Zum Hauptinhalt springen
Die EU-Geldwäscheverordnung (AMLR), Verordnung (EU) 2024/1624, fasst die Vorschriften zur Erfüllung der Sorgfaltspflichten gegenüber Kunden (CDD) in einem unmittelbar geltenden Rechtsakt zusammen. Sie verpflichtet Kredit- und Finanzinstitute einschließlich Anbieter von Krypto-Dienstleistungen (CASPs), Anbieter von Glücksspieldiensten sowie die weiteren in Artikel 3 genannten Verpflichteten. Sie trat am 9. Juli 2024 in Kraft und gilt ab dem 10. Juli 2027. Bis dahin gelten die nationalen Gesetze zur Umsetzung der aktuellen Richtlinie fort. Diese Seite richtet sich an Entwickler und Compliance-Ingenieure, die die Anforderungen technisch umsetzen müssen. Jeder Abschnitt erläutert die Vorgaben der Verordnung, nennt den jeweiligen Artikel und zeigt den Workflow-Schritt, den API-Endpoint oder den Webhook von Didit, den Sie für diesen Teil nutzen können. Einen geschäftlichen Überblick finden Sie auf der AMLR-Lösungsseite. Zuletzt überprüft: 2. Oktober 2026.
Didit stellt die Prüfungen und die Nachweise bereit. Sie bleiben der Verpflichtete. Sie legen das Risikoprofil des Kunden fest, Sie entscheiden über das Onboarding und Sie haften vollumfänglich für jede ausgelagerte Aufgabe (Artikel 18). Die Nutzung von Didit führt allein nicht dazu, dass Ihr Unternehmen die AMLR einhält. Diese Seite stellt keine Rechtsberatung dar: Stimmen Sie die Anwendung der einzelnen Bestimmungen auf Ihr Unternehmen mit Ihrem Rechtsbeistand und Ihrer Aufsichtsbehörde ab.

Was die AMLR auf einen Blick verlangt

End-to-End-Ablauf

Ihr Backend erstellt eine Sitzung, der Benutzer schließt den Workflow ab, Didit benachrichtigt Sie und Sie rufen die vollständige Entscheidung ab. Die Onboarding-Entscheidung verbleibt bei Ihrem Team. Die Überwachung wird nach dem Onboarding fortgesetzt.

Wann die Sorgfaltspflichten gelten

Artikel 19 legt fest, wann Sie die Sorgfaltspflichten gegenüber Kunden anwenden müssen: bei der Begründung einer Geschäftsbeziehung; bei einer gelegentlichen Transaktion von mindestens 10.000 EUR, sei es in einem einzigen Vorgang oder in miteinander verknüpften Transaktionen; bei Verdacht auf Geldwäsche oder Terrorismusfinanzierung, unabhängig vom Betrag; und bei Zweifeln an bereits vorliegenden Identifikationsdaten. In bestimmten Sektoren gelten niedrigere Schwellenwerte: 1.000 EUR bei gelegentlichen Geldtransfers und für CASPs, 3.000 EUR bei gelegentlichen Bartransaktionen (mindestens Identifizierung und Verifizierung) und 2.000 EUR im Glücksspielsektor. Ein CASP muss den Kunden auch bei einer gelegentlichen Transaktion unter 1.000 EUR zumindest identifizieren und verifizieren. Didit entscheidet nicht darüber, ob ein Auslöser vorliegt. Sie steuern das Routing nach Transaktionsart und -betrag in Ihrem eigenen Code und starten anschließend den passenden Workflow. Eine minimale Routing-Skizze für Ihr Backend. Sie deckt nicht jeden Auslöser in Artikel 19 ab (beispielsweise die Beteiligung an der Gründung einer juristischen Person), und die für Sie geltenden Branchenvorschriften können abweichen:

Personen identifizieren und verifizieren

Artikel 22 Absatz 1 listet die Daten auf, die Sie über eine natürliche Person erfassen müssen: alle Vornamen und Nachnamen, Geburtsort und vollständiges Geburtsdatum, Staatsangehörigkeiten, die nationale Identifikationsnummer (sofern zutreffend), der gewöhnliche Wohnsitz und, sofern vorhanden, die Steuernummer. Artikel 22 Absatz 6 nennt anschließend zwei Mittel zur Identitätsüberprüfung: ein Ausweisdokument, einen Reisepass oder ein gleichwertiges Dokument oder eine elektronische Identifizierung (eID), die den eIDAS-Vertrauensniveaus „substanziell“ oder „hoch“ entspricht, zusammen mit entsprechenden qualifizierten Vertrauensdiensten.

