Seit dem 1. Juli 2026 macht AML/CTF Tranche 2 Rechtsanwälte, Conveyancer, Steuerberater und Wirtschaftsprüfer, Immobilienprofis sowie Edelmetallhändler zu AML/CTF-meldepflichtigen Unternehmen. Meldepflichtige Unternehmen müssen für ihre AML/CTF-Tätigkeiten den Privacy Act 1988 einhalten. Nach Schätzungen der OAIC müssen damit mehr als 100.000 kleine Unternehmen erstmals die Australian Privacy Principles erfüllen – einschließlich der Pflicht aus APP 11, personenbezogene Daten zu schützen. Da die meisten Sicherheitsvorfälle beim Menschen beginnen, sind MSPs, die menschliches Risiko sichtbar machen, messen und senken können, am besten aufgestellt, um diesen Unternehmen den Nachweis „angemessener Maßnahmen“ zu ermöglichen.

Was ist AML/CTF Tranche 2 und wer fällt darunter?

AML/CTF Tranche 2 weitet die australischen Vorschriften zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung auf die sogenannten „Gatekeeper“-Berufe aus und gilt seit dem 1. Juli 2026. AUSTRAC, die nationale AML/CTF-Aufsicht und Financial Intelligence Unit, hat zwei Stichtage festgelegt: den 31. März 2026 für bereits meldepflichtige Unternehmen wie Banken und Finanztransferdienstleister und den 1. Juli 2026 für die neu regulierten Tranche-2-Unternehmen.

Neu reguliert sind diese Branchen:

• Rechtsanwälte und Conveyancer
• Steuerberater und Wirtschaftsprüfer sowie Trust- und Gesellschaftsdienstleister
• Immobilienprofis, darunter Makler, Käufermakler und Projektentwickler
• Händler mit Edelmetallen, Edelsteinen und daraus gefertigten Produkten

AUSTRAC rechnet mit rund 100.000 neuen meldepflichtigen Unternehmen, von denen die meisten noch nie mit AML/CTF-Pflichten zu tun hatten. Die Pflichten greifen nur, wenn ein Unternehmen einen „designated service“ (eine benannte Dienstleistung) erbringt, etwa die Abwicklung einer Immobilientransaktion oder die Gründung einer Gesellschaft oder eines Trusts im Auftrag eines Mandanten.

Wer einmal erfasst ist, muss sich bei AUSTRAC registrieren, einen AML/CTF-Compliance-Beauftragten benennen, ein dokumentiertes AML/CTF-Programm auf Basis einer Geldwäscherisiko-Analyse betreiben, Kundenidentitäten prüfen, Kunden laufend überwachen, Verdachtsfälle melden und Aufzeichnungen führen. Die Registrierung musste bis zum 29. Juli 2026 abgeschlossen sein, die inhaltlichen Pflichten galten jedoch vom ersten Tag an.

Für MSPs ist die wichtigste Folge leicht zu übersehen. Durch die Sorgfaltspflichten gegenüber Kunden erheben und speichern diese Unternehmen deutlich mehr Identitätsdaten als zuvor. Genau diese Daten wollen Angreifer.

Warum fallen AML/CTF-meldepflichtige Unternehmen jetzt unter den Privacy Act?

AML/CTF-meldepflichtige Unternehmen unterliegen für ihre AML/CTF-Tätigkeiten dem Privacy Act 1988, selbst wenn sie ansonsten unter die Ausnahme für Kleinunternehmen fielen. Dieser Zusammenhang macht aus einer Geldwäschereform ein Datenschutz- und Cybersicherheitsthema.

Normalerweise nimmt der Privacy Act Kleinunternehmen mit einem Jahresumsatz von höchstens 3 Millionen australischen Dollar von den Australian Privacy Principles (APPs) aus. Für die meisten Kleinunternehmen gilt diese Ausnahme weiterhin. Section 6E(1A) hebt sie jedoch für AML/CTF-meldepflichtige Unternehmen auf. Eine kleine Anwaltskanzlei, ein Conveyancer, ein Steuerberater oder ein Immobilienbüro, das benannte Dienstleistungen erbringt, muss die APPs daher unabhängig von seiner Größe auf alle personenbezogenen Daten anwenden, die es zu AML/CTF-Zwecken verarbeitet.

