GwG (Geldwäschegesetz)

Abgrenzung: Aufsichtsrecht und Strafrecht

Zwei Regelungsebenen werden regelmäßig verwechselt, obwohl sie völlig unterschiedliche Fragen beantworten.

§ 261 StGB stellt Geldwäsche unter Strafe. Er richtet sich an jedermann und knüpft an eine konkrete Tat an — das Verbergen, Verschleiern, Sichverschaffen oder Verwenden von Vermögenswerten aus einer rechtswidrigen Tat. Rechtsfolge ist eine Strafe.

Das GwG begründet Präventionspflichten. Es richtet sich nur an bestimmte Verpflichtete und knüpft nicht an eine Straftat an, sondern an das Bestehen einer Geschäftsbeziehung oder Transaktion. Rechtsfolge eines Verstoßes ist keine Strafe, sondern ein Bußgeld und aufsichtsrechtliche Maßnahmen.

Die praktische Konsequenz: Ein Unternehmen kann gegen das GwG verstoßen, ohne dass jemals Geld gewaschen wurde — es genügt, dass die vorgeschriebenen Prüfungen unterblieben sind. Umgekehrt kann sich jemand nach § 261 StGB strafbar machen, der überhaupt kein Verpflichteter ist. Der typische Fall dafür ist der Finanzagent, der sein Privatkonto für fremde Zahlungen zur Verfügung stellt.

Für Beratungssituationen ist diese Trennung der erste Klärungspunkt: Geht es um eine drohende Sanktion der Aufsicht oder um ein Strafverfahren? Die Verteidigungsstrategien unterscheiden sich grundlegend.

Wer Verpflichteter ist

§ 2 GwG zählt die Verpflichteten abschließend auf. Der Kreis ist weit und umfasst neben dem Finanzsektor auch zahlreiche Unternehmen und Berufsgruppen außerhalb davon.

Zum Finanzsektor gehören Kreditinstitute, Finanzdienstleistungsinstitute, Zahlungsdienstleister, E-Geld-Institute, Versicherungsunternehmen mit bestimmten Produkten, Kapitalverwaltungsgesellschaften — und Anbieter von Kryptowerte-Dienstleistungen. Mit der Einführung des MiCA-Regimes wurde diese Kategorie an die europäische Terminologie angepasst; sie erfasst insbesondere Verwahrung, Tausch und Transferdienstleistungen.

Außerhalb des Finanzsektors sind unter anderem verpflichtet: Rechtsanwälte, Notare, Wirtschaftsprüfer, Steuerberater — jeweils bei bestimmten Tätigkeiten wie der Mitwirkung an Immobilien- oder Unternehmenstransaktionen —, Immobilienmakler, Güterhändler ab bestimmten Barzahlungsschwellen, Kunstvermittler und Veranstalter von Glücksspielen.

Für Güterhändler ist eine Besonderheit bedeutsam: Wer Kryptowerte als Zahlung entgegennimmt, sollte prüfen, ob und ab welcher Schwelle Sorgfaltspflichten ausgelöst werden. Die Vorstellung, Kryptowerte seien insoweit privilegiert, trifft nicht zu.

Rechtsanwälte unterliegen einer zusätzlichen Besonderheit: Die Meldepflicht ist im Bereich der Rechtsberatung eingeschränkt, um das Mandatsverhältnis zu schützen. Diese Einschränkung greift jedoch nicht, wenn erkennbar zum Zweck der Geldwäsche beraten wird.

Risikomanagement als Ausgangspunkt

Das GwG folgt einem risikobasierten Ansatz. Der Umfang der Pflichten hängt vom Risiko ab, dem ein Verpflichteter ausgesetzt ist — und dieses Risiko muss er selbst ermitteln.

