Zum Hauptinhalt springen

Geldwaeschepraevention · Governance

EU-Hochrisikostaaten: Was die Geschäftsleitung entscheiden muss

Rechtsstand: September 2026 · EU-Liste zuletzt geändert mit Wirkung zum 29. Januar 2026 · BaFin-Rundschreiben 07/2026 (GW) vom 13. Juli 2026 · FATF-Erklärungen vom 19. Juni 2026 · Lesezeit: etwa 9 Minuten

Die Liste, nach der dein Haus steuert, ist nicht zwingend die Liste, nach der es geprüft wird. Zwischen der EU-Liste der EU-Hochrisikostaaten und den FATF-Listen liegt seit Juni 2026 eine größere Lücke als zuvor – und die Politik für diese Lücke ist eine Entscheidung der Geschäftsleitung, keine Einstellung im Monitoring-System.

Management Summary

Verstärkte Sorgfaltspflichten nach § 15 Abs. 5 GwG werden automatisch nur durch eine Liste ausgelöst: die Delegierte Verordnung (EU) 2016/1675 in der jeweils gültigen Fassung. Sie wurde zuletzt durch die Delegierten Verordnungen (EU) 2026/46 und (EU) 2026/83 geändert, beide in Kraft seit dem 29. Januar 2026. Die FATF-Listen sind rechtlich etwas anderes. Wer beide Systeme gleich behandelt, erfüllt entweder zu wenig oder zu viel – und beides fällt in der Prüfung auf.

Nach dem FATF-Plenum im Juni 2026 ist die Lücke konkret geworden. Algerien und Namibia stehen nicht mehr unter verstärkter FATF-Beobachtung, sind in der EU-Liste aber weiterhin aufgeführt; die Pflichten nach § 15 Abs. 5 GwG gelten dort unverändert fort. Umgekehrt hat die FATF Bosnien und Herzegowina sowie Irak neu unter Beobachtung gestellt – ohne dass daraus unmittelbare Handlungspflichten folgen. Die BaFin stellt das im Rundschreiben 07/2026 (GW) ausdrücklich klar.

Für Geschäftsleitung und Aufsichtsrat sind daraus drei Fragen abzuleiten, die nicht delegierbar sind: Wie behandelt das Haus Staaten in der Lücke zwischen beiden Listen? Wo verläuft die Grenze zwischen risikoorientierter Verschärfung und pauschalem Rückzug aus Geschäftsbeziehungen? Und welcher Prozess stellt sicher, dass eine Listenänderung im Haus tatsächlich einen Änderungsvorgang auslöst, dokumentiert und nachvollziehbar?

Der letzte Punkt wiegt am schwersten, weil die EU-Geldwäscheverordnung die Systematik in absehbarer Zeit umstellt. Entscheidungen, die heute auf eine bestimmte Länderliste zugeschnitten werden, sind dann Makulatur. Entscheidungen, die auf den Prozess zielen, tragen weiter.

Inhalt

EU-Hochrisikostaaten: zwei Listensysteme, zwei Rechtsfolgen

Grundlage ist Artikel 9 der Richtlinie (EU) 2015/849. Er ermächtigt die Europäische Kommission, Drittländer mit strategischen Mängeln in ihren Systemen zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung zu ermitteln. Das ist mit der Delegierten Verordnung (EU) 2016/1675 vom 14. Juli 2016 geschehen; der Anhang wird seither fortlaufend geändert.

Die deutsche Anknüpfung steht in § 15 Abs. 3 Nr. 2 GwG: Ist an einer Geschäftsbeziehung oder Transaktion ein in der Delegierten Verordnung genannter Drittstaat oder eine dort ansässige natürliche oder juristische Person beteiligt, sind mindestens sämtliche verstärkten Sorgfaltspflichten des § 15 Abs. 5 GwG zu erfüllen. Dazu gehören zusätzliche Informationen zu Vertragspartner und wirtschaftlich Berechtigtem, die Zustimmung eines Mitglieds der Führungsebene und eine verstärkte laufende Überwachung.

Was sich zum 29. Januar 2026 geändert hat

Zwei Delegierte Verordnungen wurden gleichzeitig wirksam. Die Delegierte Verordnung (EU) 2026/46 nimmt Russland auf – und zwar in einer eigenen Kategorie für Drittländer, die weder Gegenstand eines Aufrufs zum Handeln noch einer verstärkten Überwachung durch die FATF sind, deren FATF-Mitgliedschaft aber ausgesetzt ist. Die Delegierte Verordnung (EU) 2026/83 nimmt Bolivien und die Britischen Jungferninseln auf und streicht Burkina Faso, Mali, Mosambik, Nigeria, Südafrika und Tansania.

