Rechtslandkarte in zwei Ebenen
Zwei Karten mit je einer Tabelle. Karte 1 zeigt den Rahmen, über den in Identifizierungsgesprächen gesprochen wird — Geldwäscherecht und Identitätsrecht. Karte 2 zeigt, was daneben gilt und auf welchem Weg es uns erreicht. Gedacht als Nachschlagehilfe für Gespräche, in denen viele Kürzel fallen.
Zwei Rechtskreise, zwei Brücken
Geldwäscherecht und Identitätsrecht entstehen getrennt voneinander. Sie treffen sich an zwei Stellen — und nur an diesen.
- EU-Verordnung — gilt unmittelbar
- EU-Richtlinie — national umzusetzen
- Entwurf — noch nicht verabschiedet
- Deutsches Recht
- Standard oder Aufsichtspraxis
Was das Diagramm beantwortet. Die beiden Kreise haben nichts miteinander zu tun, bis auf
zwei Stellen. Brücke 1: Die Geldwäscheverordnung nennt in Artikel 22 Absatz 6 lit. b
elektronische Identifizierungsmittel und qualifizierte Vertrauensdienste als einen von
zwei zulässigen Wegen der Überprüfung — der andere ist die Ausweisvorlage. Brücke 2: Der
Entwurf der technischen Standards benennt die Pflichtattribute mit den Feldnamen aus dem
Datenmodell des EUDI-Wallets. Das erklärt, warum in einem geldwäscherechtlichen Dokument
plötzlich Bezeichnungen wie
resident_postal_code stehen.
Eine Pflicht, das Wallet zu nutzen, folgt aus keiner der beiden Brücken. Die Kürzel im Einzelnen
Sortiert nach Rechtskreis. „Wann“ nennt den für die Praxis maßgeblichen Zeitpunkt, nicht das Inkrafttreten des Rechtsakts.
Geldwäscherecht
| Kürzel | Vollständig | Art | Wann | Worum es geht |
|---|---|---|---|---|
| AMLR | Anti-Money-Laundering Regulation — Verordnung (EU) 2024/1624 | EU-Verordnung | gilt ab 10.07.2027 | Die Sorgfaltspflichten selbst: welche Daten zu erheben sind, wer zu identifizieren ist, wann zu aktualisieren ist. Gilt unmittelbar in allen Mitgliedstaaten und löst die entsprechenden Teile des GwG ab. |
| AMLD6 | Sechste Geldwäscherichtlinie — Richtlinie (EU) 2024/1640 | EU-Richtlinie | umzusetzen bis 10.07.2027 | Aufsichtsstrukturen, Register, Befugnisse der Behörden, Sanktionsrahmen. Muss in nationales Recht überführt werden — das, was vom GwG bleibt, wird zu großen Teilen hier herkommen. |
| AMLA | Anti-Money Laundering Authority — errichtet durch Verordnung (EU) 2024/1620 | EU-Behörde | tätig seit 01.07.2025 direkte Aufsicht ab 01.01.2028 | Die neue EU-Behörde mit Sitz in Frankfurt. Sie schreibt die technischen Standards und Leitlinien zur AMLR. Direkt beaufsichtigen wird sie nur eine begrenzte Auswahl von Finanzunternehmen — nicht Kanzleien, Notariate oder Steuerberatungen. |
| RTS | Regulatory Technical Standards — hier: der Standard zu den Sorgfaltspflichten nach Art. 28 Abs. 1 AMLR | Entwurf | Konsultation endete 08.05.2026 Endfassung offen | Die Ausführungsregeln: Rangfolge bei der Fernidentifizierung, Anforderungen an zulässige Quellen, und in Anhang I die Liste der Pflichtattribute. Vieles, was zurzeit über die AMLR erzählt wird, steht in Wahrheit hier — und ist damit noch nicht verabschiedet. |
