Es gibt eine Entwicklung, die man sich merken sollte: SupTech ist vom Nischenthema zur realen Aufsichtspraxis geworden. Der State of SupTech Report 2025 verweist auf 171 Aufsichtsbehörden in 107 Ländern mit live eingesetzten SupTech-Anwendungen; insgesamt erfasst die Studie 312 Behörden in 172 Ländern. Was nach Konferenzsprache klingt, hat eine operative Pointe: Die Aufseher digitalisieren sich vielerorts schneller, als Beaufsichtigte ihre Datenhaushalte modernisieren.

Und wer glaubt, das sei ein Phänomen ferner Schwellenländer, unterschätzt die europäische Entwicklung. Im EZB-Jahresbericht zur Aufsichtstätigkeit 2025 kündigt die Bankenaufsicht ein umfassendes IT-Projekt für den Zeitraum 2026–2028 an: eine End-to-End-Digitalisierung von Aufsichtsprozessen, einschließlich der Beschlussverfahren, über ein weiter integriertes SSM-Portal. Für die 112 seit dem 1. Januar 2026 direkt beaufsichtigten Institute und Gruppen im Euroraum heißt das vor allem: Die Schnittstelle zur Aufsicht wird standardisierter und digitaler.

Was SupTech ist – und was es nicht ist

Der Begriff ist ein Kofferwort aus Supervisory Technology. Die BaFin definiert ihn schlicht als Gegenstück zu RegTech: Während RegTech den Instituten hilft, regulatorische Pflichten technologiegestützt zu erfüllen, nutzen Aufsichtsbehörden SupTech-Werkzeuge, um ihre eigene Arbeit effizienter und datengetriebener zu gestalten. Der Grundsatz „gleiches Geschäft, gleiches Risiko, gleiche Regel“ bleibt technologieneutral – aber die Art, wie die BaFin die Einhaltung dieses Grundsatzes prüft, tut es nicht.

Die am häufigsten eingesetzten Technologien umfassen KI, Machine Learning, Natural Language Processing und zunehmend Graphdatenbanken. Konkret heißt das: Predictive Analytics für Risikofrüherkennung, NLP zur automatisierten Auswertung von Beschwerden, Dashboards mit granularen Echtzeit-Daten und – dort, wo Aufseher besonders mutig sind – generative KI zur Aufbereitung unstrukturierter Meldungen.

Doch die Verbreitung bleibt ungleich. Der State of SupTech Report 2025 zeigt: Tiefe und Reifegrad der Implementierungen korrelieren stark mit dem Einkommensniveau und der institutionellen Kapazität einer Behörde. Die Mehrheit der Aufsichtsbehörden weltweit bewegt sich noch in frühen Experimentierphasen. Was die Sache interessant macht: Europa will dieses Muster durchbrechen – mit einer Institution, die SupTech nicht nachträglich einführen muss, sondern von Grund auf digital gebaut werden kann.

Was die Empirie zeigt: BIS Working Paper Nr. 1309

Im November 2025 veröffentlichte die Bank für Internationalen Zahlungsausgleich ein bemerkenswertes Arbeitspapier: Making suptech work: evidence on the key drivers of adoption. Die Autoren – Gambacorta, Lauridsen, Kiuhan-Vásquez und Prenio – liefern die erste systematische, länderübergreifende ökonometrische Evidenz zu den Determinanten von SupTech-Adoption.

Das Forschungsdesign: Umfragedaten von 112 Aufsichtsbehörden aus 97 Ländern, analysiert mit einem zweistufigen Hurdle-Modell, das die Adoption vom Proof of Concept über den Prototyp bis zum vollen Deployment nachzeichnet.

Die Befunde sind ernüchternd für alle, die an Pilotprojekte glauben:

Für die europäische AML/CFT-Aufsicht ergibt sich daraus eine klare Implikation: Wer eine neue Behörde gründet, hat die einmalige Chance, alle drei Dimensionen gleichzeitig richtig aufzusetzen.

Die EBA zieht Bilanz – und schaut nach Frankfurt

Am 12. August 2025 veröffentlichte die Europäische Bankenaufsichtsbehörde einen Bericht, der die SupTech-Diskussion erstmals explizit mit dem neuen AML/CFT-Rahmenwerk verknüpft: Report on the use of AML/CFT SupTech tools (EBA/Rep/2025/23). Die EBA hatte im November 2024 die nationalen Aufsichtsbehörden befragt; 31 zuständige Behörden aus 25 EU-Mitgliedstaaten antworteten. Gemeinsam mit der AMLA Task Force organisierte die EBA im Januar 2025 einen Workshop zu Herausforderungen und Good Practices.