Der Fall Russland ist für die Systemsteuerung der wichtigste. Screening-Regeln, die ihre Trefferlogik allein an FATF-Listen hängen, erfassen ihn nicht. Wer sein Regelwerk nie gegen die Delegierte Verordnung selbst abgeglichen hat, hat hier eine Lücke, die keine Fehlermeldung erzeugt.

Was die FATF-Listen rechtlich bedeuten – und was nicht

Die FATF führt zwei Verzeichnisse. Für die Staaten, die einem Aufruf zum Handeln unterliegen, ruft sie zu Gegenmaßnahmen auf; das betrifft nach der Erklärung vom 19. Juni 2026 Nordkorea und Iran. Myanmar ist gesondert eingeordnet: Hier verlangt die FATF verstärkte Sorgfaltspflichten, ausdrücklich keine Gegenmaßnahmen, und kündigt an, im Oktober 2026 über Gegenmaßnahmen zu entscheiden, falls kein Fortschritt eintritt.

Für die Länder unter verstärkter Beobachtung gilt etwas anderes, das in der Praxis regelmäßig übersehen wird: Die FATF ruft für diese Gruppe nicht zur Anwendung verstärkter Sorgfaltspflichten auf. Sie bittet um Berücksichtigung in der Risikoanalyse und warnt davor, ganze Kundengruppen abzustoßen. Die BaFin formuliert es im Rundschreiben 07/2026 (GW) entsprechend: keine unmittelbaren Handlungspflichten, aber angemessene Berücksichtigung bei der Bewertung des Länderrisikos.

Die Lücke in beide Richtungen. Seit Juni 2026 stehen Algerien und Namibia nicht mehr unter verstärkter FATF-Beobachtung, bleiben aber in der EU-Liste – die Pflichten laufen weiter. Umgekehrt führt die FATF unter anderem Bosnien und Herzegowina, Irak, Kuwait und Papua-Neuguinea, die nicht in der Delegierten Verordnung stehen. Bulgarien steht als EU-Mitgliedstaat ohnehin außerhalb der Drittstaatensystematik.

Fristen und Zeitpunkte

ZeitpunktVorgangWirkung für Verpflichtete
29. Januar 2026Delegierte Verordnungen (EU) 2026/46 und (EU) 2026/83 in KraftNeue EU-Liste maßgeblich; Russland, Bolivien und Britische Jungferninseln lösen § 15 Abs. 5 GwG aus, sechs Staaten fallen heraus
19. Juni 2026FATF-Erklärungen zu schwarzer und grauer ListeBosnien und Herzegowina sowie Irak neu unter Beobachtung; Algerien und Namibia gestrichen – ohne Änderung der EU-Liste
13. Juli 2026BaFin-Rundschreiben 07/2026 (GW)Ersetzt die vorherigen Rundschreiben zu den EU- und FATF-Länderlisten; Verwaltungspraxis inhaltlich unverändert
Oktober 2026Nächste FATF-Bewertung zu Myanmar angekündigtBei ausbleibendem Fortschritt prüft die FATF Gegenmaßnahmen; Eskalationsstufe im eigenen Regelwerk vorsehen
2027Geltungsbeginn der EU-GeldwäscheverordnungUnmittelbare Geltung ohne nationalen Umsetzungsakt; die Anknüpfung an Hochrisikodrittländer wird neu gefasst

Die EU-Liste folgt der FATF mit Verzug und nicht deckungsgleich. Ein Turnus, der die eigene Prüfung an die FATF-Plenartermine koppelt, geht deshalb regelmäßig am auslösenden Rechtsakt vorbei.

Pflichten nach Funktion

Geschäftsleitung

Entscheidet die Politik, nicht den Einzelfall

Die Verantwortung für das Risikomanagement nach dem GwG liegt bei der Leitungsebene und ist nicht auf den Geldwäschebeauftragten verlagerbar. Konkret zu entscheiden sind der Umgang mit Staaten in der Lücke zwischen EU- und FATF-Liste, die Schwelle für eine Beendigung von Geschäftsbeziehungen und der Eskalationsweg bei Listenänderungen.

Hinzu kommt eine Einzelfallpflicht: § 15 Abs. 5 GwG verlangt die Zustimmung eines Mitglieds der Führungsebene zur Begründung oder Fortführung der Geschäftsbeziehung. Ohne dokumentierte Entscheidungsgrundlage ist das eine Unterschrift ohne Substanz.

