AML hat kein KI-Problem. AML hat ein Fokus-Problem.
Warum die meisten Banken bei der falschen Frage anfangen — und welche drei Use Cases tatsächlich Millionen bewegen
Es gibt einen Satz, der in jeder zweiten Compliance-Strategiesitzung fällt und der das Problem perfekt zusammenfasst: „Wir brauchen KI.“ Der Satz ist nicht falsch. Er ist nur nutzlos. Er ist ungefähr so hilfreich wie die Aussage „Wir brauchen Effizienz“ — richtig, aber handlungsunfähig, solange niemand sagt, wofür genau.
Der Unterschied zwischen diesen beiden Fragen ist der Unterschied zwischen einem Innovationsprojekt und einem Business Case. Das eine landet in einem Strategiepapier. Das andere landet im Budget. Banken, die mit der ersten Frage beginnen, bauen Pilotprojekte. Banken, die mit der zweiten beginnen, bauen Wirkung.
Die Branche versteht das intellektuell, handelt aber anders. Eine BCG-Studie vom November 2025 stellt fest, dass weniger als 10 Prozent aller Banken messbare GenAI-Use-Cases in der Compliance in Produktion haben — obwohl die Technologie seit über zwei Jahren verfügbar ist. Das Problem ist nicht Technologie. Das Problem ist Priorisierung.
Kapitel I
Die Arithmetik der Fehlalarme
Um zu verstehen, wo die größten Hebel liegen, muss man verstehen, wo das meiste Geld versinkt. Und es versinkt, im wörtlichsten Sinne, in False Positives.
Die Zahlen sind seit Jahren bekannt und seit Jahren erschreckend: 85 bis 95 Prozent aller Alerts, die regelbasierte Transaction-Monitoring-Systeme erzeugen, sind Fehlalarme. PwC beziffert die Quote auf 90 bis 95 Prozent. Die FATF weist in ihren Empfehlungen wiederholt auf die strukturelle Ineffizienz hin. Compliance-Teams verbringen bis zu 90 Prozent ihrer Arbeitszeit mit der Untersuchung von Alerts, die zu keiner Handlung führen.
Was bedeutet das in Euro? Die Kosten pro Alert-Untersuchung liegen zwischen 30 und 70 US-Dollar. Eine mittelgroße Bank, die 100.000 Alerts pro Jahr generiert, gibt allein für deren Bearbeitung 3 bis 7 Millionen Euro aus — und das Ergebnis ist in 90 Prozent der Fälle: nichts. Kein SAR. Kein Befund. Kein Erkenntnisgewinn. Nur verbrannte Kapazität.
Das eigentliche Problem ist nicht, dass wir zu wenig erkennen. Das Problem ist, dass wir zu viel Lärm produzieren — und im Lärm die echten Signale verlieren.
Dieser Mechanismus erklärt, warum die globalen AML-Compliance-Kosten auf über 275 Milliarden US-Dollar jährlich gestiegen sind, ohne dass die Branche nennenswert besser darin geworden ist, Geldwäsche zu verhindern. Der größte Teil dieses Geldes fließt nicht in Erkennung, sondern in die Verarbeitung von Fehlalarmen. Das ist keine Compliance. Das ist industrielle Verschwendung.
Kapitel II
Die drei Hebel, die tatsächlich Millionen bewegen
Nicht jeder KI-Einsatz in der Compliance ist gleich wertvoll. Es gibt Use Cases, die auf Konferenzfolien gut aussehen, und Use Cases, die im P&L sichtbar werden. Die folgenden drei gehören zur zweiten Kategorie — nicht weil sie theoretisch vielversprechend sind, sondern weil sie in der Praxis bereits messbare Ergebnisse zeigen.
Der mit Abstand größte Einzelhebel. Machine-Learning-Modelle, die auf historischen SAR-Daten trainiert werden, können eingehende Alerts nach Verdachtswahrscheinlichkeit priorisieren — nicht als Ersatz für menschliche Entscheidung, sondern als Triage. Das Prinzip ist aus der Notfallmedizin entlehnt: Nicht jeder Patient wird sofort behandelt, aber jeder wird sofort eingestuft.
