Der globale RegTech-Markt wird 2026 auf über 23 Milliarden US-Dollar geschätzt und soll bis 2034 auf über 100 Milliarden anwachsen. Das ist eine bemerkenswerte Summe für eine Industrie, deren wertvollste Rohstoffe — Gesetzestexte, Sanktionslisten, Handelsregisterdaten, aufsichtliche Veröffentlichungen — frei im Internet verfügbar sind. Zeit für eine unbequeme Frage: Was genau verkaufen diese Unternehmen eigentlich?

Die Antwort ist, bei nüchterner Betrachtung, ernüchternd: Aggregation, Formatierung und Benutzeroberflächen. Nicht Daten. Nicht Algorithmen. Nicht regulatorische Expertise. Sondern die Tatsache, dass niemand Lust hat, 47 verschiedene RSS-Feeds zu lesen und die Ergebnisse in eine Excel-Tabelle zu tippen. Das ist ein legitimes Geschäftsmodell — aber es ist kein Burggraben. Und im Zeitalter von Large Language Models, öffentlichen APIs und einer wachsenden Open-Source-Bewegung ist es ein Geschäftsmodell mit Ablaufdatum.

Diese Analyse kartiert sieben Segmente der FinCrime- und RegTech-Wertschöpfungskette, benennt die Anbieter, die am meisten zu verlieren haben, und skizziert eine Open-Source-Architektur, die sie alle gleichzeitig angreifen kann. Es ist kein Fantasieprojekt: Jede einzelne Komponente existiert bereits als Open-Source-Software oder öffentliche Datenquelle. Es fehlt nur jemand, der sie zusammensetzt.

Segment 01Regulatory Intelligence: Das Vier-Augen-Prinzip gegen den Algorithmus

VÖB-Service, eine Tochter des Bundesverbands Öffentlicher Banken, betreibt mit RADAR den Marktführer für regulatorisches Normenmonitoring in Deutschland und Österreich. Über 230 Unternehmen und 5.000 Anwender nutzen das System. Ein Redaktionsteam führt täglich ein „Legal Screening“ durch, erstellt Management Summaries, Kategorisierungen und Auswirkungsanalysen — stets im Vier-Augen-Prinzip, wie man betont. International machen CUBE (das gerade den kalifornischen Anbieter 4CRisk akquiriert hat) und FinregE (das den FCA-Handbook-Auftrag gewonnen hat) ähnliche Geschäfte.

Das Problem für all diese Anbieter lässt sich in einem Satz zusammenfassen: EUR-Lex hat eine SPARQL-API. Die BaFin publiziert RSS-Feeds. EBA, ESMA und EIOPA veröffentlichen ihre Konsultationspapiere in maschinenlesbaren Formaten. Das Bundesgesetzblatt ist digitalisiert. FATF-Empfehlungen sind PDFs mit vorhersagbarer Struktur. Der Basel-Ausschuss hat ein Archiv.

Ein KI-gestütztes Horizon-Scanning-System, das alle öffentlichen Quellen automatisch scrapt, mit einem LLM klassifiziert und in einem Neo4j-Knowledge-Graph die Beziehungen zwischen Normen abbildet (welche Norm ändert welche, welche konkretisiert welche, welche implementiert welche EU-Richtlinie), wäre RADAR nicht nur ebenbürtig — es wäre in mehrfacher Hinsicht überlegen. Es wäre schneller (Echtzeit statt tagesaktuell), transparenter (jede Klassifikation mit Confidence-Score und Quellenangabe) und — der entscheidende Punkt — es könnte die Norm automatisch auf die bestehenden internen Policies eines Instituts mappen und eine Gap-Analyse generieren. Das kann RADAR nicht.

