Risikoanalyse nach GwG erstellen: Anleitung, Aufbau und Muster-Gliederung

Die Risikoanalyse ist das erste Dokument, das die Aufsicht bei einer GwG-Prüfung anfordert — und das am häufigsten fehlt oder nicht zum Unternehmen passt. Dabei ist sie kein Hexenwerk: Sie beschreibt, welche Geldwäscherisiken in deinem Geschäft stecken, wie du sie bewertest und was du dagegen tust. Dieser Artikel zeigt dir den Aufbau nach § 5 GwG, die relevanten Risikofaktoren und eine Muster-Gliederung, die du direkt übernehmen kannst.

Risikoanalyse nach GwG auf den Punkt

• Pflicht: Nach § 5 Abs. 1 GwG muss jeder Verpflichtete die Risiken der Geldwäsche und Terrorismusfinanzierung für seine Geschäfte ermitteln und bewerten — auch Einzelvermittler und kleine Maklerbüros.
• Dokumentation: Die Analyse ist schriftlich festzuhalten, regelmäßig zu überprüfen, zu aktualisieren und der Aufsicht auf Verlangen vorzulegen (§ 5 Abs. 2 GwG).
• Aufbau: Bestandsaufnahme, Risikoidentifikation, Risikobewertung, Maßnahmen, Dokumentation und Aktualisierung — immer bezogen auf Kunden, Produkte, Vertriebswege und Länder.
• Sanktion: Eine fehlende oder nicht aktualisierte Risikoanalyse ist eine Ordnungswidrigkeit nach § 56 Abs. 1 GwG.

Warum die Risikoanalyse Pflicht ist

Das Geldwäschegesetz folgt einem risikobasierten Ansatz: Du entscheidest selbst, wie intensiv du Kunden prüfst — musst diese Entscheidung aber begründen können. Die Risikoanalyse nach § 5 GwG ist genau diese Begründung. Sie ist das Fundament für alle weiteren Maßnahmen: Welche internen Sicherungsmaßnahmen du nach § 6 GwG brauchst, wann vereinfachte Sorgfaltspflichten nach § 14 GwG ausreichen und wann verstärkte nach § 15 GwG nötig sind, leitet sich aus ihr ab.

§ 5 Abs. 1 GwG verlangt, die Risiken zu ermitteln und zu bewerten, die für deine Geschäfte bestehen. Dabei berücksichtigst du die Risikofaktoren aus den Anlagen 1 und 2 zum GwG und die Informationen aus der Nationalen Risikoanalyse des Bundesfinanzministeriums. Der Umfang richtet sich nach Art und Umfang deiner Geschäftstätigkeit — ein Einzelmakler mit 20 Abschlüssen im Jahr braucht eine andere Tiefe als ein Vertrieb mit 50 Beratern. Nach § 5 Abs. 2 GwG musst du die Analyse dokumentieren, regelmäßig überprüfen, bei Bedarf aktualisieren und der Aufsichtsbehörde auf Verlangen vorlegen. Eine Befreiung von der Dokumentationspflicht ist nach § 5 Abs. 4 GwG nur auf Antrag möglich, wenn die Risiken klar erkennbar und verstanden sind — in der Praxis ein seltener Fall.

Wer überhaupt Verpflichteter ist und welche weiteren Pflichten gelten, erklärt der Artikel Geldwäschegesetz einfach erklärt.

Aufbau einer Risikoanalyse in fünf Schritten

Schritt 1: Bestandsaufnahme

Beschreibe zuerst dein Unternehmen so, wie ein Prüfer es kennenlernen würde: Rechtsform, Erlaubnisse (§ 34d, § 34f GewO, § 34c GewO), Anzahl der Mitarbeiter, Standorte, Produktpalette, typische Kundengruppen, Vertriebswege (persönlich, online, über Tippgeber), Zahlungswege und regionale Schwerpunkte. Nenne auch Kooperationspartner wie Pools, Versicherer oder Kapitalverwaltungsgesellschaften und deren Rolle bei der Identifizierung.

Schritt 2: Risikoidentifikation

Ordne deine Geschäftstätigkeit den vier klassischen Risikodimensionen zu und benenne für jede, welche Risiken konkret bestehen:

• Kundenrisiko: Privatkunden, Unternehmen, Stiftungen, politisch exponierte Personen, Kunden aus dem Ausland, Kunden mit bargeldintensiven Geschäften
• Produkt- und Transaktionsrisiko: Lebensversicherungen mit hohem Einmalbeitrag, Vermögensanlagen, Immobilienkäufe, Rückkaufmöglichkeiten, Zahlungen durch Dritte
• Vertriebsweg- und Technologierisiko: Geschäft ohne persönlichen Kontakt, Online-Abschlüsse, Vermittlung über Dritte
• Länder- und geografisches Risiko: Kunden, Zahlungen oder Vermögen mit Bezug zu Drittstaaten mit hohem Risiko

Schritt 3: Risikobewertung

Bewerte jedes identifizierte Risiko nach Eintrittswahrscheinlichkeit und Auswirkung, meist in drei Stufen (gering, mittel, hoch). Daraus ergibt sich ein Bruttorisiko. Anschließend stellst du die vorhandenen Kontrollen gegenüber und kommst zum Nettorisiko. Halte fest, welche Kundengruppen oder Produkte du als erhöhtes Risiko einstufst — das löst die verstärkten Sorgfaltspflichten nach § 15 GwG aus.

