goAML TOTP ab 9.11.2026: Anmeldung in der Kanzlei

Der Anlass: BRAK-Meldung vom 28.10.2026

Die Bundesrechtsanwaltskammer hat am 28.10.2026 über eine Änderung bei der Anmeldung am Meldeportal goAML informiert (Nachrichten aus Berlin, Ausgabe 22/2026). Die Financial Intelligence Unit (FIU) kündigt an, dass ab dem 9.11.2026 die Authentisierung alternativ über ein zeitgesteuertes Einmal-Passwort erfolgen kann. Das englische Kürzel dafür lautet TOTP. Das bisherige Verfahren mit einem Code per E-Mail bleibt bestehen.

Für Kanzleien ist das mehr als eine technische Randnotiz. Wer Verdachtsmeldungen nach dem Geldwäschegesetz abgibt, braucht einen funktionierenden Zugang zum Portal, gerade wenn eine Meldung eilt. Dieser Beitrag fasst zusammen, was FIU und BRAK mitteilen, und ordnet es für kleine Kanzleien ein.

Was die FIU ab dem 9.11.2026 ändert

Ab dem 9. November 2026 sieht goAML Web zwei Möglichkeiten für den zweiten Faktor bei der Anmeldung vor. Das erste ist TOTP, von der FIU als empfohlene Methode bezeichnet. Das zweite ist das bisherige OTP-Verfahren (Abschnitt 1 im Merkblatt der FIU zur 2-Faktor-Authentisierung).

TOTP ist ein softwarebasiertes Verfahren. Eine App auf dem Smartphone oder eine externe Hardware erzeugt einen Code, der sich regelmäßig ändert. Welche App Sie nutzen, ist frei wählbar. Beim OTP-Verfahren sendet goAML Web nach Eingabe der Zugangsdaten automatisch einen Code an die im Benutzerkonto hinterlegte E-Mail-Adresse.

Die Tabelle gibt das Merkblatt der FIU verkürzt wieder. Die FIU empfiehlt, den Code auf einem anderen Gerät zu erzeugen als dem, mit dem Sie sich anmelden. Zudem funktioniere die Erzeugung auch bei Verzögerungen oder Störungen im E-Mail-Verkehr.

Das Wartungsfenster vom 6. bis 9.11.2026

Die BRAK weist auf einen Hinweis der FIU hin: Wegen eines Wartungsfensters ist goAML Web von Freitag, dem 6.11.2026, 18:00 Uhr bis Montag, dem 9.11.2026, 08:00 Uhr nicht erreichbar (BRAK-Meldung vom 28.10.2026). Fristfälle können in dieser Zeit per Fax an die FIU gesendet werden. Dafür dienen die Meldeformulare 033572 und 033573 im Formular-Management-System der Bundesfinanzverwaltung. Von der Übermittlung sonstiger Meldungen bittet die FIU abzusehen.

Was die FIU unter Fristfällen versteht, erläutert die Meldung nicht. Auch nennt sie keine Rechtsgrundlage für das Fax-Verfahren. Beachten Sie daher, dass § 43 Abs. 1 Satz 1 GwG eine unverzügliche Meldung verlangt. Bei einer Störung der elektronischen Datenübermittlung ist nach § 45 Abs. 1 Satz 3 GwG die Übermittlung auf dem Postweg zulässig. Ob ein angekündigtes Wartungsfenster dazu zählt, sagt die Vorschrift nicht.

Die Termine im Überblick, wie sie BRAK und FIU nennen:

• 28.10.2026: Die BRAK informiert in Ausgabe 22/2026 ihres Newsletters über die Änderung.
• 6.11.2026, 18:00 Uhr: Beginn des Wartungsfensters, goAML Web ist nicht erreichbar.
• 9.11.2026, 08:00 Uhr: Ende des Wartungsfensters.
• Ab 9.11.2026: Anmeldung wahlweise mit TOTP oder weiterhin mit dem E-Mail-Code.

Planen Sie Meldungen, die sich vorbereiten lassen, vor dem 6.11.2026 oder nach dem 9.11.2026 ein. Die Entscheidung, ob eine Meldung eilt, trifft die Kanzlei im Einzelfall und nicht dieser Beitrag.

Registrierung und Meldeweg nach dem GwG

Nach § 45 Abs. 1 GwG hat die Meldung nach § 43 Abs. 1 elektronisch zu erfolgen. Verpflichtete müssen sich unabhängig von der Abgabe einer Verdachtsmeldung bei der FIU elektronisch registrieren. Nach der BRAK-Meldung gilt das für Anwältinnen und Anwälte seit 2024. Die Zwei-Faktor-Anmeldung besteht nach der Meldung seit dem vergangenen Herbst. Die FIU führt dazu ein Merkblatt zum 01.09.2025 auf ihrer Publikationsseite zu goAML.

Wichtig für die Einordnung ist die Ausnahme in § 43 Abs. 2 GwG. Für bestimmte Verpflichtete entfällt die Meldepflicht, wenn sich der Sachverhalt auf Informationen aus der Rechtsberatung oder Prozessvertretung bezieht. Sie bleibt bestehen, wenn der Verpflichtete weiß, dass der Vertragspartner die Rechtsberatung für Geldwäsche oder eine andere Straftat nutzt. Die Registrierung ist davon getrennt. Auch wer nie meldet, führt ein Benutzerkonto, das erreichbar bleiben muss.

