AML-Konformität und elektronische Signatur im Finanzbereich: Leitfaden 2026

Die AML-Konformität (Anti-Money Laundering) und die elektronische Signatur sind zwei nunmehr untrennbar verbundene Säulen für Finanzinstitute, Zahlungsplattformen und Fintechs, die in Europa tätig sind. Seit das Inkrafttreten der 6. Geldwäschebekämpfungsrichtlinie (6AMLD) und die Fortschreitung des regulatorischen AML-Pakets 2024-2025 der Europäischen Union – einschließlich der Gründung der Europäischen Behörde für Geldwäschebekämpfung (AMLA) – müssen die verpflichteten Personen ein beispielloses Maß an angemessener Sorgfalt nachweisen. Die elektronische Signatur, wenn sie korrekt eingesetzt wird, ist nicht einfach nur ein Dematerialisierungsinstrument: Sie wird zu einem eigenständigen Konformitätsinstrument. Dieser Artikel führt Sie durch die auf die elektronische Signatur anwendbaren AML-Verpflichtungen, die erforderlichen Sicherheitsstufen, die verfügbaren technischen Lösungen und bewährte Verfahren für 2026.

Warum die elektronische Signatur im Zentrum der AML-Konformität steht

Die Bekämpfung der Geldwäsche stützt sich auf drei Grundsäulen: Kenntnis des Kunden (KYC – Know Your Customer), Überwachung von Transaktionen und Aufbewahrung von Nachweisen. Die elektronische Signatur spielt in den ersten zwei und dem dritten Bereich unmittelbar eine Rolle.

Die elektronische Signatur als Nachweis der verifizierten Identität

Im AML-Rahmen ist die Geschäftsbeziehung der am meisten gefährdete Moment. Artikel 13 der Richtlinie 2015/849/EG (4AMLD, wie durch 5AMLD geändert) verlangt eine strenge Überprüfung der Kundenidentität vor jeder Begründung einer vertraglichen Beziehung. Die fortgeschrittene oder qualifizierte elektronische Signatur – im Sinne der Verordnung eIDAS Nr. 910/2014 – gewährleistet, dass der Unterzeichner tatsächlich die Person ist, für die er sich ausgibt, durch einen dokumentierten Authentifizierungs- und Identifizierungsprozess. Eine qualifizierte elektronische Signatur (QES), ausgestellt von einem in der Vertrauensliste der Europäischen Union aufgeführten Vertrauensdiensteanbieter (QTSP), bietet die Sicherheitsstufe „hoch", wie in der eIDAS-Verordnung 2.0 (Verordnung EU 2024/1183, die im Mai 2024 in Kraft trat) definiert. Diese Stufe ist mit den verstärkten Sorgfaltsprüfungsanforderungen für Kunden mit hohem Risiko vereinbar.

Nachverfolgung und Prüfpfad, konform mit AML-Anforderungen

Die AML-Vorschriften schreiben die Aufbewahrung von KYC-Dokumenten für mindestens 5 Jahre nach Ende der Geschäftsbeziehung vor (Artikel 40 der Richtlinie 2015/849). Die elektronische Signatur erzeugt von Natur aus eine vollständige Prüfspur: zertifizierter Zeitstempel, Dokument-Hash, Identität des Unterzeichners, Zugriffsprotokolle und kryptografische Zertifikate. Diese durch elektronische Zeitstempel gewährleistete Nachverfolgung entspricht unmittelbar den Anforderungen der Aufsichtsbehörden an Aufbewahrung und Nachweisführung – ACPR in Frankreich, BaFin in Deutschland, FCA im Vereinigten Königreich.

