AML, KYC und das Sanktionsregime, das Sie nicht ignorieren können

Das Konto, das nach Routine aussah

Ein Pensionsfonds aus Luxemburg will 200 Millionen Euro in den Flaggschiff-Fonds Ihres Hauses investieren. Sauberes Geld, angesehene Institution, empfohlen von einem bestehenden Kunden. Ihr Vertriebsteam ist begeistert. Dann öffnet Compliance die Akte und stellt fest, dass einer der wirtschaftlich Berechtigten des Fonds über drei Holdinggesellschaften zu einer Person führt, die letzten Monat auf einer Sanktionsliste aufgetaucht ist. Das Konto wird eingefroren. Der Deal platzt. Und hätten Sie die Zeichnung ohne diesen Fund verarbeitet, kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnte Ihrem Haus eine Strafe im siebenstelligen Bereich und ein öffentliches Enforcement-Verfahren drohen.

Das ist die Welt von Anti-Money Laundering (AML), Know Your Customer (KYC) und Sanktions-Compliance. Hier wird aus „Routine“-Onboarding ein Minenfeld, und hier kostet ein Fehler mehr, als jedes einzelne Mandat wert ist.

Die drei Pflichten, an denen alles hängt

Drei Pflichten bilden den Kern der Financial-Crime-Compliance. Jede Aufsichtsbehörde, in jeder Jurisdiktion, baut darauf auf.

AML (Anti-Money Laundering): das Regelwerk, das Firmen verpflichtet, das Einschleusen krimineller Erlöse in das Finanzsystem zu erkennen und zu verhindern. Geldwäsche ist der Prozess, illegal erlangtes Geld legitim aussehen zu lassen.

KYC (Know Your Customer): die Pflicht, zu verifizieren, wer Ihr Kunde tatsächlich ist, seine Vermögensherkunft zu verstehen und das Risiko einzuschätzen, das ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → vor und während der Geschäftsbeziehung darstellt.

Sanktions-Screening: der Abgleich von Kunden, ihren Eigentümern und ihren Transaktionen mit staatlichen Listen verbotener Personen, Unternehmen und Länder.

Das sind keine Papierübungen. Es sind die konkreten Auslöser hinter den meisten großen Strafen im Asset Management.

Wer die Regeln macht

Sie kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen keine Gesetze einhalten, die Sie nicht benennen kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen. Die wichtigsten Gremien und Frameworks für 2026:

• FATF (Financial Action Task Force): der globale Standardsetzer. Sie gibt 40 Empfehlungen heraus, die die meisten Länder in nationales Recht überführen. Die FATF veröffentlicht außerdem eine „grey list“ und eine „black list“ von Hochrisiko-Jurisdiktionen. Die Standards direkt auf der FATF-Website.
• USA: Der Bank Secrecy Act (BSA) ist das grundlegende AML-Gesetz, durchgesetzt von FinCEN (Financial Crimes Enforcement Network). Sanktionen verwaltet OFAC (Office of Foreign Assets Control), Teil des Finanzministeriums.
• Europäische Union: historisch eine Reihe von Geldwäscherichtlinien (die sechste, 6AMLD, ist die jüngste). Entscheidend: Die EU baut derzeit eine einheitliche Aufsicht auf, AMLA (die Anti-Money Laundering Authority) mit Sitz in Frankfurt, die ab 2028 voraussichtlich die direkte Aufsicht über Hochrisikofirmen übernimmt, gestützt auf eine neue AML-Verordnung, die die Regeln über die Mitgliedstaaten hinweg harmonisiert.
• Vereinigtes Königreich: die Money Laundering Regulations, mit der FCA (Financial Conduct Authority) als Aufsicht und OFSI (Office of Financial Sanctions Implementation) für Sanktionen.

