Allgemeine
Sorgfaltspflichten
Customer Due Diligence als Kernprozess der Geldwäscheprävention: Identifizierung, wirtschaftlich Berechtigte, Zweck der Geschäftsbeziehung und laufende Überwachung.
Die allgemeinen Sorgfaltspflichten nach § 10 GwG bilden den operativen Kern des Know-Your-Customer-Prinzips. Verpflichtete müssen ihre Vertragspartner identifizieren, die Identität überprüfen, gegebenenfalls für den Vertragspartner auftretende Personen prüfen, wirtschaftlich Berechtigte ermitteln, den Zweck der Geschäftsbeziehung verstehen, PEP-Risiken bewerten und Geschäftsbeziehungen laufend überwachen.
Im AML Risk Management Framework bilden die allgemeinen Sorgfaltspflichten den CDD Layer. Sie übersetzen Risikoanalyse und Risikoklassifizierung in konkrete Kundenprüfung, Dokumentation, Review-Frequenz, Monitoring-Anbindung und Eskalation.
Was Sie in zwei Minuten wissen müssen.
KYC ist Pflichtkern
§ 10 GwG definiert die allgemeinen Sorgfaltspflichten als zentralen Prüf- und Dokumentationsprozess gegenüber Kunden und Geschäftsbeziehungen.
Identifizierung reicht nicht aus
CDD umfasst mehr als Identitätsfeststellung: wirtschaftlich Berechtigte, Zweck der Geschäftsbeziehung, PEP-Status, Risikobewertung und laufende Überwachung gehören zusammen.
Risikobasiert anzuwenden
Umfang und Tiefe der Maßnahmen richten sich nach Risikoanalyse, Risikoklassifizierung und konkretem Kundenprofil.
CDD steuert Monitoring
Ohne belastbares Kundenprofil kann Transaktionsmonitoring wirtschaftliche Plausibilität, erwartetes Verhalten und Auffälligkeiten nicht zuverlässig bewerten.
Aktualisierung ist Teil der Pflicht
Geschäftsbeziehungen müssen laufend überwacht und relevante Dokumente, Daten und Informationen aktualisiert werden.
FATF Recommendation 10
FATF Recommendation 10 ist der internationale Standard für Customer Due Diligence; die FATF Recommendations werden regelmäßig aktualisiert.
Architektur der allgemeinen Sorgfaltspflichten
Ein professionelles CDD-Framework verbindet Identifizierung, Risikobewertung, wirtschaftlich Berechtigte, PEP-Prüfung, Zweck der Geschäftsbeziehung, laufende Überwachung und Dokumentation. Die EBA Risk Factors Guidelines beschreiben, dass Unternehmen die CDD-Maßnahmen an das identifizierte ML/TF-Risiko der Geschäftsbeziehung oder gelegentlichen Transaktion anpassen sollen.
Identification Layer
Identifizierung des Vertragspartners und gegebenenfalls der für ihn auftretenden Person einschließlich Prüfung der Berechtigung zum Auftreten für den Vertragspartner.
Verification Layer
Überprüfung der erhobenen Identitätsangaben anhand zulässiger Dokumente, Datenquellen oder Verfahren nach den gesetzlichen Anforderungen.
Beneficial Ownership Layer
Ermittlung des wirtschaftlich Berechtigten, Verständnis der Eigentums- und Kontrollstruktur sowie Plausibilisierung komplexer Beteiligungsverhältnisse.
Purpose & Nature Layer
Einholung und Bewertung von Informationen über Zweck und angestrebte Art der Geschäftsbeziehung, soweit sich diese nicht bereits eindeutig ergeben.
PEP & Risk Layer
Feststellung, ob es sich um eine politisch exponierte Person, ein Familienmitglied oder eine bekanntermaßen nahestehende Person handelt, und Einordnung in das Risikoprofil.
Ongoing Monitoring Layer
Laufende Überwachung der Geschäftsbeziehung einschließlich Transaktionsprüfung, Aktualisierung von Daten und Abgleich mit dem erwarteten Kundenverhalten.
