Geldwäscheaufsicht 2026: Worauf die BaFin bei Banken achtet

Geldwäscheaufsicht prüft Wirksamkeit, nicht Papier

Geldwäscheprävention galt lange als Frage gut gepflegter Regelwerke. Die Aufsicht schaut inzwischen tiefer und prüft, ob Kontrollen im Alltag tatsächlich greifen, ob Monitoring-Systeme zur aktuellen Risikolage passen und ob Institute ihre Entscheidungen belegen können. Für die BaFin, die in ihrem Direktorium eine eigene Exekutivdirektorin für Anti-Financial Crime hat, bleibt das Risiko aus unzureichender Prävention von Geldwäsche und Terrorismusfinanzierung auch 2026 eines von sechs Fokusrisiken für den Finanzmarkt. Geprüft wird nicht mehr, ob ein Regelwerk existiert, sondern ob die Kontrollen nachweisbar wirken.

Für Banken ist das eine Einladung zur Klarheit. Wer Risikoklassifizierung, Transaktionsüberwachung und Dokumentation datengestützt aufstellt, begegnet der Aufsicht auf Augenhöhe.

Warum bleibt das Geldwäscherisiko erhöht?

Weil sich die Risikolage ständig ändert und komplexer wird. Im Bericht „Risiken im Fokus 2026“ nennt die BaFin wachsende geopolitische Spannungen, die zunehmende Fragmentierung des Zahlungsverkehrs und den Ausbau des Kryptogeschäfts als Treiber. Der deutsche Finanzmarkt ist wegen seiner Größe, Heterogenität und zentralen Lage in Europa laut BaFin besonders gefährdet.

Zwei Punkte hebt die BaFin besonders hervor. Erstens werde die Bekämpfung der Terrorismusfinanzierung oft unzureichend berücksichtigt, obwohl sie eigene Maßnahmen braucht: Die Gelder stammen häufig aus legalen Quellen, und einzelne Transaktionen können sehr klein sein, sodass auf große, ungewöhnliche Beträge ausgelegte Präventionsmaßnahmen nicht greifen. Zweitens beobachtet sie vermehrt Umgehungsgeschäfte, etwa mit Iran-Bezug seit dem erneuten Inkrafttreten der Sanktionen im September 2025. Wie KI hilft, solche Muster in der Sanktionsprüfung zu erkennen, zeigt der Beitrag Viele Treffer, wenig Risiko.

Worauf prüft die BaFin 2026?

Auf die Kunden-Risikoklassifizierung und die Überwachung von Geschäftsbeziehungen. Im Jahr 2026 will die BaFin mindestens 75 Sonderprüfungen im Banken- und Nichtbankenbereich durchführen. Schwerpunkte bei Banken sind die Kunden-Risikoklassifizierung und die Umsetzung der seit Dezember 2024 anwendbaren Travel Rule durch Kryptowerte-Dienstleister; im Nichtbankensektor stehen die Maßnahmen zur Überwachung von Geschäftsbeziehungen und Transaktionen im Mittelpunkt.

Hinzu kommen weitere Vorhaben: eine Analyse des Geschäfts mit Hochrisikoländern, ein Fokus auf Agenten mit besonders hohem Risiko unter den mehr als 5.000 in Deutschland registrierten Agenten für EU-Zahlungsinstitute und eine Guidance zum Sortengeschäft. Die BaFin nutzt zudem die verschärfte Rechtslage aus der europäischen Geldtransferverordnung und den Änderungen des Geldwäschegesetzes, insbesondere bei Transaktionen mit selbst gehosteten Krypto-Adressen. Gegen festgestellte Mängel will sie weiterhin mit strenger Haltung vorgehen.

Was hat die BaFin 2025 geprüft?

Laut Jahresbericht 2025 konzentrierte sich die BaFin im Bankensektor auf die Funktion des Geldwäschebeauftragten, das IT-Monitoring und die Risikoanalyse; Auslagerungsdienstleister von Banken prüfte sie direkt. Im Jahr 2025 führte sie 643 regelmäßige oder anlassbezogene Aufsichtsgespräche und -besuche durch und begleitete 57 Jahresabschlussprüfungen. Bei 31 Jahresabschlussprüfungen legte sie zusätzliche Prüfungsschwerpunkte fest, um institutsspezifische Präventionsmaßnahmen intensiver prüfen zu lassen.

Eindeutig ist die Richtung: IT-gestütztes Monitoring und die Qualität der Risikoanalyse stehen im Zentrum, und die Prüfung reicht bis zu den Dienstleistern. Wer Monitoring-Systeme auslagert, bleibt für deren Wirksamkeit verantwortlich.

Was ändert sich auf europäischer Ebene?

Die europäische Geldwäscheaufsicht nimmt Gestalt an. Die europäische Anti-Geldwäschebehörde AMLA hat laut BaFin Mitte 2025 ihre Arbeit aufgenommen und soll Anfang 2028 voll funktionsfähig sein; die BaFin arbeitet in allen Arbeitsgruppen mit. Im Juli 2027 greift die neue EU-Geldwäscheverordnung; im Gleichlauf damit nimmt die BaFin per Allgemeinverfügung vom 30. Juni 2025 frühere Freistellungen von den Pflichten des Geldwäschegesetzes zurück.