Grundlage ist die Risikoanalyse. Der Verpflichtete erfasst systematisch die Risiken seines Geschäfts, gegliedert nach Kunden, Produkten, Vertriebswegen und geografischen Bezügen, bewertet sie und dokumentiert das Ergebnis. Die Analyse ist regelmäßig zu aktualisieren und der Aufsicht auf Verlangen vorzulegen.

Aus ihr folgen die internen Sicherungsmaßnahmen: Grundsätze und Verfahren, ein Geldwäschebeauftragter mit ausreichenden Befugnissen, Schulung der Mitarbeiter, Zuverlässigkeitsprüfung des Personals und ein Verfahren, das Hinweise auf Verstöße ermöglicht.

Bei Kryptowerte-Dienstleistern ergeben sich aus dem risikobasierten Ansatz spezifische Anforderungen. Als erhöhtes Risiko gelten typischerweise Zuflüsse aus Mixing-Diensten, Bezüge zu sanktionierten Adressen, Transaktionen mit Privacy-Coins und Transfers von oder zu selbstverwahrten Wallets ohne erkennbaren wirtschaftlichen Hintergrund.

Ein häufiger Prüfungsmangel besteht darin, dass eine Risikoanalyse zwar existiert, aber nicht auf das konkrete Geschäft zugeschnitten ist. Eine übernommene Vorlage ohne Bezug zum tatsächlichen Kundenstamm erfüllt die Anforderung nicht.

Allgemeine Sorgfaltspflichten nach § 10 GwG

Die allgemeinen Sorgfaltspflichten sind der Kern des Gesetzes. Sie umfassen vier Elemente:

• Identifizierung des Vertragspartners und gegebenenfalls der für ihn auftretenden Person, anhand geeigneter Dokumente.
• Abklärung des wirtschaftlich Berechtigten — also der natürlichen Person, in deren Eigentum oder unter deren Kontrolle der Vertragspartner letztlich steht. Bei verschachtelten Strukturen ist das der aufwendigste Teil.
• Einholung von Informationen über Zweck und angestrebte Art der Geschäftsbeziehung, soweit sich diese nicht bereits eindeutig ergeben.
• Kontinuierliche Überwachung der Geschäftsbeziehung einschließlich der Transaktionen, um sicherzustellen, dass sie dem bekannten Kundenprofil entsprechen.

Ausgelöst werden diese Pflichten bei Begründung einer Geschäftsbeziehung, bei Gelegenheitstransaktionen ab bestimmten Schwellenwerten, bei Verdacht auf Geldwäsche oder Terrorismusfinanzierung unabhängig von jeder Schwelle sowie bei Zweifeln an der Richtigkeit zuvor erhobener Angaben.

Für Kryptowerte gelten teilweise niedrigere Schwellenwerte als im übrigen Bereich. Die konkreten Beträge haben sich mehrfach geändert und sind vor Anwendung am aktuellen Gesetzestext zu prüfen.

Können die Sorgfaltspflichten nicht erfüllt werden, darf die Geschäftsbeziehung nicht begründet und die Transaktion nicht durchgeführt werden. Eine bestehende Beziehung ist zu beenden. Diese Rechtsfolge wird in der Praxis häufig übersehen — sie ist zwingend und steht nicht im Ermessen des Verpflichteten.

Identifizierung in der Praxis

Die Identifizierung ist die am häufigsten geprüfte und zugleich fehleranfälligste Pflicht.

Bei natürlichen Personen sind Name, Geburtsort, Geburtsdatum, Staatsangehörigkeit und Anschrift zu erheben und anhand eines gültigen amtlichen Ausweises zu überprüfen. Bei juristischen Personen treten Firma, Rechtsform, Registernummer, Anschrift des Sitzes und die Namen der Mitglieder des Vertretungsorgans hinzu, überprüft anhand von Registerauszügen oder gleichwertigen Dokumenten.

