Geldwäscheprüfung durch die Interne Revision: vier Regelungsebenen

Die Geldwäscheprüfung durch die Interne Revision stützt sich nicht auf eine einzelne Norm, sondern auf das Zusammenspiel von vier Regelungsebenen: GwG, BaFin-Verwaltungspraxis, KWG und MaRisk sowie PrüfbV.

Die Prüfung der Geldwäscheprävention gehört zum festen Bestand jeder Revisionsplanung im Kreditgewerbe. Fragt man allerdings, woraus sich diese Prüfungspflicht ergibt, greifen viele Revisionshandbücher zu kurz. Für die vollständige aufsichtsrechtliche Einordnung reicht der isolierte Blick auf nur eine der einschlägigen Quellen daher nicht aus.

Zusammen wirken dabei vier Regelungsebenen.

Dieser Beitrag betrachtet Kreditinstitute im Anwendungsbereich der herangezogenen MaRisk. Nach AT 2.1 Tz. 1 richten sich deren Anforderungen an Institute gemäß § 1 Abs. 1b KWG bzw. § 53 Abs. 1 KWG, „sofern sie nicht als bedeutende Institute im Sinne von Art. 6 der Verordnung (EU) Nr. 1024/2013 vom 15. Oktober 2013 (SSM-Verordnung) eingestuft werden und damit nicht der direkten Aufsicht der EZB unterliegen". Die geldwäscherechtlichen Pflichten selbst gelten jedoch unabhängig davon.

Ebene 1: Was das GwG regelt

Die Norm

§ 6 Abs. 2 Nr. 7 GwG zählt zu den internen Sicherungsmaßnahmen: „die Überprüfung der zuvor genannten Grundsätze und Verfahren durch eine unabhängige Prüfung, soweit diese Überprüfung angesichts der Art und des Umfangs der Geschäftstätigkeit angemessen ist."

Die Vorschrift begründet somit die geldwäscherechtliche Pflicht zu einer unabhängigen Überprüfung. Sie benennt aber weder einen bestimmten Prüfer noch einen Turnus – eine Geldwäscheprüfung gerade durch die Interne Revision schreibt sie also nicht vor. Folglich bleibt eine Volltextsuche im GwG nach „Revision" ohne Treffer.

Der Katalog ist offen, nicht abschließend

Wichtig ist zudem die Einleitung des Absatzes. Sie lautet: „Interne Sicherungsmaßnahmen sind insbesondere:". Der Katalog des § 6 Abs. 2 GwG ist somit ein Regelbeispielkatalog, kein numerus clausus.

Die BaFin bestätigt diese Lesart zudem ausdrücklich. In Ziff. 3.10 ihrer Auslegungs- und Anwendungshinweise heißt es: „Neben den in § 6 Abs. 2 GwG beispielshaft genannten Sicherungsmaßnahmen sind auch sämtliche anderen internen Sicherungsmaßnahmen ganz oder teilweise auslagerungsfähig."

Der Angemessenheitsvorbehalt bleibt Tatbestandsmerkmal

Der Vorbehalt „soweit […] angemessen" ist kein rhetorisches Beiwerk. Er ist nämlich Tatbestandsmerkmal und bleibt es auch. Außerdem greift die BaFin ihn in Ziff. 3.7 wörtlich wieder auf: „Voraussetzung ist in allen Fällen, dass die Überprüfung angesichts der Art und des Umfangs der Geschäftstätigkeit des Verpflichteten angemessen ist."

Für Institute im Anwendungsbereich der MaRisk besteht zudem unabhängig von der Einordnung dieses Vorbehalts eine allgemeine risikoorientierte Revisionsabdeckung (AT 4.4.3 Tz. 5 und 6). Beide Anforderungen stehen somit nebeneinander.

Ebene 2: Die BaFin-Verwaltungspraxis

Ziff. 3.7 der Auslegungs- und Anwendungshinweise

Wer die unabhängige Prüfung durchführen darf, beantwortet deshalb erst Ziff. 3.7 der Auslegungs- und Anwendungshinweise zum Geldwäschegesetz (Stand: Juli 2025). Dort heißt es: „Eine unabhängige Prüfung kann durch eine Interne Revision, aber auch durch sonstige interne oder externe Prüfungen erfolgen."

Für die Geldwäscheprüfung ist die Interne Revision damit ausdrücklich als eine zulässige Prüfungsinstanz genannt; daneben kommen sonstige interne oder externe Prüfungen in Betracht. Eine Rangfolge stellt die BaFin dabei nicht auf.