Datenpunkte im Vergleich zur Entscheidung

Die von GET /v3/session/{sessionId}/decision/ zurückgegebene Entscheidung enthält einen Eintrag pro Identitätsprüfung in id_verifications[].

Die zwei Wege

Das Vertrauensniveau, das jede Wallet meldet, ist auf der Seite Digitale ID-Wallets aufgeführt. Ob ein bestimmtes Verfahren Artikel 22 Absatz 6 Buchstabe b für Ihren Anwendungsfall erfüllt, müssen Sie selbst beurteilen. Didit ist die Integration, über die Ihr Kunde die Wallet nutzen kann; es ist selbst weder ein qualifizierter Vertrauensdiensteanbieter noch ein eID-System.

Was die technischen Regulierungsstandards im Entwurf zur Remote-Verifizierung sagen

Die technischen Regulierungsstandards (RTS) zur Sorgfaltspflicht gegenüber Kunden gemäß Artikel 28 Absatz 1 werden von der Anti-Money Laundering Authority (AMLA) verfasst. Der Abschlussbericht der AMLA datiert vom 30. September 2026 und wurde am 1. Oktober 2026 angekündigt. Es handelt sich um einen endgültigen Entwurf, der der Europäischen Kommission vorgelegt wurde. Er ist nicht verabschiedet und stellt kein geltendes Recht dar. Die Kommission kann ihn noch ändern, und der Entwurf sieht vor, dass er sechs Monate nach seinem Inkrafttreten gilt. Dieser Entwurf behandelt die beiden Mittel in Artikel 22 Absatz 6 als Standard. Die Remote-Verifizierung mit einem Dokument ist eine alternative Lösung für den Fall, dass von der Person vernünftigerweise nicht erwartet werden kann, das Dokument persönlich vorzulegen, und sie keinen Zugang zu einer qualifizierenden eID hat (Entwurf Artikel 7 Absatz 1). Wenn Sie die Alternative nutzen, verlangt der Entwurf von Ihnen, begründen zu können, warum, und Ihrer Aufsichtsbehörde nachzuweisen, dass die Lösung über Sicherheitsvorkehrungen verfügt (Entwurf Artikel 7 Absätze 2 und 3). Der Entwurf ist technologieneutral: Er nennt keine Technik. Wie die im Entwurf genannten Schutzmaßnahmen mit den Aufzeichnungen einer Didit-Sitzung übereinstimmen: Den Grund, warum ein Kunde den Weg über das Dokument anstelle von eID gewählt hat, müssen Sie dokumentieren. Speichern Sie ihn in Ihrem eigenen System oder hängen Sie ihn beim Erstellen über metadata an die Sitzung an.

