Erst Lesbarkeit, dann Governance, dann Intelligenz

AMLA Observability | Companion-Piece | Stand: 14. Mai 2026

Was AMLAs erster Bestandsbericht aus 27 Mitgliedstaaten über die Reihenfolge verrät, in der man ein europäisches AML-System bauen muss: erst Lesbarkeit, dann Governance, dann Intelligenz.

Es gibt einen Satz im Roadshow-Report der Anti-Money Laundering Authority, der mehr Aufmerksamkeit verdient, als er bekommen wird. Am Ende von Kapitel 5.1.1 beschreibt AMLA das europäische AML/CFT-System als „formally interconnected, yet operationally uneven“. Formell verbunden, operativ uneben.

Wer diesen Satz schnell liest, hält ihn für eine Floskel über Föderalismus. Wer ihn langsam liest, erkennt eine ungewollte Definition des Problems, das ein europäisches AML-System lösen muss, bevor es irgendetwas anderes lösen kann. Es ist ein Beobachtbarkeitsproblem.

AMLA formuliert diese Diagnose nicht aus der Distanz. Zwischen März und Dezember 2025 besuchte Chair Bruna Szego alle 27 EU-Mitgliedstaaten und sprach mit Aufsichtsbehörden, FIUs, Banken, Versicherungen, Krypto-Dienstleistern, Zahlungsdienstleistern, Notaren, Anwälten, Immobilienakteuren und weiteren Verpflichteten. Der Bericht ist damit kein Essay über Aufsichtstheorie, sondern eine aggregierte Bestandsaufnahme aus dem Maschinenraum.

Genau diese Reihenfolge war bereits der Kern des Position Papers AML Observability. Der Roadshow-Report liefert dafür jetzt keine triumphale Bestätigung, sondern etwas Nützlicheres: empirische Grundierung. 27 Mitgliedstaaten, hunderte Organisationen, Chatham-House-Rule, wiederkehrende Befunde.

Was 27 Mitgliedstaaten AMLA über sich selbst gesagt haben

Der Report beschreibt im Kern drei Schichten, die im europäischen AML-System nicht sauber ineinandergreifen: Wahrnehmung, Fakten und Handlung. In einem funktionierenden System übersetzen sich diese Ebenen ineinander. Im europäischen AML-System tun sie das nur unzureichend.

Das klarste Beispiel steht in Kapitel 5.1.2. AMLA beschreibt, dass niedrige Verdachtsmeldevolumina im nichtfinanziellen Sektor von Praktikern teilweise positiv gelesen werden: als Hinweis auf begrenztes Risiko. Aufseher und FIUs lesen dasselbe Muster dagegen als Hinweis auf systematische Untererkennung und Unterberichterstattung.

Dieselben Zahlen, zwei Wirklichkeiten. Für die einen ein Beleg, dass alles in Ordnung ist. Für die anderen ein Beleg, dass nichts in Ordnung ist. Was hier fehlt, ist keine weitere Regel und keine neue PowerPoint über Awareness. Was fehlt, ist ein gemeinsames Bild davon, was die Daten überhaupt bedeuten. Was fehlt, ist Lesbarkeit.

Das ist der Punkt, den AML Observability mit der Drei-Schichten-Architektur zu fassen versucht. Bevor jemand entscheiden kann, ob ein System gut oder schlecht funktioniert, muss er sehen können, wie es funktioniert. Sehen heißt hier nicht: ein Dashboard mit Kennzahlen. Sehen heißt: dieselben Daten, denselben Begriffsapparat, dieselben Definitionen, denselben semantischen Rahmen.

Fraud und AML teilen längst dieselbe Ereignisquelle

Ein zweites Beispiel findet sich in Kapitel 4.1, wo AMLA Betrug als Vortat und als operativen Risikotreiber beschreibt. Der Bericht hält fest, dass einige Institute Fraud- und AML-Funktionen organisatorisch näher zusammenführen, weil die Risikopfade verbunden sind.

In der Sprache der Watchdog-FRAML-Serie heißt das: Fraud und AML lassen sich ereignisstrukturell nicht mehr sauber trennen. Dieselbe Transaktion trägt zwei Etiketten: einmal als Betrugsereignis, einmal als möglicher Einstieg in Geldwäsche. Wer Fraud und AML in zwei getrennten Datenwelten hält, trifft eine organisatorische Wahl, die die Lesbarkeit halbiert.

Die Architekturfrage lautet deshalb nicht zuerst: Welches Tool erkennt mehr Muster? Sie lautet: Welche Ereignisquelle sehen Fraud, AML, KYC und Sanctions überhaupt gemeinsam? Wenn jede Funktion ihre eigene Zeitachse, ihre eigenen Felder und ihre eigene Wahrheit pflegt, entsteht keine Intelligenz. Es entsteht ein professionell gepflegter Nebel.

