Geldwäscheprävention – Was aktuelle Fälle zeigen

Vier Fälle und dieselben Schwachstellen: Was aktuelle Geldwäsche-Fälle über KYC und AMLR-Readyness zeigen

Ein Bußgeld gegen eine Volksbank, Auflagen für eine Landesbank, ein zerschlagenes Krypto-Netzwerk und kleinere Marktteilnehmer mit Geldbußen: Die Geldwäsche-Schlagzeilen der letzten Monate wirken auf den ersten Blick sehr verschieden. Bei genauerem Hinsehen stößt man aber immer wieder auf dieselben Lücken und einen ähnlichen Use Case.

Rund 100 Milliarden Euro werden in Deutschland jedes Jahr gewaschen. So schätzte es der Deutsche Richterbund im Dezember 2025 in einer Pressemitteilung und beklagte zugleich, dass den Strafverfolgungsbehörden Personal und Technik fehlen. Die Zahl zeigt eindeutig: Der Staat allein wird das Problem nicht lösen. Banken, Finanzdienstleister, Versicherungen und alle anderen Verpflichteten nach dem Geldwäschegesetz sind die erste Verteidigungslinie.

Wie gut diese Linie hält, zeigen vier Fälle aus den vergangenen Monaten. Wir haben sie uns genauer angesehen und fragen: Was ist schiefgelaufen, was kann man daraus lernen und was kann man besser machen?

Fall 1: Helaba – wenn Kundendaten veralten

Im Juli 2026 berichtete das Handelsblatt über aufsichtsrechtliche Maßnahmen der BaFin gegen die Landesbank Hessen-Thüringen (Helaba).

Die Aufsicht bemängelte, wie die Bank ihre Kunden identifiziert und deren Daten aktuell hält. Auch bei Risikoanalysen und Transaktionsüberwachung sah sie große Defizite. Die Hessische Landesbank muss diese Mängel nun beheben und der BaFin regelmäßig über ihre Fortschritte berichten.

Die Lehre daraus: Mit einer sauberen Identifizierung beim Onboarding ist es nicht getan. Unternehmen ändern ihre Struktur, wirtschaftlich Berechtigte wechseln, Adressen und Geschäftsmodelle genauso. Ein Kundendatensatz, der vor fünf Jahren sauber war, kann heute ein völlig falsches Bild zeichnen.
Wirksames KYC braucht deshalb mehr: verlässliche Stammdaten und Überprüfungen (Monitoring), die regelmäßig und auch bei konkretem Anlass stattfinden.

Mit der neuen EU-Geldwäscheverordnung (AMLR), die ab dem 10. Juli 2027 unmittelbar in allen Mitgliedstaaten gilt, wird das alles noch verbindlicher. Sie legt erstmals konkrete Höchstfristen für die Aktualisierung von Kundendaten fest. Bei Kunden mit erhöhtem Risiko mindestens einmal im Jahr, bei allen anderen spätestens alle fünf Jahre (Simplified Due Diligence Regeln werden aktuell ausgearbeitet (https://www.amla.europa.eu/amla-invites-stakeholders-sectoral-roundtables-simplified-customer-due-diligence_en). Ändern sich relevante Umstände, beispielsweise ein Anteilsverkauf oder Führungswechsel bei Geschäftskunden, ist die Aktualisierung unabhängig von diesen Fristen fällig.

Fall 2: Volksbank Düsseldorf Neuss – wenn die laufende Überwachung fehlt

Im September 2026 verhängt die BaFin Bußgelder von insgesamt 210.000 Euro gegen die Volksbank Düsseldorf Neuss. Die Vorwürfe: Geschäftsbeziehungen wurden nicht ausreichend kontinuierlich überwacht, zu bestimmten Kunden fehlten zusätzliche Informationen und verstärkte Sorgfaltspflichten (in Zukunft nach AMLR: EDD) wurden nicht umgesetzt. Verdachtsmeldungen gingen teils verspätet oder gar nicht ein.

Die Lehre daraus: Compliance ist keine einmalige Prüfung bei Onboarding, sondern eine Daueraufgabe. Wie intensiv ein Kunde geprüft und vor allem überwacht werden muss, hängt von seinem Risiko ab. Das Geldwäscherecht unterscheidet dabei drei Stufen:

• Vereinfachte Sorgfaltspflichten (SDD): bei nachweislich geringem Risiko.
• Allgemeine Sorgfaltspflichten (CDD): der Regelfall, mit Identifizierung und risikogerechter Überwachung.
• Verstärkte Sorgfaltspflichten (EDD): bei erhöhtem Risiko, etwa mit zusätzlichen Informationen, weiteren Prüfungen und Freigaben.