Unternehmen und wirtschaftlich Berechtigte verifizieren

Für eine juristische Person verlangt Artikel 22 Absatz 1 Buchstabe b die Rechtsform und den Namen, die Anschrift des satzungsmäßigen Sitzes, die gesetzlichen Vertreter sowie, soweit vorhanden, die Registernummer, die Steuernummer und den Legal Entity Identifier. Sie müssen zudem die wirtschaftlich Berechtigten ermitteln und angemessene Maßnahmen zu deren Verifizierung ergreifen, um die Eigentümer- und Kontrollstruktur zu verstehen (Artikel 20 Absatz 1 Buchstabe b). Ein wirtschaftlich Berechtigter ist eine natürliche Person, die direkt oder indirekt Eigentümer von „mindestens 25 %“ der Anteile, Stimmrechte oder sonstigen Eigentumsrechte ist (Artikel 52 Absatz 1) oder die das Unternehmen über Eigentumsrechte oder auf sonstige Weise kontrolliert (Artikel 51 und 53). Die Kontrolle wird parallel zur Eigentümerstruktur beurteilt. Vier Punkte, die bei der Konzeption zu beachten sind:
  • Den Schwellenwert legen Sie fest. Die AMLR-Formulierung lautet „mindestens 25 %“, nicht „mehr als 25 %“. Der UBO-Schwellenwert im Workflow ist konfigurierbar; stellen Sie ihn entsprechend ein und passen Sie ihn an, falls Ihre internen Richtlinien strenger sind.
  • Ein Register allein reicht nicht aus. Artikel 22 Absatz 7 verpflichtet Sie dazu, die zentralen Register zusätzlich zur Verifizierung der wirtschaftlich Berechtigten zu konsultieren. Die Meldung von Unstimmigkeiten an das Register innerhalb von 14 Kalendertagen (Artikel 24) liegt in Ihrer Verantwortung.
  • Ein leeres Registerergebnis ist kein Beweis dafür, dass ein Unternehmen keine Eigentümer hat. Ein Register enthält für ein bestimmtes Unternehmen oder Land möglicherweise keine Eigentümerdaten. Wenn Sie keinen wirtschaftlich Berechtigten ermitteln, verlangt Artikel 22 Absatz 2, dies zu dokumentieren und stattdessen die leitenden Führungskräfte zu identifizieren und zu verifizieren.
  • Registerüberwachung folgt in Kürze. Eine kontinuierliche Überwachung von Registeränderungen ist derzeit noch nicht verfügbar. Führen Sie bis dahin die Unternehmensverifizierung gemäß Ihrem Aktualisierungsplan erneut durch.

Auf Sanktionen und PEPs prüfen

Sie müssen überprüfen, ob der Kunde oder seine wirtschaftlich Berechtigten gezielten finanziellen Sanktionen unterliegen und ob sanktionierte Personen einen Kunden, der eine juristische Person ist, kontrollieren oder mehr als 50 % an ihm halten (Artikel 20 Absatz 1 Buchstabe d). In der AMLR beziehen sich gezielte finanzielle Sanktionen auf EU-Sanktionen. Zudem müssen Sie ermitteln, ob der Kunde oder ein wirtschaftlich Berechtigter eine politisch exponierte Person (PEP), ein Familienmitglied oder eine bekanntermaßen nahestehende Person ist (Artikel 20 Absatz 1 Buchstabe g). Für PEPs verlangt Artikel 42 zusätzlich die Genehmigung der oberen Führungsebene, Maßnahmen zur Feststellung der Herkunft des Vermögens und der Mittelherkunft sowie eine verstärkte laufende Überwachung.
Die Erfassung eines Treffers als Confirmed Match oder False Positive löst einen data.updated-Webhook aus und ändert die Sitzungsentscheidung nicht automatisch. Die Genehmigung einer Geschäftsbeziehung mit einer PEP durch die obere Führungsebene liegt in Ihrem eigenen Prozess: Leiten Sie die Sitzung zur Prüfung weiter und dokumentieren Sie, wer die Genehmigung erteilt hat.

Laufend überwachen und aktualisieren

Artikel 26 verlangt die laufende Überwachung der Geschäftsbeziehung und aktuelle Kundeninformationen. Der Zeitraum zwischen Aktualisierungen darf 1 Jahr bei Kunden mit höherem Risiko und 5 Jahre bei allen anderen Kunden nicht überschreiten (Artikel 26 Absatz 2), und Sie müssen auch aktualisieren, wenn sich die Umstände des Kunden ändern oder Sie von einer relevanten Tatsache erfahren (Artikel 26 Absatz 3). Sanktionsprüfungen müssen regelmäßig wiederholt werden, und bei Kredit- und Finanzinstituten bei jeder neuen Benennung (Artikel 26 Absatz 4).
Das Umschalten der Überwachung löst keinen eigenen Webhook aus. Sobald die Überwachung aktiviert ist, lösen Re-Screenings die üblichen Ereignisse status.updated und data.updated aus.

