Ein Compliance-Officer in einer europäischen Bank bearbeitet im Schnitt 40 bis 60 Alerts pro Tag. 95 Prozent davon sind Fehlalarme. Die restlichen fünf Prozent? Darüber entscheidet ein Mensch mit Kaffee, Zeitdruck und einem SAR-Formular. Diese Geschichte handelt davon, was in den Daten passiert, bevor dieser Mensch seinen Bildschirm sieht.

I. Der Alltag: 5 Millionen Transaktionen

Um Geldwäsche zu verstehen, muss man zunächst verstehen, wie normal aussieht. IBMs IT-AML-Dataset simuliert eine realistische Finanzwelt: Banken, Unternehmen, Privatpersonen — alle tätigen Transaktionen. Überweisungen, Kreditkartenzahlungen, Schecks, ACH-Transfers, Bargeldein- und -auszahlungen, Bitcoin. Ein Mikrokosmos des globalen Zahlungsverkehrs über 18 Tage im September 2022.

Sieben Zahlungsformate bilden das Rückgrat des Datensatzes. Die Verteilung ist dabei durchaus realistisch: Schecks und Kreditkarten dominieren das Volumen, gefolgt von ACH-Transfers — dem automatisierten Clearing, über das in den USA ein Großteil der B2B-Zahlungen abgewickelt wird.

So weit, so normal. Die Welt überweist. Firmen bezahlen Lieferanten, Angestellte bekommen Gehalt, Menschen kaufen Dinge. Alles fließt. Und in diesem gewaltigen Strom von fünf Millionen Bewegungen versteckt sich etwas. Etwas Kleines. Etwas, das die meisten Systeme nie finden werden.

II. Die Nadel im Heuhaufen

Stellen Sie sich einen Raum mit tausend Menschen vor. 999 davon gehen ihren ganz normalen Geschäften nach. Einer wäscht Geld. Genau das ist die Proportion in diesem Datensatz: 0,10 Prozent aller Transaktionen sind Laundering. Eine von 980.

Jeder Punkt = ~50 Transaktionen. Grün = legitim. ■ Rot = Geldwäsche.

Die Vereinten Nationen schätzen, dass weltweit zwischen 2 und 5 Prozent des globalen BIP gewaschen werden — 800 Milliarden bis 2 Billionen US-Dollar pro Jahr. Im IT-AML-Dataset liegt die Laundering-Rate bei 0,10 Prozent. Der Unterschied? Im Datensatz kennen wir die Ground Truth. In der Realität kennt sie niemand.

III. ACH — Der Kanal der Wahl

Hier wird es interessant. Wenn man die Laundering-Rate nach Zahlungsformat aufschlüsselt, springt ein Kanal aus der Menge: ACH — das Automated Clearing House. Mit einer Laundering-Rate von 0,75 Prozent liegt ACH um den Faktor 35 bis 47 über allen anderen Formaten.

Warum ACH? Die Antwort ist so prosaisch wie ernüchternd: ACH ist billig, schnell und automatisiert. Es gibt keine manuelle Prüfung am Schalter wie bei Bargeld, keine Kreditlimit-Prüfung wie bei der Kreditkarte. ACH-Transfers sind der digitale Lastenesel des Finanzsystems — und genau deshalb der bevorzugte Kanal für Layering-Operationen.

Bemerkenswert ist auch, was nicht für Geldwäsche genutzt wird: Wire-Transfers und Reinvestments haben eine Laundering-Rate von exakt Null. Bei Wire-Transfers ist die Erklärung plausibel: Sie unterliegen traditionell der schärfsten Kontrolle. Reinvestments bewegen sich innerhalb desselben Kontexts — man reinvestiert eigenes Geld, das bereits im System ist. Für Launderer uninteressant.

IV. Placement — Layering — Integration

Jedes Lehrbuch der Geldwäschebekämpfung beschreibt drei Phasen. Aber zwischen Lehrbuch und Realität klafft eine Schlucht, die man mit einem Datensatz überbrücken kann. IBMs IT-AML-Generator modelliert alle drei Phasen — etwas, was frühere synthetische Datasets wie AMLSim nur für Layering leisten konnten.

