Die Risikoanalyse nach GwG im Wandel: Neuerungen durch die AuA 2026

Der Entwurf der Neufassung der Auslegungs- und Anwendungshinweise vom Mai 2026 führt tiefgreifende Neuerungen in Bezug auf die Risikoanalyse gemäß § 5 GwG ein, die primär auf eine stärkere Harmonisierung mit europäischem Recht und eine präzisere Erfassung von Gefahren abzielen.

Die folgende Darstellung der wesentlichen Neuerungen basiert auf den vorliegenden Vorgaben und der Entwurfsfassung der Auslegungs- und Anwendungshinweise (Stand: Mai 2026). Bis zur endgültigen Veröffentlichung sind Änderungen möglich.

Ausrichtung an künftigem EU-Recht

Die bedeutendste strukturelle Neuerung ist die inhaltliche Anpassung des Leitfadens zur Risikoanalyse (Anlage 1) an die EU-Geldwäscheverordnung (Verordnung (EU) 2024/1624). Obwohl diese erst ab dem 10. Juli 2027 vollumfänglich gilt, orientiert sich der Aufbau der Risikoanalyse bereits jetzt an den Vorgaben des dortigen Artikels 10 zur unternehmensweiten Risikobewertung, um den Verpflichteten den Übergang zu erleichtern.

Zwingende Trennung der Spielkanäle

Veranstalter oder Vermittler, die Glücksspiele sowohl terrestrisch als auch im Internet anbieten, müssen diese Bereiche im Rahmen ihrer Risikoanalyse nun zwingend getrennt betrachten. Damit soll sichergestellt werden, dass die jeweils spezifischen Risiken, wie etwa Bargeldrisiken in stationären Spielstätten gegenüber Cyberrisiken im Online-Bereich, vollständig und individuell erfasst werden.

Integration aktueller Bedrohungslagen

Die Risikoanalyse muss nun zwingend neue Erkenntnisse aus übergeordneten nationalen und internationalen Berichten berücksichtigen:

In der Supranationalen Risikobewertung wird auf die Aktualisierung der EU-Kommission von Oktober 2022 verwiesen, die insbesondere durch die COVID-19-Pandemie gestiegene Geldwäscherisiken im Online-Bereich identifiziert hat.

Die Berücksichtigung der Ersten Nationalen Risikoanalyse Deutschlands sowie sektorspezifischer Typologiepapiere der FIU ist nun explizit vorgeschrieben.

Verfahren für Vermittler („Zu-Eigen-Machen“)

Für Wettvermittlungsstellen wurde das Verfahren zur Risikoanalyse präzisiert: Ein Veranstalter darf die Risikoanalyse für den Vermittler miterstellen. Der Vermittler ist jedoch verpflichtet, sich diese aktiv „zu eigen zu machen“ und eigenständig zu prüfen, ob individuelle standortbezogene Anpassungen notwendig sind. Die Letztverantwortung für die Gesetzeskonformität verbleibt in jedem Fall beim Vermittler.

Methodik: Inhärentes Risiko vs. Residualrisiko

Der neue Leitfaden fordert eine strikte methodische Trennung bei der Bewertung:

Inhärentes Risiko: Zunächst muss das Risiko ohne Berücksichtigung von Sicherungsmaßnahmen anhand der Kategorien Unternehmen, Produkt, Kunde und Transaktion ermittelt werden.

Sperrwirkung gesetzlicher Pflichten: Es wird klargestellt, dass die bloße Erfüllung gesetzlicher Sorgfaltspflichten (wie die Identifizierung) das inhärente Risiko nicht mindert, sondern lediglich der Informationsgewinnung dient.

Residualrisiko: Erst nach Abzug der wirksamen internen Sicherungsmaßnahmen darf das verbleibende Residualrisiko bewertet werden.

Zur besseren Vergleichbarkeit wird die Verwendung eines Punktesystems zur Einstufung der Risikograde (niedrig, mittel, erheblich, hoch) empfohlen.

Die Festlegung des Risikogrades in der Risikoanalyse (§ 5 GwG) folgt nach den neuen Auslegungs- und Anwendungshinweisen (AuA) einem systematischen und quantifizierbaren Prozess. Dabei wird primär zwischen dem inhärenten Risiko (Risiko ohne Gegenmaßnahmen) und dem Residualrisiko (verbleibendes Risiko nach Sicherungsmaßnahmen) unterschieden, was im Folgenden beispielhaft dargestellt wird:

Das Punktesystem und die Risikostufen

Zur Steigerung der Vergleichbarkeit empfiehlt der Leitfaden (Anlage 1) ein Punktesystem, um Risikograde in vier Stufen einzuteilen:

Hoch: 15 – 19 Punkte Erheblich: 10 – 14 Punkte Mittel: 5 – 9 Punkte Niedrig: 0 – 4 Punkte

Festlegung des Produktrisikos (Sportwetten)

Der Verpflichtete muss jedem Glücksspielangebot basierend auf spezifischen Risikofaktoren Punktewerte zuordnen. Relevante Faktoren sind hierbei unter anderem anonymes Spiel, Wetten mit niedriger Quote, Livewetten, Barzahlung oder Einsätze ab 2.000 Euro.

