Die Standards kommen - aber rechtzeitig? RTS-Lücken auf dem Weg zum 10. Juli 2027
Datum: 2026-08-03
Der 10. Juli 2027 ist kein Datum, das Compliance-Verantwortliche auf die leichte Schulter nehmen dürfen. Ab diesem Tag gilt die Anti-Money Laundering Regulation (AMLR). Die neuen EU-weit gültigen Regelungen zur Prävention von Geldwäsche, Terrorismusfinanzierung und Sanktionsumgehung. Zusätzlich dient dieser Tag aber auch als Deadline für die nationale Umsetzung der Anti-Money Laundering Directive (AMLD) – einer Richtlinie aus dem Anti-Geldwäsche-Paket der EU. Anders als EU-Verordnungen gelten Richtlinien nicht unmittelbar EU-weit.
Zahlreiche Regulatory Technical Standards (RTS) und Implementing Technical Standards (ITS), die für die praktische Anwendung der Verordnung und Richtlinie ab Juli 2027 zwingend erforderlich sind, befinden sich aktuell in der Konsultationsphase oder wurden noch nicht veröffentlicht. Die hierfür zuständige neue Behörde Authority for Anti-Money Laundering and Countering the Financing of Terrorism – kurz AMLA - schreibt selbst, dass der Zeitplan für die rechtzeitige Ausarbeitung und Bereitstellung aller Dokumente äußerst knapp bemessen ist.
Für Unternehmen, die ab Juli 2027 ihre Pflichten nach der EU-Verordnung umsetzen müssen, bedeutet das: Sie müssen Compliance-Strukturen auf Basis unvollständiger Vorgaben aufbauen und gleichzeitig flexibel genug bleiben, um nachzusteuern, sobald finale Standards vorliegen. Diese Unsicherheit stellt eine eindeutige operative Herausforderung für Verpflichtete dar, die bereits jetzt – ein knappes Jahr vor Inkrafttreten der Verordnung, strategische Entscheidungen erfordert.
Was bereits feststeht: Die finalen RTS
Nicht alles ist im Unklaren. Einige RTS sind bereits finalisiert und bieten Unternehmen eine verlässliche Planungsgrundlage. Besonders relevant ist der RTS zu Art. 40(2) AMLD, dieser dient der Festlegung einer gemeinsamen Methodik, anhand derer die Aufsichtsbehörden das Ausmaß des Risikos der Geldwäsche und der Terrorismusfinanzierung (ML/TF) bewerten, dem die Verpflichteten ausgesetzt sind.
Diese Methodik legt fest, wie die Aufsichtsbehörden inhärente und verbleibende Risikoprofile klassifizieren und bestimmt, wie oft diese Risikoprofile überprüft werden müssen.
Ebenso ist der RTS zu Art. 12 Abs. 7 AMLAR bereits abgeschlossen. Dieser legt zum einen die Mindestaktivitäten fest, die ein Kreditinstitut oder Finanzinstitut im Rahmen des freien Dienstleistungsverkehrs in einem anderen Mitgliedstaat ausüben muss, damit es dort als „tätig" im Sinne des Auswahlverfahrens gilt. Zum anderen definiert er – aufbauend auf der Methodik des RTS zu Art. 40 Abs. 2 AMLD – die Bewertungsmethodik zur Einstufung des inhärenten Risikoprofils und des Restrisikoprofils für die Zwecke der Auswahl zur direkten Beaufsichtigung durch die AMLA.
Festzuhalten ist, dass dieser RTS somit die Methodik beschreibt, anhand derer die AMLA künftig bestimmt, welche besonders relevanten, grenzüberschreitend tätigen und risikobehafteten Institute ihrer unmittelbaren Aufsicht unterstellt werden.