‍

Viele Kanzleien, Steuerberatungen, Maklerbüros und Händler liegen unter der Schwelle von 3 Millionen australischen Dollar. HWL Ebsworth verweist darauf, dass die OAIC die Zahl der betroffenen Kleinunternehmen auf mehr als 100.000 schätzt. Die Zahlen von AUSTRAC und OAIC messen leicht Unterschiedliches, weisen aber in dieselbe Richtung: Eine große Gruppe kleiner Unternehmen hat erstmals formale Datenschutzpflichten.

Der Anwendungsbereich ist eingegrenzt. Er umfasst Ausweisdokumente, Verifizierungsnachweise, Transaktionsdetails und weitere personenbezogene Daten, die zur Erfüllung der AML/CTF-Anforderungen verarbeitet werden – nicht zwangsläufig jede Tätigkeit des Unternehmens. In der Praxis liegen diese Informationen jedoch meist in denselben Postfächern, Dateifreigaben und Kanzleisoftware-Systemen wie alles andere. Einen Teil der Umgebung abzusichern und den Rest offen zu lassen, ist selten realistisch.

Die Aufsicht schaut bereits hin. Die OAIC hat ihre erste Prüfkampagne zu Datenschutzerklärungen gestartet, und die Änderungen von 2024 geben dem Information Commissioner neue Zivilstrafen an die Hand – schon bei so grundlegenden Mängeln wie einer unzureichenden Datenschutzerklärung.

Was verlangt APP 11?

APP 11 verpflichtet Organisationen, angemessene Maßnahmen zum Schutz der von ihnen gespeicherten personenbezogenen Daten zu ergreifen und diese Daten zu löschen oder zu anonymisieren, sobald sie nicht mehr benötigt werden. Es ist das Sicherheitsprinzip des Privacy Act – und für ein neu erfasstes Unternehmen dasjenige, das ein Sicherheitsvorfall am ehesten auf die Probe stellt.

Es hat drei praktische Bestandteile:

Was bedeuten „angemessene Maßnahmen“ in der Praxis?

Das erste Zivilstrafverfahren nach dem Privacy Act hat diese Frage beantwortet. Im Oktober 2025 verurteilte der Federal Court Australian Clinical Labs zur Zahlung von 5,8 Millionen australischen Dollar wegen eines Vorfalls aus dem Jahr 2022 im Geschäftsbereich Medlab Pathology, von dem rund 223.000 Menschen betroffen waren. Davon entfielen 4,2 Millionen australische Dollar auf das Versäumnis, angemessene Maßnahmen nach APP 11.1 zu ergreifen; der Rest betraf die verzögerte Bewertung und Meldung des Vorfalls.

Drei Lehren aus dem Urteil sind für MSPs und ihre Kunden besonders wichtig:

• Angemessene Maßnahmen sind risikobasiert und müssen sich weiterentwickeln. Was vor drei Jahren ausreichte, muss gegen die heute bekannten Bedrohungen nicht mehr genügen.
• Daten, die nicht vorgehalten werden, können auch nicht abfließen. Das Gericht behandelte Datenminimierung und eine belastbare Löschpraxis als Teil von APP 11.1.
• Outsourcing verlagert die Pflicht nicht. Das Gericht stellte fest, dass es nicht genügt, sich allein auf Dritte zu verlassen. Ein Kunde, der „die Sicherheit dem IT-Dienstleister überlässt“, bleibt APP-11-pflichtig. Klare, berichtsfähige Nachweise dieses Dienstleisters sind deshalb für beide Seiten wertvoll.

Auch die Konsequenzen sind gestiegen. Die Änderungen von 2024 haben gestaffelte Strafen eingeführt: Die oberste Stufe für schwerwiegende Verstöße reicht bis zu 50 Millionen australischen Dollar, 30 % des bereinigten Umsatzes oder dem Dreifachen des erzielten Vorteils – je nachdem, welcher Betrag höher ist. Eine neue mittlere Stufe deckt Verstöße ab, die nicht als schwerwiegend gelten, und die OAIC kann Bußgeldbescheide für administrative Versäumnisse erlassen.

Wie greifen Privacy Act, Tranche 2 und APP 11 ineinander?

Tranche 2 schafft die Pflicht, Identitätsdaten zu erheben, section 6E(1A) des Privacy Act stellt diese Daten unter die APPs, und APP 11 verlangt ihren Schutz. Für sich genommen wirkt jede Reform wie eine Compliance-Aufgabe für ein anderes Team; zusammen bilden sie eine Kette, die beim Verhalten der Mitarbeitenden endet.

