EU-AMLR , eIDAS 2.0 & EUDI-Wallet

Wie sieht die EU-AMLR-Timeline aus?

Die Verordnung (EU) 2024/1624 (EU-AMLR) ist bereits seit 09.07.2024 in Kraft, die wesentlichen Pflichten sind ab dem 10. Juli 2027 unmittelbar anzuwenden. Bis dahin sollten verpflichtete Unternehmen ihre Governance, Prozesse, Datenqualität, Kontrollsysteme sowie ihre Ident-/Onboarding-Verfahren an die neuen Anforderungen anpassen.

Was ändert sich mit der EU-AMLR für verpflichtete Unternehmen?

Die EU-AMLR (Anti-Money Laundering Regulation, Verordnung (EU) 2024/1624) ist die am 09.07.2024 in Kraft getretene EU-Verordnung zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung. Sie schafft ein EU-weit einheitlicheres Regelwerk für verpflichtete Unternehmen. Sie stärkt insbesondere risikobasierte Sorgfaltspflichten, Transparenzanforderungen, laufendes Monitoring, dokumentierte Risikosteuerung und eine stärker harmonisierte Aufsichtssystematik.

Verpflichtete Unternehmen sollten die Anforderungen als Umstellung auf ein EU-weit harmonisiertes AML/CFT-Betriebsmodell verstehen, nicht als bloße Anpassung einzelner KYC-Formulare. Folgende Aspekte und einheitliche, verschärfte AML-/CFT-Pflichten stehen dabei im Fokus:

Zusätzlich besteht die Pflicht zur Nutzung digitaler Tools (etwa für Transaktionsmonitoring, KI-Überwachung). Vorgaben wie das verschärfte Risikomanagement sowie das Transaktionsmonitoring sind durch die verpflichteten Unternehmen sicherzustellen.

Welche Unternehmen müssen zukünftig EU-AMLR-konform sein?

Die Verordnung gilt für „obliged entities“ aus dem Finanz- und Nichtfinanzsektor, darunter insbesondere Kreditinstitute, Zahlungs- und E-Geld-Institute, Krypto-Asset-Dienstleister, bestimmte Versicherungs- und Wertpapierakteure sowie klassische DNFBPs wie Notare, Rechtsanwälte, Steuerberater, Immobilienmakler und Händler hochwertiger Güter.

Neu hinzugekommene Unternehmen, die zukünftig ebenfalls der EU-AMLR unterliegen, sind etwa Crowdfunding-Plattformen, (Profi-)Fußballvereine, Verbraucherkreditvermittler (inklusive der Niederlassungen und Zweigniederlassungen von verpflichteten Unternehmen), für die jedoch andere Fristen einzuhalten sind.

Was ist der Unterschied zwischen EU-AMLR, AMLD6 und der AMLA?

EU-AMLR, AMLD6 und AMLA sind Bestandteile des EU-AML-Pakets zur einheitlichen Geldwäschebekämpfung. Kurz gesagt: Die EU-AMLR ist die unmittelbar geltende Verordnung für die materiellen Pflichten, die AMLD6 ergänzt den Rahmen dort, wo eine nationale Umsetzung weiterhin erforderlich ist, und die AMLA ist die EU-Aufsichtsbehörde, die ab 2028 schrittweise in die direkte Aufsicht über ausgewählte Institute eintritt.

• AMLR: Verordnung (EU) 2024/1624: Einheitliches “Single Rulebook”:
  Direkte Regeln für KYC, KYB, CDD, Risikomanagement für verpflichtete Unternehmen EU-weit (ab 2027).
• AMLD6: Richtlinie
  Ergänzende nationale Umsetzung: Strafen, FIU-Kooperation, Aufsicht; muss in Landesrecht (etwa GwG) umgesetzt werden.
• AMLA: EU-Behörde (Frankfurt)
  Aufsicht & Durchsetzung: Direkte Überwachung hochriskanter Firmen, Koordination nationaler Behörden, Sanktionen.

Welche Rolle spielt die AMLA im Rahmen der EU-AMLR?

