Risikoanalyse Geldwäsche nach § 5 GwG: Vorlage, Methodik, Belegkette

Nach § 5 Absatz 1 des Geldwäschegesetzes (GwG) müssen Verpflichtete eine schriftliche Risikoanalyse erstellen, regelmäßig überprüfen und der Aufsichtsbehörde auf Verlangen vorlegen. Maßgeblich ist hierbei nicht die schiere Existenz eines Dokuments, sondern dessen inhaltliche Tragfähigkeit: Die Analyse muss kundenbezogene, produktbezogene, transaktionsbezogene und geografische Risikofaktoren systematisch erfassen, bewerten und in Maßnahmen übersetzen. Wer als Immobilienmakler, Güterhändler, Geldwäschebeauftragter im Finanzunternehmen oder Spielbankenbetreiber arbeitet, kennt die Frist nach einer Aufsichtsanfrage: Die Vorlage wird kurzfristig verlangt und entscheidet darüber, ob die Aufsicht die interne Organisation als § 4 GwG-konform einstuft oder ob ein Bußgeldverfahren in Gang kommt. Bereits eine unzureichende Methodik kann ein Verfahren auslösen.

Eine generische Risikoanalyse-Vorlage aus dem Netz hilft nur als Skelett. Sie muss spezifisch auf die Geschäftstätigkeit, die Kundenstruktur und die genutzten Vertriebskanäle zugeschnitten werden und braucht eine nachvollziehbare Bewertungsmethodik mit Skalen, Schwellenwerten und Maßnahmenzuordnung. Dieser Beitrag erklärt Aufbau und Pflichtbestandteile einer GwG-Risikoanalyse, zeigt eine praxistaugliche Bewertungsmatrix, erläutert die Aktualisierungspflicht nach § 5 Absatz 2 GwG und beschreibt, wie die Analyse mit den weiteren Pflichten aus §§ 6 bis 10 GwG zusammenwirkt, damit das Ergebnis nicht nur formal vorliegt, sondern operativ trägt und im Audit standhält. Ein klar geführter Update-Zyklus, eine schriftlich begründete Bewertungsmatrix und die Geschäftsleitungsfreigabe sind die drei sichtbaren Signale einer ernst gemeinten GwG-Organisation.

§ 5 GwG verlangt von jedem Verpflichteten nach § 2 GwG eine schriftliche Risikoanalyse seiner Geschäftstätigkeit im Hinblick auf Geldwäsche und Terrorismusfinanzierung. Die Vorschrift definiert vier Dimensionen, die zu erfassen sind: Risiken bezogen auf Kunden, auf Produkte und Dienstleistungen, auf Transaktionen und Vertriebswege sowie auf Länder und geografische Gebiete. Die Analyse muss die Faktoren der Anlagen 1 und 2 zum GwG sowie die nationalen Risikobewertungen des Bundesfinanzministeriums berücksichtigen und sie auf das eigene Geschäftsmodell übertragen. Sie ist dokumentiert vorzuhalten, der Aufsichtsbehörde auf Anforderung vorzulegen und mindestens jährlich oder anlassbezogen zu überprüfen. Die Vorlagepflicht greift unverzüglich nach einer Aufsichtsanfrage, eine längere Vorbereitungszeit räumen die Behörden in der Regel nicht ein.