‍Warum ist die menschliche Ebene das größte APP-11-Risiko für diese Unternehmen?

Die meisten Vorfälle, die APP 11 verhindern soll, beginnen bei einem Menschen und nicht bei einem System. Der Verizon Data Breach Investigations Report 2026 fand den Faktor Mensch in 62 % aller Vorfälle, und die australischen Zahlen zeichnen dasselbe Bild.

Die Kostendaten weisen in dieselbe Richtung. In der IBM-Untersuchung von 2026 führten die drei teuersten Angriffswege in australische Organisationen allesamt über Menschen.

Wie sieht das in den Branchen aus, die Tranche 2 jetzt erfasst?

Die neu regulierten Berufsgruppen werden bereits angegriffen, und die Angriffe folgen einem bekannten Muster:

• Anwaltskanzleien (Februar und Mai 2025). Die Kanzlei Brydens Lawyers aus Sydney teilte mit, dass Angreifer auf ihre Server zugegriffen hatten; Berichten zufolge wurden mehr als 600 Gigabyte an Akten-, Mandanten- und Mitarbeiterdaten entwendet und ein Lösegeld gefordert. Monate später behauptete eine Ransomware-Gruppe, 200 Gigabyte von der nordqueensländischen Kanzlei RTB Legal erbeutet zu haben, darunter Testamente, Gerichtsunterlagen und Mandantendaten.
• Immobilienabwicklung (August 2026). Ein Bankmitarbeiter in Westaustralien stoppte eine Überweisung über 1,2 Millionen australische Dollar, nachdem das E-Mail-Konto eines Abwicklungsdienstleisters gekapert und für gefälschte Zahlungsanweisungen genutzt worden war. Ein einziger zusätzlicher Buchstabe in der Absenderadresse war der einzige Hinweis.
• Conveyancing (September 2026). Ein Conveyancer aus Melbourne verhinderte einen Schaden von fast 200.000 australischen Dollar rund zwei Stunden vor der Abwicklung, nachdem jemand sich als Verkäufer ausgegeben und dem Büro gefälschte Bankdaten gemailt hatte.
• Dritte (2025). Der Vorfall bei Qantas, von dem laut OAIC rund 5,12 Millionen Australierinnen und Australier betroffen waren, begann mit einem telefonischen Social-Engineering-Angriff auf ein Callcenter im Ausland. Er zeigt, wie ein einziger überzeugender Anruf bei einer einzigen Person Millionen Datensätze offenlegen kann.

Jeder dieser Vorfälle begann mit einem Postfach, einem Telefonat oder einer Vertrauensbeziehung – nicht mit einem ungepatchten Server. Für ein Tranche-2-Unternehmen erhöhen die Sorgfaltspflichten gegenüber Kunden den Einsatz: Ein kompromittiertes Postfach enthält jetzt auch geprüfte Ausweisdokumente.

Wie sehen toxische Kombinationen in einer kleinen Kanzlei aus?

Eine toxische Kombination entsteht, wenn mehrere Risikofaktoren auf einem einzigen Benutzerkonto zusammentreffen und gemeinsam einen deutlich wahrscheinlicheren und schädlicheren Angriffsweg eröffnen als jeder Faktor für sich. Genau nach diesen Überschneidungen suchen Angreifer – und kleine Unternehmen sind voll davon, weil dort oft eine Person Mandantendaten, Zahlungen und Systemadministration zugleich verantwortet.

Einzeln betrachtet stünde jedes dieser Signale in einem anderen Bericht: in der E-Mail-Administrationskonsole, in einer Darknet-Warnung, in einem Phishing-Dashboard, in einer Schulungstabelle. Keines würde dringend wirken. Zusammen auf einem Konto in einem Unternehmen, das nun geprüfte Ausweisdokumente vorhält, beschreiben sie fast exakt den Verlauf der oben genannten Abwicklungsbetrugsfälle.

Deshalb ist es für APP 11 entscheidend, menschliches Risiko auf Personenebene zu messen. Ein Unternehmen, das seine toxischen Kombinationen erkennt und schließt, ergreift angemessene Maßnahmen gegen die ihm bekannten Bedrohungen. Ein Unternehmen, das nur Schulungsquoten meldet, tut das nicht.

