# Gwg Risikoanalyse > Aufbau und Aktualisierung der institutsspezifischen Risikoanalyse nach § 5 GwG – Risikokategorien (Kunde / Produkt / Vertriebsweg / Geografie), Berücksichtigung Supranationale und Nationale Risk Assessment, Risikoklassen und Ableitung des Pflichtenniveaus §§ 10–17 GwG. Use when ein Verpflichteter iSv § 2 GwG die Risikoanalyse erstmals erstellen, jährlich fortschreiben oder anlassbezogen anpassen muss. - Skill: `borghei/gwg-risikoanalyse` (Agent Skill, multi-file: 2 files) - Install (CLI): `npx skillmds@latest add borghei/gwg-risikoanalyse` - Raw SKILL.md: https://api.skillmd.com/api/skills/borghei/gwg-risikoanalyse/raw - Safety review: pending - Works with: Claude Code, Claude.ai, OpenAI Codex - Category: Coding & Dev Tools - Author: borghei (https://skillmd.com/u/borghei) - Updated: 2026-09-17 - Page: https://skillmd.com/skills/borghei/gwg-risikoanalyse --- # /geldwaesche-aml-kyc:gwg-risikoanalyse ## Zweck Der Skill erzeugt das Grundgerüst einer **dokumentierten** Risikoanalyse nach § 5 GwG, ordnet Risikofaktoren den vier Pflichtkategorien (Kunde, Produkt / Dienstleistung, Vertriebsweg, geografisches Risiko) zu und leitet daraus das Sorgfaltspflichtenniveau (§§ 10, 14, 15 GwG) ab. Er stellt sicher, dass die Analyse die Supranationale Risikoanalyse der EU-Kommission und die Nationale Risikoanalyse des BMF berücksichtigt und mindestens jährlich oder anlassbezogen aktualisiert wird. > **⚠️ Aktualität (Stand 2026-07):** **Rechtsgrundlage der Risikoanalyse ist weiterhin § 5 GwG.** Das EU-AML-Paket löst das GwG nicht heute, sondern zum 10.07.2027 ab — der Übergang gehört jedoch bereits jetzt in die Analyse und in den Aktualisierungsanlass: > > - **AMLA** (VO (EU) 2024/1620) ist seit dem **01.07.2025 in Frankfurt am Main operativ**. Sie wird ausgewählte Verpflichtete **unmittelbar** beaufsichtigen und koordiniert im Übrigen die nationalen Aufsichtsbehörden. > - **AMLR** (VO (EU) 2024/1624) gilt ab **10.07.2027** als unmittelbar anwendbares **Single Rulebook** — ohne nationales Umsetzungsgesetz. > - **AMLD6** (RL (EU) 2024/1640): Umsetzungsfrist für **Art. 11–13, 15** (Register wirtschaftlich Berechtigter) am **10.07.2026 abgelaufen**; allgemeine Umsetzungsfrist **10.07.2027**. > - Der Großteil der **AMLA-Level-2-/Level-3-Maßnahmen** war zum **10.07.2026** fällig; rund **23 RTS/ITS und Leitlinien** stehen noch aus — darunter Konkretisierungen zu Risikobewertung und Risikofaktoren. > - **EU-weite Bargeldobergrenze 10.000 EUR**, Mitgliedstaaten dürfen niedrigere Grenzen setzen — relevant für die Risikokategorie „Produkt/Dienstleistung" bei bargeldintensivem Geschäft. `[unverifiziert - prüfen]` > > **Konsequenz für diesen Skill:** Der bevorstehende AMLR-Wechsel ist ein **anlassbezogener Aktualisierungsgrund** iSd § 5 II GwG. Die Analyse ist so zu strukturieren, dass sie zum 10.07.2027 auf die AMLR umgehängt werden kann (siehe Schritt 7a). ## Eingaben - Verpflichteten-Typ nach § 2 GwG (Kreditinstitut, Finanzdienstleister, Versicherer, Vermögensverwalter, RA / StB / Notar, Güterhändler ab Schwelle, Immobilienmakler, Edelmetall- / Kunsthändler, Glücksspielanbieter, Krypto-Verwahrer) - Geschäftsmodell (Produktportfolio, Kundengruppen, Vertriebskanäle, geografische Reichweite) - bestehende