Skip to main content

Fachbeitrag · Geldwäscheprävention

Risikobewertung nach § 5 GwG: Mehrdimensionales Scoring-Modell

  • Rechtsstand: Oktober 2026
  • Lesezeit: ca. 18 Minuten
  • Autor: Achim Schulz, S+P Seminare

Die Risikobewertung nach § 5 GwG entscheidet darüber, ob Ihre Risikoanalyse einer Prüfung standhält: Sie ermitteln und bewerten die Risiken der Geldwäsche und der Terrorismusfinanzierung, die für Ihre Geschäfte bestehen. Bei Sonderprüfungen hat die BaFin häufig bemängelt, dass nicht nachvollziehbar war, wie Unternehmen zu ihren Bewertungen kamen. Ein mehrdimensionales Scoring-Modell macht diesen Weg sichtbar.

Dieser Beitrag behandelt die Bewertungsmethodik: was § 5 GwG und die BaFin heute verlangen, wie das S+P-Scoring-Modell aufgebaut ist und was sich mit Art. 10 AMLR ab dem 10.07.2027 ändert. Das Modell ist ein Umsetzungsvorschlag, keine gesetzlich oder aufsichtlich vorgegebene Methode. Der Beitrag ersetzt keine Rechtsberatung.

Für Geldwäschebeauftragte, Compliance- und AFC-Verantwortliche, zuständige Mitglieder der Leitungsebene nach § 4 Abs. 3 GwG und die Interne Revision in beaufsichtigten Unternehmen des Finanzsektors.

Management Summary

Rechtslage: Nach § 5 Abs. 1 GwG sind die Risiken der Geldwäsche und der Terrorismusfinanzierung zu ermitteln und zu bewerten. Die Analyse ist zu dokumentieren, regelmäßig zu überprüfen und der Aufsicht auf Verlangen vorzulegen (§ 5 Abs. 2 GwG). Das zuständige Mitglied der Leitungsebene genehmigt sie (§ 4 Abs. 3 GwG).

Aufsichtliche Erwartung: Die BaFin hat in Sonderprüfungen typische Mängel festgestellt (Fachartikel vom 13.01.2025): eine unvollständige Bestandsaufnahme, nicht nachvollziehbare Bewertungen, ungeeignete Bewertungsfaktoren, die Bewertung des Compliance-Risikos statt des Missbrauchsrisikos, nicht bewertete Wirksamkeit der Sicherungsmaßnahmen und eine fehlende Trennung von Geldwäsche und Terrorismusfinanzierung.

Lösungsansatz: Das S+P-Scoring-Modell bewertet je Risikokategorie drei Faktoren mit 3, 6 oder 9 Punkten und multipliziert sie zum inhärenten Risiko. Dokumentierte Schwellen und Übersteuerungsregeln ordnen den Score einer Risikostufe zu. Die Kontrollqualität wird getrennt bewertet und führt zum Restrisiko.

Ausblick: Ab dem 10.07.2027 gilt Art. 10 AMLR unmittelbar und bezieht die Risiken der Nichtumsetzung und Umgehung gezielter finanzieller Sanktionen ein. Der Entwurf der AMLA-Leitlinien zur unternehmensweiten Risikobewertung (Konsultation April bis Juli 2026) sieht vier Mindestbestandteile vor; die finale Fassung ist für das vierte Quartal 2026 angekündigt. Nutzen Sie die Übergangszeit für eine Gap-Analyse.

Inhaltsverzeichnis

1. Risikobewertung nach § 5 GwG: Rechtsrahmen heute und ab Juli 2027

§ 5 GwG verpflichtet alle Verpflichteten zur Risikoanalyse. Die Bewertung ist der Schritt, in dem aus erfassten Daten eine nachvollziehbare Einstufung wird. Die Übersicht trennt geltendes und künftiges Recht.

