Wenn eine Sparkasse in Mittelhessen eine Überweisung nach Dubai auslöst, kennt sie ihren Kunden. Sie weiß, was er macht, woher das Geld kommt, ob das Muster plausibel ist. Die Landesbank, die diese Zahlung als Girozentrale weiterleitet, sieht davon nichts. Sie sieht einen Datensatz: Betrag, IBAN, BIC, Verwendungszweck. Das ist alles.

Und trotzdem verlangt die BaFin – korrekt, gemäß AuA BT – auch von der durchleitenden Stelle ein Transaktionsmonitoring. Das Ergebnis ist ein regulatorisches Spannungsfeld, das so alt ist wie das deutsche Drei-Säulen-Bankwesen selbst: Wer keine Kundenbeziehung hat, kann kein kundenbezogenes Monitoring betreiben. Aber wer Zahlungen verarbeitet, darf auch nicht wegschauen.

Das Problem hat einen Namen, der so sperrig klingt wie die Compliance-Abteilungen, die sich damit herumschlagen: Durchleitgeschäft. DLG. Und es betrifft nicht nur Sparkassen und Landesbanken. Es betrifft die DZ BANK als Girozentrale für über 700 Volks- und Raiffeisenbanken. Es betrifft die KfW, die praktisch ihr gesamtes Kreditgeschäft über Hausbanken durchleitet. Und es betrifft jeden Payment Service Provider, der Zahlungen abwickelt, ohne den Kartenzahler je zu Gesicht zu bekommen.

Das Kernproblem ist nicht Technik. Es ist Kontext.

Die Compliance-Industrie reagiert auf das DLG-Problem reflexartig mit Technologie: mehr Regeln, feinere Schwellenwerte, maschinelles Lernen. Aber das verfehlt den Punkt. Ein regelbasiertes Transaktionsmonitoring funktioniert nur dort, wo es eine Baseline gibt – ein Kundenprofil, gegen das Abweichungen gemessen werden können. Im Durchleitgeschäft existiert diese Baseline nicht.

Was es stattdessen kann: Sanctions-Screening – das funktioniert kontextunabhängig, weil es Namen und Listen abgleicht, nicht Verhalten interpretiert. Aggregatanalysen – plötzliche Volumensprünge einer Sparkasse, ein neuer Korridor nach Zentralasien, eine Häufung von Kleinstbeträgen knapp unter Meldeschwellen. Und Gegenpartei-Monitoring: nicht den Endkunden überwachen, sondern die Respondent Bank, den Merchant, das Partnerinstitut.

Das klingt nach wenig. Aber es ist ehrlich. Und Ehrlichkeit ist in der AML-Welt eine unterschätzte Tugend.

Neun Spielarten, neun verschiedene Antworten

Der gravierendste Fehler, den Institute im Umgang mit DLG machen, ist die Universallösung: ein TM-Regelwerk für alles. Aber Zahlungsverkehr ist nicht Trade Finance, und Fördermitteldurchleitung ist nicht PSP-Acquiring. Wer das über einen Kamm schert, produziert entweder tausende nutzlose Alerts oder eine gefährliche Scheinsicherheit.

Die Konsequenz: Jede DLG-Art braucht einen eigenen Kontrollpfad. Screening flächendeckend, TM selektiv, Plausibilitätslogik dort, wo Verträge und Programme die Baseline liefern, Netzwerkanalyse dort, wo individuelle Daten fehlen.

Der Rückfrageprozess: der unterschätzte Hebel

In der gesamten Diskussion um DLG-Monitoring wird ein Element systematisch unterschätzt: die strukturierte Rückfrage an das kontoführende Institut. Wenn die Landesbank eine Auffälligkeit sieht, die sie mit eigenen Daten nicht auflösen kann, muss sie fragen können. Und sie muss eine Antwort bekommen.

Das klingt trivial. Ist es nicht. Im Sparkassenverbund gibt es keine Weisungsbefugnis der Landesbank gegenüber den Sparkassen. Im genossenschaftlichen Verbund ist es etwas besser – die DZ BANK hat als IPS-Konzern engere gruppenweite Pflichten. Bei privaten Geschäftsbanken mit internationalen Korrespondenzbanknetzwerken ist es am schwierigsten: Wie erzwingt man eine Antwort von einer Respondent Bank in einem Drittstaat?

