Risikobasierter Ansatz GwG: Kunden-Risikoscoring-Modell 2026

Was ist der risikobasierte Ansatz im GwG und warum ist er verpflichtend?

Der risikobasierte Ansatz im Geldwäschegesetz (GwG) bedeutet, Sorgfaltspflichten proportional zum tatsächlichen Geldwäsche- und Terrorismusfinanzierungsrisiko jedes Kunden zu kalibrieren. § 5 Abs. 1 GwG verpflichtet alle Verpflichteten, eine Risikoanalyse durchzuführen, die die spezifischen ML/TF-Risiken ihres Geschäftsmodells identifiziert und bewertet. Dieser Ansatz ersetzt die früher verbreitete regelbasierte Compliance-Philosophie, bei der alle Kunden identische Prüfintensität erfuhren — unabhängig davon, ob es sich um eine lokale Stadtsparkasse oder ein Offshore-Konstrukt handelte.

„Nach § 5 GwG (Risikoanalyse) müssen alle GwG-Verpflichteten die Risiken der Geldwäsche und Terrorismusfinanzierung, denen ihr Unternehmen ausgesetzt ist, identifizieren, bewerten, verstehen und die Risikoanalyse regelmäßig aktualisieren — die Grundlage für alle nachgelagerten Sorgfaltspflichten."

Die gesetzliche Grundlage ist klar: Verpflichtete im Sinne von § 2 GwG — darunter Kreditinstitute, Versicherungen, Rechtsanwälte, Notare, Immobilienmakler, Güterhändler und zahlreiche weitere Berufsgruppen — sind ohne Ausnahme an diese Vorgaben gebunden. Die BaFin-Auslegungs- und Anwendungshinweise konkretisieren, wie die Risikoanalyse methodisch aufzubauen ist und welche Mindestinhalte sie umfassen muss. Die internationale Grundlage liefert FATF-Empfehlung 1, die das Konzept des risikobasierten Ansatzes als Kernelement des globalen AML/CFT-Rahmens verankert.

Die Richtlinie (EU) 2021/1640 (6. Geldwäscherichtlinie) verstärkt diese Anforderungen auf europäischer Ebene und schafft einheitliche Mindeststandards, die in nationales Recht umzusetzen sind. Deutschland hat diese Anforderungen vollständig in das GwG integriert.

Entscheidend für Geldwäschebeauftragte: Der risikobasierte Ansatz ist keine bloße Formalität. BaFin-Prüfungen überprüfen gezielt die Qualität, Aktualität und Dokumentation der Risikoanalyse. Eine unvollständige oder veraltete Risikoanalyse — etwa eine, die neue Produktlinien, Geschäftsfelder oder veränderte Kundenzusammensetzungen nicht berücksichtigt — gilt als schwerwiegender Mangel. Aufsichtsbehörden bewerten dabei nicht nur das Vorhandensein eines Dokuments, sondern dessen inhaltliche Substanz, Plausibilität und die Frage, ob die abgeleiteten Maßnahmen tatsächlich proportional zu den identifizierten Risiken sind. Compliance-Beauftragte sollten die Risikoanalyse als lebendes Dokument verstehen, das mindestens jährlich und anlassbezogen fortgeschrieben wird.

Die vier Risikodimensionen bei der Kundensorgfaltsprüfung

Die vier Kernrisikodimensionen der Kundensorgfaltsprüfung nach GwG bilden das strukturelle Fundament jedes Risikoscoringmodells und müssen bei der Bewertung jedes einzelnen Kunden berücksichtigt werden.

1. Geografisches Risiko: Länder auf der FATF-Grau- oder Schwarzliste, Gebiete unter EU- oder UN-Sanktionen (EU-Sanktionskarte), sowie vom BaFin als hochriskant eingestufte Jurisdiktionen lösen automatisch eine erhöhte Risikoklassifizierung aus. Das geografische Risiko erfasst dabei nicht nur den Wohnsitz des Kunden, sondern auch den Sitz verbundener Unternehmen, die Herkunft von Geldern und Zahlungskorridore. Ein Kunde mit deutschem Wohnsitz, dessen wirtschaftlich Berechtigter in einer Hochrisikogerichtsbarkeit ansässig ist, wird entsprechend höher bewertet.

