FinCrime Watchdog
Fachkonzept · Durchleitgeschäft · AML-Monitoring-Zielbild 2028
Das Kernproblem ist nicht „zu wenig Technik“, sondern zu wenig direkter Kundenkontext.
Im Durchleitgeschäft verarbeitet die Institution Zahlungen, Finanzierungen oder Dokumente für Dritte. Sie trägt operative und regulatorische Verantwortung, hat aber häufig nur begrenzten Einblick in Endkunde, wirtschaftlichen Zweck und tatsächliches Verhalten.
S-Finanzgruppe
Geno-Verbund
Private Geschäftsbanken
Spezial- & Förderbanken
PSP / Zahlungsabwickler
Regulatorische Verankerung
- §5 GwG Institutsindividuelle Risikoanalyse – DLG-Risiken sind eigenständig, nachvollziehbar und ggf. als gesondertes Risikocluster abzubilden
- §15 GwG Verstärkte Sorgfaltspflichten, u. a. bei Korrespondenzbank-Beziehungen zu Respondenten in Hochrisikodrittstaaten
- AuA BT BaFin-Auslegungshinweise zur Transaktionsüberwachung (Stand: s. Quellenverzeichnis) – gilt auch für DLG
- AMLR Art. 8 Institutsindividuelle Risikobewertung (VO (EU) 2024/1624, anwendbar ab 10. Juli 2027)
- AMLR Art. 36 Verstärkte Sorgfaltspflichten bei grenzüberschreitenden Korrespondenzbeziehungen
- AMLR Art. 75 Rahmen für formalisierte Information-Sharing-Partnerships zwischen Verpflichteten (mit Aufsichtsnotifizierung und DSFA)
- AMLA-VO VO (EU) 2024/1620 – Mögliche Direktaufsicht für Selected Obliged Entities (Art. 13 ff.)
- DSGVO / Bankgeheimnis Rechtsgrundlage für Datenaustausch im Verbund muss je Konstellation geprüft werden
„Durchleitgeschäft ist nicht unmonitorbar — es braucht andere Logiken als klassisches kundenbezogenes Transaktionsmonitoring.“
Die AMLR verschiebt ab 2027 den Rechtsrahmen. Ein Zielbild, das 2028 erreicht werden soll, muss auf der AMLR aufbauen – nicht auf dem GwG allein.
⚠ Zentrale Herausforderung: DSGVO & Bankgeheimnis
Der Rückfrageprozess und jede Netzwerkanalyse über Verbundgrenzen hinweg erfordert eine belastbare Rechtsgrundlage. Art. 75 AMLR schafft einen neuen Rahmen für formalisierte Information-Sharing-Partnerships zwischen Verpflichteten – allerdings mit spezifischen Voraussetzungen (u. a. Aufsichtsnotifizierung, Compliance-Mechanismen, Datenschutz-Folgenabschätzung). Dies ist kein pauschaler Freibrief für beliebigen Verbundaustausch. Ohne gelöste Datenschutzfrage bleibt das Zielbild nicht umsetzbar.
Wo klassisches TM schwächelt
- Fehlende / reduzierte Endkundendaten
- Hohe Volumina, wenig semantischer Kontext
- Verantwortungsaufteilung über mehrere Institute
- Produkt-/Infrastrukturflüsse statt direkter Kundenbeziehung
- Kein Kundenprofil → keine Baseline → keine Verhaltensanomalie
Was trotzdem wirksam ist
- Bank-, Korridor- und Aggregatregeln
- Netzwerk-/Clusteranalysen (Graph-basiert)
- Produkt-/vertragsbezogene Plausibilitätsprüfungen
- Strukturierte Rückfragen mit SLAs und Eskalation
- Gegenpartei-Monitoring statt Endkunden-Monitoring
Vorstandsrelevante Konsequenz
- Nicht jede DLG-Art braucht dasselbe Monitoring
- Screening, TM, Plausibilität und Governance trennen
- Zentral nur dort tief monitoren, wo Daten es tragen
- Rest klar über Zuständigkeiten und Eskalationswege steuern
- Nachvollziehbare Dokumentation der bewussten Steuerungsentscheidung
Dokumentscope & Abgrenzung
Dieses Dokument liefert
- Strategisches Rahmenkonzept für den DLG-Teil der Risikoanalyse
- Typologiematrix mit transparenter Bewertungsmethodik
- Prototypisches Control Framework mit Beispielzeilen
- Architekturprinzipien und Zielbildskizze
- Regulatorische Verankerung mit Quellenverzeichnis
Folgedokumente (separat zu erstellen)
- Target Operating Model: Rollenverteilung 1st/2nd/3rd Line, DLG-Hub, Investigations, SAR Office
- Minimaldatenmodell: Pflichtfelder je DLG-Art, Alert-verkettende IDs, Datenqualitätsregeln
- Modellrisiko-Governance: Klassifikation, Backtesting, Threshold Review, Explainability
- Detailprozesse je DLG-Art: Szenarien, Trigger, Schwellenwerte, Eskalationspfade
- Evidenzlogik: Tuning-Zyklus, QA, Revisionstest, Wirksamkeitsnachweis
| DLG-Art | Typische Akteure | Eignung | Primäre Steuerung | Monitoring-Logik & Reg.-Bezug |
|---|---|---|---|---|
| Zahlungsverkehr SEPA, Instant, TARGET2, SWIFT, Clearing |
Girozentralen, DZ BANK, PSP, Processor | Screening + Aggregat-TM | Velocity, Korridore, Gegenbankprofile, Smurfing. Kein Endkundenprofil → keine Verhaltensanomalie. AuA BT → Hohe False-Positive-Rate ohne Kundenkontext erfordert nachvollziehbare Kalibrierung, Risikoabwägung und periodisches Tuning. |
|
| Korrespondenzbanking Nostro/Loro, Payable-Through, Nested |
