Automatisiertes KYC für Anwaltskanzleien: Mandanten-Onboarding und GwG-Compliance

2024 ermittelte die Bundesrechtsanwaltskammer (BRAK) eine Compliance-Quote von unter 40 % bei Kanzleien mit weniger als 20 Anwälten hinsichtlich ihrer GwG-Pflichten. Die Aufsichtsbehörden haben die Kontrollen verschärft: Zahlreiche Kanzleien wurden 2024-2025 gezielt geprüft, was zu Rügen und berufsrechtlichen Sanktionen führte. Das Problem ist nicht Unkenntnis der Pflichten — Anwälte kennen den regulatorischen Rahmen — sondern das Fehlen geeigneter Werkzeuge für den Doppelauftrag von KYC und Berufsgeheimnis.

Dieser Artikel dient ausschließlich zu Informationszwecken und stellt keine Rechts-, Finanz- oder Regulierungsberatung dar.

Die spezifischen KYC-Pflichten der Anwaltschaft

Anwälte unterliegen den Pflichten zur Geldwäscheprävention (GwG — Geldwäschegesetz) nur für bestimmte Tätigkeiten. Dieser begrenzte Anwendungsbereich, der häufig missverstanden wird, ist die Hauptursache für Compliance-Defizite.

Der regulatorische Rahmen 2026

Drei Regelungsebenen überlagern sich:

• Europäische Ebene: Die AMLR-Verordnung (2024/1624), ab Juli 2027 unmittelbar anwendbar, und die AMLD6-Richtlinie (2024/1640), die die Aufsicht regelt. Die AMLA (Europäische Anti-Geldwäsche-Behörde) mit Sitz in Frankfurt legt technische Standards fest, die die nationalen Kammern integrieren müssen.
• Nationale Ebene: Das Geldwäschegesetz (GwG) setzt die europäischen Richtlinien in deutsches Recht um.
• Berufsrechtliche Ebene: Die Richtlinien der BRAK und der regionalen Rechtsanwaltskammern, aktualisiert 2025 zur Integration der AMLD6-Entwicklungen, sowie die Berufsordnung für Rechtsanwälte (BORA).

Für eine vertiefte Analyse der Auswirkungen der AMLD6 auf verpflichtete Unternehmen siehe unseren dedizierten Leitfaden.

Wann die Sorgfaltspflicht greift

Der Anwalt unterliegt nicht für seine gesamte Tätigkeit dem KYC. Der Anwendungsbereich ist streng definiert:

Die Unterscheidung ist binär: Entweder fällt die Tätigkeit in den GwG-Anwendungsbereich und KYC greift, oder sie betrifft reine Beratung und Prozessführung, und das Berufsgeheimnis hat vollständigen Vorrang.

Die konkreten Sorgfaltsmaßnahmen

Wenn die Tätigkeit im Anwendungsbereich liegt, muss der Anwalt:

1. Den Mandanten identifizieren — natürliche Person (Name, Geburtsdatum, Adresse, Staatsangehörigkeit) oder juristische Person (Firma, Rechtsform, Sitz, Registernummer)
2. Den wirtschaftlich Berechtigten identifizieren — jede Person mit mehr als 25 % der Anteile oder Stimmrechte (Schwellenwert auf 15 % gesenkt für Hochrisiko-Einheiten durch AMLR)
3. Anhand von Dokumenten verifizieren — gültiger Personalausweis, Handelsregisterauszug nicht älter als 3 Monate, Satzung, Transparenzregisterauszug
4. Das Risiko bewerten — risikobasierter Ansatz: Mandantenprofil, Art der Transaktion, Herkunftsland, Strukturkomplexität
5. Verdacht melden — an die Rechtsanwaltskammer, die vor Weiterleitung an die FIU filtert
6. Unterlagen aufbewahren — 5 Jahre nach Ende der Geschäftsbeziehung (§ 8 GwG)

Zu den spezifischen Pflichten bezüglich der FIU siehe unseren Artikel zum KYC für Anwälte und GwG-Pflichten.

Die einzigartige Herausforderung: KYC ohne Kompromittierung des Berufsgeheimnisses

Die Anwaltschaft ist die einzige Berufsgruppe, die Dokumentenprüfungspflichten mit einem Berufsgeheimnis von öffentlich-rechtlichem Rang vereinbaren muss. Diese Spannung ist nicht nur eine theoretische Debatte: Sie bestimmt die technische Architektur jeder in einer Kanzlei eingesetzten KYC-Lösung.