Die 1-Jahres- und 5-Jahres-Aktualisierung im eigenen System planen

Der Aktualisierungszyklus hängt von der Risikoklasse ab, die Sie zuweisen, und diese Entscheidung kann nicht ausgelagert werden. Didit speichert Ihre Risikoklasse nicht und plant die periodische Aktualisierung nicht für Sie.
1

Risikoklasse und Datum der letzten Aktualisierung speichern

Bewahren Sie diese in Ihrem Kundendatensatz auf, neben den vendor_data, die Sie an Didit senden.
2

Geplanten Job ausführen

Wählen Sie Kunden aus, deren letzte Aktualisierung älter als Ihr Intervall ist: höchstens 1 Jahr bei höherem Risiko, höchstens 5 Jahre beim Rest. Dies sind Höchstfristen, ein kürzeres Intervall liegt also in Ihrer Entscheidung.
3

Neue Sitzung erstellen

Rufen Sie POST /v3/session/ mit denselben vendor_data und Ihrem Aktualisierungs-Workflow auf und senden Sie dem Kunden anschließend die url.
4

Auch auf Ereignisse reagieren

Behandeln Sie "Kyc Expired", einen Überwachungs-Webhook, der eine Sitzung auf "In Review" setzt, sowie eine vom Kunden gemeldete Änderung als Auslöser für eine frühere Aktualisierung.

Zweck und Mittelherkunft

Bevor Sie eine Geschäftsbeziehung eingehen oder eine gelegentliche Transaktion durchführen, verlangt Artikel 25 von Ihnen, deren Zweck und beabsichtigte Art zu verstehen. Soweit erforderlich holen Sie Informationen über den Zweck und die wirtschaftliche Begründung, den geschätzten Umfang der Aktivitäten, die Mittelherkunft, das Ziel der Mittel sowie die geschäftliche Tätigkeit oder den Beruf des Kunden ein. „Soweit erforderlich“ bedeutet, dass der Umfang risikobasiert ist. Eine verstärkte Sorgfaltspflicht kann auch die Vermögensherkunft umfassen (Artikel 34 Absatz 4). Vorlagen sind ein Ausgangspunkt. Passen Sie die Fragen an Ihre Risikobewertung an und speichern Sie die Antworten in der Sitzung, damit sie sich im selben Datensatz wie die Identitätsprüfung befinden.

Transaktionen überwachen und melden

Die laufende Überwachung erstreckt sich auf die während der Geschäftsbeziehung durchgeführten Transaktionen, damit sie mit dem übereinstimmen, was Sie über den Kunden wissen (Artikel 26 Absatz 1). Wenn Sie wissen, vermuten oder berechtigten Grund zu der Annahme haben, dass Gelder Erträge aus kriminellen Aktivitäten darstellen oder mit Terrorismusfinanzierung in Verbindung stehen, melden Sie dies Ihrer Financial Intelligence Unit (FIU) gemäß Artikel 69.
Zwei Einschränkungen, die Sie beachten sollten:
  • Sie genehmigen die Erkennungskriterien. Die Genehmigung der Kriterien zur Erkennung verdächtiger oder ungewöhnlicher Transaktionen kann nicht ausgelagert werden (Artikel 18 Absatz 3 Buchstabe f). Prüfen Sie jede Regel, die Sie einrichten, und halten Sie diese Genehmigung in Ihren eigenen Richtlinien fest.
  • Sie erstatten die Meldung. Didit bereitet die Berichtsdateien aus dem Fall vor. Didit übermittelt nichts an eine FIU. Die Meldung erfolgt durch Ihren Compliance-Beauftragten über den Kanal Ihrer FIU.

