Japans neue AML/CFT-Richtlinien der FSA: Die Ära des risikobasierten Ansatzes (DE)

Japans Finanzdienstleistungsaufsichtsbehörde (FSA) hat ihre Erwartungen an die Bekämpfung der Geldwäsche erhöht. Überarbeitete AML/CFT-Richtlinien traten am 31. März 2026 in Kraft und schärfen den risikobasierten Ansatz, unter dem japanische Finanzinstitute operieren müssen – mit höheren Erwartungen an Outsourcing, Technologie, Transaktionsüberwachung, Analysen verdächtiger Transaktionen und direkte Rechenschaftspflicht der Geschäftsleitung. Die Richtlinien gehen auch mit einer separaten Reform einher: einer Überarbeitung des Gesetzes zur Verhinderung der Übertragung krimineller Erlöse, die ab April 2027 die IC-Chip-basierte Identitätsprüfung für die Eröffnung von Fernkonten vorschreibt. Hier erfahren Sie, was sich geändert hat, wer betroffen ist und was zu tun ist.

Die Kurzversion

- Die überarbeiteten AML/CFT-Richtlinien der FSA traten am 31. März 2026 in Kraft und schärfen den risikobasierten Ansatz: Institutionen müssen eigenverantwortliche Risikobewertungen durchführen und eigene Minderungsmaßnahmen entwickeln, anstatt nur Vorlagen zu folgen.

- Neue Pflichten umfassen Outsourcing, Technologieeinführung und Transaktionsüberwachung, und Daten aus Verdachtsmeldungen müssen nach Land und Kundenmerkmal aufgeschlüsselt werden.

- Aufsichtsbehörden erhalten Zugang zu AML/CFT-Berichten auf Vorstandsebene, und die Geschäftsleitung ist direkt rechenschaftspflichtig – AML ist nicht länger an das Compliance-Backoffice delegierbar.

- Die Überarbeitungen bringen Japan nach den in der FATF-Gegenseitigkeitsprüfung 2021 festgestellten Effektivitätslücken mit den FATF-Standards in Einklang.

- Am Horizont: Ab April 2027 wird die IC-Chip-basierte Identitätsprüfung für die Eröffnung von Konten ohne persönliche Anwesenheit obligatorisch, und das Einreichen von Fotos oder Fotokopien von Ausweisdokumenten wird verboten.

Ein Hinweis zu den Quellen. Dieser Artikel ist auf dem Stand von Juli 2026 und stützt sich auf Veröffentlichungen der japanischen FSA, JAFIC und der Digital Agency, zusammen mit Berichten von The Japan Times und Biometric Update. Vorschriften entwickeln sich weiter – wenn Sie eine Änderung bemerken, teilen Sie uns dies bitte unter didit.me/contact mit.

Warum die FSA gehandelt hat: der FATF-Hintergrund von 2021

Der Auslöser für diesen Überarbeitungszyklus ist nicht mysteriös. Die gegenseitige Evaluierung Japans durch die FATF im Jahr 2021 zeigte Effektivitätslücken auf – das Rahmenwerk existierte auf dem Papier, aber die Aufsichtsbehörde wollte Beweise dafür, dass die Institutionen ihre eigenen Risiken tatsächlich verstanden und entsprechend gehandelt haben. Die Richtlinienüberarbeitungen vom März 2026 sind Japans strukturelle Antwort: Sie verringern den Abstand zwischen der japanischen Aufsichtspraxis und den FATF-Standards, indem sie nachweisbare Effektivität statt dokumentierter Verfahren fordern.

Die gesetzliche Grundlage hat sich nicht geändert. Finanzinstitute müssen weiterhin die Identität von Kunden überprüfen, Aufzeichnungen sieben Jahre lang aufbewahren und Verdachtsmeldungen (STRs) bei JAFIC, Japans Finanzinformationsbehörde, einreichen. Was sich geändert hat, ist alles, was diese Grundlage umgibt: wie Risiken bewertet werden, wer rechenschaftspflichtig ist und wie viel analytische Tiefe die Aufsichtsbehörde erwartet.