Die Grenzen des Berufsgeheimnisses im KYC-Kontext

§ 43a Abs. 2 BRAO und § 2 BORA schützen die Gesamtheit des anwaltlichen Mandantenverhältnisses. Dieser Schutz erstreckt sich jedoch nicht auf die im Rahmen des KYC erhobenen Daten. Die Abgrenzung ist streng:

• Geschützt: Die Art des Mandats, die rechtliche Strategie, Beratungsschreiben, die Korrespondenz
• Nicht geschützt im KYC-Kontext: Die Identität des Mandanten, Identifizierungsdokumente, das Prüfungsergebnis
• Grauzone: Der Gegenstand der Transaktion (für KYC erforderlich, kann aber die Mandantenstrategie offenlegen)

Der Kammer-Filtermechanismus

Die Verdachtsmeldung geht nie direkt vom Anwalt an die FIU. Die zuständige Rechtsanwaltskammer prüft, ob die Meldung das Berufsgeheimnis verletzt, bevor sie weitergeleitet wird. Dieser Filter ist eine verfassungsrechtliche Garantie: Das Bundesverfassungsgericht hat bestätigt, dass das anwaltliche Berufsgeheimnis Bestandteil der Rechte der Verteidigung ist.

Konsequenzen für die Wahl eines KYC-Tools

Diese Einschränkungen stellen spezifische technische Anforderungen an jedes in einer Kanzlei eingesetzte Dokumentenprüfungstool:

• Datentrennung: KYC-Daten müssen physisch von der Mandatsakte getrennt sein — separate Datenbanken, differenzierte Zugriffsrechte
• Ende-zu-Ende-Verschlüsselung: Identifizierungsdokumente dürfen nur berechtigten Personen zugänglich sein (mandatsführender Partner, Compliance-Beauftragter der Kanzlei)
• Souveränes Hosting: Daten müssen in der EU verbleiben, idealerweise in Deutschland, um den BRAK-Empfehlungen zu genügen
• Keine Weitergabe an Dritte ohne Einwilligung: Anders als Banken kann der Anwalt Prüfungsergebnisse nicht mit anderen Verpflichteten teilen
• Nicht-intrusive Protokollierung: Der Audit-Trail muss nachweisen, dass die Prüfung durchgeführt wurde, ohne den Mandatsinhalt zu offenbaren

Unverzichtbare Funktionen einer KYC-Lösung für Anwälte

Mandantenidentifizierung und Dokumentenprüfung

Das technische Fundament umfasst die KYC-Grundlagen, angepasst an den juristischen Kontext:

Zum Verständnis der Thematik des PEP-Screenings siehe unseren dedizierten Leitfaden zu politisch exponierten Personen.

Identifizierung wirtschaftlich Berechtigter (UBO)

Die Identifizierung wirtschaftlich Berechtigter ist der Hauptreibungspunkt für Anwälte. Komplexe Vermögensstrukturen — kaskadierende Immobiliengesellschaften, luxemburgische Holdings, angelsächsische Trusts — erfordern Ermittlungsarbeit, die Standardtools nicht abdecken.

Eine geeignete Lösung muss:

• Die Beteiligungskette automatisch aus Satzungen und öffentlichen Registern (Transparenzregister, Handelsregister) rekonstruieren
• Direkte und indirekte Beteiligungen berechnen, um festzustellen, ob der 25-%-Schwellenwert erreicht wird
• Nicht-kapitalbasierte Kontrollstrukturen erkennen (Gesellschaftervereinbarungen, Mehrstimmrechte)
• Undurchsichtige Strukturen kennzeichnen, die verstärkte Sorgfalt erfordern

Kanzleispezifisches Risikoscoring

Die Risikomatrix einer Anwaltskanzlei unterscheidet sich grundlegend von der einer Bank. Spezifische Risikofaktoren:

• Art der Transaktion: Eine Unternehmensveräußerung birgt ein inhärent höheres Risiko als eine Mietvereinbarung
• Jurisdiktion: Transaktionen mit Hochrisikoländern (FATF-Liste)
• Mandantenprofil: PEP, Einheiten mit undurchsichtiger Struktur, vermögende Mandanten
• Betrag: Unterschiedliche Schwellenwerte je nach Transaktionsart
• Historie: Neumandant vs. Bestandsmandant mit Compliance-Historie

Audit-Trail und Aufbewahrung

Das Tool muss eine vollständige Compliance-Akte pro Mandant erstellen, die bei einer Kammer- oder Aufsichtsprüfung exportierbar ist:

• Datum der Begründung der Geschäftsbeziehung
• Gesammelte Dokumente und Prüfungsergebnisse
• Risikoscore und Begründung
• Etwaige angewandte verstärkte Sorgfaltsmaßnahmen
• Periodische Aktualisierungen (Frequenz nach Risikoniveau)

Vergleich geeigneter Lösungen für den Rechtssektor

Der Markt für KYC-Lösungen für Anwälte ist enger als der des Bankensektors. Nur wenige Plattformen integrieren nativ die Datentrennung und den Kammer-Filtermechanismus.