BCG berichtet von einer europäischen Retail-Bank, die mit GenAI-Agenten False Positives um 30 Prozent reduziert, die Fallbearbeitungszeit um 40 Prozent verbessert und SAR-Meldungen 50 Prozent schneller eingereicht hat. Hybride Modelle, die regelbasierte und ML-gestützte Ansätze kombinieren, erreichen False-Positive-Reduktionen von bis zu 70 Prozent bei gleichzeitiger Steigerung der Erkennung echter Hochrisiko-Fälle um rund 30 Prozent.
Die Rechnung ist einfach: Wenn eine Bank 100.000 Alerts pro Jahr generiert und die Kosten pro Alert bei 50 Euro liegen, spart eine Reduktion um 50 Prozent 2,5 Millionen Euro jährlich — allein in direkten Bearbeitungskosten. Die indirekten Effekte (schnellere Fallbearbeitung, bessere SAR-Qualität, weniger Analyst Fatigue) sind schwerer zu quantifizieren, aber mindestens ebenso relevant.
KYC ist einer der ressourcenintensivsten Compliance-Prozesse — und gleichzeitig einer der am besten geeigneten für den Einsatz von GenAI. Die Verifikation und Aktualisierung von Kundendaten über mehrere Systeme hinweg verschlingt Tausende von Arbeitsstunden pro Jahr. Selbst kleine Fehler erzeugen regulatorische Risiken.
BCG dokumentiert, dass eine führende europäische Bank KYC-bezogene Kosten um 20 Prozent gesenkt und die Abschlussrate von KYC-Akten um 67 Prozent verbessert hat — innerhalb eines Jahres nach GenAI-Einführung. Deloitte berichtet von einem niederländischen Finanzinstitut, das die Onboarding-Zeit um 90 Prozent reduziert und die Arbeitsbelastung der Mitarbeiter um 30 Prozent gesenkt hat.
Die Use Cases sind konkret: automatische Extraktion und Abgleich von Daten aus öffentlichen Registern, Transaktionshistorien, Nachrichtenquellen und unstrukturierten Dokumenten. Echtzeit-Risikobewertung. Automatisierte Erstellung von Compliance-Zusammenfassungen. Das sind keine Zukunftsszenarien — das sind Produktionsumgebungen.
GenAI wirkt hier deshalb sofort, weil KYC ein dokumenten- und textlastiger Prozess ist, der exakt auf die Stärken von LLMs trifft: Zusammenfassung, Extraktion, Klassifikation, Abgleich. Die regulatorische Hürde ist niedriger als beim Transaction Monitoring, weil die Entscheidungen weniger binär sind — man automatisiert nicht die Entscheidung, sondern die Vorbereitung der Entscheidung.
Enhanced Due Diligence (EDD) bei Hochrisikokunden erfordert die systematische Auswertung von Medienberichten, Gerichtsdokumenten, Sanktionslisten und öffentlich zugänglichen Informationsquellen. Traditionell ist das ein manueller, zeitintensiver und qualitativ inkonsistenter Prozess — abhängig davon, wie gut der einzelne Analyst recherchiert, in welchen Sprachen er sucht und wie viel Zeit er hat.
LLM-gestützte RAG-Systeme (Retrieval-Augmented Generation) verändern diesen Prozess fundamental. Sie durchsuchen Hunderte von Quellen in Dutzenden von Sprachen, extrahieren relevante Informationen, bewerten deren Glaubwürdigkeit im Kontext und generieren strukturierte Recherche-Zusammenfassungen — mit Quellenangaben und Konfidenzwerten.
Der Effekt ist nicht primär Kosteneinsparung, sondern Qualitätssteigerung. Ein menschlicher Analyst kann pro Tag eine Handvoll tiefgehender EDD-Recherchen durchführen. Ein LLM-RAG-System kann dieselbe Analyse in Minuten erstellen — nicht als Ersatz, sondern als Vorarbeit, die der Analyst validiert und ergänzt. Das Ergebnis: mehr Hochrisikokunden werden tatsächlich geprüft, die Prüfungen sind nachvollziehbarer dokumentiert, und die Analysten können ihre Zeit auf Interpretation statt auf Datensammlung verwenden.
