EU verschärft Geldwäsche-Vorgaben: Auf Versicherer kommt viel Arbeit zu

Mit dem neuen EU-Geldwäschepaket kommen auf Versicherer verschärfte Vorgaben bei wirtschaftlich Berechtigten, Risikoanalysen, KYC-Prüfungen und regulatorischen Datenmeldungen zu. Warum 2026 zum entscheidenden Vorbereitungsjahr wird und welche Prozesse Versicherer bis zum 10. Juli 2027 auf den Prüfstand stellen sollten, erklären Peter Felst und Torben Geppert von Forvis Mazars.

Im ersten Teil dieser Beitragsreihe haben wir das aktuelle Pflichtenprogramm insbesondere nach dem deutschen Geldwäschegesetz und typische Schwachstellen in Geldwäschepräventionssystemen von Versicherungsunternehmen beleuchtet. Der vorliegende Beitrag setzt diese Betrachtung fort: Wir stellen das jüngste EU-Geldwäschepaket vor, zeigen versicherungsspezifische Schwerpunkte auf und geben Umsetzungsempfehlungen für die Zeit bis Juli 2027.

Was beinhalten die neuen Vorschriften?

Das EU-Geldwäschepaket besteht aus vier Rechtsakten: der AMLR (Verordnung (EU) 2024/1624) als materiellrechtlichem Kernstück, der AMLD6 (Richtlinie (EU) 2024/1640) für institutionelle Strukturen, der AMLA-Verordnung (EU) 2024/1620 zur Errichtung der neuen europäischen Anti-Geldwäsche-Behörde (Anti Money Laundering Authority, AMLA) in Frankfurt sowie der Transfer-of-Funds-Regulation (ToFR, (EU) 2023/1113). Herzstück ist die AMLR: Erstmals ergeben sich die Pflichten aus einer für den Privatsektor unmittelbar anwendbaren EU-Verordnung. Die Diskussion verlagert sich von der Frage, wie nationale Vorschriften ausgelegt werden, hin zu der Frage, ob unionsweit definierte Mindestanforderungen, Trigger, Datenfelder und Fristen eingehalten werden.

Entscheidender Stichtag ist der 10. Juli 2027. Die AMLA konkretisiert die Anforderungen bis dahin durch technische Standards (RTS/ITS). Für Verpflichtete ist 2026 das Designfenster – sie müssen Prozesse „standard-resilient" aufstellen, damit spätere Vorgaben ohne grundlegenden Neuaufbau integriert werden können.

Die AMLA wird ab 1. Januar 2028 zunächst 40 – überwiegend grenzüberschreitend tätige – Finanzinstitute auch direkt beaufsichtigen. Für die Mehrzahl der deutschen Versicherer wird es bei der direkten Aufsicht durch die BaFin bleiben. Diese wird ihre Praxis gleichwohl am von der AMLA gesteckten Referenzrahmen ausrichten.

Für Versicherungsunternehmen ergeben sich in materieller Hinsicht folgende relevante Änderungen:

• Die Bestimmung des wirtschaftlichen Eigentümers wird neu gefasst: Der Beteiligungsschwellenwert sinkt von über 25 % auf 25 % oder mehr, mittelbare Beteiligungen werden entlang der Beteiligungsketten berechnet und wirtschaftliches Eigentum durch Kontrolle wird umfassender konkretisiert.
• Der bisherige fiktive wirtschaftlich Berechtigte wird durch den Senior Managing Official (SMO) als Auffangtatbestand bei der Ermittlung der wirtschaftlich Berechtigten ersetzt.
• Die unternehmensweite Risikoanalyse ist künftig vom Leitungsorgan zu genehmigen und um Sanktionsrisiken zu erweitern.
• Die KYC-Aktualisierungszyklen werden einheitlich festgelegt: Hochrisikokunden mindestens jährlich, Standardkunden alle fünf Jahre.
• Die Definition politisch exponierter Personen wird erweitert, sodass künftig etwa auch Leiter regionaler oder lokaler Behörden, soweit die entsprechende Gebietskörperschaft mehr als 50.000 Einwohner hat, als politisch exponierte Personen einzustufen sind.
• Darüber hinaus werden regelmäßig und ad hoc geldwäscherelevante Daten an die Aufsicht zu übermitteln sein. Hierbei zeigt die AMLA Data Collection & Testing Exercise, wohin die Reise bei den Datenanforderungen geht.