Fazit: Lösungen aus dem Finanzsektor (Onfido, ComplyAdvantage) bieten leistungsstarke Filterungsmotoren, verwalten aber nicht die Anwalt-Mandant-Datentrennung und keine Meldungsworkflows über die Rechtsanwaltskammer. Dedizierte Lösungen für den Rechtssektor decken diese Anforderungen ab, können aber bei der fortgeschrittenen Dokumentenprüfung Lücken aufweisen.

Typischer Workflow: Vom Erstkontakt zur laufenden Überwachung

Schritt 1: Qualifizierung der Transaktion

Vor jeder Datenerhebung bestimmt der Anwalt, ob die Transaktion in den GwG-Anwendungsbereich fällt. Dieser Schritt ist entscheidend: Ein unnötig ausgelöstes KYC bei einem Prozessmandat verschwendet Zeit und erhebt personenbezogene Daten ohne Rechtsgrundlage.

Das ideale Tool bietet einen Qualifizierungsfragebogen in 3 bis 5 Fragen, der automatisch zum richtigen Workflow leitet:

• Reine Prozessführung → kein KYC, Archivierung des Qualifizierungsfragebogens
• Transaktion im Anwendungsbereich → Start des vollständigen KYC-Workflows
• Grauzone → Warnung für menschliche Entscheidung durch den Partner

Schritt 2: Sichere Dokumentenerfassung

Der Mandant erhält einen sicheren Link (dediziertes Portal oder verschlüsselte E-Mail) zur Einreichung seiner Identifizierungsdokumente. Das Portal muss schlicht, vertrauenerweckend sein und den Zweck der Erhebung erläutern (GwG-Pflicht, nicht Neugier des Anwalts).

Erfasste Dokumente:

• Natürliche Person: Ausweisdokument, Adressnachweis
• Juristische Person: Handelsregisterauszug nicht älter als 3 Monate, aktuelle Satzung, Transparenzregisterauszug, Personalausweis des gesetzlichen Vertreters
• Transaktion mit erhöhtem Risiko: Erklärung zur Herkunft der Mittel, ergänzende Nachweise

Schritt 3: Automatisierte Prüfung

Das Tool führt die Prüfungen ohne menschlichen Eingriff durch:

1. OCR-Extraktion der Identitätsdaten
2. Abgleich mit offiziellen Datenbanken (Handelsregister, Transparenzregister)
3. PEP- und Sanktionsfilterung
4. Berechnung des Risikoscores
5. Erstellung des Prüfungsberichts

Schritt 4: Validierung und Mandatsbegründung

Der mandatsführende Partner sichtet den Bericht und genehmigt die Mandatsbegründung. Bei erhöhtem Risiko wendet er verstärkte Sorgfaltsmaßnahmen an (ergänzende Dokumente, Genehmigung eines zweiten Partners, Meldung an die Kammer bei Verdacht).

Schritt 5: Laufende Überwachung

Das KYC endet nicht mit der Mandatsbegründung. Die Plattform muss:

• Den Risikoscore bei auslösenden Ereignissen neu bewerten (Geschäftsführerwechsel, Sanktionslisteneintrag, Änderung der Beteiligungsstruktur)
• Die periodische Überprüfung auslösen (jährlich bei Hochrisiko-Mandanten, alle 3 Jahre bei Standardrisiko)
• Bei Dokumentenablauf warnen (Personalausweis, Handelsregisterauszug)

ROI für eine Kanzlei mit 10 bis 50 Anwälten

Die Kosten der Nicht-Compliance

Sanktionen für GwG-Verstöße sind nicht theoretisch. Die Rechtsanwaltskammer kann aussprechen:

• Eine Rüge (veröffentlicht)
• Einen Verweis
• Ein vorübergehendes Berufsverbot (bis zu 5 Jahre)
• Den Ausschluss

Über berufsrechtliche Sanktionen hinaus kann das Bußgeld bis zu 5 Millionen Euro oder 10 % des Umsatzes betragen (§ 56 GwG). Für eine Kanzlei mit 20 Anwälten und einem Umsatz von 4 Millionen Euro beträgt das maximale Bußgeld 400.000 EUR — ohne den Reputationsschaden.

