AML-Pflichten in Bosnien und Herzegowina: Leitfaden 2026

Wer in Bosnien und Herzegowina als Verpflichteter im Sinne des Geldwäscherechts tätig ist, muss eine dokumentierte Risikoanalyse, von der Geschäftsleitung genehmigte interne Richtlinien, eine risikobasierte Kundenprüfung einschließlich der wirtschaftlich Berechtigten, sofortige Verdachtsmeldungen an die Finanzaufklärungsabteilung (FOO), regelmäßige Schulungen, interne Kontrollen und eine mindestens fünfjährige Aufbewahrung der Unterlagen nachweisen können. Grundlage ist das staatliche Gesetz zur Verhinderung von Geldwäsche und Terrorismusfinanzierung (Službeni glasnik BiH, Nr. 13/2024). Dieser Leitfaden zeigt, wen das Gesetz erfasst, was konkret zu tun ist und wo internationale Unternehmen in der Praxis am häufigsten Lücken haben.

Kurz gesagt

• Das geltende AML-Gesetz wurde im Februar 2024 im Amtsblatt veröffentlicht; seit Februar 2026 gibt es dazu eine Durchführungsverordnung des Sicherheitsministeriums.
• Verpflichtet sind nicht nur Banken und Versicherer, sondern auch Leasinggeber, Mikrokreditorganisationen, Notare, Anwälte, Wirtschaftsprüfer, Immobilienmakler, Glücksspielanbieter sowie der Kunst- und Edelmetallhandel, teils abhängig von Schwellenwerten.
• Kern der Pflichten sind Risikoanalyse, interne Richtlinien, Kundenidentifizierung, laufende Überwachung, Meldungen an die FOO und fünf Jahre Aufbewahrung.
• Die Prüfung der Liste sanktionierter Personen betrifft ausdrücklich alle natürlichen und juristischen Personen, also auch Unternehmen außerhalb des Kreises der klassischen Verpflichteten.
• Konzernrichtlinien aus der EU ersetzen keine lokale Umsetzung: Zuständigkeiten, Meldewege und Dokumentation müssen auf das Recht von Bosnien und Herzegowina zugeschnitten sein.

Inhaltsverzeichnis

• Der Rechtsrahmen: Gesetz, Verordnung und Behörden
• Wer zu den Verpflichteten zählt
• Die AML-Pflichten im Überblick
• Sanktionslisten: die Pflicht für alle
• Verdachtsmeldungen an die FOO
• Verantwortliche, Schulungen und Kontrollen
• Sanktionen und Haftung
• Besonderheiten für internationale Unternehmen
• AML-Compliance in acht Schritten umsetzen
• Unsere Sicht: Prävention schlägt Reaktion
• Unterstützung bei der AML-Umsetzung
• Häufige Fragen
• Quellen

Der Rechtsrahmen: Gesetz, Verordnung und Behörden

Das Geldwäscherecht ist in Bosnien und Herzegowina auf staatlicher Ebene geregelt. Anders als bei vielen Fragen des Gesellschafts- oder Steuerrechts, die sich zwischen der Föderation BiH, der Republika Srpska und dem Distrikt Brčko unterscheiden, gilt das AML-Gesetz einheitlich im ganzen Land. Für ausländische Unternehmen ist das eine gute Nachricht: Ein Compliance-Programm muss nicht für jede Entität neu gebaut werden.

Das aktuelle Gesetz wurde im Februar 2024 als Gesetz Nr. 13/2024 im Amtsblatt von Bosnien und Herzegowina veröffentlicht. Am 23. Februar 2026 hat das Sicherheitsministerium eine Durchführungsverordnung (Pravilnik) zum Gesetz veröffentlicht. Sie konkretisiert, wie die gesetzlichen Pflichten im Alltag umzusetzen sind. Wer seine Prozesse noch auf Basis der Rechtslage vor 2024 aufgesetzt hat, sollte sie an beiden Texten neu ausrichten.

Zentrale operative Stelle ist die Finanzaufklärungsabteilung (Finansijsko-obavještajno odjeljenje, FOO). Sie nimmt Meldungen der Verpflichteten entgegen, analysiert sie und leitet weitere Maßnahmen ein. Das Sicherheitsministerium betreibt mit dem Portal aml-cft.msb.gov.ba die zentrale Informationsquelle mit Gesetzestext, Leitfäden und der Liste sanktionierter Personen.