Die Antwort liegt nicht in der Technik, sondern in der Governance: Vertragsklauseln, die AML-Kooperation verpflichtend machen. SLAs für Antwortfristen. Eskalationsstufen bis zum Vorstand. Und – entscheidend – definierte Exit-Kriterien für den Fall, dass ein Partner dauerhaft nicht kooperiert.

AMLR 2027: neue Spielräume, neue Risiken

Ab dem 10. Juli 2027 gilt die AMLR – die neue EU-Anti-Geldwäscheverordnung, die das deutsche GwG in weiten Teilen ablösen wird. Für das DLG-Monitoring bringt sie zwei wesentliche Veränderungen.

Erstens: Art. 36 AMLR verschärft die Sorgfaltspflichten bei grenzüberschreitenden Korrespondenzbeziehungen. Das ist die korrekte Normstelle – nicht Art. 79, wie in manchen Branchenpapieren fälschlich zitiert, der anonyme Konten und Inhaberpapiere betrifft.

Zweitens: Art. 75 AMLR schafft einen Rahmen für formalisierte Information-Sharing-Partnerships zwischen Verpflichteten. Das könnte – theoretisch – das Kundenkontext-Dilemma im Durchleitgeschäft lösen: Die Sparkasse teilt risikorelevante Informationen mit der Landesbank, strukturiert, aufsichtsnotifiziert, datenschutzkonform.

Könnte. Theoretisch. In der Praxis ist Art. 75 kein Freibrief. Er verlangt Aufsichtsnotifizierung, Compliance-Mechanismen und eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO. Wer sein gesamtes DLG-Monitoring-Zielbild auf diesen Artikel baut, ohne einen Plan B zu haben, geht ein architektonisches Risiko ein. Falls Art. 75 in der Praxis enger ausgelegt wird oder langsamer kommt als erhofft, muss das Kontrollmodell auch ohne ihn funktionieren.

Das De-Risking-Paradoxon

Was passiert, wenn Institute das DLG-Problem nicht lösen? Sie schließen den Geschäftsbereich. De-Risking. Die Korrespondenzbank in einem Hochrisikoland wird gekündigt, das Trade-Finance-Portfolio wird eingeschränkt, der PSP verliert seinen Bankpartner.

Die FATF hat 2016 in ihrer Guidance on Correspondent Banking Services explizit davor gewarnt. De-Risking löst kein AML-Problem – es verlagert Zahlungsströme in weniger regulierte Kanäle und schadet der finanziellen Inklusion. Die EBA-Guidelines on ML/TF Risk Factors adressieren das ebenfalls: Risikominderung ist nicht gleich Geschäftsvermeidung.

Das heißt: Ein dokumentiertes DLG-Kontrollkonzept ist nicht nur eine regulatorische Pflichtübung. Es ist die Voraussetzung dafür, Geschäftsbereiche behalten zu können. Wer der Aufsicht zeigen kann, dass er seine DLG-Risiken versteht, bewertet und steuert, hat ein Argument. Wer das nicht kann, hat nur zwei Optionen: hoffen oder schließen.

Was die AMLA sehen will

Ab 2028 wird die AMLA als europäische Aufsichtsbehörde operativ. Bestimmte Institute – die „Selected Obliged Entities“ – werden direkt beaufsichtigt. Die Kriterien stehen in Art. 13 ff. AMLA-VO: Bilanzsumme, grenzüberschreitendes Geschäft, Risikoprofil. Große private Geschäftsbanken und internationale Zahlungsabwickler sind die wahrscheinlichsten Kandidaten.

Was wird die AMLA bei einer Prüfung sehen wollen? Nicht ein weiteres Thought-Leadership-Paper. Sondern:

Wer das liefern kann, hat eine belastbare Position. Wer es nicht kann, wird eine unangenehme Prüfung erleben.

Dieser Artikel basiert auf einer mehrstufigen Fachanalyse, die als Rahmenkonzept v4.0 dokumentiert ist. Das zugehörige AMLA-Prüfprotokoll bewertet das Konzept mit 5× GRÜN, 3× GELB, 0× ROT. Die vollständigen Dokumente sind auf Anfrage über die Watchdog-Redaktion verfügbar.