Für die Überprüfung ohne persönliche Anwesenheit haben sich mehrere Verfahren etabliert. Videobasierte Verfahren, elektronische Identifizierung über den Personalausweis und qualifizierte elektronische Signaturen kommen in Betracht. Welche Verfahren im Einzelnen zulässig sind und welche Anforderungen an ihre Durchführung gestellt werden, ergibt sich aus den Vorgaben der Aufsicht und ändert sich mit dem Stand der Technik — hier lohnt der Blick in die jeweils aktuellen Verlautbarungen.

Bei Kryptowerte-Dienstleistern kommt eine Besonderheit hinzu, die im klassischen Geschäft fehlt: Die Identifizierung des Kunden sagt nichts darüber aus, wer über die Adressen verfügt, von denen oder zu denen transferiert wird. Ein identifizierter Kunde kann Mittel für einen Dritten bewegen. Die Travel Rule adressiert das für Transfers zwischen Dienstleistern; bei selbstverwahrten Wallets bleibt die Zuordnung eine eigenständige Prüfaufgabe.

Ein wiederkehrender Prüfungsmangel ist die fehlende Aktualisierung. Die Angaben sind in angemessenen Abständen zu überprüfen, insbesondere wenn sich das Kundenprofil erkennbar verändert hat. Eine Identifizierung aus dem Jahr der Kontoeröffnung genügt bei einer lange bestehenden Geschäftsbeziehung nicht.

Verstärkte Sorgfaltspflichten

§ 15 GwG verlangt zusätzliche Maßnahmen, wenn ein höheres Risiko besteht. Das Gesetz nennt Regelbeispiele, die stets ein höheres Risiko begründen.

Dazu zählen Geschäftsbeziehungen zu politisch exponierten Personen, deren Familienmitgliedern und nahestehenden Personen, Bezüge zu Drittstaaten mit hohem Risiko, deren Liste auf europäischer Ebene geführt wird, sowie ungewöhnlich große oder ungewöhnlich strukturierte Transaktionen ohne erkennbaren wirtschaftlichen Zweck.

Die verstärkten Pflichten umfassen typischerweise die Zustimmung eines Mitglieds der Führungsebene vor Begründung oder Fortführung der Beziehung, die Ermittlung der Herkunft der eingesetzten Vermögenswerte und eine engmaschigere laufende Überwachung.

Bei Kryptowerten hat die Herkunftsermittlung eine Besonderheit, die im klassischen Bankgeschäft fehlt: Die Vorgeschichte einer Adresse ist öffentlich einsehbar. Eine Exposure-Analyse zeigt, welcher Anteil eingehender Mittel aus problematischen Kategorien stammt. Wo diese Prüfung technisch möglich ist, verschiebt sich der Maßstab dessen, was als sorgfältig gilt — die Aussage, die Herkunft sei nicht feststellbar gewesen, überzeugt weniger als bei einer Bargeldeinzahlung.

Zu dokumentieren ist stets der Prüfzeitpunkt. Bewertungen von Adressen ändern sich, wenn nachträglich Sanktionen ergehen oder neue Zuordnungen bekannt werden. Wer belegen kann, was zum Entscheidungszeitpunkt erkennbar war, steht bei späterer aufsichtlicher Prüfung deutlich besser da.

Wirtschaftlich Berechtigter und Transparenzregister

Die Abklärung des wirtschaftlich Berechtigten ist der Teil der Sorgfaltspflichten, an dem die meisten Prüfungen ansetzen — weil er am leichtesten unterlaufen wird.

Wirtschaftlich Berechtigter ist die natürliche Person, in deren Eigentum oder unter deren Kontrolle der Vertragspartner letztlich steht oder auf deren Veranlassung eine Transaktion durchgeführt wird. Bei Gesellschaften knüpft das Gesetz an Beteiligungs- und Stimmrechtsschwellen sowie an Kontrolle auf sonstige Weise an. Lässt sich nach Ausschöpfung aller Möglichkeiten keine solche Person ermitteln, gilt der gesetzliche Vertreter als fiktiver wirtschaftlich Berechtigter.

