AMLR und AMLD6: Warum kontinuierliches KYC und KYS automatisiert werden muss

Zusammenfassung: Die AMLR (Verordnung (EU) 2024/1624) gilt ab dem 10. Juli 2027 und legt Höchstfristen für KYC-Aktualisierungen fest: mindestens jährlich für Kunden mit höherem Risiko und mindestens alle fünf Jahre für alle anderen, zusätzlich anlassbezogene Prüfungen. Die AMLD6 (Richtlinie (EU) 2024/1640) stärkt die Transparenzregister, die Verpflichtete prüfen. Perpetual KYC und KYS, automatisiert auf Basis signierter Primärquellendaten, ist der am besten skalierbare Weg, beide Anforderungen zu erfüllen.

Was ist die AMLR?

Die EU-Geldwäscheverordnung (Anti-Money Laundering Regulation, AMLR), formal Verordnung (EU) 2024/1624, ist das einheitliche EU-Regelwerk für Pflichten zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung im Privatsektor. Sie wurde am 19. Juni 2024 im Amtsblatt veröffentlicht und gilt ab dem 10. Juli 2027. Als Verordnung gilt sie unmittelbar in jedem Mitgliedstaat, ohne nationale Umsetzung.

Die AMLR ersetzt die Pflichten, die bisher über die Vierte und Fünfte Geldwäscherichtlinie im nationalen Recht geregelt waren, in Deutschland vor allem im Geldwäschegesetz (GwG). Sie regelt unternehmensweite Risikobewertungen, die Kundensorgfaltspflicht (Customer Due Diligence, CDD), wirtschaftlich Berechtigte, verstärkte und vereinfachte Sorgfaltspflichten, politisch exponierte Personen, gezielte finanzielle Sanktionen und Verdachtsmeldungen. Banken, Zahlungs- und E-Geld-Institute, Versicherer, Krypto-Dienstleister und viele Unternehmen außerhalb des Finanzsektors sind Verpflichtete nach der AMLR.

Die operativen Details legt die neue EU-Geldwäschebehörde AMLA in Frankfurt in technischen Standards fest. AMLA hat den finalen Entwurf der Regulierungsstandards (RTS) zur Kundensorgfaltspflicht nach Artikel 28 Absatz 1 AMLR am 30. September 2026 veröffentlicht. Sie legen fest, welche Informationen Verpflichtete für die allgemeinen, vereinfachten und verstärkten Sorgfaltspflichten erheben müssen, und warten nun auf die Annahme durch die Europäische Kommission.

Was ist die AMLD6, und wie hängt sie mit der AMLR zusammen?

Die Sechste Geldwäscherichtlinie (AMLD6), offiziell Richtlinie (EU) 2024/1640, regelt, welche Vorschriften Mitgliedstaaten, Aufsichtsbehörden und zentrale Meldestellen, bezeichnet als Financial Intelligence Units, kurzFIUs, zur Geldwäscheprävention umsetzen müssen. Während die AMLR den verpflichteten Unternehmen vorgibt, was sie tun müssen, schafft die AMLD6 die nationale Infrastruktur, auf die sie sich stützen. Die Mitgliedstaaten müssen die AMLD6 bis zum 10. Juli 2027 umsetzen; zu diesem Zeitpunkt  wird die AMLD4 in der durch die AMLD5 geänderten Fassung aufgehoben.

Für KYC-Teams ist die Neuordnung der zentralen Register wirtschaftlich Berechtigter der wichtigste Teil der AMLD6, in Deutschland das Transparenzregister. Die Registerbetreiber erhalten Befugnisse, übermittelte Daten zu prüfen, bei Zweifeln an der Richtigkeit auch durch Kontrollen vor Ort. So sollen die Registerdaten angemessener, genauer und aktueller werden. Der Zugang für Personen mit berechtigtem Interesse musste bis zum 10. Juli 2025 sichergestellt sein, weitere Registervorschriften bis zum 10. Juli 2026, wie die Analyse von eucrim zur AMLD6 darlegt.

Hinweis zur Bezeichnung: Manche Publikationen nennen die frühere Richtlinie (EU) 2018/1673 über die strafrechtliche Bekämpfung der Geldwäsche „6. Geldwäscherichtlinie“. In diesem Artikel meint AMLD6 immer die Richtlinie (EU) 2024/1640, die zusammen mit der AMLR und der AMLA-Verordnung (EU) 2024/1620 Teil des EU-Geldwäschepakets von 2024 ist.

Was ändert sich für KYC durch AMLR und AMLD6?

Die AMLR wandelt mehrere flexible nationale Praktiken in feste EU-weite Vorschriften um und die AMLD6 verbessert die Qualität der Register, auf die sich KYC-Teams stützen. Die Tabelle fasst die Änderungen mit dem direktesten Einfluss auf die Kundensorgfaltspflicht zusammen.