Wie Layering in den Daten aussieht

Der klassische Layering-Indikator in Transaktionsgraphen ist der Zyklus: Geld verlässt ein Konto, durchläuft mehrere Zwischenstationen und kehrt zum Ausgangspunkt zurück. Im Datensatz finden wir 1.003 Konten, die sowohl als Sender als auch als Empfänger von Laundering-Transaktionen auftreten — die Knotenpunkte der Waschmaschine.

Daneben gibt es Scatter-Gather-Muster: Ein Hub-Konto verteilt Gelder an dutzende oder hunderte Empfänger (Scatter), die sie dann konsolidieren (Gather). Konto 100428660 im Datensatz ist ein Paradebeispiel — es sendet 243 Laundering-Transaktionen an 236 verschiedene Empfänger. Gesamtvolumen: 50 Millionen Dollar. Alles in US-Dollar. Alles über Cheque, Credit Card und Cash.

Beachten Sie den Kontrast: Die Top-2 Hubs streuen breit — jede Transaktion geht an einen anderen Empfänger. Konto 80266F880 hingegen konzentriert 29 Transaktionen auf nur zwei Empfänger. Zwei völlig verschiedene Strategien, dieselbe Intention: Herkunft verschleiern.

V. Das Geld-Profil: Woran erkennt man gewaschenes Geld?

Ein weit verbreiteter Mythos: Geldwäsche findet in den Sphären der Millionenbeträge statt. Die Daten erzählen eine andere Geschichte. Der Medianwert einer Laundering-Transaktion liegt bei 8.667 Dollar — kein Vermögen, aber deutlich über dem Median aller Transaktionen von 1.411 Dollar.

Der Sweet Spot liegt zwischen 1.000 und 50.000 Dollar. In dieser Zone finden 72 Prozent aller Laundering-Transaktionen statt, aber nur 40 Prozent der legitimen. Warum? Die Antwort ist Structuring — das gezielte Stückeln von Beträgen, um Meldeschwellen zu umgehen. In den USA liegt die Currency Transaction Report-Schwelle bei 10.000 Dollar. Beträge knapp darunter sind ein klassisches Red Flag — und genau in diesem Korridor bewegt sich das Gros der illegalen Transaktionen.

98 Prozent Cross-Border

Ein weiteres Erkennungsmerkmal: Die überwältigende Mehrheit der Laundering-Transaktionen ist grenzüberschreitend. 98 Prozent der Geldwäsche im Datensatz bewegt sich zwischen verschiedenen Banken. Die Laundering-Rate bei Cross-Border-Transaktionen ist mit 0,12 Prozent fast achtmal so hoch wie bei Domestic-Transaktionen (0,015 Prozent).

VI. Bank 70 — Die heiße Adresse

In einem Datensatz mit über 30.000 Banken sticht eine heraus: Bank 70. Von ihr gehen 633 Laundering-Transaktionen aus — 12,2 Prozent der gesamten Geldwäsche im Datensatz. Diese 633 Transaktionen verteilen sich auf 456 verschiedene Empfängerbanken. Ein klassisches Scatter-Muster auf institutioneller Ebene.

Zum Vergleich: Die zweitaktivste Bank für Laundering-Abflüsse (Bank 12) kommt auf 76 Transaktionen — ein Achtel von Bank 70. Die Konzentration ist ein Hinweis darauf, dass im synthetischen Modell bestimmte Institutionen als „Laundromats“ fungieren — eine Realität, die in der echten Welt durch Fälle wie die Danske Bank Estonia dokumentiert ist, wo über eine einzige Filiale geschätzte 230 Milliarden Dollar gewaschen wurden.

VII. Warum Ihr TM-System blind ist

Hier kommen wir zum unangenehmen Teil. Transaction-Monitoring-Systeme arbeiten typischerweise mit regelbasierten Schwellenwerten: Betrag über X, Häufigkeit über Y, Geographie gleich Z. Das Problem? Die Regeln produzieren Fehlalarme — viele Fehlalarme.

Was die Daten zeigen, macht das Dilemma greifbar. Nehmen wir die einfachste denkbare Regel: „Flagge alle ACH-Transaktionen zwischen 1.000 und 50.000 Dollar.“ Wie würde diese Regel auf dem IT-AML-Datensatz performen?

