Checkliste: GwG-Unterstellung für Beratende seit 1. Oktober 2026
Für: Kanzleien, Treuhandbüros und Beratungsunternehmen
Aktualisiert: 2026-10
Beratende klären die GwG-Unterstellung in acht Schritten: Tätigkeiten mit konkretem Rechtsvorgang kartieren, Unterstellung begründet beurteilen, Fristen sichern, eine SRO wählen und das Reglement lesen, eine Risikomethode festlegen, die Sorgfaltspflichten in Abläufe übersetzen, Ablage und Audit-Trail einrichten und Mitarbeitende schulen.
Mit der seit dem 1. Oktober 2026 geltenden Revision des Geldwäschereigesetzes unterstehen bestimmte Beratungstätigkeiten den Sorgfaltspflichten, auch wenn die Beratenden nie selbst über Vermögenswerte verfügen. Die FINMA nennt beispielhaft Beratung im Zusammenhang mit Immobilientransaktionen und mit der Gründung und Errichtung von nicht operativen Rechtseinheiten.
Diese Checkliste führt durch die Prüfung und die Umsetzung. Sie ist für kleinere Kanzleien, Treuhandbüros und Beratungsunternehmen geschrieben, die keine eigene Compliance-Abteilung haben.
Die Checkliste
- 01
Tätigkeiten kartieren
Die Mandate der letzten zwölf Monate durchgehen und festhalten, welche einen konkreten Rechtsvorgang betrafen: Immobilientransaktionen, Gründungen und Errichtungen von Rechtseinheiten, Umstrukturierungen, Transaktionen mit Vermögensverschiebung. Pro Mandat notieren, ob die eigene Beratung zu diesem Vorgang beigetragen hat.
Erledigt, wenn: Eine Liste der relevanten Mandatstypen liegt vor, jeweils mit Beispiel, Art des Rechtsvorgangs und eigener Rolle.
- 02
Unterstellung begründet beurteilen
Anhand der Merkmale berufsmässig, konkreter Rechtsvorgang und kausaler Beitrag beurteilen, ob eine Unterstellung vorliegt. Ausnahmen wie die Tätigkeit im Zusammenhang mit Gerichts-, Straf- und Verwaltungsverfahren prüfen. Im Zweifel die Beurteilung durch die gewählte SRO oder eine spezialisierte Kanzlei bestätigen lassen.
Erledigt, wenn: Ein datiertes, unterschriebenes Memo hält das Ergebnis fest, auch wenn es negativ ausfällt, mit Begründung pro Tätigkeitstyp.
- 03
Fristen sichern
Die Sorgfaltspflichten gelten seit dem 1. Oktober 2026 für neue Mandate. Den Stichtag für das SRO-Anschlussgesuch bei der gewählten SRO bestätigen; die Übergangsfrist endet im Dezember 2026. FINMA-Beaufsichtigte, die am 1. Oktober 2026 als Beratende tätig waren, melden dies der FINMA bis zum 1. Dezember 2026.
Erledigt, wenn: Alle relevanten Daten stehen im Kalender der verantwortlichen Person, mit Quelle und Vertretung.
- 04
SRO wählen und Reglement lesen
Die von der FINMA anerkannten SRO vergleichen: Branchennähe, Reglement, Prüfmodell, Schulungsangebot, Kosten. Das Reglement vor dem Gesuch lesen, weil es den Alltag mit den Sorgfaltspflichten bestimmt.
Erledigt, wenn: Eine SRO ist gewählt, das Gesuch ist eingereicht, und die Eingangsbestätigung liegt vor.
- 05
Risikomethode festlegen
Risikokriterien definieren, etwa Wohnsitz und Sitz, Art des Rechtsvorgangs, Komplexität der Struktur, politisch exponierte Personen, Herkunft der Mittel, und festlegen, was eine Einstufung als erhöht konkret auslöst: zusätzliche Abklärungen, Freigabe durch eine zweite Person, kürzerer Überprüfungsrhythmus.
Erledigt, wenn: Eine Weisung beschreibt Kriterien, Stufen und Konsequenzen; sie ist datiert und von der Geschäftsleitung genehmigt.
- 06
Sorgfaltspflichten in Abläufe übersetzen
Für jede Pflicht einen Ablauf beschreiben: Identifizierung der Vertragspartei, Feststellung der wirtschaftlich Berechtigten mit Nutzung des Transparenzregisters als Abgleichsquelle, Sanktions- und PEP-Prüfung, zusätzliche Abklärungen, Umgang mit Verdachtsfällen bis zur Meldung an die MROS, inklusive Informationsverbot.
Erledigt, wenn: Für jedes neue Mandat lässt sich zeigen, welcher Ablauf angewendet wurde und mit welchem Ergebnis.
- 07
Ablage und Audit-Trail einrichten
Die Akten pro Mandat so ablegen, dass eine Prüfgesellschaft Stichproben ohne Suchaufwand prüfen kann: Identifizierung, Feststellung, Risikoeinstufung, Abklärungen, Entscheidungen mit Datum und Person. Aufbewahrung von mindestens zehn Jahren nach Mandatsende sicherstellen, auch über Systemwechsel hinweg.
Erledigt, wenn: Eine Probeakte lässt sich innert Minuten vollständig vorlegen, und die Aufbewahrungsregel ist festgehalten.