Geltendes Recht (bis 09.07.2027)

Pflichten nach dem GwG

  • Ermitteln und bewerten: die Risiken der Geldwäsche und der Terrorismusfinanzierung, die für Ihre Geschäfte bestehen (§ 5 Abs. 1 Satz 1 GwG).
  • Berücksichtigen: die Risikofaktoren der Anlagen 1 und 2 sowie die Informationen aus der nationalen Risikoanalyse (§ 5 Abs. 1 Satz 2 GwG).
  • Umfang: richtet sich nach Art und Umfang der Geschäftstätigkeit (§ 5 Abs. 1 Satz 3 GwG).
  • Dokumentieren, regelmäßig überprüfen, gegebenenfalls aktualisieren und der Aufsicht auf Verlangen die aktuelle Fassung zur Verfügung stellen (§ 5 Abs. 2 GwG).
  • Mutterunternehmen einer Gruppe: Die Absätze 1 und 2 gelten für die gesamte Gruppe (§ 5 Abs. 3 GwG).
  • Befreiung von der Dokumentation: auf Antrag möglich (§ 5 Abs. 4 GwG). Im Finanzsektor kommt sie nach den BaFin-Auslegungshinweisen grundsätzlich nicht in Betracht (AuA AT Kap. 2.5).
  • Genehmigung: durch das zuständige Mitglied der Leitungsebene (§ 4 Abs. 3 GwG; AuA AT Kap. 2.1).
Künftiges Recht (ab 10.07.2027)

Pflichten nach der AMLR

  • Gegenstand: Neben Geldwäsche und Terrorismusfinanzierung sind die Risiken der Nichtumsetzung und Umgehung gezielter finanzieller Sanktionen zu bewerten (Art. 10 Abs. 1 AMLR).
  • Quellen: unter anderem die Risikovariablen und Risikofaktoren der Anhänge I bis III, die EU-Risikobewertung nach Art. 7 RL (EU) 2024/1640 sowie nationale und sektorale Risikobewertungen (Art. 10 Abs. 1 AMLR).
  • Ex-ante-Bewertung: Risiken sind vor der Einführung neuer Produkte, Dienstleistungen und Geschäftspraktiken sowie vor der Erschließung neuer Kundensegmente oder Regionen zu bewerten (Art. 10 Abs. 1 AMLR).
  • Governance: Der Compliance-Officer erstellt die Risikobewertung, das Leitungsorgan genehmigt sie in seiner Leitungsfunktion; ein Aufsichtsorgan, soweit vorhanden, erhält sie mitgeteilt (Art. 10 Abs. 2 AMLR).
  • Aktualisierung: auch bei internen oder externen Ereignissen, die die Risiken erheblich beeinflussen (Art. 10 Abs. 2 AMLR).
  • Kein Verzicht: Kredit- und Finanzinstitute können nicht auf eine individuelle dokumentierte Risikobewertung verzichten (Art. 10 Abs. 3 AMLR).

Nach Art. 10 Abs. 4 AMLR konkretisiert die AMLA Mindestinhalte und zusätzliche Informationsquellen in Leitlinien. Der Stand des Entwurfs steht in Abschnitt 2 und Abschnitt 6.4.

2. Fristen und Zeitpunkte 2026 bis 2028

Entwurfsstände sind monatsgenau angegeben. Prüfen Sie vor der Umsetzung, ob ein Verfahren inzwischen weitergerückt ist.

ZeitpunktEreignisAufgabe für Sie
seit 30.12.2024EBA/GL/2024/01 (Änderung der EBA/GL/2021/02 zu Risikofaktoren) anwendbar, unter anderem mit Bezug zu KryptowertenKrypto-Bezüge in der Missbrauchsanfälligkeit (VU) berücksichtigen
seit 30.12.2025EBA/GL/2024/14 zu internen Strategien, Verfahren und Kontrollen für restriktive Maßnahmen anwendbarRisikobewertung zu restriktiven Maßnahmen (Rn. 22 ff.) im Modell abbilden
Juli 2026BMF veröffentlicht die sektorspezifische Risikoanalyse zu juristischen Personen, Personengesellschaften und RechtsgestaltungenErgebnisse in der Missbrauchsanfälligkeit (VU) berücksichtigen, besonders bei Beteiligungsstrukturen
April bis Juli 2026AMLA-Konsultation zum Entwurf der Leitlinien zur unternehmensweiten Risikobewertung (Art. 10 Abs. 4 AMLR)Entwurf auswerten; die Konsultation ist abgeschlossen
Oktober 2026Gesetzentwurf zur Stärkung der Zollverwaltung und zur Bekämpfung der Finanzkriminalität (BT-Drs. 21/8282) in erster Lesung im BundestagGesetzgebungsverfahren beobachten; bis zur Anwendbarkeit der AMLR bleibt § 5 GwG der Maßstab
Viertes Quartal 2026Finale AMLA-Leitlinien zur Risikobewertung angekündigt; Stand Oktober 2026 liegt nach unserer Recherche keine finale Fassung vorGap-Analyse anhand der vier Mindestbestandteile (MR1 bis MR4) vorbereiten
laufend, mindestens jährlichÜberprüfung der Risikoanalyse nach den BaFin-Auslegungshinweisen (AuA AT Kap. 2.3)Methodik an die Abschnitte 6.2 bis 6.4 anpassen
10.07.2027Art. 10 AMLR unmittelbar anwendbarSanktionsumgehungsrisiken, Ex-ante-Bewertung neuer Produkte und Governance nach Art. 10 Abs. 2 AMLR umsetzen
bis 10.07.2028Neue EU-Risikobewertung der Kommission nach Art. 7 RL (EU) 2024/1640Ergebnisse in die Risikobewertung einarbeiten