Welche Aufsichtsbehörde zuständig ist, hängt vom Verpflichtetenstatus ab. Banken, Finanzdienstleister und Versicherungen werden von der BaFin überwacht, Immobilienmakler, Güterhändler, Edelmetallhändler und Spielbankenbetreiber von den jeweiligen Landesbehörden, Rechtsanwälte und Notare durch ihre Berufskammern. Das Bafa führt die Aufsicht über bestimmte Güterhändler, etwa im Bereich Kryptowerte oder Hochpreisgüter. Eine Risikoanalyse, die in einem Bundesland akzeptiert wird, kann in einem anderen aufgrund unterschiedlicher Aufsichtsschwerpunkte nachgebessert werden müssen. Wer als Verpflichteter zugleich Geldwäschebeauftragten nach § 7 GwG bestellen muss, sollte die Analyse als zentrale Steuerungsgrundlage verstehen, aus der sich die internen Sicherungsmaßnahmen, Kundensorgfaltspflichten und Schulungspläne ableiten. Ohne diese Verzahnung ist die Risikoanalyse ein Papier ohne Folgen, und genau das prüfen Aufseher. Hinzu kommt: Selbst wenn nach § 7 Absatz 2 GwG kein eigener Geldwäschebeauftragter bestellt werden muss, bleibt die Risikoanalyse Pflicht, denn sie betrifft nicht die Bestellung, sondern die Geschäftsleitung selbst nach § 4 Absatz 3 GwG.

Eine vollständige Risikoanalyse-Vorlage beginnt mit einem Deckblatt, das Verpflichteter, Geschäftsadresse, zuständige Aufsicht, Geltungszeitraum, Erstellungsdatum, verantwortliche Person und Freigabe durch die Geschäftsleitung ausweist. Es folgt eine kurze Beschreibung des Geschäftsmodells, der Tätigkeitsfelder, der Vertriebswege und der Mitarbeiterzahl, denn diese Faktoren bestimmen die Tiefe der nachfolgenden Analyse. Wer ausschließlich gewerblichen Kunden im Inland Dienstleistungen verkauft, hat ein anderes Risikoprofil als ein Anbieter, der internationale Privatkunden über Online-Vertriebskanäle bedient.

Der Kern der Vorlage besteht aus vier strukturierten Abschnitten, einem je Risikodimension. Jeder Abschnitt listet die für das eigene Geschäft relevanten Risikofaktoren auf, ordnet ihnen eine Bewertung zu (typischerweise eine Skala mit drei bis fünf Stufen, etwa niedrig, mittel, hoch, sehr hoch), begründet die Einstufung mit Bezug auf die GwG-Anlagen oder die nationale Risikobewertung und leitet konkrete Sicherungsmaßnahmen ab. Diese Maßnahmen reichen von der Kundensorgfaltsregelung über besondere Vertragsklauseln bis zur Schulungsfrequenz für betroffene Mitarbeiter. Den Abschluss bilden eine Gesamtbewertung mit aggregiertem Restrisiko, eine Liste offener Punkte mit Fristen sowie die Freigabe durch die Geschäftsleitung nach § 4 Absatz 3 GwG. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. In den 490 einsatzbereiten Audit-Vorlagen von CIVAC ist die Risikoanalyse als Workflow hinterlegt, sodass jede Bewertung mit Quelle und Datum belegt wird und die Aufsicht den Erstellprozess nachvollziehen kann. Anhänge dokumentieren die nationale Risikobewertung, die EU-Hochrisikoliste, die FATF-Liste und etwaige Branchenleitfäden, die in die Bewertung eingeflossen sind. Ergänzend sollten ein Glossar mit den im Dokument verwendeten Begriffen sowie ein Versionsverzeichnis am Ende der Vorlage stehen, damit Aufseher die Genese der Analyse nachvollziehen können.

Kundenrisiken sind in Anlage 2 GwG bereits ausgeführt. Faktoren, die ein erhöhtes Risiko anzeigen, sind unter anderem politisch exponierte Personen (PEP) und deren Familienmitglieder, Kunden aus Drittstaaten mit hohem Risiko gemäß EU-Liste, Kunden mit komplexen Eigentums- oder Kontrollstrukturen, Bargeschäfte über bestimmten Schwellenwerten und Geschäftsbeziehungen ohne persönliche Identifikation des wirtschaftlich Berechtigten. Auch die Plötzlichkeit der Geschäftsbeziehung, ungewöhnliche Transaktionsmuster oder häufige Wechsel der wirtschaftlich Berechtigten sind Indikatoren. Im Gegenzug senken börsennotierte Kunden, regulierte Finanzunternehmen oder öffentliche Stellen das Risikoprofil.