Alle drei Säulen, internationale Banken | Respondent-Bank-Monitoring | Aggregatanalyse der Respondent Bank: Volumen, Korridore, neue Muster. Peer-Group-Vergleich zwischen Respondent Banks. §15 GwG AMLR Art. 36 → Verschärfte Sorgfaltspflichten bei Respondenten in Hochrisikodrittstaaten. |
|
| Förder- und Durchleitkredite KfW, WIBank, L-Bank, EU-Fördermittel |
Förderbanken, Landesbanken, Hausbanken | Plausibilität + Vertragslogik | Zweckbindung, Mittelverwendung, Rückflüsse, Abweichungen vom Förderprogramm. Betrag und Empfänger vordefiniert. → Screening obligatorisch; ergänzend Plausibilitäts-, Zweckbindungs- und Rückflusskontrollen. Verhaltensbasiertes TM mangels Kundenprofil nicht zielführend. |
|
| Trade Finance L/C, Garantien, Dokumentengeschäft |
Zentralinstitute, Geschäftsbanken | Dokumenten- & Güterregeln | Waren, Routen, Preis-/Mengenplausibilität, Dual-Use, Embargo, Umwege, Über-/Unterfakturierung. §15 GwG (EDD) EU Dual-Use-VO → Einer der wenigen DLG-Bereiche, in denen TM echten Mehrwert liefert. |
|
| Treuhand / Escrow Konsortialführung, Projektfinanzierung |
Konsortialführer, Projektbanken | Vertragsbasiertes Monitoring | Abgleich mit Meilensteinen, vertraglichen Triggern, erlaubten Empfängern. Individuell pro Treuhandvertrag. → Eher vertragsbasierte als typologiebasierte Überwachung. |
|
| Wertpapierabwicklung Orderrouting, Custody, Settlement |
Zentralinstitute, Custodians, CSD | Hybrid AML/MAR | ISIN-/Emittenten-Screening. AML-seitig eingeschränkt; Settlement-Anomalien möglich. Saubere Abgrenzung zu MAR/Fraud nötig. → Primär Marktmissbrauchsüberwachung, nicht GwG-TM. |
|
| FX / Geldmarkt / Treasury | Treasury-Hubs, Zentralinstitute | Counterparty- & Korridormonitoring | Standardisierte Interbank-Geschäfte mit bekannten Gegenparteien. KYC der Counterparty ist der primäre Hebel. Ergänzend: Volumen-/Korridoranalyse und Konzentrationsmonitoring auf Gegenparteiebene sinnvoll. → Endkundenbezogenes TM nicht anwendbar; gegenparteibezogenes Monitoring und Änderungsanalysen bleiben relevant. |
|
| Plattform-/Wallet-nahe Ströme E-Geld, Acquiring, PSP-Settlement |
PSP, Acquirer, E-Money-Institute | Netzwerk + Händlerprofile | Merchant-/Partner-/Clusterlogik; Split-/Funnel-Muster, Rückerstattungen, Routing-Konzentrationen. ZAG AMLR → PSP-spezifische Typologien (Transaction Laundering, Phantom Merchants). |
|
| Omnibus-/Sammelkonten | Processors, Custodians, Plattformen | Aggregat- & Flusslogik | Zufluss-/Abflussmuster, Splitting, Konzentrationen, Brüche zwischen wirtschaftlicher und technischer Struktur. → Transparenz des Beneficiaries oft nur über Rückfrage herstellbar. |
A = stark für regelbasiertes TM geeignet
B = eingeschränkt, zusätzliche Kontextlogik nötig
C = anders ausrichten: Plausibilität, Vertrags-/Prozesslogik
D = zentral kaum sinnvoll, primär dezentrale Verantwortung
Was immer gelten muss
Immer adressiert
Sanktions-, Embargo- und PEP-Screening – wo und durch wen, hängt vom Operating Model ab
Zentral bei DLG
Aggregat-, Netzwerk- und Gegenpartei-Überwachung
Produktabhängig
Förderlogik, Dokumentenregeln, Händlerprofile, Vertragslogik
Nie offen lassen
Rückfrageprozess mit SLAs, Eskalation und definierter Meldeentscheidungslogik
Vorstandsbotschaft
Der Fehler wäre, DLG pauschal als „nicht monitorbar“ oder pauschal als „mit Standard-TM lösbar“ zu behandeln.
Die richtige Antwort: ein mehrschichtiges Kontrollmodell – Screening flächendeckend, TM selektiv, Plausibilitäts-/Vertragslogik dort, wo Endkundenkontext fehlt, plus klare Governance über Verbund- und Partnergrenzen. Die bewusste Entscheidung, wo welche Tiefe angemessen ist, muss dokumentiert und in der Risikoanalyse nach §5 GwG / Art. 8 AMLR verankert sein.
De-Risking-Paradoxon: DLG-Monitoring als Voraussetzung für Geschäftsbereichserhalt
„Ein dokumentiertes DLG-Kontrollkonzept ist die Voraussetzung, um DLG-intensive Geschäftsbereiche gegenüber der Aufsicht aufrechterhalten zu können.“
Institute neigen dazu, DLG-intensive Bereiche – insbesondere Korrespondenzbanking in Hochrisikoregionen – einzuschränken oder zu schließen, wenn das Monitoring als zu komplex oder die Prüfungsrisiken als zu hoch eingeschätzt werden. Dieses De-Risking löst kein AML-Problem; es verlagert Zahlungsströme in weniger regulierte Kanäle und beeinträchtigt die finanzielle Inklusion.
Die FATF hat 2016 in ihrer Guidance on Correspondent Banking Services explizit vor De-Risking gewarnt. Die EBA-Guidelines on ML/TF risk factors (EBA/GL/2021/02) adressieren das Thema ebenfalls. Ein dokumentiertes DLG-Konzept ermöglicht die Argumentation, dass Risiken gesteuert statt vermieden werden – was dem risikobasierten Ansatz der AMLR entspricht.
