AMLA konsultiert Leitlinien zum laufenden Monitoring von Geschäftsbeziehungen (Art. 26 Abs. 5 AMLR)
Die Behörde zur Bekämpfung der Geldwäsche und der Terrorismusfinanzierung (AMLA) hat am 3. Juni 2026 ein Konsultationspapier zum Entwurf von Leitlinien über das laufende Monitoring von Geschäftsbeziehungen nach Art. 26 Abs. 5 der Verordnung (EU) 2024/1624 (AMLR) veröffentlicht. Die Konsultation läuft bis 3. September 2026; eine öffentliche Anhörung fand am 2. Juli 2026 statt. Die finale Fassung soll im vierten Quartal 2026 vorliegen.
Worum es geht: Monitoring als Kernbestandteil der Sorgfaltspflichten
Art. 26 AMLR verpflichtet Verpflichtete, Geschäftsbeziehungen kontinuierlich zu überwachen und Kundeninformationen sowohl periodisch als auch anlassbezogen zu aktualisieren. Transaktionen und Aktivitäten müssen mit dem Wissen über den Kunden, dessen Geschäftstätigkeit und Risikoprofil sowie – soweit relevant – mit Informationen zu Herkunft und Verwendung der Mittel im Einklang stehen. Ergibt die Prüfung Auffälligkeiten, greift der Prüf- und gegebenenfalls Meldepfad nach Art. 69 AMLR.
Die AMLA verfolgt mit den Leitlinien einen ausdrücklich horizontalen Ansatz: Es gibt keine sektorspezifischen Kapitel, sondern Kernprinzipien, die für Finanz- und Nichtfinanzsektor gleichermaßen gelten. Das ist eine bewusste Entscheidung – im Folgenabschätzungsteil begründet die AMLA, warum sie sektorspezifische Abschnitte (Option B) verworfen hat: Fragmentierungsrisiko, hoher Pflegeaufwand und die Gefahr wahrgenommener Ungleichbehandlung.
Vier Grundprinzipien tragen den Entwurf:
Risikobasierter Ansatz – Ziel sind wirksame Ergebnisse, nicht formalistische „tick-the-box“-Compliance.
Proportionalität – bezogen auf Ausgestaltung, Kalibrierung und Intensität der Maßnahmen.
Horizontale Anwendbarkeit über alle Kategorien von Verpflichteten.
Technologieneutralität – kein Zwang zu automatisierten Systemen.
Bemerkenswert ist die ausdrückliche Klarstellung der AMLA, dass Proportionalität nicht als Freibrief für niedrigere Standards bei kleineren Verpflichteten zu verstehen ist. Die Größe ist nur einer von mehreren Faktoren neben Risikoprofil, Komplexität, Umfang der Tätigkeiten und Geschäftsmodell. Die von den Leitlinien angestrebten Ergebnisse sind unabhängig von der Größe zu erreichen.
Leitlinie 1: Aktualität von Kundendokumenten, -daten und -informationen
Der erste Teil beschreibt, wie Kundeninformationen über die gesamte Laufzeit der Geschäftsbeziehung aktuell gehalten werden. Der Entwurf unterscheidet dabei zwischen periodischen Überprüfungen (Art. 26 Abs. 2 AMLR) und anlassbezogenen Überprüfungen („event-driven reviews“, Art. 26 Abs. 3 AMLR). Wichtig für die Praxis: Wird eine Überprüfung früher als geplant durchgeführt, kann dies die Frist für die nächste Aktualisierung neu starten.
Als zulässige Informationsquellen nennt der Entwurf amtliche Register und Datenbanken, seriöse kommerzielle Anbieter und verlässliche offene Quellen, Angaben anderer Verpflichteter sowie – ausdrücklich – Informationen oder Bestätigungen des Kunden selbst, schriftlich oder digital. Bestätigt ein Kunde bereits erhobene Daten, ist risikoabhängig zu beurteilen, ob die Verlässlichkeit dieser Erklärung über unabhängige Quellen zu verifizieren ist. Handelt ein Vertreter für den Kunden, ist zu prüfen, ob dieser über die erforderliche Kenntnis und Vertretungsmacht verfügt.