Risikoanalyse (falls vorhanden, mit Datum und letzter Aktualisierung) - aufsichtsrechtlicher Rahmen (BaFin / Zoll / Landesaufsicht) - besondere Vorfälle seit letzter Analyse (Verdachtsmeldungen, Prüfungsfeststellungen, Sanktionsverfahren) ## Sub-Agent-Architektur Researcher liefert § 5 GwG mit Bezug zu § 4 (risikobasierter Ansatz) und § 6 (interne Sicherungsmaßnahmen), Supranationale + Nationale Risikoanalyse, BaFin- und FIU-Auslegungshinweise sowie Kommentarstellen. Drafter erstellt das Risikoanalyse-Dokument mit Methodik, Risikofaktoren-Matrix, Risikoklassen und Ableitung des Pflichtenniveaus. Reviewer prüft Vollständigkeit der vier Kategorien, Dokumentationsdichte, Aktualisierungsturnus und Anbindung an § 6 GwG-Sicherungsmaßnahmen. ## Ablauf ### 1. Verpflichteten-Eigenschaft Vor Beginn klären, **welche** Nummer des § 2 I GwG einschlägig ist — der Pflichtenumfang variiert (z. B. § 2 I Nr. 1: Kreditinstitute; Nr. 10: RA / StB / Notare nur bei Katalogtätigkeiten; Nr. 14: Güterhändler erst ab Bargeldschwelle iSv § 4 V GwG). Bei mehrfacher Einstufung gilt das jeweils strengere Pflichtenregime. ### 2. Methodik der Risikoanalyse (§ 5 GwG) Die Risikoanalyse muss schriftlich vorliegen, **nachvollziehbar** sein, und die Methodenwahl dokumentieren. Üblich: - qualitative Bewertung pro Risikofaktor (niedrig / normal / hoch) - quantitative Gewichtung (z. B. Scorecard) - aggregierte Risikoklasse je Geschäftsbeziehung / Transaktion Maßstab und Mindestinhalt: Herzog, GwG, X. Aufl. Jahr, § 5 Rn. 1 ff. `[unverifiziert – Auflage prüfen]`; BaFin, Auslegungs- und Anwendungshinweise zum GwG, Allgemeiner Teil. ### 3. Externe Quellen einbeziehen - **Supranationale Risikoanalyse** der EU-Kommission (Art. 6 RL (EU) 2015/849, alle zwei Jahre) - **Nationale Risikoanalyse (NRA)** des BMF (zuletzt aktualisiert; konkrete Ausgabe `[unverifiziert – Stand prüfen]`) - **Sektorale Risikoanalysen** der zuständigen Aufsicht (BaFin für Banken / Versicherer / FDI; Landes-RAK / StBK / Notarkammer; Zoll-FIU; Glücksspielbehörde) - **EU-Liste der Hochrisikoländer** (delegierte VO der KOM nach Art. 9 RL 2015/849) - **FATF-Empfehlungen** und FATF-Länderlisten ### 4. Vier Risikokategorien (§ 5 I GwG) | Kategorie | Beispielindikatoren (nicht abschließend) | |---|---| | **Kunde** | natürliche / juristische Person; Branche; PEP-Eigenschaft § 1 XII GwG; Nominee-Strukturen; bargeldintensives Geschäft; Bestandskunde vs. Neukunde | | **Produkt / Dienstleistung** | Produkte mit Anonymitätspotenzial (Inhaberinstrumente, E-Geld, Krypto), grenzüberschreitende Zahlungen, Korrespondenzbank-Beziehungen, Trade Finance | | **Vertriebsweg** | Präsenz-Onboarding vs. Fernidentifizierung (Videoident, eID); Vermittler / Tippgeber; nicht regulierte Intermediäre | | **Geografisches Risiko** | EU-Hochrisikoländer-Liste; FATF-Listen; Offshore-Zentren; Sanktionsländer (UN, EU, OFAC); Korruptionsindex (TI CPI) | ### 5. Risikoklassen und Pflichtenniveau | Risikoklasse | Pflichtenniveau | Norm | |---|---|---| | niedrig (mit nachgewiesener Begründung) | vereinfachte Sorgfalt | § 14 GwG | | normal | allgemeine Sorgfalt | § 10 GwG | | hoch (PEP, Hochrisikoland, komplexe Struktur, ungewöhnliches Transaktionsverhalten) | verstärkte Sorgfalt | § 15 GwG | Die Zuordnung darf nicht pauschal sein — jede Klasse ist auf den konkreten Geschäftsvorgang anzuwenden. ### 6. Anbindung an § 6 GwG (interne Sicherungsmaßnahmen) Die Risikoanalyse muss in konkrete Sicherungsmaßnahmen münden: Verfahren zur Kundenannahme, Monitoring, Mitarbeiterzuverlässigkeit, Schulung, GW-Beauftragter (§ 7 GwG, bei Kreditinstituten + Stellvertreter, MaRisk AT 4.4.3). Ohne diese Anbindung ist die Risikoanalyse formal unvollständig. ### 7. Aktualisierung Mindestens **jährlich** und **anlassbezogen** (neue Produkte, neue Märkte, geänderte Aufsichtsleitlinien, neue NRA / SNRA, sichtbare Veränderung des Bedrohungsbildes). Aktualisierungen sind zu dokumentieren mit Datum, Anlass und Verantwortlichem. ### 7a. Vorbereitung auf AMLR, AMLA und AMLD6 Der Übergang auf das EU-AML-Paket ist kein künftiges Thema, sondern ein **anlassbezogener Aktualisierungsgrund** nach § 5 II GwG. Vier Arbeitsstränge gehören in die Analyse und in den Maßnahmenplan: **a) Gap-Mapping der bestehenden GwG-Verfahren auf die AMLR (Stichtag 10.07.2027).** Jede in der Risikoanalyse verankerte Pflicht wird auf die entsprechende AMLR-Vorschrift abgebildet und eingeordnet als **deckungsgleich**, **verschärft** (Prozess- und IT-Vorlauf einplanen) oder **entfallend/abweichend**. Wichtig: Die AMLR ist **vollharmonisierend** — nationale Zusatzanforderungen, die heute selbstverständlich sind, lassen sich nicht ohne Weiteres fortschreiben. Das Mapping ist zu dokumentieren und mit Zuständigkeiten und Terminen zu versehen. **b) UBO-Daten an der 25-%-Schwelle ausrichten.** Die Umsetzungsfrist der Register-Vorschriften (AMLD6 Art. 11–13, 15) ist am **10.07.2026 abgelaufen**. Die Analyse muss die Datenqualität zu wirtschaftlich Berechtigten als eigenen Risikofaktor der Kategorie „Kunde" abbilden — insbesondere bei mehrstufigen und grenzüberschreitenden Beteiligungsketten. **c) AMLA-Level-2-Pipeline überwachen.** Rund 23 technische Standards und Leitlinien sind noch offen; sie konkretisieren gerade die Risikobewertung. In der Risikoanalyse ist ein **Verantwortlicher für das Monitoring** zu benennen, und Festlegungen, die von noch ausstehenden Standards abhängen, sind als **vorläufig** zu kennzeichnen. **d) Auswahl zur direkten AMLA-Aufsicht prüfen.** Verpflichtete mit grenzüberschreitender Tätigkeit und erhöhtem Risikoprofil können unmittelbar der AMLA unterstellt werden. Die Selbsteinschätzung („Kommen wir in Betracht?") gehört in die Risikoanalyse; folgt daraus ein realistischer Kandidatenstatus, sind Dokumentationstiefe, Datenqualität und Ansprechstellen entsprechend zu heben. Auswahlkriterien und Zeitplan sind an der AMLA-Verordnung und den AMLA-Veröffentlichungen zu verifizieren. `[unverifiziert - prüfen]` ### 8. Bußgeldrisiko Pflichtverletzung iSv § 5 GwG ist Ordnungswidrigkeit nach § 56 I Nr. 6 GwG `[unverifiziert – konkrete Nr. prüfen]`. Bußgeldrahmen bei vorsätzlichen Verstößen bis 1 Mio. EUR bzw. 10 % des jährlichen Gesamtumsatzes (§ 56 III GwG). ## Quellen und Zitierweise Verbindlich: [`../../../references/zitierweise.md`](../../../references/zitierweise.md). ### Statute - [§ 4 GwG](https://www.gesetze-im-internet.de/gwg_2017/__4.html) (risikobasierter Ansatz) - [§ 5 GwG](https://www.gesetze-im-internet.de/gwg_2017/__5.html) (Risikoanalyse) - [§ 