Thema	Bisher (AMLD4/AMLD5)	Unter AMLR / AMLD6	Gilt ab
Rechtsform	Richtlinie, in 27 Mitgliedstaaten unterschiedlich umgesetzt	AMLR: eine unmittelbar geltende Verordnung	10. Juli 2027
Aktualisierungsfristen für KYC	Durch nationales Recht und interne Risikopolitik festgelegt	Mindestens einmal im Jahr bei höherem Risiko, mindestens alle 5 Jahre für alle anderen (Art. 26 AMLR), plus anlassbezogene Aktualisierungen	10. Juli 2027
Schwelle für wirtschaftlich Berechtigte	mehr als 25 %	25 % oder mehr, Eigentum und Kontrolle werden parallel geprüft (Art. 52 AMLR)	10. Juli 2027
Unstimmigkeiten mit Registern	National unterschiedlich geregelt	Wesentliche Abweichungen von zentralen Registern grundsätzlich innerhalb von 14 Kalendertagen zu melden	10. Juli 2027
Gezielte finanzielle Sanktionen	Oft ein separater Screening-Prozess	Teil der Kundensorgfaltspflicht	10. Juli 2027
Register wirtschaftlich Berechtigter	Nationale Regeln, uneinheitliche Datenqualität	AMLD6: registerführende Stellen können Daten prüfen und Unternehmen kontrollieren	Gestaffelt, 10. Juli 2025 bis 10. Juli 2027
Detailanforderungen an CDD	Nationale Auslegungshinweise	AMLA-Regulierungsstandards nach Art. 28 Abs. 1 AMLR (finaler Entwurf veröffentlicht am 30. September 2026)	Mit Annahme durch die Europäische Kommission

Quellen: Verordnung (EU) 2024/1624, eucrim zur AMLD6. 

Was ist Perpetual KYC, und warum reichen periodische Prüfungen nicht aus?

Perpetual KYC (pKYC), auch kontinuierliches KYC genannt, ist ein Modell der Sorgfaltsprüfung, bei dem Kundendaten fortlaufend überwacht werden und eine Prüfung startet, sobald sich relevante Daten ändern, statt zu einem festen Kalendertermin. Die Höchstfristen der AMLR sind eine Untergrenze. Eine Kundenakte, die nur alle fünf Jahre geprüft wird, kann den größten Teil dieser Zeit fehlerhaft sein.

Unternehmensdaten ändern sich ständig. Geschäftsführer werden abberufen und neu bestellt, Beteiligungen über- oder unterschreiten die 25-%-Schwelle, Unternehmen verlegen ihren Sitz, fusionieren oder werden insolvent. In einem periodischen Modell bleibt jedes dieser Ereignisse unsichtbar, bis die nächste planmäßige Prüfung ansteht oder die Aufsicht nachfragt.

Periodische Prüfungen erzeugen außerdem Lastspitzen. Unter der AMLR hat jede Kundenakte eine feste Frist, und große Datenbestände juristischer Personen müssen in bestimmten Zeiträumen aktualisiert werden. Manuelle Abgleiche mit dem jeweiligen Handelsregister, PDF-Auszüge und E-Mail-Anfragen an Kunden wachsen linear mit dem Bestand und dokumentieren kaum, was wann, gegen welche Quelle geprüft wurde.

Ein kontinuierlicher Ansatz verändert drei Dinge:

• Aktualität: Eine Änderung im Register löst innerhalb von Tagen statt Jahren eine Prüfung aus.

• Fokus: Analysten bearbeiten Akten, in denen sich tatsächlich etwas geändert hat, statt unveränderte Daten erneut zu bestätigen.

• Nachweis: Jeder Datenpunkt trägt Quelle und Zeitstempel und macht die Akte für Aufsicht und AMLA prüfbar.

Warum gehört Know Your Supplier (KYS) in denselben Prozess?

Know Your Supplier (KYS) überträgt dieselbe Prüflogik auf die andere Seite des Geschäfts: auf Lieferanten, Dienstleister und Partner, an die ein Unternehmen zahlt. Die AMLR regelt die Kundensorgfaltspflicht, doch die zugrunde liegende Frage ist identisch: Ist diese juristische Person, wer sie vorgibt zu sein, wem gehört sie, wer kontrolliert sie, und hat sich etwas geändert?

Das EU-Sanktionsrecht verbietet, gelisteten Personen Gelder oder wirtschaftliche Ressourcen zur Verfügung zu stellen, unabhängig davon, ob sie als Kunde oder als Lieferant auftreten. Ein Lieferant, dessen Eigentümerstruktur sich nach dem Onboarding ändert, kann so zum Sanktions- oder Reputationsrisiko werden, ohne dass sich auf der Käuferseite etwas ändert. Sorgfaltspflichten in der Lieferkette erhöhen den Druck zusätzlich, zu wissen, wer hinter jedem Lieferanten steht.

Wer KYC und KYS auf einer gemeinsamen, verifizierten Datengrundlage betreibt, vermeidet zwei parallele Prozesse, zwei Datenquellen und zwei Prüfpfade für dieselben juristischen Personen. Viele Unternehmen sind zugleich Kunde und Lieferant einer Bank oder eines Konzerns, daher reduziert ein einziger Golden Record pro juristischer Person doppelte Prüfungen und widersprüchliche Daten.

