Compliance
Risikoanalyse nach dem Geldwäschegesetz
Die Risikoanalyse ist das Fundament der Geldwäscheprävention im Unternehmen. Sie zeigt, wo Ihr Geschäft anfällig ist, und bestimmt, welche Maßnahmen angemessen sind. Früher sprach man meist von Gefährdungsanalyse.
Stand: November 2026. Allgemeine Information, keine Rechtsberatung.
Was die Risikoanalyse ist
Verpflichtete nach § 2 GwG müssen über ein wirksames Risikomanagement verfügen. Dessen erster Baustein ist die Risikoanalyse nach § 5 GwG: Sie ermitteln und bewerten die Risiken der Geldwäsche und Terrorismusfinanzierung, die für Ihre Geschäftstätigkeit bestehen. Der Begriff Gefährdungsanalyse ist älter und meint im Kern dasselbe.
Wer sie erstellen muss
Grundsätzlich alle Verpflichteten. Der Umfang richtet sich nach Art und Umfang der Geschäftstätigkeit. Aufsichtsbehörden können einzelne Verpflichtete auf Antrag von der Dokumentationspflicht befreien, wenn die Risiken klar erkennbar sind und verstanden werden. Ob Ihr Unternehmen überhaupt Verpflichteter ist, prüft der GwG-Check.
Grundlagen der Analyse
Die Analyse soll nicht im luftleeren Raum entstehen. Zu berücksichtigen sind insbesondere:
- die in den Anlagen 1 und 2 zum GwG genannten Faktoren für geringere und höhere Risiken
- die Nationale Risikoanalyse und die supranationale Risikobewertung der EU-Kommission
- Hinweise und Auslegungen der zuständigen Aufsichtsbehörde
- die eigene Kunden-, Produkt- und Vertriebsstruktur
Aufbau in fünf Schritten
- Bestandsaufnahme: Welche Geschäfte, Kundengruppen, Produkte, Vertriebswege und Länderbezüge gibt es?
- Risikoidentifikation: Wo könnten diese Bereiche für Geldwäsche oder Terrorismusfinanzierung missbraucht werden?
- Risikobewertung: Wie wahrscheinlich und wie schwerwiegend ist ein Missbrauch? Üblich sind Stufen wie gering, mittel, hoch.
- Maßnahmen: Welche Sicherungsmaßnahmen reduzieren die erkannten Risiken?
- Gesamtbewertung: Wie hoch ist das verbleibende Risiko des Unternehmens insgesamt?
Beispielstruktur
Die folgende Tabelle zeigt eine mögliche Gliederung. Bewertung und Maßnahmen müssen aus Ihrem konkreten Geschäft abgeleitet werden.
| Risikofaktor | Leitfragen | Bewertung | Maßnahmen |
|---|---|---|---|
| Kunde | Wer sind die Kunden? Natürliche oder juristische Personen, komplexe Strukturen, PEPs, Laufkundschaft? | eigene Einstufung | z. B. Identifizierung, Abklärung wirtschaftlich Berechtigter |
| Produkt / Dienstleistung | Welche Produkte sind anfällig, etwa wegen hoher Werte, Bargeld oder Anonymität? | eigene Einstufung | z. B. Schwellen, Freigabeprozesse |
| Vertriebsweg | Persönlicher Kontakt, Fernabsatz, Vermittler, Online? | eigene Einstufung | z. B. Verfahren zur Fernidentifizierung |
| Geografie | Bezüge zu Drittländern mit hohem Risiko, Sitz und Herkunft von Kunden und Zahlungen? | eigene Einstufung | z. B. verstärkte Sorgfaltspflichten |
| Transaktionen | Bargeld, Höhe, Häufigkeit, ungewöhnliche Muster? | eigene Einstufung | z. B. Monitoring, Schulung |
Von der Analyse zu den Maßnahmen
Die Risikoanalyse ist kein Selbstzweck. Sie bestimmt Art und Umfang der internen Sicherungsmaßnahmen nach § 6 GwG und der Sorgfaltspflichten. Dazu gehören etwa die Bestellung eines Geldwäschebeauftragten, interne Grundsätze und Verfahren sowie die Schulung der Mitarbeiter.
Aktualisierung
Die Risikoanalyse muss regelmäßig überprüft und bei Bedarf aktualisiert werden. Anlässe sind zum Beispiel:
- neue Produkte, Vertriebswege oder Märkte
- Änderungen der Rechtslage, etwa durch die AMLR 2027
- neue Erkenntnisse aus Verdachtsfällen oder Prüfungen
- aktualisierte nationale oder europäische Risikobewertungen
Dokumentation
Die Risikoanalyse ist zu dokumentieren und der Aufsichtsbehörde auf Verlangen in der jeweils aktuellen Fassung zur Verfügung zu stellen. Bewahren Sie ältere Fassungen auf, damit Entwicklungen nachvollziehbar bleiben.