CDD ist der Daten- und Erkenntniskern des AML-Systems.
Die allgemeinen Sorgfaltspflichten erzeugen die Informationsbasis für das gesamte AML-System. Ohne belastbare Kundendaten, UBO-Informationen, Zweckverständnis und Risikoeinstufung können Risikoanalyse, Monitoring, Screening, Verdachtsprüfung und Wirksamkeitskontrolle nicht zuverlässig funktionieren.
CDD ist deshalb kein einmaliger Onboarding-Schritt. Es ist ein fortlaufender Erkenntnisprozess über Identität, Kontrolle, wirtschaftliche Plausibilität, Risikoveränderungen und tatsächliches Verhalten des Kunden.
Die allgemeinen Sorgfaltspflichten nach § 10 GwG
| Pflichtenfeld | Funktion im AML-System | Premium-Nachweis |
|---|---|---|
| Identifizierung des Vertragspartners | Feststellung, mit wem eine Geschäftsbeziehung begründet oder eine Transaktion durchgeführt wird. | Identifizierungsdaten, Dokumentenkopie oder zulässiger Nachweis, Prüfvermerk. |
| Auftretende Person | Prüfung, ob eine Person für den Vertragspartner handelt und hierzu berechtigt ist. | Vollmacht, Vertretungsnachweis, Registerauszug, Berechtigungsvermerk. |
| Wirtschaftlich Berechtigter | Ermittlung, wer Eigentum oder Kontrolle über den Vertragspartner ausübt. | UBO-Ermittlung, Strukturdiagramm, Registerauszüge, Plausibilisierung. |
| Zweck und Art der Geschäftsbeziehung | Verständnis, warum die Geschäftsbeziehung besteht und welches Verhalten erwartet wird. | Kundenprofil, Zweckangabe, erwartete Transaktionen, Produktnutzung. |
| PEP-Prüfung | Feststellung besonderer politischer Exponierung und daraus folgender Risikomaßnahmen. | Screening-Ergebnis, PEP-Bewertung, Freigabe, EDD-Vermerk. |
| Laufende Überwachung | Abgleich tatsächlicher Transaktionen und Kundenverhalten mit Profil, Zweck und Risiko. | Monitoring-Nachweise, Review-Protokolle, Trigger-Events, Aktualisierung. |
| Aktualisierung | Sicherstellung, dass Dokumente, Daten und Informationen im Verlauf der Geschäftsbeziehung aktuell bleiben. | Review-Fristen, Aktualisierungsvermerke, neue Nachweise, Änderungshistorie. |
Customer Due Diligence als Lebenszyklus
| Phase | Leitfrage | Operative Umsetzung | Nachweis |
|---|---|---|---|
| 1. Onboarding | Wer ist der Kunde und darf die Beziehung eingegangen werden? | Identifizierung, UBO-Ermittlung, Screening, Zweckabfrage, Risikoklassifizierung. | KYC-Akte, Identitätsnachweis, UBO-Vermerk, Risikoscoring. |
| 2. Risikoeinstufung | Welche Risikoklasse ist angemessen? | Bewertung von Kunden-, Produkt-, Länder-, Kanal- und Strukturmerkmalen. | Scoring, Risikoklasse, Freigabe, Begründung. |
| 3. Geschäftsbeziehung | Entspricht das Verhalten dem erwarteten Profil? | Transaktionsmonitoring, Trigger-Events, Screening, Review. | Alerts, Monitoring-Ergebnisse, Review-Vermerke. |
| 4. Aktualisierung | Sind Daten, Dokumente und Informationen noch aktuell? | Regel-Review, Anlass-Review, UBO-Aktualisierung, PEP-/Sanktionsscreening. | Review-Protokoll, neue Dokumente, Änderungshistorie. |
| 5. Eskalation | Entsteht ein erhöhtes Risiko oder ein meldepflichtiger Verdacht? | EDD, interne Eskalation, Investigation, Verdachtsprüfung. | Fallakte, EDD-Vermerk, Entscheidungsdokumentation. |
| 6. Beendigung | Ist Fortführung möglich oder muss beendet werden? | Risikobewertung, Exit-Entscheidung, Dokumentation, ggf. Verdachtsmeldung. | Beendigungsvermerk, Risikoentscheidung, Meldedokumentation. |
Customer Due Diligence ist ein Lebenszyklus. Die Qualität des Onboardings bestimmt die Qualität der laufenden Überwachung und Verdachtsfallanalyse.
