Niemandsland — Drei Anti-Pattern, die zwischen den Brillen entstehen
Warum BaFin-Sonderprüfungen immer wieder dieselben Muster finden — und wie man sie strukturell auflöst.
In der Prüfungs-, Projekt- und Branchenpraxis der vergangenen zehn Jahre wiederholen sich Muster, die unabhängig von Bankgröße, Geschäftsmodell oder Vendor-Auswahl auftreten. Sie entstehen nicht innerhalb einer Disziplin, sondern im „Niemandsland“ zwischen den Disziplinen — dort, wo keine institutionelle Funktion alle drei Perspektiven gleichzeitig trägt. Die folgenden Anti-Pattern sind keine Statistik, sondern eine verdichtete Musterbeschreibung.
Das Niemandsland: Wo Anti-Pattern entstehen
Klicken Sie auf die rot markierten Zonen, um die Anti-Pattern zu erkunden.
Die drei Anti-Pattern im Detail
Das umetikettierte Datenproblem
Compliance-Themen werden als IT-Tickets behandelt. Ein fachliches Problem — etwa die Frage, wer die Definition eines Datenfelds verantwortet — wird in ein technisches Jira-Ticket umgewandelt und verschwindet in einem Sprint-Backlog.
Die eigentliche Frage: Wer ist Data Owner für die Felddefinition?
Die anforderungsgetriebene Daten-Erfindung
Neue regulatorische Anforderung → neues Feld in der Onboarding-Maske. Aber: Was passiert, wenn ein Großteil des Bestands — im Extremfall 80 oder 90 Prozent — dieses Feld nie erhoben hat? Wie befüllt man rückwirkend? Welche nachgelagerten Systeme sind betroffen?
Das Feld existiert, aber es ist semantisch leer — es enthält keine belastbaren Daten für Bestandskunden und verfälscht damit jede darauf basierende Analyse.
Das Modell ohne Rückrechenbarkeit
Aufsichtsrechtliche Anfrage: „Erklären Sie, warum dieses Modell im Dezember 2024 Alert X generiert hat.“
Die Antwort bleibt aus, weil: Die Input-Daten nicht archiviert wurden, die Modellversion durch ein Vendor-Update ersetzt wurde, und die Schwellenwerte zwischenzeitlich geändert wurden.
Gemeinsame Wurzel
Keine institutionelle Funktion trägt alle drei Brillen gleichzeitig. Tier-1-Banken (Deutsche Bank, Commerzbank) haben Teilantworten entwickelt — ein CDO-Office hier, ein Model Governance Framework dort. Aber mittelständische Institute? Sie fallen systematisch in diese Lücken.
Die AMLA wird genau dieses Niemandsland adressieren müssen — oder sie wird dieselben Befunde wie die nationale Aufsicht produzieren, nur auf europäischer Ebene.
Implikationen für die Praxis
Die drei Anti-Pattern sind keine Einzelfälle. Sie sind strukturelle Konsequenzen einer organisatorischen Lücke. Lösungsansätze müssen deshalb auf drei Ebenen wirken:
- Governance: Data Ownership als institutionelle Rolle verankern, nicht als IT-Aufgabe delegieren.
- Prozess: Architektur-Reviews als Vorbedingung für regulatorische Umsetzungsprojekte etablieren.
- Technik: Immutable Audit Trails und Modell-Versionierung als Infrastruktur-Standard, nicht als Nachgedanke.
Was als Nächstes folgt
Der nächste Teil schließt die Serie ab. Er beschreibt eine Funktion, die in den meisten mittelgroßen deutschen Bankorganigrammen heute nicht systematisch vorgesehen ist — und die in den nächsten Jahren entstehen muss, wenn die Anforderungen der AMLR und der AMLA operativ erfüllt werden sollen: den FinCrime-Architekten.
Quellen & Verweise
- Basel Committee on Banking Supervision, „BCBS 239 — Principles for effective risk data aggregation and risk reporting“, Januar 2013.
- Watchdog, „AML Observability: A Conceptual Framework for Debuggable Compliance Systems“, April 2026.
- aiXiv, „AML Observability“ (Pre-Print, ID: aixiv.260406.000005).
- BaFin, Auslegungs- und Anwendungshinweise zum Geldwäschegesetz (AuA), jüngste Fassung.
