Risiko-
klassifizierung
Kundenscoring als Steuerungslogik für CDD, EDD, Monitoring, Review-Frequenzen und Eskalationen.
Die AML-Risikoklassifizierung überführt die Ergebnisse aus Risikoanalyse, KYC, UBO-Prüfung, PEP-Screening, Länderbewertung, Produktnutzung und Transaktionsverhalten in eine konkrete Risikoklasse für Kunden und Geschäftsbeziehungen.
Die EBA ML/TF Risk Factors Guidelines beschreiben Faktoren, die Institute bei der Bewertung des ML/TF-Risikos einer Geschäftsbeziehung oder gelegentlichen Transaktion berücksichtigen sollen; sie erläutern auch, wie CDD-Maßnahmen an das identifizierte Risiko anzupassen sind.
Was Sie in zwei Minuten wissen müssen.
Risikoklasse steuert CDD
Die Risikoklassifizierung bestimmt Umfang und Tiefe der Kundensorgfalt, Review-Frequenz, Monitoring-Intensität und EDD-Auslöser.
§ 10 GwG verlangt Kundenverständnis
Die allgemeinen Sorgfaltspflichten umfassen unter anderem Zweck und Art der Geschäftsbeziehung sowie laufende Überwachung einschließlich Transaktionen.
§ 15 GwG für erhöhte Risiken
Bei erhöhtem Risiko, insbesondere PEP- oder Hochrisikodrittstaatenbezug, sind verstärkte Sorgfaltspflichten auszulösen.
Scoring braucht fachliches Urteil
Ein Score darf keine Black Box sein. Daten, Gewichtung, Overrides, Begründungen und manuelle Eskalationen müssen nachvollziehbar sein.
EBA-Faktoren sind zentral
Die EBA-Leitlinien enthalten Risikofaktoren für Geschäftsbeziehungen und einzelne Transaktionen sowie Guidance zur risikoadäquaten CDD.
FATF Risk-Based Approach
FATF verlangt, Risiken zu identifizieren, zu bewerten und zu verstehen sowie Minderungsmaßnahmen entsprechend dem Risikoniveau zu treffen.
Architektur der AML-Risikoklassifizierung
Eine professionelle Risikoklassifizierung verbindet automatisierte Datenpunkte mit fachlicher Bewertung. Sie muss erklären, warum ein Kunde einer Risikoklasse zugeordnet wird und welche konkreten Maßnahmen daraus folgen.
Input Layer
KYC-Daten, UBO, PEP, Länder, Produkte, Kanäle, Branche, Transaktionsprofil, Adverse Media, Screening und interne Fälle.
Risk Factor Layer
Kunden-, Produkt-, Länder-, Kanal-, Transaktions-, Struktur-, Verhaltens- und Organisationsrisiken als Bewertungsdimensionen.
Scoring Layer
Punktewerte, Gewichtung, Schwellenwerte, harte Trigger, qualitative Bewertung und Risikoklassenlogik.
Override Layer
Manuelle Hochstufung, Herabstufung, Begründungspflicht, Vier-Augen-Prinzip und GWB-/Managementfreigabe.
Control Layer
Verknüpfung mit CDD, EDD, Monitoring-Parametern, Review-Zyklen, Freigaben und Eskalationsregeln.
Validation Layer
QA, Datenqualität, Modellprüfung, Backtesting, Fallreviews, Fehleranalyse und periodische Methodikprüfung.
Risikoklassifizierung ist die operative Übersetzung des risikobasierten Ansatzes.
Die Risikoanalyse bewertet das Gesamtgeschäft. Die Risikoklassifizierung bewertet die konkrete Geschäftsbeziehung. Erst dadurch wird der risikobasierte Ansatz im Tagesgeschäft sichtbar: niedrigere Risiken können effizienter behandelt werden, erhöhte Risiken lösen vertiefte Maßnahmen aus.
FATF beschreibt den Risk-Based Approach als zentral für die wirksame Umsetzung der Empfehlungen: Institute sollen ihre ML/TF-Risiken identifizieren, bewerten und verstehen und angemessene Gegenmaßnahmen entsprechend dem Risiko treffen.