Die AMLA (Anti-Money Laundering Authority) mit Sitz in Frankfurt koordiniert die europäische AML/CFT-Aufsicht und entwickelt technische Standards. Sie wird ab 1. Januar 2028 die direkte Aufsicht über die ausgewählten 40 komplexesten grenzüberschreitenden Finanzgruppen übernehmen.

Welche Sorgfaltspflichten müssen Unternehmen zur Erfüllung der EU-AMLR-Vorgaben sicherstellen?

Gemäß der EU-AMLR müssen verpflichtete Unternehmen klar definierte, risikobasierte Sorgfaltspflichten gegenüber ihren Kundinnen und Kunden erfüllen.

Kernpflichten (Art. 20 EU-AMLR):

• Identität feststellen und überprüfen
• Wirtschaftliche Eigentümer ermitteln, Identität prüfen und Eigentümerstruktur verstehen
• Zweck und Art der Geschäftsbeziehung oder Transaktion verstehen
• Sanktionsprüfung für Kunden, Eigentümer und Kontrollpersonen durchführen
• Geschäftstätigkeit/Beruf bewerten
• Kontinuierliche Überwachung der Beziehung und Transaktionen (inklusive Herkunft der Mittel)
• PEP-Status (PEP = politisch exponierte Personen) prüfen
• Dritte (etwa Begünstigte oder Bevollmächtigte) identifizieren und prüfen.

 

Risikostufen

Verpflichtete Unternehmen müssen bei erhöhtem Risiko zusätzliche Maßnahmen ergreifen. Dies gilt beispielsweise bei politisch exponierten Personen oder Personen und Unternehmen mit Sitz in Hochrisiko-Ländern, bei denen die Identitätsprüfung und -Reevaluierung jährlich erfolgen und revisionssicher nachgewiesen werden muss.

Was ändert sich mit der EU-AMLR für KYC?

Mit der EU-AMLR werden die Know-Your-Customer-Prozesse EU-weit stärker harmonisiert, risikobasierter und dokumentationsintensiver. Der Schwerpunkt liegt auf einer verlässlichen Identifizierung, laufender Aktualisierung, sauberer Risikoklassifizierung und technisch belastbaren Nachweisen.

• Einheitlicher Datensatz:
  Es müssen mehr Pflichtangaben (etwa Geburtsort, Steuer-ID, Wohnsitz, alle Staatsangehörigkeiten) erfasst werden.
• KYC-Zyklen:
  Die KYC-Zyklen müssen mit der EU-AMLR stärker risikobasiert durchgeführt werden, beispielsweise im Zusammenhang mit PEPs und Hochrisiko-Ländern. Bestimmte Ereignisse erfordern darüber hinaus eine Trigger-basierte Prüfung (etwa bei Adressänderung).
• Digitaler Fokus:
  eIDAS-konforme Verfahren werden priorisiert (eID, EUDI-Wallet, Video-Ident-Verfahren mit QES). Andere rechtlich zulässige Verfahren, etwa Video-Ident-Verfahren ohne QES, bleiben relevant, wobei die endgültige Ausgestaltung aber von den technischen und regulatorischen Details abhängt.
• Erweiterte CDD: Strengere Prüfungen für Hochrisiko (etwa HNWI, geografische Risiken) und laufendes Monitoring.

Die technischen Regulierungsstandards im Finanzwesen (RTS) zum Umgang mit Customer-Due-Diligence-Prüfungen (CDD) befinden sich noch in der Konsultationsphase, sie sollen im Juli 2026 verabschiedet werden. WebID hat das im Blick und nimmt die erforderlichen Anpassungen in den relevanten Ident-Verfahren vor, sobald die RTS-/CDD-Vorgaben konkretisiert sind.

Was ändert sich mit der EU-AMLR für KYB?

Mit der EU-AMLR werden auch die Know-Your-Business-Vorgaben (KYB) vereinheitlicht und stärker auf wirtschaftliche Eigentümer, Kontrollstrukturen, Nachvollziehbarkeit und Datenqualität ausgerichtet. Besonders wichtig bleiben belastbare Dokumentation, Plausibilisierung und die Fähigkeit, komplexe Eigentümerkonstruktionen revisionssicher abzubilden. Für Unternehmen heißt das vor allem: mehr Transparenz zu wirtschaftlichen Eigentümern, kürzere Review-Zyklen und weniger nationale Auslegungsspielräume.