| GwG | Geldwäschegesetz | Deutsches Recht | gilt heute Ablösung 10.07.2027 | Heutige Grundlage der Sorgfaltspflichten. Ab dem Stichtag regelt die AMLR diese Pflichten unmittelbar; das GwG verliert insoweit seine Tragfähigkeit, ohne dass es dafür einer förmlichen Aufhebung bedarf. |
| BaFin RS 3/2017 | BaFin-Rundschreiben 3/2017 (GW) zur Videoidentifizierung | Aufsichtspraxis | gilt fort kein Aufhebungsakt | Regelt, wie das Videoidentifizierungsverfahren auszusehen hat. Stützt sich auf § 13 GwG und teilt dessen Schicksal. Die BaFin hat es zuletzt 2022 ausdrücklich als Brückentechnologie fortgeführt. |
Identitätsrecht
| Kürzel | Vollständig | Art | Wann | Worum es geht |
|---|---|---|---|---|
| eIDAS | Verordnung (EU) Nr. 910/2014 über elektronische Identifizierung und Vertrauensdienste | EU-Verordnung | in Kraft | Definiert elektronische Identifizierungsmittel, ihre Sicherheitsniveaus „substanziell“ und „hoch“ sowie die qualifizierten Vertrauensdienste. Auf diese Begriffe verweist die AMLR. |
| eIDAS 2.0 | Verordnung (EU) 2024/1183 — Änderung von 910/2014 | EU-Verordnung | 2024 | Führt das EUDI-Wallet ein und regelt, wer es akzeptieren muss. Ein eigener Rechtsakt gibt es nicht — die Regeln stehen als neue Artikel 5a bis 5f in der eIDAS-Verordnung. |
| DVO 2024/2977 | Durchführungsverordnung (EU) 2024/2977 zu Personenidentifizierungsdaten und Attributsbescheinigungen | Durchführungsakt | in Kraft seit 24.12.2024 | Legt die Datenfelder fest, die ein Wallet führt. Doppelt wichtig: Sie ist der Fristanker für die beiden Wallet-Termine — und ihre Feldnamen tauchen im Anhang des RTS-Entwurfs wieder auf. |
| EUDI-Wallet (PID) | European Digital Identity Wallet; PID = Person Identification Data | Sache, kein Rechtsakt | Bereitstellung 24.12.2026 Akzeptanz 24.12.2027 | Die Ausweis-App. Bis Ende 2026 müssen die Mitgliedstaaten mindestens eine bereitstellen; ab Ende 2027 müssen bestimmte private Unternehmen sie akzeptieren — nur sektoral, nur auf Wunsch des Nutzers und ohne Kleinst- und Kleinunternehmen. Rechts- und steuerberatende Berufe fallen nicht darunter. |
| DIdG | Digitale-Identitäten-Gesetz | Entwurf | Kabinett 20.05.2026 Bundestag offen | Das deutsche Mantelgesetz zum EUDI-Wallet. Ändert unter anderem GwG, Personalausweisgesetz, Passgesetz und Vertrauensdienstegesetz. Für uns entscheidend: Das Wallet wird zulässiges Identifizierungsmittel und die Referenzüberweisung entfällt. |
| EBDIG | Gesetz über die Europäische Brieftasche für die Digitale Identität — Artikel 1 des DIdG (so der amtliche Titel; im Folgenden „Wallet“) | Entwurf | mit dem DIdG | Die nationale Grundlage für das EUDI-Wallet. Zwei Vorschriften zählen: § 10 — wer das Wallet zum Identitätsnachweis nutzen will, muss sich vorher registrieren lassen. § 16 — Behörden des Bundes stellen 24 Monate nach Verkündung auf Antrag Attributsbescheinigungen aus; Länder und Kommunen, und damit das Meldewesen, sind nicht erfasst. |
| QES | Qualifizierte elektronische Signatur | Vertrauensdienst | verfügbar | Die rechtsverbindliche elektronische Unterschrift. In der AMLR kommt sie kein einziges Mal vor — sie kann aus Formvorschriften nötig sein, gehört aber nicht zu den Sorgfaltspflichten. |