Regulatorische Verankerung
- FATF 2016 Guidance on Correspondent Banking Services – warnt vor De-Risking als unangemessene Reaktion auf Compliance-Komplexität
- EBA GL 2021/02 ML/TF Risk Factors – betont, dass Risikominderung nicht mit Geschäftsvermeidung gleichzusetzen ist
- AMLR Erwgr. Der risikobasierte Ansatz der AMLR impliziert angemessene Maßnahmen statt pauschaler Exit-Entscheidungen
Implikation für die Risikoanalyse
- Dokumentation: Ein DLG-Kontrollkonzept belegt gegenüber der Aufsicht die Risikotragfähigkeit im jeweiligen Geschäftsbereich
- Abwägung: Die Risikoanalyse muss dokumentieren, warum ein Geschäftsbereich beibehalten oder eingeschränkt wird – in beiden Fällen begründet
- Aufsichtliche Erwartung: FATF und EBA bewerten unangemessenes De-Risking zunehmend als eigenes Risiko
Bewertungskriterien für die Eignungsmatrix (A/B/C/D)
Die Einstufung jeder DLG-Art erfolgt anhand von vier Kriterien. Die Gesamtbewertung ergibt sich aus der Kombination der Einzelbewertungen – nicht aus einer gewichteten Formel, sondern aus einer fachlichen Gesamtschau, die in der institutsindividuellen Risikoanalyse zu dokumentieren und zu plausibilisieren ist.
| Kriterium | Gewicht | Beschreibung | Ausprägungen |
|---|---|---|---|
| K1: Datenverfügbarkeit | Hoch | Welche transaktions- und gegenparteibezogenen Daten stehen der durchleitenden Institution zur Verfügung? Sind diese ausreichend für regelbasierte Anomalieerkennung? | Dokumenten-/Waren-/Routendaten verfügbar Aggregatdaten, keine Endkundeninfo Nur Zahlungspflichtfelder |
| K2: Typologieabdeckung | Hoch | Existieren bekannte GW-/TF-Typologien, die mit den verfügbaren Daten erkennbar sind? (FATF, EBA, Wolfsberg, nationale FIU-Veröffentlichungen) | Dokumentierte Typologien abbildbar Typologien bekannt, aber kontextabhängig Keine produktspezifischen Typologien |
| K3: Eingriffsmöglichkeit | Mittel | Kann die Institution bei einem Alert operativ eingreifen (Zahlung stoppen, Rückfrage stellen, Transaktion ablehnen)? | Transaktion kann gestoppt/abgelehnt werden Nur über Rückfrage an Partner Rein retrospektiv |
| K4: Gegenparteitransparenz | Mittel | Wie gut kennt die Institution die Gegenpartei (Respondent Bank, Merchant, Fördernehmer)? | Eigene Geschäftsbeziehung mit KYC Stammdaten, kein vollständiges KYC Gegenpartei nicht direkt bekannt |
Hinweis: Die Gewichtung (Hoch/Mittel) ist eine fachliche Orientierung. Institute können abweichende Gewichtungen verwenden, sofern sie diese dokumentieren und begründen. Die A/B/C/D-Einstufung ist eine Experteneinschätzung auf Basis dieser Kriterien, keine mathematische Ableitung.
Zuordnung: Was bedeutet A/B/C/D operativ?
A – Stark geeignet
Regelbasiertes TM liefert echten Erkenntnisgewinn. Investition in produktspezifische Regeln lohnt. Mindestens: produktnahe Szenarien, Dual-Use-/Embargoprüfung, dokumentenbasierte Red Flags.
B – Eingeschränkt
Aggregat-, Netzwerk- und Gegenparteilogik sinnvoll. Verhaltensbasiertes TM mangels Kundenprofil nicht zielführend. Mindestens: Korridor-/Volumenanalyse, Peer-Group, Rückfrageprozess.
C – Anders ausrichten
Klassisches TM bringt wenig. Steuerung über Plausibilität, Vertragslogik, Prozesskontrollen. Mindestens: Screening, Zweckbindungsprüfung, Abweichungsanalyse.
D – Dezentral
Zentrales TM kaum sinnvoll. Primärverantwortung bei der Gegenpartei/dem kontoführenden Institut. Mindestens: Gegenpartei-KYC, Screening, Konzentrationsmonitoring.
Prototypisches Control Framework (exemplarisch – institutsindividuell zu vervollständigen)
Dieses Framework zeigt die Zielstruktur. In der Vollausbaustufe ist je DLG-Art eine vollständige Zeile mit allen Spalten zu befüllen. Die hier gezeigten Beispiele sind illustrativ.
| DLG-Art | Leitrisiko | Kontrollziel | Primärkontrolle | Sekundärkontrolle | Owner | Datenbasis | Evidenz / KPI |
|---|---|---|---|---|---|---|---|
| Korrespondenz-banking | Nested Corresp. Banking; Sanktionsumgehung über Respondent | Erkennung atypischer Volumen, Korridore und Gegenparteimuster auf Respondent-Ebene | Aggregat-TM: Volumen-/Korridoranalyse je Respondent, Peer-Group-Vergleich | Rückfrage an Respondent Bank bei Auffälligkeit; Respondent-Scoring-Review | 2nd Line AML | SWIFT-Felder, Respondent-Stammdaten, Jurisdiktion, historisches Volumen | Alerts/Respondent, Rückfrage-Quote, Antwortzeit, Scoring-Drift |
| Trade Finance | Über-/Unterfakturierung; Dual-Use-Güter; Embargoumgehung über Umwegrouten | Erkennung dokumentenbasierter Red Flags in Waren, Routen und Preisen | Dokumentenprüfung: Waren vs. Embargo-/Dual-Use-Listen, Preis-/Mengenplausibilität, Routenanalyse | Screening Auftraggeber/Empfänger; bei Auffälligkeit: Eskalation an Trade-Finance-Compliance | 2nd Line AML / Trade-Finance-Desk | L/C-Dokumente, Handelsrechnungen, Transportdokumente, ISIN/HS-Codes | Red-Flag-Hit-Rate, Eskalations-Quote, bestätigte Verdachtsfälle |
| Fördermittel-durchleitung | Fördermittelmissbrauch; Doppelanträge; Rückflussanomalien | Erkennung von Abweichungen vom Förderprogramm und atypischen Rückflüssen | Plausibilitätsregeln: Soll-/Ist-Vergleich Mittelverwendung, Doppelantragscheck, Rückflussanalyse | Screening; Rückfrage an Hausbank bei Abweichung | Förderkredit-Operations / 2nd Line | Förderprogramm-Parameter, Auszahlungsdaten, Rückflussdaten, Hausbankstammdaten | Abweichungsquote, Rückfrage-Quote, Plausibilitätstreffer |
| PSP / Acquiring | Transaction Laundering; Phantom Merchants; Funnel Accounts | Erkennung atypischer Merchant-Muster, Netzwerkanomalien und Chargeback-Ausreißer | Merchant-Monitoring: Transaktionsvolumen vs. Branchenprofil, Chargeback-Ratio, Aktivitätsmuster | Netzwerkanalyse: gemeinsame Bankverbindungen, Adress-Cluster; Merchant-KYC-Review | PSP-Compliance / 2nd Line AML | Merchant-Stammdaten, Transaktionsdaten, Chargeback-Daten, MCC-Codes | Merchant-Alert-Rate, Phantom-Merchant-Detektionsquote, Cluster-Findings |
Dieses Framework ist ein Prototyp. Für jede DLG-Art ist im Folgedokument (Detailprozesse) eine vollständige Kontrollbeschreibung mit Szenarien, Triggern, Schwellenwerten und Eskalationspfaden zu erstellen. Die hier gezeigten Beispiele definieren die Zielstruktur, nicht die vollständige Kontrolllandschaft.