Schritt 4: Maßnahmen ableiten

Für jedes relevante Risiko beschreibst du, welche Maßnahme es steuert: Identifizierungsverfahren, PEP- und Sanktionslisten-Abgleich, Herkunftsnachweis bei Einmalbeiträgen über einer selbst definierten Schwelle, Freigabe durch die Geschäftsleitung, Mitarbeiterschulung nach § 6 Abs. 2 Nr. 6 GwG, Meldeprozess über goAML. Die Maßnahmen müssen zum Risiko passen — nicht mehr, nicht weniger.

Schritt 5: Dokumentation und Aktualisierung

Versieh die Analyse mit Datum, Version und der Unterschrift der Geschäftsleitung. Lege einen festen Überprüfungsturnus fest — in der Praxis jährlich — und definiere Anlässe für eine außerplanmäßige Aktualisierung: neue Produkte, neue Vertriebswege, Gesetzesänderungen, eine neue Nationale Risikoanalyse oder Erkenntnisse aus einem eigenen Verdachtsfall.

Risikofaktoren aus den Anlagen 1 und 2 zum GwG

Die Anlagen zum GwG geben dir die Prüfraster vor. Anlage 1 nennt Faktoren für ein potenziell geringeres Risiko, etwa börsennotierte Unternehmen als Kunden, öffentliche Verwaltungen, Lebensversicherungen mit niedriger Prämie, Altersvorsorgeprodukte ohne vorzeitige Rückkaufmöglichkeit oder Kunden aus EU-Mitgliedstaaten mit wirksamen Präventionssystemen. Anlage 2 listet Faktoren für ein potenziell höheres Risiko:

• Kunden: ungewöhnliche Umstände der Geschäftsbeziehung, bargeldintensive Unternehmen, Eigentümerstrukturen, die ungewöhnlich oder übermäßig komplex erscheinen, Gesellschaften mit nominellen Anteilseignern oder Inhaberaktien
• Produkte und Vertriebswege: Produkte, die Anonymität begünstigen, Geschäftsbeziehungen ohne persönlichen Kontakt ohne angemessene Sicherungsmaßnahmen, Zahlungen von unbekannten Dritten, neue Produkte und Technologien
• Geografie: Länder mit unzureichenden Präventionssystemen, Sanktionen, hohem Korruptionsniveau oder Terrorismusbezug

Ergänzend liefert die Nationale Risikoanalyse des Bundesfinanzministeriums die Einschätzung für Deutschland. Sie stuft insbesondere den Immobiliensektor, Bargeld und anonyme Strukturen als Bereiche mit erhöhtem Risiko ein. Beziehe dich in deiner Analyse ausdrücklich auf sie — die Aufsicht erwartet das, weil § 5 Abs. 1 GwG sie nennt.

Muster-Gliederung für deine Risikoanalyse

Die folgende Struktur hat sich für Vermittler und Maklerbüros bewährt und deckt die Erwartungen der Landesaufsichtsbehörden ab:

1. Deckblatt und Versionierung: Unternehmen, Stand, Version, Freigabe durch die Geschäftsleitung, nächster Überprüfungstermin
2. Rechtsgrundlage und Zweck: Einordnung als Verpflichteter nach § 2 Abs. 1 GwG mit Nummer, Verweis auf § 5 GwG
3. Unternehmensbeschreibung: Geschäftsmodell, Erlaubnisse, Mitarbeiter, Standorte, Produkte, Kundenstruktur, Vertriebswege, Zahlungswege
4. Methodik: Bewertungsskala, Definition von Eintrittswahrscheinlichkeit und Auswirkung, Brutto- und Nettorisiko
5. Risikoidentifikation und -bewertung: Tabelle je Risikodimension (Kunde, Produkt, Vertriebsweg, Land) mit Bewertung und Begründung
6. Gesamtrisikoeinschätzung: Zusammenfassung des Risikoprofils des Unternehmens
7. Maßnahmenkatalog: Zuordnung der internen Sicherungsmaßnahmen nach § 6 GwG zu den identifizierten Risiken, inklusive Schulungskonzept und Meldeprozess
8. Verantwortlichkeiten: Geldwäschebeauftragter oder verantwortliche Person, Vertretung, goAML-Administrator
9. Überprüfung und Aktualisierung: Turnus, Anlässe, Änderungshistorie
10. Anlagen: Quellen (Anlagen 1 und 2 GwG, Nationale Risikoanalyse, Auslegungshinweise der Aufsicht), Schulungsnachweise, Prozessbeschreibungen

Tipp: Halte die Analyse so knapp wie möglich und so konkret wie nötig. Zehn Seiten, die dein Geschäft treffend beschreiben, überzeugen die Aufsicht mehr als 40 Seiten Gesetzeszitate.