Integration in digitale Onboarding-Prozesse

Fintechs und Neobanken haben ihre Onboarding-Prozesse massiv digitalisiert. Nach dem McKinsey Digital Banking Report 2025 werden mehr als 78 % der neuen Bankkonten in Europa vollständig online eröffnet. In diesem Kontext ermöglicht die in einen KYC-Onboarding-Prozess integrierte elektronische Signatur:

• Einholung der informierten Zustimmung des Kunden zu den Allgemeinen Geschäftsbedingungen und zur Datenschutzrichtlinie (DSGVO)
• Formalisierung der Genehmigung zur Erfassung von Ausweisdokumenten und Adressnachweisen
• Abschluss von Kontoeröffnungsverträgen mit höchstmöglichem Beweiswert
• Archivierung der gesamten Akte in einem prüfbaren digitalen Tresor

Für verpflichtete Personen, die ihre Einrichtung stärken möchten, stellt der umfassende Leitfaden zur elektronischen Signatur im Unternehmen einen strukturierenden Ausgangspunkt dar.

Erforderliche Signaturstufen nach AML-Risikoprofil

Eine der häufigsten Fragen von Compliance-Teams betrifft die Stufe der elektronischen Signatur, die je nach Risikostufe des Kunden eingesetzt werden soll. Der risikobasierte Ansatz, der im Zentrum der AML-Vorschriften steht, gilt auch für die Wahl der Technologie.

Einfache und fortgeschrittene elektronische Signatur: Anwendungsfälle mit Standardrisiko

Für Kunden, die ein Standardrisiko darstellen – natürliche Personen, die in einem EU-Mitgliedstaat ansässig sind, ohne besondere Risikofaktoren –, ist eine fortgeschrittene elektronische Signatur (AdES) grundsätzlich ausreichend. Die AdES beruht auf Signaturgenerierungsdaten, die eindeutig mit dem Unterzeichner verknüpft sind, sie wird von Daten erstellt, die nur der Unterzeichner unter seiner ausschließlichen Kontrolle nutzen kann, und sie ermöglicht die Erkennung jeglicher nachträglicher Änderungen des unterzeichneten Dokuments (Artikel 26 der eIDAS-Verordnung). Konform mit eIDAS zertifizierte Lösungen wie Certyneo ermöglichen die Bereitstellung dieser Signaturstufe mit einer Echtzeitidentitätsprüfung durch dokumentarische Erkennung (OCR + biometrische Aktivitätsprüfung), was den Anforderungen der Standardsorgfalt genügt.

Qualifizierte Signatur: Erfordernis für verstärkte Sorgfalt

Wenn das Risikoprofil des Kunden hoch ist – politisch exponierte Personen (PEP), Staatsangehörige aus von der Europäischen Kommission aufgeführten Hochrisiko-Drittländern, Transaktionen mit erheblicher Summe –, ist verstärkte Sorgfalt (Enhanced Due Diligence, EDD) erforderlich. In diesem Kontext garantiert nur eine qualifizierte elektronische Signatur die erforderliche Sicherheitsstufe. Die QES erfordert die Nutzung einer qualifizierten Signaturgenerierungsvorrichtung (QSCD) und eines von einem akkreditierten QTSP ausgestellten qualifizierten Zertifikats. Um die Unterschiede zwischen diesen Stufen besser zu verstehen und die richtige Lösung zu wählen, bietet der Vergleich der elektronischen Signaturtlösungen auf Certyneo eine strukturierte Analyse der Marktangebote für 2026.

Die Rolle der ferngestützten Identitätsprüfung (eIDAS 2.0 und EUDI-Portemonnaie)

Die eIDAS-Verordnung 2.0 (EU 2024/1183) führt das europäische digitale Identitätsportemonnaie (EUDI Wallet) ein, dessen Bereitstellung bis Ende 2026 in allen Mitgliedstaaten geplant ist. Dieses Portemonnaie ermöglicht es Bürgern, verifizierten Identitätsmerkmale (Staatsangehörigkeit, Geburtsdatum, Adresse) dezentralisiert zu präsentieren, ohne ihre Dokumente bei jedem Dienstleistungsanbieter erneut vorlegen zu müssen. Für die AML-Konformität ist diese Entwicklung bedeutsam: Sie ermöglicht eine auf Stufe „hoch" zertifizierte Identitätsprüfung direkt während des Signaturvorgangs, ohne zusätzliche Reibungsverluste für den Benutzer. Finanzinstitute, die heute eIDAS 2.0-kompatible Lösungen integrieren, antizipieren diesen Übergang und reduzieren ihr aufsichtsrechtliches Risiko mittelfristig. Das Update zur eIDAS-Verordnung 2.0, das von Certyneo veröffentlicht wurde, erläutert die praktischen Auswirkungen für verpflichtete Personen.