Abgelaufene Ausweisdokumente: keine automatische Neuerhebung
Ein praktisch bedeutsamer Punkt – von der AMLA selbst unter der Überschrift „Vereinfachung“ geführt – ist der Umgang mit abgelaufenen Ausweisdokumenten. Diese müssen nicht standardmäßig neu eingeholt werden, sondern nur, wenn eine Risikobeurteilung dies rechtfertigt. Zu berücksichtigen sind unter anderem:
Risiko des Kunden und der Geschäftsbeziehung sowie Risiko des Ausstellungsstaats;
Dauer, seit der das Dokument abgelaufen ist;
Vorhandensein aktueller Sicherheitsmerkmale (ältere Dokumente sind leichter fälschbar);
ob ein neu ausgestelltes Dokument zusätzliche relevante Informationen liefern würde;
Zweifel an der fortdauernden Richtigkeit oder Echtheit der bisherigen Identifizierungsdaten.
Wird eine Aktualisierung als erforderlich beurteilt, ist risikoabhängig zu entscheiden, ob sie unverzüglich zu erfolgen hat oder bis zur nächsten planmäßigen Überprüfung bzw. bis zum nächsten Kundenkontakt (etwa bei Beantragung eines neuen Produkts) zurückgestellt werden kann.
Tiefe und Intensität periodischer Überprüfungen
Periodische Überprüfungen sind zwingend nach Art. 26 Abs. 2 AMLR durchzuführen – Tiefe und Intensität dürfen jedoch risikobasiert angepasst werden. Besteht eine Geschäftsbeziehung fort, ohne dass seit der letzten Aktualisierung neue Aktivitäten stattgefunden haben oder neue Produkte angeboten wurden, kann die Überprüfung bei risikoarmen Kunden reduziert ausfallen: etwa Abfrage von Firmenbuch bzw. Handelsregister und weiteren verlässlichen Quellen, PEP- und Adverse-Media-Screening sowie interne Prüfung, ob sich Zweck oder Natur der Geschäftsbeziehung verändert haben.
Auslösende Ereignisse
Der Entwurf listet nicht abschließend vier Kategorien von Trigger-Ereignissen auf: Änderungen von Identität, Rechtsform oder Eigentümerstruktur; Verhaltens-, Aktivitäts- oder Transaktionsauffälligkeiten (einschließlich wiederholter oder ungewöhnlicher Wechsel von IP-Adresse oder Gerätestandort); risikorelevante Erkenntnisse wie neue Negativpresse, neuer PEP-Status, Verfahren wegen möglicher ML/TF-Verstöße oder Hinweise von Behörden; sowie wesentliche Veränderungen der finanziellen Lage, der Mittelherkunft oder der Geschäftstätigkeit.
Zur Erkennung solcher Ereignisse verweist der Entwurf auf intern entwickelte Risikoindikatoren mit Eskalationskanälen, Alerts aus dem Transaktionsmonitoring, Register- und Datenbankabfragen, externe Quellen (FIU-Kommunikation, Behördenhinweise) sowie den strukturierten Informationsaustausch zwischen Front Office, Risikomanagement, Compliance und Geldwäscheprävention.
Aussetzung oder Einschränkung statt sofortiger Beendigung
Ein für die Praxis wichtiger Abschnitt betrifft den Fall, dass ein Kunde auf Aktualisierungsersuchen nicht reagiert. Grundsätzlich gilt nach Art. 20, 21 und 26 AMLR: Wer Kundendaten nicht aktuell halten kann, hat Transaktionen zu unterlassen und die Geschäftsbeziehung zu beenden. Der Entwurf eröffnet hier eine Zwischenstufe – vor Beendigung dürfen Transaktionen, Aktivitäten oder Dienstleistungen vorübergehend ausgesetzt oder eingeschränkt werden, sofern die ML/TF-Risiken damit wirksam gesteuert werden können.
Bei der Beurteilung sind vier Faktoren zu berücksichtigen: ob kein Trigger-Ereignis im Sinne des Art. 26 Abs. 3 AMLR eingetreten ist, das Risikoniveau des Kunden, die Art der Produkte und Dienstleistungen sowie die Frage, ob die vorhandenen Unterlagen für die Risikosteuerung noch ausreichen. Ausdrücklich klargestellt wird zudem, dass das Ausbleiben von Transaktionen die ML/TF-Risiken nicht beseitigt – insbesondere dann nicht, wenn Vermögenswerte verwahrt werden und sich wirtschaftliches Eigentum oder Kontrolle ändern.
Die Maßnahme ist als temporär konzipiert und setzt wiederholte, angemessene Bemühungen um die Datenaktualisierung voraus. Sie gilt unbeschadet der Zahlungskontenrichtlinie (RL 2014/92/EU) und der Dokumentationspflicht nach Art. 21 Abs. 3 AMLR.