Geldwäschebeauftragter

Setzt um und macht die Lücke sichtbar

Der Geldwäschebeauftragte nach § 7 GwG verantwortet die Umsetzung, nicht die Grundsatzentscheidung. Seine Aufgabe gegenüber der Leitungsebene besteht darin, die Divergenz zwischen den Listensystemen zu berichten und Entscheidungsbedarf auszulösen, statt ihn im Fachbereich zu absorbieren.

Praktisch heißt das: ein Abgleich gegen den Anhang der Delegierten Verordnung selbst, nicht gegen eine Zusammenfassung, und eine Vorlage, die Abweichungen zur FATF-Liste ausweist statt sie zu glätten.

Aufsichtsrat

Prüft, ob eine Entscheidung getroffen wurde

Das Überwachungsorgan muss die Politik für die Lücke nicht selbst festlegen. Es muss aber feststellen können, dass sie festgelegt wurde, von wem, wann und auf welcher Grundlage. Fehlt diese Spur, ist die Aussage, das Haus wende einen risikoorientierten Ansatz an, nicht überprüfbar.

Eine brauchbare Berichtsfrage lautet nicht „Welche Länder sind gelistet?“, sondern „Welche Länder behandeln wir strenger als rechtlich gefordert – und warum?“

Interne Revision

Prüft den Auslöser, nicht nur den Bestand

Ein Abgleich der aktuellen Länderliste im System gegen die aktuelle Delegierte Verordnung sagt wenig aus. Aussagekräftig ist die Rückverfolgung: Wie viele Tage lagen zwischen dem Inkrafttreten am 29. Januar 2026 und der Wirksamkeit im Monitoring? Wer hat freigegeben? Welche Bestandskunden wurden neu bewertet?

Ebenso prüfbar ist die Gegenrichtung – ob Entlistungen nachvollzogen wurden und ob dabei zwischen EU- und FATF-Entlistung unterschieden wurde.

Sechs Schwachstellen mit Normbezug

1. Der Auslöser wird an der FATF festgemacht

Pflichtauslöser ist ausschließlich die Delegierte Verordnung, § 15 Abs. 3 Nr. 2 GwG. Wer seinen Update-Prozess an FATF-Meldungen hängt, reagiert auf das falsche Ereignis – mal zu früh, mal gar nicht.

2. Entlistung wird als Entwarnung gelesen

Algerien und Namibia sind seit Juni 2026 nicht mehr unter FATF-Beobachtung, stehen aber weiter in der EU-Liste. Wer die FATF-Meldung als Signal zur Herabstufung nimmt, unterschreitet § 15 Abs. 5 GwG.

3. Graue Liste wird wie EU-Liste behandelt

Die FATF ruft für die Länder unter verstärkter Beobachtung ausdrücklich nicht zu verstärkten Sorgfaltspflichten auf. Pauschale Gleichbehandlung erzeugt Aufwand ohne Rechtsgrund und tendiert zum Rückzug aus ganzen Kundengruppen.

4. Sonderkategorien fallen durch das Raster

Russland ist über die Delegierte Verordnung (EU) 2026/46 gelistet, ohne auf einer FATF-Liste zu stehen. Regelwerke, die Kategorien statt des Verordnungsanhangs abbilden, erfassen den Fall nicht.

5. Führungsebenen-Zustimmung als Formalie

§ 15 Abs. 5 GwG verlangt eine Zustimmung, kein Abzeichnen. Ohne dokumentierte Grundlage – Herkunft der Vermögenswerte, Zweck der Beziehung, Restrisiko – entsteht ein Feststellungsrisiko in der Prüfung.

6. Die Risikoanalyse bildet zwei Systeme als eines ab

Die Risikoanalyse nach § 5 GwG muss beide Quellen mit unterschiedlicher Rechtsfolge tragen. Eine einzige Spalte „Hochrisikoland“ verliert genau die Unterscheidung, auf die es ankommt.

Quick-Check: Wo steht dein Haus?

Fünf Fragen zur Selbsteinschätzung. Wähle je Frage einen Zustand; die Empfehlung erscheint darunter. Die Auswahl bleibt in deinem Browser und wird nicht übertragen.