3. Zuständigkeiten: Wer was in der Risikobewertung verantwortet

Die Pflichten liegen bei der Leitungsebene; die fachliche Arbeit verteilt sich auf mehrere Funktionen. Die Zuordnung der Praxisaufgaben ist ein Umsetzungsvorschlag und richtet sich nach Ihrer Organisation.

FunktionAufgabe in der RisikobewertungNormbezug
Zuständiges Mitglied der LeitungsebeneGenehmigt die Risikoanalyse und die internen Sicherungsmaßnahmen; die Vorlage erfolgt unverzüglich nach Fertigstellung.§ 4 Abs. 3 GwG; AuA AT Kap. 2.1 und 2.3
Geldwäschebeauftragter und GeldwäschefunktionIn der Praxis fachlich verantwortlich für Methodik, Datenbasis und Dokumentation (Umsetzungsvorschlag). Ab 10.07.2027 erstellt der Compliance-Officer die Risikobewertung.§ 7 GwG; ab 10.07.2027 Art. 10 Abs. 2 AMLR
Fachbereiche (Vertrieb, Produkt, Operations, IT)Liefern Bestandsdaten mit einheitlichem Stichtag und melden neue Produkte, Vertriebswege und Kundensegmente rechtzeitig.AuA AT Kap. 2.2.1; ab 10.07.2027 Art. 10 Abs. 1 AMLR
Interne Revision und AbschlussprüferIhre Prüfungsberichte dienen als Nachweisquelle für die Bewertung der Kontrollqualität (Umsetzungsvorschlag).Nachweise zu AuA AT Kap. 2.2.3
AufsichtsorganErhält ab 10.07.2027 die genehmigte Risikobewertung mitgeteilt, soweit ein solches Organ besteht.Art. 10 Abs. 2 AMLR

4. Fünf Schritte nach BaFin und typische Mängel in der Bewertung

Die BaFin-Auslegungs- und Anwendungshinweise gliedern die Risikoanalyse in Arbeitsschritte. Die Bewertung ist Schritt 3.

  1. Bestandsaufnahme der unternehmensspezifischen Situation: Kunden, Produkte, Vertriebswege, Transaktionen und Organisation, mit aktuellen statistischen Angaben und einheitlichem Erfassungsstichtag (AuA AT Kap. 2.2.1).
  2. Risikoidentifizierung: Anlagen 1 und 2 GwG, nationale Risikoanalyse und weitere Quellen; Geldwäsche und Terrorismusfinanzierung getrennt betrachten, ermitteln und dokumentieren (AuA AT Kap. 2.2.2).
  3. Risikobewertung: Kategorisierung und Gewichtung, zum Beispiel dreistufig; die Wirksamkeit bestehender Maßnahmen ist bei der Ermittlung des Restrisikos zu berücksichtigen (AuA AT Kap. 2.2.3).
  4. Schritte 4 und 5: Ableitung angemessener Sicherungsmaßnahmen und deren Weiterentwicklung (AuA AT Kap. 2.2).

Sechs Mängel aus Sonderprüfungen der BaFin

1. Unvollständige Bestandsaufnahme

Die Bestandsaufnahme ist der Ausgangspunkt der Risikoanalyse. Fehlt es an Vollständigkeit, kann die Analyse ihre Funktion als Basis für Identifizierung und Bewertung nicht erfüllen. Erfassen Sie Kunden- und Produktstruktur, Organisation, Vertriebsstruktur, Transaktionen und Auslagerungen.