Risikofaktoren im Kundenscoring
| Dimension | Typische Faktoren | Steuerungsrelevanz |
|---|---|---|
| Kundenrisiko | Rechtsform, Branche, Beruf, Vermögenslage, Geschäftszweck, Kundenverhalten, Komplexität und Kooperationsbereitschaft. | Bestimmt KYC-Tiefe, Review-Frequenz und Plausibilitätsprüfung. |
| UBO-Risiko | Mehrstufige Beteiligungen, Trusts, Stiftungen, Nominees, Offshore-Bezug, unklare Kontrolle oder wirtschaftlich Berechtigte mit Hochrisikobezug. | Löst Strukturprüfung, EDD, Registerabgleich und erhöhte Dokumentation aus. |
| PEP-Risiko | PEP, Familienmitglied, nahestehende Person, ehemaliges Amt, Länderbezug, Korruptionsrisiko und Vermögensherkunft. | Löst EDD, Führungsebene-Freigabe, Source-of-Wealth/Funds und verstärktes Monitoring aus. |
| Länderrisiko | Hochrisikodrittstaaten, FATF-Listungen, Sanktionen-/Embargonähe, Korruption, TF-/PF-Risiken und ungewöhnliche Länderwege. | Steuert EDD, Zahlungsmonitoring, Länderlisten und Eskalation. |
| Produktrisiko | Bargeldnähe, Geschwindigkeit, grenzüberschreitende Nutzbarkeit, Anonymitätsnähe, Komplexität und digitale Kanäle. | Steuert Produktkontrollen, Monitoring-Szenarien und Schwellenwerte. |
| Transaktionsrisiko | Volumen, Frequenz, Gegenparteien, Abweichung vom Profil, Drittzahlungen, Layering-Muster und wirtschaftliche Plausibilität. | Beeinflusst Monitoring, Alert-Priorisierung, Reviews und Verdachtsprüfung. |
| Kanalrisiko | Nicht-persönliches Onboarding, Vermittler, Plattformen, Auslagerung, digitale Identifizierung und Fernvertrieb. | Bestimmt Identitätsprüfung, Betrugs-/AML-Kontrollen und Datenqualität. |
| Informationsrisiko | Adverse Media, interne Fälle, frühere Alerts, unplausible Angaben, Dokumentationsmängel und negative Erkenntnisse. | Führt zu Hochstufung, EDD, GWB-Bewertung oder Exit-Prüfung. |
Vom Kundenprofil zur Risikoklasse
| Phase | Leitfrage | Operative Umsetzung | Nachweis |
|---|---|---|---|
| 1. Daten erfassen | Welche Informationen liegen zum Kunden vor? | KYC, UBO, PEP, Länder, Produkt, Zweck, erwartete Transaktionen und Screening. | KYC-Akte, Datenfelder, Screening-Nachweis. |
| 2. Faktoren bewerten | Welche Risikotreiber sind relevant? | Bewertung nach Kunden-, UBO-, PEP-, Länder-, Produkt-, Kanal- und Transaktionsrisiko. | Scoring-Protokoll, Faktorenmatrix. |
| 3. Score berechnen | Welche Risikoklasse ergibt sich rechnerisch? | Punkte, Gewichtung, harte Trigger, Schwellenwerte und Aggregation. | Score, Version, Bewertungslogik. |
| 4. Plausibilisieren | Passt die Risikoklasse zum Gesamtbild? | Fachliche Prüfung, Begründung, mögliche Hoch-/Herabstufung. | Override-Vermerk, Vier-Augen-Prüfung. |
| 5. Maßnahmen ableiten | Welche Kontrollen folgen aus der Klasse? | CDD/EDD, Review-Frist, Monitoring, Freigabe, Dokumentation und Eskalation. | Maßnahmenmatrix, Workflow-Nachweis. |
| 6. Aktualisieren | Wann muss neu bewertet werden? | Trigger Events, Periodic Review, neue Alerts, neue Länder, PEP-Status oder UBO-Änderung. | Review-Log, Aktualisierungsvermerk. |
| 7. Validieren | Ist die Scoringlogik wirksam? | QA, Backtesting, Fallreviews, Datenqualität, Override-Analyse und Mängeltracking. | Validierungsbericht, QA-Ergebnis. |
Premium-Scoring ist ein Lebenszyklus: Es beginnt beim KYC-Profil und endet nicht mit einem Score, sondern mit Maßnahmen, Reviews und Wirksamkeitsprüfung.