Eine praxistaugliche Bewertungsmatrix nimmt diese Faktoren auf und multipliziert sie mit der Häufigkeit ihres Auftretens im eigenen Bestand. Beispiel: Wenn 80 Prozent der Kunden inländische gewerbliche Bestandskunden sind und 20 Prozent internationale Neukunden, dann verschiebt sich der Schwerpunkt der Risikoanalyse zur zweiten Gruppe. Für jede Risikoklasse wird festgelegt, welche Sorgfaltspflichten nach §§ 10 bis 17 GwG greifen: vereinfachte Sorgfalt bei niedrigem Risiko, verstärkte Sorgfalt bei hohem Risiko, beispielsweise zusätzliche PEP-Prüfung, Geschäftsleitungsfreigabe für die Geschäftsbeziehung und engere Monitoring-Intervalle. Eine externe Sanktionslistenprüfung wird bei verstärkter Sorgfalt zur Pflicht und kann automatisiert über die Geldwäschebeauftragten-Rolle im Workspace abgebildet werden. So entsteht aus jedem Kundenrisiko eine ableitbare Maßnahme, nicht nur eine Notiz im Word-Dokument. Wer eine periodische Bestandskunden-Überprüfung einplant, etwa alle 12, 24 oder 36 Monate je Risikoklasse, schließt zugleich die Anforderung an die kontinuierliche Überwachung der Geschäftsbeziehung nach § 10 Absatz 1 Nr. 5 GwG. Auch ein dokumentiertes Schwellenwert-Konzept für Aktualisierungsanlässe (Adresswechsel, Eigentümerwechsel, ungewöhnliche Transaktionsmuster) gehört in diesen Abschnitt der Analyse.

Produktrisiken entstehen aus den Eigenschaften der angebotenen Dienstleistungen oder Güter. Hochwertige bewegliche Güter wie Edelmetalle, Kunstgegenstände, Luxusfahrzeuge oder Schmuck gelten generell als geldwäscheaffin, ebenso Treuhandkonten, Anderkonten, Anlageprodukte mit hohem Komplexitätsgrad oder Vertragsmodelle, die das wirtschaftliche Eigentum verschleiern können. Auch grenzüberschreitende Zahlungsdienste, Krypto-Dienstleistungen oder Bargeschäfte über 10.000 Euro nach § 3 GwG sind erhöhte Risikofaktoren. Demgegenüber sind Standardprodukte mit transparenten Zahlungsströmen, identifizierbaren Geschäftspartnern und etablierten Vertragsmustern niedriger einzustufen, was aber dokumentiert begründet werden muss.

Transaktionsrisiken werden über Volumen, Frequenz, Zahlungsweise und Plausibilität zum Geschäftsmodell bewertet. Wer als Immobilienmakler einen Kaufpreis von 1,2 Mio. Euro in Teilraten mit drei verschiedenen Auslandsbanken überwiesen bekommt, sieht ein anderes Bild als bei einer regulären Bankfinanzierung mit notariellem Treuhandkonto. Geografische Risiken folgen den EU-Listen der Hochrisikoländer (Anlage zur GwG-Verordnung), der FATF-Liste sowie eigenen Erkenntnissen über bestimmte Regionen mit Sanktions- oder Embargobezug. Wer Geschäfte mit Bezug zu Russland, Iran, Belarus, Nordkorea oder anderen sanktionierten Räumen führt, muss zusätzlich die Sanktionsregeln nach EU-Verordnungen einhalten und die Sanktionslistenprüfung in die Risikoanalyse aufnehmen. Frist läuft ab Kenntnis: Wer einen Treffer feststellt, hat unverzüglich die Geschäftsbeziehung einzustellen und den Vorgang nach § 43 GwG der FIU zu melden. Praxisrelevant ist auch die Abgrenzung zwischen geografischem Risiko des Kunden und geografischem Risiko der Transaktion, denn beide können auseinanderfallen: Ein inländischer Bestandskunde mit plötzlichen Zahlungen aus einem Hochrisikoland verändert das Risikobild nur in der Transaktionsdimension, nicht im Kundenprofil, was eine differenzierte Reaktion erfordert. Eine saubere Trennung der drei Dimensionen verhindert Fehlentscheidungen und macht spätere Audits nachvollziehbar.

