Netzwerkanalyse für die Geldwäscheprävention

Eine Bank hält Identitäts-, Eigentums-, Konto- und Zahlungsinformationen normalerweise in verschiedenen operativen Systemen. Die Netzwerkanalyse verbindet ausgewählte Datensätze in einem Beziehungsmodell, in dem jede Kante festhält, was zwei Knoten verbindet, wann die Beziehung bestand und welche Quelle den Beleg lieferte. Die INFORMS-Übersicht über siebenundneunzig Studien ordnet AML-Netzwerkarbeiten nach Kundenklassifikation, Transaktionsklassifikation, Community Detection und mehrstufigen Geldflussketten.

Das Beziehungsmodell sollte Richtung, Zeit, Betrag und Herkunft bewahren, anstatt unterschiedslose Linien zwischen Namen zu zeichnen. Eine Zahlung von Konto A an Konto B unterscheidet sich von gemeinsamem Eigentum, einer gemeinsamen Adresse oder einer wahrscheinlichen Identitätsübereinstimmung. Diese Unterschiede erlauben Ermittlern, eine Typologie zu prüfen und später zu erklären, welche Belege den untersuchten Pfad stützten.

Entity Resolution entscheidet, ob Datensätze aus getrennten Systemen dieselbe Person, dasselbe Unternehmen, Konto oder Gerät beschreiben. Eindeutige Kennungen können deterministische Treffer stützen, während Namen, Adressen und Telefonnummern Normalisierung, Konfliktregeln und Vertrauensschwellen benötigen. Perpetual KYC zeigt, wie kontrollierte Identitäts- und Risikoaktualisierungen Kundendatensätze vor der Netzwerkanalyse aktuell halten können.

Jede abgeleitete Kante sollte ihre Quelle, Abgleichsregel, Vertrauensstufe und ihren Prüfstatus tragen. Eine gemeinsame Postadresse kann einen Haushalt, ein Büroservice oder einen veralteten Datensatz beschreiben, deshalb darf diese Kante nicht dasselbe Gewicht wie verifiziertes gemeinsames Eigentum erhalten. Ermittler benötigen die zugrunde liegenden Felder neben jeder visuellen Verbindung, weil ein ansprechendes Netzwerkdiagramm schwache Identitätsannahmen verdecken kann.

Das Graphschema sollte mit der Ermittlungsfrage und den verfügbaren Belegen des Instituts beginnen. Sinnvolle Knotentypen umfassen häufig Kunden, juristische Personen, Konten, wirtschaftlich Berechtigte und externe Gegenparteien, während Kanten Zahlungen, Eigentum, Vollmachten oder gemeinsame Kennungen beschreiben. Jedes Institut sollte vor der Nutzung dokumentieren, welche Knoten- und Kantentypen maßgeblich, abgeleitet oder vorläufig sind.

Die zeitliche Modellierung zählt, weil sich Eigentum, Adressen und Kontostatus während einer Geschäftsbeziehung verändern. Ein heutiger Unternehmensleiter kann eine Zahlung vor seiner Ernennung nicht automatisch erklären, und ein geschlossenes Konto sollte innerhalb seines historischen Zeitraums sichtbar bleiben. Versionierte Kanten verhindern, dass heutige Daten die Tatsachen umschreiben, die ein früherer Alert oder eine Entscheidung tatsächlich nutzte.

Graphabfragen können kreisförmige Flüsse, Sammlungen vieler Sender, schnelle Verteilung, wiederholte Durchlaufketten und Gruppen mit gemeinsamen Kennungen finden. Community Detection kann Gruppen mit dichteren internen Beziehungen erkennen, während Pfadsuchen die Bewegung zwischen einem Ausgangssubjekt und einer bekannten Hochrisikoeinheit verfolgen. Ein Muster beginnt eine Untersuchung und beweist niemals allein rechtswidriges Verhalten.

Netzwerkanalyse ist eine Beweis- und Ermittlungsschicht, während das Transaktionsmonitoring Szenarien, Schwellen, Alert-Bearbeitung und Meldeentscheidungen erklärt. Die Netzwerkschicht kann einen Monitoring-Alert mit verbundenen Parteien anreichern oder einen breiteren Fall über mehrere Alerts aufdecken, aber das Institut wendet weiterhin seine bestehenden Eskalations- und Meldepflichten an.

Eine Untersuchung beginnt mit einem festgelegten Ausgangspunkt, etwa einem Kunden, Konto, einer Zahlung oder einer verifizierten externen Kennung. Ermittler erweitern nur über erlaubte Beziehungstypen und Tiefengrenzen, prüfen zuerst die stärksten Pfade und kontrollieren Quelldatensätze, bevor abgeleitete Verbindungen als Fallbelege gelten. Suchparameter, ausgeschlossene Kanten und fachliche Entscheidungen gehören in die Fallakte.

Der Einführungsbericht der Hong Kong Monetary Authority beschreibt Banken, die kleine Ausgangsnetzwerke, gemeinsame Attribute und externe Informationen bei Ermittlungen nutzen. Diese Beispiele stützen einen kontrollierten Ablauf, aber ihre berichteten Ergebnisse sind institutsspezifische Beobachtungen und sagen keine Resultate für eine andere Bank, Datenbasis oder Rechtsordnung voraus.