Säule 1: S-Finanzgruppe
Sparkassen → Landesbanken (Girozentrale) → DekaBank / Helaba / LBBW / BayernLB etc.
DLG-Schwerpunkte
- Zahlungsverkehr: Sparkassen leiten Massen- und Einzelzahlungen über die Landesbank als Girozentrale
- Internationale Zahlungen: SWIFT-Verkehr über Korrespondenzbankbeziehungen der Landesbank
- Fördermitteldurchleitung: KfW, WIBank, L-Bank über Sparkassen an Endkunden
- Wertpapierabwicklung: DekaBank / Landesbank als Depotbank und Orderrouter
Spezifische Herausforderung
- Regionalprinzip: 350+ Sparkassen, jede mit eigenem KYC-Datenbestand – kein zentrales Kundenregister
- Informationsasymmetrie: Girozentrale sieht Zahlungsstrom, Sparkasse kennt den Kunden
- Verbundgovernance: Keine Weisungsbefugnis der Landesbank gegenüber Sparkassen
- Heterogene IT: OSPlus dominiert, aber Konfigurationen variieren je Sparkasse
Handlungsempfehlung
- Standardisierter Rückfrageprozess über S-Finanzgruppe definieren (z. B. Antwortfrist 5 Bankarbeitstage – institutsindividuell festzulegen)
- Aggregatüberwachung auf Sparkassen-Ebene (Volumen, Korridore, Strukturbrüche)
- Art. 75 AMLR als mögliche Rechtsgrundlage für formalisierte Information-Sharing-Partnership prüfen (Voraussetzung: Aufsichtsnotifizierung, DSFA)
- DSGV-weite Arbeitsgruppe zur DLG-Governance einrichten
Säule 2: Genossenschaftlicher Finanzverbund
VR-Banken → DZ BANK → Union Investment / R+V / Schwäbisch Hall / Bausparkasse etc.
DLG-Schwerpunkte
- Zahlungsverkehr: DZ BANK als Girozentrale für 700+ VR-Banken
- Trade Finance: DZ BANK als zentrale Außenhandelsbank des Verbunds
- Konsortialgeschäft: DZ BANK als Konsortialführer bei größeren Finanzierungen
- Wertpapier: Union Investment / DZ BANK als Depot- und Orderinfrastruktur
Spezifische Herausforderung
- Sektorale Integration: DZ BANK ist regulatorischer Konzern (IPS) – engere gruppenweite Pflichten als S-Gruppe
- agree21 / bank21: Einheitlichere IT als im S-Sektor, aber Datenaustausch trotzdem nicht trivial
- Volumen: DZ BANK hat die zweitgrößte Bilanzsumme in Deutschland – DLG-Masse ist erheblich
- Trade Finance: Höhere Relevanz als im S-Sektor → TM-Regeln für Dokumentengeschäft sind Pflicht
Handlungsempfehlung
- IPS-Status nutzen: Gruppenweite AML-Policies unter AMLR Art. 16 verbindlich machen
- Trade Finance TM als Leuchtturmprojekt – hier ist Eignung „A“, Investition lohnt
- Respondent-Bank-Monitoring für internationale Korrespondenzbankbeziehungen ausbauen
- Zentrales DLG-Datenmodell als Verbundstandard etablieren
Säule 3: Private Geschäftsbanken
Deutsche Bank / Commerzbank / HypoVereinsbank / Privatbanken → DLG primär über Korrespondenzbank-Netzwerk und Konzernstruktur
DLG-Schwerpunkte
- Korrespondenzbanking: Globale Nostro-/Loro-Netzwerke, hohe Drittstaat-Exponierung
- Trade Finance: Eigenständiges Dokumentengeschäft, oft komplexe Lieferketten
- Konzern-DLG: Zahlungsverkehr / Treasury-Durchleitung innerhalb des Konzerns
- Prime Brokerage / Custody: Settlement-Durchleitung für institutionelle Kunden
Spezifische Herausforderung
- Kein Verbundprinzip: Keine strukturierte Rückfragemöglichkeit wie in S-/VR-Gruppe
- Globale Konzernstrukturen: DLG über Tochtergesellschaften in Hochrisikoländern
- Altlasten: Historische AML-Defizite (Deutsche Bank, Danske Bank-Nexus) erhöhen Prüferdruck
- AMLA-Direktaufsicht: Aufgrund von Bilanzsumme und grenzüberschreitendem Geschäft erhöhte Wahrscheinlichkeit, als SOE selektiert zu werden (Kriterien gem. Art. 13 AMLA-VO)
Handlungsempfehlung
- Korrespondenzbankprogramm als eigenständige AML-Funktion mit dedicated KYC-Team
- Respondent-Bank-Scoring-Modell (Jurisdiktion × Volumen × Transparenz × historische Findings)
- Dualaufsichts-Szenario (BaFin + AMLA) in Governance und Berichtswesen einplanen
- Gruppenweite DLG-Policies unter AMLR Art. 16 / Art. 17 verpflichtend
Förderbanken
KfW, Landesförderinstitute (WIBank, L-Bank, NRW.BANK, LfA etc.)