Typische Prüfungsfeststellungen der Aufsicht

Aus Prüfungen der Landesaufsichtsbehörden bei Vermittlern und Maklern wiederholen sich bestimmte Beanstandungen. Prüfe deine Analyse gegen diese Liste:

• Keine Risikoanalyse vorhanden — der häufigste Fall bei kleinen Unternehmen, die sich nicht als Verpflichtete erkannt haben.
• Vorlage ohne Unternehmensbezug: Ein heruntergeladenes Muster wurde nicht angepasst; Produkte, Kundengruppen oder Vertriebswege stimmen nicht mit dem tatsächlichen Geschäft überein.
• Keine echte Bewertung: Risiken werden aufgezählt, aber nicht bewertet und nicht mit Maßnahmen verknüpft.
• Anlagen 1 und 2 und Nationale Risikoanalyse nicht berücksichtigt, obwohl § 5 Abs. 1 GwG sie ausdrücklich vorgibt.
• Nicht aktualisiert: Die Analyse stammt aus dem Jahr der Erstellung und wurde seitdem nicht überprüft — kein Datum, keine Version, keine Freigabe.
• Widerspruch zur Praxis: Die Analyse beschreibt eine Schulung nach § 6 Abs. 2 Nr. 6 GwG oder einen PEP-Abgleich, für die es keine Nachweise gibt.
• Fehlende Verknüpfung zum Meldeprozess: Es ist nicht beschrieben, wer einen Verdachtsfall prüft, wer meldet und ob die goAML-Registrierung nach § 45 GwG erfolgt ist.

Die Feststellungen zeigen: Die Aufsicht prüft nicht, ob du ein schönes Dokument hast, sondern ob das Dokument dein Geschäft beschreibt und gelebt wird. Eine Risikoanalyse, die Schulungen vorsieht, braucht Schulungsnachweise. Welche Anforderungen dafür gelten, liest du im Artikel GwG-Schulungspflicht: Wer, wie oft, welcher Nachweis.

Häufige Fragen

Wer muss eine Risikoanalyse nach dem Geldwäschegesetz erstellen?

Jeder Verpflichtete nach § 2 Abs. 1 GwG, also auch Versicherungsvermittler mit Lebensversicherungsgeschäft, Finanzanlagenvermittler als Finanzunternehmen und Immobilienmakler. Die Pflicht gilt unabhängig von der Unternehmensgröße; nur der Umfang richtet sich nach Art und Umfang der Geschäftstätigkeit (§ 5 Abs. 1 GwG).

Was muss eine Risikoanalyse nach § 5 GwG enthalten?

Eine Beschreibung des Unternehmens, die Identifikation der Risiken nach Kunden, Produkten, Vertriebswegen und Ländern, deren Bewertung unter Berücksichtigung der Anlagen 1 und 2 zum GwG sowie der Nationalen Risikoanalyse, die daraus abgeleiteten Sicherungsmaßnahmen und Angaben zu Verantwortlichkeiten, Datum, Version und Überprüfungsturnus.

Wie oft muss die Risikoanalyse aktualisiert werden?

§ 5 Abs. 2 GwG verlangt eine regelmäßige Überprüfung und bei Bedarf eine Aktualisierung, ohne eine feste Frist zu nennen. In der Praxis hat sich ein jährlicher Turnus etabliert. Zusätzlich ist eine Aktualisierung bei Anlässen wie neuen Produkten, neuen Vertriebswegen, Gesetzesänderungen oder eigenen Verdachtsfällen nötig.

Gibt es ein Muster für die Risikoanalyse nach GwG?

Verbände und Aufsichtsbehörden stellen teilweise Muster bereit, die du aber immer an dein konkretes Geschäft anpassen musst — unangepasste Vorlagen sind eine der häufigsten Beanstandungen der Aufsicht. Die Muster-Gliederung in diesem Artikel zeigt den erwarteten Aufbau; eine ausfüllbare Vorlage von Sachkundegurus folgt zum Download.

Was passiert, wenn die Risikoanalyse fehlt?

Wer entgegen § 5 Abs. 1 GwG Risiken nicht ermittelt oder bewertet oder die Analyse nicht dokumentiert und überprüft, begeht eine Ordnungswidrigkeit nach § 56 Abs. 1 GwG. Das Bußgeld kann bis zu 150.000 Euro betragen, bei schwerwiegenden oder wiederholten Verstößen bis zu 1 Million Euro.