Segment 02Sanctions Screening: Das schmutzigste Geheimnis der Compliance-Industrie

Hier wird es richtig pikant. Dow Jones Risk & Compliance und LSEG World-Check (ehemals Refinitiv, ehemals Thomson Reuters — man verliert den Überblick bei den Umbenennungen) verkaufen im Kern eine Dienstleistung, die auf öffentlich zugänglichen Daten basiert. Die EU-Konsolidierte Sanktionsliste ist ein XML-Download. Die UN-Sanktionsliste ebenso. OFAC veröffentlicht die SDN-Liste als CSV. Die britische HMT-Liste, die BaFin-Embargo-Rundschreiben, die Schweizer SECO-Liste — alles öffentlich, alles maschinenlesbar, alles kostenlos.

Was diese Anbieter tatsächlich verkaufen, ist dreierlei: Erstens die Aggregation dieser Listen in einem einheitlichen Format. Zweitens PEP-Daten (Politically Exposed Persons), die aus Parlamentsregistern, Wikidata und öffentlichen Ämterverzeichnissen zusammengetragen werden. Drittens — und das ist der einzige Teil mit echtem Mehrwert — Adverse-Media-Daten, also die systematische Auswertung negativer Presseberichterstattung.

Der fehlende Baustein ist das Name Matching. „Wladimir Putin“ muss auch gefunden werden, wenn er als „Vladimir Poutine“, „V. V. Putin“, „Путин Владимир Владимирович“ oder in einer von 47 anderen Transliterationen in den Daten steht. Traditionelle Fuzzy-Matching-Algorithmen (Levenshtein-Distanz, Soundex, Metaphone) scheitern regelmäßig an nicht-lateinischen Schriften. Hier können LLMs einen echten Unterschied machen: Ein Sprachmodell, das Arabisch, Kyrillisch, Chinesisch und Devanagari versteht, wird beim Cross-Script-Name-Matching jedes regelbasierte System übertreffen.

Segment 03Transaction Monitoring: Die 95-Prozent-False-Positive-Maschinen

Das Transaction Monitoring (TM) ist das Herzstück der Geldwäschebekämpfung — und gleichzeitig das dysfunktionalste. Branchenweit produzieren regelbasierte TM-Systeme zwischen 95 und 99 Prozent False Positives. Das bedeutet: Von 100 Alerts, die das System generiert, sind 95 bis 99 harmlos. Compliance-Analysten verbringen den Großteil ihrer Arbeitszeit damit, Fehlalarme wegzuklicken. Die großen Anbieter — NICE Actimize, SAS, Oracle — wissen das. Ihre Lösung: mehr KI-Layer auf das bestehende Problem kleben.

Die Newcomer im Mid-Market — Napier AI, ThetaRay, Unit21, Salv — positionieren sich als die KI-getriebene Alternative. Aber hier liegt die Ironie: Wenn der Differenziator „KI“ ist, dann ist er mit Open-Source-LLMs replizierbar. Apache Flink für Stream Processing, ein LLM für Alert-Triage und Graph-Analytics auf Neo4j für die Netzwerkerkennung (Smurfing, Layering, Shell Company Networks) — das sind keine proprietären Technologien.

Segment 04KYC & Client Onboarding: Die 80-Prozent-Reduktion, die niemand liefert

Fenergo verspricht, Onboarding-Zeiten um „über 80 Prozent“ zu reduzieren. Das mag stimmen — relativ zu dem Chaos, das vorher herrschte. Aber Fenergo ist, höflich gesagt, ein Enterprise-Koloss: längliche Implementierung, signifikante IT-Ressourcen, „custom enterprise pricing“ (was in der Branche ein Euphemismus für „Sie wollen den Preis nicht wissen“ ist). Für eine mittelgroße Sparkasse oder Genossenschaftsbank ist das weder erschwinglich noch angemessen.

Die interessantere Frage ist, was von KYC übrig bleibt, wenn die EU Digital Identity Wallet kommt. eIDAS 2.0 soll ab 2026/27 eine standardisierte, grenzüberschreitende Identitätsverifikation ermöglichen. Damit wird ein erheblicher Teil dessen, was Jumio, Onfido (jetzt Entrust) und Sumsub verkaufen — nämlich die Verifikation von Ausweisdokumenten per Kamera — mittelfristig obsolet. Die UBO-Ermittlung (Ultimate Beneficial Owner) lässt sich schon heute aus öffentlichen Handelsregistern (Bundesanzeiger, OpenCorporates) und dem Transparenzregister automatisiert durchführen.