| QEAA | Qualified Electronic Attestation of Attributes — qualifizierte elektronische Attributsbescheinigung | Vertrauensdienst | in Deutschland noch kein zugelassener Anbieter | Die digital besiegelte Einzelangabe — etwa eine Anschrift oder eine Steuernummer. Das Instrument, mit dem sich fehlende Pflichtattribute schließen ließen. Ausstellen darf sie nur ein zugelassener Vertrauensdiensteanbieter, und er muss die Angabe gegen die amtliche Quelle prüfen können. |
| QTSP | Qualified Trust Service Provider | Anbieterrolle | laufend | Ein Anbieter, den eine Aufsichtsbehörde geprüft und in die Vertrauensliste eingetragen hat — in Deutschland die Bundesnetzagentur. Die Zulassung gilt EU-weit und ist je Dienstart zu betrachten. |
| ETSI TS 119 461 | Technische Spezifikation des European Telecommunications Standards Institute | Standard | — | Beschreibt, wie ein Vertrauensdiensteanbieter eine Identität zu prüfen hat. Kein Rechtsakt. Das Kürzel „ETSI“ kommt weder in der AMLR noch im RTS-Entwurf vor. |
| PAuswG | Personalausweisgesetz, hier § 18 Abs. 3 | Deutsches Recht | gilt | Zählt auf, welche Felder die Online-Ausweisfunktion überträgt — darunter ausdrücklich die Anschrift. Deshalb liefert der Chip im Personalausweis mehr als der heutige Datensatz des Wallets. |
| IdNrG | Identifikationsnummerngesetz | Deutsches Recht | gilt | Macht die Steuer-Identifikationsnummer zur registerübergreifenden Ordnungsnummer. Ob sie damit zur „nationalen Identifikationsnummer“ im Sinne der AMLR geworden ist, ist offen — praktisch nachrangig, weil die Steuernummer ohnehin zu erheben ist. |
Die Termine in der Reihenfolge
Blau markiert sind die vier Daten, die man kennen muss.
- 09.07.2024 Die AMLR tritt in Kraft — sie gilt aber erst drei Jahre später.
- 24.12.2024 Die eIDAS-Durchführungsrechtsakte treten in Kraft. Von diesem Tag laufen die beiden Wallet-Fristen (24 und 36 Monate).
- 01.07.2025 Die AMLA nimmt ihre Arbeit auf.
- 09.02.2026 Der RTS-Entwurf zu den Sorgfaltspflichten wird zur Konsultation veröffentlicht.
- 08.05.2026 Die Konsultationsfrist endet. Eine Endfassung ist bislang nicht veröffentlicht.
- 20.05.2026 Das Bundeskabinett beschließt den DIdG-Entwurf. Bundestag und Bundesrat stehen aus.
- 24.12.2026 Die Mitgliedstaaten stellen mindestens ein Wallet bereit. Eine Pflicht der Staaten, nicht der Unternehmen.
- Ende 2026 Frühestmöglicher Zeitpunkt für das Inkrafttreten des DIdG — es tritt am Tag nach der Verkündung in Kraft. Damit entfällt die Referenzüberweisung.
- 10.07.2027 Die AMLR gilt. Für Neukunden ab diesem Tag das volle Pflichtenprogramm, ohne Übergangsfrist. Zugleich Frist für die Umsetzung der AMLD6.
- 24.12.2027 Die Akzeptanzpflicht für das Wallet greift — nur für bestimmte Branchen, nur bei bestehender Pflicht zur starken Online-Authentifizierung, nur auf Wunsch des Nutzers, und ohne Kleinst- und Kleinunternehmen.
- 01.01.2028 Die AMLA beginnt mit der direkten Aufsicht über eine begrenzte Auswahl von Finanzunternehmen.