Entscheidend ist, dass diese Einstufung nicht in Stein gemeißelt ist. Neue Erkenntnisse, zum Beispiel ein Treffer im Sanktions- oder PEP-Screening, müssen zu einer neuen Bewertung führen. Und im Zweifel zu strengeren Maßnahmen bzw. verstärkter Sorgfaltspflicht.

Die AMLR schreibt diese Abstufung künftig EU-weit einheitlich vor. Wann vereinfachte Maßnahmen zulässig und wann verstärkte Maßnahmen Pflicht sind, regelt die Verordnung selbst. Ergänzt wird durch Leitlinien und technische Standards der neuen EU-Geldwäschebehörde AMLA. Für Unternehmen heißt das weniger Spielraum bei der Auslegung und höhere Anforderungen an eine nachvollziehbar dokumentierte Risikoeinstufung.

Fall 3: Europol – wenn Identitäten zur Ware werden

Im Juni 2026 meldete Europol unter anderem die Zerschlagung des Krypto-Geldwäschedienstes AudiA6. Zwischen 2022 und 2025 sollen darüber mehr als 336 Millionen Euro gewaschen worden sein. Die Täter nutzten Tausende Konten bei Kryptobörsen, eröffnet mit gestohlenen oder gekauften Identitäten. Die Ermittler stießen auf über 6.000 KYC-Datensätze, die zu sogenannten Money-Mule-Konten gehörten.

Die Lehre daraus: Das Problem liegt hier nicht in einer einzelnen Prüfung, sondern in den Zusammenhängen. Ein einzelnes Konto wirkt oft unauffällig. Verdächtig wird es erst, wenn klar ist, dass dieselbe Person, dieselbe Adresse oder dieselbe Telefonnummer hinter Dutzenden Konten steckt.

Bei großen Kundenbeständen ist das mit einem einfachen Namensabgleich kaum zu schaffen. Schreibweisen variieren, Adressen weichen leicht voneinander ab, Identitäten werden bewusst mehrfach angelegt. Hier hilft fehlertolerantes Matching, das ähnliche Datensätze auch dann zusammenführt, wenn sie nicht exakt übereinstimmen (TOLERANT Match).

Auch hier zieht die AMLR die Zügel an. Kryptowerte-Dienstleister sind ausdrücklich als Verpflichtete erfasst, und die Anforderungen an die Identitätsprüfung werden EU-weit vereinheitlicht und verschärft. Zur Kundenprüfung gehört künftig auch ausdrücklich der Abgleich mit gezielten finanziellen Sanktionen.

Transparent muss an dieser Stelle gesagt werden: Für die Analyse von Blockchain-Transaktionen braucht es hochspezialisierte Werkzeuge, die über klassisches KYC hinausgehen.

Fall 4: Social Lease und ein Wertpapierinstitut – wenn die Grundlagen fehlen

Am 27. Oktober 2026 veröffentlichte die BaFin einen Bußgeldbescheid von 25.000 Euro gegen die Social Lease GmbH. Das Finanzdienstleistungsinstitut hatte keine angemessenen geschäfts- und kundenbezogenen internen Sicherungsmaßnahmen implementiert. Festgestellt wurde der Verstoß schon im März 2025, rechtskräftig ist der Bescheid seit dem 1. Oktober 2026.

Ende August 2026 traf es ein Wertpapierinstitut (Name wurde nicht veröffentlicht), genauer gesagt dessen Führung. Die BaFin verwarnte zwei Geschäftsleiter wegen gravierender und nachhaltiger Mängel in der Geschäftsorganisation. Betroffen waren vor allem das Risikomanagement und die Prävention von Geldwäsche und Terrorismusfinanzierung.

Die Lehre daraus: Nach § 6 Absatz 1 Geldwäschegesetz müssen Verpflichtete interne Grundsätze, Verfahren und Kontrollen schaffen, um Geldwäscherisiken zu steuern und zu mindern. Fehlen sie oder reichen sie nicht aus, drohen Bußgelder, unabhängig von Größe und Geschäftsmodell.

Die AMLR überführt diese Pflichten in einheitliches EU-Recht: interne Grundsätze, Verfahren und Kontrollen ebenso wie die klare Verantwortung eines Mitglieds der Leitungsebene für die Einhaltung der Geldwäschevorschriften. Zusätzlich wird die AMLA ab 2028 einige ausgewählte Finanzinstitute direkt beaufsichtigen, und zwar grenzüberschreitend tätige mit hohem Risikoprofil. Für alle anderen bleibt die BaFin zuständig.