Was erfordert automatisiertes Perpetual KYC und KYS?

Automatisiertes Perpetual KYC und KYS funktioniert nur, wenn die zugrunde liegenden Daten vertrauenswürdig sind. Wer einen Workflow auf veralteten oder ungeprüften Daten automatisiert, erzeugt lediglich schneller falsche Ergebnisse. Vier Bausteine sind entscheidend:

1. Primärquellendaten. Unternehmens- und Eigentümerdaten sollten direkt aus amtlichen Registern stammen oder von einem Anbieter, der sie gegen diese Register validiert, statt aus Selbstauskünften oder kopierten Datenbeständen.

2. Signierte, verifizierbare Daten. Jeder Datensatz sollte kryptografisch signiert sein, damit sich Herkunft und Integrität später prüfen lassen. Verifiable Credentials sind fälschungssichere digitale Nachweise, deren Aussteller und Integrität jeder prüfen kann, ohne den Aussteller zu kontaktieren.

3. Änderungserkennung und Statusaktualisierungen. Das System muss erkennen, wenn sich ein Registereintrag ändert oder ein ausgestellter Nachweis nicht mehr gültig ist, und diese Änderung in die Kunden- oder Lieferantenstammdaten übertragen.

4. Prüfpfad (Audit Trail). Jede Prüfung braucht einen Zeitstempel, Quelle und Ergebnis, damit Compliance-Teams der Aufsicht zeigen können, was zum Zeitpunkt jeder Entscheidung bekannt war.

Die AMLR berücksichtigt auch digitale Identitäten: Nach Art. 22 Abs. 6 lit. b AMLR können Verpflichtete Identitäten mit eID-Mitteln der Vertrauensniveaus „substanziell“ oder „hoch“ und qualifizierten Vertrauensdiensten nach der eIDAS-Verordnung (eIDAS 2.0) prüfen. Die Details regelt der finale Entwurf der AMLA-Standards zur Kundensorgfaltspflicht, den die Kommission noch annehmen muss. Mit den geplanten European Business Wallets könnten Unternehmensdaten künftig als Verifiable Credentials statt als Dokumente ausgetauscht werden.

Wie unterstützt Spherity bei AMLR-konformem KYC und KYS?

Spheritys KYC- und KYS-Lösung automatisiert kontinuierliche KYC- und KYS-Prüfungen mit signierten Unternehmensdaten vom Bundesanzeiger Verlag. Der Bundesanzeiger Verlag, Betreiber des Unternehmensregisters und des Bundesanzeigers in Deutschland, validiert die Daten gegen Primärquellen. Spherity liefert sie als maschinenlesbare, verifizierbare Datensätze für die Verarbeitung in bestehenden Kunden- und Lieferanzenmanagementsystemen von Banken, Finanzinstituten und anderen Verpflichteten.

Spheritys KYC- und KYS-Lösung deckt vier Bausteine ab:

• Primärquellendaten: Die Daten juristischer Personen stammen aus behördlichen Registern und werden durch den Bundesanzeiger Verlag attestiert.

• Verifizierbare Datensätze: Jeder Datensatz ist signiert, sodass Herkunft und Integrität jederzeit geprüft werden können. Somit wird die Auditierbarkeit sichergestellt.

• Automatische Statusaktualisierungen: Anpassungen in den Registerdaten von Geschäftspartnern werden automatisch übermittelt, sodass die entsprechenden Stammdaten automatisiert aktualisiert werden können.

• Prüfbarkeit: Jede Prüfung ist mit Zeitstempel versehen und auf ihre Quelle rückführbar, was Nachweisanforderungen der Aufsicht unterstützt.

Spheritys standardisierte APIs ermöglichen die nahtlose Integration mit bestehenden Systemen. Dies beinhaltet die Unternehmenssuche, den Abruf von Unternehmensdaten sowie deren Monitoring. Spheritys KYC- und KYS-Lösung funktioniert, ohne dass Kunden oder Lieferanten eine digitale Wallet benötigen. Für Organisationen, die sich auf eIDAS 2.0 vorbereiten, stellt Spheritys Lösung EIDA die Integration der European Business Wallet bereit, sodass verifizierte Unternehmensdaten als digitale Nachweise EU-weit ausgetauscht werden können.

Nächste Schritte

Weniger als neun Monate vor dem Geltungsbeginn der AMLR können sich Compliance-Teams in drei Schritten vorbereiten: 

1. Ermitteln, welche Kunden- und Lieferantenakten ihre AMLR-Prüffrist zuerst erreichen;

2. feststellen, wo Daten juristischer Personen noch aus manuellen Registerabfragen stammen; und 

3. Festlegen, welche Datenänderungen automatisch eine Prüfung auslösen sollen.

Wie Spheritys KYC- und KYS-Lösung kontinuierliche KYC- und KYS-Prüfungen mit signierten Daten vom Bundesanzeiger Verlag automatisiert, zeigen Ihnen unsere Experten gerne: Kontaktieren Sie uns oder erfahren Sie mehr auf der Produktseite zur KYC- und KYS-Lösung.