In den letzten Jahren haben sich die Anforderungen an Corporate-Service-Provider in Estland deutlich verändert. AML/KYC, Sanktions-Compliance, die Feststellung des UBO, die Mittelherkunft, die Geografie des Geschäfts, die Konzernstruktur und das Verständnis der tatsächlichen Tätigkeit eines Unternehmens sind längst keine bloßen Formalitäten beim Onboarding mehr.
In den Jahren 2026–2027 wird dieser Trend noch deutlicher.
Als Corporate-Service-Provider und Kontaktperson, die für die Kommunikation mit der estnischen Geldwäschemeldestelle (FIU/RAB) zuständig ist, sehe ich in diesen Entwicklungen mehr als nur eine strengere Regulierung. Der Markt bewegt sich schrittweise weg von formaler Compliance hin zu echtem Risikomanagement. Und für seriöse Unternehmen ist das eigentlich eine gute Nachricht.
Ein komplexer Kunde ist nicht automatisch ein schlechter Kunde
Eine internationale Unternehmensstruktur ist an sich kein Warnsignal. Ebenso wenig ein ausländischer UBO. Mehrere Rechtsordnungen, Führung aus der Ferne, internationale Zahlungen oder ein ungewöhnliches Geschäftsmodell bedeuten nicht automatisch, dass ein Kunde abgelehnt werden sollte.
Ein risikobasierter Ansatz folgt einer grundlegend anderen Logik: das Risiko verstehen, überprüfen, bewerten und entscheiden, ob es sich wirksam steuern lässt.
Die estnische FIU betrachtet das AML/CFT-Risikomanagement als zusammenhängendes System – vom Verständnis des eigenen Geschäftsmodells und der Risikobewertung über die Festlegung der Risikobereitschaft und interne Verfahren bis hin zu CDD-Maßnahmen und laufender Überwachung. Interne Verfahren sollen abbilden, wie das Unternehmen tatsächlich arbeitet, und nicht einfach den Gesetzestext wiedergeben.
Deshalb halte ich nichts davon, Compliance zu einem Wettbewerb darum zu machen, wer die meisten Kunden ablehnt.
Risikobasierter AML-Ansatz: Kundenrisiko verstehen, prüfen, bewerten und steuern
Risikobasiert heißt nicht risikofrei
Ziel von AML/KYC ist es nicht, internationale Geschäfte unmöglich zu machen oder jeden Kunden auszuschließen, dessen Struktur nicht in eine Standardvorlage passt.
Ziel ist zu verstehen, mit wem wir arbeiten, was das Unternehmen tatsächlich tut, wem es gehört und wer es kontrolliert, woher die Mittel stammen und ob die angegebene Geschäftstätigkeit der Realität entspricht.
Manchmal sollte eine solche Bewertung tatsächlich zu der Entscheidung führen, eine Geschäftsbeziehung nicht einzugehen oder nicht fortzusetzen. In anderen Fällen lassen sich erhöhte Risiken durch zusätzliche Unterlagen, verstärkte Sorgfaltspflichten, eine tiefere Analyse oder laufende Überwachung beherrschen.
Für mich bemisst sich die Qualität von Compliance nicht an der Zahl abgelehnter Kunden, sondern an der Qualität und Belastbarkeit der getroffenen Entscheidungen.
Was bedeutet das in der Praxis für Kunden?
Wenn ein Corporate-Service-Provider zusätzliche Fragen zu Ihrem Geschäftsmodell, Ihren Geschäftspartnern, Tätigkeitsländern, der Mittelherkunft oder der Eigentümerstruktur stellt, heißt das nicht automatisch, dass Sie als verdächtig gelten. Meist ist das Ziel viel einfacher: ein vollständiges Verständnis des Geschäfts zu gewinnen und dieses mit passenden Unterlagen belegen zu können.
Für Kunden bedeutet das: Es wird immer wichtiger, dass ihre Unternehmensstruktur klar, schlüssig und erklärbar ist.
