AML-Compliance-Prüfung in Dubai (VAE): Ablauf, Unterlagen und Kosten

Was ist eine AML-Compliance-Prüfung und warum verlangen die VAE sie?

Eine AML-Compliance-Prüfung ist eine unabhängige Untersuchung, die feststellt, ob ein Unternehmen seine Pflichten zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung tatsächlich erfüllt. Geprüft werden schriftliche Richtlinien, Unterlagen zur Sorgfaltspflicht gegenüber Kunden, Aufzeichnungen zur Transaktionsüberwachung und Meldeprotokolle. Zuständig sind je nach Lizenz das Ministerium für Wirtschaft und Tourismus, die Zentralbank der VAE, die DFSA im DIFC oder die FSRA im ADGM.

Die Vereinigten Arabischen Emirate wurden am 23. Februar 2024 von der FATF-Liste der verstärkt überwachten Länder gestrichen und stehen laut FATF-Aktualisierung vom 19. Juni 2026 weiterhin nicht auf dieser Liste. Der Erhalt dieses Status hängt vom Verhalten der einzelnen Unternehmen ab, weshalb die Prüfungstätigkeit eher zugenommen hat. Allein im ersten Halbjahr 2025 stellte das Ministerium für Wirtschaft und Tourismus 1.063 Verstöße fest und verhängte Bußgelder von mehr als 42 Millionen AED.

Am Ende der Prüfung stehen drei verwertbare Ergebnisse: ein dokumentiertes Risikoprofil, eine nach Schweregrad gegliederte Mängelliste und ein datierter Maßnahmenplan. Banken bei der Kontoeröffnung, Freizonenbehörden bei der Lizenzverlängerung und Geschäftspartner bei der Lieferantenprüfung fragen diese Berichte zunehmend ab.

Interne Kontrolle, unabhängige Prüfung und behördliche Inspektion

Drei Untersuchungsformen werden häufig verwechselt. Welche davon ansteht, bestimmt den Umfang der Vorbereitung.

Wer ist in den VAE AML-pflichtig?

Die AML-Pflicht betrifft weit mehr als Banken. Das Recht der VAE stellt neben die Finanzinstitute die sogenannten designierten nichtfinanziellen Unternehmen und Berufe (DNFBP). Viele Unternehmer, die ein Unternehmen in Dubai gründen, erfahren erst beim ersten Behördenschreiben, dass ihr Tätigkeitscode sie erfasst.

Finanzinstitute

Dazu zählen Banken, Wechselstuben, Zahlungsdienstleister, Versicherer, Broker und Anbieter von Dienstleistungen rund um virtuelle Vermögenswerte. Die Aufsicht liegt überwiegend bei der Zentralbank der VAE; im DIFC prüft die DFSA, im ADGM die FSRA nach eigenen Regelwerken.

DNFBP: Designierte nichtfinanzielle Unternehmen und Berufe

Unter der Aufsicht des Ministeriums für Wirtschaft und Tourismus stehen vier Hauptkategorien:

• Immobilienmakler und -vermittler (REAB) – alle Betriebe, die Kauf oder Vermietung vermitteln
• Händler mit Edelmetallen und Edelsteinen (DPMS) – Gold-, Diamanten- und Schmuckhandel
• Unabhängige Buchhalter und Wirtschaftsprüfer (IAA)
• Unternehmensdienstleister und Treuhänder (TCSP) – Firmengründung und -verwaltung

Jedes Unternehmen dieser vier Gruppen muss sich mit Aufnahme der Geschäftstätigkeit im goAML-System registrieren, einen Compliance-Beauftragten bestellen und eine unternehmensweite Risikobewertung vorhalten.

Mainland, Freizone, DIFC und ADGM

Welche Behörde prüft, richtet sich nach dem Registrierungsort. Mainland-Gesellschaften unterstehen dem Ministerium für Wirtschaft und Tourismus sowie dem Department of Economy and Tourism. In kommerziellen Freizonen ist die Zonenbehörde erster Ansprechpartner, während DIFC und ADGM als finanzielle Freizonen eigenständige Regime mit eigenen Registern für wirtschaftlich Berechtigte betreiben.

Ablauf der AML-Prüfung Schritt für Schritt

Bei geordneter Aktenlage dauert eine unabhängige AML-Prüfung in der Regel zwei bis vier Wochen. Fehlende Unterlagen, eine veraltete Risikobewertung oder unstrukturierte Kundenakten können diese Zeit verdoppeln. Die folgende Übersicht zeigt die sechs Phasen in ihrer tatsächlichen Reihenfolge.

1. Umfangsbestimmung und Vorbereitung

Die Prüfung beginnt mit dem Lesen der Tätigkeitscodes auf der Handelslizenz, denn diese entscheiden darüber, ob das Unternehmen als DNFBP gilt und welcher Sektorleitfaden anzuwenden ist. Gleichzeitig werden Bestellungsschreiben, Aufgabenbeschreibung und Unabhängigkeit des Compliance-Beauftragten geprüft; die Funktion soll vom Vertrieb und von der Kundenannahme getrennt sein.