DLG-Profil
- DLG ist das Kerngeschäftsmodell – nahezu 100% der Mittel werden über Hausbanken durchgeleitet
- Kein direkter Endkundenkontakt → KYC liegt vollständig bei der Hausbank
- Standardisierte Konditionen, vordefinierte Betragshöhen, zweckgebundene Verwendung
Regulatorische Besonderheit
- §2 Abs. 1 Nr. 1 GwG – Förderbanken sind als Kreditinstitute Verpflichtete; ggf. eingeschränkte Pflichten bei reiner Fördermitteldurchleitung (institutsindividuell zu bewerten)
- AuA BT gilt – aber TM-Anforderungen müssen an die Natur des Geschäfts angepasst werden
- Die AMLR differenziert nicht explizit nach Förderbanken – inwieweit nationale Erleichterungen für reine Fördermitteldurchleitung unter der AMLR fortbestehen, ist 2027 anhand des finalen Rechtsrahmens neu zu bewerten
Angemessenes Kontrollmodell
- Sanctions-Screening: Obligatorisch auf alle durchgeleiteten Zahlungen
- Fördermittellogik: Plausibilitätsregeln auf Programmebene (Abweichung von Soll-Mittelverwendung, Rückflussanomalien, Doppelanträge)
- Verhaltensbasiertes TM: Nicht zielführend – kein Kundenprofil vorhanden
- Rückfrageprozess: An die durchleitende Hausbank bei Auffälligkeiten
Spezialbanken
Bürgschaftsbanken, Bausparkassen, Autobanken, Abwicklungsbanken, Wertpapierhandelsbanken
DLG-Profil
- DLG-Anteil variiert stark: Bürgschaftsbanken ≈ 100% DLG, Autobanken ≈ 10–30%
- Oft hochspezialisierte Produkte mit eng definierten Transaktionsmustern
- Gegenpartei ist häufig bekannt (Hersteller, Händlernetz, Vertriebspartner)
Regulatorische Besonderheit
- Volle GwG-Pflichten, aber sektorspezifische BaFin-Auslegungshinweise fehlen oft
- AMLR differenziert nicht nach Banktyp → One-size-fits-all-Risiko
- Prüfungsintensität der BaFin traditionell geringer als bei Universalbanken
Angemessenes Kontrollmodell
- Screening: Obligatorisch, aber oft mit geringer Trefferquote (bekannte Gegenparteien)
- Produktlogik: Regeln auf Produktebene (z.B. unübliche Bürgschaftsmuster, Sondertilgungen, Vertragslaufzeitanomalien)
- Partner-Monitoring: Bei Autobanken: Händlernetz-Überwachung auf Auffälligkeiten
- TM-Tiefe: Proportionalität argumentieren – in der Risikoanalyse dokumentieren
Zahlungsabwickler, PSPs & E-Geld-Institute
Adyen, Worldline, Payone, SumUp, N26 (E-Money), Ratepay, Unzer, Computop etc.
DLG-Profil
- Agent-Modell: PSP handelt im Auftrag des Händlers, sieht aber Kartenzahler nur als Datensatz
- Acquiring-Kette: PSP → Acquirer → Kartennetzwerk → Issuer – mehrfache Durchleitung
- Plattform-Ökonomie: Marketplace-Modelle (z.B. Amazon Payments) mit Sub-Merchant-Strukturen
- Instant Payments: Echtzeitabwicklung reduziert Interventionsfenster auf Sekunden
Spezifische GW-Typologien
- Transaction Laundering: Legaler Merchant wickelt illegale Transaktionen für Dritte ab
- Phantom Merchants: Scheinhändler ohne reale Geschäftstätigkeit
- Chargeback-Muster: Auffällige Rückerstattungsquoten als Geldwäsche-Indikator
- Funnel Accounts: Gelder werden über viele Merchants in wenige Konten konsolidiert
- Layering über Wallets: E-Geld als Zwischenschicht zur Verschleierung der Herkunft
Angemessenes Kontrollmodell
- Merchant Due Diligence: KYC des Händlers, nicht des Endkunden – aber mit Geschäftsmodellprüfung
- Merchant-Monitoring: Transaktionsmuster, Branchenvergleich, Chargeback-Ratio, Volumensprünge
- Netzwerkanalyse: Verbindungen zwischen Merchants, gemeinsame Bankverbindungen, Adress-Cluster
- Screening: Zahlungsempfänger und -auftraggeber in Echtzeit
- ZAG §27 EBA GL on ML/TF risk factors
⚠ PSP-spezifisches Risiko unter AMLR
Die AMLR erweitert den Kreis der Verpflichteten und verschärft die Pflichten für Zahlungsinstitute und E-Geld-Institute erheblich. Die AMLA wird PSPs mit grenzüberschreitendem Geschäft besonders im Blick haben – die EBA-Leitlinien zu Zahlungsinstituten werden in verbindliche technische Standards (RTS/ITS) überführt. PSPs mit Sitz in Deutschland, die in andere EU-Staaten passportieren, müssen mit AMLA-Anfragen und ggf. Joint Inspection Teams rechnen.
Rückfrageprozess: Eskalationsmodell (Fristen sind Beispielwerte – operative Eskalation und Meldeentscheidung sind getrennte Prozesse)
| Stufe | Frist | Aktion | Verantwortung |
|---|---|---|---|
| 1 – Rückfrage | T+0 | Strukturierte Anfrage an kontoführendes Institut / Händler / Partner mit konkretem Sachverhalt | 2nd Line (AML-Analyse) |
| 2 – Erinnerung | Bsp.: T+5 BT | Automatisierte Erinnerung; Eskalation an Ansprechpartner auf Leitungsebene des Partners | 2nd Line |
| 3 – Operative Eskalation | Bsp.: T+10 BT | Eskalation an GwB. Der GwB bewertet den Gesamtsachverhalt: Liegt unabhängig von der ausstehenden Rückmeldung ein eigenständiger GW-/TF-Verdacht vor? | GwB |
| 4 – Verdachtsverdichtung | Anlassbezogen | Eigenständige Prüfung durch GwB: Eine fehlende Antwort ist ein Indikator, aber nicht automatisch SAR-auslösend. Meldeentscheidung erfolgt auf Basis des Gesamtsachverhalts (Transaktionsmuster, Jurisdiktion, Kundenkontext, historische Auffälligkeiten). | GwB |
| 5 – Geschäftspolitische Maßnahme | Laufend | Bewertung der Geschäftsbeziehung: verstärkte Überwachung, Einschränkung, vertragliche Konsequenz, ggf. Beendigung. Bei wiederholter Nichtkooperation: Correspondent Review Committee / Board-Eskalation. | GwB + Vorstand |
Wirksamkeits-KPIs (AuA BT / AMLR Art. 8) – Zielwerte sind Beispiele, institutsindividuell zu kalibrieren
| KPI | Zielwert | Messfrequenz |
|---|---|---|
| Alert → Rückfrage-Quote | Dokumentiert pro DLG-Art | Monatlich |
| Rückfrage → SAR-Quote | Trendanalyse, keine absolute Zielquote | Quartalsweise |
| Antwortzeit Partner | Bsp.: ≤ 5 BT bei 90% der Fälle | Monatlich |
| Nicht-Antwort-Quote | Bsp.: < 5% (Eskalation bei Überschreitung) | Monatlich |
| False-Positive-Rate je DLG-Art | Dokumentiert, Trend sinkend | Quartalsweise |
| Datenqualitätsindex | Bsp.: ≥ 95% Pflichtfeldvollständigkeit | Monatlich |
| Institutionelle Ausreißer | Top-5-Auffällige pro Quartal bewertet | Quartalsweise |
| Konzentrations-Alerts | Neue Korridore / Counterparties erkannt | Laufend |
Rechtsgrundlage für Informationsaustausch
- Art. 75 AMLR – Rahmen für formalisierte Information-Sharing-Partnerships zwischen Verpflichteten (ab 2027). Kein pauschaler Freibrief: Voraussetzungen sind u. a. Aufsichtsnotifizierung, Compliance-Mechanismen und Datenschutz-Folgenabschätzung gem. Art. 35 DSGVO. Ermöglicht gezielten Datenaustausch bei konkretem GW-/TF-Verdacht und in definierten Gruppenstrukturen.