Die EBA bescheinigt den nationalen Behörden greifbare Vorteile: verbesserte Datenqualität, effizientere Risikoidentifikation, stärkere Zusammenarbeit. Gleichzeitig ist der eigentlich bemerkenswerte Befund ein anderer: Es fehlen klare Verantwortungslinien für KI- und ML-gestützte Aufsichtsentscheidungen. Algorithmische Modelle sind in der Aufsicht angekommen – aber die Governance-Rahmen hinken hinterher.

Für den EBA-Bericht ist das ein diagnostisches Ergebnis. Für die AMLA ist es mindestens ein wichtiger Referenzpunkt.

Die AMLA-Brücke: Europas erste AML/CFT-Behörde auf der grünen Wiese

Hier schließt sich der Kreis. Die Authority for Anti-Money Laundering and Countering the Financing of Terrorism – AMLA – ist keine bestehende Behörde, die SupTech nachrüsten muss. Sie entsteht in Frankfurt weitgehend neu. Offiziell plant AMLA, bis Ende 2027 auf rund 432 Beschäftigte zu wachsen, im Laufe des Jahres 2027 die Auswahl direkt beaufsichtigter Verpflichteter abzuschließen und im Verlauf des Jahres 2028 mit der direkten Aufsicht zu beginnen.

Man muss die BIS-Ergebnisse nur auf dieses Setting anwenden, um das Ausmaß der Chance – und des Risikos – zu verstehen:

Datenanforderungen und ein operatives Problem

Doch die Architektur ist nur die halbe Wahrheit. Die andere Hälfte heißt: Daten. Und hier wird die Verbindung zwischen SupTech und dem AMLA-Regelwerk operativ konkret.

Die am 24. März 2026 vorgestellten AMLA-Entwürfe zu Artikel 28 Absatz 1 AMLR konkretisieren, welche Informationen Verpflichtete für Standard-, vereinfachte und verstärkte Sorgfaltspflichten erheben sollen. Diese Entwürfe sind detailliert, aber technologieneutral. Aus ihnen folgt also eine höhere Datengranularität – nicht schon ein feststehender Feldkatalog, den AMLA unmittelbar selbst per API abruft.

Belastbar ist damit vor allem eines: AMLA bewegt sich auf eine stärker standardisierte und datenintensive Aufsicht zu. Parallel zeigt eine separate AMLA-Datenerhebung vom März 2026 zur Kalibrierung der Risikomodelle, dass Templates, Datenpunkte und ein später maschinenlesbares Austauschformat vorbereitet werden. Zu weit ginge derzeit aber die Behauptung, jedes CDD-Merkmal fließe bereits in ein konkretes AMLA-KI-Modell.

Der EBA-Bericht als Warnung

Und genau hier liegt die Spannung, die der EBA-Bericht offenlegt. Die nationalen Behörden berichten von fragmentierten Datenquellen, mangelnder Datenqualität und rechtlicher Unsicherheit als Haupthindernisse für effektives SupTech. Die EBA empfiehlt: Datengovernance, Standardisierung, Cross-Border-Kollaboration.

Doch wer liefert diese Daten? Die Institute. Und genau dort liegen weiterhin strukturelle Schwächen. Die EZB macht in ihren Aufsichtsprioritäten 2026–2028 deutlich, dass Defizite bei Risikodatenaggregation, Reporting und den zugrunde liegenden Informationssystemen fortbestehen und gezielt nachgehalten werden.

Daraus folgt nicht automatisch eine fertige KI-Aufsichtsplattform. Wohl aber folgt, dass Standardisierung, Plausibilisierung und risikobasierte Auswertung von Meldedaten wichtiger werden. Je datengetriebener die Aufsicht wird, desto härter schlagen Datenlücken, Inkonsistenzen und Medienbrüche auf die Institute zurück.

Was das für Institute bedeutet

Ausblick: SupTech als Paradigmenwechsel

Die FNA-Analyse – ein Rückblick auf fünf Jahre nach dem ersten G20-TechSprint – formuliert es pointiert: Die transformativste Entwicklung wird nicht eine einzelne Innovation sein, sondern ein neues Aufsichtsparadigma, das die Rolle der Aufseher von periodischen Kontrolleuren zu Echtzeit-Systemermöglichern umdefiniert. Shared Utilities, Policy-Simulationsumgebungen, die Verschmelzung getrennter Datenströme zu einem einheitlichen Supervisory Intelligence Layer.

Das klingt nach Zukunftsmusik. Aber die EZB hat das IT-Projekt 2026–2028 bereits gestartet. Die EBA hat den SupTech-Bericht für AML/CFT vorgelegt. Die BIS hat die empirische Evidenz geliefert. Und AMLA baut in Frankfurt gerade die organisatorischen und technischen Grundlagen für ihre spätere Aufsicht auf.