Leitlinie 2: Rahmenwerk für das Transaktions- und Aktivitätsmonitoring
Der zweite Teil regelt Konzeption und Betrieb des Monitoring-Rahmenwerks. Ausgangspunkt ist stets die unternehmensweite Risikoanalyse (Business-Wide Risk Assessment). Das Rahmenwerk soll bestehende Systeme aus anderen Rechtsakten nutzen – genannt werden die Geldtransferverordnung (EU) 2023/1113 und der Vorschlag für eine Zahlungsdiensteverordnung (PSR) –, auf vollständigen und aktuellen Daten aufsetzen, sämtliche Produkte und Dienstleistungen abdecken und wesentliche Abweichungen vom erwarteten Verhalten erkennen können.
Neu gegenüber der bisherigen Praxis ist die konsequente Erweiterung von „Transaktionsmonitoring“ auf „Transaktions- und Aktivitätsmonitoring“. Die AMLA hat diesen Begriff eingeführt, um Geschäftsmodelle abzubilden, bei denen keine kontinuierlichen Zahlungsströme anfallen. Wo beides möglich ist, sind auch beide gleichermaßen zu überwachen.
Manuell, automatisiert oder teilautomatisiert
Der Entwurf schreibt keine Technologie vor. Verpflichtete, die strukturell keinen oder nur eingeschränkten Zugang zu Transaktionsdaten haben, keine Transaktionen ausführen oder deren Volumina, Geschwindigkeit und Komplexität den Einsatz automatisierter Systeme nicht rechtfertigen, dürfen auf manuelle Prozesse und Kontrollen zurückgreifen. Diese müssen dokumentenbasierte Prüfungen, periodische und anlassbezogene Reviews sowie – wo relevant – Vor-Transaktions-Prüfungen umfassen und geeignet sein, ungewöhnliche oder verdächtige Vorgänge zu erkennen.
Umgekehrt gilt: Der bloße Einsatz automatisierter Werkzeuge ist kein Wirksamkeitsnachweis. Maßstab ist allein, ob relevante ML/TF-Risiken ohne unangemessene Verzögerung erkannt und eskaliert werden.
Vier Punkte verdienen besondere Aufmerksamkeit:
Voreinstellungen zugekaufter Tools dürfen nicht ungeprüft übernommen werden; ihre Angemessenheit ist dokumentiert zu beurteilen und zu kalibrieren.
Peer Groups dürfen das Verständnis des einzelnen Kunden unterstützen, aber nicht ersetzen; das Fehlen einer Abweichung auf Peer-Group-Ebene darf Risikoindikatoren auf Einzelkundenebene nicht entkräften.
Automatisierte Fallschließung ist nur zulässig, wenn die automatisierte Analyse keine Verdachtsmomente oder wesentlichen Risikoindikatoren ergibt – nicht bei erhöhtem Risiko oder verstärkten Sorgfaltspflichten.
Auslagerung und Vertriebsnetze entbinden nicht von der Verantwortung für die Wirksamkeit des eigenen Rahmenwerks.
Vor-, Echtzeit- und Nachtransaktionsmonitoring
Der Entwurf definiert drei Ausprägungen und behandelt sie ausdrücklich nicht als austauschbar: Pre-Transaction-/Pre-Activity-Monitoring (Beurteilung vor Ausführung, präventiv), Real-Time-Monitoring (Analyse im Ausführungszeitpunkt) und Post-Transaction-/Post-Activity-Monitoring (nachgelagerte Analyse, auch aggregiert und musterbasiert).
Kann ein Verpflichteter vor Ausführung eingreifen, soll er dies auch tun. Bestehen objektive rechtliche oder technische Beschränkungen, sind diese zu dokumentieren und durch mitigierende Maßnahmen auszugleichen. Zwei Aussagen sind hier besonders scharf formuliert: Solche Beschränkungen dürfen erstens nicht aus der Ausgestaltung von Produkten, Dienstleistungen oder Geschäftspraktiken resultieren oder durch sie verstärkt werden. Zweitens dürfen rechtliche oder technische Hindernisse nicht als Rechtfertigung dafür dienen, auf Vor-Transaktions-Monitoring zu verzichten, wo der Verpflichtete tatsächlich eingreifen könnte.