Eine prüffähige Bewertungsmethodik dokumentiert, wie aus einzelnen Risikofaktoren ein Gesamtbild entsteht. Üblich ist ein zweidimensionales Modell, das die Eintrittswahrscheinlichkeit eines Geldwäschefalls mit dem Schadensausmaß multipliziert. Beide Achsen werden in Stufen geteilt, häufig vier (niedrig, mittel, hoch, sehr hoch), und die Multiplikation ergibt eine Risikoklasse. Wichtig ist, dass die Schwellenwerte je Achse begründet sind, etwa durch interne Erfahrungswerte, Branchenstatistiken oder die nationale Risikobewertung. Eine Methodenseite in der Risikoanalyse, die diese Logik erklärt, ist Pflicht, damit ein Aufseher nachvollziehen kann, wie die einzelne Bewertung zustande kam.

Die Aggregation der Einzelrisiken zu einem Gesamtrisiko erfolgt typischerweise gewichtet, da nicht alle Faktoren gleich relevant sind. Im Immobiliensektor wiegt das Geografie- und Transaktionsrisiko schwerer als im klassischen B2B-Großhandel mit Bestandskunden. Die Gewichtung muss schriftlich begründet sein. Aus dem aggregierten Risiko leitet die Analyse Maßnahmenpakete ab: Welche Sorgfaltspflichten gelten standardmäßig, welche verstärkt, welche zusätzlichen Kontrollen werden durch den Geldwäschebeauftragten durchgeführt, wie häufig wird das Monitoring nachjustiert. Audit-fest, dokumentiert, § 5 GwG-fest. Wer diese Methodik im Workspace hinterlegt, kann die Bewertung jederzeit reproduzieren, was bei Aufsichtsbesuchen den Unterschied zwischen ruhiger Erläuterung und erklärender Hektik macht. Eine bewährte Ergänzung ist die jährliche Plausibilisierung mit historischen Vorfällen, etwa Verdachtsmeldungen, abgelehnten Geschäftsbeziehungen oder bewerteten Auffälligkeiten. Wenn die Realität der Statistik widerspricht, gehört diese Beobachtung in die nächste Hauptaktualisierung, ergänzt um eine Notiz zur Anpassung der Gewichtung und zur Begründung der neuen Schwellenwerte. Auch ein internes Vier-Augen-Prinzip bei der Bewertung größerer Risikoänderungen erhöht die Robustheit der Methodik und reduziert das Risiko subjektiver Verzerrungen.

§ 5 Absatz 2 GwG verlangt die regelmäßige Überprüfung und Aktualisierung der Risikoanalyse. In der Praxis hat sich ein jährlicher Rhythmus etabliert, kombiniert mit anlassbezogenen Updates. Auslöser für Anlass-Updates sind unter anderem neue Geschäftsfelder, neue Produkte oder Vertriebskanäle, neue Erkenntnisse zu Hochrisikoländern, Sanktionsänderungen, eine FIU-Verdachtsmeldung mit größerem Volumen, ein Audit-Befund oder eine Aufsichtsmitteilung. Auch eine Übernahme, Fusion oder Neuausrichtung des Geschäfts ist ein Anlass. Wer diese Trigger nicht systematisch erfasst, riskiert, dass die Analyse mit der Realität nicht mehr Schritt hält.