Segment 05Adverse Media & OSINT: Wo Journalismus auf Algorithmen trifft

Dieses Segment hat einen besonderen Platz in meinem Herzen. LexisNexis verkauft Adverse-Media-Screening: die systematische Auswertung negativer Berichterstattung über Personen und Unternehmen. Quantexa macht Entity Resolution: die Verknüpfung von Personen und Firmen über multiple Datenquellen hinweg zu einem einheitlichen Profil. Chainalysis verfolgt Kryptowährungstransaktionen durch die Blockchain. i2 Analyst’s Notebook (IBM) und Palantir Gotham bieten investigative Analyse-Plattformen.

Jedes einzelne dieser Produkte lässt sich mit Open Source replizieren. Entity Resolution ist ein seit Jahrzehnten gelöstes statistisches Problem (Record Linkage, Deduplizierung). Die britische Regierung hat mit Splink ein hervorragendes Open-Source-Tool dafür veröffentlicht. Adverse Media ist im Kern RSS-Feed-Aggregation plus LLM-Klassifikation. Blockchain-Forensik basiert auf öffentlichen Blockchain-Daten (Etherscan, Blockchair) plus Graph-Analyse. Und investigative Analyse ist — so sehr es Palantir schmerzen mag — Neo4j mit einer guten Benutzeroberfläche.

Segment 06GRC & Regulatory Reporting: Die Excel-Friedhöfe der Compliance

SAP GRC, IBM OpenPages, Archer, MetricStream — die Liste der Enterprise-GRC-Plattformen liest sich wie ein Friedhof ambitionierter IT-Projekte. Die Implementierung dauert 6–12 Monate, die Kosten liegen im sechsstelligen Bereich, und am Ende des Tages exportieren die meisten Compliance-Abteilungen ihre Daten trotzdem nach Excel, weil das GRC-Tool zu umständlich ist.

Der disruptive Ansatz hier ist nicht, ein weiteres GRC-Monster zu bauen, sondern das Problem von der anderen Seite aufzurollen: automatische Policy-to-Control-Mappings via LLM, XBRL-Reportgenerierung aus strukturierten Daten, und — der radikalste Ansatz — ein Git-basierter Audit-Trail, bei dem jede Compliance-Entscheidung ein Commit ist, jede Policy-Änderung ein Merge Request, und jeder Prüfer die vollständige Historie auf Knopfdruck einsehen kann.

Segment 07Beratung & Training: Der 1.200-Euro-Tag, der nicht mehr zu rechtfertigen ist

Und dann gibt es noch das vielleicht verwundbarste Segment von allen: die Compliance-Beratung der Big 4. PwC, Deloitte, EY und KPMG verdienen prächtig daran, Junior Consultants für 1.200 Euro am Tag regulatorische Analysen schreiben zu lassen, die ein LLM in drei Minuten produzieren kann. Diese Watchdog-Redaktion hat in einer früheren Artikelserie die Thought-Leadership-Publikationen aller vier Häuser systematisch auf Fehler, Auslassungen und Widersprüche geprüft — die Ergebnisse waren, nun ja, aufschlussreich.

Das gleiche gilt für Zertifizierungsanbieter wie ACAMS und ICA. Deren Schulungsmaterialien werden in dem Moment commoditisiert, in dem ein LLM dieselben Inhalte personalisiert, interaktiv und in Echtzeit vermitteln kann. Die VÖB Academy of Finance, die Compliance-Seminare für 800–2.000 Euro pro Tag anbietet, sollte ebenfalls sehr genau überlegen, welchen Mehrwert ein Präsenzseminar gegenüber einem KI-gestützten Lernpfad bietet, der auf die spezifischen regulatorischen Anforderungen des jeweiligen Instituts zugeschnitten ist.