Steuerungswirkung der Risikoklassen
| Risikoklasse | CDD-/EDD-Steuerung | Monitoring & Review | Nachweis |
|---|---|---|---|
| Niedrig | Vereinfachte oder reduzierte Maßnahmen nur, soweit gesetzlich und risikobasiert zulässig. | Längere Review-Zyklen, Standardmonitoring, Trigger-basiertes Update. | Begründung, Niedrigrisiko-Faktoren, Kontrollnachweis. |
| Normal | Standard-CDD mit vollständiger Identifizierung, UBO-Ermittlung, Zweckprofil und laufender Überwachung. | Reguläre Review-Frequenz, Standardmonitoring, Profilabgleich. | KYC-Akte, Risikoklasse, Review-Nachweis. |
| Erhöht | Vertiefte Informationen, engere Plausibilisierung, ggf. EDD und zusätzliche Freigaben. | Kürzere Review-Zyklen, erhöhte Alert-Priorisierung, engere Überwachung. | EDD-Vermerk, Freigabe, Monitoring-Parameter. |
| Hoch | Verstärkte Sorgfaltspflichten, Managementfreigabe, Source-of-Wealth/Funds und GWB-Einbindung. | Hochpriorisiertes Monitoring, häufige Reviews, Trigger-Analyse und Exit-Prüfung. | GWB-Vermerk, Managemententscheidung, Fallakte. |
| Nicht akzeptabel | Keine Aufnahme oder Beendigung, wenn Risiko nicht verstanden oder nicht angemessen gesteuert werden kann. | Exit-Monitoring, Sperr-/Ablehnungslogik, Verdachtsprüfung falls erforderlich. | Ablehnungs-/Exit-Vermerk, Verdachtsentscheidung. |
Manuelle Hoch- und Herabstufungen
Harte Trigger
PEP, Hochrisikodrittstaaten, negative Erkenntnisse oder komplexe UBO-Strukturen können zwingende Hochstufungen auslösen.
Fachliche Plausibilität
Ein rechnerischer Score muss fachlich zum Gesamtbild der Geschäftsbeziehung passen und darf auffällige Konstellationen nicht verdecken.
Begründungspflicht
Jeder Override benötigt dokumentierte Begründung, Evidenz, Verantwortlichen, Freigabe und Review-Frist.
Vier-Augen-Prinzip
Herabstufungen erhöhter Risiken sollten besonders streng freigegeben und qualitätsgesichert werden.
Override-Analyse
Häufige Overrides können auf Modellschwächen, Datenprobleme oder unklare Kriterien hinweisen.
GWB-Eskalation
Kritische Hochrisiko- oder Verdachtsnähe-Fälle benötigen GWB-Einbindung und ggf. Managemententscheidung.
Datenqualität und Modellvalidierung
Eine Risikoklassifizierung ist nur belastbar, wenn die zugrunde liegenden Daten vollständig, aktuell und richtig sind. Fehler in KYC-, UBO-, PEP-, Länder-, Produkt- oder Transaktionsdaten führen unmittelbar zu falschen Risikoklassen.
| Prüffeld | Risiko | Kontrolle |
|---|---|---|
| Pflichtfelder | Fehlende Daten führen zu Unterklassifizierung. | Vollständigkeitsregeln, Systemblocker, QA-Stichproben. |
| UBO-Daten | Verdeckte Kontrolle oder Hochrisikobeziehungen werden nicht erkannt. | UBO-Mapping, Registerabgleich, Strukturdiagramm. |
| PEP-Daten | Politische Exponierung wird nicht in EDD überführt. | PEP-Screening, Trefferbewertung, Review-Trigger. |
| Länderlisten | Veraltete Listen verfälschen geografische Risikoklassen. | List-Change-Prozess, Re-Screening, Versionierung. |
| Transaktionsprofil | Monitoring-Schwellen und Plausibilität passen nicht zum Kunden. | Profilabgleich, Periodic Review, Alert-Feedback. |
| Scoring-Modell | Gewichtungen oder Schwellenwerte erzeugen systematische Fehlklassifizierung. | Backtesting, Override-Analyse, Fallreviews, GWB-Freigabe. |
Aufsichtsfest ist Risikoklassifizierung nur, wenn Score, Begründung und Maßnahmen zusammenpassen.