2. Kundenrisiko: Politisch exponierte Personen (PEP) — einschließlich Familienmitglieder und enge Mitarbeiter im Sinne von § 1 Abs. 12 GwG — zählen zu den gesetzlich definierten Hochrisikokategorien. Darüber hinaus erhöhen undurchsichtige Strukturen des wirtschaftlich Berechtigten (§ 15 GwG), mehrschichtige Eigentümerkonstruktionen in Niedrigsteuergebieten sowie Tätigkeiten in risikobehafteten Branchen wie Immobilienhandel, Edelmetalle, Kryptowerte oder Kunsthandel die Risikoeinstufung erheblich.

3. Produkt- und Dienstleistungsrisiko: Grenzüberschreitende Überweisungen, Private-Banking-Mandate, Kryptoverwahrung (seit 2020 ausdrücklich GwG-pflichtig), Bargeschäfte sowie anonym nutzbare digitale Zahlungsmittel weisen strukturell erhöhte Missbrauchspotenziale auf und sind entsprechend zu gewichten.

4. Vertriebskanalrisiko: Nicht-physische Geschäftsbeziehungen ohne persönliche Identifizierung, die Einschaltung unregulierter Dritter sowie Korrespondenzbankverhältnisse erhöhen das Risiko mangelhafter Identitätsfeststellung und erfordern kompensatorische Maßnahmen.

„Nach dem ACFE-Bericht 2024 entdecken manuelle Kontrollmethoden nur 37 % der Betrugsfälle, mit einer durchschnittlichen Erkennungsverzögerung von 87 Tagen — ein starkes Argument für systematische, automatisierte Risikobewertung."

Für Compliance-Beauftragte bedeutet das: Wer die Risikodimensionen isoliert betrachtet, verpasst Wechselwirkungen. Ein Kunde mit mittlerem Länderrisiko und PEP-Status, der über einen nicht-physischen Kanal ein Kryptowährungsprodukt erwirbt, summiert sich schnell zu einem Hochrisikoprofil. Die Gesamtbewertung muss diese Kumulation abbilden. Weiterführende Methodik zur übergreifenden Risikobewertung finden Sie im Beitrag zur Compliance-Risikobewertung.

Eine Kunden-Risikoscoringmatrix aufbauen

Eine strukturierte Risikoscoringmatrix ist das operative Herzstück des risikobasierten Ansatzes und übersetzt abstrakte Risikodimensionen in konkrete, nachvollziehbare Bewertungspunkte für jeden Kunden.

Die gewichtete Scoring-Methodik weist jedem Risikofaktor eine Gewichtung zu, multipliziert die Bewertung (0–100 Punkte pro Faktor) mit der Gewichtung und summiert die Teilergebnisse zu einem Gesamtscore. Dieses Verfahren schafft Konsistenz, Nachvollziehbarkeit und Revisionssicherheit — drei Kernforderungen des § 8 GwG zur Dokumentationspflicht.

Die Gewichtungen sind nicht gesetzlich vorgeschrieben, müssen aber nachvollziehbar begründet und im Einklang mit dem tatsächlichen Risikoprofil des Instituts festgelegt werden. Ein Zahlungsdienstleister mit hohem Anteil grenzüberschreitender Transfers wird das geografische Profil möglicherweise stärker gewichten als eine regional tätige Volksbank.

Die resultierenden Score-Segmente bestimmen den anzuwendenden Sorgfaltspflichtenrahmen:

• Niedrig (0–30 Punkte): Vereinfachte Sorgfaltspflichten nach § 14 GwG anwendbar; reduzierte Verifikationsintensität, aber keine vollständige Befreiung von der Identitätsfeststellung.
• Mittel (31–60 Punkte): Standard-KYC nach § 10 GwG; vollständige Identitätsfeststellung, Verifizierung des wirtschaftlich Berechtigten, Klärung von Geschäftszweck und -art, regelmäßige Überprüfung.
• Hoch (61–80 Punkte): Verstärkte Sorgfaltspflichten nach § 15 GwG; zusätzliche Maßnahmen, intensiviertes Monitoring, Dokumentation der Vermögensherkunft.
• Sehr hoch (81–100 Punkte): Verstärkte Sorgfaltspflichten mit obligatorischer Zustimmung der Geschäftsführungsebene; gegebenenfalls Ablehnung der Geschäftsbeziehung oder Meldung nach § 43 GwG.