- §28 BDSG / Art. 6(1)(f) DSGVO – Berechtigtes Interesse an GW-Prävention als Rechtsgrundlage für Datenverarbeitung im Rückfrageprozess
- §47 GwG – Gruppenweit einheitliche Sicherungsmaßnahmen; Informationsaustausch innerhalb der Gruppe gesetzlich vorgesehen
- Offener Punkt: Im Sparkassenverbund besteht keine Konzernstruktur – Rechtsgrundlage für den Datenaustausch Girozentrale ↔ Sparkasse muss bilateral oder über DSGV-Rahmenvereinbarung geschaffen werden
- Bankgeheimnis: Keine eigenständige Rechtsgrundlage für Verweigerung bei GwG-Pflichten (BGH-Rechtsprechung), aber vertragliche Vereinbarungen mit Verbundpartnern empfohlen
Prüfererwartung: Was BaFin & AMLA sehen wollen
- BaFin (AuA BT): Nachweis, dass DLG-Risiken in der Risikoanalyse identifiziert und mit angemessenen Maßnahmen adressiert sind – nicht „wir können nichts tun“
- BaFin: Dokumentierte Begründung, warum bei bestimmten DLG-Arten auf vertieftes TM verzichtet wird (bewusste Entscheidung, nicht Lücke)
- AMLA (ab 2028): Grenzüberschreitende DLG-Ströme besonders im Fokus. Wie funktioniert der Rückfrageprozess bei Respondent Banks in Drittstaaten?
- AMLA: Interoperabilität mit FIU-Netzwerk und goAML/Nachfolgesystem. Institute sollten Schnittstellenfähigkeit frühzeitig einplanen – konkrete technische Anforderungen werden durch AMLA-RTS/ITS spezifiziert.
- Innenrevision: Stichprobenprüfung der Rückfrageprozesse – werden SLAs eingehalten? Werden Nicht-Antworten eskaliert?
Zielzustand: ein gemeinsames DLG-Kontrollmodell, das Daten, Regeln, Netzwerklogik und Rückfragen orchestriert – verankert in AMLR und kompatibel mit AMLA-Direktaufsicht.
Nicht ein einzelnes Monitoring-Tool steht im Mittelpunkt, sondern eine abgestimmte Kette aus Dateneingang, Klassifizierung, spezialisiertem Screening, produktnahen Regeln, Fallbearbeitung und Governance mit Partnerinstituten.
1
Eingang & Vereinheitlichung
- Zahlungen, Dokumente, Verträge, Settlement
- Partner-/Gegenparteistammdaten
- Gemeinsames DLG-Datenmodell
- Qualitätsregeln & Pflichtfelder
2
DLG-Klassifizierung
- Zahlungsverkehr
- Förderlogik
- Trade Finance
- PSP / Omnibus / Treasury
- → Kontrollpfad-Zuordnung
3
Spezialisierte Kontrolle
- Screening-Engine
- Regelbasiertes TM (selektiv)
- Plausibilitätsregeln
- Netzwerk-/Graphanalyse
- Merchant-/Partnerprofile
4
Fälle & Rückfragen
- Zentrale Fallanlage
- SLA-gesteuerte Rückfragen
- Eskalationsautomatik
- Eskalation bei Nichtkooperation
5
Steuerung & Lernen
- Wirksamkeits-KPIs
- Institutionenvergleich
- Modellpflege / Regeltuning
- Prüfungsnachweise
Schicht 1 – Daten
Einheitliches DLG-Datenfundament
Normalisierte Ereignisse für Zahlungen, Dokumente, Verträge, Händler, Förderprogramme, Wallets, Omnibusstrukturen und Gegenparteien. Pflichtfelder, Qualitätsregeln und Historisierung sind Teil der Architektur. Schnittstelle zu goAML / AMLA-Meldewesen vorgesehen.
Schicht 2 – Klassifizierung
Risikoklassifizierung vor Regelanwendung
Jeder Datensatz wird einer DLG-Art und einem Kontrollpfad zugeordnet. Fördermittel laufen nicht durch dieselbe Regelwelt wie Instant Payments oder Dokumentengeschäft. Klassifizierung bestimmt Monitoringtiefe und SLAs.
Schicht 3 – Engines
Spezialisierte Engines statt Einheits-TM
Screening-Engine, Zahlungsverkehrsregeln, Graph-Analysen, Vertrags-/Dokumentenprüfungen sowie Händler-/Partnerprofile sind getrennte Bausteine. Gemeinsames Case Management mit revisionssicherer Bearbeitung.
Schicht 4 – Rückfrage
Orchestrierter Rückfrageprozess
Standardisierte Rückfragen an Hausbanken, VR-Banken, Sparkassen, Händler, PSP-Partner. SLA-Steuerung, Eskalationsautomatik, Trennung von operativer Eskalation und Meldeentscheidung. Rechtsgrundlage: §47 GwG (Gruppe), Art. 75 AMLR (formalisierte Partnerships, mit Voraussetzungen).
