Wero basiert auf direkten Konto-zu-Konto-Zahlungen im SEPA-Instant-Netzwerk. Das System ist derzeit in Belgien, Frankreich und Deutschland live und wird auf weitere EU-Märkte ausgebaut. Gerade die Direktheit macht Wero für klassische Geldwäsche weniger geeignet als Wallet- oder Stored-Value-Modelle: Es gibt weniger Zwischenräume, weniger Orte, an denen Guthaben geparkt und verschoben werden kann.

Aus Fraud-Perspektive kann jedoch genau diese Direktheit attraktiv sein. Wer ein Opfer per Social Engineering, Fake-Rechnung oder angeblichem Notfall dazu bringt, selbst zu zahlen, braucht kein kompliziertes Layering — er braucht Geschwindigkeit, Glaubwürdigkeit und eine Zahlung, die sich für das Opfer normal anfühlt. Die EBA beziffert die Betrugsrate bei Instant Credit Transfers auf bis zu zehnmal höher als bei regulären SEPA-Überweisungen. APP Fraud macht in Frankreich rund 59 % der gesamten Betrugsverluste im Zahlungsverkehr aus.

Aus AML-Perspektive besteht die Hypothese, dass organisierte Kriminalität die Echtzeit-Kaskade über mehrere Bankkonten in verschiedenen Ländern als Layering-Kanal nutzen könnte. Dafür spricht, dass keine einzelne Bank das Gesamtbild einer Cross-Bank-Kette sehen kann — das ist eine strukturelle Eigenschaft, kein nachgewiesenes Missbrauchsmuster bei Wero selbst. Die EU-Instant-Payments-Verordnung (2024/886) adressiert dieses Risiko über die verpflichtende Verification of Payee ab Oktober 2025.

PayPal ist nicht nur Zahlungsbutton, sondern Wallet, P2P-System, Händlernetz, Dispute-Maschine und grenzüberschreitende Finanzoberäche zugleich. Diese Vielfalt ist aus Kundensicht bequem, aus Risiko-Sicht anspruchsvoll.

Aus Fraud-Perspektive können Account Takeover, Friends-and-Family-Missbrauch und Dispute Abuse auf unterschiedliche Weise ansetzen. Das DOJ dokumentiert Fälle, in denen über 38.000 kompromittierte PayPal-Accounts für Überweisungsbetrug missbraucht wurden. OFAC verhängte 2015 eine Strafe von 7,66 Mio. USD gegen PayPal wegen 486 Transaktionen, die Sanktionsregime verletzten — aufgrund defekter automatisierter Screening-Filter.

Aus AML-Perspektive ist die Kombinierbarkeit der Funktionen das analytisch interessante Merkmal: Dort, wo private Zahlungen, Händlerzahlungen, Käuferschutz und internationale Flows zusammenkommen, entstehen viele legitime Muster, in denen sich illegitime Muster leichter tarnen könnten. Die FATF identifiziert „Micro Laundering“ über Tausende kleiner Transaktionen auf Plattformen wie PayPal als zunehmend schwer erkennbar. Die EBA stuft Payment Institutions generell als Sektor mit hohem inhärenten ML/TF-Risiko ein. Allerdings: PayPal hat bislang keine direkte FinCEN-Enforcement-Action wegen AML-Verstößen erhalten — was entweder für effektive Kontrollen oder für schwer erkennbare Muster spricht.

Klarna ist aus Täterperspektive möglicherweise weniger ein klassisches Payment-System als vielmehr ein Kredit- und Warenbeschaffungssystem. Der eigentliche Hebel liegt nicht in der Geldbewegung, sondern in der Vorfinanzierung von Konsum.

Aus Fraud-Perspektive öffnet das Modell die Tür für Identitätsbetrug und First-Party-Fraud. Die US-Notenbank bezeichnet synthetischen Identitätsbetrug als „die am schnellsten wachsende Form von Finanzkriminalität“. Branchendaten zeigen einen Anstieg synthetischer Identitätsfälle um 60 % (2024 vs. 2023). Die OCC warnt explizit vor „erhöhtem operationellem Risiko, insbesondere Betrugsrisiko“ bei BNPL aufgrund hochautomatisierter Kreditentscheidungen. Klarnas Kreditverluste stiegen 2024 um 35 % auf 5,4 Mrd. SEK — wobei die Grenze zwischen Kreditverlust und Fraud-Verlust bei BNPL strukturell schwer zu ziehen ist.