Die Dokumentation jedes Scoring-Ergebnisses, einschließlich der zugrundeliegenden Bewertungsfaktoren und der angewendeten Maßnahmen, ist nach § 8 GwG revisionsfest aufzubewahren. Die Richtlinie 2021/1640 fordert darüber hinaus, dass Mitgliedstaaten sicherstellen, dass die Aufzeichnungen für zuständige Behörden zugänglich sind.

Ein robustes Scoringmodell berücksichtigt zudem dynamische Trigger: Veränderungen im Transaktionsverhalten, neue Medienberichte zu einem Kunden (Adverse Media), Änderungen in der Gesellschafterstruktur oder ein neu erworbener PEP-Status müssen das Risikoprofil automatisch aktualisieren. Statische Einmalprüfungen beim Onboarding genügen den aktuellen regulatorischen Erwartungen nicht mehr.

Vereinfachte, Standard- und Verstärkte Sorgfaltspflichten: Wann welche anwenden

Die drei Sorgfaltspflichtenregime des GwG bilden ein abgestuftes System, dessen korrekte Anwendung unmittelbar aus dem Risikoscore des einzelnen Kunden folgt und lückenlos dokumentiert sein muss.

Vereinfachte Sorgfaltspflichten (§ 14 GwG) sind anwendbar, wenn Kunde und Produkt nachweislich ein geringes Risiko aufweisen. Gesetzlich definierte Niedrigrisikokonstellationen umfassen börsennotierte Unternehmen auf anerkannten Handelsplätzen, inländische Behörden, regulierte Finanzinstitute innerhalb des EWR sowie bestimmte standardisierte Lebensversicherungsprodukte mit niedrigen Prämien. Wichtig: Vereinfachte Sorgfaltspflichten bedeuten reduzierte, nicht aufgehobene Pflichten. Die Identitätsfeststellung muss nach wie vor stattfinden — lediglich Umfang und Verifikationstiefe sind proportional reduziert. Geldwäschebeauftragte müssen zudem dokumentieren, warum sie § 14 GwG für anwendbar halten.

Standard-Sorgfaltspflichten (§ 10 GwG) gelten als Standardfall für Retail-Kunden und KMU ohne besondere Risikomerkmale. Sie umfassen die vollständige Identitätsfeststellung anhand geeigneter Dokumente, die Verifizierung des wirtschaftlich Berechtigten, die Klärung von Geschäftszweck und -art sowie das laufende Monitoring der Geschäftsbeziehung. Die Überprüfung des Risikoprofils sollte mindestens jährlich und unverzüglich bei Eintreten definierter Trigger-Ereignisse erfolgen.

Verstärkte Sorgfaltspflichten (§ 15 GwG) sind gesetzlich vorgeschrieben für PEPs und deren wirtschaftlich Berechtigte, Korrespondenzbankverhältnisse, Kunden aus Drittländern mit hohem Risiko sowie nicht-physische Geschäftsbeziehungen mit erhöhten Risikomerkmalen. Die Maßnahmen umfassen die Einholung von Genehmigungen auf Geschäftsleitungsebene vor Begründung oder Fortführung der Geschäftsbeziehung, die ausführliche Dokumentation der Herkunft von Vermögen und Mitteln sowie ein deutlich intensiviertes laufendes Transaktionsmonitoring.

„Die BaFin kann nach § 56 GwG Bußgelder bis zu 5 Millionen Euro oder 10 % des Jahresumsatzes verhängen — und bei schwerwiegenden Verstößen auch Tätigkeitsverbote und öffentliche Bekanntmachung der Sanktion."

Die jüngste BaFin-Praxis zeigt, dass mehrere Kreditinstitute und Zahlungsdienstleister für fehlende oder inhaltlich mangelhafte Risikoanalysen nach § 5 GwG sowie für die fehlerhafte Klassifikation von Kunden als „niedrig" sanktioniert wurden. Die öffentliche Bekanntmachung solcher Maßnahmen — das sogenannte „Naming and Shaming" — hat erhebliche Reputationsfolgen, die weit über die finanzielle Sanktion hinausgehen. Einen umfassenden Überblick über das gesamte AML-Pflichtengefüge bietet der AML-Leitfaden.