Der politische Hintergrund ist klar formuliert. Nach dem Leitfaden des Ministeriums für Immobilienhändler soll die Umsetzung des Gesetzes die Transparenz erhöhen, die Einstufung des Landes gemessen an den FATF-Standards verbessern und das Vertrauen in- und ausländischer Investoren stärken. Für Unternehmen heißt das: Behörden und Banken werden die Einhaltung eher strenger als nachsichtiger prüfen. Das Rechtsgebiet bleibt in Bewegung, weitere Anpassungen am Gesetz sind daher jederzeit möglich. Den aktuellen Stand finden Sie stets auf dem Portal des Ministeriums.

Wer zu den Verpflichteten zählt

Das Gesetz definiert einen geschlossenen Kreis von Verpflichteten (obveznici). Für sie gelten die Pflichten unmittelbar und vollständig. Zu den Verpflichteten gehören nach dem Gesetzestext unter anderem:

Entscheidend ist der Zusatz, dass manche Pflichten nur greifen, wenn bestimmte Bedingungen oder Schwellenwerte erfüllt sind. Ein Händler fällt nicht allein wegen seiner Branche unter das Gesetz, sondern wegen der Art und Höhe seiner Geschäfte. Diese Einordnung sollte am Anfang jedes Compliance-Projekts schriftlich erfolgen, weil sie den gesamten Umfang der späteren Pflichten bestimmt.

Der Leitfaden des Ministeriums begründet die Einbeziehung freier Berufe damit, dass ihre Dienstleistungen nicht für Geldwäsche missbraucht werden sollen. Wer Gesellschaften gründet, Immobilien vermittelt oder Transaktionen strukturiert, sitzt an einer Schnittstelle, die Kriminelle gezielt suchen.

Auch Nicht-Verpflichtete sind betroffen

Viele Technologie- und Industrieunternehmen gehören nicht zum Kreis der Verpflichteten. AML ist für sie trotzdem kein Randthema, aus zwei Gründen. Erstens müssen nach Angaben des Ministeriums alle natürlichen und juristischen Personen die Liste sanktionierter Personen prüfen, und zwar bei Aufnahme einer Geschäftsbeziehung, bei Transaktionen und während der laufenden Beziehung. Zweitens prüfen Banken und Leasinggeber ihre Geschäftskunden nach dem Gesetz. Wer die Struktur seiner Tochtergesellschaft, die wirtschaftlich Berechtigten oder die Herkunft von Kapitalzuführungen nicht sauber belegen kann, erlebt das bei der Kontoeröffnung oder der ersten großen Auslandsüberweisung.

Die AML-Pflichten im Überblick

Das Gesetz verlangt von Verpflichteten ein geschlossenes System: Risikobewertungen, Richtlinien, Verfahren und Kontrollen, Kundenidentifizierung und -überwachung, Meldungen an die FOO, benannte Verantwortliche, Schulungen, Prüfungen sowie Aufzeichnungen und Datenschutz. Die folgende Übersicht ordnet diese Bausteine nach ihrer Funktion.

Risikoanalyse und interne Richtlinien

Am Anfang steht die Risikoanalyse. Das Gesetz verlangt, dass betroffene Unternehmen eine Risikoanalyse erstellen und interne Richtlinien verabschieden, die vom höchsten Leitungsorgan genehmigt werden. Damit liegt die Verantwortung ausdrücklich bei der Geschäftsführung, nicht bei einer einzelnen Fachabteilung.

Die Analyse muss nicht für jedes Unternehmen gleich umfangreich sein. Der Leitfaden des Ministeriums erläutert, wie Risikobewertungen an Größe und Art der Geschäftstätigkeit angepasst werden können. Ein Immobilienbüro mit wenigen lokalen Kunden braucht ein anderes Dokument als ein Zahlungsdienstleister mit internationaler Kundschaft. Unverzichtbar sind in jedem Fall vier Fragen: Wer sind unsere Kunden, welche Produkte nutzen sie, aus welchen Ländern kommen Geld und Geschäftspartner, und über welche Kanäle wird das Geschäft abgewickelt?

Kundenprüfung und wirtschaftlich Berechtigte

Die Identität des Kunden und des wirtschaftlich Berechtigten ist anhand zuverlässiger Quellen zu verifizieren. Bei juristischen Personen bedeutet das, die Eigentumskette bis zu den natürlichen Personen zurückzuverfolgen, die das Unternehmen letztlich kontrollieren. Bei mehrstufigen Holdingstrukturen mit Gesellschaften in mehreren Ländern ist genau das der aufwendigste Teil.

Die Überwachung richtet sich nach dem festgestellten Risiko. Ein Kunde mit einfacher Struktur und unauffälligen Zahlungen wird mit geringerem Aufwand begleitet als ein Kunde mit komplexer Struktur, Bargeldbezug oder Verbindungen in Hochrisikoländer. Das Prinzip ist dasselbe wie im EU-Recht: Der Aufwand folgt dem Risiko, aber er muss begründet und dokumentiert sein.

