Asset Management · AML, KYC und das Sanktionsregime, das Sie nicht ignorieren können

Das Konto, das nach Routine aussah

Ein Pensionsfonds aus Luxemburg will 200 Millionen Euro in den Flaggschifffonds Ihres Hauses investieren. Sauberes Geld, angesehene Institution, empfohlen von einem Bestandskunden. Ihr Vertrieb ist begeistert. Dann öffnet Compliance die Akte und stellt fest, dass einer der wirtschaftlich Berechtigten des Fonds über drei Holdinggesellschaften auf eine Person zurückführt, die im vergangenen Monat auf einer Sanktionsliste aufgetaucht ist. Das Konto wird eingefroren. Der Deal platzt. Und hätten Sie die Zeichnung abgewickelt, ohne die Verbindung zu erkennen, könnte Ihrem Haus eine siebenstellige Geldbuße und ein öffentliches Enforcement-Verfahren drohen.

Das ist die Welt von Anti-Money-Laundering (AML), Know Your Customer (KYC) und Sanktions-Compliance. Hier wird „routinemäßiges“ Onboarding zum Minenfeld, und hier kostet ein Fehler mehr, als jedes einzelne Mandat wert ist.

Die drei Pflichten, auf denen alles aufbaut

Drei Pflichten bilden den Kern der Financial-Crime-Compliance. Jede Aufsichtsbehörde in jeder Jurisdiktion baut darauf auf.

AML (Anti-Money Laundering): das Regelwerk, das Unternehmen verpflichtet, den Fluss krimineller Erlöse durch das Finanzsystem zu erkennen und zu verhindern. Geldwäsche ist der Prozess, illegal erlangtes Geld legitim aussehen zu lassen.

KYC (Know Your Customer): die Pflicht, zu prüfen, wer Ihr Kunde tatsächlich ist, seine Vermögensherkunft zu verstehen und das von ihm ausgehende Risiko vor und während der Geschäftsbeziehung zu bewerten.

Sanktions-Screening: der Abgleich von Kunden, deren Eigentümern und deren Transaktionen mit staatlichen Listen verbotener Personen, Unternehmen und Länder.

Das sind keine Papierübungen. Es sind die konkreten Auslöser hinter den meisten großen Geldbußen im Asset Management.

Wer die Regeln macht

Sie kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen keine Gesetze einhalten, die Sie nicht benennen können. Die zentralen Gremien und Rahmenwerke für 2026:

• FATF (Financial Action Task Force): der globale Standardsetzer. Sie gibt 40 Empfehlungen heraus, die die meisten Länder in nationales Recht überführen. Die FATF veröffentlicht außerdem eine „grey list“ und eine „black list“ von Hochrisiko-Jurisdiktionen. Die Standards direkt auf der FATF-Website.
• Vereinigte Staaten: der Bank Secrecy Act (BSA) ist das grundlegende AML-Gesetz, durchgesetzt von FinCEN (Financial Crimes Enforcement Network). Sanktionen verwaltet OFAC (Office of Foreign Assets Control), Teil des Finanzministeriums.
• Europäische Union: historisch eine Reihe von Geldwäscherichtlinien (zuletzt die sechste, 6AMLD). Entscheidend: Die EU baut derzeit eine einheitliche Aufsicht auf, AMLA (die Anti-Money Laundering Authority) mit Sitz in Frankfurt, die ab 2028 die direkte Aufsicht über Hochrisiko-Unternehmen übernehmen soll, auf Basis einer neuen AML-Verordnung, die die Regeln über die Mitgliedstaaten hinweg harmonisiert.
• Vereinigtes Königreich: die Money Laundering Regulations, mit der FCA (Financial Conduct Authority) als Aufsicht und OFSI (Office of Financial Sanctions Implementation) für Sanktionen.