OTP oder TOTP: der Unterschied im Kanzleialltag

Beim OTP-Verfahren hängt die Anmeldung an der E-Mail-Adresse im Benutzerkonto. Die FIU weist darauf hin, dass diese Adresse immer aktuell sein muss, sonst ist eine Nutzung von goAML Web nicht mehr möglich. Das kann kleine Kanzleien treffen, wenn Postfächer wechseln, weil Mitarbeitende ausscheiden oder eine Adresse umgestellt wird.

Den E-Mail-Empfang können Sie testen. Die FIU empfiehlt dafür die Schaltfläche „Passwort vergessen“ auf der Anmeldemaske. Kommt innerhalb weniger Minuten eine E-Mail mit einem Link zur Zurücksetzung, ist der Empfang grundsätzlich gegeben. Ein neues Passwort müssen Sie dabei nicht vergeben. Die FIU rät außerdem, keine Umlaute in der E-Mail-Adresse zu verwenden.

TOTP einrichten: Schritte laut FIU-Merkblatt

Das Merkblatt beschreibt die Einrichtung im Anmeldedialog. Die folgenden Schritte geben es verkürzt wieder und gelten ab dem Stand 9. November 2026.

1. Eine TOTP-App oder eine externe 2FA-Hardware bereithalten. Eine bestimmte App schreibt die FIU nicht vor.
2. Vor der Anmeldung entscheiden, ob E-Mail (OTP) Standard bleiben soll. Dann ist das entsprechende Auswahlfeld anzuhaken, sonst fordert goAML Web zur Einrichtung von TOTP auf.
3. Mit Zugangsdaten und E-Mail-Code anmelden. Im folgenden Fenster erscheinen die Angaben zur Konfiguration.
4. Den von der App erzeugten Code in das Feld „Verifizierungscode“ eintragen. Der E-Mail-Code ist dort nicht möglich.
5. Die Wiederherstellungscodes selbst und manuell sichern. Die FIU stellt sie aus Sicherheitsgründen nicht nachträglich bereit.

Wer OTP schon als Standard aktiviert hat, kann TOTP später einrichten. Der Weg führt nach der Anmeldung über den Benutzernamen oben rechts und das Menü „Zwei-Faktor-Authentisierung“ (Merkblatt, Abschnitt 1.4).

Fallstricke: Adresse, Codes und eigene Software

Stimmt die E-Mail-Adresse erst nach der Aktivierung der Zwei-Faktor-Anmeldung nicht mehr, kommt kein Code an. Die FIU empfiehlt dann eine Anfrage an die Registrierungsstelle. Bei stark verzögerter Zustellung rät sie zur Kontaktaufnahme mit dem E-Mail-Anbieter oder IT-Dienstleister. Nutzt eine Kanzlei eigene Software, die Meldungen im XML-Format erzeugt, kann eine Anpassung nötig sein (Merkblatt, Abschnitt 2).

Gehen Smartphone oder Hardware verloren und liegen keine Wiederherstellungscodes vor, kann die erneute Anmeldung scheitern. Die FIU stellt die Codes nachträglich nicht bereit, deshalb hilft nur die vorherige Sicherung. Bewahren Sie die Codes deshalb getrennt vom Gerät auf, etwa im Kanzleitresor.

Arbeitsschritte für die Kanzlei

Die Liste ist eine Arbeitshilfe der Redaktion. Sie fasst die Angaben von FIU und BRAK zusammen und ersetzt nicht das Handbuch zu goAML Web.

• Klären, wer in der Kanzlei einen goAML-Zugang hat und wer im Vertretungsfall Zugriff braucht.
• Die hinterlegte E-Mail-Adresse im Benutzerkonto prüfen und über „Passwort vergessen“ den Empfang testen.
• Entscheiden, ob die Kanzlei bei OTP bleibt oder auf TOTP umstellt, und den Beschluss dokumentieren.
• Bei TOTP die Wiederherstellungscodes sichern und den Aufbewahrungsort festhalten.
• Das Wartungsfenster vom 6.11.2026 bis 9.11.2026 im Kalender vermerken und die Zuständigkeit für eilige Fälle klären.
• Prüfen, ob eigene Software für XML-Meldungen angepasst werden muss.

Grenzen dieser Zusammenfassung

Der Beitrag stützt sich auf die BRAK-Meldung vom 28.10.2026, das FIU-Merkblatt mit Stand 9. November 2026 und die Normtexte von § 43 GwG und § 45 GwG. Das Handbuch zu goAML Web war nicht Gegenstand der Prüfung. Ob und wie die Meldepflicht einer einzelnen Kanzlei besteht, hängt vom Mandat ab und wird hier nicht beurteilt. Die Hinweise für die Kanzleiorganisation sind eine Einordnung der Redaktion.

Quellen

• Geldwäsche-Verdachtsmeldungen: Neues Anmeldeverfahren für Meldeportal goAML, Nachrichten aus Berlin 22/2026 vom 28.10.2026 (Bundesrechtsanwaltskammer), abgerufen am 31.10.2026
• goAML Web 2-Faktor-Authentisierung (2FA), Stand gültig zum 9. November 2026 (Financial Intelligence Unit, Generalzolldirektion), abgerufen am 31.10.2026
• Publikationen zu goAML Software (Financial Intelligence Unit, Zoll), abgerufen am 31.10.2026
• § 43 GwG, Meldepflicht von Verpflichteten (Bundesministerium der Justiz), abgerufen am 31.10.2026
• § 45 GwG, Durchführung der Meldung (Bundesministerium der Justiz), abgerufen am 31.10.2026

Stand: 31.10.2026. Allgemeine Information, keine Rechtsberatung.