Umgang mit Monitoring-Ergebnissen und interne Kontrollen
Ergebnisse aus dem Monitoring – gleich ob automatisiert erzeugt oder manuell gewonnen – sind ohne unangemessene Verzögerung zu beurteilen, risikobasiert zu priorisieren und bei weiterem Analysebedarf an Personen mit hinreichender Kundenkenntnis und Fachkompetenz zu eskalieren. Verpflichtete müssen auf Anfrage erklären können, wie Ergebnisse bewertet, eskaliert und erledigt wurden. Ausdrücklich gefordert werden Mechanismen zur Erkennung und Steuerung von Rückständen bei offenen Alerts sowie Vorkehrungen zur Objektivität und Vermeidung von Interessenkonflikten.
Für die interne Revision und die Wirksamkeitsbeurteilung enthält der Entwurf eine bemerkenswerte Aussage: Wirksamkeit soll nicht allein an Alert- oder Meldevolumina oder an der Breite der abgedeckten Typologien gemessen werden. Maßstab sind vielmehr die Rechtzeitigkeit der Eskalation, die Angemessenheit der Ergebnisse, wiederkehrende Mängel und die Frage, ob das Rahmenwerk die relevanten Risiken weiterhin adressiert. Flankierend verlangt der Entwurf robuste Datenqualitätskontrollen, Datenvalidierung und regelmäßiges Data Cleansing; für Tests sollen möglichst synthetische oder anonymisierte Daten verwendet werden.
Einordnung in das übrige Regelwerk
Die Leitlinien stehen nicht für sich. Das Konsultationspapier verweist ausdrücklich auf die Wechselwirkungen mit den Leitlinien zur unternehmensweiten Risikoanalyse (Art. 10 Abs. 4 AMLR), den internen Grundsätzen und Kontrollen (Art. 9 AMLR), den RTS zu Geschäftsbeziehungen, gelegentlichen und verbundenen Transaktionen (Art. 19 Abs. 9 AMLR), den RTS zu den Sorgfaltspflichten (Art. 28 Abs. 1 AMLR) sowie den künftigen Leitlinien zu Verdachtsindikatoren (Art. 69 Abs. 5 AMLR).
Die RTS-Entwürfe zu Art. 19 Abs. 9 und Art. 28 Abs. 1 AMLR wurden am 9. Februar 2026 zur Konsultation gestellt (Frist: 8. Mai 2026). Für die Abgrenzung zwischen Geschäftsbeziehung und gelegentlicher Transaktion sind sie unmittelbar relevant, weil sie bestimmen, ob überhaupt eine laufende Überwachungspflicht entsteht. Der vorliegende Leitlinienentwurf greift dies in Rz. 74 auf: Stellt sich nach einer Serie gelegentlicher Transaktionen heraus, dass eine Geschäftsbeziehung besteht, sind diese Transaktionen nachträglich auf Auffälligkeiten zu prüfen.
Bedeutung für kleine und nicht komplexe Institute
Für kleine und nicht komplexe Institute (Small and non complex institutions - SNCIs) ist der Entwurf in mehrfacher Hinsicht relevant – und die Botschaft ist zweigeteilt.
Entlastend wirken vor allem drei Elemente: die ausdrückliche Zulässigkeit manueller und teilautomatisierter Prozesse, sofern sie zu wirksamen Ergebnissen führen; der Verzicht auf eine automatische Neuerhebung abgelaufener Ausweisdokumente; und die Möglichkeit, Tiefe und Intensität periodischer Überprüfungen bei risikoarmen, unveränderten Geschäftsbeziehungen zu reduzieren. Die AMLA kündigt zudem an, ergänzende Kommunikationsmaterialien – Factsheets und/oder Explainer – insbesondere für kleinere Verpflichtete zu erwägen.
Belastend wirkt dagegen die durchgängige Dokumentations- und Begründungslast. Fast jede Erleichterung ist an eine dokumentierte, aus der unternehmensweiten Risikoanalyse abgeleitete Begründung geknüpft. Die AMLA räumt in ihrer Folgenabschätzung selbst ein, dass gerade kleinere Verpflichtete zusätzliche Anfangskosten haben werden, um ein hinreichend belastbares Verständnis ihrer Risiken zu entwickeln.
Konkret ergeben sich für SNCIs folgende Handlungsfelder:
Die unternehmensweite Risikoanalyse wird zum Nadelöhr: Ohne belastbare unternehmensweite Risikoanalyse lässt sich keine der proportionalen Erleichterungen begründen.