Auch international verschärfen sich die Standards: Die überarbeitete Empfehlung 16 der Financial Action Task Force (FATF) zur Zahlungstransparenz, beschlossen im Juni 2025, verpflichtet Zahlungsdienstleister, vollständige und korrekte Zahler- und Empfängerdaten entlang der gesamten Zahlungskette sicherzustellen. Warum KI in diesem Umfeld mehr sein sollte als ein Filter, beschreibt der Beitrag zur EU-AML-Verordnung 2027 und KI in der Geldwäscheprävention; die Rolle der neuen Behörde ordnet der Beitrag AMLA kommt ein.

Wo hilft KI in der Geldwäscheprävention?

Bei Mustererkennung, Priorisierung und Dokumentation. Die BaFin wirkt laut eigenen Angaben fortlaufend darauf hin, dass Verpflichtete ihre Transaktionsüberwachung und Datenanalyse verbessern. Genau dort setzt KI an, denn Modelle erkennen Muster über Konten und Kanäle hinweg, etwa kleine, wiederkehrende Zahlungen, die für Terrorismusfinanzierung typisch sein können, und priorisiert Verdachtsfälle nach Risiko statt nach Eingang.

Ebenso wichtig ist die nachvollziehbare Dokumentation der Prüfpfade. Ein Modell, das Fälle ohne Begründung aussortiert, schafft ein neues Risiko. Die BaFin erwartet, dass Ergebnisse von KI-Systemen je nach Einsatzzweck erklärbar und überprüfbar sind; wie sich das in die gesamte KI-Governance einfügt, zeigt der Beitrag zum BaFin-Risikobericht 2026.

Was bedeutet das für Sparkassen und Genossenschaftsbanken?

Auch dort, wo Monitoring-Systeme zentral bereitgestellt werden, bleibt die Verantwortung beim Institut. Viele regionale Institute nutzen Lösungen ihres Rechenzentrums oder von Verbunddienstleistern für Transaktionsüberwachung und Screening. Die BaFin prüft nach eigenen Angaben Auslagerungsdienstleister inzwischen direkt, die Bewertung, ob Szenarien und Schwellen zum eigenen Kundenbestand passen, bleibt aber Aufgabe des Instituts.

Praktisch heißt das: Die institutseigene Risikoanalyse muss erklären, warum die eingesetzten Szenarien die eigenen Risiken abdecken, etwa bei Firmenkunden mit Auslandsgeschäft in Anrainerstaaten sanktionierter Länder. Wo das zentrale System Lücken lässt, braucht es ergänzende Maßnahmen und eine dokumentierte Begründung.

Was das Management jetzt veranlassen sollte

Fünf Schritte bereiten auf den Prüfungsfokus vor:

1. Risikoklassifizierung prüfen: die Kunden-Risikoklassifizierung auf Aktualität, Datenbasis und Nachvollziehbarkeit durchsehen.

2. Terrorismusfinanzierung gesondert betrachten: eigene Prüfkriterien für kleine Beträge und legale Mittelherkunft festlegen.

3. Monitoring anpassen: Szenarien für Umgehungsgeschäfte und Hochrisikoländer in die Transaktionsüberwachung aufnehmen.

4. Dienstleister einbeziehen: Wirksamkeit ausgelagerter Monitoring- und Screening-Leistungen regelmäßig belegen lassen.

5. Prüfpfade dokumentieren: jede Entscheidung über Verdachtsfälle begründet und nachvollziehbar festhalten.

Häufige Fragen

Wie viele Sonderprüfungen zur Geldwäscheprävention plant die BaFin 2026?
Mindestens 75 im Banken- und Nichtbankenbereich, bei Banken mit Schwerpunkt auf der Kunden-Risikoklassifizierung und der Travel Rule bei Kryptowerte-Dienstleistern.

Warum betont die BaFin die Terrorismusfinanzierung?
Weil die Mittel oft aus legalen Quellen stammen und Transaktionen sehr klein sein können. Präventionssysteme, die auf große, ungewöhnliche Beträge ausgelegt sind, erkennen solche Fälle häufig nicht.

Ab wann ist die AMLA voll arbeitsfähig?
Die AMLA hat Mitte 2025 begonnen und soll laut BaFin Anfang 2028 voll funktionsfähig sein. Die neue EU-Geldwäscheverordnung greift im Juli 2027.

Weitere Beiträge zu Geldwäscheprävention, Aufsicht und digitaler Resilienz bündelt das Dossier Regulierung & Resilienz.

Wie belastbar die eigene Risikoklassifizierung ist, zeigt sich oft an einer Frage: Lässt sich für einen beliebigen Kunden in wenigen Minuten belegen, warum er in seiner Risikoklasse steht? Für ein erstes Gespräch zu dieser Frage stehen wir gern bereit.