ÜberblickWer sollte bangen — und wie sehr?

KostenWas der Spaß kostet — und was er kosten könnte

Die folgende Gegenüberstellung ist konservativ geschätzt. Die proprietären Kosten umfassen typische Lizenzgebühren für ein mittelgroßes Kreditinstitut (keine Großbank). Die Open-Source-Kosten umfassen Infrastruktur (Cloud/VPS), API-Kosten für LLMs und Entwicklungsaufwand (gerechnet als Personalkosten eines IT-affinen Compliance-Teams).

ArchitekturFinCrime OS — ein Stack für alles

Das Bemerkenswerte an dieser Disruptions-Analyse ist, dass alle sieben Segmente auf denselben technischen Kern zurückgreifen. Ein Neo4j Knowledge Graph als zentrale Datenschicht, eine LLM-Pipeline für Analyse und Klassifikation, öffentliche Datenquellen als Input und eine API-Schicht für Integrationen. Das ist kein Zufall — es spiegelt die Tatsache wider, dass die gesamte FinCrime/RegTech-Industrie im Kern ein Informationsverarbeitungsproblem löst, das überall gleich aussieht: Daten sammeln, strukturieren, analysieren, darstellen.

EhrlichkeitWas wir nicht können — und warum das okay ist

Bevor der Enthusiasmus überhandnimmt, eine kalte Dusche. Es gibt Bereiche, in denen Open Source die proprietären Anbieter (noch) nicht vollständig ersetzen kann:

Erstens: Regulatory Attestation. Wenn die BaFin bei der Sonderprüfung fragt, „Welches System nutzen Sie für das Sanctions Screening?“, ist „ein Python-Skript, das mein IT-Manager geschrieben hat“ eine riskantere Antwort als „World-Check von LSEG“. Das ist kein technisches Problem — es ist ein Reputations- und Haftungsproblem. Prüfer kennen die großen Namen und vertrauen ihnen.

Zweitens: Datenqualität bei PEPs. Die besten kommerziellen PEP-Datenbanken enthalten Millionen von Einträgen, die manuell kuratiert und kontinuierlich aktualisiert werden. Ein automatisierter Ansatz auf Basis von Wikidata und Parlamentsregistern kommt auf vielleicht 70–80 Prozent dieser Abdeckung. Für den europäischen Markt mag das reichen; für exotischere Jurisdiktionen nicht.

Drittens: False Positive Tuning. Die Kalibrierung eines Transaction-Monitoring-Systems auf die spezifischen Risikoparameter eines Instituts erfordert Domänenwissen, das nicht in einem Algorithmus steckt. Hier haben erfahrene Implementierungspartner einen echten Vorsprung.

Aber — und das ist der entscheidende Punkt — keines dieser Hindernisse ist unüberwindbar. Und keines rechtfertigt die Preise, die die Industrie derzeit aufruft.

Beyond AI/FinCrime OSNicht die KI differenziert — das föderative Mindset tut es

Und jetzt kommen wir zum Punkt, der diese Analyse von einem Tech-Manifest zu einem strategischen Argument macht.

Alles, was in den vorangegangenen Abschnitten beschrieben wurde — die LLM-Pipelines, die Knowledge Graphs, die Scraper und APIs — ist im Kern reproduzierbare Technologie. Jede Großbank kann sich morgen ein Team zusammenstellen und dasselbe bauen. Jeder RegTech-Startup kann Claude oder GPT in seine Plattform einbetten und „KI-gestützt“ auf die Pressemitteilung schreiben. Der Einsatz von KI-Agentensystemen in der Compliance wird kein Wettbewerbsvorteil sein. Er wird, innerhalb weniger Jahre, eine Selbstverständlichkeit sein — so wie heute niemand mehr damit wirbt, eine relationale Datenbank zu verwenden.

Was tatsächlich marktdifferenzierend sein wird, ist das föderative Mindset: die Fähigkeit und Bereitschaft von Instituten, Compliance-Infrastruktur als Gemeinschaftsgut zu begreifen und kooperativ zu entwickeln. Das ist kein technisches Problem. Es ist ein kulturelles, organisatorisches und — im besten Sinne — ein politisches Projekt.