Diese Öffnung betrifft allerdings allein § 6 Abs. 2 Nr. 7 GwG. Die Anforderungen des § 25a Abs. 1 Satz 3 Nr. 3 KWG und des AT 4.4.3 Tz. 1 MaRisk an eine funktionsfähige Interne Revision bleiben davon unberührt.

Interne Revision und Geldwäschebeauftragter: die Abgrenzung

Ebenso klar ist die Abgrenzung nach oben. Die AuA stellen fest, dass die unabhängige Überprüfung „zusätzlich zu den Kontrollpflichten des/der GWB" besteht „und umfasst auch den von dem/der GWB verantworteten Bereich".

Die Kontrollen des Geldwäschebeauftragten ersetzen die unabhängige Prüfung also nicht. Stattdessen sind sie selbst Prüfungsgegenstand.

Der Drei-Jahres-Rhythmus

Zum Turnus bestimmt Ziff. 3.7 weiter: „Innerhalb eines Drei-Jahres-Rhythmus müssen sämtliche Bereiche einer Prüfung unterzogen werden." Innerhalb dieses Rahmens ist der Prüfungsrhythmus jedoch risikobasiert zu bestimmen.

Zudem gibt die BaFin den Berichtsinhalt vor. Zu beurteilen ist insbesondere, ob die getroffenen Sicherungsmaßnahmen „angemessen, funktionsfähig, aktuell und wirksam sind und der/die GWB den ihm/ihr zugewiesenen Aufgaben nachgekommen ist". Darüber hinaus ist bei Stichproben das Verhältnis des Stichprobenumfangs zur Grundgesamtheit im Prüfungsbericht anzugeben. Zur Aufbewahrung bestimmt Ziff. 3.7: „Unbeschadet anderer Aufbewahrungsfristen sind die Berichte in Anlehnung an § 8 Abs. 4 GwG fünf Jahre aufzubewahren." Dabei ist der Vorbehalt entscheidend: Für Revisionsberichte und Arbeitsunterlagen verlangt AT 4.4.3 Tz. 10 MaRisk sechs Jahre. Im MaRisk-Anwendungsbereich ist folglich die sechsjährige Frist maßgeblich.

Einordnung des Verfassers: Diese Vorgabe ist enger als der MaRisk-Turnus. Zwar erlaubt AT 4.4.3 Tz. 6 MaRisk für unter Risikogesichtspunkten nicht wesentliche Aktivitäten und Prozesse einen Fünf-Jahres-Turnus. Für die geldwäscherechtlichen Bereiche verlangt Ziff. 3.7 jedoch drei Jahre. Allerdings sehen auch die MaRisk im Grundsatz drei Jahre vor und verlangen bei besonderen Risiken kürzere Intervalle. Zu lang plant deshalb nur, wer für geldwäscherechtliche Bereiche die Fünf-Jahres-Ausnahme heranzieht.

Ebene 3: Stellung und Auftrag der Internen Revision

Die gesetzliche Verankerung

§ 25a Abs. 1 Satz 3 Nr. 3 KWG verlangt „die Einrichtung interner Kontrollverfahren mit einem internen Kontrollsystem und einer unabhängigen Internen Revision". Und weiter: „die Interne Revision darf nicht mit anderen Geschäftsbereichen oder Kontrollfunktionen des Instituts kombiniert werden".

Der Prüfungsauftrag der Internen Revision aus den MaRisk

AT 4.4.3 Tz. 5 MaRisk 06/2026 (BA) konkretisiert: „Die Interne Revision prüft unabhängig und risikoorientiert alle Aktivitäten und Prozesse des Instituts, einschließlich der ausgelagerten Tätigkeiten."

Die Geldwäscheprävention ist eine solche Aktivität und somit Teil des Prüfungsuniversums. Die Geldwäscheprüfung durch die Interne Revision folgt insoweit bereits aus dem allgemeinen Prüfungsauftrag. Zudem stellt AT 1 Tz. 4 MaRisk ausdrücklich klar: „Die Regelungen zur Prävention von Geldwäsche und Terrorismusfinanzierung sind stets einzuhalten."

Was das Kombinationsverbot nicht bedeutet

Das Verbot des § 25a KWG ist allerdings kein pauschales Tätigkeitsverbot für Revisorinnen und Revisoren. Dabei sind zwei Einschränkungen zu beachten.