6 GwG](https://www.gesetze-im-internet.de/gwg_2017/__6.html) (interne Sicherungsmaßnahmen) - [§ 7 GwG](https://www.gesetze-im-internet.de/gwg_2017/__7.html) (Geldwäschebeauftragter) - [§§ 10, 14, 15 GwG](https://www.gesetze-im-internet.de/gwg_2017/__10.html) (Pflichtenniveau) - [§ 56 GwG](https://www.gesetze-im-internet.de/gwg_2017/__56.html) (Bußgelder) - [Art. 6, 7, 8 RL (EU) 2015/849](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32015L0849) (Risikobewertungspflichten) - [VO (EU) 2024/1624 (AMLR — Single Rulebook)](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1624) — unmittelbar anwendbar ab **10.07.2027**; Vorschriften zur Risikobewertung, zu Sorgfaltspflichten und zur EU-weiten Bargeldobergrenze von 10.000 EUR. Konkrete Artikelzuordnung am Verordnungstext verifizieren `[unverifiziert - prüfen]` - [RL (EU) 2024/1640 (AMLD6)](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024L1640) — Art. 11–13, 15 (Register wirtschaftlich Berechtigter) Umsetzungsfrist **10.07.2026**; allgemeine Umsetzungsfrist **10.07.2027** - [VO (EU) 2024/1620 (AMLA-Verordnung)](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1620) — AMLA seit **01.07.2025** in Frankfurt am Main operativ; direkte Aufsicht über ausgewählte Verpflichtete, Level-2-/Level-3-Rechtsetzung ### Verwaltungsvorschriften - BaFin, Auslegungs- und Anwendungshinweise zum GwG, Allgemeiner Teil und Besonderer Teil Kreditinstitute - FIU-Auslegungs- und Anwendungshinweise (für Nichtfinanzsektor) - BMF, Nationale Risikoanalyse `[unverifiziert – aktuellen Stand prüfen]` - EU-Kommission, Supranational Risk Assessment, COM(2022) 554 final `[unverifiziert – aktuelle Ausgabe prüfen]` - MaRisk (AT 4.4.3 Compliance-Funktion, BT 5 GW-Prävention) ### Kommentare - Herzog, GwG, X. Aufl. Jahr, § 5 Rn. 1 ff. `[unverifiziert – Auflage prüfen]` - Bülte, GwG, § 5 Rn. 1 ff. `[unverifiziert]` - Kreitmair, GwG, § 5 Rn. 1 ff. `[unverifiziert]` - Quedenfeld, Handbuch Bekämpfung Geldwäsche und Wirtschaftskriminalität, X. Aufl., Kap. zu Risikomanagement `[unverifiziert]` ### Rechtsprechung (`[unverifiziert – prüfen in juris]`) - Bußgeld-Rspr. zu § 56 GwG (Aufsichts- und Verwaltungsgerichte, vereinzelt KG / OLG) — konkrete Aktenzeichen sind im Modellwissen nicht zuverlässig erinnerbar; in juris mit Suchstring „GwG Risikoanalyse Bußgeld" recherchieren. ## Ausgabeformat ``` RISIKOANALYSE — § 5 GwG Verpflichteter: , § 2 I Nr. <…> GwG Stand: Verantwortlich: Letzte Aktualisierung: Nächste Wiedervorlage: I. Methodik - Bewertungslogik (qualitativ / quantitativ / Scorecard) - Berücksichtigte externe Quellen (SNRA, NRA, BaFin-AuA, FATF) II. Risikofaktoren 1. Kunde - → Bewertung (niedrig / normal / hoch) → Begründung 2. Produkt / Dienstleistung 3. Vertriebsweg 4. Geografisches Risiko III. Risikoklassen und Pflichtenniveau - niedrig → § 14 GwG (vereinfachte Sorgfalt) - normal → § 10 GwG - hoch → § 15 GwG (verstärkte Sorgfalt) IV. Interne Sicherungsmaßnahmen § 6 GwG - Kundenannahme, Monitoring, Mitarbeiterschulung, GW-Beauftragter V. Aktualisierungsregime - jährlich + anlassbezogen V-a. Übergang EU-AML-Paket - Gap-Mapping GwG → AMLR (Stichtag 10.07.2027): - UBO-Datenqualität / 25-%-Schwelle (AMLD6 Art. 11–13, 15; Frist 