AML, Compliance, Geldwäschegesetz, KYB

Audit-Trail oder Log? Was Compliance-Teams wissen müssen

Öffentlichkeit: 4 August 2026
Lesezeit: 7 minuten

Ein Dokument liegt vor. Ein Datum steht drauf. Trotzdem reicht das bei einer Prüfung manchmal nicht aus.

Stellen Sie sich folgenden Fall vor: Eine Bank wird im Rahmen einer Aufsichtsprüfung gebeten, nachzuweisen, auf welcher Grundlage ein Geschäftspartner vor 18 Monaten freigegeben wurde. Der zuständige Mitarbeiter hat damals sorgfältig geprüft – aber was genau er abgerufen hat, aus welcher Quelle und mit welchem Ergebnis, lässt sich nicht mehr rekonstruieren. Der Handelsregisterauszug liegt irgendwo in einer Akte. Ohne Datum. Ohne Quellenangabe.

Das Ergebnis der Prüfung war wahrscheinlich korrekt. Belegen lässt es sich nicht.

Genau das ist das Problem, das ein Audit-Trail löst. In Compliance-Prozessen zählt heute nicht nur, dass geprüft wurde – sondern dass sich die Prüfung jederzeit nachvollziehen lässt.

Was ein Audit-Trail von einem Log unterscheidet

Der Unterschied beginnt damit, was festgehalten wird.

Ein Log dokumentiert ein Ereignis: „Handelsregisterauszug am 04.03.2026 abgerufen.“ Das ist ein Eintrag. Er zeigt, dass etwas passiert ist – nicht mehr.

Ein Audit-Trail geht weiter: „Handelsregisterauszug am 04.03.2026 abgerufen. Quelle: Handelsregister. Ergebnis: Geschäftsführer unverändert. Status: archiviert, unveränderbar.“

Der entscheidende Unterschied: Ein Audit-Trail macht ein Ereignis überprüfbar – auch Monate später, auch durch Dritte, auch ohne Rückfrage.

Zurück zum Praxisfall: Mit einem Log weiß die Bank, dass ein Abruf stattgefunden hat. Mit einem Audit-Trail kann sie zeigen, was abgerufen wurde, was dabei festgestellt wurde und dass sich daran nichts geändert hat.

Warum das Thema heute wichtiger wird

Compliance-Prozesse werden komplexer. Mehr Datenquellen, mehr automatisierte Abgleiche, längere Geschäftsbeziehungen. Gleichzeitig steigen die Anforderungen an die Dokumentation.

Der Grund: Aufsichtsbehörden fragen heute nicht nur nach dem Ergebnis einer Prüfung. Sie wollen wissen, welche Informationen vorlagen, woher sie stammten, wann sie erhoben wurden und ob sie zum Zeitpunkt der Entscheidung aktuell waren.

Wer diese Fragen nicht beantworten kann, hat ein Problem – unabhängig davon, ob die eigentliche Entscheidung richtig war.

Das betrifft alle drei Zielgruppen gleichermaßen:

Banken und FinTechs erzeugen bei PEP-Screenings, Risikobewertungen und Transaktionsmonitoring hohe Datenmengen in kurzer Zeit. Ohne Audit-Trail-Logik verschwimmt schnell, welches Ergebnis zu welchem Zeitpunkt vorlag.

Kanzleien führen GwG-Pflichten über die gesamte Mandatsdauer (§ 10 GwG). Wenn Handelsregister- oder Transparenzregisterabrufe nicht mit Quelle und Zeitstempel abgelegt werden, lässt sich später nicht zeigen, ob und wann eine Aktualisierung stattgefunden hat.

Versicherungen prüfen Geschäftspartner oft über lange Vertragslaufzeiten. Ohne klare Versionierung wird unklar, welcher Datenstand der jeweiligen Entscheidung zugrunde lag.

Was die Regulierung konkret verlangt

Das GwG schreibt kein bestimmtes System vor. Es definiert aber klare Mindestanforderungen:

  • § 8 Abs. 1 GwG: Erhobene Angaben, Sorgfaltsprüfungen und Risikobewertungen sind aufzuzeichnen
  • § 8 Abs. 3 GwG: Digitale Aufzeichnungen müssen mit den Originalangaben übereinstimmen und während der gesamten Aufbewahrungsfrist lesbar bleiben
  • § 8 Abs. 4 GwG: Aufbewahrungspflicht für fünf Jahre nach Ende der Geschäftsbeziehung

Die BaFin geht in ihren Auslegungs- und Anwendungshinweisen (Stand März 2025) noch einen Schritt weiter:

„Die von den Verpflichteten zur Erfüllung der Kundensorgfaltspflichten herangezogenen Dokumente, Daten oder Informationen sind periodisch und anlassbezogen zu aktualisieren."

BaFin, Auslegungs- und Anwendungshinweise zum GwG (AuA), Stand März 2025

Das bedeutet: Nicht nur die einmalige Dokumentation zählt. Auch Aktualisierungen müssen nachvollziehbar festgehalten werden.

Was einen belastbaren Audit-Trail ausmacht

Ein Audit-Trail, der einer Prüfung standhält, braucht fünf Elemente:

  1. Quelle – Welches Register, welche Liste, welche Datenbank wurde abgefragt?
  2. Zeitstempel – Wann genau wurde die Information abgerufen?
  3. Ergebnis – Was wurde konkret festgestellt?
  4. Unveränderbarkeit – Ist erkennbar, wenn ein Eintrag nachträglich verändert wurde?
  5. Verfügbarkeit – Lässt sich der Eintrag während der gesamten Aufbewahrungsfrist vollständig abrufen?

Fehlt eines dieser Elemente, ist die Dokumentation im Streitfall schwer zu verteidigen. Nicht weil die Prüfung falsch war – sondern weil sie sich nicht nachvollziehen lässt.

Belastbare Audit-Trails beginnen mit belastbaren Daten – und mit Quellen, die sich jederzeit nachvollziehen lassen. Erfahren Sie, wie Company.info Compliance-Teams dabei unterstützt.

Mehr erfahren →

Fazit

  • In Compliance zählt heute nicht nur, dass geprüft wurde – sondern dass sich die Prüfung jederzeit nachvollziehen lässt
  • Ein Log dokumentiert ein Ereignis. Ein Audit-Trail macht es überprüfbar
  • Das GwG verlangt vollständige, verfügbare und unveränderbare Aufzeichnungen – kein bestimmtes System, aber klare Mindeststandards
  • Wer Quelle, Zeitstempel und Ergebnis von Anfang an systematisch festhält, schafft sich Nachweisbarkeit – statt sie im Prüffall rekonstruieren zu müssen

Quellen

Vorheriger Artikel

AMLA, Compliance, Geldwäschegesetz, KYB

Verifizierte Daten: Grundlage be-lastbarer Compliance

Compliance scheitert heute selten an fehlenden Daten – sondern am fehlenden Nachweis. Die meisten Compliance-Entscheidungen beginnen mit Informationen, die Unternehmen selbst bereitstellen: Firmenname, Rechtsform, Geschäftsführer oder Angaben zu wirtschaftlich Berechtigten. Im Tagesgeschäft reicht das häufig aus. Die entscheidende Frage stellt sich jedoch meist erst später. Was passiert, wenn eine Aufsichtsbehörde, ein Wirtschaftsprüfer oder ein Gericht […]

Mehr lesen