Erstens enthält AT 4.4.3 Tz. 1 Satz 7 MaRisk eine Erleichterung: „Bei sehr kleinen Instituten können die Aufgaben der Internen Revision dann von einem Geschäftsleiter übernommen werden, wenn eine eigene Revisionseinheit unverhältnismäßig ist und Maßnahmen zur Vermeidung von Interessenkonflikten implementiert sind."

Zweitens bestimmt AT 4.4.3 Tz. 3 MaRisk: „Beratende Tätigkeiten sind zulässig, sofern die Unabhängigkeit der Internen Revision gewahrt bleibt." Eine beratende Begleitung der Risikoanalyse ist damit nicht von vornherein unzulässig.

Einordnung des Verfassers: Maßgeblich ist folglich die Unabhängigkeit insgesamt. Das Verbot der Selbstprüfung — in AT 4.4.3 Tz. 4 MaRisk für Wechsler aus anderen Organisationseinheiten ausdrücklich benannt — ist dabei ein wesentlicher, aber nicht der einzige Maßstab. Darüber hinaus liegen in der Terminologie des Drei-Linien-Modells operative Präventionsaufgaben — etwa Kundenannahme und Erfüllung der Sorgfaltspflichten — in der ersten Linie, die Funktion des Geldwäschebeauftragten und die AML-Compliance in der zweiten, die unabhängige Prüfung in der dritten; diese Zuordnung ist eine Einordnung, keine Norm.

Ebene 4: Die PrüfbV macht die Geldwäscheprüfung der Internen Revision nachprüfbar

Anlage 5 nennt die Innenrevision beim Namen

Am deutlichsten wird die aufsichtliche Erwartung schließlich in der Prüfungsberichtsverordnung. Der Erfassungsbogen nach Anlage 5 zu § 27 PrüfbV führt unter Nr. 6 auf: „§ 6 Abs. 2 Nr. 7 GwG — Durchführung von Prüfungen durch die Innenrevision in Bezug auf Maßnahmen zur Verhinderung von Geldwäsche und von Terrorismusfinanzierung".

Anlage 5 macht die Durchführung der Revisionsprüfung somit zum ausdrücklichen Prüfungsgegenstand des Abschlussprüfers. Eine eigenständige materielle Revisionspflicht begründet die Anlage allerdings nicht; sie setzt die Pflichten der Ebenen 1 bis 3 voraus.

Nr. 28 betrifft einen anderen Sachverhalt

Nr. 28 desselben Bogens lautet: „§ 25h Abs. 1 KWG — Durchführung von Prüfungen durch die Innenrevision in Bezug auf Maßnahmen zur Verhinderung von sonstigen strafbaren Handlungen".

Beide Nummern sind daher sauber zu trennen. Nr. 6 betrifft Geldwäsche und Terrorismusfinanzierung, Nr. 28 die sonstigen strafbaren Handlungen im Sinne des § 25h Abs. 1 KWG. Nr. 28 ist somit kein weiterer geldwäscherechtlicher Prüfungspunkt.

Bewertung und Turnus der Abschlussprüfung

Dabei trägt der Prüfer nach § 27 Abs. 9 PrüfbV die wesentlichen Ergebnisse in den Erfassungsbogen ein und bewertet sie nach der vorgegebenen Klassifizierung. Sind die zugrundeliegenden Pflichten im Einzelfall nicht relevant, ist dies mit der Feststellung F 5 zu vermerken.

Ergänzend bestimmt § 27 Abs. 7 PrüfbV, dass der Prüfer „die Ergebnisse sämtlicher Prüfungen der internen Revision zu berücksichtigen" hat, die im Berichtszeitraum durchgeführt worden sind.

Der Turnus der Prüfung durch den Abschlussprüfer richtet sich nach § 26 PrüfbV: grundsätzlich jährlich (Abs. 1), für Kreditinstitute mit einer Bilanzsumme bis 400 Millionen Euro unter den Voraussetzungen des Abs. 4 zweijährlich, sofern die Risikolage kein kürzeres Intervall erfordert. § 27 Abs. 10 PrüfbV stellt ausdrücklich klar, dass dieses Prüfintervall unberührt bleibt. Der Turnus der Internen Revision ist davon jedoch zu unterscheiden.

Einordnung des Verfassers: Damit schließt sich der Kreis. Das Vorliegen und die Durchführung der Revisionsprüfung sind vom Abschlussprüfer im Erfassungsbogen zu würdigen — und die Würdigung geht an die BaFin.