Spezifische Verpflichtungen von Finanzakteuren bezüglich AML-konformer Signatur

Die betroffenen verpflichteten Personen

Die Richtlinie 2015/849/EG, in französisches Recht umgesetzt in Artikel L. 561-1 und folgende des Code monétaire et financier, definiert einen breiten Umfang verpflichteter Personen, die der AML-Vorschrift unterliegen: Kreditinstitute, Zahlungsinstitute, Lebensversicherungsunternehmen, Vermögensberater, Immobilienmakler, die Transaktionen über 10.000 EUR durchführen, Angehörige freier Berufe, und seit 2020 Anbieter von Dienstleistungen für digitale Vermögenswerte (PSAN), die nun unter dem MiCA-Regime der CASP-Zulassung unterliegen. Für jede dieser Kategorien ist die Dokumentation der vertraglichen Beziehungen durch nachverfolgbare elektronische Signatur eine stillschweigende Anforderung, die sich aus den Aufbewahrungs- und Nachweiskräfteverpflichtungen ergibt.

Datenschutz: Verknüpfung von DSGVO und AML

Eine scheinbare Spannung existiert zwischen der von AML auferlegten Aufbewahrungsdauer (mindestens 5 Jahre) und dem Datenmininmierungsprinzip der DSGVO (Verordnung EU 2016/679). Der Europäische Datenschutzausschuss (EDSA) hat in seinen Leitlinien 4/2022 klargestellt, dass die Rechtsgrundlage für die Aufbewahrung zu Zwecken der Bekämpfung von Betrug und Geldwäsche eine begründete Ausnahme vom Recht auf Löschung darstellt, sofern die aufbewahrten Daten streng notwendig sind. Die elektronische Signatur archiviert nur kryptografische Metadaten und streng notwendige Identitätsnachweise und ermöglicht es somit, beiden Regimen gleichzeitig zu genügen. Die Nutzung eines zertifizierten digitalen Tresors, getrennt vom üblichen Dokumentenmanagementsystem, ist die von der FATF (Financial Action Task Force) in ihren Leitlinien zur digitalen Transformation 2023 empfohlene bewährte Praxis.

Sanktionen und Konsequenzen bei Nichtkonformität

Sanktionen bei AML-Verstößen sind erheblich. In Frankreich kann die ACPR (Autorité de contrôle prudentiel et de résolution) Geldstrafen von bis zu 100 Millionen Euro oder 10 % des jährlichen Umsatzes verhängen. 2025 verhängte die ACPR Sanktionen in Höhe von über 47 Millionen Euro gegen Finanzakteure, von denen mehrere Fälle Mängel bei der Dokumentation und Überprüfung von Geschäftsbeziehungen betrafen. Das Fehlen einer zuverlässigen Prüfspur – das die elektronische Signatur gerade zu erstellen ermöglicht – war in mehreren veröffentlichten Entscheidungen unter den festgestellten Verstößen aufgeführt.

Bewährte Verfahren zur Bereitstellung einer AML-konformen elektronischen Signatur

Integration der Signatur in den KYC-Arbeitsablauf von Anfang an

Der Ansatz „Privacy by Design", der durch die DSGVO vorgegeben ist, verbindet sich hier mit dem von der FATF empfohlenen Ansatz „Compliance by Design". Dies bedeutet, dass die elektronische Signatur nicht als oberflächliche Schicht zu einem bestehenden Prozess hinzugefügt werden darf, sondern von Anfang an in die Konzeption des Kundenparcours integriert sein muss. Flüsse sollten so konzipiert sein, dass jede Stufe automatisch die notwendigen Nachweise erzeugt: Signaturzertifikat, Audit-Bericht, qualifizierter Zeitstempel, Dokument-Hash. Compliance-Teams müssen eng mit IT-Teams zusammenarbeiten, um klare Orchestrierungsregeln festzulegen: welche Signaturstufe für welche Dokumenttyp, welche Archivierungsdauer, welche Metadaten zu bewahren sind.