Wie sehen „angemessene Maßnahmen“ in der Praxis aus?

Für ein Tranche-2-Unternehmen heißt „angemessene Maßnahmen“ nach APP 11 zunehmend: belegen können, dass menschliches Risiko gemessen, priorisiert und im Zeitverlauf gesenkt wird. Einmal jährlich ein Häkchen bei einer Schulung zu setzen, hält vor einem Gericht nicht stand, das eine Weiterentwicklung der Maßnahmen im Takt der bekannten Bedrohungen erwartet.

Genau hier setzt ein Human-Risk-Intelligence-Ansatz an. Statt Schulungsabschlüsse, Phishing-Ergebnisse, Identitätshygiene, Darknet-Exposition und Richtliniennachweise als getrennte Berichte zu führen, verknüpft er sie zu einem einzigen Risikobild je Benutzer. Damit wird die APP-11-Frage „Haben Sie angemessene Maßnahmen ergriffen?“ zu einer Frage, die ein MSP mit Nachweisen beantworten kann.

Ein praxistaugliches Playbook für MSPs

1. Exposition kartieren. Ermitteln Sie, welche Kunden benannte Dienstleistungen erbringen und wo ihre AML/CTF-Identitätsdaten tatsächlich liegen: in Postfächern, auf gemeinsamen Laufwerken, in gescannten Dokumenten und in der Kanzleisoftware.
2. Die kritischen Rollen zuerst. Abwicklungssachbearbeiter, Conveyancer, Kanzleimanager und Partner mit Administratorrechten tragen mehr Risiko als der durchschnittliche Nutzer. Bewerten Sie diese zuerst.
3. Toxische Kombinationen vor allem anderen auflösen. Ein Konto mit mehreren Schwachstellen gleichzeitig ist riskanter als mehrere Konten mit je einer Schwachstelle (der vorige Abschnitt zeigt, warum).
4. Für die Angriffe schulen, die diese Unternehmen wirklich treffen. Zahlungsumleitung, Postfachkompromittierung und telefonischer Identitätsbetrug gehören in den Kern der Simulationen – nicht generische Beispiele.
5. Verifizierung in Richtlinien verankern. Eine Regel, nach der Mitarbeitende Bankdaten über eine bekannte Rufnummer bestätigen und niemals Kopien von Ausweisdokumenten im Postfach aufbewahren, schließt zwei der häufigsten Lücken.
6. In Compliance-Sprache berichten. Ein monatliches Reporting, das Risikotrends mit APP 11 verknüpft, hilft Partnern gegenüber Aufsicht, Versicherer und Berufskammer.
7. Den Ernstfall proben. Nach der geltenden Regelung muss ein vermuteter meldepflichtiger Datenschutzvorfall binnen 30 Tagen bewertet werden. Unternehmen ohne Erfahrung damit brauchen einen Plan, bevor sie ihn brauchen.

Für MSPs liegt die Chance in der Größenordnung. Mehr als 100.000 kleine Unternehmen haben neue Datenschutzpflichten. Kaum eines beschäftigt eigenes Sicherheitspersonal, und die meisten verlassen sich für ihre IT ohnehin auf einen externen Dienstleister. Ihnen beim Nachweis angemessener Maßnahmen zu helfen, ist die natürliche Erweiterung dieser Beziehung.

Was steht für APP 11 als Nächstes an?

APP 11 wird anspruchsvoller. Am 31. August 2026 veröffentlichte die Regierung einen Referentenentwurf der Privacy Amendment (Personal Data Protection) Bill 2026, der zweiten Tranche der Privacy-Act-Reform. Die Konsultation endete am 17. September 2026; der Gesetzentwurf wurde dem Parlament noch nicht vorgelegt.

Würde er in der jetzigen Fassung verabschiedet, müssten Organisationen prüfen, ob sie nicht mehr benötigte personenbezogene Daten löschen, feststellen, welche personenbezogenen Daten sie vorhalten, und ihre Compliance-Maßnahmen regelmäßig bewerten. Zudem wären meldepflichtige Datenschutzvorfälle binnen 72 Stunden an die OAIC zu melden.

Jeder dieser Vorschläge begünstigt Unternehmen, die bereits durchgehende Sichtbarkeit haben. Eine regelmäßige Bewertung gelingt mit einem laufend aktualisierten Risikobild deutlich leichter als mit einem jährlichen Audit, und ein 72-Stunden-Fenster lässt keine Zeit, erst herauszufinden, wer worauf geklickt hat.