Der Blick nach vorn: Art. 9 AMLR

Die neue Unionsnorm

Die Verordnung (EU) 2024/1624 (AMLR) regelt den Punkt hingegen erstmals unmittelbar. Art. 9 Abs. 2 Buchst. b AMLR verlangt „interne Kontrollen und eine unabhängige Audit-Funktion, die die unter Buchstabe a des vorliegenden Absatzes genannten internen Strategien und Verfahren sowie die Kontrollen des Verpflichteten testen; gibt es keine unabhängige Audit-Funktion, können die Verpflichteten diesen Test von einem externen Sachverständigen durchführen lassen."

Nach Art. 90 AMLR gilt die Verordnung allerdings erst ab dem 10. Juli 2027.

Was sich damit verschiebt

Ab dem 10. Juli 2027 wird die Pflicht zu internen Kontrollen und einer unabhängigen Audit-Funktion unmittelbar unionsrechtlich normiert. Eine zwingende organisatorische Zuordnung zur Internen Revision enthält Art. 9 Abs. 2 Buchst. b AMLR allerdings nicht; bei Fehlen einer unabhängigen Audit-Funktion ist ein externer Sachverständiger zulässig.

Die Konkretisierung steht jedoch noch aus. Art. 9 Abs. 4 AMLR verpflichtet die AMLA, „bis zum 10. Juli 2026" Leitlinien auszugeben, die unter anderem Situationen benennen, in denen „die unabhängige Audit-Funktion von einem externen Sachverständigen wahrgenommen werden kann". Diese Leitlinien sollen die Voraussetzungen einer externen Wahrnehmung weiter konkretisieren. Bis sie vorliegen, bleibt daher Art. 9 Abs. 2 Buchst. b AMLR der maßgebliche Maßstab.

Einordnung des Verfassers: Für die Revisionsplanung folgt daraus ein eigenes Prüffeld — die Bereitschaft des Instituts zum Übergang. Denn wer Risikoanalyse, Sicherungsmaßnahmen und Systeme erst kurz vor Geltungsbeginn anpasst, baut einen Feststellungsstau auf.

Sonderfall Co-Sourcing: Geldwäscheprüfung mit externer Unterstützung der Internen Revision

Die Einbindung externer Dritter in die unabhängige Prüfung ist grundsätzlich möglich. Ob ein Co-Sourcing im konkreten Fall allerdings bereits eine vollständige oder teilweise Auslagerung einer internen Sicherungsmaßnahme darstellt, ist nach Ziff. 3.10 der BaFin-AuA im Einzelfall zu beurteilen und zu dokumentieren.

Liegt eine Auslagerung nach § 6 Abs. 7 GwG vor, ist sie der Aufsichtsbehörde rechtzeitig vorher anzuzeigen; die BaFin kann sie untersagen. Rechtzeitig ist die Anzeige nach Ziff. 3.10 der AuA, „sofern sie mindestens zwei Wochen vor Beginn der geplanten Auslagerung abgegeben wird". Die Verantwortung für Angemessenheit und Durchführung der Sicherungsmaßnahmen verbleibt dabei stets beim Verpflichteten.

Die BaFin qualifiziert eine solche Auslagerung zudem stets als wesentliche Auslagerung. Ziff. 3.10 der AuA lautet insoweit: „Die Auslagerung einer internen Sicherungsmaßnahme gemäß § 6 Abs. 7 GwG stellt immer eine wesentliche Auslagerung im Sinne des § 25b KWG, § 26 ZAG oder § 40 WpIG […] dar."

Zentrale Prüffelder der Geldwäscheprüfung durch die Interne Revision — eine Auswahl

Ziff. 3.7 der AuA verlangt die Überprüfung aller geldwäscherechtlichen Pflichten und eine Beurteilung, die sich „auf eine den gesamten Pflichtenkatalog des GwG umfassende Prüfung zu stützen" hat. Die nachstehende Liste ist daher eine Auswahl, kein vollständiges Prüfungsprogramm. Darüber hinaus weist Anlage 5 zu § 27 PrüfbV allein für den Bereich Geldwäsche und Terrorismusfinanzierung zahlreiche weitere Felder aus, darunter die Kundensorgfaltspflichten, die kontinuierliche Überwachung, die verstärkten Sorgfaltspflichten sowie die Pflichten nach § 8, § 9 und § 43 GwG.