Diese Auffangregelung wird häufig zu schnell herangezogen. Sie setzt voraus, dass tatsächlich alle Möglichkeiten ausgeschöpft wurden — und dass dies dokumentiert ist. Eine Berufung darauf, ohne dass eigene Ermittlungen erkennbar sind, wird von der Aufsicht regelmäßig beanstandet.

Das Transparenzregister erfasst Angaben zu wirtschaftlich Berechtigten von Vereinigungen. Verpflichtete müssen bei Begründung einer Geschäftsbeziehung einen Registerauszug einholen. Wichtig ist dabei: Das Register ersetzt die eigene Prüfung nicht. Stellt ein Verpflichteter Abweichungen zwischen den Registerangaben und seinen eigenen Erkenntnissen fest, muss er dies der registerführenden Stelle melden.

Bei Treuhandverhältnissen und mehrstufigen Beteiligungsketten über mehrere Jurisdiktionen ist die Ermittlung aufwendig. Genau solche Strukturen treten in Kryptosachverhalten gehäuft auf — ein Grund, warum bei entsprechenden Konstellationen regelmäßig verstärkte Sorgfaltspflichten auszulösen sind.

Verdachtsmeldung nach § 43 GwG

Die Meldepflicht ist das schärfste Instrument des Gesetzes und zugleich die häufigste Fehlerquelle.

Gemeldet werden muss, wenn Tatsachen vorliegen, die darauf hindeuten, dass ein Vermögensgegenstand aus einer strafbaren Handlung stammt, mit Terrorismusfinanzierung zusammenhängt oder der Vertragspartner seine Offenlegungspflicht zum wirtschaftlich Berechtigten nicht erfüllt hat. Die Schwelle liegt deutlich unterhalb eines strafprozessualen Anfangsverdachts — es genügen Anhaltspunkte.

Die Meldung erfolgt an die Zentralstelle für Finanztransaktionsuntersuchungen. Sie ist unverzüglich und elektronisch abzugeben. Es gibt keine Betragsgrenze. Die verbreitete Annahme, unterhalb bestimmter Beträge bestehe keine Meldepflicht, ist falsch — im Gegenteil ist die Aufteilung in kleine Beträge selbst ein anerkanntes Verdachtsmuster.

An die Meldung knüpft ein Durchführungsverbot an: Die Transaktion darf zunächst nicht ausgeführt werden, bis die Zentralstelle zustimmt oder eine gesetzliche Frist abgelaufen ist. Bei Kryptotransaktionen ist das praktisch anspruchsvoll, weil Kunden auf schnelle Ausführung eingestellt sind.

Der Verpflichtete darf den Betroffenen nicht informieren. Ein Verstoß gegen dieses Verbot ist eigenständig sanktioniert.

Eine in gutem Glauben erstattete Meldung führt nicht zur Verantwortlichkeit des Meldenden, auch wenn sich der Verdacht nicht bestätigt. Diese Freistellung ist wichtig: Im Zweifel ist die Meldung der sichere Weg.

Sanktionen und Bußgeldrisiko

Verstöße gegen das GwG sind Ordnungswidrigkeiten nach § 56 GwG. Der Katalog ist umfangreich und erfasst nahezu jede Pflichtverletzung — vom Fehlen der Risikoanalyse über unterlassene Identifizierung bis zur nicht abgegebenen Verdachtsmeldung.

Der Bußgeldrahmen ist gestaffelt. Bei schwerwiegenden, wiederholten oder systematischen Verstößen steigt er erheblich; für Verpflichtete des Finanzsektors kann er sich am Jahresumsatz orientieren und damit Beträge erreichen, die für ein Unternehmen existenzbedrohend sind.

Hinzu kommen Folgen jenseits des Bußgelds. Die Aufsicht kann Maßnahmen gegen die Geschäftsleitung ergreifen, bis hin zur Abberufung. Bestandskräftige Maßnahmen werden veröffentlicht — dieses sogenannte Naming and Shaming trifft Unternehmen häufig härter als der Geldbetrag.