Welche Best Practices gibt es für die Umsetzung?

Ein strukturiertes Vorgehen zur Umsetzung der neuen Geldwäscheanforderungen erfolgt in fünf Schritten:

1. Status Quo: Überblick über die aktuellen Systeme, Prozesse und Organisationseinheiten gewinnen und im Rahmen einer Gap-Analyse den Anforderungen gegenüberstellen. Aufgrund der sich noch konkretisierenden Anforderungen muss eine solche Gap-Analyse stetig weiterentwickelt werden.
2. Priorisierung: Entwicklung eines Umsetzungs-Fahrplans mit priorisierten Arbeitspaketen und einer Schätzung des Aufwands
3. Einbezug der betroffenen Fachbereiche: Frühzeitiger Einbezug, um Awareness für die neuen Anforderungen zu schaffen. Dies betrifft insbesondere die IT-Abteilung aufgrund der Auswirkungen auf Systeme und Daten.
4. Umgang mit Unsicherheiten und offenen Fragen: Da regulatorisch noch nicht alle Themen abschließend geklärt sind, muss man mit Hypothesen bzw. unterschiedlichen Szenarien arbeiten. Diese sind strukturiert zu dokumentieren einschließlich der Auswirkungen auf den Umsetzungs-Fahrplan, um bei regulatorischen Konkretisierungen schnell reagieren zu können.
5. Monitoring der Veröffentlichungen: Bis zum 10. Juli 2027 sind Veröffentlichungen diverser Standards und Leitlinien geplant. Damit der Umsetzungs-Fahrplan stets aktuell bleibt, müssen diese Veröffentlichungen gemonitort und hinsichtlich ihrer Auswirkungen auf die Umsetzung analysiert werden.

Im Hinblick auf die zu erhebenden und vorzuhaltenden Daten ist darüber hinaus sicherzustellen, dass diese sowohl regelmäßig als auch auf Anfrage der BaFin/AMLA konsistent, nachvollziehbar und fristgerecht zur Verfügung stehen. Es sind daher standardisierte Reportings prozessual und IT-seitig zu implementieren. Hierfür muss eine Übersicht der genutzten IT-Systeme einschließlich aller Schnittstellen erstellt, eine Gap-Analyse der vorhandenen und erforderlichen Datenpunkte durchgeführt sowie Rollen und Verantwortlichkeiten festgelegt werden. Das Ziel ist, den End-to-End-Prozess zu skizzieren und Datenlücken zu schließen.

Was ändert sich im Rahmen der Abschlussprüfung?

Nach § 35 VAG müssen Abschlussprüfer auch prüfen, ob geldwäscheverpflichtete Versicherungsunternehmen ihre Pflichten nach dem GwG erfüllt haben. Diese Prüfungspflicht wird sich voraussichtlich ab 2027 auch auf die neuen europäischen Geldwäscheanforderungen erstrecken, die einen stärkeren Fokus auf die risikobasierte Ausgestaltung des Geldwäschepräventionssystems und die Qualität geldwäscherelevanter Daten legen. Sowohl die Risikoanalyse als auch die Datensicherheit können daher in den Prüfungsfokus gerückt werden.

Eine frühzeitige Abstimmung zwischen Versicherungsunternehmen und dem Abschlussprüfer reduziert die Umsetzungsrisiken, indem prüferische Erwartungen ausgetauscht und neue regulatorische Veröffentlichungen diskutiert werden.

Fazit

Das EU-Geldwäschepaket ist umfangreich und wird bis zum Anwendungsbeginn am 10. Juli 2027 weiter konkretisiert. Die Umsetzung muss daher nicht nur zeitnah erfolgen, sondern erfordert einen flexiblen Projektplan, der fortlaufend an neue regulatorische Veröffentlichungen angepasst werden muss. Zentral ist dabei auch die Einbindung der IT, um die konsistente, nachvollziehbare und fristgerechte Meldung von geldwäscherelevanten Daten zu gewährleisten. Aufgrund der Prüfungspflicht im Rahmen der Jahresabschlussprüfung ist außerdem eine frühzeitige Abstimmung mit dem Abschlussprüfer zu empfehlen.