Warum Asset Manager klar im Anwendungsbereich liegen

Ein verbreiteter Mythos: „Wir arbeiten nicht mit Bargeld, also gilt AML für uns kaum.“ Falsch. Asset Manager nehmen große Zeichnungen entgegen, arbeiten mit mehrstufigen Fondsstrukturen, onboarden Rechtsträger aus vielen Jurisdiktionen und bewegen bei Rücknahmen Geld. Genau diese Mechanik nutzen Geldwäscher aus. Die Aufsicht behandelt Sie als Gatekeeper.

Onboarding eines institutionellen Kunden, Schritt für Schritt

Zurück zum luxemburgischen Pensionsfonds. Das macht Compliance tatsächlich.

Schritt 1: Customer Due Diligence (CDD)

CDD (Customer Due Diligence) bedeutet, den Kunden zu identifizieren und diese Identität anhand verlässlicher Dokumente zu verifizieren. Bei einer Institution heißt das: Gründungsunterlagen, aufsichtsrechtliche Zulassungen und Zeichnungsberechtigte. Bei einem bekannten Pensionsfonds unkompliziert.

Schritt 2: Wirtschaftlich Berechtigte

Hier stolpern die meisten Häuser. Ein wirtschaftlich Berechtigter ist die natürliche Person, die den Kunden letztlich besitzt oder kontrolliert, typischerweise definiert als Halten von mehr als 25 Prozent der Anteile oder Stimmrechte (die übliche EU-Schwelle). Sie müssen jede Holdinggesellschaft, jeden Trust und jede Treuhandkonstruktion durchdringen, bis Sie bei einem Menschen ankommen.

Unser Pensionsfonds investiert über einen Feeder-Fonds, der einer Holdinggesellschaft gehört, die mehrere Unternehmensinvestoren hat. Jede Ebene muss aufgelöst werden. Stellt sich heraus, dass ein Eigentümer mit mehr als 25 Prozent sanktioniert ist, ist der Deal tot.

Schritt 3: PEP-Screening

Ein PEP (Politically Exposed Person) ist jemand, der mit einer herausgehobenen öffentlichen Funktion betraut ist, etwa ein Minister, ein hoher Richter oder eine Führungskraft eines Staatsunternehmens, dazu enge Familienangehörige und Vertraute. PEPs sind nicht verboten, aber sie erfordern Enhanced Due Diligence (EDD): tiefere Prüfungen der Vermögensherkunft und eine Freigabe durch das Senior Management, weil sie ein höheres Korruptionsrisiko tragen.

Schritt 4: Sanktions-Screening

Jede identifizierte Partei, der Fonds, der Feeder, die Holdinggesellschaft und jeder wirtschaftlich Berechtigte, wird gegen OFAC-, EU-, UK- und UN-Listen abgeglichen. Screening ist keine einmalige Sache. Sie screenen laufend erneut, weil sich Listen ändern. Die Person in unserem Szenario wurde vergangenen Monat aufgenommen; ein Haus, das nur beim Onboarding screent und nie wieder, hätte das übersehen.

Schritt 5: Risikoeinstufung und laufende Überwachung

Der Kunde erhält einen Risk Score (niedrig, mittel, hoch), der bestimmt, wie oft Sie die Akte prüfen und wie genau Sie Transaktionen beobachten. Ein Hochrisikokunde wird vielleicht jährlich geprüft, ein Kunde mit niedrigem Risiko alle drei Jahre.

Wenn etwas nicht stimmt: der SAR

Wirkt eine Aktivität verdächtig (eine unerklärte Mittelherkunft, eine Rücknahme an einen unbeteiligten Dritten, eine plötzliche Verhaltensänderung), erstatten Sie eine Verdachtsmeldung, den Suspicious Activity Report (SAR), in manchen Jurisdiktionen Suspicious Transaction Report genannt. In den USA geht das an FinCEN, im UK an die National Crime Agency.

Zwei Regeln wiegen besonders schwer:

1. Sie müssen unverzüglich melden. Eine unterlassene Meldung ist selbst eine Straftat.
2. Sie dürfen den Kunden nicht „tippen“ (tipping off). Dem Kunden mitzuteilen, dass eine Verdachtsmeldung vorliegt, ist in den meisten Jurisdiktionen strafbar.