Risikobewertung mit Technologie automatisieren

Manuelle Risikobewertung ist inhärent inkonsistent und skaliert schlecht — zwei Analysten bewerten denselben Kunden unter identischen Fakten unterschiedlich, Regulatorisches Risiko entsteht, und Revisionslücken öffnen sich. Automatisierung löst dieses Problem durch standardisierte, regelbasierte Scoring-Algorithmen, die jeden Kunden nach identischen Maßstäben bewerten und die Nachvollziehbarkeit jedes Bewertungsschritts dokumentieren.

Die CheckFile-Plattform unterstützt über 3.200 Dokumentenarten in 32 Jurisdiktionen und ermöglicht die automatisierte Überprüfung von Identitätsdokumenten, UBO-Nachweisen und Adressnachweisen im industriellen Maßstab. Die mehrschichtige Analysearchitektur umfasst strukturelle Verifikation (Prüfung auf Dokumentintegrität und formale Korrektheit), Metadatenanalyse (Erkennung nachträglicher digitaler Manipulation) sowie dokumentenübergreifende Konsistenzprüfung (Abgleich von Angaben aus verschiedenen vorgelegten Unterlagen). Diese drei Schichten kombiniert liefern eine Risikobewertung, die weit über das hinausgeht, was ein manueller Prüfer in vertretbarer Zeit leisten kann.

Für Compliance-Beauftragte in Finanzinstituten stehen dedizierte Banken-KYC-Lösungen bereit, die nahtlos in bestehende Core-Banking-Systeme und Onboarding-Prozesse integrierbar sind. Die Schnittstellen unterstützen sowohl Batch-Verarbeitung für Bestandskundensanierungen als auch Echtzeit-Prüfung im Neukundenonboarding. Latenzzeiten unter zwei Sekunden ermöglichen den Einsatz auch in transaktionskritischen Prozessen.

Der Einsatz von Technologie verändert auch die Rolle des Geldwäschebeauftragten: Statt operativer Einzelfallprüfung konzentriert sich die Tätigkeit auf die Konfiguration und Überwachung des Regelsystems, die Interpretation von Ausnahmen und die Steuerung manueller Eskalationsprozesse. Das ist nicht nur effizienter, sondern erhöht auch die Qualität der Compliance-Arbeit — die menschliche Prüfkapazität wird auf echte Grenz- und Hochrisikofälle konzentriert.

Fragen zur datenschutzkonformen Verarbeitung personenbezogener Dokumente beantwortet die Sicherheitsseite — inklusive DSGVO-Compliance, Rechenzentrumsstandorten und Zugriffsprotokollierung. Wer das Thema Dokumenten-Compliance ganzheitlich aufsetzen möchte, findet den passenden Einstieg im Leitfaden Dokumenten-Compliance. Alle Lizenz- und Nutzungsmodelle sind auf der Preisseite einsehbar.

Ein weiterer technologischer Hebel ist das automatisierte Adverse-Media-Screening: Systeme überwachen kontinuierlich öffentliche Quellen auf negative Berichterstattung zu bestehenden Kunden und lösen bei Treffern automatisch eine Neubewertung des Risikoprofils aus. Kombiniert mit PEP- und Sanktionslistenabgleich in Echtzeit entsteht ein dynamisches Überwachungsökosystem, das statische Jahresüberprüfungen weit übertrifft und den aktuellen Erwartungen der BaFin an ein effektives laufendes Monitoring entspricht.

Häufig gestellte Fragen

Gilt der risikobasierte Ansatz für alle GwG-Verpflichteten in Deutschland?