Aufbewahrung und Datenschutz

Daten und Unterlagen aus der Kundenprüfung sind nach dem Gesetz mindestens fünf Jahre aufzubewahren. Gleichzeitig verlangt das Gesetz den Schutz dieser Daten. Für international tätige Unternehmen ist das ein Punkt, an dem AML und Datenschutz unmittelbar zusammentreffen: Wer KYC-Daten aus Bosnien und Herzegowina in ein zentrales Konzernsystem in der EU überträgt, braucht eine saubere Rechtsgrundlage, klare Zugriffsrechte und ein Löschkonzept nach Ablauf der Fristen.

Wie eng beide Bereiche inzwischen verzahnt sind, zeigt ein Beispiel aus Schweden, wo Großbanken mit der Datenschutzbehörde an einem Ansatz zur Bekämpfung von Geldwäsche unter Datenschutzaufsicht arbeiten. Die Frage dahinter stellt sich auch in Bosnien und Herzegowina: Wie viel Datenaustausch ist für die Geldwäscheprävention nötig, und wie viel ist datenschutzrechtlich zulässig?

Sanktionslisten: die Pflicht für alle

Das Ministerium führt eine durchsuchbare Liste der Personen und Organisationen, gegen die gezielte Sanktionen gelten. Nach den Angaben des Ministeriums müssen Finanzinstitute, bestimmte nichtfinanzielle Unternehmen und Berufe sowie alle anderen natürlichen und juristischen Personen diese Liste regelmäßig prüfen.

In der Praxis bedeutet das drei Prüfzeitpunkte:

1. Vor Vertragsschluss: Neue Kunden, Lieferanten und Geschäftspartner werden vor der ersten Leistung abgeglichen.
2. Bei Transaktionen: Zahlungen an neue Empfänger oder ungewöhnliche Zahlungsflüsse werden geprüft.
3. Während der Geschäftsbeziehung: Bestehende Partner werden in festen Abständen erneut abgeglichen, weil Listen sich ändern.

Für ein Technologieunternehmen mit einer Entwicklungsniederlassung in Sarajevo oder Banja Luka heißt das: Auch ohne Status als Verpflichteter sollte ein dokumentierter Abgleich in den Einkaufs- und Vertriebsprozess eingebaut sein.

Verdachtsmeldungen an die FOO

Verdächtige Transaktionen müssen nach dem Gesetz sofort nach ihrer Feststellung an die Finanzaufklärungsabteilung gemeldet werden. Die FOO analysiert die Meldung und entscheidet über weitere Schritte. Für das Unternehmen ist entscheidend, dass der interne Weg vom ersten Verdacht bis zur Meldung kurz, klar und dokumentiert ist.

Was einen Verdacht auslöst, beschreibt das Ministerium in seinen häufig gestellten Fragen: Transaktionen, die nicht zum Kundenprofil passen, sowie plötzliche und ungewöhnliche Geldzuflüsse und -abflüsse. Aus der Beratungspraxis lassen sich weitere typische Muster ergänzen:

• Zahlungen über Dritte, die mit dem Vertrag erkennbar nichts zu tun haben
• Eigentümerstrukturen, die ohne wirtschaftlichen Grund mehrfach verschachtelt sind
• Kunden, die Informationen zur Mittelherkunft verweigern oder auffällig verzögern
• Aufteilung eines Geschäfts in mehrere kleinere Zahlungen ohne nachvollziehbaren Anlass
• Kaufpreise, die deutlich vom Marktwert abweichen, etwa bei Immobilien

Wichtig ist die Haltung im Unternehmen. Mitarbeitende müssen wissen, an wen sie einen Verdacht melden, und sie dürfen den Kunden nicht über die Meldung informieren. Ein Meldeweg, der erst im Ernstfall improvisiert wird, ist der häufigste Grund für verspätete Meldungen.

Verantwortliche, Schulungen und Kontrollen

Das Gesetz verlangt benannte Verantwortliche, Schulungen der Mitarbeitenden sowie laufende interne Kontrollen und externe Revisionen. Diese Bausteine machen aus Papierrichtlinien ein funktionierendes System.

Die verantwortliche Person braucht ausreichende Befugnisse, Zugang zu allen relevanten Daten und eine Vertretung. In kleineren Niederlassungen internationaler Gruppen wird diese Rolle oft einem Mitarbeitenden aus der Finanzabteilung zusätzlich übertragen. Das ist zulässig, solange Zeit, Kompetenz und Unabhängigkeit gesichert sind.