Aus AML-Perspektive verschiebt sich die Frage: Wenn Kriminelle nicht primär Geld waschen, sondern schnell werthaltige Güter beschaffen und sekundär monetarisieren wollen, könnte ein BNPL-Modell strategisch interessant sein. Die schwedische Finanzaufsicht Finansinspektionen verhängte im Dezember 2024 eine Geldbuße von 500 Mio. SEK gegen Klarna — unter anderem, weil die allgemeine Risikobewertung „keine Einschätzung enthielt, wie die Produkte und Dienstleistungen der Bank für Geldwäsche oder Terrorismusfinanzierung missbraucht werden könnten“. Das belegt regulatorische Defizite, nicht notwendigerweise tatsächliche Geldwäsche-Fälle.

Wichtige Einschränkung: „Asiatische Super-Apps“ ist eine vereinfachende Sammelkategorie. Alipay (China), WeChat Pay (China), GCash (Philippinen) und GrabPay (Singapur) unterliegen völlig unterschiedlichen Regulierungsregimen und weisen unterschiedliche Risikoprofile auf. Diese Einführung skizziert Gemeinsamkeiten; eine differenzierte Analyse nach Markt und Anbieter folgt in einer eigenen Episode.

Was diese Dienste strukturell verbindet, ist ihr Ökosystem-Charakter: Wallet, QR-Payment, P2P, Commerce, teils Kredit, teils Versicherungen — alles in einer App. Je mehr Alltag und Zahlungsverkehr in derselben Plattform zusammenlaufen, desto größer wird die potenzielle Angriffsfläche. Nicht weil diese Systeme per se schwächer sind, sondern weil sie mehr Rollen in einem einzigen Verhaltensraum vereinen.

Aus regulatorischer Sicht liegen belastbare Daten vor: Die PBOC verhängte 2024 gegen Ant Group (Alipay-Betreiber) eine Geldbuße von 7,12 Mrd. Yuan (ca. 984 Mio. USD) wegen AML-Verstößen und mangelhafter Identitätsprüfung. Tencents Tenpay (WeChat Pay) wurde mit 2,99 Mrd. Yuan (413 Mio. USD) bestraft — unter anderem wegen Ermöglichung von Geldwäsche über illegale Glücksspieltransaktionen. Die UNODC beziffert den jährlichen Cybercrime-Sektor in Südostasien auf 40 Mrd. USD und dokumentiert die Rolle digitaler Plattformen für Underground Banking und Scam-Netzwerke.

Aus AML-Perspektive warnen FATF und UNODC vor informellen Werttransfer-Systemen, die digitale Zahlungsinfrastrukturen nutzen. Die FATF betont jedoch ausdrücklich, dass Risiken produktindividuell zu bewerten sind und von Faktoren wie Anonymität, Limits, Identitätsprüfung und Monitoring abhängen — nicht von der Kategorie „Super-App“ als solcher.

Qualitative Risikomatrix

Qualitative Einschätzung auf Basis öffentlicher Quellen. Keine numerischen Scores — die Datenlage erlaubt keine pseudopräzise Quantifizierung.

Sobald man die Frage nach der kriminellen Aufgabe stellt, verändert sich auch die Kontrolllogik. Wero-ähnliche Systeme brauchen vor allem starke Prävention gegen Authorised Push Payment Fraud und bessere Kundensignale gegen Manipulation. Wallet-Systeme wie PayPal brauchen Verhaltensanalyse, Identitätsauflösung und robuste Kontrollen gegen Dispute- und ATO-Missbrauch. BNPL-Modelle wie Klarna brauchen schärfere Verzahnung von Fraud-, Kredit- und Handelsdaten — und eine regulatorische Einordnung, die dem tatsächlichen Risikoprofil entspricht. Super-App-Modelle brauchen Ökosystem-Monitoring statt bloßer Transaktionsüberwachung — und eine differenzierte Betrachtung nach Markt und Anbieter statt pauschaler Kategorisierung.

White-Hat-Hacker wissen: Man schützt ein System nicht, indem man hofft, dass niemand es falsch benutzt. Man schützt es, indem man systematisch versteht, wie ein Angreifer denken könnte. Für Fraud und AML gilt dasselbe. Die Frage ist nicht, ob wir wie Kriminelle denken sollten. Die Frage ist, warum wir es so oft nicht tun.