Ja, der risikobasierte Ansatz gilt für alle Verpflichteten im Sinne von § 2 GwG — von Kreditinstituten und Versicherungsunternehmen über Rechtsanwälte, Steuerberater und Notare bis hin zu Immobilienmaklern, Güterhändlern und Glücksspielanbietern. § 5 GwG verpflichtet ausnahmslos jeden Verpflichteten zur Erstellung, Dokumentation und regelmäßigen Aktualisierung einer unternehmensindividuellen Risikoanalyse, die Ausgangspunkt für alle nachgelagerten Sorgfaltspflichten ist. Art und Umfang der Maßnahmen dürfen und sollen dabei dem tatsächlichen Risikoprofil des jeweiligen Unternehmens entsprechen — ein kleiner Güterhändler benötigt kein institutsbankinternes Compliance-System, aber eine dokumentierte, proportionale Risikoanalyse.

Was ist der Unterschied zwischen vereinfachten und verstärkten Sorgfaltspflichten?

Vereinfachte Sorgfaltspflichten nach § 14 GwG erlauben eine reduzierte Prüfintensität bei nachweislich niedrigem Risiko — etwa bei börsennotierten Unternehmen oder Behörden — ersetzen aber nicht die Grundpflicht zur Identitätsfeststellung. Verstärkte Sorgfaltspflichten nach § 15 GwG hingegen gehen über den Standard hinaus: Sie verpflichten zur Einholung der Zustimmung der Geschäftsleitung, zur eingehenden Dokumentation der Vermögensherkunft und zu deutlich intensiviertem laufenden Monitoring — und greifen immer dann, wenn gesetzlich definierte Hochrisikomerkmale wie PEP-Status, Drittlandsbezug oder Korrespondenzbankverhältnisse vorliegen. Zwischen diesen beiden Polen liegt die Standardsorgfaltspflicht nach § 10 GwG als Regelfall.

Wie oft muss das Kundenrisikoprofil überprüft werden?

Das Kundenrisikoprofil muss mindestens jährlich überprüft werden, bei Kunden mit erhöhtem oder hohem Risikoscore häufiger — die BaFin-Auslegungs- und Anwendungshinweise empfehlen für Hochrisikokunden eine halbjährliche oder anlassbezogene Überprüfung. Unverzüglich zu überprüfen ist das Profil bei Eintreten definierter Trigger-Ereignisse: Änderung der Gesellschafterstruktur oder des wirtschaftlich Berechtigten, neue Sanktionslistentreffer, negative Medienberichterstattung, wesentliche Änderungen im Transaktionsverhalten oder Erwerb eines PEP-Status. Dieser ereignisgesteuerte Ansatz ist technisch am einfachsten durch automatisiertes Monitoring umzusetzen.

Welche Sanktionen drohen bei Verstößen gegen den GwG-risikobasierten Ansatz?

Bei Verstößen gegen die Pflichten des GwG, einschließlich fehlender oder unzureichender Risikoanalyse nach § 5 GwG, kann die BaFin nach § 56 GwG Bußgelder von bis zu 5 Millionen Euro oder — bei juristischen Personen — bis zu 10 % des gesamten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängen, je nachdem, welcher Betrag höher ist. Bei besonders schwerwiegenden oder wiederholten Verstößen kommen zusätzlich Tätigkeitsverbote für Leitungspersonen und die öffentliche Bekanntmachung der verhängten Maßnahme in Betracht — mit erheblichen Reputationsfolgen für das betroffene Institut.

Wie hilft Technologie bei der Umsetzung des risikobasierten Ansatzes nach GwG?

Technologie schafft die Konsistenz, Skalierbarkeit und Revisionsfestigkeit, die manuelle Prozesse strukturell nicht leisten können: Automatisierte Scoring-Algorithmen bewerten jeden Kunden nach identischen, dokumentierten Regeln, schließen menschliche Inkonsistenzen aus und erzeugen einen vollständigen Prüfpfad für Aufsichtsbehörden. Darüber hinaus ermöglichen kontinuierliches Adverse-Media-Screening, Echtzeit-Sanktionslistenabgleich und automatische Trigger-basierte Risikoaktualisierung ein dynamisches Kundenprofil, das den aktuellen regulatorischen Erwartungen an ein effektives laufendes Monitoring entspricht — und den Geldwäschebeauftragten von operativen Routineaufgaben entlastet, um sich auf komplexe Einzelfälle zu konzentrieren.

---

Haftungsausschluss: Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar. Regulatorische Anforderungen können sich ändern. Wenden Sie sich an einen qualifizierten Fachmann für spezifische Beratung.