Schulungen sollten auf die tatsächlichen Risiken zugeschnitten sein. Ein Vertriebsteam braucht andere Inhalte als die Buchhaltung. Die externe Revision prüft schließlich, ob Analyse, Richtlinien und Praxis übereinstimmen. Ihre Feststellungen gehören in einen Maßnahmenplan mit Fristen und Verantwortlichen.

Sanktionen und Haftung

Verstöße gegen das Gesetz werden nach dessen Straf- und Sanktionsbestimmungen geahndet. Die Bestimmungen unterscheiden nach Art des Verstoßes und richten sich sowohl an das Unternehmen als auch an verantwortliche Personen. Die genaue Höhe der Geldbußen sollte für den konkreten Fall immer direkt am Gesetzestext geprüft werden.

Neben den Bußgeldern wiegen die Folgeschäden oft schwerer: gekündigte Bankverbindungen, verzögerte Transaktionen, Reputationsschäden gegenüber Investoren und Fragen der persönlichen Verantwortung der Geschäftsleitung. Weil das Gesetz die Genehmigung der Richtlinien beim höchsten Leitungsorgan ansiedelt, ist AML auch ein Thema der Geschäftsführerhaftung in Bosnien. Weitere Beispiele für Compliance-Lücken mit spürbaren Folgen zeigt unser Beitrag zu regulatorischen Risiken in Bosnien.

Besonderheiten für internationale Unternehmen

Ausländische Gruppen bringen meist ein bestehendes AML-Programm mit, oft nach EU-Vorgaben. Das ist eine gute Ausgangsbasis, ersetzt aber nicht die lokale Umsetzung. Drei Punkte verdienen besondere Aufmerksamkeit.

Erstens die Zuständigkeiten. Meldungen gehen an die FOO in Bosnien und Herzegowina, nicht an die Meldestelle des Mutterlandes. Der interne Meldeweg muss deshalb eine lokal verantwortliche Person vorsehen, die den Fall prüft und fristgerecht meldet.

Zweitens die Dokumentensprache und -herkunft. Registerauszüge, Vollmachten und Eigentümernachweise ausländischer Gesellschafter müssen für Banken und Behörden verwertbar sein. Fehlende Übersetzungen oder Beglaubigungen verzögern Kontoeröffnungen und Kapitalmaßnahmen.

Drittens das Zusammenspiel mit anderen Regeln. AML-Prüfungen treffen bei grenzüberschreitenden Zahlungen auf devisenrechtliche Vorgaben und steuerliche Nachweise. Einen Überblick geben unsere Beiträge zur Devizenkontrolle in FBiH, RS und Brčko und zur Compliance bei grenzüberschreitenden Transaktionen. Wer gerade eine Gesellschaft gründet, findet die gesellschaftsrechtlichen Grundlagen im Leitfaden zum Unternehmensrecht 2026 in Bosnien und Herzegowina.

AML-Compliance in acht Schritten umsetzen

1. Status klären: Schriftlich festhalten, ob das Unternehmen Verpflichteter ist und welche Schwellenwerte oder Bedingungen relevant sind.
2. Risikoanalyse erstellen: Kunden, Produkte, Länder und Vertriebswege bewerten, angepasst an Größe und Geschäftsmodell.
3. Richtlinien beschließen: Verfahren und Kontrollen formulieren und durch das höchste Leitungsorgan genehmigen lassen.
4. KYC-Prozess aufsetzen: Checklisten für natürliche und juristische Personen, inklusive Nachweis der wirtschaftlich Berechtigten.
5. Sanktionslistenabgleich integrieren: Bei Vertragsschluss, bei Transaktionen und in festen Abständen während der Beziehung.
6. Meldeweg festlegen: Verantwortliche Person benennen, Vertretung regeln, Vorlage für Meldungen an die FOO vorbereiten.
7. Mitarbeitende schulen: Rollenbezogene Inhalte, Teilnahme dokumentieren, regelmäßig wiederholen.
8. Kontrollieren und archivieren: Interne Kontrollen planen, externe Revision beauftragen, Unterlagen mindestens fünf Jahre geschützt aufbewahren.

Nach Änderungen an Gesetz oder Verordnung, nach neuen Produkten oder dem Eintritt in neue Märkte sollte die Risikoanalyse aktualisiert werden. Ein Programm, das einmal erstellt und nie überarbeitet wird, besteht keine Prüfung.