1. Woran hängt der Update-Prozess?

Erfüllt: Der Prozess reagiert auf die Veröffentlichung der Delegierten Verordnung im Amtsblatt. Prüfe ergänzend, ob die Reaktionszeit gemessen und berichtet wird.
Teilweise: Beide Quellen werden beobachtet, aber ohne klare Zuordnung der Rechtsfolge. Lege schriftlich fest, welches Ereignis welchen Vorgang auslöst.
Offen: Der Auslöser ist die FATF oder ein Dienstleister-Newsletter. Das ist die häufigste Ursache für verzögerte Umsetzung nach § 15 Abs. 3 Nr. 2 GwG. Vorrangig beheben.

2. Gibt es eine beschlossene Politik für die Lücke zwischen beiden Listen?

Erfüllt: Die Leitungsebene hat entschieden und die Entscheidung ist datiert. Halte sie mit jeder Listenänderung gegen die neue Lage.
Teilweise: Es gibt eine gelebte Praxis, aber keinen Beschluss. Der Aufsichtsrat kann sie damit nicht prüfen. Verschriftlichen und vorlegen.
Offen: Die Behandlung von FATF-only-Staaten entscheidet faktisch der Fachbereich. Das ist eine Leitungsaufgabe, die nach oben gehört.

3. Ist Russland im Regelwerk korrekt erfasst?

Erfüllt: Der Fall ist über die Delegierte Verordnung abgebildet, nicht über eine FATF-Kategorie. Prüfe die Abgrenzung zu den Sanktionsregelwerken.
Teilweise: Russland ist erfasst, aber über Sanktionslisten statt über die geldwäscherechtliche Anknüpfung. Beides ist erforderlich, mit getrennter Dokumentation.
Offen: Es besteht eine Regellücke ohne Fehlermeldung. Gleiche das Regelwerk gegen den Anhang der Delegierten Verordnung ab, nicht gegen eine Kategorienlogik.

4. Wird die Zustimmung der Führungsebene begründet dokumentiert?

Erfüllt: Herkunft der Vermögenswerte, Zweck und Restrisiko sind je Fall festgehalten. Prüfe die Stichprobenqualität über die Zeit.
Teilweise: Die Zustimmung liegt vor, die Grundlage ist verstreut. Führe sie in einem Entscheidungsvermerk zusammen.
Offen: Die Zustimmung nach § 15 Abs. 5 GwG ist ein Haken im System. Das trägt in einer Sonderprüfung nicht.

5. Unterscheidet die Risikoanalyse die beiden Listenquellen?

Erfüllt: Die Risikoanalyse nach § 5 GwG weist Rechtsgrund und Quelle getrennt aus. Ergänze eine Spalte für bewusste Übererfüllung.
Teilweise: Die Quellen sind genannt, die Rechtsfolge ist nicht differenziert. Trenne Pflicht von Vorsicht – sonst ist beides angreifbar.
Offen: Eine Sammelkategorie „Hochrisikoland“ verdeckt genau die Unterscheidung, nach der geprüft wird. Vorrangig nacharbeiten.

No-Regret-Maßnahmen

Vier Schritte, die unabhängig davon tragen, wie die EU-Geldwäscheverordnung die Länderlogik neu fasst. Sie zielen auf den Prozess, nicht auf den aktuellen Listenstand.

Schritt 1

Den Rechtsakt zur Quelle machen

Verankere den Anhang der Delegierten Verordnung (EU) 2016/1675 in der jeweils gültigen Fassung als maßgebliche Quelle – nicht eine Aufbereitung, nicht eine Dienstleisterliste. Aufbereitungen bleiben als Arbeitshilfe zulässig, tragen aber nicht die Dokumentation.

Schritt 2

Zwei Spalten statt einer

Trenne in Risikoanalyse, Kundenklassifizierung und Monitoring nach Rechtsgrund: EU-Liste mit Pflichtfolge, FATF-Beobachtung als Risikofaktor. Erst diese Trennung macht bewusste Übererfüllung als Entscheidung sichtbar statt als Fehler.

Schritt 3

Die Lücke einmal beschließen

Ein Leitungsbeschluss, wie mit Staaten in der Lücke umgegangen wird, mit Datum und Begründung. Er ersetzt die Diskussion bei jeder Listenänderung und ist das Dokument, nach dem Revision und Aufsicht fragen.

Schritt 4

Reaktionszeit messen

Erfasse die Zeit zwischen Inkrafttreten einer Änderung und ihrer Wirksamkeit im System als Kennzahl. Sie ist einfach zu erheben, in der Prüfung sofort verständlich und der beste Frühindikator für einen brechenden Prozess.

