Geldwäschegesetz: Compliance-Pflichten, Risikoanalyse und KYC in der Praxis

Das Geldwäschegesetz ist für viele Unternehmen kein Randthema mehr. Wer als Verpflichteter im Sinne des GwG handelt, muss nicht nur Kundendaten prüfen, sondern Risiken systematisch bewerten, interne Kontrollen aufbauen, wirtschaftlich Berechtigte identifizieren und verdächtige Sachverhalte rechtzeitig melden. Genau an diesem Punkt trennt sich formale Compliance von wirksamer Compliance. Denn das Gesetz verlangt keinen Papierprozess, sondern ein risikobasiertes Managementsystem.

Für Führungskräfte ist das besonders relevant, weil Verstöße schnell über die Fachabteilung hinausreichen. Fehler bei Identifizierung, Dokumentation oder Verdachtsmeldung können nicht nur Bußgelder, sondern auch Reputationsschäden, Aufsichtsmaßnahmen und operative Risiken auslösen. Gleichzeitig wird die Umsetzung technischer: digitale Registrierungen, systemgestützte Prüfungen, Screening-Prozesse und automatisierte Risikoindikatoren prägen die Praxis immer stärker. Das GwG selbst ist auf dem Stand einer Ende 2024 geänderten Fassung; wer Compliance-Prozesse aktuell halten will, muss deshalb auch seine internen Abläufe regelmäßig nachziehen.

Warum das Geldwäschegesetz für Unternehmen ein Führungsthema ist

Das GwG ist kein Spezialgesetz nur für Banken. Es adressiert eine breite Gruppe von Verpflichteten und baut auf einem klaren Prinzip auf: Risiken der Geldwäsche und Terrorismusfinanzierung sollen früh erkannt, bewertet, gesteuert und gemeldet werden. Genau deshalb beginnt der gesetzliche Aufbau nicht mit Detailformularen, sondern mit Begriffsbestimmungen, Verpflichteten und dem risikobasierten Ansatz. Danach folgen Risikomanagement, Sorgfaltspflichten, Transparenzregister und Verdachtsmeldungen. Wer diese Reihenfolge versteht, versteht auch die Logik guter GwG-Compliance.

In der Unternehmenspraxis heißt das: Ein gutes GwG-System ist nicht nur juristisch korrekt, sondern organisatorisch anschlussfähig. Es braucht Verantwortlichkeiten, Schulungen, Kontrollen, Prüfpfade und eine belastbare Dokumentation. Damit wird Geldwäscheprävention zu einem Teil des gesamten Governance- und Kontrollrahmens.

Wer nach dem GwG verpflichtet ist

§ 2 GwG definiert, wer Verpflichteter im Sinne des Gesetzes ist. Dazu zählen unter anderem Kreditinstitute, Finanzdienstleister, Versicherungsunternehmen in bestimmten Bereichen, Rechtsanwälte und Steuerberater in bestimmten Konstellationen, Immobilienmakler sowie weitere Berufsgruppen und Unternehmen, soweit sie in Ausübung ihres Gewerbes oder Berufs handeln. Für Unternehmen ist deshalb die erste zentrale Frage nicht: „Gilt das GwG irgendwie?“, sondern: „Fallen wir nach § 2 tatsächlich in den Kreis der Verpflichteten und in welchen konkreten Geschäftsvorgängen?“

Gerade für Steuerberater, Immobilienakteure und andere nichtfinanzielle Verpflichtete ist das entscheidend. In vielen Organisationen wird die Relevanz des Gesetzes zu spät erkannt, weil Geldwäscheprävention irrtümlich als reines Bankenthema gilt. Strategisch sinnvoll ist deshalb eine saubere Eintrittsprüfung: Welche Leistungen sind GwG-relevant, welche Geschäftsvorfälle lösen Pflichten aus, und welche Teams sind betroffen?

Die zentralen Compliance-Pflichten nach dem Geldwäschegesetz

Risikoanalyse

§ 5 GwG verpflichtet Verpflichtete dazu, die Risiken der Geldwäsche und Terrorismusfinanzierung zu ermitteln und zu bewerten, die für ihre Geschäfte bestehen. Das ist kein einmaliges Dokument für den Prüfungsordner, sondern die fachliche Grundlage für alles Weitere. Ohne belastbare Risikoanalyse sind interne Sicherungsmaßnahmen, Prüfungsintensität und Schulungsbedarf kaum sauber ableitbar.