Aufzeichnungen aufbewahren, dann löschen

Artikel 77 regelt Ihre Aufbewahrungspflicht. Sie bewahren die für die Sorgfaltspflichten gegenüber Kunden eingeholten Dokumente und Informationen, die Aufzeichnungen Ihrer Verdachtsprüfungen und die Transaktionsaufzeichnungen 5 Jahre lang auf. Die Frist beginnt mit der Beendigung der Geschäftsbeziehung, der Durchführung der gelegentlichen Transaktion oder der Ablehnung der Aufnahme der Beziehung (Artikel 77 Absatz 3). Nach Ablauf der 5 Jahre löschen Sie die personenbezogenen Daten, es sei denn, ein anderes Gesetz findet Anwendung oder eine Behörde fordert Sie auf, bestimmte Aufzeichnungen länger aufzubewahren. Die Frist beginnt mit einem Ereignis in Ihrem System: dem Ende der Beziehung. Didit kennt dieses Datum nicht, daher liegen die von Ihnen konfigurierte Datenaufbewahrung und die von Ihnen veranlassten Löschungen in Ihrer Verantwortung.
1

Wählen Sie ein Aufbewahrungsfenster, das nicht vorzeitig enden kann

Eine Sitzung erreicht das Ende des Zeitfensters und wird gelöscht. Wählen Sie ein Zeitfenster, das die Dauer Ihrer Kundenbeziehungen plus 5 Jahre abdeckt, oder lassen Sie es unbegrenzt und löschen Sie auf Abruf.
2

Erfassen Sie das Ende der Beziehung

Speichern Sie das Datum der Beendigung, der Transaktion oder der Ablehnung in Ihrem eigenen System. Damit beginnt Ihre Fünfjahresfrist.
3

Löschen Sie nach Ablauf der Frist

Rufen Sie DELETE /v3/session/{sessionId}/delete/ für jede Sitzung dieses Kunden auf. Die Löschung ist unumkehrbar und Medien-URLs lassen sich nicht mehr auflösen.
Audit-Logs und der Screening-Verlauf decken die 5-Jahres-Pflicht allein nicht ab. Audit-Logs sind je nach Ihrem Tarif 30 Tage bis 3 Jahre verfügbar, und Durchläufe des Screening-Verlaufs stehen standardmäßig zwei Jahre zur Verfügung. Wenn Ihre Aufbewahrungsrichtlinie darauf basiert, exportieren Sie sie in Ihre eigenen Unterlagen, bevor diese Zeiträume enden. Die Sitzungsaufzeichnungen im Rahmen Ihrer Aufbewahrungseinstellung bilden die Anforderungen aus Artikel 77 ab.

Menschliche Überprüfung automatisierter Entscheidungen

Artikel 76 Absatz 5 erlaubt es Ihnen, Entscheidungen zu treffen, die sich aus automatisierten Prozessen ergeben, einschließlich Profiling und KI-Systemen, und zwar unter drei Bedingungen. Die Daten sind auf Daten zur Erfüllung der Sorgfaltspflichten beschränkt. Jede Entscheidung über die Aufnahme, Ablehnung oder Fortführung einer Geschäftsbeziehung, die Durchführung oder Ablehnung einer gelegentlichen Transaktion oder die Änderung des Umfangs der Sorgfaltspflichten unterliegt einem maßgeblichen menschlichen Eingreifen. Und der Kunde kann eine Erklärung der Entscheidung erhalten und die Entscheidung anfechten.
Ein Sitzungsstatus von "Approved" oder "Declined" ist das Ergebnis der von Ihnen konfigurierten Prüfungen. Er dient als Eingabe für Ihre Onboarding-Entscheidung, welche gemäß Artikel 18 Absatz 3 bei Ihnen verbleibt. Entscheiden Sie gemeinsam mit Ihrer Rechtsabteilung, wo eine Person eingreifen muss, und binden Sie diesen Schritt dann in den Workflow und in Ihr eigenes Backoffice ein.