- bis 10.07.2032 Spätester Zeitpunkt, zu dem auch die letzte Bestandsakte mit niedrigem Risiko auf den neuen Stand gebracht sein muss (Fünfjahresfrist ab Geltungsbeginn). Bei hohem Risiko gilt ein Jahr.
Was daneben gilt — und auf welchem Weg es uns erreicht
Regulierung erreicht ein Softwareunternehmen auf zwei Wegen: unmittelbar als Hersteller und Verarbeiter, oder mittelbar über die Verträge seiner Kunden. Der zweite Weg wird regelmäßig unterschätzt.
Warum diese zweite Karte nötig ist. Wir haben das vorliegende Anbietermaterial vollständig
durchsucht — vier Dokumente, Volltext und alle bildlastigen Folien einzeln geprüft. Genannt werden
dort ausschließlich AMLR, AMLD6, AMLA, eIDAS, DIdG, EBDIG, GwG und ETSI. Kein einziger Treffer
für DORA, NIS2, die KI-Verordnung, den Cyber Resilience Act, die DSGVO, MiCA oder das
Lieferkettenrecht. Das ist keine Nachlässigkeit — es ist der Zuschnitt eines
Identifizierungsanbieters. Für ein System, das in der Kanzlei oder bei der Bank betrieben wird,
greift der Rahmen weiter.
Der Satz, auf den es ankommt. Bei den gestrichelten Kästen sind wir rechtlich nicht gemeint
— trotzdem entscheidet die Antwort darauf, ob ein Vertrag zustande kommt. DORA ist dafür das
deutlichste Beispiel: Ein Finanzunternehmen darf uns nur beauftragen, wenn der Vertrag bestimmte
Inhalte hat und wir in seinem Informationsregister geführt werden. Diese Frage kommt im Einkauf,
nicht im Fachgespräch — und sie kommt früh.
Der weitere Rahmen im Einzelnen
Die Spalte „Rolle“ sagt, warum uns der Rechtsakt betrifft — als Adressat oder über den Kunden.
| Kürzel | Vollständig | Rolle für uns | Wann | Worum es geht |
|---|---|---|---|---|
| DORA | Digital Operational Resilience Act — Verordnung (EU) 2022/2554 | über den Kunden | gilt seit 17.01.2025 | Digitale Betriebsstabilität im Finanzsektor. Für uns entscheidend ist nicht der Adressatenkreis, sondern die Wirkung auf den Vertrag: vorgeschriebene Vertragsinhalte für IKT-Dienstleistungen, Aufnahme in das Informationsregister des Kunden, Prüf- und Zugangsrechte, geregelte Ausstiegsszenarien. Kommt bei jedem Bank- und Fintech-Deal im Einkauf. |
| KI-VO (AI Act) | Verordnung (EU) 2024/1689 über künstliche Intelligenz | trifft uns | gestaffelt; Hochrisiko-Pflichten ab 02.08.2026 | Betrifft jede KI-Funktion im Produkt, insbesondere den KYC-Agenten. Wichtige Differenzierung: Biometrische Fernidentifizierung (ein Gesicht gegen viele) ist Hochrisiko nach Anhang III. Die biometrische Verifizierung — der Abgleich eines Gesichts mit einem Ausweis, um zu bestätigen, dass jemand die Person ist, die er zu sein vorgibt — ist davon ausdrücklich ausgenommen. Der klassische KYC-Abgleich fällt daher in der Regel nicht in die Hochrisikoklasse. |
| CRA | Cyber Resilience Act — Verordnung (EU) 2024/2847 | trifft uns | Meldepflichten 2026 Hauptpflichten Ende 2027 | Das eigentliche „Produktrecht“ für Software: Sicherheitsanforderungen über den Lebenszyklus, Schwachstellenbehandlung, Meldepflichten, CE-Kennzeichnung. Wer nach Produktregulierung für unser Haus fragt, meint der Sache nach diese Verordnung — nicht das Produktsicherheitsrecht für körperliche Waren. |