Risikobasierte Ausgestaltung der Sorgfaltspflichten
Die allgemeinen Sorgfaltspflichten stehen nicht isoliert. Je nach Risiko können vereinfachte Sorgfaltspflichten nach § 14 GwG oder verstärkte Sorgfaltspflichten nach § 15 GwG einschlägig sein. Die Risikoklassifizierung entscheidet damit über Intensität, Tiefe und Frequenz der CDD-Maßnahmen.
| Risikoprofil | CDD-Auswirkung | Typischer Nachweis |
|---|---|---|
| Niedrigeres Risiko | Vereinfachte Sorgfaltspflichten können angewendet werden, soweit gesetzlich zulässig und risikobasiert begründet. | Begründung, Faktorenprüfung, Risikoeinstufung, Freigabe. |
| Normales Risiko | Allgemeine Sorgfaltspflichten mit regulärer Identifizierung, Prüfung, Risikoeinstufung und Überwachung. | KYC-Akte, Identitätsprüfung, UBO-Vermerk, Review-Kalender. |
| Erhöhtes Risiko | Zusätzliche Informationen, vertiefte Prüfung, engere Überwachung und gegebenenfalls Managementfreigabe. | EDD-Vermerk, Zusatzdokumente, Freigaben, Monitoring-Intensivierung. |
| Nicht auflösbares Risiko | Beziehung darf nicht begonnen oder fortgeführt werden, wenn die erforderlichen Sorgfaltspflichten nicht erfüllt werden können. | Ablehnungs- oder Beendigungsvermerk, Eskalation, Verdachtsprüfung. |
CDD lebt von Datenqualität und Nachvollziehbarkeit
Vollständigkeit
KYC-Daten müssen vollständig genug sein, um Identität, Kontrolle, Zweck, Risikoprofil und erwartetes Verhalten nachvollziehen zu können.
Aktualität
Veraltete Dokumente, geänderte Eigentümerstrukturen, neue PEP-Treffer oder veränderte Geschäftstätigkeit müssen in das Kundenprofil einfließen.
Plausibilität
Angaben zu Geschäftszweck, Mittelherkunft, Transaktionsverhalten und Eigentümerstruktur müssen wirtschaftlich nachvollziehbar sein.
Systemnutzung
KYC-Daten sollten für Screening, Monitoring, Risikoklassifizierung, Reviews und Reporting technisch nutzbar und konsistent gepflegt sein.
Versionierung
Änderungen an Risikoklasse, UBO-Struktur, Zweckprofil, PEP-Status oder Freigaben müssen nachvollziehbar historisiert werden.
Prüfspur
Entscheidungen, Abweichungen, manuelle Overrides, Eskalationen und Nichtannahmen müssen prüfungsfest dokumentiert sein.
Aufsichtsfeste CDD ist risikobasiert, aktuell und plausibel dokumentiert.
Aufsicht und Prüfung bewerten nicht nur, ob Identifizierungsdaten vorhanden sind. Entscheidend ist, ob die KYC-Akte ein belastbares Verständnis des Kunden ermöglicht: Wer handelt? Wer kontrolliert? Warum besteht die Geschäftsbeziehung? Welches Verhalten ist erwartbar? Welche Risiken bestehen? Welche Maßnahmen folgen daraus?
Die BaFin hat ihre Auslegungs- und Anwendungshinweise zum Geldwäschegesetz am 29. November 2024 überarbeitet und am 6. März 2025 ergänzt. Die FATF Recommendations bilden den internationalen AML/CFT-Standard; Recommendation 10 behandelt Customer Due Diligence.