Bemerkenswert ist, dass die Aufsicht in der Praxis überwiegend nicht wegen tatsächlicher Geldwäsche einschreitet, sondern wegen organisatorischer Mängel: fehlende oder unzureichende Risikoanalyse, nicht bestellter oder unzureichend ausgestatteter Geldwäschebeauftragter, unterbliebene Schulungen, lückenhafte Dokumentation. Das sind Mängel, die sich mit überschaubarem Aufwand vermeiden lassen.

Ausblick: das EU-Geldwäschepaket

Die Struktur, in der das GwG steht, ändert sich grundlegend. Das 2024 verabschiedete Geldwäschepaket der EU besteht aus einer unmittelbar geltenden Verordnung, einer neuen Richtlinie und der Errichtung einer europäischen Geldwäschebehörde.

Der entscheidende Unterschied: Die materiellen Sorgfaltspflichten werden künftig in einer Verordnung geregelt. Sie gelten damit unmittelbar und einheitlich in allen Mitgliedstaaten, statt über nationale Umsetzungsgesetze wie das GwG zu laufen. Die bisherigen Auslegungsunterschiede zwischen den Mitgliedstaaten entfallen weitgehend — für grenzüberschreitend tätige Verpflichtete eine erhebliche Vereinfachung.

Die neue Behörde mit Sitz in Frankfurt am Main erhält unmittelbare Aufsichtsbefugnisse über bestimmte grenzüberschreitend tätige Verpflichtete und koordiniert die nationalen Stellen. Zum Paket gehört außerdem eine EU-weite Obergrenze für Barzahlungen.

Die Anwendung erfolgt überwiegend erst mehrere Jahre nach Verabschiedung. Bis dahin bleibt das GwG maßgeblich. Für Verpflichtete empfiehlt sich dennoch, bei größeren organisatorischen Investitionen die künftige Struktur bereits mitzudenken — insbesondere bei der Auswahl von Systemen zur Transaktionsüberwachung.

Häufige Fragen

Was ist der Unterschied zwischen dem GwG und § 261 StGB?

Das GwG regelt Präventionspflichten für bestimmte Verpflichtete; ein Verstoß ist eine Ordnungswidrigkeit. § 261 StGB stellt Geldwäsche unter Strafe und richtet sich an jedermann. Ein Unternehmen kann gegen das GwG verstoßen, ohne dass je Geld gewaschen wurde — und umgekehrt kann sich jemand strafbar machen, der gar kein Verpflichteter ist.

Sind Kryptowerte-Dienstleister Verpflichtete nach dem GwG?

Ja. Sie gehören zum Finanzsektor im Sinne des § 2 GwG. Erfasst sind insbesondere Verwahrung, Tausch und Transferdienstleistungen. Die MiCA-Zulassung ersetzt die geldwäscherechtlichen Pflichten nicht, sondern tritt neben sie.

Ab welchem Betrag greifen die Sorgfaltspflichten?

Bei Begründung einer Geschäftsbeziehung unabhängig vom Betrag, bei Gelegenheitstransaktionen ab bestimmten Schwellenwerten — für Kryptowerte teilweise niedriger als im übrigen Bereich. Bei Verdacht gilt keine Schwelle. Die konkreten Beträge haben sich mehrfach geändert und sind am aktuellen Gesetzestext zu prüfen.

Gibt es eine Betragsgrenze für die Verdachtsmeldung?

Nein. § 43 GwG knüpft an Tatsachen an, die auf Geldwäsche hindeuten, nicht an einen Betrag. Die Aufteilung in kleine Beträge ist selbst ein anerkanntes Verdachtsmuster.

Darf ich den Kunden über eine Verdachtsmeldung informieren?

