Scams sind keine Einzelfälle mehr. Sie sind Betriebssysteme.

Der UNODC-Bericht Inflection Point vom 21. April 2025 beschreibt diesen Shift für Ost- und Südostasien mit brutaler Klarheit. Scam-Zentren verlagern sich nicht einfach nur geografisch. Sie koppeln sich enger an illegale Online-Marktplätze, Online-Glücksspiel, Kryptowährungen, Underground-Banking und technologische Service-Schichten. UNODC spricht ausdrücklich von einem regionalen, miteinander verbundenen Ökosystem, das auf immer neue Orte ausweicht, sobald Druck entsteht.

Damit verändert sich auch die kriminologische Einheit. Der relevante Gegenstand ist nicht mehr nur die gefälschte Investmentseite oder das manipulierte Chatprofil. Relevant ist das Gesamtarrangement: Messaging, Storytelling, Werbung, Zahlungsabwicklung, Stablecoins, Auszahlung, technische Tarnung und Rekrutierung arbeiten als zusammenhängende Infrastruktur.

Der FATF-Bericht vom 24. Februar 2026 zieht die AML-Konsequenz daraus. Cyber-enabled fraud ist dort nicht bloß ein Verbraucherschutzproblem, sondern eines der weltweit verbreitetsten profitgetriebenen Delikte mit großen Volumina an illegalen Erlösen. 156 Jurisdiktionen, also 90 Prozent der von der FATF bewerteten Staaten, identifizieren Betrug inzwischen als großes Geldwäscherisiko.

Die Behörden beginnen endlich, die Ermöglicher zu adressieren

Spannend ist, dass Regulierer und Strafverfolger inzwischen genau diese Verbindung offen benennen. FinCEN identifizierte am 1. Mai 2025 die kambodschanische Huione Group als primary money laundering concern nach Section 311 des USA PATRIOT Act. Die Begründung zielte nicht nur auf klassische Geldwäsche, sondern ausdrücklich auf ihre Rolle als kritischer Knoten für nordkoreanische Cyber-Heists und für transnationale Investment-Scams mit Kryptowerten.

Nur vier Tage später, am 5. Mai 2025, sanktionierte das U.S. Treasury die Karen National Army in Burma als transnationale kriminelle Organisation. Die Behörde beschrieb die KNA-kontrollierte Grenzregion offen als Heimat mehrerer Cyber-Scam-Syndikate. Ende Mai folgte mit Funnull Technology der nächste Infrastrukturtreffer: OFAC sanktionierte ein Unternehmen, das Computerinfrastruktur für Hunderttausende Scam-Websites bereitgestellt haben soll.

Das Muster ist entscheidend. Der Fokus wandert vom einzelnen Betrugsfall auf die ökosystemischen Ermöglicher: Payment-Knoten, Scam-Marktplätze, Webseiten-Infrastruktur, Grenzmilizen, Hosting, Stablecoin-Rails und Auszahlungswege. Genau hier verschwimmen Fraud und AML zu einem durchgehenden Prozess.

Singapur zeigt, wohin Regulierung sich bewegen muss

Ein guter Gradmesser ist Singapur. MAS und IMDA veröffentlichten am 24. Oktober 2024 ihre Antwort auf die Konsultation zum Shared Responsibility Framework für Phishing-Scams. Die Logik dahinter ist bemerkenswert: Finanzinstitute und Telcos sollen für eine definierte Scam-Kategorie konkrete Pflichten tragen und unter einer „waterfall approach“-Logik Scam-Verluste übernehmen, wenn sie diese Pflichten verletzen.

Das ist kein klassisches AML-Instrument. Aber es ist ein regulatorischer Präzedenzfall. Denn hier wird anerkannt, dass Scam-Schäden nicht nur an einem einzelnen Täter oder am unvorsichtigen Opfer hängen, sondern an einem ganzen Ökosystem von Gatekeepern. Die Behörden schreiben Verantwortung dorthin zurück, wo digitale Infrastruktur echten Schaden mitverursacht.

Der blinde Fleck heißt Plattformmacht und Datenmauer

Und hier liegt der Endgegner dieser Debatte. Es ist analytisch richtig, einen Graph statt Silos zu fordern: Telefonnummern, Geräte, Wallets, Konten, Merchants, Domains und Gegenparteien müssten zusammengeführt werden. In der Praxis prallt genau diese Forderung aber an einer harten Datenmauer ab. Messenger, Werbeplattformen, App-Ökosysteme und andere große Tech-Infrastrukturen teilen ihre Beziehungsdaten nicht in einer Weise, die Banken oder Ermittlern ein frühes Gesamtbild verschafft.

Das ist nicht nur böser Wille. Es geht auch um Datenschutz, Plattformrecht, Verschlüsselung, Zuständigkeiten und legitime Freiheitsrechte. Aber für die Kontrollrealität bleibt das Ergebnis dasselbe: Banken sollen Scam- und Geldwäschenetzwerke erkennen, während zentrale Teile des Kommunikations- und Identitätsgraphen außerhalb ihres Blickfelds liegen.

Solange Ökosysteme rechtlich nicht stärker als Mitverantwortliche behandelt werden, bleibt die Forderung nach „ökosystemischer Verantwortung“ lückenhaft. Die Finanzbranche verliert also nicht nur wegen interner Silos die Kontrolle, sondern auch, weil sie an externen Datengrenzen endet, die sie selbst nicht einreißen kann.

Was daraus für AML, Fraud und Product folgt

Die nächste Kontrollgeneration wird nicht aus noch mehr Einzelalerts entstehen. Sie entsteht dort, wo Fraud, Cyber, AML, KYC, Merchant Risk und Plattformgovernance dieselben Netzwerke lesen können. Wer Scams nur als Kundenschaden und Geldwäsche nur als späten Finanzfluss behandelt, verpasst die Betriebslogik des Problems.

• Fusion aus Fraud und AML: Cyber-enabled fraud ist heute ein originäres Geldwäscherisiko, nicht nur ein Vorfeldthema.
• Plattformblick statt Zahlungsblick: Die Analyse muss Infrastrukturbetreiber, Vermittler und technische Ermöglicher einschließen, nicht nur Konten und Transaktionen.
• Haftung und Anreize: Ökosysteme ändern sich erst, wenn Schutzpflichten nicht nur moralisch, sondern wirtschaftlich spürbar werden.
• Graph statt Silo: Beziehungen zwischen Telefonnummern, Domains, Wallets, Konten, Merchants, Devices und Gesellschaften müssen zusammenlaufen, soweit Recht und Praxis das zulassen.

Damit schließt sich der Kreis dieser Serie. Wer wie ein Krimineller denkt, schaut nicht nur auf Produkte. Er schaut auf Aufgaben, Reibung, Schnittstellen und Verantwortungsnebel. Genau dort sitzen die eigentlichen Missbrauchsfenster. Und genau dort muss moderne Kontrolle ansetzen.