Quelle: BaFin-Fachartikel vom 13.01.2025

2. Nicht nachvollziehbare Bewertung

Ziel ist nicht ein möglichst geringes, sondern ein realistisches Risiko. Häufig war nicht nachvollziehbar, wie das Unternehmen zu seinen Bewertungen und Ergebnissen kam. Dokumentieren Sie Skalen, Kriterien und Begründungen.

Quelle: BaFin-Fachartikel vom 13.01.2025

3. Ungeeignete Bewertungsfaktoren

Eintrittswahrscheinlichkeit und Schadenshöhe sind nach der BaFin nur für die Bewertung sonstiger strafbarer Handlungen relevant, nicht für Geldwäsche und Terrorismusfinanzierung.

Quelle: BaFin-Fachartikel vom 13.01.2025

4. Compliance-Risiko statt Missbrauchsrisiko

Bewertet wurde der mögliche Schaden für das Unternehmen bei Rechtsverstößen. Zu bewerten ist aber das Risiko, für Geldwäsche oder Terrorismusfinanzierung missbraucht zu werden.

Quelle: BaFin-Fachartikel vom 13.01.2025

5. Wirksamkeit nicht bewertet

Häufig galt das bloße Vorhandensein einer Sicherungsmaßnahme als ausreichend. Bewertet werden muss ihre risikomindernde Wirkung.

Quelle: BaFin-Fachartikel vom 13.01.2025

6. Terrorismusfinanzierung nicht getrennt

Die Risiken der Terrorismusfinanzierung wurden gar nicht oder unzureichend berücksichtigt, vor allem bei gemeinsamer Analyse mit der Geldwäsche. Die BaFin empfiehlt getrennte Abschnitte.

Quelle: BaFin-Fachartikel vom 13.01.2025

Praxis-Tipp: Legen Sie diese sechs Punkte als Prüfkriterien neben Ihre aktuelle Risikoanalyse. Jeder Treffer ist ein konkreter Überarbeitungspunkt.

5. Quick-Check: Ist Ihre Risikobewertung prüfungsfähig?

Die Tabelle fasst die Prüffelder zusammen. Jede Frage, die Sie nicht eindeutig mit Ja beantworten, ist ein Überarbeitungspunkt.

PrüffeldPrüffrageNormbezugTypische Lücke
BestandsaufnahmeSind Kunden, Produkte, Vertriebswege, Transaktionen, Organisation und Auslagerungen mit einheitlichem Stichtag erfasst?AuA AT Kap. 2.2.1; BaFin-Fachartikel 13.01.2025Teilbereiche oder Auslagerungen fehlen; Stichtage weichen ab
Geldwäsche und Terrorismusfinanzierung getrenntSind beide Risiken getrennt ermittelt, bewertet und dokumentiert?§ 5 Abs. 1 GwG; AuA AT Kap. 2.2.2Gemeinsame Bewertung; Terrorismusfinanzierung nur mitgeführt
Embargos und Sanktionen (E/S)Gibt es eine eigene Kategorie für Risiken restriktiver Maßnahmen?EBA/GL/2024/14 Rn. 22 ff.; ab 10.07.2027 Art. 10 Abs. 1 AMLRSanktionsrisiko nur im Screening, nicht in der Risikobewertung
Sonstige strafbare Handlungen (SH)Sind SH nach § 25h KWG getrennt bewertet und nur dort Eintrittswahrscheinlichkeit und Schadenshöhe verwendet?§ 25h Abs. 1 KWG; BaFin-Fachartikel 13.01.2025Eintrittswahrscheinlichkeit und Schadenshöhe auch bei Geldwäsche und Terrorismusfinanzierung
Risk Impact (RI)Richtet sich RI bei GW, TF und E/S auf die Tragweite des Missbrauchs und nicht auf den Schaden für das Unternehmen?BaFin-Fachartikel 13.01.2025Reputations- und Bußgeldfolgen treiben die Einstufung
Entdeckungsrisiko (ER)Ist ER frei von Kontrollwirksamkeit, sodass die Kontrolle nicht doppelt angerechnet wird?Umsetzungsvorschlag S+P; Wirksamkeit gesondert bewerten (BaFin-Fachartikel)Monitoring-Qualität steckt bereits im ER-Score
Schwellen und ÜbersteuerungSind Schwellen und Übersteuerungsregeln dokumentiert, sodass hohe Einzelwerte nicht rechnerisch ausgeglichen werden?AuA AT Kap. 2.2.3 und 2.3Ein hoher Einzelwert landet im Gesamtscore bei „gering“
KontrollqualitätIst die Wirksamkeit je Kategorie mit Nachweisen bewertet (Revision, Prüfer, Kontrolltests, Monitoring-Kennzahlen)?AuA AT Kap. 2.2.3; BaFin-Fachartikel 13.01.2025Nur das Vorhandensein einer Maßnahme ist dokumentiert
Restrisiko und MaßnahmenIst das Restrisiko abgeleitet und gibt es für hohe Restrisiken einen Maßnahmenplan mit Verantwortlichen und Terminen?AuA AT Kap. 2.2.3Kein Maßnahmenplan; Restrisiko nicht ausgewiesen
DatenbasisSind nationale Risikoanalyse, sektorspezifische Risikoanalyse 2026 und EBA-Leitlinien berücksichtigt?§ 5 Abs. 1 Satz 2 GwG; EBA/GL/2021/02 in der Fassung der EBA/GL/2024/01Veraltete Quellenstände
Genehmigung und AktualisierungIst die Genehmigung durch das zuständige Leitungsmitglied dokumentiert und die Überprüfung mindestens jährlich erfolgt?§ 4 Abs. 3 und § 5 Abs. 2 GwG; AuA AT Kap. 2.3Genehmigung nicht nachweisbar; Änderungen nicht nachvollziehbar
Übergang zur AMLRIst eine Gap-Analyse zu Art. 10 AMLR und den AMLA-Leitlinien geplant?Art. 10 AMLRSanktionsumgehung und Ex-ante-Bewertung noch nicht angelegt

