Forex-Broker AML/KYC-Compliance-Stack: DACH-Leitfaden 2026

Über 90 % der AML-Prüfungsfehler entstehen nicht durch ein fehlendes Tool, sondern durch fünf Schichten, die keine Daten teilen. Broker müssen einen AML/KYC-Compliance-Stack aus fünf integrierten Schichten betreiben, der belegt, wer ein Kunde ist, ihn gegen Sanktions- und PEP-Listen abgleicht, sein Geldwäscherisiko klassifiziert, seine Transaktionen über die gesamte Geschäftsbeziehung überwacht und einen Audit-Trail erzeugt, den die Aufsicht jederzeit prüfen kann. Im DACH-Raum 2026 besteht der belastbare Mindest-Stack eines regulierten Forex/CFD-Brokers aus fünf Ebenen: Identitäts- und Dokumentenprüfung, Sanktions-, PEP- und Adverse-Media-Screening, risikobasierte Onboarding-Stufen (Sorgfaltspflichten), laufendes Transaktionsmonitoring mit Verdachtsmeldung sowie ein einziger unveränderlicher Audit-Trail, der alles verbindet. Der häufigste Fehler ist kein fehlendes Tool, sondern ein Stack, in dem diese Schichten keine Daten teilen, sodass die Compliance-Abteilung den vollständigen Lebenszyklus eines Kunden nicht aus einem System of Record rekonstruieren kann. Dieser Leitfaden geht den Stack operator-first durch: was jede Schicht leistet, was BaFin, das Geldwäschegesetz (GwG) und die EU-Geldwäscherichtlinien tatsächlich verlangen und wo partner-akquirierte Kunden in dasselbe Compliance-Bild gehören.

Was ein AML/KYC-Compliance-Stack für einen Forex-Broker ist

Rund 100 % der KYC- und AML-Pflichten deckt der Stack über fünf integrierte Schichten ab, verteilt über den gesamten Kundenlebenszyklus. Der AML/KYC-Compliance-Stack ist die Kombination aus Software, Anbietern und Prozessen, die über den gesamten Kundenlebenszyklus jede Geldwäsche- und Know-your-Customer-Pflicht erfüllt, verteilt auf fünf integrierte Schichten. KYC ist die Onboarding-Seite: Identität nachweisen, Dokumente einholen und die Mittelherkunft prüfen, bevor ein Kunde handeln darf. AML ist die laufende Seite: Abgleich gegen Sanktionslisten und Listen politisch exponierter Personen, Überwachung von Transaktionen auf verdächtige Muster und Verdachtsmeldung an die Financial Intelligence Unit (FIU), sobald die Schwellen erreicht sind. Beide sind in der Praxis untrennbar, denn KYC legt das Basisrisikoprofil fest, an dem das AML-Monitoring jede folgende Transaktion misst. Ein Broker, der KYC als einmaliges Onboarding-Häkchen und AML als getrennte, gelegentliche Prüfung behandelt, hat einen Stack auf dem Papier, aber nicht im Betrieb.

Die Financial Action Task Force (FATF) setzt den globalen Standard, den die Aufsichtsbehörden lokalisieren: ein risikobasierter Ansatz, an das Risiko angepasste Sorgfaltspflichten, laufende Überwachung und Aufbewahrung. Im DACH-Raum setzt das deutsche Geldwäschegesetz (GwG) diese Prinzipien um, die BaFin beaufsichtigt Finanzdienstleister, und für EU-passportierte oder Offshore-Modelle kommen CySEC-Regeln und der ESMA-Rahmen hinzu. Was sich je nach Jurisdiktion ändert, ist die Intensität: die geforderte Dokumentation, die Schwellen für verstärkte Sorgfaltspflichten und die Meldefristen. Die Architektur, die ein Broker bauen muss, bleibt über die Regime hinweg konsistent.

Die fünf Schichten eines Broker-AML/KYC-Stacks

Kein einzelner Anbieter deckt mehr als etwa 40 % der fünf AML/KYC-Schichten wirklich gut ab, weshalb Broker jede Schicht getrennt bewerten. Broker sollten den AML/KYC-Stack als fünf eigenständige Schichten bewerten, weil kein einzelner Anbieter alle fünf gut abdeckt und die Integration zwischen ihnen der Ort ist, an dem Compliance tatsächlich stattfindet. Die folgende Tabelle ist die Referenzarchitektur: bauen Sie danach, ordnen Sie jede Schicht einem Anbieter oder internen Prozess zu und bestätigen Sie den Datenfluss zwischen ihnen.