- 08
Mitarbeitende schulen
Alle Personen, die Mandate mit relevantem Rechtsvorgang betreuen, zu Unterstellung, Abläufen, Warnsignalen und Informationsverbot schulen. Teilnahme dokumentieren und die Schulung in einem festen Rhythmus wiederholen.
Erledigt, wenn: Eine Teilnehmerliste mit Datum liegt vor, und neue Mitarbeitende werden vor der ersten Mandatsübernahme geschult.
Häufige Fehler
- —Die Prüfung unterbleibt mit dem Argument, man berühre nie Geld — genau diese Annahme hebt die Revision auf.
- —Anwaltliche Tätigkeit wird pauschal als ausgenommen betrachtet, obwohl nur bestimmte forensische Tätigkeiten ausgenommen sind.
- —Formulare werden eingeführt, aber keine Risikomethode; bei der Prüfung fehlt die Begründung der Entscheidungen.
- —Das SRO-Gesuch wird im Dezember vorbereitet, ohne dass Zeit für das Lesen des Reglements und die Anpassung der Abläufe bleibt.
- —Die Akten liegen verteilt in E-Mail, Ablage und Tabellen, sodass eine Stichprobenprüfung zur Suchaktion wird.
Was diese Checkliste nicht abdeckt
- —Diese Checkliste ist keine Rechtsberatung und keine verbindliche Beurteilung der Unterstellung. Massgeblich sind GwG, GwV, das Reglement der gewählten SRO und gegebenenfalls deren Auskunft.
- —Sie gibt den Rechtsstand vom Oktober 2026 wieder. Konkrete Stichtage der Übergangsfristen und die Praxis der SRO sind bei der SRO zu bestätigen.
- —Branchenspezifische Sonderregeln, etwa für kantonale Amtsnotariate mit aufgeschobenem Inkrafttreten oder für prudenziell beaufsichtigte Institute, werden nur am Rand behandelt.
- —Die steuerrechtliche und berufsrechtliche Beurteilung einzelner Mandate ist nicht Gegenstand dieser Liste.
Übergeordnete Leistung: Digitale Transformation
Häufige Fragen
Gilt die GwG-Revision auch für Anwältinnen und Anwälte?
Für bestimmte Beratungstätigkeiten ja, etwa bei der Errichtung von Strukturen oder Immobiliengeschäften. Ausgenommen sind unter anderem Tätigkeiten im Zusammenhang mit Gerichts-, Straf- und Verwaltungsverfahren. Massgeblich ist die konkrete Tätigkeit, nicht der Beruf.
Bis wann muss der SRO-Anschluss erfolgen?
Das Übergangsrecht sieht eine kurze Frist vor, die im Dezember 2026 endet. Den verbindlichen Stichtag und die Anforderungen an das Gesuch bestätigt die gewählte SRO.
Dürfen wir bis zum Anschluss weiter beraten?
Die FINMA hält für ihre Beaufsichtigten fest, dass bestehende Kunden weiter beraten und neue Aufträge angenommen werden dürfen. Die Sorgfaltspflichten gelten aber seit dem 1. Oktober 2026; für andere Beratende ist die Situation mit der gewählten SRO zu klären.
Wer prüft die Einhaltung der Sorgfaltspflichten?
Die SRO beaufsichtigt ihre Mitglieder und lässt die Einhaltung durch Prüfgesellschaften kontrollieren. Den Umfang der Pflichten konkretisiert sie in ihrem Reglement.
Haben Beratende Zugang zum Transparenzregister?
Ja, im Rahmen ihrer Pflichten nach dem Geldwäschereigesetz. Das Register ist eine Abgleichsquelle und ersetzt die eigene Feststellung der wirtschaftlich Berechtigten nicht.
Weitere Checklisten
Checkliste: LLM-Funktion produktionsreif machen
Eine LLM-Funktion ist produktionsreif, wenn Fehlerkosten bekannt sind, ein Evaluationsset die Qualität misst, die Architektur Prompt Injection begrenzt, Datenflüsse vertraglich abgesichert sind, ein Fallback existiert, Kosten pro Nutzung begrenzt sind, Monitoring läuft, menschliche Aufsicht geregelt ist und die AI-Act-Einordnung dokumentiert ist.
Checkliste: Datenschutzverletzung — die ersten 72 Stunden
Nach einer Datenschutzverletzung gilt: sofort eindämmen, Fakten und Zeitpunkt sichern, ein Entscheidungsteam bilden, das Risiko für Betroffene beurteilen, bei hohem Risiko den EDÖB so rasch als möglich und unter der DSGVO die Aufsichtsbehörde binnen 72 Stunden informieren, Betroffene bei Bedarf benachrichtigen, Auftragsbearbeiter einbeziehen und alles dokumentieren.
Checkliste: Sicherheit vor dem SaaS-Go-live
Vor dem Go-live eines SaaS-Produkts müssen acht Punkte stimmen: getestete Mandantentrennung auf Datenebene, sichere Authentifizierung mit Mehrfaktor, Geheimnisse ausserhalb des Codes, aktuelle Abhängigkeiten, Backups mit getesteter Wiederherstellung, Protokollierung sicherheitsrelevanter Ereignisse, Schutz vor Missbrauch und ein vorbereiteter Ablauf für Sicherheitsvorfälle.