2. Unternehmensweite Risikobewertung

Die unternehmensweite Risikobewertung ist das Rückgrat der Prüfung. Kundentypen, Produkte und Dienstleistungen, bediente Länder und Vertriebskanäle werden getrennt bewertet; das Ergebnis bestimmt, wie streng die Annahmepolitik ausfallen muss. Eine nie aktualisierte Bewertung ist die am häufigsten beanstandete Schwachstelle.

3. Unterlagen und Aufzeichnungen

Die Unterlagen werden digital und durchsuchbar zusammengestellt, vorzugsweise als PDF. Widersprüche zwischen Firmenakten und Kundendateien fallen zuerst auf: Stimmt der Anteil im Gesellschafterdokument nicht mit der UBO-Meldung überein, geht die Akte in die vertiefte Prüfung.

4. Stichprobentest und Vor-Ort-Prüfung

Der Prüfer wählt eine Stichprobe, die alle Risikostufen abbildet, und testet, ob Identitätsprüfung, Herkunftsnachweis der Mittel, Sanktionslistenabgleich und PEP-Kontrolle durchgeführt und dokumentiert wurden. Fehlt bei einem Hochrisikokunden die verstärkte Sorgfaltsprüfung, wird eine Feststellung erfasst.

5. Feststellungsbericht und Maßnahmenplan

Feststellungen werden als kritisch, hoch, mittel und gering eingestuft, jeweils mit verantwortlicher Person und Frist. Kritische Punkte sollen üblicherweise binnen 30 Tagen, mittlere binnen 90 Tagen geschlossen werden.

6. Nachprüfung und laufende Überwachung

Sobald Maßnahmen umgesetzt sind, bestätigt eine Nachprüfung den Abschluss. Laufende Überwachung bedeutet, Sanktionslisten zu aktualisieren, Schulungen zu wiederholen und die Risikobewertung bei jeder Änderung des Geschäftsmodells zu erneuern.

Checkliste der erforderlichen Unterlagen

Die Vorbereitung gliedert sich in vier Dokumentengruppen. Werden alle vollständig übergeben, verkürzt sich die Prüfdauer spürbar.

Firmen- und Strukturunterlagen

• Gesellschaftsvertrag samt allen Änderungen
• Gültige Handelslizenz und Auszug der Tätigkeitscodes
• Adressnachweis (Ejari oder Mietvertrag)
• Gesellschafter- und Aktionärsregister
• Register der wirtschaftlich Berechtigten und UBO-Erklärung
• Vereinbarungen über Nominee-Direktoren oder -Gesellschafter
• Schaubild der Beteiligungsstruktur über alle Ebenen
• Reisepass-, Visums- und Emirates-ID-Kopien aller Gesellschafter und Geschäftsführer

Richtlinien, Verfahren und Bestellungen

• Schriftliche AML/CFT-Richtlinie und Verfahrenshandbuch
• Bericht zur unternehmensweiten Risikobewertung
• Bestellungsschreiben und Aufgabenbeschreibung des Compliance-Beauftragten
• Richtlinie zur Kundenannahme und -ablehnung
• Verfahren und Protokolle des Sanktionslistenabgleichs
• Schulungsplan, Teilnahmelisten und Schulungsunterlagen

Kundenakten und Transaktionsunterlagen

• Akten zur Kundensorgfaltspflicht (CDD) und Identitätsnachweise
• Unterlagen zur verstärkten Sorgfaltsprüfung (EDD) bei Hochrisikokunden
• Erklärungen zur Herkunft der Mittel und des Vermögens
• Geprüfte Jahresabschlüsse und Kontoauszüge der letzten sechs Monate
• Rechnungen, Bestellungen und Verträge als Nachweis echter Geschäftstätigkeit

Melde- und Aufbewahrungsunterlagen

• Bestätigung der goAML-Registrierung und Zugangsdaten
• Register der Verdachtsmeldungen samt schriftlicher Begründung für nicht gemeldete Fälle
• Nachweis der Aufbewahrung aller Unterlagen über mindestens fünf Jahre

goAML-Registrierung und Verdachtsmeldung in der Prüfung

goAML ist die Meldeplattform der Financial Intelligence Unit der VAE; die Registrierung ist für alle verpflichteten Unternehmen zwingend. Der Prüfer kontrolliert zunächst, ob die Registrierung aktiv ist, und anschließend, ob die im System hinterlegte verantwortliche Person weiterhin im Amt ist. Das Ministerium für Wirtschaft und Tourismus hatte die Geschäftstätigkeit von 50 DNFBP-Betrieben wegen fehlender goAML-Registrierung für drei Monate ausgesetzt; eine fehlende Registrierung gilt deshalb als kritische Feststellung.

Verdachtsmeldungen sind unverzüglich und unmittelbar an die Financial Intelligence Unit zu richten. Geprüft werden zwei Punkte: ob gemeldete Fälle dokumentiert sind und ob für auffällige, aber nicht gemeldete Transaktionen eine schriftliche Begründung vorliegt. Eine nicht dokumentierte Entscheidung gilt prüfungsrechtlich als nicht getroffene Entscheidung. Die einzelnen Schritte der Anmeldung behandelt unser Beitrag zur goAML-Registrierung und AML-Antragstellung.