Unsere Sicht: Prävention schlägt Reaktion

In unserer Arbeit mit internationalen und technologiegetriebenen Unternehmen sehen wir ein wiederkehrendes Muster. AML wird erst dann zum Thema, wenn eine Bank Fragen stellt, eine Überweisung hängt oder ein Investor in der Due Diligence nach Richtlinien fragt. Zu diesem Zeitpunkt arbeitet das Unternehmen unter Zeitdruck, und die Lösung kostet mehr als nötig.

Wir empfehlen den umgekehrten Weg. Die Einordnung als Verpflichteter oder Nicht-Verpflichteter, die Eigentümerdokumentation und ein schlanker Sanktionslistenabgleich gehören bereits in die Planung des Markteintritts. Für Verpflichtete gilt dasselbe in größerem Umfang: Eine Risikoanalyse, die das tatsächliche Geschäftsmodell abbildet, ist wertvoller als ein übernommenes Konzernhandbuch, das lokale Meldewege nicht kennt.

Unser Anspruch ist dabei kommerziell. Compliance soll Geschäfte ermöglichen, nicht bremsen. Deshalb verbinden wir die AML-Fragen mit Gesellschaftsstruktur, Verträgen und Datenschutz, damit ein Unternehmen in Bosnien und Herzegowina nicht vier getrennte Baustellen verwaltet, sondern ein stimmiges System.

— Franjo

Unterstützung bei der AML-Umsetzung

Vucic Legal begleitet internationale Unternehmen, Investoren und Technologieunternehmen bei der rechtlichen Umsetzung ihrer Pflichten in Bosnien und Herzegowina: von der Einordnung nach dem AML-Gesetz über Risikoanalyse und interne Richtlinien bis zur Abstimmung mit Datenschutz, Verträgen und grenzüberschreitenden Zahlungsflüssen. Wir arbeiten diskret, reagieren schnell und richten unsere Beratung an Ihrem Geschäftsmodell aus.

Einen Überblick über unsere Leistungen in den Bereichen Regulatory & Product Compliance, Cross-Border & International Business sowie Technology & Data Protection finden Sie auf unserer Seite zu Rechtsberatung für Unternehmen in Bosnien.

Häufige Fragen

Gilt das AML-Gesetz in der Föderation BiH und in der Republika Srpska unterschiedlich?

Nein. Das Gesetz zur Verhinderung von Geldwäsche und Terrorismusfinanzierung ist ein Gesetz auf staatlicher Ebene und gilt im ganzen Land. Unterschiede zwischen den Entitäten können sich bei angrenzenden Bereichen wie Gesellschafts-, Steuer- oder Devisenrecht ergeben, nicht aber bei den Grundpflichten nach dem AML-Gesetz.

Muss eine Software- oder Industrietochter ein vollständiges AML-Programm haben?

Nur wenn sie zum gesetzlichen Kreis der Verpflichteten gehört. Unabhängig davon müssen alle juristischen Personen die Liste sanktionierter Personen prüfen. Zudem verlangen Banken im Rahmen ihrer eigenen Pflichten belastbare Nachweise zu Eigentümern und Mittelherkunft.

Wie lange müssen KYC-Unterlagen aufbewahrt werden?

Das Gesetz schreibt eine Aufbewahrung von mindestens fünf Jahren vor. In dieser Zeit müssen die Daten geschützt und nur für berechtigte Personen zugänglich sein. Nach Ablauf der Frist sollte ein dokumentiertes Lösch- oder Archivierungskonzept greifen.

Reicht eine EU-Konzernrichtlinie für die Niederlassung in Bosnien und Herzegowina aus?

In der Regel nicht ohne Anpassung. Die Richtlinie muss vom zuständigen Leitungsorgan genehmigt werden, lokale Verantwortliche benennen und den Meldeweg an die FOO abbilden. Inhaltlich kann sie auf dem Konzernstandard aufbauen, solange die Vorgaben des bosnischen Gesetzes und der Durchführungsverordnung erfüllt sind.

Quellen

• Gesetz zur Verhinderung von Geldwäsche und Terrorismusfinanzierung BiH (Službeni glasnik BiH, Nr. 13/2024)
• Durchführungsverordnung zum AML-Gesetz, Sicherheitsministerium BiH
• Leitfaden für Immobilienhändler, Sicherheitsministerium BiH
• Suche in der Liste sanktionierter Personen, Sicherheitsministerium BiH
• Häufig gestellte Fragen, Sicherheitsministerium BiH

Empfehlungen

• Checkliste rechtliche Due Diligence Bosnien 2026
• Compliance-Programme für Unternehmen in Bosnien und Herzegowina
• Regulatorische Compliance in Bosnien 2026: Der Leitfaden
• Wichtige Vertragsklauseln: Liste für Bosnien 2026