6. Lösungsansatz: Das S+P-Scoring-Modell für die Risikobewertung

Das Modell trennt vier Risikokategorien, bewertet das inhärente Risiko aus drei Faktoren und leitet das Restrisiko aus der nachgewiesenen Kontrollqualität ab. Es ist ein Umsetzungsvorschlag und kein gesetzlich oder aufsichtlich vorgegebenes Verfahren.

6.1 Aufbau: vier Risikokategorien, drei Faktoren

KürzelRisikokategorieRechtsgrundlage (geltend)Künftig
GWGeldwäsche§ 5 GwGArt. 10 AMLR
TFTerrorismusfinanzierung (getrennt von GW)§ 5 GwGArt. 10 AMLR
E/SEmbargos und SanktionenEBA/GL/2024/14 Rn. 22 ff.Art. 10 Abs. 1 AMLR (gezielte finanzielle Sanktionen)
SHSonstige strafbare Handlungen§ 25h Abs. 1 KWG, § 27 ZAGnational geregelt, nicht Gegenstand von Art. 10 AMLR

Proliferationsfinanzierung ordnen Sie über die Kategorie E/S ein; § 5 GwG nennt sie nicht als eigenen Gegenstand.

Drei Faktoren bestimmen das inhärente Risiko, jeweils mit 3 (gering), 6 (mittel) oder 9 (hoch) Punkten: Risk Impact (RI), Entdeckungsrisiko (ER) und Missbrauchsanfälligkeit (VU) für GW, TF und E/S beziehungsweise Eintrittswahrscheinlichkeit (EW) für SH.

KategorieInhärentes Risiko
GW, TF, E/SRI × ER × VU
SHRI × ER × EW

Damit folgt das Modell der BaFin-Linie: Die Eintrittswahrscheinlichkeit wird nur bei SH verwendet. Bei GW, TF und E/S tritt die strukturelle Missbrauchsanfälligkeit an ihre Stelle.

6.2 Faktoren richtig abgrenzen

Risk Impact (RI)

Tragweite eines Missbrauchs, etwa Volumen, Schwere möglicher Vortaten, Dauer, systemische Wirkung und Sanktionsrelevanz. Bei SH zusätzlich die finanzielle Schadenshöhe für das Unternehmen, zum Beispiel bis 100.000 €, bis 1 Mio. € und über 1 Mio. € als Beispielstufen.

Reputations- und Bußgeldfolgen sind Compliance-Risiko. Bei GW, TF und E/S sollten sie die Einstufung nicht treiben.