Kapitel III
Was nicht auf die Liste gehört (aber immer darauf steht)
Ebenso wichtig wie die Frage, was man priorisieren sollte, ist die Frage, was man nicht priorisieren sollte. Die folgenden Use Cases sind nicht wertlos — aber sie sind keine Top-drei-Hebel, und sie stehen trotzdem auf jeder Vendor-Shortlist.
Chatbots für regulatorische Fragen. Klingt gut in der Pressemitteilung, spart aber kaum FTE-Kapazität. Die Compliance-Mitarbeiter, die regulatorische Fragen beantworten, sind nicht der Engpass. Der Engpass sind die Analysten, die 90 Prozent ihrer Zeit mit False Positives verbringen.
Vollautomatisierte SAR-Erstellung. Technisch möglich, regulatorisch heikel. Solange Aufsichtsbehörden keine klare Guidance zur Akzeptanz KI-generierter Verdachtsmeldungen veröffentlicht haben, ist die vollautomatisierte SAR ein Risikofaktor, kein Effizienzgewinn. Die halbautomatische Variante — KI erstellt den Entwurf, Analyst validiert — funktioniert dagegen bereits.
Enterprise-weite „AI Factories“ ohne klaren Startpunkt. Die Idee, sofort eine vollständige KI-Fabrik für die gesamte Compliance aufzubauen, scheitert in der Praxis an Komplexität, Governanceanforderungen und organisatorischem Widerstand. Weniger als 10 Prozent der Banken haben messbare Use Cases in Produktion. Der Grund ist nicht mangelnde Ambition — sondern mangelnde Fokussierung auf den ersten Use Case, der beweist, dass es funktioniert.
Kapitel IV
Die Priorisierungsmatrix: Wo anfangen?
Die drei Hebel unterscheiden sich nicht nur in ihrem Wirkprofil, sondern auch in ihren Voraussetzungen, ihrem regulatorischen Risiko und ihrer Implementierungsgeschwindigkeit. Die folgende Matrix fasst die Entscheidungsparameter zusammen.
| Kriterium | Alert-Priorisierung | KYC-Dokumentenanalyse | Adverse Media / OSINT |
|---|---|---|---|
| Einsparpotenzial | 5–15 Mio €/a | 3–8 Mio €/a | 2–5 Mio €/a |
| Time-to-Value | 6–12 Monate | 3–6 Monate | 3–6 Monate |
| Regulatorisches Risiko | Hoch (Model Risk) | Mittel | Niedrig |
| Datenvoraussetzung | Hoch (historische SARs) | Mittel (Kundendaten) | Niedrig (externe Quellen) |
| Organisatorischer Aufwand | Hoch | Mittel | Niedrig |
| AI-Act-Klassifikation | Hochrisiko | Abhängig vom Scope | Begrenztes Risiko |
Die Empfehlung daraus ist kontraintuitiv: Die Bank sollte nicht mit dem größten Hebel anfangen, sondern mit dem schnellsten Beweis. Adverse Media oder KYC-Dokumentenanalyse liefern in drei bis sechs Monaten sichtbare Ergebnisse, haben ein niedrigeres regulatorisches Risiko und erfordern weniger Dateninfrastruktur. Diese ersten Erfolge schaffen die organisatorische Legitimation — und das Budget — für den großen Hebel: die Alert-Priorisierung im Transaction Monitoring.
Die richtige Reihenfolge
Quartal 1–2: Adverse Media / OSINT als Einstiegs-Use-Case. Externe Daten, niedrige Integrationstiefe, schneller Beweis. Gleichzeitig: Aufbau des Daten-Fundaments für Alert-Priorisierung.
Quartal 3–4: KYC-Dokumentenanalyse in Produktion. Größerer Integrationsaufwand, aber klarer ROI-Nachweis. Parallel: Model Development für Transaction Monitoring.