Wahl eines homologen und prüfbaren QTSP-Dienstleisters

Die Wahl des Elektronische-Signatur-Dienstleisters ist strukturierend für die AML-Konformität. Es sollte überprüft werden, dass der Dienstleister auf der nationalen Vertrauensliste aufgeführt ist (in Frankreich verwaltet von der ANSSI) und auf der europäischen Vertrauensliste (EU Trust List), dass er nach den Normen ETSI EN 319 411 (für Zertifikatrichtlinien) und ETSI EN 319 132 (für XAdES-Signaturen) zertifiziert ist, und dass er über einen jährlichen Audit-Bericht verfügt, der von einer akkreditierten Stelle durchgeführt wurde. Die Möglichkeit, Nachweise in einem standardisierten Format (PAdES, XAdES, CAdES) zu exportieren, ist ebenfalls wesentlich, um ihre Verwendung in Gerichtsverfahren oder AML-Untersuchungen zu ermöglichen. Etablissements, die ihr Einrichtung optimieren möchten, können den ROI-Rechner von Certyneo nutzen, um die Konformitäts- und Betriebseffizienzgewinne durch elektronische Signatur zu quantifizieren.

Schulung der Teams und Dokumentation der Verfahren

Die AML-Konformität endet nicht bei der Technologie. Front-Office-Teams, Compliance Officers und Risk Manager müssen in die Besonderheiten der elektronischen Signatur im AML-Kontext geschult werden: Signaturstufen verstehen, Audit-Berichte interpretieren können, Verfahren bei Einspruch kennen. Die interne Dokumentation von Signaturverfahren – integriert in Konformitätsmanualen – wird bei ACPR-Kontrollen überprüft. Ein klares, getestetes und regelmäßig aktualisiertes Verfahren demonstriert die Verpflichtung der Einrichtung zu einem proaktiven Konformitätsansatz.

Anwendbarer Rechtsrahmen für AML-Konformität und elektronische Signatur

Die Verknüpfung zwischen elektronischer Signatur und Geldwäschebekämpfung beruht auf einem dichten, sowohl europäischen als auch nationalen Regelwerk.

Verordnung eIDAS Nr. 910/2014 und eIDAS 2.0 (EU 2024/1183): Diese Texte definieren die drei Stufen der elektronischen Signatur (einfach, fortgeschritten, qualifiziert) und die Bedingungen der gegenseitigen Rechtsgeltung zwischen Mitgliedstaaten. Artikel 25 der eIDAS-Verordnung stellt das Prinzip der Nichtdiskriminierung auf: Eine elektronische Signatur kann als Nachweis vor Gericht nicht allein aufgrund ihrer elektronischen Form abgelehnt werden. Die eIDAS-Verordnung 2.0, die im Mai 2024 in Kraft trat, verstärkt die Anforderungen der digitalen Identität mit der Einführung des EUDI Wallet-Portemonnaies.

Code civil, Artikel 1366 und 1367: Artikel 1366 des französischen Code civil erkennt elektronische Schriftstücke als gleichwertig mit schriftlichen Dokumenten auf Papierträger an, sofern die Person, von der sie stammen, ordnungsgemäß identifiziert werden kann und unter Bedingungen, die die Integrität garantieren. Artikel 1367 regelt die elektronische Signatur im französischen Recht spezifisch und verweist auf die durch Dekret des Staatsrats festgelegten Bedingungen (Dekret Nr. 2017-1416 vom 28. September 2017).

AML-Richtlinien – 4AMLD (2015/849/EG), 5AMLD (2018/843/EG), 6AMLD (2018/1673/EG): Diese Richtlinien verpflichten verpflichtete Personen zu Identitätsprüfungen, zur Aufbewahrung von Dokumenten für 5 Jahre und zur Überwachung von Transaktionen sowie zur Meldung von Verdachtsfällen an die zuständige Finanzermittlungseinheit (TRACFIN in Frankreich). Die französische Umsetzung ist in Artikel L. 561-1 bis L. 565-1 des Code monétaire et financier enthalten.

