Die Compliance-Brille
Wenn Anforderungen ohne Datenmodell formuliert werden
In deutschen Banken existieren Arbeitsanweisungen zur Geldwäscheprävention im Umfang von 150 bis 400 Seiten. Diese Dokumente sind juristisch korrekt, regulatorisch vollständig, von der Rechtsabteilung geprüft und von der Geschäftsleitung freigegeben. Und doch scheitern sie regelmäßig an einer einzigen Frage: Welche Datenfelder in welchem System enthalten die Information, die zur Umsetzung dieser Regel benötigt wird?
Die AMLR (Verordnung 2024/1624) stellt das ambitionierteste Harmonisierungsprojekt dar, das die EU im Bereich der Geldwäschebekämpfung je unternommen hat. Erstmals werden materiell-rechtliche Pflichten nicht mehr in Richtlinien, sondern in einer direkt anwendbaren Verordnung kodifiziert. Das bedeutet: Ab Juli 2027 gelten identische Pflichten in allen 27 Mitgliedstaaten — ohne nationalen Umsetzungsspielraum.
Drei klassische Bruchstellen
Die Praxis zeigt immer wieder dieselben strukturellen Frakturen. Sie entstehen dort, wo regulatorische Anforderungen auf gewachsene Systemlandschaften treffen — und wo niemand die Übersetzung zwischen juristischer Sprache und Datenarchitektur leistet.
Korrespondenzbank-Lücke (Art. 36 AMLR)
Artikel 36 AMLR verlangt eine umfassende Bewertung des Respondenten — einschließlich Governance-Struktur, AML-Kontrollen, Sanktionshistorie und Geschäftsmodell. Die benötigten Informationen verteilen sich jedoch über mindestens vier Systeme: Stammdaten, Trade-Finance-Plattform, Screening-System und manuelle Bewertungsbögen. Ein automatisierter Abgleich existiert in den wenigsten Häusern.
Die Information existiert — aber sie fließt nicht. Art. 36 setzt einen integrierten Datenzugang voraus, der architektonisch nicht vorgesehen war.
PEP-Definition-Lücke
Die AMLR erweitert die Definition politisch exponierter Personen erheblich: Bürgermeister von Städten ab 50.000 Einwohnern, Botschafter, Parteiführer, hochrangige Militärs. Die Screening-Anbieter decken diese erweiterten Kategorien nur teilweise ab. Die Lücke zwischen regulatorischer Definition und Vendor-Listendaten wird zur operativen Grauzone.
UBO-Verifikations-Lücke
Das Transparenzregister dient der Identifikation wirtschaftlich Berechtigter — nicht deren Verifikation. Die AMLR verlangt jedoch eine eigenständige Überprüfung. Das Register ist ein Startpunkt, kein Endpunkt. Viele Institute verwechseln Registereintrag mit verifizierter Information — ein systemischer Fehler, der sich durch automatisierte Registerabfragen sogar verstärkt.
Visualisierung: Die drei Bruchstellen als Systemdiagramm
Three Fracture Points — Datenfluss-Netzwerk
Die „stille Mehrheit“ der Konsultation
Die öffentlichen Konsultationsantworten zur AMLA-Errichtung und den technischen Regulierungsstandards waren überwiegend juristischer Natur. Datenarchitektonische Perspektiven — wie Informationen tatsächlich zwischen Systemen fließen, welche Felder existieren, welche Formate inkompatibel sind — fanden kaum Eingang in die offiziellen Stellungnahmen.
Die Konsultation fragte nach rechtlichen Einschätzungen. Die eigentliche Herausforderung ist jedoch infrastrukturell: Nicht ob eine Pflicht besteht, sondern ob die Datenarchitektur ihre Erfüllung überhaupt ermöglicht. — Beobachtung aus der Konsultationsanalyse
Empirische Einordnung
Was dies für die AMLA bedeutet
Die AMLA baut seit 2025 ihre operative Struktur in Frankfurt auf. Die Auswahl der bis zu 40 direkt beaufsichtigten Institute und Gruppen erfolgt 2027; die direkte Aufsicht beginnt 2028. Sie wird dabei unweigerlich auf dieselbe Kluft stoßen: Anforderungen, die ein kohärentes Datenmodell voraussetzen, treffen auf fragmentierte Systemlandschaften mit gewachsenen Brüchen.
Die Compliance-Brille zeigt uns, dass regulatorische Korrektheit nicht identisch ist mit operativer Umsetzbarkeit. Solange Arbeitsanweisungen in natürlicher Sprache formuliert werden, ohne explizit auf Datenfelder, Systemgrenzen und Schnittstellenformate Bezug zu nehmen, bleibt die Implementierungslücke strukturell unvermeidbar.
Was als Nächstes folgt
Die Compliance-Brille zeigt das Was: fachliche Anforderungen, Standards, Aufsichtspraxis. Sie sieht seltener das Wie: die operative Verankerung in Datenmodellen, Workflows und Verantwortlichkeiten. Im nächsten Teil kommt deshalb die KI-Brille hinzu. Sie betrachtet die maschinellen Modelle, die heute in Screening- und Monitoring-Systemen laufen — und zeigt, warum Modellgüte ohne Daten- und Compliance-Fundament keine belastbare Compliance-Kennzahl ist.