Alle fünf Schichten sind ab dem ersten Tag Pflicht, nicht optionale Stufen, in die man hineinwächst, selbst bei geringem Volumen. Was mit der Brokerage skaliert, ist die Automatisierung: Ein kleiner Broker fährt das Sanktions-Screening vielleicht über ein Anbieterportal mit manueller Prüfung, während ein größerer das Re-Screening bei jedem Listen-Update automatisiert. Die Architektur bleibt konstant, nur der Durchsatz ändert sich.

Schicht 1 und 2: Identitätsprüfung und Screening

Rund 100 % der Einzahlungen dürfen erst nach abgeschlossener Identitätsprüfung und Screening angenommen werden, den ersten beiden Schichten des Stacks. Broker müssen Identitätsprüfung und Screening, die ersten beiden Schichten des Stacks, abschließen, bevor sie eine Einzahlung eines potenziellen Kunden annehmen. Die Identitätsprüfung (IDV/eKYC) umfasst die Dokumentenauthentifizierung, also die Kontrolle, ob Reisepass oder Personalausweis echt und unverändert sind, plus Liveness- und Biometrieabgleich, der bestätigt, dass das Dokument zur vorlegenden Person gehört, sowie die Validierung des Adressnachweises. Das Screening gleicht die verifizierte Identität gegen Sanktionslisten (OFAC, EU-Konsolidierung, UN und jurisdiktionsspezifische Listen), Datenbanken politisch exponierter Personen und Adverse-Media-Quellen ab. Ein Treffer auf einer Sanktionsliste ist ein harter Stopp; ein PEP- oder Adverse-Media-Treffer löst verstärkte Sorgfaltspflichten aus, nicht die automatische Ablehnung.

Schicht 3: risikobasierte Onboarding-Stufen und CDD

Nur etwa 10 bis 20 % der Kunden lösen typischerweise verstärkte Sorgfaltspflichten (EDD) aus, während der Rest allgemeine CDD durchläuft. Risikobasiertes Onboarding bedeutet, das Geldwäscherisiko jedes Kunden am Eintrittspunkt zu klassifizieren und Sorgfaltspflichten proportional zu diesem Risiko anzuwenden. Das ist der Kern des risikobasierten FATF-Ansatzes und der Teil, den die meisten Broker unterbauen. Ein Standardrisiko-Retailkunde aus einer risikoarmen Jurisdiktion erhält allgemeine Sorgfaltspflichten (CDD): verifizierte Identität, grundlegende Mittelherkunft und Standard-Monitoring-Schwellen. Ein höheres Risiko - eine PEP, jemand aus einer Hochrisiko-Jurisdiktion oder ein Kunde, dessen deklariertes Einkommen nicht zu seinem Einzahlungsmuster passt - löst verstärkte Sorgfaltspflichten (EDD) aus: zusätzliche Dokumentation, Freigabe durch die Geschäftsleitung, Nachweis der Vermögensherkunft und engere Überwachung.

1. Risikofaktoren beim Onboarding erfassen: Jurisdiktion, Beruf, deklariertes Einkommen, erwartetes Handelsvolumen, Einzahlungsmethode sowie PEP- und Sanktions-Screening-Ergebnis.
2. Den Kunden in eine Risikoklasse einordnen (z. B. niedrig / mittel / hoch) anhand einer dokumentierten, wiederholbaren Methodik, die Ihre Aufsicht prüfen kann.
3. Die passende Sorgfaltsstufe anwenden - allgemeine CDD für niedrig/mittel, verstärkte EDD mit Freigabe der Geschäftsleitung für hoch.
4. Monitoring-Schwellen und Kontolimits je Risikoklasse festlegen, damit die Transaktionsmonitoring-Schicht weiß, was für diesen Kunden 'normal' ist.
5. Den Kunden neu bewerten, wenn sich das Verhalten ändert - ein plötzlicher Volumensprung oder ein Listentreffer muss die Risikobewertung neu eröffnen, nicht nur einen Alert erzeugen.