• Einheitliche EU-Prozesse und Regeln:
  KYB wird künftig EU-weit nach einem „Single Rulebook“ geprüft.
• Mehr Daten zu UBOs:
  Es müssen mehr Angaben zu den wirtschaftlich Eigentümern erhoben, prüfsicher dokumentiert und plausibilisiert werden, etwa Identitäts- und Wohnsitzdaten.
• Mehr Fokus auf Eigentums- und Kontrollstrukturen:
  Auch komplexe Beteiligungsketten und sonstige Kontrolle müssen sauber nachvollzogen werden.
• Stärkere Digitalisierung/Standardisierung:
  Digitale Prozesse sowie eIDAS-nahe Lösungen werden wichtiger, besonders für Remote-Onboardings.

Wie hängen EU-AMLR, eIDAS 2.0 und EUDI-Wallet zusammen?

• Die EU-AMLR definiert die AML-/CFT-Pflichten, dem alle Umsetzungsmaßnahmen in allen EU-Mitgliedsstaaten entsprechen müssen.
• eIDAS 2.0 (Electronic Identification, Authentication and Trust Services) liefert innerhalb der EU den rechtlichen Rahmen für elektronische Identifizierung und Vertrauensdienste und definiert die technischen Standards, gemäß derer diese Vorgaben umzusetzen sind.
• Die EUDI-Wallet ist das künftige europäische Identitäts- und Attributs-Wallet innerhalb dieses Rahmens und damit letztlich ein möglicher Baustein zur Erfüllung von Identifikations- und Authentifizierungsanforderungen. Auf Funktionsebene ermöglicht sie das selektive Teilen von Attributen und eine grenzüberschreitende Nutzung für Verwaltungs- und Onboarding-Prozesse.

Was sind die Vor- und Nachteile der EUDI-Wallet

Vorteile Effizienzsteigerung & Kostensenkung: Schnelle, automatisierte Identitätsprüfungen (“KYC in Sekunden”) und die Reduzierung manueller Prüfungen können dazu beitragen, Zeit und Kosten bei Onboardings und Vertragsabschlüssen zu reduzieren. Rechtsverbindliche Signaturen: Europaweit gültige, einheitlich digital umgesetzte Signaturen für Verträge und Dokumente können Verwaltungs- und andere Prozesse beschleunigen und dazu beitragen, Betrug zu minimieren. Sicherheit & Compliance: Kryptografisch gesicherte Attribute und automatisierte Checks für AMLR/PSD3 erfüllen die EU-Vorgaben. Die Pflichtakzeptanz der EUDI-Wallet für Unternehmen in regulierten Branchen (ab 2027) kann zusätzlich das Vertrauen stärken. Interoperabilität & Wettbewerbsvorteil: Aufgrund ihrer EU-weiten und grenzüberschreitenden Einsatzmöglichkeiten ist die EUDI-Wallet besonders attraktiv für KMU/FinTechs, die ihre Geschäftstätigkeit europaweit ausrichten.

Nachteile Hohe Implementierungskosten: Die Anpassung der IT-Systeme, erforderliche Zertifizierungen sowie Integrationstests verursachen hohen Aufwand für APIs, Schulungen und stellen eine große Belastung für KMU ohne IT-Abteilungen dar. Sicherheits- & Datenschutzrisiken: Die Wallet könnte zum Angriffsziel für Identitätsdiebstahl, und/oder Social-Engineering-Angriffe werden, was zusätzliche Maßnahmen (etwa DORA-Kontrollen) erforderlich macht, auch zu Haftungs-Fragen bei Kompromittierung. Pflichtakzeptanz & Abhängigkeit: Regulierte Branchen, etwa Banking & Insurance, E-Commerce, müssen die EUDI-Wallet akzeptieren und in einer Übergangsphase mit Parallel-Systemen hantieren, was zulasten von Flexibilität und Customer Experience gehen kann. Akzeptanzunsicherheiten: In Deutschland ist die Nutzerakzeptanz gering ausgeprägt, weshalb Unternehmen mit einer größeren Absprungrate rechnen müssen, sollten sie ausschließlich auf EUDI-Wallet-basierte Ident-Verfahren setzen.