Quartal 5–8: Alert-Priorisierung im Transaction Monitoring. Jetzt mit erprobter Infrastruktur, organisatorischer Akzeptanz und regulatorischer Vorerfahrung.
Kapitel V
Warum Fokussierung die eigentliche Innovation ist
Die größte Gefahr bei der Einführung von KI in der Compliance ist nicht technisches Scheitern. Es ist strategische Diffusion. Es ist der Versuch, fünf Use Cases gleichzeitig zu starten, von denen keiner die kritische Masse an Ressourcen, Aufmerksamkeit und organisatorischer Unterstützung erreicht, die er bräuchte, um aus dem Pilotstadium herauszukommen.
McKinsey stellte Ende 2025 fest, dass die meisten Banken weder Umsatzwachstum noch Effizienzgewinne im nennenswerten Umfang durch KI erzielt haben — aber die wenigen, die es geschafft haben, einen deutlichen Wettbewerbsvorsprung aufgebaut haben, der sich zunehmend schwer einholen lässt. Der Unterschied zwischen diesen Gruppen ist nicht Technologie, nicht Budget und nicht Talent. Der Unterschied ist Fokus.
Wer nicht brutal priorisiert, baut teure KI-Demos statt echter Wirkung. Die Frage ist nicht „Sollen wir KI einsetzen?“ — die Frage ist „Welcher eine Use Case rechtfertigt den Aufwand, und wie beweisen wir es in sechs Monaten?“
Das klingt unspektakulär. Aber genau darin liegt die Innovation. Nicht in der Technologie, die sich alle am Markt kaufen können. Sondern in der Disziplin, sie auf das eine Problem zu richten, das den größten Hebel hat — und alles andere zu lassen, bis der erste Beweis steht.
Der nächste Artikel dieser Serie vertieft die Kostenseite: Was kostet die Einführung von KI in der Compliance wirklich — jenseits der Vendor-Pitches, mit acht Kostenfallen, die kein Beratungshaus erwähnt. ◆
Quellen & Referenzen
- BCG: A Faster Path to Scaling GenAI in Banking Compliance, November 2025. False-Positive-Reduktion: 30 %; KYC-Kosten: −20 %; Abschlussrate: +67 %. — bcg.com
- Neurons Lab: Agentic AI in Financial Services — Research Roundup 2026, April 2026. Niederländisches FI: Onboarding −90 %, Workload −30 %. — neurons-lab.com
- GlobalData / Yahoo Finance: The Hidden Cost of AML — How 95 % False Positives Hurt Banks, Juni 2025. Globale AML-Compliance-Kosten: 274 Mrd. USD. — finance.yahoo.com
- Facctum: AML False Positive Rates 2026 Report, März 2026. False-Positive-Quote: 85–95 %; Analysten-Zeitaufwand: 90 % für Fehlalarme. — facctum.com
- PwC: False-Positive-Quote in Transaction-Monitoring-Systemen: 90–95 %. Zitiert via DataVisor
- DataRobot: AML Alert Scoring. Kosten pro Alert: 30–70 USD; ROI-Modell bei 70 % FP-Reduktion: 2,1–4,9 Mio. USD/Jahr. — docs.datarobot.com
- Pingwire: Transaction Monitoring Guide 2026. Hybridmodelle: FP −70 %, Hochrisiko-Erkennung +30 %. — pingwire.io
- Wolters Kluwer: The AI Imperative in Banking, März 2026. McKinsey-Referenz: Wenige Banken mit KI-Skaleneffekten bauen schwer einholbaren Vorsprung auf. — wolterskluwer.com
- Wolters Kluwer: Q1 2026 Banking Compliance AI Trend Report, Februar 2026. <10 % mit messbaren KI-Use-Cases in Produktion. — wolterskluwer.com
- LexisNexis / Forrester: True Cost of Financial Crime Compliance — EMEA, 2024. EMEA-Gesamtkosten: 85 Mrd. USD. — risk.lexisnexis.com