FIU-Interoperabilität ist keine Nebensache

Kapitel 5.2.1 verschärft das Bild. FIUs berichten von anhaltenden Problemen bei Interoperabilität, Informationsaustausch, Automatisierung und analytischer Kapazität. Gleichzeitig steigen Meldevolumen und Fallkomplexität.

Zwischen den Zeilen steht: Die nationalen FIUs und Aufsichtsbehörden können nicht einfach ein konsistentes europäisches Lagebild erzeugen, wenn Werkzeuge, Datenmodelle, Begriffe und Schnittstellen auseinanderlaufen. Sie sehen, was ihre jeweiligen Systeme sichtbar machen. Nicht zwingend das, was sie sehen müssten.

Darum ist die zentrale AML/CFT-Datenbank in Kapitel 6.2.2 nicht nur ein Effizienzprojekt. Sie ist ein Bauteil für Aufsichtskonvergenz. Ohne gemeinsame Sichtbarkeit kann AMLA nicht wirksam koordinieren, weil ihr die Voraussetzung dafür fehlt: ein belastbares Bild dessen, was koordiniert werden soll.

Die Hierarchie, die AMLA nicht ausspricht

Der faszinierende Teil des Reports ist, was AMLA nicht explizit sagt. Die Behörde schreibt nirgendwo: Erst Lesbarkeit, dann Governance, dann Intelligenz. Das wäre nicht die Sprache eines europäischen Aufsichtsdokuments. Aber sie verhält sich genau so.

Kapitel 6.2.2 ist dafür der Schlüssel. Stakeholder sehen Technologie als Chance. AMLA antwortet aber nicht mit einem Werkzeugkatalog. Der Bericht sagt ausdrücklich, dass der unmittelbare Fokus nicht auf einer breiten Suite operativer Tools liegt. Der nahe Fokus liegt auf „core infrastructure, data capabilities and coordination mechanisms“.

Übersetzt: AMLA baut nicht zuerst die Intelligenzschicht. AMLA baut das, was eine Intelligenzschicht tragen muss. Datenfähigkeiten, Kerninfrastruktur, Koordination. Erst danach können gemeinsame Tools, Analytics und KI sinnvoll wirken.

Diese Logik gilt nicht nur für eine europäische Behörde. Sie gilt auch für ein deutsches Bankhaus mit historisch gewachsenen Monitoring-, KYC-, Sanctions- und Case-Management-Systemen. Erst Infrastruktur. Dann Regeln. Dann Modelle.

Governance braucht Auditierbarkeit

Auch die rechtliche Dimension folgt derselben Reihenfolge. Kapitel 5.3.1 beschreibt die Spannung zwischen AML/CFT-Pflichten und Datenschutz. Der Report benennt nicht fehlenden Kooperationswillen als Kernproblem, sondern den Bedarf an rechtlicher und operativer Klarheit, damit Informationsaustausch rechtmäßig, verhältnismäßig und auditierbar ist.

Auditierbar ist hier das entscheidende Wort. Denn Auditierbarkeit ist Lesbarkeit unter Aufsichtsbedingungen. Sie bedeutet, dass jemand nachvollziehen kann, was wann, warum, auf welcher Grundlage und mit wem geteilt wurde. Ohne diese Nachvollziehbarkeit ist rechtliche Konformität schwer prüfbar und Proportionalität kaum messbar.

Governance ist deshalb nicht einfach die Schicht, die nachträglich über Daten gelegt wird. Governance braucht eine lesbare Ereignisspur. Sonst kontrolliert sie nur Dokumente über ein System, das sie selbst nicht wirklich sieht.

Die Tabelle, die das ordnet

Legt man AMLAs Befunde gegen die Drei-Schichten-Architektur von AML Observability, ergibt sich eine ziemlich klare Sequenz:

Die Tabelle wirkt vielleicht glatter, als die Realität ist. AMLA wählt diese Sequenz nicht aus theoretischer Eleganz, sondern aus operativer Notwendigkeit. Wer in 27 Mitgliedstaaten hört, dass Ausgangslagen, Daten, Tools, Definitionen, Ressourcen und Aufsichtspraxis auseinanderlaufen, kommt irgendwann zu einem einfachen Schluss: Die Klugheit der Tools ist sekundär, solange die Lesbarkeit fehlt.