Aufsicht und Prüfung betrachten nicht nur, ob ein Kunde eine Risikoklasse hat. Entscheidend ist, ob die Klasse aus belastbaren Daten und nachvollziehbarer Methodik entsteht und ob sie im Tagesgeschäft tatsächlich CDD, EDD, Reviews, Monitoring und Eskalationen steuert.
Die BaFin hat ihre Auslegungs- und Anwendungshinweise zum GwG am 29.11.2024 überarbeitet und 2025 ergänzt; die EBA-Leitlinien enthalten detaillierte Guidance zu Risikofaktoren und risikoadäquater CDD.
Methodik
Sind Faktoren, Gewichtungen, Schwellenwerte, harte Trigger und Overrides dokumentiert?
Steuerungswirkung
Führen Risikoklassen tatsächlich zu unterschiedlichen CDD-, EDD-, Review- und Monitoring-Maßnahmen?
Validierung
Werden Fehlklassifizierungen, Datenqualität, Overrides und Modelllogik regelmäßig überprüft?
Reifegrad der AML-Risikoklassifizierung
| Reifegrad | Charakteristik | Typisches Risiko | Zielbild |
|---|---|---|---|
| Level 1 · Manuell | Risikoklassen werden überwiegend manuell vergeben. | Uneinheitlichkeit, fehlende Begründung, geringe Vergleichbarkeit. | Faktorenkatalog und Mindestdokumentation etablieren. |
| Level 2 · Regelbasiert | Standardfaktoren erzeugen Risikoklassen. | Harte Risikotreiber oder Kombinationseffekte werden übersehen. | Harte Trigger, Gewichtung und Override-Regeln definieren. |
| Level 3 · Risikoorientiert | Score steuert CDD, EDD, Review-Frequenz und Monitoring. | Validierung und Datenqualität sind lückenhaft. | QA, Backtesting und Datenqualitätskontrollen einführen. |
| Level 4 · Datengetrieben | KYC, Transaktionen, Monitoring, SAR, PEP, UBO und Länderlisten fließen integriert ein. | Modellrisiko und Datenfehler können große Wirkung entfalten. | Modell-Governance, Change Control und unabhängige Validierung stärken. |
| Level 5 · Intelligence Driven | Interne Fälle, Typologien, Aufsichtshinweise und Regulatory Change aktualisieren Scoringlogik dynamisch. | Hoher Pflege- und Governancebedarf. | Dynamisches Customer Risk Intelligence Framework. |
Prüffragen zur Risikoklassifizierung
| Prüffeld | Prüffrage | Erwarteter Nachweis |
|---|---|---|
| Faktoren | Sind Kunden-, UBO-, PEP-, Länder-, Produkt-, Kanal- und Transaktionsrisiken erfasst? | Faktorenkatalog, Scoring-Matrix. |
| Methodik | Sind Gewichtung, Schwellenwerte, harte Trigger und Aggregation dokumentiert? | Methodenpapier, Scoring-Regelwerk. |
| Datenqualität | Sind die verwendeten Daten vollständig, aktuell und korrekt? | Datenqualitätsbericht, QA-Stichproben. |
| Overrides | Sind manuelle Hoch- und Herabstufungen begründet und freigegeben? | Override-Vermerk, Vier-Augen-Prüfung. |
| CDD/EDD | Lösen Risikoklassen unterschiedliche Sorgfaltspflichten aus? | Maßnahmenmatrix, Workflow-Nachweis. |
| Monitoring | Steuern Risikoklassen Schwellenwerte, Alert-Priorisierung und Review-Frequenzen? | Monitoring-Parameter, Reviewplan. |
| Review | Werden Risikoklassen regelmäßig und anlassbezogen aktualisiert? | Review-Log, Trigger-Vermerk. |