Das größte Fragezeichen: CDD-Datenpunkte nach Art. 28(1) AMLR
Im Zentrum der offenen RTS-Fragen steht Art. 28(1) AMLR, die Vorschrift, die exakt definiert, welche Datenpunkte im Rahmen der Customer Due Diligence (CDD) zu erheben sind. Bis zum 10. Juli 2026 sollte die AMLA die finalen Draft-Versionen dieser RTS der Europäischen Kommission zur Annahme vorlegen. Zwischen dem Einreichen bei der Kommission und dem Inkrafttreten liegt dann noch der Adoptionsprozess.
Der RTS deckt Anforderungen an Standard-CDD, vereinfachte und verstärkte Sorgfaltspflichten ab, einschließlich Vorgaben zu elektronischen Identifikationsmitteln und verifizierbaren Informationsquellen.
Für Compliance-Teams gilt: Die Konsultationsentwürfe jetzt lesen – alle finalen DRAFT-Dokumente werden hier veröffentlicht, die Annahme durch die EU-Kommission gilt Expert:innen zufolge als Formsache - und IT-Systeme so vorbereiten, dass neue Datenpunkte modular ergänzt werden können ohne vollständige Neuentwicklung. Die Weiterentwicklung bestehender IT-Systeme ist jedoch keineswegs unkompliziert oder schnell umsetzbar, sondern kann mit erheblichem organisatorischem und finanziellem Aufwand verbunden sein.
Unter Umständen lassen sich anstehende Änderungen gar nicht in die vorhandenen Systeme integrieren, sodass eine vollständige Neuentwicklung erforderlich wird. Umso wichtiger ist es, dass sich die Verpflichteten frühzeitig mit der Thematik auseinandersetzen, um Verzögerungen zu vermeiden.
Schwellenwerte und Methodik: Art. 19(9) AMLR im Schwebezustand
Der RTS zu Art. 19(9) AMLR regelt die Abgrenzung von Geschäftsbeziehungen von gelegentlichen und verbundenen Transaktionen sowie mögliche Schwellenwerte für erleichterte CDD. Bemerkenswert ist dabei die gewählte Definitionslogik: Der Entwurf definiert die Geschäftsbeziehung positiv über konkrete Kriterien, während die gelegentliche Transaktion negativ definiert wird. Alles, was keine Geschäftsbeziehung darstellt, fällt automatisch darunter.
Diese Systematik ist für die Praxis entscheidend, denn sie bestimmt, ob CDD zwingend oder nur oberhalb bestimmter Schwellenwerte greift. Zugleich hat sich die AMLA bewusst gegen die Ausübung ihrer Befugnis entschieden, niedrigere CDD-Schwellenwerte für gelegentliche Transaktionen festzulegen. Eine Entscheidung, die den risikobasierten Ansatz stärkt, Verpflichteten aber auch mehr eigene Bewertungsspielräume und damit Auslegungsrisiken überlässt.
Der Entwurf enthält zudem Kriterien zur Erkennung verbundener Transaktionen, die verhindern sollen, dass Schwellenwerte durch künstliche Aufsplittung umgangen werden (sogenantes Smurfing), ein Punkt mit unmittelbarer Relevanz für Transaktionsmonitoring-Systeme.
Compliance-Teams sollten die Klassifizierungslogik schon jetzt in ihre Onboarding- und Monitoring-Prozesse übernehmen, um spätere Anpassungen auf ein Minimum zu reduzieren.
Gruppenanforderungen Art. 16(4)/17(3) AMLR: Einreichung bei der Kommission erst im September 2026
Für international aufgestellte Finanzgruppen ist der Zeitplan besonders angespannt. Die AMLA eröffnete am 16. April 2026 die Konsultation zu den Draft-RTS unter Art. 16(4) und 17(3) AMLR, den Mindeststandards für gruppenweite AML/CFT-Rahmenwerke und Drittlandmaßnahmen. Die Einreichung bei der Kommission ist für den 30. September 2026 geplant. Das heißt konkret: dieser RTS wird frühestens Ende 2026 oder Anfang 2027 Rechtswirkung entfalten. Der RTS adressiert dabei auch die kritische Frage, was passiert, wenn lokale Drittlandgesetze die Einhaltung der AMLR verhindern. Folgen hiervon umfassen Einschränkungen von Geschäftsbeziehungen oder Schließung von Niederlassungen. Für Gruppen-Compliance-Teams gilt deshalb schon jetzt, dass Gap-Analyse ihrer Drittlandtöchter angestoßen werden sollten, um auch dort rechtzeitig für Anpassungen zu sorgen.