Was sich am 31. März 2026 geändert hat

Ein geschärfter risikobasierter Ansatz

Das Kernstück ist ein wirklich eigenverantwortlicher risikobasierter Ansatz. Von den Institutionen wird erwartet, dass sie ihre eigenen Risikobewertungen durchführen – ihre spezifischen Produkte, Kundenbasis, geografischen Gebiete und Vertriebskanäle kartieren – und dann Minderungsmaßnahmen entwerfen, die den gefundenen Ergebnissen angemessen sind. Eine generische Risikomatrix, die von einer Branchenvorlage kopiert wurde, ist genau das Muster, das diese Überarbeitung beenden soll: Wenn Ihre Bewertung jede Bank in Japan beschreiben könnte, beschreibt sie nicht Ihre.

Neue Pflichten: Outsourcing, Technologie und Transaktionsüberwachung

Drei operative Bereiche werden explizit behandelt, und jeder hat eine konkrete Auswirkung darauf, wie Compliance-Teams täglich arbeiten:

• Outsourcing. Viele Institutionen verlassen sich bei der Überprüfung, Verifizierung oder Überwachung auf Dritte – und die überarbeiteten Richtlinien legen explizite aufsichtsrechtliche Erwartungen an die Steuerung dieser Vereinbarungen fest. Der praktische Schritt: Erstellen Sie ein Inventar jeder ausgelagerten AML/CFT-Funktion, die Sie haben, und stellen Sie sicher, dass Sie nachweisen können, wie Sie jeden Anbieter überwachen, denn „unser Anbieter kümmert sich darum“ ist keine haltbare Antwort.
• Technologieeinführung. Die Richtlinien sprechen direkt an, wie Institutionen Technologie in ihren AML-Programmen einsetzen. Der praktische Schritt: Überprüfen Sie, ob Ihre aktuellen Tools – manuelle Überprüfungslisten, nächtliche Batch-Screenings, bildbasierte Dokumentenprüfungen – noch zu dem Risikoprofil passen, das Ihre eigene Bewertung beschreibt, und dokumentieren Sie die Begründung für jede Technologieentscheidung, damit sie einer Prüfung standhält.
• Transaktionsüberwachung. Die Überwachung wird nun als eine zu erfüllende Verpflichtung und nicht als ein anzukreuzendes Kästchen verstanden. Der praktische Schritt: Kalibrieren Sie Szenarien und Schwellenwerte anhand der eigenen Risikobewertung Ihrer Institution und nicht anhand von Anbieterstandardwerten neu, da der risikobasierte Ansatz die institutionsspezifische Anpassung zum Standard macht.

Für den genauen Wortlaut jeder Verpflichtung lesen Sie bitte direkt den veröffentlichten Leitfaden der FSA – dieser Artikel fasst die Richtung zusammen, nicht den Gesetzestext.

STR-Analysen nach Land und Kundenmerkmal

Daten aus Verdachtsmeldungen müssen nun nach Land und Kundenmerkmal aufgeschlüsselt werden. Das verwandelt die Einreichung von STRs von einer Durchlaufübung in eine analytische: Institutionen benötigen Berichtspipelines, die verdächtige Aktivitäten nach Herkunftsland und Kundensegment aufschlüsseln können, und sie sollten erwarten, dass diese Daten als Maß dafür gelesen werden, wie gut sie ihre eigene Exposition verstehen.

Vorstände in der Verantwortung

Zwei Governance-Änderungen gehen Hand in Hand. Die Aufsichtsbehörden erhalten Zugang zu AML/CFT-Berichten auf Vorstandsebene, und die Geschäftsleitung wird direkt für das Programm zur Rechenschaft gezogen. In Kombination bedeuten sie, dass AML ein ständig sichtbares Thema für den Vorstand sein muss, mit echten Managementinformationen dahinter – Risikobewertungsergebnisse, Überwachungsleistung, STR-Analysen – anstatt einer jährlichen Compliance-Zusammenfassung. Wenn das Vorstandspaket nicht zeigen kann, wie das Geldwäscherisiko der Institution in diesem Quartal aussieht, ist das jetzt ein Governance-Befund, keine Lücke in den Unterlagen.