Beispielhafte Kombinationen und deren Einstufung:

Hoch (18 Punkte): Eine Einzelwette, die live platziert wird, über 2.000 Euro liegt, eine kleine Quote hat und bar bezahlt wird.

Erheblich (13 Punkte): Eine Einzelwette über 2.000 Euro mit kleiner Quote und Barzahlung (jedoch nicht live).

Mittel (9 Punkte): Eine einfache Einzelwette, die live platziert wird (ohne weitere Risikofaktoren wie Barzahlung oder hohe Beträge).

Niedrig (0–4 Punkte): Eine einfache Einzelwette ohne zusätzliche gefahrerhöhende Merkmale.

Festlegung des Kundenrisikos

Kunden werden in Gruppen eingeteilt, wobei das individuelle Spielverhalten die Basis bildet.

Beispielhafte Festlegungen: Niedriges Risiko: Kunden, die nur Kleinstbeträge (z. B. bis 10 Euro pro Woche) einsetzen.

Mittleres Risiko: Kunden, deren Einsätze regelmäßig im Bereich des Schwellenwertes (2.000 Euro) liegen.

Hohes Risiko: Kunden, die extrem hohe Umsätze generieren (z. B. über 10.000 Euro wöchentlich) oder einen PeP-Status (politisch exponierte Person) aufweisen.

Kombination und Standortrisiko

Da ein Produkt ohne Kunde kein Risiko darstellt, müssen beide Faktoren in einer Matrix kombiniert werden, um das gesamte inhärente Risiko zu ermitteln. Zusätzlich fungiert der Standort als Kontrollfaktor. Es muss geprüft werden, ob die Umsätze zur räumlichen Umgebung passen (z. B. auffällig hohe Umsätze in einer wirtschaftsschwachen Region als Warnsignal).

Ermittlung des Residualrisikos

Wichtig ist, dass gesetzliche Sorgfaltspflichten (wie die Identifizierung nach § 11 GwG) das inhärente Risiko nicht mindern, da sie lediglich der Informationsgewinnung dienen. Nur interne Sicherungsmaßnahmen (z. B. das Verbot bestimmter riskanter Wettkombinationen oder der Ausschluss von Kunden bei unplausiblen Angaben) können das Risiko senken.

Die Wirksamkeit dieser Maßnahmen wird auf einer Skala von „nicht existent“ bis „stark“ bewertet. Das am Ende verbleibende Residualrisiko ergibt sich aus der Gegenüberstellung des inhärenten Risikos und der Wirksamkeit der getroffenen Sicherungsmaßnahmen.

Berücksichtigung des individuellen Verhaltens

Es wird nun explizit erlaubt, relevante Spielerinformationen wie das individuelle Spielverhalten und die Häufigkeit der Besuche direkt in die Bewertung des individuellen Kundenrisikos innerhalb der Risikoanalyse einfließen zu lassen. Zudem wurde das Risiko „Standort“ als neuer Kontrollfaktor eingeführt, um zu prüfen, ob der Kundenstamm zur räumlichen Umgebung der Spielstätte passt.

Verschärfte Dokumentations- und Genehmigungspflichten

Aufgrund der Komplexität des Sektors wird klargestellt, dass eine Entbindung von der Dokumentationspflicht der Risikoanalyse regelmäßig nicht angezeigt ist, d.h. eine Befreiung nicht erfolgt. Die Risikoanalyse muss zwingend von einem Mitglied der höchsten operativen Leitungsebene (z. B. Geschäftsführung oder Vorstand) genehmigt werden. Die Aktualisierung enthält die Empfehlung, die Risikoanalyse mindestens einmal jährlich auf Aktualisierungsbedarf zu prüfen und jede Überprüfung mit Datum zu dokumentieren.

Die Entwurfsfassung der AuA konkretisiert die Anforderungen an die Risikoanalyse nach § 5 GwG und stärkt deren methodische Nachvollziehbarkeit. Insbesondere die Trennung von inhärentem Risiko und Residualrisiko, die Berücksichtigung aktueller Risikoerkenntnisse sowie die stärkere Einbeziehung von Kunden-, Produkt- und Standortfaktoren werden künftig die Risikobewertung prägen.

Insgesamt führen die neuen Vorgaben zu einem erhöhten Analyse-, Dokumentations- und Aktualisierungsaufwand für Verpflichtete, da bestehende Risikoanalysen umfassend überprüft und an die geänderte Methodik sowie Bewertungslogik angepasst werden müssen. Gleichzeitig verbessern die Regelungen die Transparenz und Vergleichbarkeit der Risikobewertungen und unterstützen damit die strukturelle Vorbereitung auf die künftigen Anforderungen des europäischen Geldwäscherechts.

Hinweis: Dieser Beitrag dient nur der allgemeinen Information und stellt keine Rechtsberatung dar. Er beruht auf der Entwurfsfassung der Auslegungs- und Anwendungshinweise (Stand: Mai 2026); bis zur endgültigen Fassung sind Änderungen möglich. Eine Haftung für Richtigkeit und Vollständigkeit wird nicht übernommen.