Warum Asset Manager voll im Anwendungsbereich liegen

Ein verbreiteter Mythos: „Wir nehmen kein Bargeld an, also gilt AML für uns nicht wirklich.“ Falsch. Asset Manager nehmen große Zeichnungen entgegen, arbeiten mit geschichteten Fondsstrukturen, onboarden Rechtsträger aus vielen Jurisdiktionen und bewegen bei Rücknahmen Geld. Genau diese Mechanik nutzen Geldwäscher aus. Die Aufsicht behandelt Sie als Gatekeeper.

Onboarding des institutionellen Kunden, Schritt für Schritt

Zurück zum luxemburgischen Pensionsfonds. So geht Compliance tatsächlich vor.

Schritt 1: Customer Due Diligence (CDD)

CDD (Customer Due Diligence) bedeutet, den Kunden zu identifizieren und diese Identität mit verlässlichen Dokumenten zu verifizieren. Bei einer Institution heißt das: Gründungsunterlagen, aufsichtsrechtliche Zulassungen und Zeichnungsberechtigte. Bei einem bekannten Pensionsfonds unkompliziert.

Schritt 2: Wirtschaftlich Berechtigte

Hier stolpern die meisten Firmen. Ein wirtschaftlich Berechtigter ist die natürliche Person, die den Kunden letztlich besitzt oder kontrolliert, üblicherweise definiert als mehr als 25 Prozent der Anteile oder Stimmrechte (der gängige EU-Schwellenwert). Sie müssen jede Holdinggesellschaft, jeden Trust und jede Nominee-Konstruktion durchdringen, bis Sie bei einem Menschen ankommen.

Unser Pensionsfonds investiert über einen Feeder-Fonds, der einer Holdinggesellschaft gehört, die mehrere Unternehmensinvestoren hat. Jede Ebene muss aufgedröselt werden. Stellt sich heraus, dass ein Eigentümer mit mehr als 25 Prozent sanktioniert ist, ist der Deal tot.

Schritt 3: PEP-Screening

Ein PEP (Politically Exposed Person) ist jemand mit einer herausgehobenen öffentlichen Funktion, etwa ein Minister, ein hoher Richter oder ein Vorstand eines Staatsunternehmens, dazu enge Familienangehörige und Vertraute. PEPs sind nicht verboten, erfordern aber Enhanced Due Diligence (EDD): tiefere Prüfungen der Vermögensherkunft und eine Freigabe auf Senior-Ebene, weil sie ein höheres Korruptionsrisiko tragen.

Schritt 4: Sanktions-Screening

Jede identifizierte Partei, der Fonds, der Feeder, die Holdinggesellschaft und jeder wirtschaftlich Berechtigte, wird gegen OFAC-, EU-, UK- und UN-Listen geprüft. Screening ist keine einmalige Sache. Sie screenen laufend neu, weil sich Listen ändern. Die Person in unserem Szenario wurde letzten Monat aufgenommen; eine Firma, die nur beim Onboarding screent und danach nie wieder, hätte das übersehen.

Schritt 5: Risk Rating und laufende Überwachung

Der Kunde erhält einen Risk Score (niedrig, mittel, hoch), der bestimmt, wie oft Sie die Akte prüfen und wie genau Sie Transaktionen beobachten. Ein Hochrisikokunde wird vielleicht jährlich überprüft, ein Niedrigrisikokunde alle drei Jahre.

Wenn etwas nicht stimmt: der SAR

Wirkt eine Aktivität verdächtig (eine unerklärte Mittelherkunft, eine Rücknahme an einen unbeteiligten Dritten, eine plötzliche Verhaltensänderung), reichen Sie einen Suspicious Activity Report (SAR) ein, in manchen Jurisdiktionen Suspicious Transaction Report genannt. In den USA geht das an FinCEN, in Großbritannien an die National Crime Agency.

Zwei Regeln sind enorm wichtig:

1. Sie müssen unverzüglich melden. Die Meldung zu unterlassen ist selbst eine Straftat.

2. Sie dürfen den Kunden nicht „tippen“ (tipping off). Dem Kunden mitzuteilen, dass eine Verdachtsmeldung gegen ihn läuft, ist in den meisten Jurisdiktionen eine Straftat.