Entdeckungsrisiko (ER)

Inhärente Erkennbarkeit eines Missbrauchs: Komplexität des Geschäftsmodells, individuelle statt standardisierter Transaktionen, Transparenz der wirtschaftlich Berechtigten und grenzüberschreitende Zahlungsströme.

Die Wirksamkeit Ihrer Kontrollen gehört nicht in ER, sondern in die getrennte Kontrollbewertung (Abschnitt 6.4). Sonst wird die Kontrolle doppelt angerechnet.

Missbrauchsanfälligkeit (VU) und Eintrittswahrscheinlichkeit (EW)

VU (GW, TF, E/S): strukturelle Anfälligkeit nach Kundenstruktur, Produkten, Vertriebswegen und Geografie, orientiert an den Anlagen 1 und 2 GwG, der EBA/GL/2021/02 und der nationalen Risikoanalyse.

EW (nur SH): historische Schadensfälle, Verdachtsfälle, Branchenerfahrung und OpRisk-Daten.

6.3 Einstufung in Risikostufen und Übersteuerungsregeln

Die Multiplikation ergibt Werte von 27 bis 729. Für die dreistufige Einstufung, die die BaFin als Beispiel nennt (AuA AT Kap. 2.2.3), legen Sie Schwellen fest und dokumentieren sie. Die Schwellen in der Tabelle sind ein Umsetzungsvorschlag.

ScoreStufeBeispielkombinationen
27 bis 108gering3×3×3 = 27; 3×3×9 = 81 (Übersteuerung prüfen); 3×6×6 = 108
162 bis 243mittel3×6×9 = 162; 6×6×6 = 216; 3×9×9 = 243
324 bis 729hoch6×6×9 = 324; 6×9×9 = 486; 9×9×9 = 729

Das Beispiel 3×3×9 = 81 zeigt das Problem: Ein hoher Einzelfaktor landet rechnerisch bei „gering“. Ergänzen Sie deshalb Übersteuerungsregeln. Die BaFin hält in ihren Auslegungshinweisen auch Systeme für zulässig, in denen ein hoher Wert nicht durch niedrige Werte ausgeglichen werden kann (AuA AT Kap. 2.2.3). Beispiele:

  • Fallkonstellationen nach § 15 GwG, zum Beispiel Hochrisikoländer und politisch exponierte Personen, werden mindestens als „hoch“ eingestuft.
  • Ein VU-Wert von 9 bei E/S, etwa bei direkten Bezügen zu sanktionierten Regionen, führt mindestens zur Stufe „mittel“.

Ein niedriger Gesamtscore hebt gesetzlich ausgelöste verstärkte Sorgfaltspflichten und Sanktionsverbote nicht auf.

6.4 Vom inhärenten Risiko zum Restrisiko

Die BaFin verlangt, die Wirksamkeit der Sicherungsmaßnahmen bei der Ermittlung des Restrisikos zu berücksichtigen und das Restrisiko auf Handlungsbedarf zu bewerten (AuA AT Kap. 2.2.3). Über den Umgang mit dem Restrisiko kann das zuständige Leitungsmitglied einen Beschluss der Geschäftsleitung herbeiführen. So setzen Sie das im Modell um:

  1. Kontrollqualität je Kategorie in Stufen bewerten, zum Beispiel wirksam, teilweise wirksam und unwirksam. Prüfen Sie Angemessenheit und Wirksamkeit im Betrieb getrennt.
  2. Nur mit Nachweis bewerten: Berichte der Internen Revision und des Abschlussprüfers, eigene Kontrolltests, Monitoring-Kennzahlen und aufsichtliche Feststellungen.
  3. Restrisiko ableiten: das inhärente Risiko, bei „wirksam“ um höchstens eine Stufe abgesenkt, bei „unwirksam“ ohne Absenkung. Das ist ein Umsetzungsvorschlag; legen Sie die Regel, auch für „teilweise wirksam“, fest und dokumentieren Sie sie.
  4. Bei hohem Restrisiko einen Maßnahmenplan mit Verantwortlichen und Terminen erstellen.