Kundentransparenz
Ist nachvollziehbar, wer Kunde, Vertreter und wirtschaftlich Berechtigter ist?
Risikobezug
Sind Risikoklasse, CDD-Tiefe, Review-Frequenz und Monitoring-Intensität aus dem Risikoprofil ableitbar?
Aktualisierung
Werden Kundeninformationen bei Trigger Events, Reviews und auffälligem Verhalten aktualisiert?
Reifegrad der allgemeinen Sorgfaltspflichten
| Reifegrad | Charakteristik | Typisches Risiko | Zielbild |
|---|---|---|---|
| Level 1 · Dokumentenorientiert | Identifizierungsunterlagen werden gesammelt und abgelegt. | KYC-Akte enthält Dokumente, aber kein echtes Kundenverständnis. | Vollständige Pflichtdaten und klare Mindeststandards. |
| Level 2 · Prozessual | Onboarding, Review und Freigaben sind prozessual geregelt. | Prozesse sind nicht ausreichend risikobasiert. | CDD-Prozess mit Risikoklassifizierung verknüpfen. |
| Level 3 · Risikoorientiert | CDD-Tiefe, Review-Frequenz und Monitoring-Anbindung folgen der Risikoklasse. | Datenqualität und Aktualisierung bleiben kritische Schwachstellen. | Trigger Events, QA und Datenkontrollen etablieren. |
| Level 4 · Datengetrieben | KYC-Daten steuern Screening, Monitoring, Scoring, Reporting und Reviews. | Systemabhängigkeit und Dateninkonsistenzen können Risiken verdecken. | Datenqualität, Schnittstellen und Modell-Governance absichern. |
| Level 5 · Intelligence Driven | Interne Fälle, Red Flags, Typologien und externe Quellen aktualisieren Kundenprofile laufend. | Hoher Pflege- und Analysebedarf. | Kontinuierliches Kundenverständnis statt statischer Akte. |
Prüffragen zu allgemeinen Sorgfaltspflichten
| Prüffeld | Prüffrage | Erwarteter Nachweis |
|---|---|---|
| Identifizierung | Sind Vertragspartner und auftretende Personen vollständig identifiziert und überprüft? | Identifizierungsdaten, Prüfnachweise, Vertretungsnachweise. |
| Wirtschaftlich Berechtigte | Ist die Eigentums- und Kontrollstruktur verstanden und dokumentiert? | UBO-Vermerk, Strukturdiagramm, Registerauszüge, Plausibilisierung. |
| Zweck der Geschäftsbeziehung | Ist nachvollziehbar, warum die Geschäftsbeziehung besteht und welches Verhalten erwartet wird? | Kundenprofil, Zweckangabe, erwartete Produkte und Transaktionen. |
| Risikoklassifizierung | Ist die Risikoklasse aus Kunden-, Produkt-, Länder-, Kanal- und Strukturmerkmalen ableitbar? | Scoring, Faktorenkatalog, Begründung, Freigabe. |
| PEP / Screening | Werden PEP-, Sanktions- und sonstige relevante Treffer bewertet und dokumentiert? | Screening-Ergebnis, Trefferbewertung, Eskalation, Freigabe. |
| Laufende Überwachung | Wird tatsächliches Verhalten mit Kundenprofil und erwarteter Nutzung abgeglichen? | Monitoring-Ergebnisse, Review-Vermerke, Trigger-Event-Protokolle. |
| Aktualisierung | Werden Daten und Dokumente regelmäßig und anlassbezogen aktualisiert? | Review-Kalender, Aktualisierungsnachweise, Änderungshistorie. |
| Dokumentation | Sind Entscheidungen, Abweichungen und Eskalationen prüfungsfest nachvollziehbar? | KYC-Akte, Entscheidungsvermerke, QA-Berichte, Mängeltracking. |
Readiness Agenda für Customer Due Diligence
| Priorität | Handlungsfeld | Zielbild |
|---|---|---|
| Sehr hoch | KYC-Mindeststandards schärfen | Pflichtdaten, Prüfnachweise, UBO-Ermittlung, Zweckprofil und Risikoklassifizierung sind verbindlich definiert. |
| Sehr hoch | UBO- und Strukturprüfung stärken | Eigentums- und Kontrollstrukturen werden plausibilisiert, dokumentiert und bei Änderungen aktualisiert. |
| Hoch | CDD-Risikomatrix etablieren | Risikoklasse steuert CDD-Tiefe, Review-Frequenz, EDD-Anforderungen, Monitoring und Freigaben. |
| Hoch | Trigger Events operationalisieren | Neue Informationen, Auffälligkeiten, Screening-Treffer und Strukturänderungen lösen Aktualisierung oder Eskalation aus. |
| Mittel | Datenqualität messen | KYC-Daten werden auf Vollständigkeit, Aktualität, Konsistenz und technische Nutzbarkeit geprüft. |
| Mittel | KYC-QA ausbauen | Fallaktenqualität, Entscheidungslogik, Dokumentation und Review-Prozesse werden regelmäßig qualitätsgesichert. |
CDD ist nicht Datenerhebung, sondern strukturiertes Kundenverständnis.