| Validierung | Wird geprüft, ob das Modell korrekt klassifiziert und Risiken erkennt? | Backtesting, Fallreviews, Validierungsbericht. |
| Reporting | Erhält die Leitungsebene Informationen zu Hochrisikokunden, Overrides und Fehlklassifizierungen? | GWB-Bericht, Management-Dashboard. |
Readiness Agenda für Customer Risk Scoring
| Priorität | Handlungsfeld | Zielbild |
|---|---|---|
| Sehr hoch | Scoring-Methodik dokumentieren | Faktoren, Gewichtungen, Schwellenwerte, harte Trigger und Overrides sind nachvollziehbar geregelt. |
| Sehr hoch | Maßnahmenmatrix verknüpfen | Jede Risikoklasse steuert konkrete CDD-, EDD-, Review-, Monitoring- und Freigabemaßnahmen. |
| Hoch | Datenqualität absichern | KYC-, UBO-, PEP-, Länder-, Produkt- und Transaktionsdaten werden regelmäßig geprüft. |
| Hoch | Override-Governance stärken | Manuelle Eingriffe sind begründet, freigegeben, analysiert und reportet. |
| Mittel | Backtesting etablieren | Scoring wird anhand von Alerts, Verdachtsfällen, QA und internen Typologien validiert. |
| Mittel | Management-Reporting erweitern | Reports zeigen Hochrisikobestand, Risikoverteilung, Overrides, Trends und Mängel. |
Risikoklassifizierung ist premium, wenn sie nicht nur bewertet, sondern steuert.
Ein Score ohne Steuerungswirkung ist wertlos. Premium-Niveau entsteht erst, wenn die Risikoklasse konkrete Konsequenzen für CDD, EDD, Monitoring, Reviews, Freigaben, Ressourcen und Eskalationen hat.
Der Qualitätsmaßstab lautet: Kann das Institut erklären, warum ein Kunde diese Risikoklasse hat, welche Daten und Faktoren dafür maßgeblich waren und welche konkreten Kontrollen daraus folgen?
Verknüpfte Inhalte innerhalb der AML-Domain
Risikoanalyse
Geschäftsweite Risikobewertung als Grundlage des Kundenscorings.
CDDAllgemeine Sorgfaltspflichten
KYC, UBO, Zweckprofil und laufende Überwachung als Scoring-Basis.
EDDVerstärkte Sorgfaltspflichten
Zusatzmaßnahmen bei erhöhten oder hohen Risikoklassen.
PEPPolitisch exponierte Personen
PEP-Konstellationen als harte Trigger im Kundenscoring.
GeografieHochrisikoländer
Länderbezüge als zentrale geografische Risikofaktoren.
MonitoringTransaktionsmonitoring
Risikoklassen als Steuerung von Szenarien, Schwellenwerten und Priorisierung.
Echtquellen und Datengrundlage.
- Geldwäschegesetz, § 10 Allgemeine Sorgfaltspflichten.
- Geldwäschegesetz, § 15 Verstärkte Sorgfaltspflichten sowie Anlagen 1 und 2 GwG zu Faktoren für geringeres und höheres Risiko.
- BaFin: Aktualisierte Auslegungs- und Anwendungshinweise zum Geldwäschegesetz, 2025.
- EBA: Guidelines on ML/TF Risk Factors, EBA/GL/2021/02, einschließlich späterer Änderungen.
- FATF: Risk-Based Approach for the Banking Sector.
- FATF: Guidance on the Risk-Based Approach to combating money laundering and terrorist financing.
- FIU/Zoll: Sorgfaltspflichten in Bezug auf Kunden.
Hinweis: Diese Seite dient der fachlichen Einordnung und ersetzt keine Rechtsberatung, keine institutsspezifische Scoring-Validierung und keine Prüfung der jeweils geltenden Rechtsfassung.