Auslagerung

Artikel 18 ermöglicht es Ihnen, Aufgaben, die sich aus der AMLR ergeben, an einen Dienstleister auszulagern. Er legt Bedingungen fest: Sie benachrichtigen Ihre Aufsichtsbehörde, bevor der Dienstleister seine Tätigkeit aufnimmt (Artikel 18 Absatz 1), Sie bleiben für die ausgelagerten Aufgaben voll haftbar (Artikel 18 Absatz 2), und Sie legen die Bedingungen in einer schriftlichen Vereinbarung fest und führen regelmäßige Kontrollen beim Dienstleister durch (Artikel 18 Absatz 4). Die Verordnung besagt zudem, dass die Nutzung von Software Dritter oder der Zugriff auf Datenbanken oder Screening-Dienste, bei denen Sie die Anforderung selbst erfüllen, keine Auslagerung darstellt (Erwägungsgrund 47). Ob Ihre Nutzung von Didit als Auslagerung gilt, hängt davon ab, wie Sie es einsetzen. AMLA-Leitlinien zur Auslagerung sollen bis zum 10. Juli 2027 vorliegen. Sechs Aufgaben können unter keinen Umständen ausgelagert werden (Artikel 18 Absatz 3). Sie verbleiben bei Ihnen:
  1. Der Vorschlag und die Genehmigung Ihrer unternehmensweiten Risikobewertung.
  2. Die Genehmigung Ihrer internen Grundsätze, Verfahren und Kontrollen.
  3. Die Entscheidung über das dem Kunden zuzuordnende Risikoprofil.
  4. Die Entscheidung über die Aufnahme einer Geschäftsbeziehung oder die Durchführung einer gelegentlichen Transaktion.
  5. Die Meldung verdächtiger Aktivitäten und schwellenwertbasierte Meldungen an die FIU.
  6. Die Genehmigung der Kriterien zur Erkennung verdächtiger oder ungewöhnlicher Transaktionen und Aktivitäten.
Die damit verbundenen Aufgaben können delegiert werden: Erhebung von Identitätsdaten, Durchführung der Dokumenten- oder eID-Verifizierung, Erfassung von Daten zu wirtschaftlich Berechtigten und Registerabfragen, Screening gegen Sanktions- und PEP-Listen, Durchführung der Transaktionsüberwachung anhand von Ihnen genehmigter Kriterien sowie Vorbereitung von Alerts und Nachweisen. Was Sie in Ihr Auslagerungsregister zu Didit aufnehmen sollten:

Referenz-Workflow

Ein Ausgangspunkt für einen Onboarding-Workflow für natürliche Personen. Passen Sie ihn an Ihre Risikobewertung an.
1

Workflow erstellen

Öffnen Sie in der Business Console Workflows und erstellen Sie einen Know-Your-Customer-Workflow (KYC). Verwenden Sie den visuellen Builder, wenn Sie Verzweigungen nach Land oder Ergebnis benötigen.
2

Identitätsmethoden pro Land auswählen

Aktivieren Sie im Schritt Ausweisverifizierung die digitalen ID-Wallets, die für die von Ihnen bedienten Länder verfügbar sind, und die Dokumentenerfassung als Weg für alle anderen. Siehe Methoden zur Ausweisverifizierung.
3

Dokument an die Person binden

Fügen Sie für den Dokumentenweg Liveness-Erkennung und Gesichtsabgleich hinzu sowie NFC, wenn das Dokument über einen Chip verfügt.
4

Adresse abdecken

Fügen Sie Adressnachweis für Kunden hinzu, deren Dokument keine Adresse enthält.
5

Screening und Überwachung

Fügen Sie AML-Screening hinzu, legen Sie die Schwellenwerte fest, die einen Treffer zur Prüfung weiterleiten, und aktivieren Sie die laufende Überwachung.
6

Zweck und Mittelherkunft abfragen

Fügen Sie einen Fragebogen aus den Vorlagen für Kontozweck und Mittelherkunft hinzu.
7

Webhooks abonnieren

Erstellen Sie ein Webhook-Ziel, das status.updated und data.updated abonniert. Siehe Webhooks.
8