Fazit

  • Nur die EU-Liste löst Pflichten aus. § 15 Abs. 3 Nr. 2 GwG knüpft an die Delegierte Verordnung an, nicht an die FATF.
  • Die Lücke ist größer geworden. Seit Juni 2026 weichen die Listen in beide Richtungen voneinander ab.
  • Übererfüllung ist kein sicherer Weg. Pauschale Gleichbehandlung der grauen Liste widerspricht dem risikoorientierten Ansatz, den die FATF selbst einfordert.
  • Der Prozess ist der Prüfgegenstand. Nicht welche Länder im System stehen, sondern wie schnell und auf welcher Grundlage sie dorthin gelangt sind.

Für Geschäftsleitung und Aufsichtsrat sind EU-Hochrisikostaaten damit kein Listenthema, sondern eine Frage der Steuerung: Wer entscheidet die Politik für die Lücke, wer dokumentiert sie, und woran würde man merken, dass der Prozess nicht mehr trägt? Wer diese drei Fragen beantworten kann, ist auf die Umstellung durch die EU-Geldwäscheverordnung vorbereitet – unabhängig davon, wie die Länderliste dann aussieht.

Häufige Fragen

Welche Länderliste löst die verstärkten Sorgfaltspflichten aus?

Ausschließlich die EU-Liste. § 15 Abs. 3 Nr. 2 GwG knüpft an die Drittstaaten mit hohem Risiko an, die in der Delegierten Verordnung (EU) 2016/1675 in der jeweils gültigen Fassung genannt sind. Für Staaten, die nur im FATF-Statement zu den Ländern unter verstärkter Beobachtung stehen, bestehen nach dem BaFin-Rundschreiben 07/2026 (GW) keine unmittelbaren Handlungspflichten.

Was gilt für Staaten, die die FATF entlistet hat, die EU aber weiter führt?

Die Pflichten bleiben bestehen. Maßgeblich ist die Delegierte Verordnung, nicht die FATF-Liste. Nach dem FATF-Plenum im Juni 2026 trifft das auf Algerien und Namibia zu: Beide stehen nicht mehr unter verstärkter FATF-Beobachtung, sind in der EU-Liste aber weiterhin aufgeführt. Bis die Kommission die Delegierte Verordnung ändert, greift § 15 Abs. 5 GwG unverändert.

Müssen wir die graue FATF-Liste ignorieren?

Nein, aber sie ist kein Pflichtauslöser. Die BaFin erwartet, dass die Lage dieser Staaten bei der Bewertung des Länderrisikos angemessen berücksichtigt wird. Die FATF selbst ruft für die Länder unter verstärkter Beobachtung ausdrücklich nicht zu verstärkten Sorgfaltspflichten auf und warnt davor, ganze Kundengruppen abzustoßen.

Warum steht Russland auf der EU-Liste, obwohl die FATF es nicht listet?

Die Kommission hat mit der Delegierten Verordnung (EU) 2026/46 eine eigene Kategorie geschaffen: Drittländer, die weder Gegenstand eines Aufrufs zum Handeln noch einer verstärkten Überwachung durch die FATF sind, deren FATF-Mitgliedschaft aber ausgesetzt ist. Screening-Regeln, die allein an FATF-Listen anknüpfen, erfassen diesen Fall nicht.

Welche Entscheidung liegt tatsächlich bei der Geschäftsleitung?

Drei: die Politik für die Lücke zwischen EU- und FATF-Liste, die Grenze zwischen risikoorientierter Verschärfung und pauschalem Rückzug aus Geschäftsbeziehungen, und der Prozess, mit dem Listenänderungen ausgelöst und dokumentiert werden. Hinzu kommt die Zustimmung eines Mitglieds der Führungsebene nach § 15 Abs. 5 GwG im Einzelfall.

Was ändert die EU-Geldwäscheverordnung an dieser Systematik?

Die EU-Geldwäscheverordnung gilt unmittelbar und ohne nationalen Umsetzungsakt; die Anknüpfung an Hochrisikodrittländer wird neu gefasst. Der Geltungsbeginn liegt im Jahr 2027. Entscheidungen, die jetzt getroffen werden, sollten deshalb auf den Prozess zielen und nicht auf die konkrete Länderliste.

Quellen

Primärquellen, abgerufen am 6. September 2026.

Verwandte Inhalte

EU-Hochrisikostaaten: Pflichten der Geschäftsleitung

Umsetzung, Auslagerung oder Prüfung deiner Länderrisiko-Prozesse: zu den No-Regret-Maßnahmen