| DSGVO | Datenschutz-Grundverordnung — Verordnung (EU) 2016/679 | trifft uns | seit 25.05.2018 | Für ein KYC-System kein Nebenschauplatz: Aufbewahrung und Löschung, Auftragsverarbeitung, Datenminimierung bei Registerabfragen. Die AMLR verweist ihrerseits auf den Datenschutz und verlangt bei Reputationsprüfungen ausdrücklich menschliche Letztentscheidung. |
| NIS2 | Richtlinie (EU) 2022/2555; deutsch umgesetzt im BSI-Gesetz | über den Kunden | deutsches Umsetzungs- gesetz seit 06.12.2025 | Cybersicherheitspflichten für rund 29.500 deutsche Unternehmen, mit dem BSI als Aufsicht. Uns erreicht das über die Lieferkettenanforderungen der erfassten Kunden: Sicherheitsnachweise, Meldewege, Vorfallsbehandlung. |
| Data Act | Verordnung (EU) 2023/2854 über harmonisierte Vorschriften für einen fairen Datenzugang | trifft uns | anwendbar seit 09/2025 | Regelt unter anderem den Wechsel zwischen Datenverarbeitungsdiensten — Kündigungsfristen, Portabilität, Ausstiegsunterstützung. Für uns nachrangig, aber in Ausschreibungen zunehmend abgefragt. |
| MiCA | Markets in Crypto-Assets — Verordnung (EU) 2023/1114 | über den Kunden | seit Ende 2024 | Zulassung und Pflichten für Kryptowerte-Dienstleister. Nur für unser Fintech- und Krypto-Segment relevant; dort ist der Onboarding-Prozess Teil der Zulassungsvoraussetzungen. |
| PSD2 PSD3 | Zahlungsdiensterichtlinie; Nachfolgepaket im Gesetzgebungsverfahren | über den Kunden | PSD2 gilt PSD3 offen | Starke Kundenauthentifizierung und Zahlungsdienstaufsicht. Berührt uns dort, wo Identifizierung und Authentifizierung ineinandergreifen — das ist auch die einzige Stelle, an der das IDnow-Material über den AML-Rahmen hinausgeht. |
| LkSG | Lieferkettensorgfaltspflichtengesetz | verwandt | gilt; Änderungsgesetz seit 01/2026 im Bundestag | Menschenrechts- und Umweltsorgfalt in der Lieferkette. Methodisch nah an unserem KYB — Geschäftspartner ermitteln, Risiken bewerten, Nachweise führen —, aber mit anderem Schutzgut und anderer Aufsicht. Die Berichtspflicht wird entschärft, die Sorgfaltspflichten bleiben. |
| CSDDD | Corporate Sustainability Due Diligence Directive — Richtlinie (EU) 2024/1760 | verwandt | Umsetzung bis 26.07.2028 Anwendung ab 2029 | Die europäische Nachfolgeregelung, die das LkSG ablösen soll. Durch das Omnibus-Verfahren zweimal verschoben und im Anwendungsbereich stark verengt — nach derzeitigem Stand nur Unternehmen ab etwa 5.000 Beschäftigten und 1,5 Mrd. Euro Umsatz. Für unsere Zielgruppen damit praktisch ohne Bedeutung. |
Quellenlage dieser zweiten Tabelle. Anders als Karte 1 beruht sie nicht auf lokal
vorliegenden Primärtexten, sondern auf Sekundärquellen mit Stand August 2026. Zwei Punkte wurden
gezielt nachgeprüft, weil sie sich zuletzt bewegt haben: die Verschiebung der CSDDD durch das
Omnibus-Verfahren und die Ausnahme der biometrischen Verifizierung von der Hochrisikoklasse der
KI-Verordnung. Vor jeder Verwendung gegenüber Kunden sollten die Daten zu DORA, CRA und der
KI-Verordnung am Verordnungstext bestätigt werden.