Warum das föderative Modell der einzig haltbare Burggraben ist

Technologie kann kopiert werden. Netzwerke nicht. Wenn 50 Volksbanken ein gemeinsames Sanctions-Screening betreiben, dann ist der Wert dieses Systems nicht der Code — der ist Open Source und frei verfügbar. Der Wert liegt in der kollektiven Regelkuratierung: 50 Geldwäschebeauftragte, die False Positives bewerten, Regelvarianten für verschiedene Geschäftsmodelle testen und Prüfungserfahrungen teilen. Dieses Netzwerkwissen kann kein LLM generieren und kein Vendor kaufen.

Regulatorische Glaubwürdigkeit entsteht durch Institutionalisierung. Ein einzelner IT-Manager, der ein Python-Skript auf GitHub stellt, wird von der BaFin-Prüfung bestenfalls mit höflichem Desinteresse zur Kenntnis genommen. Eine Genossenschaft aus 50 oder 100 Kreditinstituten, die ein gemeinsames Open-Source-Compliance-System betreibt — mit Governance-Struktur, Fachgremium, Revisionsbericht und gemeinschaftlicher Haftung — das ist eine regulatorische Realität, die Prüfer ernst nehmen müssen. Der Prüfer fragt dann nicht mehr „Welches System nutzen Sie?“, sondern „Welchem Verbund gehören Sie an?“

Skalierungseffekte, die kein Vendor bieten kann. Stellen Sie sich vor: Ein gemeinsamer Knowledge Graph, in den 350 Sparkassen ihre anonymisierten Erfahrungen mit regulatorischen Anforderungen einpflegen. Welche MaRisk-Anforderung wurde wie umgesetzt? Welche Auswirkungsanalyse hat sich als zutreffend erwiesen? Wo gab es Prüfungsbeanstandungen? Das wäre nicht nur ein Compliance-Tool — es wäre ein Wissenssystem, das in seiner kollektiven Intelligenz jedem kommerziellen Produkt überlegen ist. Nicht weil die KI besser ist, sondern weil die Daten besser sind — generiert von denen, die die Regulatorik täglich anwenden.

Technologische Souveränität als strategisches Ziel. Die deutsche Finanzwirtschaft macht sich derzeit abhängig von US-amerikanischen Anbietern für Kernfunktionen der Geldwäscheprävention. NICE Actimize (Israel/USA), Palantir (USA), Oracle (USA), LSEG World-Check (UK/USA) — die sensibelsten Compliance-Daten deutscher Kreditinstitute liegen auf Servern von Unternehmen, die dem US CLOUD Act unterliegen. In einer Zeit, in der DORA operative Resilienz und die Kontrolle über kritische IKT-Dienstleister fordert, ist das kein Compliance-Problem — es ist ein Souveränitätsproblem. Ein föderativ betriebenes Open-Source-System auf europäischer Infrastruktur löst es.

Was das konkret bedeutet: Drei Stufen des föderativen Modells

Stufe 1 — Open Source mit Community-Governance: Die Software wird auf GitHub entwickelt, frei verfügbar, mit einer offenen Contributor-Community. Jedes Institut kann sie selbst betreiben. Das ist der Status quo von FinRegAgents — und der Startpunkt.

Stufe 2 — Föderativer Betrieb mit geteilter Infrastruktur: Eine Gruppe von Instituten betreibt gemeinsam eine Instanz — gehostet auf europäischer Cloud-Infrastruktur, mit gemeinsamer Datenpflege, geteiltem Regelwerk und gemeinschaftlicher Qualitätssicherung. Die Kosten werden umgelegt. Das Modell ähnelt dem, was Atruvia und Finanz Informatik für Core-Banking-Systeme bereits tun — nur für Compliance statt für Kontoführung.