Durchgespieltes Beispiel: Risikobewertung im Güterhandel
Beispiel: Mirela führt einen Güterhandel mit persönlichem Verkauf und gelegentlichen Firmenkunden. Mirela beschreibt zuerst, welche Waren angeboten werden, wie Kunden aufgenommen werden, welche Zahlungsarten vorkommen und wer Firmenunterlagen prüft. Sie erfasst auch, wo Beschäftigte Rückfragen an die Leitung geben. Erst nach dieser Bestandsaufnahme werden Risiken bewertet; das Etikett "gering" darf nicht bereits vor der Betrachtung des Geschäfts feststehen.
Für das Beispiel betrachtet Mirela vertraute Abläufe mit persönlichem Kontakt als leichter überprüfbar. Bei Firmenkunden entstehen zusätzliche Fragen zur Vertretung und wirtschaftlichen Berechtigung. Ungewöhnliche Zahlungen durch nicht nachvollziehbare Dritte bewertet sie dagegen als besonders klärungsbedürftig. Die Stufen gering, mittel und hoch beschreiben hier nachvollziehbar begründete Risiken. Sie sind keine ausgedachten Wahrscheinlichkeiten und keine Punkteskala, die eine rechtliche Prüfung automatisch ersetzen könnte.
| Beobachteter Bereich im Beispiel | Ausgangsrisiko | Begründung | Vorgesehene Maßnahme |
|---|---|---|---|
| Persönlicher Verkauf mit nachvollziehbarer Kunden- und Zahlungszuordnung | gering | Direkter Kontakt und verständlicher Geschäftszweck erleichtern die Prüfung | Identifizierung bei einschlägigem Anlass; Auffälligkeiten weiterhin erfassen |
| Firmenkunden mit zusätzlichen Vertretungsunterlagen | mittel | Gesellschaft und handelnde Person müssen getrennt geprüft werden | Vertretung und wirtschaftlich Berechtigte anhand geeigneter Unterlagen abklären |
| Unklare Drittzahlungen mit wechselnden Erklärungen | hoch | Zahler, Käufer und wirtschaftlicher Zweck lassen sich nicht verlässlich verbinden | Vertiefte Prüfung und interner Entscheidungsweg vor Durchführung |
| Neue Vertriebsform ohne eingespielte Übergaben | mittel | Informationsverluste zwischen Kundenaufnahme und Zahlungsbearbeitung sind möglich | Ablauf vor Einführung festlegen, Beschäftigte schulen und Wirksamkeit prüfen |
Von der Bewertung zur konkreten Maßnahme
Mirela begründet nicht nur die Einstufung, sondern ordnet jedem Risiko eine verantwortliche Funktion und eine passende Maßnahme zu. Bei Firmenkunden prüft der Verkauf, ob die auftretende Person vertretungsberechtigt ist; die wirtschaftliche Berechtigung wird gesondert abgeklärt. Bei unklaren Drittzahlungen wird die Entscheidung an die zuständige Person gegeben. Die Analyse verweist auf diese Arbeitsanweisungen, statt sämtliche Einzelheiten des Kundenprozesses erneut auszuschreiben. So bleibt erkennbar, wie das identifizierte Risiko in eine tatsächliche Kontrolle übersetzt wird.
Anschließend betrachtet Mirela das verbleibende Risiko. Eine schriftliche Anweisung allein senkt es noch nicht zuverlässig. Sie fragt, ob die Beschäftigten den Ablauf kennen und ob die benötigten Unterlagen verfügbar sind. Ein hoch eingestuftes Ausgangsrisiko wird deshalb nicht durch das bloße Vorhandensein einer Checkliste automatisch gering. Wo eine Maßnahme noch nicht funktioniert, bleibt der Handlungsbedarf ausdrücklich offen. Die Gesamtbewertung fasst diese Erkenntnisse zusammen und erklärt, worauf sie beruht.
Arbeitsablauf für die erste Fassung
- Bestandsaufnahme erstellen: Tätigkeit, Kunden, Produkte, Zahlungsarten, Vertriebswege und Länderbezüge sachlich beschreiben.
- Risikofaktoren abgleichen: gesetzliche Anlagen, nationale und europäische Bewertungen sowie Aufsichtshinweise berücksichtigen.
- Bewerten: jede Einstufung mit einer konkreten Beobachtung aus dem eigenen Geschäftsmodell begründen.
- Maßnahmen verbinden: auf passende Sorgfaltspflichten, interne Hinweise und Schulungen verweisen.
- Wirksamkeit und verbleibendes Risiko prüfen: offene Aufgaben und verantwortliche Funktionen kenntlich machen.
- Fassung dokumentieren: Bearbeitung, Freigabe und Anlass der nächsten Überprüfung nachvollziehbar festhalten.