10.07.2026): <…> - AMLA-Level-2-Pipeline (offene RTS/ITS/Leitlinien): - Kandidat für direkte AMLA-Aufsicht? VI. Risiken / offene Punkte 🟢 / 🟡 / 🔴 VII. Quellenverzeichnis ``` ## Beispiel (Auszug, Gutachtenstil) > **III. Risikoklassen und Pflichtenniveau** > > Die Geschäftsbeziehung zu einer in Deutschland ansässigen mittelständischen GmbH ohne PEP-Bezug und ohne Hochrisikoland-Bezug fällt nach den unter II. zusammengetragenen Indikatoren in die Risikoklasse „normal". Anwendbar ist daher § 10 I GwG (allgemeine Sorgfaltspflichten: Identifizierung des Vertragspartners, Abklärung des wirtschaftlich Berechtigten gem. §§ 10 I Nr. 2, 11 V GwG, Klärung von Zweck und angestrebter Art der Geschäftsbeziehung, kontinuierliche Überwachung). Eine vereinfachte Sorgfalt nach § 14 GwG kommt nicht in Betracht, weil eine nachgewiesen niedrige Risikolage iSd § 14 I GwG nicht belegt ist; das pauschale Argument „inländischer Mittelstand" trägt nicht (vgl. Herzog, GwG, § 14 Rn. 12 ff. `[unverifiziert]`). ## Risiken / typische Fehler - **Risikoanalyse als „Schubladendokument"** ohne Anbindung an konkrete Sicherungsmaßnahmen (§ 6 GwG) — formaler Verstoß, Bußgeldrisiko nach § 56 GwG. - **Pauschale Einstufung „niedriges Risiko"** ohne Begründung der vereinfachten Sorgfalt § 14 GwG — Aufsicht und FIU-AuA verlangen Einzelfallbegründung. - **PEP-Status unbeachtet** — § 1 XII GwG erfasst auch ausländische und nationale Amtsträger sowie Angehörige; ohne strukturierte PEP-Abfrage ist § 15 III GwG verletzt. - **Keine Aktualisierung** seit > 12 Monaten oder trotz neuer NRA / EU-Hochrisikoliste — verletzt § 5 II GwG. - **GW-Beauftragter ohne Stellvertreter** bei Verpflichteten mit entsprechender Pflicht (§ 7 GwG iVm Branchenspezifik) — MaRisk-Verstoß bei Kreditinstituten. - **AMLR-/AMLA-Übergang ignoriert** — ab **10.07.2027** greifen die vollharmonisierten Pflichten der AMLR unmittelbar. Wer das Gap-Mapping erst 2027 beginnt, hat für IT- und Prozessanpassungen keinen Vorlauf mehr. - **AMLR bereits heute als Prüfungsmaßstab verwendet** — bis zum 10.07.2027 ist **§ 5 GwG** die Rechtsgrundlage der Risikoanalyse. Eine auf die AMLR gestützte Analyse ist derzeit aufsichtsrechtlich unbrauchbar. - **Auf ein nationales AMLR-Umsetzungsgesetz gewartet** — die AMLR ist eine **Verordnung** und gilt unmittelbar; nur die AMLD6 wird national umgesetzt. - **Vollharmonisierung unterschätzt** — nationale Zusatzanforderungen aus dem GwG lassen sich unter der AMLR nicht ohne Weiteres fortschreiben. Das Gap-Mapping muss auch **entfallende** Pflichten ausweisen, nicht nur Lücken. - **UBO-Datenqualität nicht als Risikofaktor abgebildet** — die AMLD6-Frist für die Register-Vorschriften (Art. 11–13, 15) ist am **10.07.2026** abgelaufen; lückenhafte Ketten oberhalb der **25-%-Schwelle** sind ein typischer Prüfungsbefund. - **Noch offene AMLA-Level-2-Standards als final behandelt** — rund 23 RTS/ITS und Leitlinien stehen aus; darauf gestützte Festlegungen sind als vorläufig zu kennzeichnen und mit einem Monitoring-Verantwortlichen zu versehen. - **Direkte AMLA-Aufsicht nicht selbst eingeschätzt** — die AMLA (seit 01.07.2025 in Frankfurt operativ) beaufsichtigt ausgewählte Verpflichtete unmittelbar; die Selbsteinschätzung gehört in die Risikoanalyse.