Die Zahlen sind keine Übertreibung — sie sind die logische Konsequenz aus der extremen Klassen-Ungleichheit. Wenn nur 0,1 Prozent aller Transaktionen illegal sind, dann wird selbst ein hochpräziser Filter enormes Rauschen produzieren. Das ist nicht die Schuld schlechter Software. Es ist Mathematik.

Die IBM-Forscher, die den IT-AML-Generator gebaut haben, weisen in ihrem NeurIPS-2023-Paper auf einen entscheidenden Vorteil synthetischer Daten hin: Hier ist die Ground Truth vollständig. Jede Transaktion ist eindeutig als Laundering oder Nicht-Laundering gekennzeichnet. In der Realität ist das nie der Fall — ein großer Teil der tatsächlichen Geldwäsche wird nie erkannt, was bedeutet, dass TM-Systeme auf fehlerhaften Labels trainiert werden. Ein System, das auf schlechten Labels lernt, wird zwangsläufig schlechte Entscheidungen treffen.

VIII. Die Verdachtsmeldung — Vom Alert zum SAR

Angenommen, das TM-System hat einen echten Treffer gelandet. Was passiert dann? In den USA entsteht ein Suspicious Activity Report (SAR) — die formalisierte Verdachtsmeldung an FinCEN. In Deutschland heißt das Äquivalent Verdachtsmeldung nach § 43 GwG, gerichtet an die Financial Intelligence Unit (FIU).

Der Weg vom algorithmischen Alert zur behördlichen Meldung ist ein Filterprozess mit mehreren Stufen:

In jeder Stufe wird gefiltert. Von den ursprünglichen Alerts erreicht nur ein Bruchteil die eigentliche Verdachtsmeldung. In den FinCEN Files — den 2020 von BuzzFeed News und ICIJ geleakten internen Dokumenten — wurden über 2.100 SARs analysiert, die Transaktionen über 2 Billionen Dollar abdeckten. Das Ergebnis war ernüchternd: In vielen Fällen wurden verdächtige Transaktionen gemeldet, aber trotzdem weitergeleitet. Die Bank meldet — und macht weiter Geschäft.

IX. Was die Daten lehren — Ein Fazit in fünf Erkenntnissen

1. Die Ratio ist brutal. Bei einer Laundering-Rate von 0,1 Prozent ist jedes regelbasierte System zum Scheitern verurteilt. Die Mathematik der seltenen Ereignisse lässt keinen Precision-Recall-Trade-off zu, der operative Sinn ergibt. Graph Neural Networks — wie die IBM-Forscher sie auf dem Dataset getestet haben — zeigen Ansätze, aber kein System wird bei dieser Klassenverteilung zufriedenstellend performen.

2. ACH ist das Einfallstor. 86,6 Prozent aller Geldwäsche im Datensatz laufen über ACH. Jedes TM-System, das ACH-Transaktionen nicht mit erhöhter Aufmerksamkeit behandelt, verschwendet Ressourcen an den falschen Stellen.

3. Der Sweet Spot liegt zwischen 1K und 50K Dollar. 72 Prozent des Laundering bewegt sich in dieser Zone — groß genug, um sinnvoll zu sein, klein genug, um unter dem Radar zu bleiben. Die alte CTR-Schwelle von 10.000 Dollar ist keine Hürde mehr — sie ist eine Designvorgabe für Structuring.

4. Cross-Border ist fast alles. 98 Prozent der Laundering-Transaktionen sind grenzüberschreitend. Domestic-only-Monitoring ist wie ein Türschloss, das nur von innen funktioniert.

5. Hubs existieren. Einzelne Konten und Banken fungieren als Nexus-Punkte im Laundering-Netzwerk. Graph-basierte Analyse — ob GNN oder klassische Netzwerk-Metriken wie Betweenness Centrality — kann diese Hubs identifizieren, bevor der erste Alert ausgelöst wird.

X. Quellenverzeichnis — Alle Quellen & Links

Primäre Datenquelle

Wissenschaftliche Publikationen

Verwandte Datasets & Tools

Investigative Quellen & Hintergrund

Regulatorische Referenzen

Lizenzhinweise