Business-Wide Risk Assessment (BWRA) nach Art. 10(4) AMLR: Guidelines statt RTS
Ein Detail mit erheblicher praktischer Tragweite: Anders als bei den CDD-Anforderungen hat die AMLA für das Business-Wide Risk Assessment (BWRA) nicht den Weg über RTS gewählt, sondern über Guidelines. Das ist kein rein technischer Unterschied, sondern signalisiert einen stärker prinzipienbasierten Ansatz, der Verhältnismäßigkeit und Eigenverantwortung der Verpflichteten betont.
Die Draft Guidelines unter Art. 10(4) AMLR legen vier Mindestanforderungen für alle Verpflichteten fest, für den Finanz- wie Nicht-Finanzsektor gleichermaßen.
Der Entwurf folgt einem dreistufigen Bewertungsmodell: inhärentes Risiko, Kontrollqualität, Restrisiko.
Bis zur finalen Annahme der Guideline durch die Kommission dürfte noch etwas Zeit vergehen. Von da an bis zum Inkrafttreten im Juli 2027 bleibt nur wenig Zeit. Für viele Organisationen wird dies absehbar zu knapp bemessen sein, um grundlegende Prozesse und Dokumentationsstrukturen rein mit internen Ressourcen neu aufzusetzen. Sobald die finale Guideline veröffentlicht wird, sollte die Zeit- und Ressourcenplanung konkret beginnen – sowie die Suche nach externen Umsetzungspartnern, sollten die internen Ressourcen absehbar nicht ausreichen.
Laufende Überwachung nach Art. 26(5) AMLR: Guidelines statt RTS
Auch bei der laufenden Überwachung von Geschäftsbeziehungen hat sich die AMLA für Guidelines statt für RTS entschieden und lässt mit diesem Ansatz den Verpflichteten mehr Auslegungsspielraum, verlangt aber zugleich auch mehr Eigenverantwortung bei der Ausgestaltung konkreter Kontrollprozesse. Die Draft Guidelines unter Art. 26(5) AMLR konkretisiert, wie Kundendaten aktuell zu halten sind und wie Transaktionen sowie Aktivitäten kontinuierlich auf Auffälligkeiten zu prüfen sind. Anforderungen, die eng mit den Aktualisierungsfristen aus Art. 26(2) AMLR verzahnt sind (ein Jahr bei Hochrisikokunden, fünf Jahre bei allen übrigen).
Praktisch bedeutet das: Monitoring-Systeme müssen künftig nicht nur Transaktionsmuster erkennen, sondern auch automatisiert Flags auslösen, wenn Kundendaten fällig zur Aktualisierung sind: eine Verzahnung von Transaktionsüberwachung und Datenpflege, die viele bestehende IT-Architekturen bislang nicht abbilden. Da Guidelines anders als RTS nicht direkt anwendbar, sondern als Auslegungshilfe konzipiert sind, greift hier zusätzlich das Prinzip „comply or explain“:
Wer von den Guidelines abweicht, muss dies gegenüber der Aufsicht begründen können. Für Compliance-Teams verschiebt sich damit der Fokus von reiner Umsetzung hin zu dokumentierter Risikoabwägung.
RTS-Sanktionen nach Art. 53(10) AMLD: Ein neues Preisschild für Compliance-Verstöße
Der RTS zu Art. 53(10) AMLD legt fest, nach welchen Indikatoren die Schwere von Verstößen eingestuft wird, welche Kriterien bei der Bemessung von Geldbußen oder verwaltungsrechtlichen Maßnahmen gelten und nach welcher Methodik Periodic Penalty Payments, das heißt tägliche Zwangsgelder bis zur Behebung eines Verstoßes, berechnet werden.