Stufe 3 — Verbandslösung mit regulatorischer Anerkennung: DSGV oder BVR institutionalisieren das System als Verbundlösung. Die BaFin wird in den Dialog eingebunden. Das System erhält eine formale Governance-Struktur mit Revisionsfähigkeit. Es wird zum Branchenstandard — nicht weil es vorgeschrieben wird, sondern weil es besser und günstiger ist als die Alternative.

Die technologische Revolution — KI, LLMs, Open Source — ist der Katalysator. Aber der eigentliche Wandel ist organisatorischer Natur. Die Frage, die über Erfolg oder Scheitern dieses Projekts entscheidet, ist nicht „Funktioniert die KI?“ (sie tut es), sondern: „Schaffen es die Institute, über ihren eigenen Schatten zu springen und gemeinsam zu handeln?“

Der NukleusFinRegAgents — das Fundament steht bereits

Die gute Nachricht: Wir reden hier nicht über Science Fiction. Der technologische Nukleus für FinCrime OS existiert bereits als Open-Source-Projekt. Das FinRegAgents-Framework implementiert eine Confidence-aware KI-Audit-Pipeline für die wichtigsten deutschen und europäischen Regulierungswerke — GwG, MaRisk, DORA, WpHG. Es validiert KI-generierte Analysen gegen Primärquellen, erkennt Phantom-Zitationen, bewertet die Abrufqualität regulatorischer Texte und liefert einen zusammengesetzten Confidence-Score für jede Aussage.

Das Framework wurde in einem peer-reviewten Papier veröffentlicht und hat positives Feedback aus der akademischen Community erhalten — mit der berechtigten Anmerkung, dass empirische Evaluation der nächste Schritt ist. Genau hier kommt die Community ins Spiel.

FinRegAgents ist der Nukleus. Die Module, die wir in dieser Artikelserie vorstellen werden, docken hier an: Horizon Scanning speist den Knowledge Graph, der Sanctions Screener nutzt dieselbe Confidence-Pipeline, die Adverse-Media-Analyse validiert ihre Ergebnisse gegen dieselben Qualitäts-Gates. Ein Framework, sieben Anwendungen.

FazitDie demokratische Pflicht der Compliance

Die MaRisk schreiben vor, dass jedes Kreditinstitut über eine wirksame Compliance-Funktion verfügen muss. Das ist eine regulatorische Anforderung, keine optionale Empfehlung. Wenn die Werkzeuge, die diese Funktion benötigt, so teuer sind, dass sie sich nur Großbanken leisten können, dann ist das nicht nur ein Marktversagen — es ist ein systemisches Risiko. Kleinere Institute, die mit Excel-Listen und manuellen Prozessen arbeiten, weil sie sich kein RADAR, kein World-Check und kein NICE Actimize leisten können, sind nicht weniger reguliert. Sie haben nur weniger Werkzeuge.

Eine Open-Source-Alternative ändert diese Gleichung fundamental. Sie macht Compliance-Technologie zu einem öffentlichen Gut statt zu einer Profitquelle für Middleware-Anbieter. Sie zwingt die Industrie, über den Mehrwert jenseits von Datenaggregation und hübschen Benutzeroberflächen nachzudenken. Und sie gibt dem einzelnen Geldwäschebeauftragten einer Sparkasse dieselben Werkzeuge in die Hand, die bisher dem Chief Compliance Officer einer Großbank vorbehalten waren.

Die SerieBeyond AI/FinCrime OS — Das föderative Manifest in sieben Akten

Dieser Artikel ist der Auftakt. In den kommenden Wochen und Monaten werden wir jedes der sieben Segmente einzeln angreifen — nicht nur analysieren, sondern prototypisch umsetzen, mit laufendem Code, echten Datenquellen und dokumentierten Ergebnissen. Jede Episode wird als Open-Source-Modul auf GitHub veröffentlicht und an den FinRegAgents-Nukleus angedockt. Gemeinsam bilden sie das Beyond AI/FinCrime OS-Manifest: den Beweis, dass die Technologie reif ist — und dass der nächste Schritt organisatorisch, nicht technisch ist.