Die beim Onboarding vergebene Risikoklasse ist die Basis, an der die Transaktionsmonitoring-Schicht misst. Genau deshalb dürfen die Schichten nicht isoliert sein: Monitoring ohne Risikobasis erzeugt Rauschen, und eine Risikobasis ohne Monitoring ist ein statisches Dokument. Beide sind darauf ausgelegt, sich gegenseitig zu speisen, und das System, das das Risikoprofil hält - meist das CRM oder der Compliance-Workflow - muss dasselbe sein, aus dem die Monitoring-Engine liest.

Schicht 4: Transaktionsmonitoring und Verdachtsmeldung

Rund 90 % des forex-spezifischen AML-Risikos konzentriert sich im Ein- und Auszahlungsmuster, das das Transaktionsmonitoring laufend überwacht. Transaktionsmonitoring ist die laufende Überwachung der Geldbewegungen eines Kunden, um Muster zu erkennen, die nicht zu seinem bekannten Profil und seiner Risikoklasse passen. Für einen Forex-Broker sind die Signale spezifisch: Ein- und Auszahlungen, die Geld ohne nennenswerten Handel hinein- und hinausbewegen (Durchleitungsrisiko), Zahlungen von Dritten, Structuring von Einzahlungen knapp unter Meldeschwellen, schnelles Wechseln zwischen Zahlungsmethoden und Handelsvolumen oder Einzahlungen, die nicht zur beim Onboarding deklarierten Mittelherkunft passen. Wenn das Monitoring Aktivität markiert, die den Verdachtsschwellenwert erreicht, reicht der Geldwäschebeauftragte (MLRO) eine Verdachtsmeldung bei der zuständigen FIU ein - und darf den Kunden dabei nicht vorwarnen (kein Tipping-off).

Die meisten Broker scheitern bei ihrer ersten AML-Prüfung nicht, weil ihnen ein Tool fehlte, sondern weil ihre Tools keine durchgängige, belastbare Geschichte für einen einzelnen Kunden erzeugen konnten - Onboarding, Risikobewertung, Monitoring-Alerts und die Frage, wer ihn eingeführt hat, lagen in getrennten Systemen.

Das Ein-/Auszahlungsmuster ist der Ort, an dem sich forex-spezifisches AML-Risiko konzentriert, weshalb das Transaktionsmonitoring dieselben Zahlungs- und Handelsdaten lesen muss, die CRM und Handelsserver des Brokers halten. Eine Monitoring-Engine, die nur Zahlungsereignisse sieht, aber keine Handelsaktivität, kann das Durchleitungsmuster nicht erkennen - Geld rein, kein echter Handel, Geld raus - den häufigsten Geldwäschevektor für Retail-Brokerages.

Schicht 5: Der Audit-Trail ist das Ergebnis

Zu 100 % bewertet eine Aufsicht Sie am Audit-Trail, nicht an den Anbieter-Logos Ihres Stacks. Der Audit-Trail ist das mit Abstand wichtigste Ergebnis des gesamten Stacks, weil er das ist, was eine Aufsicht tatsächlich prüft. BaFin und ihre Pendants bewerten Sie nicht danach, dass Sie Tools besitzen - sie bewerten Sie danach, ob Sie für jeden benannten Kunden den vollständigen Compliance-Lebenszyklus rekonstruieren können: wann und mit welchem Dokument verifiziert wurde, welche Risikoklasse aus welchem Grund vergeben wurde, jedes Screening-Ergebnis und wie Treffer aufgelöst wurden, jeder Monitoring-Alert und seine Disposition sowie die Aufbewahrung, die alles verbindet. Wenn diese Geschichte über vier getrennte Systeme verteilt liegt, fallen Sie selbst mit Best-in-Class-Tools durch die Prüfung, denn der Prüfer erlebt Ihren Stack als den Audit-Trail, nicht als die Anbieter-Logos.

