Die unsichtbare Beweiskette: Zahlungsverkehr als forensisches Artefakt
Wenn du den Zahlungsverkehr als Beweiskette modellierst, bist du gedanklich schon einen Schritt weiter als klassische Compliance: Du denkst nicht in Reports, sondern in rekonstruierbaren Ereignissen. Genau hier trennen sich Data Lineage, Data Governance und BCBS 239 sauber – und gleichzeitig greifen sie ineinander.
1. Zahlungsverkehr als Beweiskette
Ein Payment – SEPA, SWIFT MT103, pacs.008 – ist nicht einfach ein Datensatz. Er ist ein forensisches Artefakt entlang einer Verarbeitungskette. Von Ingress (Core Banking) über Transformationen (Mapping, Enrichment, Screening) bis zur Entscheidung: Alert, Block, SAR.
Die Frage lautet nicht: „Wie viele Alerts haben wir produziert?“ Sondern: Kann ich beweisen, was passiert ist, warum diese Entscheidung getroffen wurde und auf Basis welcher Daten? Das ist Beweiskettenfähigkeit – und sie ist der Unterschied zwischen einer Compliance-Abteilung, die dokumentiert, und einer, die ermittelt.
2. Data Lineage: Die forensische Spur
Data Lineage ist die lückenlose Nachvollziehbarkeit, wie sich ein konkretes Zahlungsereignis technisch und fachlich durch Systeme bewegt und verändert hat. Für jede Transaktion muss sich sagen lassen:
- Ursprung: Konto, Kunde, Kanal
- Transformation: Mapping (MT → ISO 20022), Enrichment (KYC, Länder-Risiko), Aggregation (Szenario-Bildung)
- Entscheidung: Regel X → Alert Y, Threshold überschritten
- Output: Case, Meldung, Reporting
Technisch bedeutet das: Event Chains, Hashes, Immutable Logs, versionierte Regeln & Parameter, Zeitstempel pro Verarbeitungsschritt. Lineage beantwortet die Frage: Wie ist dieser konkrete Alert entstanden? Und in deinem Kontext: Lineage = Beweisführung vor Prüfer, FIU oder Gericht.
Die ECB geht noch weiter und fordert Attribute-Level Data Lineage – die Rückverfolgbarkeit bis auf einzelne Datenfelder von der Erfassung über Transformation bis zum Report. Nicht aggregiert. Nicht zusammengefasst. Sondern feldgenau.
3. Data Governance: Die Spielregeln der Beweiskette
Data Governance beschreibt die Regeln, Verantwortlichkeiten und Qualitätsanforderungen, unter denen Daten entstehen, verarbeitet und genutzt werden. Für FinCrime umfasst das:
- Datenqualität: Vollständigkeit (fehlende UBOs?), Korrektheit (falsche Länder-Codes?)
- Verantwortung: Data Owner (Fachbereich), Data Steward (IT/Compliance)
- Regeln: Welche Daten dürfen wie verwendet werden? Aufbewahrungsfristen?
- Kontrollen: DQ-Checks, Reconciliation, Metadaten-Definitionen („High Risk Country“)
Governance beantwortet die Frage: Unter welchen Bedingungen darf ich dieser Beweiskette vertrauen? Ohne Governance ist Lineage eine Kette ohne Prüfzeichen – technisch möglich, aber rechtlich wertlos.
4. BCBS 239: Der regulatorische Mindeststandard
BCBS 239 (Principles for Risk Data Aggregation and Reporting) ist kein FinCrime-Framework. Es ist ein regulatorischer Standard für Risikodaten – primär Kredit-, Markt- und Liquiditätsrisiken. Fokus:
- Aggregierbarkeit von Daten
- Konsistenz über Systeme
- Zeitnahe Verfügbarkeit
- Governance & Kontrollen
- Reporting-Fähigkeit
Ziel: Management und Aufsicht sollen Risiken korrekt und schnell sehen können. BCBS 239 fragt: Sind unsere Reports korrekt? Das ist wichtig. Aber es reicht nicht.
5. Der entscheidende Unterschied
Die drei Ebenen haben unterschiedliche Zielsetzungen:
| Perspektive | Ziel | Denkmodell |
|---|---|---|
| Data Lineage | Rekonstruktion eines Einzelfalls | Forensik |
| Data Governance | Vertrauenswürdigkeit von Daten | Regelwerk |
| BCBS 239 | Aggregierte Risikotransparenz | Management Reporting |
Der eigentliche Gamechanger ist der Paradigmenwechsel: Von Aggregation zu Erklärung. Von Ereignis zu Kausalität.
6. Warum BCBS 239 nicht reicht (für AML)
BCBS 239 hilft dir nicht bei:
- Warum wurde genau diese Transaktion geflaggt?
- Welche Regelversion war aktiv?
- Welche Daten waren zum Zeitpunkt X verfügbar?
- Wie hat sich ein Szenario über Zeit aufgebaut?
Genau das ist der Kern von AML Observability, Auditierbarkeit und Explainable AI in Compliance. BCBS 239 zeigt dir das große Bild – aber wenn die FIU anruft und fragt: „Warum haben Sie diese Transaktion nicht gemeldet?“, hilft dir kein Aggregat. Du brauchst die Ereigniskette.
Die NYDFS Part 504 fordert bereits heute die Validierung von Datenintegrität, -akkuratheit und -qualität im AML-Kontext – und verlangt damit genau das, was BCBS 239 für Risikodaten vorsieht, aber für die einzelne Transaktion.
7. Das Zusammenspiel
Die drei Ebenen greifen ineinander:
- Data Governance stellt sicher, dass Daten sauber und definiert sind
- Data Lineage zeigt, wie Entscheidungen entstehen
- BCBS 239 sorgt dafür, dass Management das große Bild sieht
Ohne Governance ist Lineage blind. Ohne Lineage ist Governance toothless. Ohne BCBS 239 fehlt dem Vorstand die Übersicht. Aber nur Lineage schafft das, was im Zweifel zählt: die Beweisfähigkeit der einzelnen Entscheidung.
8. Executive Take
BCBS 239 zeigt uns, wie groß das Risiko ist. Data Governance stellt sicher, dass die Daten belastbar sind. Data Lineage beweist, warum wir genau diesen Fall entschieden haben.
Und genau dieser letzte Punkt entscheidet im Zweifel: über Prüfungsfeststellungen, über Bußgelder, oder über strafrechtliche Relevanz. Wer Zahlungsereignisse als forensische Artefakte behandelt, statt sie in Reports zu aggregieren, besitzt nicht nur bessere Daten – sondern eine beweisfähige Entscheidungskette.
Quellen: BCBS 239 (Principles for Risk Data Aggregation and Reporting), ECB Attribute-Level Data Lineage, NYDFS Part 504, Protiviti, Alation, Collibra, EY, World Economic Forum
Dieser Artikel wurde mit Unterstützung von KI erstellt und redaktionell überprüft. – FinCrime Watchdog