Der zweite Fall zeigt außerdem: Geldwäscheprävention ist Chefsache. Die Verwarnung richtete sich nicht gegen das Institut, sondern persönlich gegen die Geschäftsleiter. Setzen sie das beanstandete Verhalten fort, kann die BaFin ihre Abberufung verlangen und ihnen die Tätigkeit untersagen.

Und beide Fälle machen deutlich, dass die Aufsicht längst nicht nur große Banken im Blick hat. Auch kleinere Finanzdienstleister müssen nachweisen können, dass ihre Sorgfaltspflichten klar geregelt sind und im Alltag tatsächlich gelebt werden.

Was die Fälle gemeinsam haben

So unterschiedlich die vier Fälle sind, im Kern geht es immer um dieselben Themen: Wissen wir wirklich, wer unser Kunde ist? Bewerten wir sein Risiko richtig, auch wenn sich etwas ändert? Erkennen wir Auffälligkeiten rechtzeitig und reagieren wir darauf? Und können wir später belegen, was wir geprüft und entschieden haben?

Daraus ergeben sich fünf Bausteine, die in einem wirksamen Compliance-Prozess ineinandergreifen:

1. Identifizieren: Kunden, Unternehmen und wirtschaftlich Berechtigte zuverlässig erfassen und prüfen. Onboarding
2. Bewerten: Für jeden Kunden ein Risikoprofil erstellen, aus automatisierten und manuell bewerteten Faktoren. Risk Model
3. Überwachen: Sanktions- und PEP-Prüfungen sowie Folgeprüfungen regelmäßig und anlassbezogen durchführen. Monitoring
4. Reagieren: Auffälligkeiten strukturiert bearbeiten, zusätzliche Prüfungen anstoßen und bei Bedarf eskalieren. Decisions/Overrides
5. Dokumentieren: Ergebnisse, Entscheidungen und Bearbeitungsschritte nachvollziehbar festhalten. Document

Wie die TOLERANT Compliance Suite dabei unterstützt

Genau entlang dieser Bausteine ist die TOLERANT Compliance Suite aufgebaut. Sie verbindet das Screening gegen Sanktions- und PEP-Listen mit KYC- und KYB-Prüfungen, einer konfigurierbaren Risikoklassifizierung und einer dokumentierten Fallbearbeitung.

In der Praxis heißt das: Automatische Screening-Ergebnisse und manuell bewertete Risikofaktoren fließen gemeinsam in die Einstufung eines Kunden ein. Welche Kriterien zu vereinfachten, allgemeinen oder verstärkten Sorgfaltspflichten führen, legen Sie selbst fest. Auffällige Fälle landen in einem Workflow, in dem sie bearbeitet, dokumentiert und bei Bedarf eskaliert werden.

Dazu bieten wir an, wofür TOLERANT seit vielen Jahren steht: Datenqualität. Mit TL Match erkennen Sie Dubletten und ähnliche Datensätze auch bei abweichenden Schreibweisen. Kundendaten lassen sich so prüfen, vereinheitlichen und bereinigen. Das ist die Grundlage, auf der jedes Screening erst zuverlässig funktioniert. Das Ziel ist weniger manuelle Routinearbeit, einheitliche Prozesse und Kontrollen, die auch der nächsten Prüfung durch die Aufsicht standhalten.

Die TL Compliance Suite eignet sich sowohl für KMU als auch als Enterprise Lösung, kann als SaaS oder Kauflizenz on Premise betrieben werden und sogar einzelne Module können in bestehende Systemlandschaften und Prozesse implementiert und integriert werden. Die Software ist mandantenfähig und hochkonfigurierbar, eben Compliance so einfach wie eine Organisation sie braucht.

Fazit: Geldwäscheprävention beginnt lange vor dem Verdachtsfall

Keiner der vier Fälle lässt sich mit einem einzelnen Prüftool lösen. Was wirkt, ist das Zusammenspiel: saubere Kundendaten, risikobasierte Entscheidungen, laufende Überwachung und klare Verantwortlichkeiten.

Software ersetzt dabei weder das fachliche Urteil der Compliance-Verantwortlichen noch die gesetzlichen Meldepflichten. Sie sorgt aber dafür, dass Kontrollen konsequent laufen und Auffälligkeiten nicht im Tagesgeschäft untergehen.

Wie gut ist Ihre Geldwäscheprävention aufgestellt? Sprechen Sie mit uns. Wir zeigen Ihnen, wie die TOLERANT Compliance Suite Screening, Risikoklassifizierung und Fallbearbeitung in einem Prozess zusammenbringt.