Eine Begriffsfalle sollten Sie Kunden gegenüber ansprechen: „Tranche 2“ bezeichnet inzwischen zwei verschiedene Reformen. AML/CTF Tranche 2 ist geltendes Recht und gilt seit dem 1. Juli 2026. Die Privacy-Act-Tranche 2 ist weiterhin nur ein Entwurf.

Compliance hängt jetzt daran, menschliches Risiko zu sehen

AML/CTF Tranche 2 hat mehr getan, als eine neue Gruppe meldepflichtiger Unternehmen zu schaffen. Über section 6E(1A) des Privacy Act hat sie mehr als 100.000 kleine Kanzleien und Beratungsunternehmen unter die Australian Privacy Principles gestellt, und APP 11 verlangt von jedem einzelnen angemessene Maßnahmen zum Schutz der Identitätsdaten, die die Sorgfaltspflichten gegenüber Kunden zu erheben verlangen.

Die Datenlage zeigt, wo diese Maßnahmen am meisten zählen. Menschen sind an 62 % aller Vorfälle beteiligt, menschliches Versagen verursachte Anfang 2025 37 % der gemeldeten Vorfälle, und die teuersten Angriffswege in Australien führen sämtlich über Mitarbeitende. Die erste Zivilstrafe nach dem Privacy Act hat klargestellt, dass Outsourcing die Pflicht nicht verlagert, und die geplanten Reformen würden die Latte erneut höher legen.

MSPs, die menschliches Risiko über ihren gesamten Kundenstamm hinweg sehen, bewerten und senken können – und es in der Sprache von APP 11 berichten – sind am besten aufgestellt, um diesen Unternehmen zur Compliance zu verhelfen.

Häufige Fragen

Gilt der Privacy Act jetzt für jede kleine Kanzlei, jeden Steuerberater und jedes Immobilienbüro?

Nein. Er gilt für Kleinunternehmen, die benannte AML/CTF-Dienstleistungen erbringen, und nur für die personenbezogenen Daten, die sie zu AML/CTF-Zwecken verarbeiten. Ein Unternehmen ohne benannte Dienstleistungen behält die Ausnahme für Kleinunternehmen, sofern es nicht über eine andere Regelung erfasst wird.

Reicht MFA aus, um APP 11 zu erfüllen?

Keine Einzelmaßnahme reicht aus. Seit Dezember 2024 umfassen angemessene Maßnahmen ausdrücklich technische und organisatorische Vorkehrungen, und Gerichte bewerten sie an den Risiken, die einer Organisation bekannt sind. MFA ist unverzichtbar – ebenso aber Schulungen, Richtlinien, Zugriffsprüfungen und der Nachweis, dass sie das Risiko senken.

Wie lange müssen Tranche-2-Unternehmen Identitätsnachweise aufbewahren?

Der AML/CTF Act legt Aufbewahrungsfristen fest, in der Regel sieben Jahre für Unterlagen zur Kundenidentifizierung. APP 11.2 verlangt danach, die Daten zu löschen oder zu anonymisieren, sobald kein rechtlicher Grund für die Aufbewahrung mehr besteht. Unternehmen sollten zudem keine Kopien von Ausweisdokumenten speichern, die das AML/CTF-Regime gar nicht verlangt.

Was passiert bei einem Datenschutzvorfall in einem Tranche-2-Unternehmen?

Für AML/CTF-Daten greift das Notifiable Data Breaches-Schema. Das Unternehmen muss einen vermuteten Vorfall binnen 30 Tagen bewerten und die OAIC sowie die betroffenen Personen informieren, wenn ein schwerer Schaden wahrscheinlich ist. Die geplante zweite Tranche der Datenschutzreform würde die Meldefrist auf 72 Stunden verkürzen.

Wie können MSPs Kunden beim Nachweis angemessener Maßnahmen unterstützen?

Indem sie menschliches Risiko fortlaufend messen, die riskantesten Kombinationen zuerst schließen, Mitarbeitende gegen die Angriffe schulen, die ihre Branche wirklich trifft, und Fortschritte in der Sprache von APP 11 berichten. Dokumentierte Trends überzeugen eine Aufsichtsbehörde weit mehr als eine Liste von Tools.