Der Entwurf der AMLA-Leitlinien (Konsultation bis 15.07.2026) nennt vier Mindestbestandteile. Im Modell finden sie diese Entsprechungen:

Mindestbestandteil im EntwurfBaustein im Modell
MR1: Geschäfts- und OrganisationsüberblickBestandsaufnahme (Schritt 1)
MR2: Identifizierung, Bewertung und Klassifizierung der inhärenten RisikenFaktoren RI, ER, VU oder EW und Einstufung (Abschnitte 6.2 und 6.3)
MR3: Bewertung der Qualität der Kontrollen (AML/CFT und gezielte finanzielle Sanktionen)Kontrollbewertung mit Nachweisen
MR4: Bewertung und Klassifizierung der RestrisikenRestrisiko und Maßnahmenplan

Der Entwurf ist keine verbindliche Detailvorgabe. Die finale Fassung ist für das vierte Quartal 2026 angekündigt und kann abweichen.

6.5 Datenbasis und Quellen

  • Interne Daten: Kundenbestand, Produkte, Transaktionsvolumina, Verdachtsmeldungen und Monitoring-Treffer mit einheitlichem Stichtag (AuA AT Kap. 2.2.1).
  • Nationale Risikoanalyse: Das BMF aktualisiert sie. Als erstes Produkt erschien im Juli 2026 die sektorspezifische Risikoanalyse zu juristischen Personen, Personengesellschaften und Rechtsgestaltungen; Verpflichtete berücksichtigen sie bei der eigenen Risikoanalyse (§ 5 Abs. 1 Satz 2 GwG).
  • EU-Ebene: Die Kommission hat ihre supranationale Risikobewertung zuletzt im Oktober 2022 veröffentlicht; die neue EU-Risikobewertung nach Art. 7 RL (EU) 2024/1640 folgt bis 10.07.2028.
  • Aufsicht und FIU: Risikoanalysen der BaFin, Typologiepapiere der FIU und Veröffentlichungen der FATF.
  • EBA-Leitlinien: EBA/GL/2021/02 zu Risikofaktoren, geändert durch EBA/GL/2023/03 und EBA/GL/2024/01 (anwendbar seit 30.12.2024).

6.6 Dokumentation, Genehmigung und Aktualisierung

bis 09.07.2027

Geltendes Recht

  • Methodik dokumentieren, einschließlich Skalen, Schwellen und Übersteuerungsregeln (AuA AT Kap. 2.3).
  • Mindestens einmal jährlich überprüfen, anlassbezogen früher; Änderungen nachvollziehbar darstellen.
  • Bei umfangreichen Analysen eine Management Summary mit den wesentlichen Änderungen beifügen.
  • Die fertige Analyse unverzüglich dem zuständigen Leitungsmitglied zur Genehmigung vorlegen.
ab 10.07.2027

Künftiges Recht

  • Aktualisierung auch bei internen oder externen Ereignissen mit erheblicher Wirkung auf die Risiken (Art. 10 Abs. 2 AMLR).
  • Erstellung durch den Compliance-Officer, Genehmigung durch das Leitungsorgan, Mitteilung an das Aufsichtsorgan (Art. 10 Abs. 2 AMLR).

6.7 No-Regret-Maßnahmen

Diese Schritte lohnen sich unabhängig davon, wie die finalen AMLA-Leitlinien ausfallen:

  1. Bewertungsfaktoren nach Kategorien trennen und Eintrittswahrscheinlichkeit nur bei SH verwenden.
  2. Kontrollwirksamkeit aus dem Entdeckungsrisiko herauslösen und getrennt mit Nachweisen bewerten.
  3. E/S als eigene Kategorie führen.
  4. Schwellen und Übersteuerungsregeln dokumentieren.
  5. Für hohe Restrisiken einen Maßnahmenplan mit Verantwortlichen und Terminen anlegen.
  6. Eine Gap-Analyse zu Art. 10 AMLR und zu den vier Mindestbestandteilen der AMLA-Leitlinien einplanen.

7. Fazit: Risikobewertung nach § 5 GwG nachvollziehbar und prüfungsfähig machen

Eine Risikobewertung nach § 5 GwG überzeugt die Aufsicht, wenn ihr Weg von den Daten zur Einstufung nachvollziehbar ist. Das S+P-Scoring-Modell liefert dafür eine Struktur, die Sie an Ihr Geschäftsmodell anpassen. Die Kernbotschaften:

Faktoren trennen

Für Geldwäsche, Terrorismusfinanzierung und restriktive Maßnahmen zählt die Missbrauchsanfälligkeit. Eintrittswahrscheinlichkeit und Schadenshöhe bleiben den sonstigen strafbaren Handlungen vorbehalten.