Workflow veröffentlichen und Workflow-ID kopieren

Veröffentlichen Sie den Workflow und verwenden Sie dessen workflow_id, wenn Sie Sitzungen erstellen.
Erstellen Sie eine Sitzung:
Antwort (201 Created):
Leiten Sie den Kunden zu url weiter. Wenn für die Sitzung eine Entscheidung vorliegt, sendet Didit ein status.updated-Webhook. Ein Auszug:
Prüfen Sie die Signatur, verwenden Sie event_id als Idempotenzschlüssel und gleichen Sie status als exakte Zeichenkette ab, bei der die Groß- und Kleinschreibung berücksichtigt wird. Die Werte sind in Verifizierungsstatus aufgeführt. Rufen Sie anschließend die vollständige Entscheidung mit GET /v3/session/{sessionId}/decision/ ab und übergeben Sie sie an die für Ihre Onboarding-Entscheidung zuständige Person oder den dafür zuständigen Prozess.

Zeitplan

FAQ

Die AMLR trat am 9. Juli 2024 in Kraft und gilt ab dem 10. Juli 2027. Für Fußballvermittler und Profifußballvereine gilt sie ab dem 10. Juli 2029. Bis zum 10. Juli 2027 gelten die nationalen Gesetze zur Umsetzung der aktuellen Richtlinie.
Die AMLR ist die Verordnung (EU) 2024/1624. Sie enthält die Vorschriften für Verpflichtete und gilt unmittelbar, ohne nationale Umsetzung. Die AMLD6 ist die Richtlinie (EU) 2024/1640. Sie richtet sich an die Mitgliedstaaten und regelt Aufsichtsbehörden, Register und Sanktionen, wobei die Frist zur Umsetzung am 10. Juli 2027 endet. Die AMLA ist die durch die Verordnung (EU) 2024/1620 geschaffene Anti-Geldwäsche-Behörde mit Sitz in Frankfurt. Sie erarbeitet die technischen Standards sowie Leitlinien und wird ab 2028 eine ausgewählte Gruppe von Finanzunternehmen direkt beaufsichtigen.
Ja, unter bestimmten Voraussetzungen. Artikel 22 Absatz 6 nennt zwei Mittel: ein Ausweisdokument oder eine eID mit dem Sicherheitsniveau „substanziell“ oder „hoch“. Der endgültige Entwurf der AMLA-Standards vom 30. September 2026 sieht die Fernverifizierung mit einem Dokument weiterhin als Alternative vor, wenn von der Person vernünftigerweise nicht erwartet werden kann, dass sie das Dokument physisch vorlegt, und sie keinen Zugang zu einer qualifizierenden eID hat. Sie müssen deren Nutzung begründen und die Schutzmaßnahmen nachweisen können. Der Entwurf nennt keine spezifische Technik und ist noch kein geltendes Recht.
Nein. Die AMLA hat ihren Entwurf am 30. September 2026 finalisiert und an die Europäische Kommission übermittelt. Verbindlich wird er erst, wenn die Kommission ihn annimmt und er im Amtsblatt veröffentlicht wird; die Kommission kann ihn noch ändern. Der Entwurf sieht vor, dass er sechs Monate nach seinem Inkrafttreten anwendbar wird, sodass es noch kein fixes Kalenderdatum gibt.
Die AMLR selbst nennt die eID als eines von zwei Verifizierungsmitteln. Sie verpflichtet nicht jeden Verpflichteten, die EUDI Wallet zu akzeptieren. Die Akzeptanzpflicht ergibt sich aus der eIDAS-Verordnung: Private vertrauende Parteien, die für die Online-Identifizierung eine starke Benutzerauthentifizierung verlangen müssen, akzeptieren die Wallet auf Anfrage des Benutzers spätestens 36 Monate nach Inkrafttreten der Durchführungsrechtsakte; Kleinst- und Kleinunternehmen sind davon ausgenommen. Ob dies Ihr Onboarding betrifft, sollten Sie rechtlich prüfen lassen. In Didit ist die EUDI Wallet Demnächst verfügbar. Die heute in der Produktion verfügbaren Wallets sind MitID, BankID Schweden, Finnish Trust Network, Smart-ID und Mobile-ID.