Viele KYC-Prozesse scheitern nicht daran, dass Dokumente fehlen, sondern daran, dass die wirtschaftliche Logik der Geschäftsbeziehung nicht verstanden oder nicht dokumentiert ist. Premium-CDD beantwortet deshalb nicht nur die Frage „Wer ist der Kunde?“, sondern auch: Wer kontrolliert ihn? Warum besteht die Beziehung? Welches Verhalten ist plausibel? Welche Risiken ergeben sich daraus?
Customer Due Diligence ist damit die Grundlage für jede weitere AML-Entscheidung. Risikoanalyse, Monitoring, Screening, Verdachtsprüfung und Wirksamkeitskontrolle sind nur so gut wie das Kundenverständnis, auf dem sie aufbauen.
Verknüpfte Inhalte innerhalb der AML-Domain
Identifizierung
Identifizierung und Überprüfung natürlicher und juristischer Personen sowie auftretender Personen.
UBOWirtschaftlich Berechtigte
Ermittlung, Kontrolle und Dokumentation wirtschaftlich Berechtigter und komplexer Eigentumsstrukturen.
PEPPolitisch exponierte Personen
PEP-Definition, Familienmitglieder, nahestehende Personen, Risikoanalyse und verstärkte Maßnahmen.
GeografieHochrisikoländer
Hochrisikodrittstaaten, FATF-Listungen, Länderexposure und risikobasierte Zusatzmaßnahmen.
EDDVerstärkte Sorgfaltspflichten
Zusatzmaßnahmen bei erhöhtem Risiko, PEPs, Hochrisikodrittstaaten und komplexen Risikokonstellationen.
MonitoringLaufende Überwachung
Transaktionsprüfung, Review, Trigger Events, Aktualisierung und Abgleich mit erwarteter Kundenaktivität.
Echtquellen und Datengrundlage.
- Geldwäschegesetz (GwG), insbesondere § 10 Allgemeine Sorgfaltspflichten, §§ 11 bis 13 Identifizierung und Identitätsüberprüfung sowie §§ 14 und 15 vereinfachte und verstärkte Sorgfaltspflichten.
- BaFin: Auslegungs- und Anwendungshinweise zum Geldwäschegesetz; Überarbeitung vom 29.11.2024 und Ergänzung vom 06.03.2025.
- FATF: The FATF Recommendations, insbesondere Recommendation 10 Customer Due Diligence; aktuelle Fassung zuletzt im Oktober 2025 aktualisiert.
- European Banking Authority: Guidelines on ML/TF Risk Factors, EBA/GL/2021/02, einschließlich späterer Änderungen; Leitlinien zur risikobasierten CDD.
- FIU Deutschland / Zoll: Fachinformationen zu Sorgfaltspflichten in Bezug auf Kunden.
Hinweis: Diese Seite dient der fachlichen Einordnung und ersetzt keine Rechtsberatung, keine institutsspezifische KYC-Prüfung und keine Prüfung der jeweils geltenden Rechtsfassung.