Kontrollen getrennt bewerten

Inhärentes Risiko und Kontrollqualität werden getrennt bewertet. Das Restrisiko folgt aus nachgewiesener Wirksamkeit.

Methodik dokumentieren

Skalen, Schwellen und Übersteuerungsregeln gehören in die Dokumentation und in die Genehmigung durch das zuständige Leitungsmitglied.

Übergang vorbereiten

Eine Gap-Analyse zu Art. 10 AMLR und den finalen AMLA-Leitlinien nutzt die Zeit bis zum 10.07.2027.

Fehlen intern die Kapazitäten für die operative Umsetzung, unterstützt S+P Compliance bei der Erstellung und Aktualisierung der Risikoanalyse.

8. FAQ: Risikobewertung und Scoring-Modell

Schreibt die BaFin eine bestimmte Bewertungsmethode vor?+−

Nein. Die BaFin lässt unterschiedliche Methoden zu, etwa gewichtete Systeme oder starre Systeme, in denen ein hoher Wert nicht durch niedrige Werte ausgeglichen werden kann. Die Methode muss aber dokumentiert und nachvollziehbar sein (AuA AT Kap. 2.2.3 und 2.3).

Darf ich Eintrittswahrscheinlichkeit und Schadenshöhe verwenden?+−

Für sonstige strafbare Handlungen ja. Für Geldwäsche und Terrorismusfinanzierung hält die BaFin diese Faktoren nicht für relevant; dort geht es um das Risiko, missbraucht zu werden (BaFin-Fachartikel vom 13.01.2025).

Wie oft muss die Risikoanalyse aktualisiert werden?+−

Nach den BaFin-Auslegungshinweisen ist mindestens einmal jährlich auf Aktualisierungsbedarf zu prüfen, bei relevanten Veränderungen früher. Ab dem 10.07.2027 verlangt Art. 10 Abs. 2 AMLR die Aktualisierung auch bei wesentlichen internen oder externen Ereignissen.

Muss ich Sanktionsrisiken in die Risikoanalyse aufnehmen?+−

Nach § 5 GwG nicht ausdrücklich. Nach den EBA-Leitlinien EBA/GL/2024/14 gilt das für Kredit-, Zahlungs- und E-Geld-Institute im Anwendungsbereich der Leitlinien schon heute. Ab dem 10.07.2027 verlangt Art. 10 Abs. 1 AMLR die Bewertung der Risiken der Nichtumsetzung und Umgehung gezielter finanzieller Sanktionen.

Wer genehmigt die Risikoanalyse?+−

Heute das nach § 4 Abs. 3 GwG zuständige Mitglied der Leitungsebene. Ab dem 10.07.2027 erstellt der Compliance-Officer die Risikobewertung, das Leitungsorgan genehmigt sie in seiner Leitungsfunktion (Art. 10 Abs. 2 AMLR).

Was ändern die AMLA-Leitlinien?+−

Der Entwurf sieht vier Mindestbestandteile vor: Geschäfts- und Organisationsüberblick, inhärente Risiken, Kontrollqualität und Restrisiken. Die finale Fassung ist für das vierte Quartal 2026 angekündigt und kann vom Entwurf abweichen.

9. Quellenverzeichnis

Quellen abgerufen am 14.10.2026. Verlinkt sind ausschließlich amtliche und staatliche Stellen; PDF-Dokumente sind gekennzeichnet.

Primärquellen: EU-Rechtsakte und Bund

Aufsichts- und Europäische Behörden

10. Verwandte Leistungen und Programme

Wer die Risikoanalyse selbst verantwortet, findet im Seminar die Arbeitsmittel und im Fachbeitragsbestand die vertiefenden Themen.

Risikoanalyse und AMLR

Wenn Sie wissen möchten, wie sich § 5 GwG durch Art. 10 AMLR und die AMLA-Leitlinien verändert.

AMLA-BWRA-Leitfaden

Wenn Sie die vier Mindestbestandteile und die Genehmigung durch das Leitungsorgan vertiefen möchten.

Alle Angebote zum Themenfeld finden Sie in der Übersicht Geldwäscheprävention und in der S+P Tool Box.

risikobewertung-5-gwg-scoring-modell