Governance
Klare Verantwortlichkeit über Institutsgrenzen
1st Line: Datenerfassung und Erstplausibilisierung. 2nd Line: Regelwerk, Überwachung, Eskalation. 3rd Line: Wirksamkeitsnachweis. Zuständigkeiten je Partnergruppe vertraglich fixiert. Dual-Aufsichtsszenario (BaFin / AMLA) eingeplant.
Steuerung
Kennzahlen, die Wirksamkeit belegen
Alert→Rückfrage→SAR-Funnel, Antwortzeiten der Partner, Datenqualitätsindex, Konzentrationsrisiken, institutionelle Ausreißer. Quartalsberichterstattung an GwB und Vorstand.
Technologie
Lakehouse + Graph + Case Management
Lakehouse für Historie und Massenverarbeitung, Graph für Netzwerke und indirekte Muster, Case Management für revisionssichere Bearbeitung. Schnittstellenfähigkeit zu goAML / FIU.net-Nachfolger vorsehen (konkrete Spezifikation abhängig von AMLA-RTS/ITS).
Migration
Roadmap IST → SOLL
2026: Gap-Analyse, AMLR-Impact-Assessment, Rückfrageprozess-Pilotierung. 2027: AMLR-Inkrafttreten, Datenmodell-Aufbau, Engine-Integration. 2028: Vollbetrieb Zielbild, AMLA-Readiness, erste Wirksamkeitsprüfung. Abhängigkeiten: TCM 7 / IAC 2.0, DSGV-/BVR-Rahmenvereinbarung, goAML-Migration.
Architekturprinzipien
Prinzip 1
DLG-Arten zuerst unterscheiden, dann überwachen
Prinzip 2
Screening, TM, Plausibilität und Governance nicht vermischen
Prinzip 3
Ohne Rückfrageprozess kein wirksames DLG-Monitoring
Prinzip 4
Netzwerk-/Gegenparteilogik wo Endkundenkontext fehlt
Prinzip 5
Produktnahe Regeln für Förder, Trade Finance, PSP
Prinzip 6
AMLA-Readiness: Schnittstellen, Datenstandards, Dual-Aufsicht
Fallback-Architektur: Minimalzielbild ohne Art. 75 AMLR
Das Zielbild baut operativ auf Art. 75 AMLR (Information-Sharing-Partnerships) auf. Falls diese in der Praxis enger nutzbar sind, langsamer operationalisiert werden oder nur für bestimmte Konstellationen belastbar sind, muss das Kontrollmodell auch ohne diesen Baustein funktionieren.
Minimalzielbild ohne Art. 75
- Screening: Vollständig unabhängig von Art. 75 – bleibt unverändert
- Aggregat-/Netzwerk-TM: Funktioniert mit eigenen Daten – kein Austausch nötig
- Rückfrageprozess: Wird auf vertragliche Vereinbarungen und §47 GwG (Gruppe) gestützt statt auf Art. 75
- Kundenkontext: Fehlt. Kompensation durch stärkere Gegenpartei-/Aggregatüberwachung und engere Eskalationslogik
- Residualrisiko: Höher als im Zielbild. Muss in der Risikoanalyse dokumentiert und vom Vorstand akzeptiert werden
Empfehlung: Beide Szenarien (mit und ohne Art. 75) sollten in der Risikoanalyse dargestellt werden. Das Zielbild mit Art. 75 bleibt der Zielzustand; das Minimalzielbild sichert die Handlungsfähigkeit bis zur belastbaren Operationalisierung.
Governance bei Nichtkooperation
Wenn Verbundpartner oder Respondent Banks wiederholt nicht kooperieren, reicht ein Rückfrageprozess allein nicht. Es braucht eine definierte Eskalationskette mit geschäftspolitischen Konsequenzen:
- Vertragsklauseln: AML-Kooperationspflichten in Korrespondenzbank- und Verbundverträge aufnehmen
- Correspondent Review Committee: Regelmäßige Bewertung der Respondent-/Partnerbanken mit Einbezug von AML, Business und Legal
- Risk Acceptance: Bei fortgesetzter Nichtkooperation: formale Risikoakzeptanz durch Vorstand oder Beendigung der Geschäftsbeziehung
- Exit-Kriterien: Definierte Schwellen, ab denen eine Geschäftsbeziehung nicht mehr tragbar ist – dokumentiert in der Policy
- Board-Eskalation: Wiederholte Nichtkooperation wird dem Vorstand berichtet – nicht nur dem GwB
I. Primärrecht – EU-Verordnungen und -Richtlinien
| Kurzbezeichnung | Vollständiger Titel | Fundstelle / Zugang |
|---|---|---|
| AMLR | Verordnung (EU) 2024/1624 des Europäischen Parlaments und des Rates vom 31. Mai 2024 zur Verhinderung der Nutzung des Finanzsystems zum Zwecke der Geldwäsche oder der Terrorismusfinanzierung | EUR-Lex: 32024R1624 Anwendbar ab 10. Juli 2027 |
| AMLA-VO | Verordnung (EU) 2024/1620 des Europäischen Parlaments und des Rates vom 31. Mai 2024 zur Errichtung der Behörde zur Bekämpfung der Geldwäsche und der Terrorismusfinanzierung (AMLA) | EUR-Lex: 32024R1620 AMLA operativ ab 2025, volle Direktaufsicht ab 2028 |
| AMLD6 | Richtlinie (EU) 2024/1640 des Europäischen Parlaments und des Rates vom 31. Mai 2024 (6. Geldwäscherichtlinie) | EUR-Lex: 32024L1640 Umsetzungsfrist: 10. Juli 2027 |
| EU Dual-Use-VO | Verordnung (EU) 2021/821 über eine Unionsregelung für die Kontrolle der Ausfuhr, der Vermittlung, der technischen Unterstützung der Durchfuhr und der Verbringung betreffend Güter mit doppeltem Verwendungszweck | EUR-Lex: 32021R0821 |
| DSGVO | Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung) | EUR-Lex: 32016R0679 |
II. Nationales Recht – Deutschland
| Kurzbezeichnung | Vollständiger Titel / Einschlägige Normen | Fundstelle / Zugang |
|---|---|---|