Quantifizierbare Automatisierungsgewinne

ROI-Berechnung für eine Kanzlei mit 20 Anwälten

Annahmen: 300 neue Akten/Jahr im GwG-Anwendungsbereich, durchschnittlicher Stundensatz 250 EUR.

• Jährliche manuelle Kosten: 300 Akten × 1h × 250 EUR = 75.000 EUR an Anwaltszeit
• Jährliche automatisierte Kosten: Plattformabonnement (3.600 EUR) + Restzeit (300 × 0,15h × 250 EUR = 11.250 EUR) = 14.850 EUR
• Jährliche Einsparung: 60.150 EUR
• ROI: Positiv ab dem 2. Monat

Der Hauptgewinn ist nicht finanziell: Es ist die Gelassenheit bei einer Kammerprüfung und die Gewissheit, dass jede Akte dokumentiert ist.

Häufig gestellte Fragen

Hat das KYC-Tool Zugriff auf den Inhalt der juristischen Mandatsakten?

Nein. Eine korrekt architekturierte Lösung berührt niemals die Mandatsakte. Sie arbeitet in einem separaten Silo, das nur Mandantenidentifizierungsdaten und Prüfungsergebnisse enthält. Die Trennung muss physisch sein (separate Datenbanken, bei Bedarf separate Server), nicht nur logisch. Dies ist ein Ausschlusskriterium bei der Auswahl.

Verhindert das Berufsgeheimnis die Verdachtsmeldung des Anwalts?

Nein, aber der Mechanismus unterscheidet sich von dem der Banken. Der Anwalt übermittelt seine Meldung an die Rechtsanwaltskammer, die prüft, ob sie das Berufsgeheimnis verletzt, bevor sie an die FIU weitergeleitet wird. Für die reine Prozessführung ist keine Meldung erforderlich oder möglich — das Berufsgeheimnis ist absolut.

Muss für jede neue Akte eines bestehenden Mandanten ein KYC durchgeführt werden?

Nein, sofern die Identifizierungselemente aktuell sind. Das initiale KYC bleibt gültig, solange die Dokumente nicht abgelaufen sind und kein auslösendes Ereignis eine Neubewertung erfordert. Allerdings muss jede neue Transaktion im GwG-Anwendungsbereich einer transaktionsspezifischen Risikobewertung unterzogen werden.

Wie lange müssen KYC-Dokumente für einen Anwalt aufbewahrt werden?

5 Jahre nach Ende der Geschäftsbeziehung, gemäß § 8 GwG. Das „Ende der Geschäftsbeziehung" entspricht dem Abschluss des letzten aktiven Mandats, nicht der letzten Transaktion im GwG-Anwendungsbereich.

Kann eine Kanzlei das KYC-Tool mit anderen Kanzleien teilen?

Technisch ja, aber mit Vorsichtsmaßnahmen. Die Prüfungsdaten eines Mandanten von Kanzlei A dürfen niemals für Kanzlei B zugänglich sein, auch wenn der Mandant beiden gemeinsam ist. Gemeinsames Hosting (gleiche Infrastruktur) ist akzeptabel, wenn die logische und physische Trennung gewährleistet ist. Anwaltsgemeinschaften können das Abonnement teilen, sofern die Zugriffsrechte streng nach Einheit getrennt sind.

Ändert AMLD6 die KYC-Pflichten der Anwälte?

Die AMLR-Verordnung (2024/1624), anwendbar ab Juli 2027, harmonisiert die Pflichten auf europäischer Ebene ohne nationale Umsetzung. Für Anwälte sind die wesentlichen Änderungen: die Absenkung des UBO-Schwellenwerts auf 15 % für Hochrisiko-Einheiten, die Verstärkung der Sorgfaltspflichten für grenzüberschreitende Transaktionen und die Erweiterung des Überwachungsperimeters auf Kryptowerte. Der Kammer-Filtermechanismus bleibt erhalten.

Wie lange dauert die Implementierung der Lösung?

Für eine Kanzlei mit 10 bis 50 Anwälten dauert die Implementierung 2 bis 4 Wochen: 1 Woche Konfiguration (Risikomatrix, Workflows), 1 Woche Teamschulung, 1 bis 2 Wochen Parallelbetrieb (alter und neuer Prozess). Die Integration mit der Kanzleisoftware (Datev, RA-MICRO, Advoware) erfolgt über REST-API.

---

Dieser Artikel dient ausschließlich zu Informationszwecken und stellt keine Rechts-, Finanz- oder Regulierungsberatung dar.

Weiterführend: Lesen Sie unseren Artikel zur KYC-Automatisierung für Anwaltskanzleien und unseren Leitfaden zur Dokumentenprüfung nach Branche.