Was tatsächlich Strafen und eingefrorene Vermögen auslöst

Enforcement ist real und groß. Ein paar gut belegte Muster:

• Sanktionsverstöße sind unter OFAC verschuldensunabhängig (strict liability). Sie brauchen keinen Vorsatz. Eine Transaktion für eine sanktionierte Partei zu verarbeiten, auch versehentlich, kann Strafen auslösen. Deshalb zählt die Sorgfalt beim Screening so stark.
• Systemische KYC- und AML-Versäumnisse ziehen die größten Strafen nach sich. Aufsichtsbehörden haben Strafen in dreistelliger Millionenhöhe verhängt, in einzelnen Bankfällen in Milliardenhöhe, für schwache Kontrollen, mangelhafte Überwachung und ignorierte Red Flags. Das Muster ist konstant: Das Fehlen funktionierender Systeme wird so hart bestraft wie die zugrunde liegende Straftat.
• Eingefrorene Vermögenswerte: Sind Gelder mit einer sanktionierten Partei verbunden, müssen Sie sie einfrieren und melden, nicht zurückzahlen. Ein Fehler in beide Richtungen begründet Haftung.

Ein belastbares Programm aufbauen

Die Aufsicht erwartet nicht, dass Sie jeden Kriminellen erwischen. Sie erwartet einen risikobasierten Ansatz: mehr Prüftiefe dort, wo das Risiko höher ist, und eine dokumentierte Begründung. Ein belastbares Programm hat:

• Eine namentlich benannte verantwortliche Person. In Großbritannien ist das der MLRO (Money Laundering Reporting Officer). US- und EU-Firmen benennen einen Compliance Officer mit klarer Befugnis.
• Schriftliche Policies, die auf reale Gesetze gemappt sind, keine generischen Vorlagen.
• Kalibrierte Screening-Tools. Zu lose Schwellenwerte, und Sie verpassen Treffer; zu enge, und Sie ersäufen Ihre Analysten in False Positives. Das Tuning der Fuzzy-Matching-Logik (sodass „Mohammed“ auch „Muhammad“ markiert) ist eine echte operative Disziplin.
• Schulungen und Audit Trails. Was nicht dokumentiert ist, hat für die Aufsicht nicht stattgefunden.

Der Wandel zu Perpetual KYC

Das alte Modell prüfte Kunden nach festen Kalendern. Die Richtung 2026 ist Perpetual KYC (pKYC): kontinuierliche, ereignisgesteuerte Überwachung, bei der ein Eigentümerwechsel, eine Nachricht oder eine neue Sanktionslistung automatisch eine Prüfung auslöst. Das ist wirksamer und wird von der Aufsicht zunehmend erwartet.

Key Takeaways

• AML, KYC und Sanktions-Screening sind die drei Säulen, und Asset Manager werden als Gatekeeper behandelt, obwohl sie kein Bargeld anfassen. Zeichnungen und Rücknahmen sind die Exponierung.
• An den wirtschaftlich Berechtigten sterben Deals. Sie müssen jede Ebene aufdröseln, bis Sie eine echte Person erreichen, und jede einzelne screenen; der gängige Schwellenwert liegt bei mehr als 25 Prozent Eigentum oder Kontrolle.
• Sanktionsverstöße sind häufig strict liability. Vorsatz ist unter OFAC irrelevant, laufendes Rescreening (statt einmaliger Prüfungen) ist deshalb nicht verhandelbar.
• Die größten Strafen bestrafen schwache Systeme, nicht nur Straftaten. Ein dokumentiertes, risikobasiertes Programm mit einem namentlich benannten Verantwortlichen und kalibriertem Screening ist Ihre Verteidigung.
• Reichen Sie SARs unverzüglich ein und tippen Sie den Kunden nie. Sowohl die unterlassene Meldung als auch die Offenlegung einer Meldung sind Straftaten.