UBO-Meldung und die 25-Prozent-Schwelle

Wirtschaftlich Berechtigter ist jede natürliche Person, die unmittelbar oder mittelbar 25 Prozent oder mehr der Anteile oder Stimmrechte hält. Auch Kontrollrechte wie die Befugnis, die Mehrheit der Geschäftsführer zu bestellen oder abzuberufen, begründen diese Stellung. Maßgeblich ist Kabinettsbeschluss Nr. 109 von 2023, der den Beschluss Nr. 58 von 2020 aufgehoben hat; DIFC und ADGM wenden eigene Regelungen an.

Geprüft werden drei Register und deren Aktualität: das Gesellschafterregister, das Register der wirtschaftlich Berechtigten und die Erfassung von Nominee-Direktoren. Es gelten folgende Fristen.

Bei Verstößen gegen die UBO-Pflichten sieht Kabinettsbeschluss Nr. 132 von 2023 eine gestufte Sanktion vor: zunächst eine befristete Verwarnung, im Wiederholungsfall Bußgelder ab 15.000 AED bis zu 100.000 AED je nach Verstoßart. Beim dritten Verstoß kann die Registerbehörde die Handelslizenz aussetzen und den Betrieb schließen.

Die häufigsten Prüfungsfeststellungen

Die vom Ministerium für Wirtschaft und Tourismus veröffentlichten Inspektionsergebnisse für das erste Halbjahr 2025 zeigen, in welchen Branchen sich Mängel häufen. Der Schwerpunkt liegt bei Kundensorgfaltspflicht, Risikobewertung und Verdachtsmeldung.

In der Praxis wiederholen sich dieselben Schwachstellen: eine nie aktualisierte Risikobewertung, fehlende verstärkte Sorgfaltsprüfung bei Hochrisikokunden, ein durchgeführter, aber nicht dokumentierter Sanktionslistenabgleich, ein in den Vertrieb eingebundener Compliance-Beauftragter und fehlende Nachweise echter Geschäftstätigkeit. Der letzte Punkt erhöht unmittelbar das Risiko, als Briefkastenfirma eingestuft zu werden.

Auswirkungen der aktuellen Gesetzesänderungen

Der AML/CFT-Rahmen der VAE wurde in den vergangenen zwei Jahren neu aufgestellt. Das Föderale Dekret-Gesetz Nr. 10 von 2025 ist seit dem 14. Oktober 2025 in Kraft, ersetzt das Dekret-Gesetz von 2018 und erfasst neben Geldwäsche und Terrorismusfinanzierung nun auch die Finanzierung von Proliferation. Die Ausführungsbestimmungen in Kabinettsbeschluss Nr. 134 von 2025 gelten seit dem 14. Dezember 2025.

Drei Änderungen wirken sich unmittelbar auf Prüfungen aus:

• Höhere Bußgeldobergrenzen für juristische Personen. Bei Geldwäsche, Terrorismusfinanzierung und Proliferationsfinanzierung reicht der Rahmen von 5 Millionen bis 100 Millionen AED, bei sonstigen Verstößen von 200.000 bis 10 Millionen AED.
• Proliferationsfinanzierung als eigener Kontrollpunkt. Screening-Programme müssen dieses Risiko ausdrücklich abdecken.
• Neue Ausschussstruktur. Der nationale Ausschuss unter Vorsitz des Zentralbankgouverneurs bestimmt die Fortschreibung der Sektorleitfäden.

Straftatbestände und Strafrahmen behandelt unser Beitrag zu den Gesetzen zur Bekämpfung der Geldwäsche in Dubai ausführlich.

30-Tage-Plan zur Vorbereitung

Steht der Prüfungstermin fest, lässt sich der größte Teil der Vorbereitung in vier Wochen erledigen.

• Woche 1 – Bestandsaufnahme: Lizenz und Tätigkeitscodes prüfen, Bestellung des Compliance-Beauftragten und goAML-Registrierung bestätigen, vorhandene Richtlinien sammeln.
• Woche 2 – Risiko: unternehmensweite Risikobewertung aktualisieren und Kundenportfolio nach Risikostufen neu einordnen.
• Woche 3 – Aktenpflege: fehlende Identitätsnachweise ergänzen, abgelaufene Pässe und Visa erneuern, UBO-Register mit der Beteiligungsstruktur abgleichen.
• Woche 4 – Probelauf: interne Stichprobe testen, Mitarbeiterschulung wiederholen, Maßnahmenplan für offene Punkte erstellen.

Zur Vorbereitung gehört auch, die Buchhaltung prüffähig zu halten: Die Übereinstimmung von Jahresabschluss und Kontobewegungen ist der erste Datenpunkt jeder Herkunftsprüfung. Werden Steuerberatung in Dubai und Bankkontoprozesse gemeinsam geplant, verkürzt sich die Vorbereitungszeit deutlich.