Zugekaufte Monitoring-Software darf nicht mit Default-Parametern betrieben werden – gerade bei SNCIs, die typischerweise Standardlösungen einsetzen, entsteht hier ein dokumentierter Kalibrierungsbedarf.
Schulung und Urteilsfähigkeit des Personals: Der Entwurf verlangt, dass Mitarbeitende Ergebnisse des Monitorings verstehen, interpretieren und hinterfragen können – reine Bedienerschulung reicht nicht.
Alert-Rückstände werden zum expliziten Aufsichtsthema; Kapazitätsengpässe im Backoffice sind entsprechend zu steuern und zu dokumentieren.
💡 Hinweis für kleine und nicht komplexe Institute:
Prüfen Sie bis 3. September 2026, ob eine Konsultationseingabe sinnvoll ist. Frage 7 zielt ausdrücklich auf Vereinfachungs- und Proportionalitätsvorschläge; Fragen 3 und 6 fragen quantifizierte Kostenschätzungen ab – hier zählen konkrete Zahlen aus dem eigenen Haus mehr als allgemeine Bedenken.
Nehmen Sie eine Gap-Analyse entlang der beiden Leitlinien vor: Welche Trigger-Ereignisse erkennt Ihr Haus heute systematisch, welche nur zufällig über Kundenkontakt?
Dokumentieren Sie die Begründung Ihrer Monitoring-Architektur (manuell/ teilautomatisiert/ automatisiert) mit Bezug auf die unternehmensweite Risikoanalyse. Diese Herleitung ist der Anker für jede spätere Proportionalitätsargumentation gegenüber der Aufsicht.
Lassen Sie sich von Ihrem Softwareanbieter offenlegen, welche Schwellenwerte, Szenarien und Voreinstellungen ausgeliefert wurden, und halten Sie Ihre Angemessenheitsprüfung schriftlich fest. Wo der Anbieter keine ausreichenden Informationen bereitstellt, sieht der Entwurf vor, dass das Tool für ergebnisrelevante Monitoring-Funktionen nicht verwendet werden soll.
Verankern Sie „Monitoring-Fähigkeit“ als Prüfkriterium im Neue-Produkte-Prozess – der Entwurf untersagt es, Überwachungslücken durch Produktdesign zu verursachen oder zu verstärken.
Ergänzen Sie Ihr internes Kontrollsystem um eine periodische Wirksamkeitsprüfung des Monitorings, die nicht nur Alert- und Meldezahlen betrachtet, sondern Eskalationszeiten, Ergebnisqualität und wiederkehrende Mängel.
Beobachten Sie parallel die RTS zu Art. 19 Abs. 9 und Art. 28 Abs. 1 AMLR sowie die künftigen Leitlinien zu Verdachtsindikatoren (Art. 69 Abs. 5 AMLR) – die Leitlinien zum laufenden Monitoring lassen sich ohne diese Bausteine nicht vollständig umsetzen.
Quelle / Eckdaten
👉 Link zum Dokument | |
📅 Veröffentlichung | 3. Juni 2026 |
Art des Dokuments | Konsultationspapier mit Leitlinienentwurf und Folgenabschätzung/Kosten-Nutzen-Analyse (Level-3-Maßnahme im Entwurfsstadium) |
Herausgeber | Authority for Anti-Money Laundering and Countering the Financing of Terrorism (AMLA), Frankfurt am Main |
⚖️ Rechtsgrundlage | Art. 26 Abs. 5 der Verordnung (EU) 2024/1624 (AMLR); Konsultationspflicht nach Art. 54 Abs. 2 der Verordnung (EU) 2024/1620 (AMLAR) |
Adressaten | Verpflichtete im Sinne des Art. 3 AMLR (Finanz- und Nichtfinanzsektor) sowie Aufsichtsbehörden im Sinne des Art. 2 Abs. 1 Nr. 46 AMLR |
✅ Status | Entwurf, nicht bindend. Konsultation bis 3. September 2026, 23:59 Uhr (MESZ). Öffentliche Anhörung am 2. Juli 2026. Finale Leitlinien für Q4 2026 angekündigt. |
📅 Erstanwendung | Im Konsultationsdokument nicht festgelegt – dies ist eine offene Frage. Die zugrunde liegende AMLR gilt ab 10. Juli 2027; ob die Leitlinien zeitgleich oder abweichend anzuwenden sein werden, geht aus dem Entwurf nicht hervor. |