Dokumentationsbeispiel
Ein Bewertungsblatt kann die Felder Geschäftsbereich, beobachteter Risikofaktor, Informationsquelle, Ausgangseinstufung, Begründung, Maßnahme, verantwortliche Funktion, Wirksamkeitsbeobachtung und verbleibende Einstufung enthalten. In diesen Feldern stehen die tatsächlichen Erkenntnisse des Betriebs. Der hier dargestellte Aufbau enthält keine ausgefüllten Kundenwerte. Eine spätere Änderung muss erkennen lassen, ob sich das Geschäft selbst verändert hat oder ob lediglich eine bisher schwache Kontrolle verbessert wurde.
Bei einer Überprüfung sind besonders die Verbindung zur Geschäftstätigkeit und die nachvollziehbaren Begründungen wichtig. Typische Prüfungsbefunde wären eine austauschbare Musteranalyse, unbewertete neue Vertriebswege oder Maßnahmen, für die niemand verantwortlich ist. Auch widersprüchliche Aussagen sind problematisch: Wenn die Analyse Drittzahlungen als unauffällig bezeichnet, obwohl interne Hinweise gerade dort ungelöste Fragen zeigen, sollte die Bewertung überprüft werden. Die verantwortliche Leitung sollte diese Widersprüche aufgreifen und die zuständigen Beschäftigten in die Überprüfung einbeziehen.
Aktualisierung anhand eines Anlasses
Mirela plant einen neuen Verkaufskanal. Bevor er eingeführt wird, ergänzt sie die Bestandsaufnahme: Welche Informationen liegen beim persönlichen Verkauf vor, die im neuen Ablauf fehlen könnten? Wer prüft Unterlagen und wer bemerkt einen abweichenden Zahler? Daraus leitet sie Schulungsbedarf und neue Übergaben ab. Die Geldwäsche-Schulung behandelt anschließend genau diese Änderungen. Die Analyse wird damit zum Arbeitsinstrument und nicht zur einmalig abgelegten Beschreibung des Unternehmens.
Irrtümer und Abschlusskontrolle
Mythos: Ein Betrieb mit wenigen Beschäftigten hat automatisch ein geringes Risiko. Fakt: Entscheidend sind Tätigkeit und konkrete Risikofaktoren, nicht nur die Größe. Mythos: Ohne Zahlen ist eine Bewertung wertlos. Fakt: Eine begründete qualitative Einordnung kann aussagekräftiger sein als eine unbelegte Punkteskala. Mythos: Ein geringes Risiko beseitigt alle Pflichten. Fakt: Auch vereinfachte Sorgfaltspflichten müssen begründet und angemessen durchgeführt werden.
Für den Abschluss kontrolliert Mirela, ob jede Maßnahme einen erkennbaren Zweck hat und ob offene Aufgaben nachgehalten werden. Die zuständige Leitung muss die Analyse verstehen und in Entscheidungen einbeziehen können. Werden neue Auffälligkeiten bekannt, führt der Weg zurück zur Bewertung. Auf diese Weise verbinden sich Kundenaufnahme, Dokumentation und interner Hinweisweg zu einem nachvollziehbaren Risikomanagement.
Häufige Fragen
Was ist der Unterschied zwischen Risikoanalyse und Gefährdungsanalyse?
Inhaltlich keiner. Gefährdungsanalyse ist der ältere Begriff, das GwG spricht heute von Risikoanalyse.
Muss jedes Unternehmen eine Risikoanalyse erstellen?
Nur Verpflichtete nach § 2 GwG. Aufsichtsbehörden können auf Antrag von der Dokumentation befreien, wenn die Risiken klar erkennbar sind.
Wie oft muss die Risikoanalyse aktualisiert werden?
Sie ist regelmäßig zu überprüfen und bei Bedarf zu aktualisieren, etwa bei neuen Produkten oder geänderter Rechtslage.
Gibt es eine verbindliche Vorlage?
Nein. Aufsichtsbehörden geben Hinweise, die Analyse muss aber auf das eigene Geschäft zugeschnitten sein.
Darf eine Risikoanalyse mit gering, mittel und hoch arbeiten?
Ja. Entscheidend ist die nachvollziehbare Begründung anhand des eigenen Geschäfts und der relevanten Risikofaktoren, nicht eine künstliche Punkteskala.
Wird das Risiko durch eine Checkliste automatisch gering?
Nein. Die Maßnahme muss zum Risiko passen und praktisch wirksam sein. Das verbleibende Risiko ist gesondert zu bewerten.
Was sollte bei einem neuen Verkaufskanal geprüft werden?
Welche Kundeninformationen, Identitätsprüfungen, Zahlungszuordnungen und internen Übergaben sich verändern und welche zusätzlichen Maßnahmen daraus folgen.