Der Compliance-Zeitplan: 2025 → 2027

Die Richtlinienüberarbeitung ist der Mittelakt einer dreijährigen Sequenz, die die japanische AML-Compliance neu gestaltet:

Wann	Was passiert	Wer ist betroffen
August 2025	Elektronische Zahlungsdienstleister (EPISPs) werden vollständig in den AML-Bereich einbezogen, einschließlich der Travel Rule-Verpflichtungen	Stablecoin- und elektronische Zahlungsdienstleister
Mitte Januar 2026	Die Verifizierung wird über JPKI unter Verwendung der My Number Card und durch Abgleich der digitalen IC-Chip-Daten eines Ausweises mit dem Gesichtsbild des Inhabers verfügbar	Institutionen, die Kunden aus der Ferne aufnehmen
31. März 2026	Überarbeitete FSA AML/CFT-Richtlinien treten in Kraft	Banken und Finanzinstitute unter FSA-Aufsicht
April 2027	Die IC-Chip-basierte Identitätsprüfung wird für die Eröffnung von Konten ohne persönliche Anwesenheit obligatorisch; das Einreichen von Fotos oder Fotokopien von Ausweisdokumenten ist verboten	Alle Banken und Finanzinstitute, die Konten aus der Ferne eröffnen

Krypto und Stablecoins: EPISPs und die Travel Rule

Der Eintrag vom August 2025 verdient einen eigenen Hinweis. Durch die vollständige Einbeziehung von EPISPs – einschließlich der Travel Rule – hat Japan Stablecoin- und elektronische Zahlungsgeschäfte in sein AML/CFT-Regime aufgenommen. Krypto-nahe Unternehmen, die Japan bedienen, sollten die Richtlinien vom März 2026 auch als ihre aufsichtsrechtliche Wettervorhersage lesen, nicht nur die Banken.

April 2027: das Ende der fotobasierten Fern-Onboarding

Die sichtbarste Änderung für Kunden kommt zuletzt. Nach dem überarbeiteten Gesetz zur Verhinderung der Übertragung krimineller Erlöse müssen Fernbewerber ab April 2027 den eingebetteten IC-Chip ihrer My Number Card oder ihres Führerscheins auslesen lassen – denn gefälschte und manipulierte Ausweise sind allein anhand von Bildern zu schwer zu erkennen.

Methode der Fernverifizierung	Heute	Ab April 2027
Hochladen eines Fotos eines Ausweisdokuments	Akzeptiert	Verboten
Einreichen einer Fotokopie eines Ausweisdokuments	Akzeptiert	Verboten
Auslesen des eingebetteten IC-Chips des Ausweises (My Number Card oder Führerschein)	Verfügbar – JPKI und Chip-plus-Gesichtsabgleich seit Mitte Januar 2026 live	Obligatorisch

Der Markt bewegt sich bereits: Ein großer japanischer Anbieter meldete einen Anstieg der IC-Chip-basierten Prüfungen um das 1,8-fache auf 14 Millionen, bei insgesamt über 60 Millionen Verifizierungen. Institutionen, die bis Anfang 2027 warten, um das Onboarding neu aufzubauen, werden unter Termindruck migrieren, während ihre Wettbewerber bereits Chip-First-Flows betreiben.