• Risikomanagement, § 4 Abs. 1 GwG — „ein wirksames Risikomanagement", angemessen nach Art und Umfang der Geschäftstätigkeit.
• Genehmigung durch die Leitungsebene, § 4 Abs. 3 GwG — Risikoanalyse und interne Sicherungsmaßnahmen „bedürfen der Genehmigung dieses Mitglieds".
• Risikoanalyse, § 5 GwG — Ermittlung, Bewertung, Dokumentation, regelmäßige Überprüfung.
• Interne Sicherungsmaßnahmen, § 6 Abs. 2 GwG — offener Katalog, ergänzt um § 6 Abs. 1 Satz 3 GwG (Überwachung der Funktionsfähigkeit).
• Geldwäschebeauftragter, § 7 GwG — Bestellung auf Führungsebene, Stellvertretung, unmittelbare Nachordnung zur Geschäftsleitung.
• Monitoring, § 25h Abs. 2 KWG — Betrieb und Aktualisierung der Datenverarbeitungssysteme.
• Untersuchung auffälliger Transaktionen — Geldwäsche und Terrorismusfinanzierung, § 15 Abs. 3 Nr. 3 i. V. m. Abs. 6 GwG — Untersuchung von Hintergrund und Zweck der Transaktion, um das Risiko einzuschätzen und zu prüfen, ob eine Meldepflicht nach § 43 Abs. 1 GwG vorliegt.
• Untersuchung auffälliger Transaktionen — sonstige strafbare Handlungen, § 25h Abs. 3 KWG — eigenständige Rechtsgrundlage für Handlungen, die das Vermögen des Instituts gefährden können; mit der geldwäscherechtlichen Untersuchungspflicht nicht deckungsgleich.

Was das für das Revisionshandbuch bedeutet

Für die Geldwäscheprüfung durch die Interne Revision ergeben sich daraus folgende Punkte für das Revisionshandbuch:

• Zusammenspiel der vier Regelungsebenen dokumentieren: § 6 Abs. 2 Nr. 7 GwG (Pflicht) — AuA Ziff. 3.7 (Verwaltungspraxis) — § 25a KWG und AT 4.4.3 MaRisk (Stellung und Auftrag der Internen Revision) — PrüfbV Anlage 5 Nr. 6 (Gegenstand der Abschlussprüfung).
• Turnus am engeren Maßstab ausrichten: drei Jahre für sämtliche geldwäscherechtlichen Bereiche nach AuA Ziff. 3.7, nicht fünf Jahre nach AT 4.4.3 Tz. 6 MaRisk.
• Berichtsanforderungen der AuA übernehmen: Beurteilung nach angemessen, funktionsfähig, aktuell und wirksam; Angabe des Stichprobenverhältnisses. Aufbewahrung: AT 4.4.3 Tz. 10 MaRisk verlangt für Revisionsberichte und Arbeitsunterlagen sechs Jahre.
• Unabhängigkeit sauber abgrenzen: beratende Tätigkeit nach AT 4.4.3 Tz. 3 MaRisk zulässig, solange die Unabhängigkeit gewahrt bleibt.
• Co-Sourcing-Modelle im Einzelfall einordnen: Auslagerungsprüfung nach Ziff. 3.10 der AuA dokumentieren, bei Auslagerung Anzeige nach § 6 Abs. 7 GwG.
• AMLR-Übergang als eigenes Prüffeld in der Mehrjahresplanung verankern.

Fazit zur Geldwäscheprüfung durch die Interne Revision

Die Geldwäscheprüfung ist zwar eine der selbstverständlichsten Prüfungen der Internen Revision. Ihre Rechtsgrundlage wird trotzdem häufig verkürzt zitiert.

Das GwG verlangt eine unabhängige Prüfung, benennt aber keinen Prüfer. Die BaFin nennt in Ziff. 3.7 ihrer Auslegungs- und Anwendungshinweise die Interne Revision neben sonstigen internen und externen Prüfungen — und setzt dort zugleich den Drei-Jahres-Rhythmus über sämtliche Bereiche. Zudem begründen KWG und MaRisk Stellung und Prüfungsauftrag der Internen Revision im Institut. Schließlich macht die PrüfbV die Durchführung im Erfassungsbogen zum Gegenstand der Abschlussprüfung. Ab dem 10. Juli 2027 tritt zudem mit Art. 9 Abs. 2 Buchst. b AMLR eine unmittelbar geltende Unionsnorm hinzu.

Wer dieses Zusammenspiel im Revisionshandbuch sauber nachzeichnet, kann die Rechtsgrundlage im Quality Assessment belegen, statt sie nachträglich herzuleiten. Den Nachweis einer ordnungsgemäß durchgeführten Prüfung ersetzt das jedoch nicht.