Transaktionsmonitoring in der Geldwäscheprävention

Zwei Normen tragen sie. § 6 Geldwäschegesetz verlangt von jedem Verpflichteten interne Sicherungsmaßnahmen, die seiner eigenen Risikolage angemessen sind, das ist die allgemeine Pflicht. Für Kreditinstitute ist § 25h Kreditwesengesetz konkret: Ein Institut muss Datenverarbeitungssysteme betreiben, um Geschäftsbeziehungen und einzelne Transaktionen zu erkennen, die angesichts des Risikos zweifelhaft oder ungewöhnlich erscheinen, und muss das Erkannte untersuchen.

Die Reihenfolge prägt jedes Projekt. Das System folgt der Risikoanalyse, die betriebenen Szenarien müssen also auf die dort erkannten Risiken zurückführbar sein. Ein als Herstellervorgabe gekauftes und nie auf die eigene Risikoanalyse bezogenes Monitoring ist die Feststellung, die in einer Prüfung dieses Bereichs zuerst kommt.

Regelbasierte Szenarien prüfen eine Bedingung: eine Bareinzahlung über einer Schwelle, eine Reihe von Überweisungen knapp darunter, eine Zahlung in ein Land auf der eigenen Risikoliste, ein neues Konto mit sofortiger Durchlauftätigkeit. Sie sind erklärbar, was zählt, weil das Institut sie begründen muss, und sie sind leicht zu umgehen, sobald jemand die Schwelle kennt.

Statistische und lernende Erkennung arbeitet stattdessen mit der Abweichung von einer Grundlinie: Dieser Kunde, oder Kunden wie dieser, verhalten sich nicht so. Sie findet Muster, für die keine Regel geschrieben wurde, und erklärt sich nicht so direkt, Banken fahren deshalb beides. Die Auslegungs- und Anwendungshinweise der BaFin zum GwG sind die Referenz für die Erwartungen an Überwachung und Dokumentation.

Structuring, auch Smurfing, teilt einen Betrag in Stücke unter einer Melde- oder Überwachungsschwelle, und darum sieht ein Szenario auf die Reihe und nicht auf die einzelne Transaktion. Layering schiebt Mittel durch mehrere Konten und Produkte, um die Spur zu brechen, Durchlauftätigkeit ohne wirtschaftlichen Zweck für den Kontoinhaber ist also ihre Signatur.

Weitere Muster im Szenariensatz: Finanzagentenkonten, oft neu eröffnet, die von vielen Sendern empfangen und sofort weiterleiten; wiederkehrende runde Beträge; Tätigkeit, die dem angegebenen Kontozweck widerspricht; schnelle Bewegung in und aus Kryptowerten, siehe Geldwäscheprävention bei Kryptowerten; und Handelszahlungen ohne plausibles Grundgeschäft. Jedes Muster ist eine Annahme über Verhalten, und genau die kodiert ein Szenario.

Alerts werden in zwei Stufen bearbeitet. Stufe eins schließt das offenkundige Rauschen: Das Gehalt kam an, die Überweisung passt zum bekannten Muster, die Gegenseite ist das zweite Konto desselben Kunden. Wer hier prüft, arbeitet mit Prüfliste und Zeitbudget je Alert und dokumentiert den Grund des Schließens und nicht nur das Ergebnis.

Stufe zwei untersucht, was übrig bleibt. Die Analyse zieht Beziehungshistorie, wirtschaftlich Berechtigte, weitere Konten und frühere Alerts und schreibt den Fall. Die Eskalation erreicht den Geldwäschebeauftragten, die Funktion, die deutsches Recht von einem Verpflichteten verlangt, und er entscheidet über die Meldung. Ein Schließungsgrund, der nur unverdächtig lautet, ohne Nachweis des Geprüften, ist die Lücke, nach der die Aufsicht sucht.

Die meisten Alerts sind Fehlalarme, und die Quote ist eine Entwurfsentscheidung und kein Naturgesetz. Eine gesenkte Schwelle fängt mehr und begräbt das Team, eine erhöhte räumt die Warteschlange und verfehlt Fälle. Das Institut muss zeigen können, warum seine Schwellen dort liegen, und das heißt eine dokumentierte Kalibrierung: Stichproben unterhalb der Schwelle, um das Verfehlte zu zeigen, und oberhalb, um den Inhalt der Alerts zu zeigen.

Ist die Erkennung statistisch, ist die Kalibrierung Modellarbeit und fällt unter dieselben Kontrollen wie jedes Modell, samt unabhängiger Validierung und Driftüberwachung. Modellvalidierung in Banken nennt die Methode, MaRisk die Governance.