Wo Didit hilft: Japans Umstellung von fotobasierten Prüfungen auf Chip-basierte Verifizierung entspricht direkt den Funktionen, die Didit bereits weltweit anbietet. NFC-Chip-Lesen – ein Preisposten unter Benutzerverifizierung für 0,15 USD – liest den eingebetteten Chip von chip-ausgestatteten Ausweisdokumenten, und das Kern-KYC-Paket (0,33 USD pro erfolgreicher Prüfung: ID-Verifizierung, passive Lebenderkennung, Face Match 1:1, IP-Analyse, mit 500 kostenlosen Kern-KYC-Prüfungen pro Monat) deckt die biometrische Gesichtserkennung ab, die die neuen japanischen Regeln betonen. Für die risikobasierten Erwartungen der FSA unterstützen die AML-Screening (0,20 USD pro Prüfung über 1.300+ Listen, mit laufender Überwachung für 0,07 USD pro Benutzer pro Jahr) und die Transaktionsüberwachung den Screening- und Überwachungsteil des Programms. Die Abdeckung erstreckt sich auf über 220 Länder und 14.000+ Dokumententypen mit einer Inferenzzeit von unter 2 Sekunden. Erfahren Sie, wie dies in Japans Rahmen für das Gesetz zur Verhinderung krimineller Erlöse passt, auf Didits Japan-Lösungsseite.

Was Compliance-Teams jetzt tun sollten

Eine praktische Abfolge zwischen jetzt und April 2027:

1. Führen Sie Ihre Risikobewertung erneut durch, als ob die FSA sie lesen würde – denn das kann sie. Machen Sie sie institutionsspezifisch: Ihre Produkte, Ihre Korridore, Ihre Kundensegmente.
2. Kartieren Sie Ihr Outsourcing. Listen Sie jeden Drittanbieter auf, der eine AML/CFT-Funktion ausführt, und fügen Sie jedem Überwachungsnachweise bei.
3. Kalibrieren Sie die Transaktionsüberwachung anhand dieser Risikobewertung neu und dokumentieren Sie, warum jedes Szenario und jeder Schwellenwert existiert.
4. Integrieren Sie STR-Analysen nach Land und Kundenmerkmal jetzt in Ihre Berichtspipeline, damit die Aufschlüsselungen vorhanden sind, bevor jemand danach fragt.
5. Setzen Sie AML auf die Tagesordnung des Vorstands mit echten Managementinformationen – Governance-Zugang und Rechenschaftspflicht der Geschäftsleitung sind jetzt Teil des Aufsichtsinstrumentariums.
6. Planen Sie die IC-Chip-Migration frühzeitig. Die Foto- und Fotokopierverifizierung für die Eröffnung von Fernkonten stirbt im April 2027; die JPKI- und Chip-Lese-Systeme sind seit Mitte Januar 2026 live, es gibt also keinen Grund, das Onboarding im letzten Quartal neu zu gestalten.
7. Wenn Sie Stablecoins oder elektronische Zahlungsinstrumente verwenden, bestätigen Sie Ihre Travel Rule-Position – EPISPs sind seit August 2025 vollständig in den Anwendungsbereich einbezogen worden.

Für verbindliche Details veröffentlichen die FSA, JAFIC und die Digital Agency die Primärtexte – einschließlich der My Number FAQ der Digital Agency für die Identitätsprüfung.

Bereit für Japans risikobasierte Ära?

Die Richtlinien vom März 2026 belohnen Institutionen, die nachweisen können, dass sie ihr eigenes Risiko verstehen – und das Chip-Mandat vom April 2027 belohnt diejenigen, die die Verifizierung modernisieren, bevor sie dazu gezwungen werden. Didit vereint Identitätsprüfung, biometrischen Gesichtsabgleich, NFC-Chip-Lesen, AML-Screening und Transaktionsüberwachung in einer Plattform mit nutzungsbasierter Preisgestaltung, sodass Compliance-Teams den Stack aufbauen können, den Japans neue Ära erwartet. Starten Sie mit Didit.

Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen über die Verpflichtungen Ihrer Institution nach japanischem Recht konsultieren Sie qualifizierte Rechtsberater und die Primärtexte der FSA, JAFIC und Digital Agency.