Ein Unternehmen kann zum Beispiel in Estland gegründet sein, an Kunden in Deutschland verkaufen, mit Entwicklern in Polen arbeiten, einen UBO mit Wohnsitz in den VAE haben und Geschäftspartner in mehreren weiteren Ländern. Nichts davon ist zwingend ein Problem.
Es sollte jedoch eine klare wirtschaftliche Begründung geben:
- warum das Unternehmen in Estland gegründet wurde;
- von wo aus es geführt wird;
- wo seine Kunden sitzen;
- wie die Umsätze entstehen und in der Buchhaltung abgebildet werden;
- welche Funktion jedes Element der Struktur erfüllt.
Je klarer ein Unternehmen diese Fragen beantworten kann, desto einfacher wird die Zusammenarbeit nicht nur mit seinem Corporate-Service-Provider, sondern auch mit Banken, Zahlungsinstituten und anderen Teilnehmern des Finanzsystems.
Beispiel einer internationalen Struktur: estnische OÜ, Kunden in der EU und ein UBO im Ausland
Sanktionsscreening ist noch keine Sanktions-Compliance
Ein weiterer wichtiger Trend: Den Namen eines Kunden oder UBO einfach mit Sanktionslisten abzugleichen, reicht nicht mehr aus. Moderne Sanktions-Compliance geht deutlich weiter.
Je nach Fall kann es nötig sein, Eigentum und Kontrolle, den letztendlichen Empfänger einer Leistung, die Geografie eines Geschäfts, den Zweck der Waren oder Dienstleistungen, die Rolle von Vermittlern und den tatsächlichen wirtschaftlichen Gehalt der Beziehung zu analysieren.
Ein Sanktionsrisiko setzt nicht immer eine direkte Zahlung oder einen direkten Vertrag mit einer sanktionierten Person voraus. Es kann auch durch die Erbringung bestimmter Dienstleistungen oder sonstiger wirtschaftlicher Vorteile entstehen.
Die praktische Schlussfolgerung für Unternehmen ist einfach: Heute ist es wichtig, nicht nur zu wissen, wer die Rechnung erhält, sondern auch, was hinter dem Geschäft tatsächlich steckt. Das gilt besonders für internationale Unternehmen, bei denen ein einziges Geschäft mehrere Rechtsordnungen, Vermittler, Banken und Regulierungsregime berühren kann.
Compliance ist nicht mehr nur ein Ordner voller Dokumente
Noch vor einigen Jahren galt eine AML-Akte vor allem als Sammlung von Pflichtdokumenten: Reisepass, Adressnachweis, UBO-Erklärung, Fragebogen und Ergebnisse des Sanktionsscreenings. Heute gehen die Erwartungen deutlich weiter.
Risikobewertung, Risikobereitschaft, interne Verfahren, Kundenrisikoprofile, CDD/EDD, laufende Überwachung, Sanktionsscreening, Meldewesen, Schulungen und interne Kontrollen sollen zunehmend als Teile eines funktionierenden Compliance-Systems zusammenwirken – besonders bei lizenzierten Finanzunternehmen.
Selbst der Einsatz externer KYC- oder Identitätsprüfungsdienste überträgt die Verantwortung des Verpflichteten nicht auf diesen Anbieter. Der Corporate-Service-Provider bleibt dafür verantwortlich, das Risikoprofil und die Risikostufe des Kunden festzulegen.
Aus meiner Sicht ist das eine der wichtigsten Veränderungen. Die Frage lautet nicht mehr einfach:
„Haben wir dieses Dokument?“
Immer öfter lautet die eigentliche Frage:
„Warum haben wir diese Entscheidung getroffen, und können wir sie begründen?“
AML/CFT-Compliance-System: Risikobewertung, CDD/EDD, Überwachung, Sanktionsscreening und interne Kontrollen
Gutes KYC schützt nicht nur den Anbieter, sondern auch den Kunden
Compliance hat noch eine andere Seite, über die viel seltener gesprochen wird. Ein sorgfältig erstelltes KYC-Profil nützt nicht nur dem Corporate-Service-Provider oder der Aufsicht. Es nützt dem Unternehmen selbst.