Nein. Das Informationsverbot ist eigenständig sanktioniert. Zugleich führt eine in gutem Glauben erstattete Meldung nicht zur Verantwortlichkeit des Meldenden, auch wenn sich der Verdacht nicht bestätigt.

Was passiert, wenn ich die Identität eines Kunden nicht klären kann?

Dann darf die Geschäftsbeziehung nicht begründet und die Transaktion nicht durchgeführt werden; eine bestehende Beziehung ist zu beenden. Diese Rechtsfolge ist zwingend und steht nicht im Ermessen des Verpflichteten.

Wie hoch sind die Bußgelder?

Gestaffelt, mit deutlich erhöhtem Rahmen bei schwerwiegenden, wiederholten oder systematischen Verstößen. Für Verpflichtete des Finanzsektors kann sich der Rahmen am Jahresumsatz orientieren. Hinzu kommen Maßnahmen gegen die Geschäftsleitung und die Veröffentlichung bestandskräftiger Entscheidungen.

Was ändert sich durch das EU-Geldwäschepaket?

Die materiellen Sorgfaltspflichten werden künftig in einer unmittelbar geltenden Verordnung geregelt statt über nationale Umsetzungsgesetze. Eine europäische Geldwäschebehörde mit Sitz in Frankfurt erhält eigene Aufsichtsbefugnisse. Die Anwendung erfolgt überwiegend erst mehrere Jahre nach Verabschiedung; bis dahin bleibt das GwG maßgeblich.

Reicht ein Auszug aus dem Transparenzregister zur Feststellung des wirtschaftlich Berechtigten?

Nein. Der Auszug ist einzuholen, ersetzt aber die eigene Prüfung nicht. Stellt der Verpflichtete Abweichungen zwischen Registerangaben und eigenen Erkenntnissen fest, muss er dies der registerführenden Stelle melden.

Wann darf der gesetzliche Vertreter als fiktiver wirtschaftlich Berechtigter angenommen werden?

Erst nachdem alle Möglichkeiten zur Ermittlung einer tatsächlichen natürlichen Person ausgeschöpft und die Bemühungen dokumentiert wurden. Eine Berufung auf die Auffangregelung ohne erkennbare eigene Ermittlungen wird von der Aufsicht regelmäßig beanstandet.

Muss eine einmal erfolgte Identifizierung aktualisiert werden?

Ja. Die Angaben sind in angemessenen Abständen zu überprüfen, insbesondere bei erkennbarer Veränderung des Kundenprofils. Eine Identifizierung aus dem Jahr der Kontoeröffnung genügt bei einer lange bestehenden Geschäftsbeziehung nicht.

Weiterführende Quellen

• Geldwäschegesetz (GwG), Gesetze im Internet: www.gesetze-im-internet.de
• § 2 GwG — Verpflichtete, Gesetze im Internet: www.gesetze-im-internet.de
• § 10 GwG — Allgemeine Sorgfaltspflichten, Gesetze im Internet: www.gesetze-im-internet.de
• § 15 GwG — Verstärkte Sorgfaltspflichten, Gesetze im Internet: www.gesetze-im-internet.de
• § 43 GwG — Meldepflicht bei Verdacht, Gesetze im Internet: www.gesetze-im-internet.de
• § 56 GwG — Bußgeldvorschriften, Gesetze im Internet: www.gesetze-im-internet.de
• § 261 StGB — Geldwäsche, Gesetze im Internet: www.gesetze-im-internet.de
• Verordnung (EU) 2024/1624 (EU-Geldwäscheverordnung), EUR-Lex: eur-lex.europa.eu
• Richtlinie (EU) 2024/1640 (Sechste EU-Geldwäscherichtlinie), EUR-Lex: eur-lex.europa.eu
• Verordnung (EU) 2024/1620 zur Errichtung der EU-Geldwäschebehörde (AMLA), EUR-Lex: eur-lex.europa.eu

Fachlich verantwortet von David Lüdtke, Finanz Forensik GmbH. Stand: 2026-08-11. Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.