Die Validierung muss den vollständigen Entscheidungsprozess aus Entity Resolution, Graphaufbau, Mustererkennung und fachlicher Interpretation prüfen. Historische Kennzeichnungen sind dünn, weil bestätigte Geldwäschefälle selten sind und frühere Meldeentscheidungen die damaligen Kontrollen widerspiegeln. Eine zufällige Aufteilung desselben Transaktionsnetzes kann außerdem verbundene Einheiten auf Trainings- und Testdaten verteilen, wodurch die Leistung stärker als im Betrieb erscheint.

Precision und Recall beschreiben verschiedene operative Kosten, während die Fläche unter der Precision-Recall-Kurve bei seltenen positiven Fällen meist aussagekräftiger als Genauigkeit ist. Die INFORMS-Übersicht warnt außerdem, dass synthetische Daten Graphmethoden unrealistisch erfolgreich erscheinen lassen können. Modellvalidierung in Banken behandelt unabhängige Prüfung, Vergleichsmodelle und laufende Überwachung nach der Produktionsfreigabe.

Graphprojekte brauchen benannte Verantwortliche für Quelldaten, Abgleichslogik, Graphmerkmale und Fallergebnisse. Zugriffsrechte sollten den Ermittlungsaufgaben folgen, weil eine Beziehungssicht Informationen verbinden kann, die getrennte Systeme zuvor unterschiedlichen Teams zeigten. Aufbewahrungsregeln, Berichtigungsverfahren und Herkunftsnachweise müssen abgeleitete Kanten ebenso wie ursprüngliche Kunden- und Zahlungsdatensätze erfassen.

Die FATF-Arbeit zur digitalen AML-Transformation erkennt das Potenzial gemeinsamer Analysen an und verlangt gleichzeitig die Einhaltung von Datenschutzrecht. Nach Artikel 90 der Verordnung (EU) 2024/1624 gilt sie grundsätzlich ab dem 10. Juli 2027, während bis dahin bestehende nationale Anforderungen maßgeblich bleiben.

Ein sinnvoller Pilot wählt eine Typologie, eine begrenzte Grundgesamtheit und einen Datenbestand mit bereits geklärter Verantwortung. Das Team erfasst vor der Graphanalyse eine Ausgangsbasis für Ermittlungszeit, bestätigte Beziehungen und ungelöste Datenmängel. Abnahmekriterien sollten Belegqualität, Reproduzierbarkeit, Nutzbarkeit für Ermittler und die Zahl wichtiger Fälle umfassen, die erst durch Netzwerkerweiterung gefunden wurden.

Der HKMA-Bericht empfiehlt einen kleinen Anfangsumfang, greifbare Erfolgskriterien und Zusammenarbeit zwischen Fachleuten für Finanzkriminalität und Technik. Ein Pilot sollte ebenfalls scheinbar ruhige Netzwerke prüfen, weil die Messung nur erzeugter Hinweise keine verfehlten Risiken zeigt. Die Produktionsfreigabe braucht einen Rückfallplan, festgelegte Überwachungsschwellen und einen Weg für Ermittler, falsche Verknüpfungen anzufechten.

Die Netzwerkanalyse kann keine Beziehungen wiederherstellen, die Quellsysteme niemals erfasst haben, und unvollständige Gegenparteidaten schaffen künstliche Netzwerkgrenzen. Falsche Identitätstreffer können Risiken auf unabhängige Kunden übertragen, während verfehlte Treffer ein Netzwerk in harmlos wirkende Teile zerlegen. Kriminelles Verhalten verändert sich außerdem nach vorhersehbaren Kontrollen, deshalb garantieren stabile historische Ergebnisse keine fortdauernde Erkennung.

Graph Neural Networks schaffen eine weitere Abhängigkeit, weil ihre Ergebnisse Topologie, Merkmalsbildung und verfügbare Kennzeichnungen widerspiegeln. KI für die Geldwäscheprävention behandelt Modellbewertungen und menschliche Kontrolle ausführlicher. Viele Institute können mit erklärbaren Abfragen und Graphmerkmalen beginnen, bevor sie ein lernendes Modell mit weitergehender Validierung erwägen.

Die Netzwerkanalyse ergänzt bestehende Kunden- und Transaktionskontrollen gewöhnlich um Beziehungskontext, ohne deren rechtliche oder operative Funktionen zu ersetzen. Das Monitoring kann den ersten Alert liefern, während die Netzwerkanalyse die Prüfung auf relevante Einheiten erweitert und die Belege für diese Erweiterung festhält.

Eine Graphdatenbank ist für wiederholte mehrstufige Abfragen nützlich, aber ein Institut kann einen begrenzten Fall mit kontrollierten relationalen Auszügen und Visualisierungswerkzeugen prüfen. Die Entscheidung hängt von Abfragekomplexität, Aktualisierungshäufigkeit, Datenmenge, Integrationsbedarf und dem benötigten Prüfpfad der Ermittlungen ab.

Ein Pilot sollte Belegqualität, bestätigte Beziehungen, Prüfzeit, Reproduzierbarkeit und Stichproben verfehlter Fälle neben Modellkennzahlen verfolgen. Keine einzelne Alert-Reduktion oder Genauigkeitszahl belegt Wirksamkeit, weil das Institut ebenfalls falsche negative Ergebnisse und nachgelagerte Ermittlungsentscheidungen verstehen muss.