Operativ bedeutet das: Im Workspace wird ein Update-Kalender geführt, mit jährlicher Hauptaktualisierung und Quartalsabfrage relevanter Trigger. Die jeweilige Version wird datiert abgelegt, alte Versionen bleiben aus Dokumentationsgründen verfügbar. Die Geschäftsleitung gibt jede Hauptversion frei, dokumentiert durch Unterschrift oder qualifizierte elektronische Signatur. Bestellurkunde, unterschrieben, abgelegt, belegbar: Diese Logik gilt auch für die Risikoanalyse selbst. Bei einer Aufsichtsanfrage lässt sich dann nicht nur die aktuelle Fassung vorlegen, sondern auch die Versionshistorie, was die Glaubwürdigkeit der Compliance-Organisation deutlich erhöht. Wer den Updateprozess weiterhin nur per Outlook-Erinnerung steuert, kann im Eskalationsfall den Nachweis nicht führen, dass ein Trigger ernsthaft geprüft wurde. Empfehlenswert ist außerdem, jeden Trigger mit einer kurzen Notiz zu kommentieren, auch wenn die Prüfung ergibt, dass keine Aktualisierung notwendig ist. So entsteht eine durchgängige Belegkette, die belegt, dass das Monitoring aktiv stattgefunden hat. Ohne diese Notizen entsteht der Eindruck, der Verpflichtete habe Trigger schlicht ignoriert. Eine kurze Quartalsnotiz pro Trigger genügt in der Praxis, sofern sie Datum, geprüfte Quelle, Bewertungsergebnis und Verantwortlichen ausweist.

Die Risikoanalyse ist kein Selbstzweck, sondern Steuerungsgrundlage für die übrigen GwG-Pflichten. Aus ihr leiten sich die internen Sicherungsmaßnahmen nach § 6 GwG ab, die Kundensorgfaltspflichten nach §§ 10 bis 17 GwG, die Pflichten zur Identifizierung und Aufzeichnung des wirtschaftlich Berechtigten nach § 11 GwG sowie das Monitoring nach § 10 Absatz 1 Nr. 5 GwG. Auch die Schulungspflicht nach § 6 Absatz 2 Nr. 3 GwG bemisst sich am identifizierten Risiko: Mitarbeiter im risikoaffinen Bereich werden häufiger und tiefer geschult als Kollegen mit Standardprozessen. Die Schulungspläne sollten daher direkt mit der Risikoanalyse verknüpft sein.

Der Geldwäschebeauftragte nach § 7 GwG ist für die Pflege und Anwendung der Analyse verantwortlich. Er berichtet an die Geschäftsleitung, hat ein eigenes Vortragsrecht und ist gegenüber Mitarbeitern weisungsbefugt, soweit es die Durchsetzung von Sicherungsmaßnahmen betrifft. CIVAC bietet diese Rolle als Officer-as-a-Service oder als Lizenzlösung an. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. In beiden Fällen ist die Risikoanalyse die zentrale Klammer zwischen Bestellurkunde, Berichtslinie, Sorgfaltspflichten und Schulung, mit einer durchgängigen Belegkette vom Dokument bis zum operativen Vorgang. Ohne diese Verzahnung entsteht der typische Doppelschaden im Aufsichtsfall: formal vorhandene Analyse, operativ ignoriert. Auch die Schnittstelle zum allgemeinen internen Kontrollsystem (IKS) sollte erwähnt sein, damit die Geldwäsche-spezifischen Prüfhandlungen sich von den allgemeinen Kontrollen abgrenzen, ohne dass Lücken entstehen. Eine kompakte Übersicht über die Verzahnungspunkte gehört in den Anhang der Analyse und erspart spätere Diskussionen mit der Aufsicht. Praxisrelevant ist auch die jährliche Anhörung der Geschäftsleitung durch den Geldwäschebeauftragten, in der die wesentlichen Befunde, Trends und Empfehlungen schriftlich festgehalten werden.

Der häufigste Fehler ist die Übernahme einer Mustervorlage ohne inhaltliche Anpassung. Eine Risikoanalyse, die nicht das tatsächliche Geschäft beschreibt, ist nach § 5 GwG keine Risikoanalyse, sondern ein dekoratives Dokument. Der zweithäufigste Fehler ist die Bewertung ohne Methodik: Ohne Skala, ohne Schwellenwert und ohne Aggregationsregel kann der Aufseher die Einstufung nicht reproduzieren. Drittens fehlt häufig die Geschäftsleitungsfreigabe oder sie ist nicht datiert. Viertens werden Aktualisierungen nicht dokumentiert, sodass alte Versionen plötzlich als aktuell verkauft werden müssen. Fünftens wird die Verzahnung mit den Sorgfaltspflichten vergessen, sodass die Analyse formal vorliegt, aber operativ keine Konsequenz hat.