Inhaltlich zeichnet sich ein Kategoriensystem von der Verwarnung bis zum Lizenzentzug ab, das systemische Versäumnisse bei der Kundenaktualisierung besonders hart bestraft.
Für Verpflichtete heißt das: Das finanzielle Risiko wird kalkulierbarer, aber absehbar strenger. Wer die interne Verstoß-Einstufung jetzt mit der AMLA-Logik abgleicht, vermeidet böse Überraschungen, wenn Anpassungen kaum noch rechtzeitig möglich sind.
Wenn der Stichtag kommt, bevor die Standards stehen
Was passiert rechtlich, wenn die AMLR am 10. Juli 2027 in Kraft tritt und die AMLD in nationales Recht umgesetzt werden muss, aber bestimmte RTS und Guidelines noch nicht in Kraft sind? Die Regelungen gelten trotzdem. Ohne die finalen Detailvorgaben müssen sich Unternehmen auf die Prinzipien der Verordnung, auf Konsultationsentwürfe als faktischen Orientierungsrahmen und, wo noch kompatibel, auf bestehende EBA-Guidelines stützen.
Die AMLA hat klargestellt, dass bestimmte EBA-Guidelines weiter gelten, bis eigene Instrumente in Kraft treten. Das schafft eine Übergangsbrücke, aber keine vollständige Rechtssicherheit. Entscheidend ist die Dokumentation: Wer nachweisen kann, auf Basis verfügbarer Informationen nach bestem Wissen gehandelt zu haben, steht aufsichtsrechtlich deutlich besser da als jemand, der schlicht abgewartet hat.
Compliance-Lücken durch Ignorieren von zukünftigen Standards birgt erheblichen Risiken und kann zu Sanktionen führen. In jedem Fall erzeugt es einen starken Handlungsdruck, welcher nur mit dem Einsatz von erheblichen Mittel zu bewältigen ist. Unternehmen stehen hier in der Eigenverantwortung den zukünftigen Anforderungen zu genügen.
Praxisleitfaden: Handlungsfähigkeit trotz regulatorischer Lücken
Die entscheidende Frage für Compliance-Verantwortliche lautet nicht, wann die Standards kommen, sondern wie man trotzdem handlungsfähig bleibt. Das setzt vier Dinge voraus:
Erstens: eine laufend gepflegte Übersicht des RTS-Status: Was ist final, was liegt bei der Kommission, was ist noch in Konsultation, was fehlt ganz. Wichtig ist hierbei, dass diese Übersicht stets aktualisiert und erweitert wird.
Zweitens: die konsequente Nutzung von Konsultationsentwürfen als Planungsgrundlage: Inhaltliche Überraschungen im Finaltext sind erfahrungsgemäß die Ausnahme, nicht die Regel.
Drittens: eine Implementierungsarchitektur, die Anpassungen ermöglicht, ohne das Gesamtgefüge neu aufzubauen.
Viertens: das Treffen und das Dokumentieren von klaren Entscheidungen durch die Geschäftsleitung, um Mitarbeitern auch bei unsicheren Entscheidungen, den Rücken zu stärken und Sicherheit zu geben.
Grundsätzlich sollte sich auch gefragt werden, ob mit Inkrafttreten der Verordnung interne Prozesse ausgelagert werden können. Die Zentralisierung der Geldwäscheprävention über das AML-Paket birgt für Verpflichtete auch Vorteile. Das gerade in Deutschland vorherrschende Klein-Klein in der Auslegung und Anwendbarkeit der Vorgaben des Geldwäschegesetzes fällt größtenteils weg. Allgemeingültige – wenn auch weiterhin branchenspezifische – Vorgaben schaffen mehr Raum für zentrale Lösungen.
Kerberos Compliance steht Ihnen hier mit Software und Expertise zur Verfügung. Von einfachen Lösungen zur Kundenidentifizierung bis hin zur Stellung von Geldwäschebeauftragten – alles koordiniert über eine zentrale Plattform: Dem AML desk.
Kontakt aufnehmen