AML-Paket 2024 der EU: Die Verordnung EU 2024/1624 (AMLR), die ab 2027 unmittelbar in allen Mitgliedstaaten anwendbar ist, und die Richtlinie EU 2024/1640 (AMLD6) harmonisieren die Sorgfaltsprüfungsanforderungen und schaffen die Europäische Behörde für Geldwäschebekämpfung (AMLA) mit Sitz in Frankfurt. Diese Texte verstärken die Anforderungen an die Identitätsprüfung auf elektronischem Weg, wodurch die eIDAS-Konformität noch strategischer wird.

DSGVO Nr. 2016/679: Artikel 5 (Datenminimerung), Artikel 17 (Recht auf Vergessenwerden mit seinen rechtlichen Ausnahmen) und Artikel 30 (Verzeichnis der Verarbeitungstätigkeiten) gelten vollumfänglich für Verarbeitungen, die sich auf elektronische Signaturen im AML-Kontext beziehen. Die Rechtsgrundlage der Aufbewahrung für gesetzliche Verpflichtungen (Artikel 6.1.c der DSGVO) rechtfertigt die verlängerte Aufbewahrung von Signaturdaten.

ETSI-Normen: Die Norm ETSI EN 319 132-1 definiert die XAdES-Signaturprofile. Die Norm ETSI EN 319 102-1 spezifiziert die Verfahren zur Signaturgenerierung und -validierung. Diese technischen Normen sind die Umsetzung der eIDAS-Rechtsanforderungen in die operative Realität von Dienstleistern.

Konformitätsrisiken: Über die Geldstrafen der ACPR (bis zu 100 Mio. € oder 10 % des Konzernumsatzes) hinaus sieht die AMLR 2024 harmonisierte Sanktionen auf EU-Ebene vor, die bei schwerwiegendsten Verstößen 10 % des weltweiten konsolidierten Umsatzes erreichen können. Auch Geschäftsführer können persönlich haftbar gemacht werden, mit in Artikel 42 der AMLD6 vorgesehenen Berufsverboten.

Anwendungsszenarien: Elektronische Signatur und AML-Konformität in der Praxis

Szenario 1 – Digitales Onboarding in einem zugelassenen Zahlungsinstitut

Ein von der Banque de France zugelassenes Zahlungsinstitut, das etwa 15.000 neue Geschäftsbeziehungen monatlich über seine Mobilanwendung verarbeitet, sieht sich strengen AML-Anforderungen zur Identitätsprüfung seiner Kunden gegenüber. Vor der Einführung einer in seinen Onboarding-Prozess integrierten Lösung für fortgeschrittene elektronische Signaturen stützte sich das Institut auf manuelle Verfahren der dokumentarischen Überprüfung, die durchschnittliche Verzögerungen von 72 Stunden und einen Abbruchquote von 34 % während des Abschlusses zur Folge hatten.

Durch die Bereitstellung einer Lösung für fortgeschrittene elektronische Signaturen in Kombination mit biometrischer Identitätsprüfung (Aktivitätsprüfung + OCR-Erkennung von Ausweisdokumenten) reduzierte das Institut die Onboarding-Zeit auf unter 8 Minuten für 89 % der Standardfälle. Die automatisch generierte Prüfspur – bestehend aus Signaturzertifikat, Biometrie-Verifizierungsbericht und qualifiziertem Zeitstempel – entspricht direkt den AML-Aufbewahrungsanforderungen. Die Abbruchquote sank von 34 % auf 11 %, was einem Nettoanstieg der abgeschlossenen Abschlüsse von etwa 35 % entspricht, gemäß Prognosen aus Juniper Research Berichten 2025 zur digitalen Bankwirtschaft.