Ein weiterer Fallstrick ist die Geografie. Wer pauschal sagt, man habe keine Auslandskunden, ohne zu prüfen, ob Lieferanten, Eigentümerstrukturen oder wirtschaftlich Berechtigte ins Ausland verweisen, übersieht die häufigsten Treffer in einer Aufsichtsprüfung. Ebenfalls problematisch ist eine pauschale Sanktionslistenprüfung, die nicht dokumentiert wird: Eine Sanktionsprüfung gilt nur dann als durchgeführt, wenn Trefferprotokolle, Falschtreffer-Klärungen und Negativabgleiche schriftlich vorliegen. Der Prüfer ruft an, der Nachweis liegt bereit, oder eben nicht. In jedem Fall lohnt es sich, die eigene Vorlage einer kollegialen Plausibilitätsprüfung zu unterziehen, etwa durch einen externen Sicherheitsberater oder durch den jährlichen Anhörungsbericht des Geldwäschebeauftragten, in dem auch die Methodik kritisch reflektiert werden sollte. Ein letzter, häufig übersehener Fehler ist die fehlende Verbindung zwischen Risikoanalyse und konkretem Kundenakte-Inhalt: Wenn das Sorgfaltspflichten-Niveau eines konkreten Kunden nicht aus seiner Risikoklasse abgeleitet werden kann, fehlt die Steuerungswirkung. Hier hilft eine klare Auswertungsregel, die jeder Kundenakte automatisch ein Sorgfaltspflichten-Profil zuweist.

CIVAC ist eine Compliance-Plattform und Officer-as-a-Service mit 25 Beauftragten-Rollen, alle live. Für die GwG-Welt bedeutet das: Bestellurkunde des Geldwäschebeauftragten, Berichtslinie zur Geschäftsleitung, 490 Audit-Vorlagen einschließlich Risikoanalyse-Skelett mit den vier Pflichtdimensionen, Schulungsplan nach § 6 Absatz 2 Nr. 3 GwG, Verdachtsmeldung-Workflow nach § 43 GwG und ein nachvollziehbarer Update-Kalender für die jährliche und anlassbezogene Aktualisierung. Audit-fest, dokumentiert, § 5 GwG-fest. Hinzu kommen die EU-Datenresidenz und das ISMS nach ISO/IEC 27001:2022 mit 93 Controls, damit kunden- und transaktionsbezogene Daten in der gleichen Belegkette geschützt bleiben.

Zwei Modelle stehen zur Wahl. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Im Lizenzmodell erhält Ihr interner Geldwäschebeauftragter eine Vorlagen- und Workflow-Infrastruktur, im Mandatsmodell übernimmt ein durch CIVAC gestellter Geldwäschebeauftragter die externe Bestellung mit allen Pflichten nach § 7 GwG, inklusive Berichtswesen und Vertretung. Beide Wege enden im selben Auditpfad: prüffähig, datiert, freigegeben. Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular unter civac.de/faq. Innerhalb der CIVAC-SLA von 2 Werktagen erhalten Sie eine Einschätzung, ob Ihre bestehende Risikoanalyse Bestand hat oder ob Sie für die nächste Aufsichtsanfrage besser nachjustieren sollten. Statt der klassischen 2 bis 6 Wochen Bearbeitungszeit bei externen Beratern liegt damit die erste Indikation auf dem Tisch, inklusive einer kurzen Mängelliste, die Sie als Steuerungsgrundlage für die nächste Hauptaktualisierung Ihrer Risikoanalyse verwenden können. So schließt sich der Kreis von Pflichtanalyse, Maßnahmen und Belegkette.