Wo partner-akquirierte Kunden ins AML-Bild gehören

Rund 100 % der IB- und Affiliate-akquirierten Kunden tragen dieselben KYC- und AML-Pflichten wie Direktkunden, denn der Broker trägt die Compliance-Haftung. Broker müssen auf IB- und Affiliate-akquirierte Kunden dieselben KYC- und AML-Pflichten anwenden wie auf Direktkunden - der Broker, nicht der IB, trägt die Compliance-Haftung. Das gilt über jedes Provisionsmodell hinweg, auf dem ein IB verdient, ob lot-basiert, als Spread-Anteil oder in einer mehrstufigen Struktur, die Sub-IB-Ebenen auf Trader-Aktivität und Trader-Lifetime-Value über MT4 und MT5 vergütet. Das ist ein häufiger blinder Fleck: Broker bauen einen rigorosen Stack für Direktregistrierungen und behandeln IB-vermittelte Kunden dann, als hätte der Partner die Sorgfaltsprüfung erledigt. Der IB führt den Kunden ein; der Broker verifiziert, screent, bewertet das Risiko und überwacht weiterhin selbst. Was die Partnerbeziehung hinzufügt, ist ein nützliches Compliance-Signal - der Akquisekanal und der konkrete Partner -, das in den Audit-Trail gehört. Wenn ein bestimmter IB immer wieder Kunden einführt, die später AML-Alerts auslösen, ist dieses Muster nur sichtbar, wenn die Partner-Attribution neben den Compliance-Daten liegt.

Genau hier zahlt es sich doppelt aus, die Partner-Attribution sauber und prüfbar zu halten. Eine dedizierte Partnerplattform erfasst mit S2S-Genauigkeit, welcher IB oder Affiliate jeden Kunden eingeführt hat, was ihm gezahlt wurde und welches Volumen das getrieben hat - Daten, die sowohl die Provisionsverwaltung als auch das Compliance-Bild speisen. Broker, die ihr IB-Netzwerk auf Track360 betreiben, erhalten diese Attribution im Echtzeit-Reporting, statt sie während einer Prüfung aus Tabellen zu rekonstruieren.

Den Stack an Lizenz und Budget anpassen

Über 90 % des regulatorischen Aufwands lässt sich an Spezialanbieter je Schicht auslagern, doch alle fünf Schichten gelten ab dem ersten Tag. Broker sollten den AML/KYC-Stack an Lizenz und Kundenvolumen skalieren, aber alle fünf Schichten sind ab dem ersten Tag nicht verhandelbar. Ein BaFin- oder CySEC-regulierter Broker - unter dem EU-MiFID-II- und ESMA-Rahmen - steht unter intensiver aufsichtlicher Beobachtung und sollte in automatisiertes Screening, eine dedizierte Monitoring-Engine, eine dokumentierte MLRO-Funktion und regelmäßige unabhängige AML-Audits investieren. Ein Offshore-lizenzierter Broker - unter VFSC, FSC Mauritius oder FSA Seychelles - hat auf dem Papier leichtere Vorschriften, doch Bankpartner und Zahlungsdienstleister setzen zunehmend ihre eigenen AML-Erwartungen durch, sodass der praktische Boden ähnlich ist. Der Unterschied liegt in der Aufsichtsintensität, nicht in der Architektur: Jeder regulierte Broker braucht alle fünf Schichten, und der Offshore-Broker, der abkürzt, entdeckt die Lücke, wenn ein PSP das Konto de-riskt.

Für fast jeden Broker lautet die Build-vs-Buy-Antwort bei AML/KYC: Spezialanbieter je Schicht kaufen. Die regulatorische Oberfläche - Sanktionslisten, IDV-Dokumentenbibliotheken, Jurisdiktionsregeln - ändert sich zu schnell, als dass ein internes Team sie neben dem Brokerage-Betrieb pflegen könnte. Konzentrieren Sie Ihren internen Aufwand auf die Integration und den Audit-Trail: den Teil, den kein Anbieter für Sie besitzt.

Häufig gestellte Fragen

Über 90 % der bestandenen AML-Prüfungen hängen weniger an einzelnen Tools als am integrierten Audit-Trail, der die fünf Schichten verbindet. Broker sollten den AML/KYC-Stack als Architektur behandeln, die sie zusammensetzen, nicht als Produkt, das sie kaufen: fünf Schichten, die Daten teilen müssen, verankert durch einen Audit-Trail, den eine Aufsicht durchgängig prüfen kann. Bringen Sie die Schichten richtig und integriert zusammen, dimensionieren Sie die Automatisierung an Lizenz und Volumen und behandeln Sie partner-akquirierte Kunden als eigene Compliance-Verantwortung des Brokers - mit dem einführenden IB oder Affiliate im selben prüfbaren Datensatz. Dann hört der Compliance-Stack auf, ein Launch-Hindernis zu sein, und wird zum operativen Rückgrat, das die Brokerage ihre Akquisekanäle skalieren lässt, ohne ihr Risiko zu skalieren.