Was tatsächlich Geldbußen und eingefrorene Vermögenswerte auslöst

Enforcement ist real und groß. Einige gut belegte Muster:

• Sanktionsverstöße sind bei OFAC verschuldensunabhängig (strict liability). Vorsatz ist nicht erforderlich. Die Abwicklung einer Transaktion für eine sanktionierte Partei kann auch versehentlich Sanktionen auslösen. Deshalb zählt Screening-Strenge so sehr.
• Systemische KYC- und AML-Mängel ziehen die höchsten Bußen nach sich. Aufsichtsbehörden haben Strafen im dreistelligen Millionenbereich verhängt, in einzelnen Bankenfällen Milliarden Dollar, für schwache Kontrollen, mangelhafte Überwachung und ignorierte Red Flags. Das Muster ist konstant: Das Fehlen funktionierender Systeme wird ebenso hart bestraft wie die zugrunde liegende Straftat.
• Eingefrorene Vermögenswerte: Sind Gelder mit einer sanktionierten Partei verbunden, müssen Sie sie einfrieren und melden, nicht zurückzahlen. Ein Fehler in beide Richtungen begründet Haftung.

Ein belastbares Programm aufbauen

Die Aufsicht erwartet nicht, dass Sie jeden Kriminellen erwischen. Sie erwartet einen risikobasierten Ansatz: mehr Prüfung dort, wo das Risiko höher ist, und eine dokumentierte Begründung. Ein belastbares Programm hat:

• Eine namentlich benannte verantwortliche Person. Im UK ist das der MLRO (Money Laundering Reporting Officer). US- und EU-Häuser benennen einen Compliance Officer mit klarer Befugnis.
• Schriftliche Policies, die auf reale Gesetze gemappt sind, keine generischen Vorlagen.
• Kalibrierte Screening-Tools. Zu lockere Schwellen, und Sie übersehen Treffer; zu enge, und Sie ertränken Ihre Analysten in False Positives. Die Feinabstimmung der Fuzzy-Matching-Logik (damit „Mohammed“ auch „Muhammad“ auslöst) ist eine echte operative Disziplin.
• Schulungen und Audit Trails. Was nicht dokumentiert ist, hat für die Aufsicht nicht stattgefunden.

Der Wandel zu perpetual KYC

Das alte Modell prüfte Kunden nach festen Kalendern. Die Richtung 2026 heißt perpetual KYC (pKYC): laufende, ereignisgesteuerte Überwachung, bei der ein Eigentümerwechsel, eine Nachricht oder eine neue Sanktionslistung automatisch eine Prüfung auslöst. Das ist wirksamer und wird von Aufsichtsbehörden zunehmend erwartet.

Key Takeaways

• AML, KYC und Sanktions-Screening sind die drei Säulen, und Asset Manager gelten als Gatekeeper, obwohl sie kein Bargeld handhaben. Zeichnungen und Rücknahmen sind das Exposure.
• An den wirtschaftlich Berechtigten sterben Deals. Sie müssen jede Ebene auflösen, bis Sie bei einer realen Person sind, und jede einzelne screenen; die übliche Schwelle liegt bei mehr als 25 Prozent Eigentum oder Kontrolle.
• Sanktionsverstöße sind oft verschuldensunabhängig. Vorsatz ist unter OFAC irrelevant, deshalb ist laufendes Rescreening (statt einmaliger Prüfungen) nicht verhandelbar.
• Die höchsten Bußen bestrafen schwache Systeme, nicht nur Straftaten. Ein dokumentiertes, risikobasiertes Programm mit einem namentlich benannten Verantwortlichen und kalibriertem Screening ist Ihre Verteidigung.
• Erstatten Sie Verdachtsmeldungen unverzüglich und tippen Sie den Kunden nie. Sowohl die unterlassene Meldung als auch die Offenlegung einer Meldung sind Straftaten.