche: 7 Actions

1. GwGMeldV-Validierungs-Check: IT-Schnittstellen zu goAML sofort auf fehlerfreie XML-Validierung prüfen und Abweisungen durch die FIU analysieren [3, 4].
2. Sanktions-Filter adjustieren: OFAC General Licenses 52 (Venezuela Öl/Gold) implementieren sowie die GL 134 (russisches Öl) mit hartem Ablaufdatum 11. April 2026 im Filter hinterlegen [44].
3. FATF-Listen Update: Geo-Risiko-Modelle für das Korrespondenzbank- und Transaktionsgeschäft um die "Increased Monitoring"-Staaten Kuwait und Papua-Neuguinea ergänzen [38, 45].
4. PEP-Budget- und FTE-Planung: Eine quantifizierte Modellierung des zu erwartenden PEP/RCA-Zuwachses (inkl. Geschwister, Kommunalpolitiker >50k Einwohner) durch die AMLR initiieren, um Budgetargumente für 2027 zu sichern [46, 47].
5. UBO-Prozess-Audit: Prüfen, ob die AMLR-konforme Methodik (insbesondere der 25%-Schwellenwert bei verschachtelten Strukturen) im Lichte des abgelaufenen Register-Vereinfachungsprivilegs operativ funktioniert [14, 48].
6. AMLA-Datenpilot Readiness: Datenhaushalt auf Vollständigkeit der potenziellen AMLA-Erhebungspunkte (Kundensegmentierung, Cross-Border Exposure) prüfen, um keinen unbegründet hohen Aufsichts-Risk-Score zu provozieren [17, 49].
7. DLG-Rückfrageprozess (RFI) formalisieren: Im Durchleitgeschäft klare Verträge zur AML-Kooperation mit Respondent-Banken prüfen und harte Exit-Kriterien für unkooperative Korrespondenzbanken definieren [20, 50].

Caveats/offene Fragen

Interpretation: Reale Durchsetzung von UBO-Transparenz:* Nach dem EuGH-Urteil zum Datenschutz von UBO-Registern bleibt fraglich, wie Verpflichtete in der Praxis den Spagat zwischen AMLD6-Vorgaben und dem faktisch erschwerten Registerzugang (nur noch bei "berechtigtem Interesse") haftungssicher bewältigen können [48, 51, 52].

Interpretation: Asymmetrische Ressourcenbelastung:* Es bleibt völlig offen, ob die FIU Deutschland ihre eigenen personellen und technischen Analysetools rechtzeitig so skalieren kann, dass der erhöhte Qualitätsdruck auf Seiten der meldenden Banken (GwGMeldV) auch zu echten Strafverfolgungserfolgen führt, oder ob es nur zu einer asymmetrischen bürokratischen Last führt [53].

Offene Frage zu Art. 75 AMLR:* Wie das gruppenübergreifende "Information Sharing" im Durchleitgeschäft ab 2027 datenschutzkonform (Art. 35 DSGVO) in der harten Praxis funktionieren soll, ist derzeit regulatorisch ungeklärt und stellt ein massives Architektur-Risiko dar [54].

Offene Datenlieferanten-Coverage:* Es ist unklar, wann und wie die großen Screening-Datenbankenanbieter (Refinitiv, Dow Jones, etc.) die neuen lokalen Mandatsträgerlisten aus allen 27 EU-Staaten lückenlos bereitstellen können [23, 55].