In der Praxis sollte die Risikoanalyse mindestens auf vier Ebenen denken: Kunden, Produkte oder Dienstleistungen, Transaktionsmuster und Vertriebskanäle beziehungsweise Länderbezug. Hinzu kommen branchenspezifische Faktoren, etwa komplexe Beteiligungsstrukturen, wirtschaftlich schwer durchschaubare Eigentumsverhältnisse oder ungewöhnliche Zahlungswege. Das Gesetz verweist hierfür ausdrücklich auf einen risikobasierten Ansatz und auf Faktoren für potenziell geringere oder höhere Risiken.

Für das Management bedeutet das: Eine gute Risikoanalyse priorisiert. Sie verhindert, dass Unternehmen überall mit derselben Prüfungsintensität arbeiten, und lenkt Ressourcen dahin, wo das Risiko tatsächlich höher ist. Genau das macht GwG-Compliance wirtschaftlich tragfähig.

Interne Sicherungsmaßnahmen

§ 6 GwG verlangt angemessene geschäfts- und kundenbezogene interne Sicherungsmaßnahmen, um Risiken zu steuern und zu mindern. Dazu gehören Grundsätze, Verfahren und Kontrollen. Die BaFin konkretisiert in ihren Auslegungs- und Anwendungshinweisen diesen Gedanken deutlich und verbindet ihn mit Anforderungen an Governance, Verantwortlichkeiten, Ausstattung und Kontrollpraxis.

Praktisch sollten Unternehmen mindestens diese Bausteine fest verankern:
eine klare Zuständigkeitsordnung, nachvollziehbare Arbeitsanweisungen, Schulungen für betroffene Mitarbeitende, dokumentierte Prüfprozesse, Eskalationswege, Hinweisgebersysteme und eine regelmäßige Wirksamkeitskontrolle. Je nach Risikolage kann auch die Bestellung eines Geldwäschebeauftragten oder einer entsprechenden Funktion sinnvoll oder erforderlich sein.

Hier liegt auch der richtige Ort für die zweite Vertiefung: die Implementierung eines CMS. GwG-Pflichten funktionieren langfristig nur stabil, wenn sie nicht isoliert, sondern als Teil eines Compliance-Management-Systems organisiert sind. Risikoanalyse, interne Sicherungsmaßnahmen, Schulung, Hinweisgebersystem und Dokumentation sollten deshalb nicht nebeneinander herlaufen, sondern in einer gemeinsamen Governance-Struktur zusammenfinden.

Sorgfaltspflichten und Identifizierung

§ 10 GwG regelt die allgemeinen Sorgfaltspflichten. Dazu gehören insbesondere die Identifizierung des Vertragspartners, die Feststellung, ob der Vertragspartner für einen wirtschaftlich Berechtigten handelt, gegebenenfalls die Identifizierung des wirtschaftlich Berechtigten sowie die laufende Überwachung der Geschäftsbeziehung. Ergänzend dazu regeln §§ 14 und 15, wann vereinfachte oder verstärkte Sorgfaltspflichten in Betracht kommen.

Genau hier zeigt sich, ob ein Unternehmen nur formal oder wirklich risikoorientiert arbeitet. Eine einfache Standardprüfung reicht nicht in jedem Fall. Bei höherem Risiko müssen verstärkte Sorgfaltspflichten zusätzlich zu den allgemeinen Pflichten erfüllt werden. Umgekehrt dürfen vereinfachte Pflichten nicht pauschal angewendet werden, sondern nur auf Grundlage einer nachvollziehbaren Risikobewertung.

Für die operative Umsetzung ist wichtig: Identifizierung ist kein isolierter Schritt am Anfang, sondern Teil einer Prozesskette. Daten müssen aufgenommen, plausibilisiert, überprüft, dokumentiert und bei Veränderungen aktualisiert werden. Wer nur ein Formular ausfüllt, erfüllt die Idee des Gesetzes noch nicht.

Verdachtsmeldungen, goAML und das Verbot des Wegsehens

Wenn Tatsachen darauf hindeuten, dass ein Vermögensgegenstand mit Geldwäsche oder Terrorismusfinanzierung zusammenhängen könnte, greift die Meldepflicht nach § 43 GwG. § 45 GwG bestimmt zudem, dass diese Meldung elektronisch zu erfolgen hat und dass sich Verpflichtete unabhängig von einer konkreten Verdachtsmeldung elektronisch bei der FIU registrieren müssen. Das ist für viele Unternehmen ein kritischer Punkt, weil die Registrierung nicht erst im Ernstfall vorbereitet werden sollte.