Banken, Zahlungsinstitute und andere Verpflichtete stellen oft sehr ähnliche Fragen:
- Wer ist der UBO?
- Woher stammen die Mittel? (Ein klarer Jahresabschluss hilft bei der Antwort.)
- Wo ist das Unternehmen tätig?
- Warum wurde gerade diese Unternehmensstruktur gewählt?
- Wer sind die wichtigsten Geschäftspartner, und wie sieht der Zahlungsfluss aus?
Wurden diese Fragen bereits in der Phase der Unternehmensbetreuung sauber geklärt, fällt es dem Kunden deutlich leichter, seine Struktur gegenüber anderen Teilnehmern des Finanzsystems einheitlich zu erklären.
Deshalb sehe ich gute Compliance nicht nur als regulatorische Last. Richtig umgesetzt, wird sie Teil der Unternehmensinfrastruktur.
Was ändert sich 2027?
Ab dem 10. Juli 2027 wird ein wesentlicher Teil der zentralen AML/CFT-Anforderungen unmittelbar durch die EU-Geldwäscheverordnung (AMLR) geregelt.
Auf EU-Ebene regelt die AMLR unter anderem unmittelbar:
- Risikobewertung und interne Kontrollen;
- CDD, SDD und EDD;
- Anforderungen an PEP;
- die Identifizierung von Kunden und wirtschaftlich Berechtigten;
- laufende Überwachung, Meldewesen und Aufbewahrung.
Gleichzeitig verschwindet die nationale Regulierung nicht. Die Arbeit der nationalen FIUs, Aufsicht, nationale Register, Verwaltungsmaßnahmen und Haftung bleiben teilweise auf nationaler Ebene geregelt.
Für Compliance-Fachleute bedeutet das: Der Rahmen wird EU-weit einheitlicher – ähnlich wie das MiCA-Regime für Krypto-Dienstleister – und in der Praxis zugleich inhaltlich anspruchsvoller.
Wohin geht die Reise?
Ich sehe die Richtung recht klar:
- weniger formales KYC – mehr Verständnis für das tatsächliche Geschäft;
- weniger universelle Checklisten – mehr risikobasierte Analyse;
- weniger Dokumente „für die Akte“ – mehr Fähigkeit, Entscheidungen zu erklären und zu verteidigen.
Ich halte das für die richtige Richtung. Gleichzeitig darf Compliance nicht in automatisches De-Risking umschlagen, bei dem der einfachste Weg, das eigene Risiko zu senken, darin besteht, jeden nicht standardmäßigen Kunden abzulehnen.
Gute Compliance soll seriöse Unternehmen nicht an ihrer Tätigkeit hindern. Sie soll helfen, eine komplexe, aber transparente und rechtmäßige Struktur von einem wirklich inakzeptablen Risiko zu unterscheiden.
Die Rolle eines Corporate-Service-Providers besteht heute nicht mehr nur darin, Reisepass, Adressnachweis und einen ausgefüllten KYC-Fragebogen einzusammeln. Unsere Aufgabe ist es, die Geschäfte unserer Kunden so gut zu verstehen, dass wir überzeugt und belegbar erklären können, warum wir mit ihnen arbeiten – und zu erkennen, wann sich ein bestimmtes Risiko nicht mehr vernünftig steuern lässt.
Die Fähigkeit, diese Grenze zu ziehen, wird echte Compliance zunehmend von Compliance unterscheiden, die nur auf dem Papier existiert.
Sie brauchen eine saubere Struktur für Ihre estnische Firma?
Die eBusiness Solutions OÜ ist ein lizenzierter Corporate-Service-Provider (FIU-Lizenz FIU000421). Wir bieten Geschäftsadresse, Kontaktperson-Service und Firmengründung in Estland mit einem klaren, risikobasierten Onboarding. Lesen Sie unsere AML/CFT-Richtlinie oder kontaktieren Sie uns für eine kostenlose Beratung.