Vier Sätze, die den Rest sortieren
Die häufigsten Verwechslungen in Gesprächen — und was jeweils richtig ist.
1. Verordnung oder Richtlinie — der Unterschied entscheidet, wen man fragen muss
Eine Verordnung gilt unmittelbar; es gibt kein deutsches Gesetz dazu und es wird auch keines geben. Eine Richtlinie muss erst umgesetzt werden. Deshalb steht die AMLR ab 2027 direkt in der Akte, während bei der AMLD6 abzuwarten ist, was der deutsche Gesetzgeber daraus macht.
2. In Kraft ist nicht dasselbe wie anwendbar
Die AMLR ist seit Juli 2024 in Kraft und gilt trotzdem erst ab Juli 2027. Wer beides verwechselt, kommt bei jeder Frist um drei Jahre daneben.
3. Vieles, was „die AMLR verlangt“, steht im Entwurf des RTS
Die Rangfolge bei der Fernidentifizierung, die Attributlisten, die Pflicht zum Lückenschluss — alles Entwurfsstand. Die Konsultation endete im Mai 2026, eine Endfassung ist nicht veröffentlicht. Das macht die Punkte nicht wertlos, aber zitierfähig nur mit Kennzeichnung.
4. Das Wallet ist eine Möglichkeit, keine Pflicht
Aus der AMLR folgt keine Pflicht, das Wallet zu nutzen oder zu akzeptieren. Aus eIDAS folgt eine Akzeptanzpflicht nur für einen abgegrenzten Kreis von Unternehmen. Und wer sie einsetzen will, muss sich nach dem DIdG-Entwurf vorher registrieren lassen.
5. Wer nicht Adressat ist, kann trotzdem liefern müssen
Das ist die Lehre aus Karte 2. DORA und NIS2 richten sich an Finanzunternehmen und Betreiber wichtiger Einrichtungen, nicht an uns. Sie entscheiden trotzdem darüber, ob ein Vertrag zustande kommt — weil der Adressat seine Pflichten nur erfüllen kann, wenn sein Zulieferer mitzieht. Wer nur den eigenen Adressatenkreis prüft, übersieht die Hälfte der Anforderungen, die im Einkauf tatsächlich gestellt werden.
Was in dieser Landkarte bewusst fehlt. Bußgeldzahlen — die AMLR nennt keine, die Beträge
stehen in der AMLD6 und deren nationaler Umsetzung. Und alles, was den Anschein erweckt, ein
bestimmtes Verfahren oder ein bestimmter Anbieter sei vorgeschrieben. Artikel 22 Absatz 6 stellt
zwei gleichrangige Wege zur Wahl; der erste ist die Vorlage eines Ausweisdokuments.
Keine Rechtsberatung. Diese Übersicht ist eine Orientierungshilfe für Gespräche und ersetzt weder die Prüfung des Einzelfalls noch die Beratung durch die zuständige Compliance-Funktion.
Quellenlage Karte 1. Verordnungstexte und der RTS-Entwurf liegen als Primärtext vor. Die Angaben zum DIdG stammen aus der Kabinettfassung vom 20. Mai 2026 — einem Entwurf. Die eIDAS-Fristen sind aus dem Inkrafttreten der Durchführungsverordnung (EU) 2024/2977 hergeleitet. Zum Zulassungsstand der Attributsbescheinigung: Auskunft der Bundesnetzagentur, abgerufen am 5. August 2026.
Quellenlage Karte 2. Sekundärquellen mit Stand August 2026, nicht am Verordnungstext geprüft. Nachgeprüft wurden die Verschiebung der CSDDD durch das Omnibus-Verfahren, der Stand des deutschen NIS2-Umsetzungsgesetzes, der Stand des LkSG-Änderungsgesetzes und die Ausnahme der biometrischen Verifizierung von der Hochrisikoklasse der KI-Verordnung.