Die praktische Infrastruktur dafür ist goAML. Die FIU stellt dort klar, dass Verdachtsmeldungen elektronisch über das Portal abzugeben sind, dass eine Registrierung zunächst einmalig elektronisch erfolgen muss und dass die Freischaltung geprüft wird. Auf der Plattform selbst wird außerdem auf neue technische Anforderungen wie Zwei-Faktor-Authentisierung hingewiesen. Unternehmen sollten also nicht warten, bis ein meldepflichtiger Fall tatsächlich eintritt. Der richtige Zeitpunkt für Registrierung, Rollenvergabe und Verfahrensbeschreibung ist vorher.

Managementseitig heißt das: Jede GwG-relevante Organisation braucht einen klaren Meldeprozess. Wer bewertet Auffälligkeiten? Wer entscheidet über die Eskalation? Wer darf melden? Wer dokumentiert die Begründung? Und wie wird verhindert, dass operative Teams verdächtige Sachverhalte aus Unsicherheit zu spät weitergeben? Genau an dieser Stelle entscheidet sich, ob Compliance im Ernstfall trägt.

Transparenzregister und wirtschaftlich Berechtigte

Das Transparenzregister ist keine Nebensache, sondern ein Kernbaustein der Transparenzlogik des GwG. § 20 GwG verpflichtet juristische Personen des Privatrechts und eingetragene Personengesellschaften dazu, Angaben zu wirtschaftlich Berechtigten einzuholen, aufzubewahren, aktuell zu halten und der registerführenden Stelle unverzüglich zur Eintragung mitzuteilen.

Für Verpflichtete ist das Register vor allem deshalb relevant, weil die Feststellung des wirtschaftlich Berechtigten eine zentrale Sorgfaltspflicht ist. Wer Eigentums- und Kontrollstrukturen nicht versteht, kann Risiken nicht sauber bewerten. Zusätzlich sieht § 23a GwG Unstimmigkeitsmeldungen an die registerführende Stelle vor. Das macht deutlich: Das Transparenzregister ist nicht nur ein Ablageort, sondern ein Prüf- und Rückkopplungssystem.

In der Praxis lohnt sich hier besondere Sorgfalt bei komplexen Gesellschaftsstrukturen, grenzüberschreitenden Beteiligungen und wirtschaftlich schwer transparenten Konstruktionen. Gerade in solchen Fällen steigen sowohl das Fehlerrisiko als auch die Anforderungen an Dokumentation und Plausibilisierung.

Besondere Risiken in der Praxis

Die erste Vertiefung betrifft den Immobiliensektor. Das GwG ist hier seit Jahren besonders sensibel, weil Immobiliengeschäfte strukturell attraktiv für Geldwäsche sein können. Schon der Gesetzesaufbau zeigt diese erhöhte Aufmerksamkeit: Er enthält spezielle Regelungen zu Immobilienbezug und sogar ein Verbot der Barzahlung beim Erwerb von Immobilien. Zusätzlich existiert eine spezielle Verordnung zu den nach dem Geldwäschegesetz meldepflichtigen Sachverhalten im Immobilienbereich. Wer mit Share Deals, komplexen Beteiligungsketten oder wirtschaftlich verschachtelten Erwerbsstrukturen arbeitet, braucht daher eine deutlich höhere Prüfungsintensität als im Standardfall.

Für Manager bedeutet das: Nicht jedes Geschäft mit Immobilien ist automatisch verdächtig, aber viele Konstellationen sind erklärungsbedürftig. Dazu gehören etwa ungewöhnliche Zwischengesellschaften, wirtschaftlich unplausible Käuferstrukturen, abweichende Zahlungslogiken oder auffällige Zeitabläufe bei Eigentumsübertragungen. Wer diese Muster nicht in seine Risikoanalyse einarbeitet, wird im Alltag zu spät reagieren.

Moderne GwG-Compliance mit CMS, Whistleblowing und automatisierten KYC-Workflows

Die dritte Vertiefung ist die technologische Umsetzung. Automated KYC-Workflows können Unternehmen deutlich entlasten: bei Identitätsprüfung, Sanktions- und PEP-Screening, Dokumentation, Wiedervorlage und Monitoring. Das ändert aber nichts daran, dass das Unternehmen für Angemessenheit, Nachvollziehbarkeit und Governance verantwortlich bleibt. Die rechtliche Pflicht wird nicht an das Tool delegiert.