Was AMLA nicht leisten wird

Eine Passage aus dem Executive Summary klingt auf den ersten Blick harmlos: Capacity-building und direkte Ansprache der Verpflichteten bleiben primär Aufgabe nationaler Aufseher. Diese Passage ist keine Routine. Sie ist eine Grenzziehung.

Für eine begrenzte Zahl besonders relevanter, grenzüberschreitender Finanzinstitute entsteht mit der AMLA-Direktaufsicht ab 2028 eine neue Qualität unmittelbarer europäischer Interaktion. Für die breite Fläche der Verpflichteten bleibt der operative Alltag aber national vermittelt. AMLA wird methodisch, konvergierend und koordinierend wirken. Nationale Aufseher werden die Anforderungen im Einzelfall anwenden.

Das ist gerade für Institute interessant, die voraussichtlich unterhalb oder außerhalb der AMLA-Direktaufsicht bleiben, aber trotzdem in den Sog europäischer Konvergenz geraten. Landesbanken, Verbundinstitute, Zahlungsdienstleister und andere größere Häuser sitzen nicht automatisch im Windschatten. Sie sitzen zwischen nationaler Aufsichtspraxis, europäischer Methodik, SSM-Erwartungen, Sanctions-Druck und wachsender Datenanforderung.

Die relevante Frage lautet deshalb nicht: Werden wir direkt von AMLA beaufsichtigt? Die bessere Frage lautet: Wären unsere Daten heute lesbar, wenn ein konvergiertes europäisches Anforderungsbild morgen darauf angewandt würde?

Warum das Sanctions-Thema die Sequenz verschärft

Kapitel 4.6 macht deutlich, dass Sanktionsumgehung seit 2022 zu einem zentralen aufsichtlichen Thema geworden ist, besonders in Mitgliedstaaten mit geopolitischer Exposition. Anders als viele AML-Sachverhalte duldet Sanctions Screening wenig romantische Unschärfe: Ein relevanter Treffer wird erkannt, sauber bewertet, dokumentiert und eskaliert. Oder eben nicht.

Genau hier wird Lesbarkeit zur Bedingung rechtlicher Konformität. Wer Kunden-, Transaktions-, Gegenpartei- und Embargodaten nicht in einer Form führt, die einen nachvollziehbaren und auditierbaren Abgleich erlaubt, hat kein analytisches Problem. Er hat ein regulatorisches Problem mit technischer Ursache.

Für Häuser mit komplexen IT-Landschaften ist das keine Theorie. Es geht nicht darum, noch ein Dashboard über bestehende Systeme zu legen. Es geht darum, die darunterliegende Ereignis- und Datenschicht so zu bauen, dass KYC, Sanctions, Fraud, AML und Reporting dieselbe Welt sehen können.

Was Institute jetzt fragen sollten

Ein Vorstand sollte den Roadshow-Report nicht nur danach lesen, welche Tools AMLA vielleicht irgendwann bereitstellt. Die produktivere Frage lautet: Wie lesbar wäre unser eigenes AML-System, wenn wir es morgen erklären müssten?

• Können wir nachvollziehen, wie ein Risk Score zustande kam?
• Können wir die Ereigniskette einer Verdachtsmeldung ohne manuelle Übersetzung erklären?
• Unterscheiden unsere Systeme sauber zwischen Geschäftsereignis, Transportereignis, Statusereignis und Kontrollereignis?
• Sehen Fraud, AML, KYC und Sanctions dieselbe Ereignisquelle oder nur verschiedene Exporte?
• Ist Informationsaustausch nicht nur erlaubt, sondern auch verhältnismäßig und auditierbar dokumentiert?

Wenn die Antwort auf diese Fragen unklar ist, fehlt nicht zuerst eine AI-Plattform. Es fehlt Beobachtbarkeit.

Die offene Frage des Reports

Am Ende benennt AMLA vier Bedingungen für den Erfolg der neuen Architektur: Proportionalität im Single Rulebook, Ambition bei Aufsichtskonvergenz, Klarheit beim Datenaustausch und Investition in gemeinsame Infrastruktur und Capacity Building.

Rhetorisch ist diese Reihenfolge verständlich. Operativ würde ich sie anders lesen: Infrastruktur zuerst. Dann Klarheit über Daten. Dann Konvergenz. Dann Proportionalität, weil Proportionalität voraussetzt, dass man weiß, gegenüber welcher Realität etwas proportional sein soll.

Hier darf ein Positionspapier weiterdenken, wo eine Behörde diplomatisch innehält. Die europäische AML-Landschaft steht 2026 an demselben Punkt, an dem viele Institute im eigenen Haus stehen: mit Regeln, Tools, analytischer Ambition und gewachsenen Systemen, aber ohne durchgängig belastbare Beobachtbarkeit.