| GwG | Gesetz über das Aufspüren von Gewinnen aus schweren Straftaten (Geldwäschegesetz) Einschlägig in diesem Dokument: §2 (Verpflichtete), §5 (Risikoanalyse), §10 (Allg. Sorgfaltspflichten), §15 (Verstärkte Sorgfaltspflichten, u. a. Korrespondenzbanking), §47 (Gruppenweite Pflichten) |
gesetze-im-internet.de/gwg_2017 Stand: letzte Fassung prüfen |
| ZAG | Zahlungsdiensteaufsichtsgesetz Einschlägig: §27 (Sorgfaltspflichten für Zahlungsinstitute) |
gesetze-im-internet.de/zag |
| BDSG | Bundesdatenschutzgesetz Einschlägig: §28 (Datenverarbeitung im Beschäftigungskontext / berechtigtes Interesse) |
gesetze-im-internet.de/bdsg_2018 |
III. Aufsichtliche Veröffentlichungen & Leitlinien
| Kurzbezeichnung | Titel / Herausgeber | Hinweis |
|---|---|---|
| AuA BT | BaFin – Auslegungs- und Anwendungshinweise zum Geldwäschegesetz, Besonderer Teil für Kreditinstitute | bafin.de ⚠ Jeweils gültige Fassung prüfen; Aktualisierungen erfolgen laufend |
| EBA GL on ML/TF risk factors | EBA – Guidelines on ML/TF Risk Factors (EBA/GL/2021/02, zuletzt geändert 2023) | eba.europa.eu Enthält sektorspezifische Guidance für Korrespondenzbanking, Trade Finance, PSP |
| EBA GL Zahlungsinstitute | EBA – Guidelines on the role and responsibilities of AML/CFT compliance officers at payment institutions | eba.europa.eu Werden unter AMLR ggf. in RTS/ITS überführt |
| FATF Guidance Correspondent Banking | FATF – Guidance on Correspondent Banking Services (Oktober 2016) – enthält explizite Warnung vor De-Risking | fatf-gafi.org Nicht rechtsverbindlich, aber internationaler Standard |
| FATF De-Risking | FATF – Statement on De-Risking (2015/2016) – betont, dass unangemessenes De-Risking den Zielen der AML/CFT-Regulierung zuwiderläuft | fatf-gafi.org Relevant für Vorstandsargumentation zur Beibehaltung von DLG-Geschäftsbereichen |
IV. Im Dokument verwendete Artikel-/Paragrafenzuordnung
| Referenz | Regelungsgegenstand |
|---|---|
| §5 GwG | Institutsindividuelle Risikoanalyse |
| §10 GwG | Allgemeine Sorgfaltspflichten |
| §15 GwG | Verstärkte Sorgfaltspflichten (u. a. Korrespondenzbanking, Hochrisikodrittstaaten) |
| §47 GwG | Gruppenweite Pflichten, Informationsaustausch innerhalb der Gruppe |
| AMLR Art. 8 | Institutsindividuelle Risikobewertung |
| AMLR Art. 16–17 | Gruppenweite AML/CFT-Policies und -Verfahren |
| AMLR Art. 36 | Verstärkte Sorgfaltspflichten bei grenzüberschreitenden Korrespondenzbeziehungen |
| AMLR Art. 75 | Formalisierte Information-Sharing-Partnerships (mit Aufsichtsnotifizierung, Compliance-Mechanismen, DSFA) |
| AMLA-VO Art. 13 ff. | Auswahl und Direktaufsicht von Selected Obliged Entities |
V. Methodische Hinweise & Einschränkungen
- Rechtsstand: Dieses Dokument basiert auf dem Rechtsstand März 2026. Die AMLR (VO 2024/1624) ist verabschiedet, aber noch nicht anwendbar (ab 10. Juli 2027). Nationale Umsetzungsakte der AMLD6 stehen noch aus.
- KPI-/SLA-Werte: Alle im Dokument genannten Zielwerte (z. B. Antwortfristen, Quoten, Schwellenwerte) sind Beispielwerte zur Orientierung. Sie sind nicht regulatorisch vorgegeben, sondern müssen institutsindividuell in der Risikoanalyse und internen Policy verankert und begründet werden.
- Eignungsbewertung (A/B/C/D): Die Bewertung der Eignung für regelbasiertes Monitoring ist eine fachliche Einschätzung auf Basis der Bewertungsmethodik (Seite 3), keine regulatorische Klassifikation. Sie muss in der institutsindividuellen Risikoanalyse plausibilisiert werden.
- Sektorale Einwertungen: Die Zuordnung zu den drei Säulen und Spezialinstituten ist vereinfacht. Institute mit Mischprofilen (z. B. Landesbanken mit Girozentralen- und Geschäftsbankfunktion) erfordern eine differenziertere Bewertung.
- AMLA-Direktaufsicht: Aussagen zur Wahrscheinlichkeit einer Selektion als SOE basieren auf den Kriterien der AMLA-VO (Art. 13 ff.) und öffentlichen Einschätzungen. Die endgültige Selektion steht aus und wird von AMLA nach eigenen Kriterien vorgenommen.
- Kein Rechtsrat: Dieses Dokument ersetzt keine rechtliche Beratung. Insbesondere Fragen zum Datenaustausch (DSGVO, Bankgeheimnis) und zur Rechtsgrundlage für Information-Sharing-Partnerships erfordern eine eigenständige rechtliche Prüfung.
VI. Verbindlichkeitsstufen im Dokument
Das Dokument unterscheidet vier Verbindlichkeitsstufen. Leser sollten jede Aussage im Kontext der jeweiligen Stufe bewerten:
| Stufe | Kennzeichnung | Bedeutung |
|---|---|---|
| Muss | Reg-Ref mit Normverweis | Regulatorische Pflicht aus GwG, AMLR, ZAG, AuA BT oder EU-Verordnung. Nicht disponibel. |
| Soll | Fachliche Empfehlung mit Begründung | Aufsichtliche Erwartung oder bewährte Praxis (EBA-Leitlinien, FATF-Guidance). Abweichung möglich, aber begründungspflichtig (comply or explain). |
| Option | „Empfehlung“, „kann“, „prüfen“ | Architektur- oder Steuerungsvorschlag. Institutsindividuell zu bewerten. Keine Pflicht. |
| Beispielwert | Bsp.: oder „Beispielwert“ | Illustrative Zahlenwerte (Fristen, Quoten, Schwellen). Nicht regulatorisch vorgegeben. Müssen institutsindividuell kalibriert werden. |