Er liegt bei „25 % oder mehr“ der Geschäftsanteile, Stimmrechte oder sonstigen Eigentumsrechte (Artikel 52 Absatz 1), wobei die Kontrolle parallel geprüft wird. Artikel 52 Absatz 2 erlaubt es der Kommission, für Kategorien von Unternehmen mit höherem Risiko per delegiertem Rechtsakt einen niedrigeren Schwellenwert von maximal 15 % festzulegen. Ein solcher Rechtsakt existiert bislang nicht. In Didit ist der UBO-Schwellenwert eine Einstellung in Ihrem KYB-Workflow.
Speichern Sie die Risikoklasse und das Datum der letzten Aktualisierung des Kunden in Ihrem eigenen System, führen Sie einen geplanten Job aus, der Kunden nach Ablauf Ihres Intervalls auswählt, und erstellen Sie mit POST /v3/session/ und denselben vendor_data eine neue Sitzung. Fügen Sie Ereignisauslöser hinzu: den Status "Kyc Expired", einen Monitoring-Webhook oder eine vom Kunden gemeldete Änderung. Die 1-Jahres- und 5-Jahres-Werte in Artikel 26 Absatz 2 sind Höchstfristen.
Aufgaben wie die Erfassung von Identitätsdaten, die Durchführung der Verifizierung, Registerabfragen, das Screening und die Ausführung der Transaktionsüberwachung anhand von Ihnen genehmigter Kriterien. Sechs Aufgaben dürfen nicht ausgelagert werden: die Genehmigung der unternehmensweiten Risikoanalyse, die Genehmigung interner Richtlinien, die Festlegung des Risikoprofils des Kunden, die Entscheidung über das Onboarding, die Meldung an die FIU und die Genehmigung der Erkennungskriterien. Sie bleiben für das, was Sie auslagern, voll verantwortlich (Artikel 18 Absatz 2).
Die 5 Jahre beginnen mit der Beendigung der Geschäftsbeziehung, nicht mit dem Zeitpunkt der Verifizierung des Kunden. Wählen Sie in Business Console → App Settings → Data retention ein Zeitfenster, das lang genug ist, um die Geschäftsbeziehung plus 5 Jahre abzudecken, oder lassen Sie es unbegrenzt. Erfassen Sie das Beendigungsdatum in Ihrem eigenen System und rufen Sie DELETE /v3/session/{sessionId}/delete/ auf, sobald Ihre Frist abgelaufen ist. Exportieren Sie Audit-Logs und den Screening-Verlauf, falls Ihre Richtlinien zur Datenaufbewahrung darauf beruhen.
Nein. Compliance ist eine Eigenschaft Ihres Gesamtprogramms: Ihrer Risikobewertung, Ihrer Richtlinien, Ihrer Entscheidungen und Ihrer Kontrollen. Didit stellt Ihnen die Prüfungen, die Überwachung und die Nachweise bereit, auf denen diese Teile des Programms basieren. Es gibt keine AMLR-Zertifizierung oder -Genehmigung für Anbieter oder Tools.

Weiterführende Ressourcen

Übersicht über die AMLR-Lösung

Die geschäftliche Perspektive: für wen die AMLR gilt und wie Didit sich einfügt.

Methoden der Ausweisverifizierung

Dokumentenerfassung, dokumentenlose Abfrage und digitale Identitäts-Wallets.

Digitale Identitäts-Wallets

Verfügbarkeit und Vertrauensniveau pro Wallet.

Unternehmensverifizierung (KYB)

Registerabfragen, Eigentümerstruktur und Schlüsselpersonen.

AML-Screening

Screening auf Sanktionen, PEPs und Beobachtungslisten mit laufender Überwachung.

Transaktionsüberwachung

Regeln, Alerts, Fälle und Vorbereitung von FIU-Meldungen.

Fragebögen

Vorlagen für den Zweck der Geschäftsbeziehung und die Mittelherkunft.

Datenaufbewahrung

Aufbewahrungsfristen und bedarfsgesteuerte Löschung.

Webhooks

Ereignistypen, Payloads und Signaturprüfung.

Preise

Zahlung pro Überprüfung. Sehen Sie sich den aktuellen Preis jeder Funktion an.
Zuletzt geändert am 7. November 2026