§ 43 GwG verlangt von einem Verpflichteten die unverzügliche Meldung, wenn Tatsachen darauf hindeuten, dass ein Vermögensgegenstand aus einer strafbaren Tat stammt, ein Geschäft der Terrorismusfinanzierung dient oder der Kunde den wirtschaftlich Berechtigten nicht offengelegt hat. Die Schwelle liegt unter einem Beweis und unter einem Tatverdacht: hindeutende Tatsachen genügen, und das Institut muss die Tat nicht bestimmen.

Die Meldung geht an die Financial Intelligence Unit, und eine Transaktion darf nicht ausgeführt werden, bis die FIU zustimmt oder drei Werktage vergangen sind. Für die Überwachung heißt das, die Ausgabe des Systems muss eine zuständige Stelle schnell genug erreichen, damit dieses Fenster nutzbar bleibt. Geldwäscheprävention in Deutschland behandelt FIU und Meldeweg.

Ab dem 10. Juli 2027 gilt der größte Teil der Verordnung (EU) 2024/1624, der AMLR, unmittelbar, und sie harmonisiert die heute nationalen Regeln zu Sorgfaltspflichten und internen Grundsätzen. Für die Überwachung heißt das, die Pflicht selbst ist keine deutsche Formulierung mehr, sondern eine europäische, mit technischen Standards der AMLA darunter.

Die praktische Vorbereitung ist keine Systemänderung, sondern eine Zuordnung: Welche Kontrollen bestehen, weil das GwG es sagt, welche, weil die BaFin-Hinweise es sagen, und welche, weil der Hersteller sie mitlieferte. Die erste Gruppe muss neu aus der Verordnung abgeleitet werden. Das EU-Geldwäschepaket behandelt die drei Rechtsakte und ihre Daten.

Eine Überweisung, die in zehn Sekunden ankommt, lässt keinen Raum für eine Vorprüfung durch einen Menschen. Die Verordnung (EU) 2024/886 über Echtzeitüberweisungen machte Euro-Echtzeitzahlungen für Zahlungsdienstleister im Euroraum verbindlich und verlagert die Entscheidung in Echtzeit in das System.

Zwei Folgen ergeben sich. Vorprüfungen müssen automatisch und schnell sein, was Sanktionsprüfung und die härtesten Geldwäscheregeln in den Zahlungsweg drückt, während die übrige Überwachung nach der Ausführung läuft. Und dieselbe Verordnung brachte die Empfängerüberprüfung, die die Datenlage einer Betrugs- und Überwachungsmaschine im Moment der Zahlung verändert. Betrugsprävention in Deutschland und Finanzkriminalität im Zahlungsverkehr behandeln diese Seite.

Transaktionsmonitoring ist die automatisierte Prüfung von Kundentransaktionen gegen Szenarien und Verhaltensgrundlinien, um Tätigkeit zu finden, die auf Geldwäsche oder Terrorismusfinanzierung hindeuten kann, gefolgt von einer dokumentierten menschlichen Untersuchung des Markierten. Für deutsche Kreditinstitute folgt die Pflicht aus § 25h KWG, die allgemeine Pflicht zu internen Sicherungsmaßnahmen aus § 6 GwG.

Es gibt keine aufsichtliche Zahl, und eine niedrige Quote ist nicht automatisch besser: Ein System mit wenigen Alerts ist vielleicht nur so eingestellt, dass es nicht hinsieht. Zeigen muss das Institut, dass seine Schwellen aus einer Analyse des eigenen Risikos und der eigenen Daten stammen, dass die Kalibrierung dokumentiert und wiederholt wird und dass es unterhalb der Schwelle prüft, was es nicht fängt. Vertretbar ist die Methode, nicht die Zahl.

Der Geldwäschebeauftragte, die Funktion, die ein Verpflichteter nach deutschem Recht bestellt, entscheidet, und das Institut meldet. Die Analyse bereitet den Fall vor und empfiehlt; Entscheidung und ihr Nachweis liegen beim Beauftragten. Die Pflicht aus § 43 GwG erlaubt kein Warten auf Gewissheit, ein für weitere Belege offen gehaltener Fall bei schon hindeutenden Tatsachen ist daher selbst ein Verstoß.

Deutsches Recht schreibt keine Echtzeit vor. § 25h KWG verlangt dem Risiko angemessene Systeme, und das meiste Monitoring läuft nachgelagert auf ausgeführten Transaktionen. Zwei Dinge laufen im Zahlungsweg: die Sanktionsprüfung, denn eine Zahlung an eine gelistete Partei ist selbst der Verstoß, und die Regeln, auf die ein Institut zu blocken bereit ist. Echtzeitzahlungen haben die erste Gruppe erweitert, denn nachgelagerte Erkennung hält keine schon ausgeführte Überweisung auf.