Gerade deshalb ist die Verbindung von Technologie und CMS entscheidend. Ein gutes System automatisiert wiederkehrende Prüfschritte, dokumentiert Entscheidungen sauber und unterstützt Risikosegmentierungen. Ein schlechtes System produziert nur zusätzliche Black-Box-Risiken. Sobald KI-Elemente in Identifizierung, Scoring oder Screening einfließen, werden außerdem Anforderungen an verlässliche, menschenzentrierte und kontrollierbare KI-Nutzung relevanter. Der EU AI Act schafft dafür inzwischen einen unionsweiten Rechtsrahmen. Für Unternehmen heißt das praktisch: Human Oversight, Testbarkeit, Rollenverteilung und Datenqualität gehören von Anfang an mitgedacht.

Fazit

Das Geldwäschegesetz verlangt von Unternehmen weit mehr als eine allgemeine Sensibilisierung für verdächtige Transaktionen. Wer verpflichtet ist, muss Risiken ermitteln, interne Sicherungsmaßnahmen wirksam aufbauen, Vertragspartner und wirtschaftlich Berechtigte sauber identifizieren, das Transparenzregister ernst nehmen und meldepflichtige Sachverhalte elektronisch über goAML abwickeln.

Für Führungskräfte ist das keine reine Fachfrage, sondern ein Governance-Thema. Gute GwG-Compliance verbindet Recht, Organisation, Datenqualität und Technologie. Genau darin liegt der Unterschied zwischen formaler Pflichterfüllung und einem System, das im Prüfungs- und Ernstfall tatsächlich trägt.

Wer Geldwäscheprävention im Unternehmen nicht nur verwalten, sondern professionell steuern will, sollte das Thema als Teil eines modernen Compliance- und Risikomanagements entwickeln. Passende Weiterbildungen zu Compliance, KYC, Risikomanagement und internen Kontrollsystemen können dabei helfen, Verantwortliche fachlich und organisatorisch auf den aktuellen Stand zu bringen.

FAQ

Was ist das Geldwäschegesetz in einfachen Worten?

Das Geldwäschegesetz verpflichtet bestimmte Unternehmen und Berufsgruppen dazu, Risiken der Geldwäsche und Terrorismusfinanzierung zu erkennen, Kunden zu prüfen, wirtschaftlich Berechtigte festzustellen, interne Kontrollen aufzubauen und verdächtige Sachverhalte zu melden.

Wer ist nach dem GwG verpflichtet?

Der Kreis der Verpflichteten ergibt sich aus § 2 GwG. Er umfasst nicht nur Banken, sondern unter anderem auch weitere Finanzakteure, Immobilienmakler, bestimmte rechts- und steuerberatende Berufe sowie weitere berufsmäßig handelnde Akteure.

Wann muss eine Verdachtsmeldung abgegeben werden?

Wenn Tatsachen darauf hindeuten, dass ein Vermögensgegenstand mit Geldwäsche oder Terrorismusfinanzierung zusammenhängen könnte, greift die Meldepflicht nach § 43 GwG. Die Meldung ist grundsätzlich elektronisch abzugeben.

Muss man sich auch ohne konkreten Verdachtsfall registrieren?

Ja. Verpflichtete nach § 2 Absatz 1 GwG müssen sich unabhängig von einer konkreten Verdachtsmeldung elektronisch bei der FIU registrieren. Das ergibt sich aus § 45 GwG und wird über das Portal goAML umgesetzt.

Welche Rolle spielt das Transparenzregister?

Das Transparenzregister dient der Erfassung wirtschaftlich Berechtigter. Bestimmte Vereinigungen müssen entsprechende Angaben einholen, aktuell halten und unverzüglich zur Eintragung mitteilen. Für Verpflichtete ist das Register wichtig, weil die Feststellung wirtschaftlich Berechtigter Teil der Sorgfaltspflichten ist.

Welche Rolle spielt die BaFin beim Geldwäschegesetz?

Die BaFin beaufsichtigt bestimmte Verpflichtete und veröffentlicht Auslegungs- und Anwendungshinweise zur Umsetzung des GwG. Diese Hinweise wurden zuletzt 2024/2025 aktualisiert.

Reicht ein Tool für KYC und Screening aus, um compliant zu sein?

Nein. Tools können Identifizierung, Screening und Dokumentation unterstützen, ersetzen aber nicht die Verantwortung des Unternehmens für Risikoanalyse, Governance, Kontrollen und menschliche Entscheidung an kritischen Stellen.