Szenario 2 – Verwaltung der verstärkten Sorgfalt in einer Vermögensmanagementgesellschaft

Eine Vermögensmanagementgesellschaft, die Vermögenswerte für wohlhabende Kunden verwaltet (UHNWI – Ultra High Net Worth Individuals), unterliegt verstärkten Sorgfaltsprüfungsanforderungen für ihre gesamte Kundschaft, wobei ein erheblicher Teil ihrer Kunden als PPE (Politisch Exponierte Personen) klassifiziert ist. Die vertragliche Dokumentation – Verwaltungsmandatsschreiben, Risikoakzeptanzschreiben, periodische unterzeichnete Berichterstattung – stellt mehrere tausend Dokumente pro Jahr dar.

Durch die Einführung einer Lösung für qualifizierte elektronische Signaturen für alle PPE-Dokumente und die Integration einer automatischen Archivierung in einen zertifizierten digitalen Tresor NF461 errichtete die Gesellschaft eine vollständige und prüfbare Prüfspur. Während einer 48-stündigen ACPR-Kontrolle konnten alle angeforderten Dossiers in weniger als 2 Stunden bereitgestellt werden, gegenüber einem Branchen-Durchschnitt von 2-3 Tagen, schätzungsweise aufgrund von veröffentlichten Erfahrungsberichten im ACPR-Jahresbericht 2024 zur Kontrolltätigkeit. Die Compliance-Teams reduzierten auch die Zeit für die Vorbereitung von Kontrolldossiers um 60 %.

Szenario 3 – AML-Konformität für einen Anbieter von Dienstleistungen für digitale Vermögenswerte (CASP)

Ein Anbieter von Dienstleistungen für digitale Vermögenswerte (CASP), unterworfen unter MiCA-Verordnung und verstärkte AML-Verpflichtungen, die seit Januar 2026 gelten, muss alle seiner vertraglichen Beziehungen dokumentieren mit Identitätsprüfungsanforderungen äquivalent zu denen eines Kreditinstituts. Nutzungsbedingungen der Plattform, Verwahrmandatsschreiben und Anlagepolitik-Bescheinigungen müssen unterzeichnet und aufbewahrt werden.

Durch die Integration einer Lösung für fortgeschrittene elektronische Signaturen via API in seinen Registrierungsprozess konnte der CASP die Generierung und Unterzeichnung von Vertragsdokumenten automatisieren, sobald das KYC validiert wurde. Jedes unterzeichnete Dokument wird automatisch im Konformitätsverwaltungssystem mit seinen kryptografischen Metadaten indiziert. Dieser Ansatz ermöglichte es, die manuelle Intervention der Compliance-Teams in Standardfällen um 80 % zu reduzieren, wodurch Zeit für die Verarbeitung von Hochrisikofällen freigestellt wurde, die eine menschliche Überprüfung erfordern.

Fazit

Die AML-Konformität und die elektronische Signatur bilden nun ein unverzichtbares Doppel für jeden Finanzakteur, der 2026 in Europa tätig ist. Die aufeinanderfolgenden Geldwäschebekämpfungsrichtlinien, die in dem AML-Paket 2024 und der Gründung der AMLA kulminieren, haben die Anforderungen an Identitätsprüfung, Dokumentennachverfolgung und Nachweisaufbewahrung erheblich erhöht. Die elektronische Signatur – vorausgesetzt, sie wird auf der richtigen Stufe (fortgeschritten oder qualifiziert je nach Risikoprofil) eingesetzt, von Anfang an in Kundenparcours integriert und von einem akkreditierten QTSP-Dienstleister unterstützt – antwortet strukturell auf diese Anforderungen. Sie bildet sowohl ein Konformitätsinstrument, einen Hebel für operative Effizienz als auch einen Wettbewerbsvorteil in der digitalen Kundenbeziehung.

Certyneo begleitet Finanzakteure, Fintechs und Verwaltungsgesellschaften bei der Bereitstellung von eIDAS-konformen elektronischen Signaturgösungen, angepasst an AML-Anforderungen. Entdecken Sie unsere Angebote und starten Sie heute Ihre AML-Konformität.