Drei Brillen,
ein Sehfeld.

Was die AMLA von deutschen Banken verlangt, kann keine einzelne Disziplin liefern. Eine Serie über Lesbarkeit, Governance und Intelligenz im FinCrime-Risikomanagement.

Am 8. Mai 2026 endete in Frankfurt eine Konsultation. Sie endete leise. Im Kalender vieler Compliance-Stäbe stand sie nicht oben. In der Mehrzahl der eingereichten Stellungnahmen erschien sie als juristisches Routinegeschäft. Beides war ein Irrtum.

Die Anti-Money Laundering Authority — seit Juli 2025 operativ, seit Januar 2026 mit dem AML/CFT-Mandat der EBA ausgestattet, residierend im Messeturm an der Friedrich-Ebert-Anlage — hatte zwei Entwürfe technischer Regulierungsstandards zur Stellungnahme gestellt. Der erste regelt die Abgrenzung von Geschäftsbeziehung und gelegentlicher Transaktion nach Art. 19(9) AMLR. Der zweite präzisiert die Sorgfaltspflichten gegenüber Kunden nach Art. 28(1) AMLR. Beide waren begleitet von einem öffentlichen Hearing am 24. März in Frankfurt.

Die Reaktionen, die in den Wochen danach einliefen, lasen sich auf den ersten Blick wie regulatorische Routine. Verbände mahnten Verhältnismäßigkeit an. Wirtschaftsprüfungsgesellschaften lobten die wachsende legal clarity. Anwaltskammern beklagten den Aufwand für den Nichtfinanzsektor. Der gewohnte Reflex zu einem Vorgang, der schon bald als Fußnote erscheinen wird.

Unter der Oberfläche aber. Unter der Oberfläche bewegt sich anderes. Es ist eine systematische Verschiebung dessen, was deutsche Banken in den kommenden Jahren nachweisen müssen — nicht dass sie ein Geldwäschepräventionsprogramm haben, sondern wie sie zu welcher Bewertung gekommen sind. Die RTS-Entwürfe verlangen Informationen auf Feldebene, präzisierte Dokumentationspflichten, Remote-Identifizierungsnachweise, Quellenattribute. Die finalen Standards gehen bis zum 10. Juli 2026 an die Europäische Kommission — auf den Tag genau ein Jahr vor dem Geltungsbeginn der Verordnung. Ab dem 10. Juli 2027 wird die AMLR unmittelbar in jedem Mitgliedstaat geltendes Recht. Ab Anfang 2027 wählt die AMLA die ungefähr vierzig grenzüberschreitend tätigen Häuser aus, die ab 2028 unter ihrer direkten Aufsicht stehen werden.

Drei Jahre. Das ist die Zeit. Drei Jahre, in denen sich entscheidet, ob eine deutsche Bank im Sommer 2027 nicht nur funktioniert — sondern prüfbar ist. Diese Serie · Teil 1

Was die meisten Antwortenden übersehen haben

Wer die einschlägigen Stellungnahmen zur Konsultation liest, findet darin überwiegend juristische und prozessuale Auseinandersetzung. Begriffsdefinitionen, Schwellenwerte, Verhältnismäßigkeit. Was sich kaum findet, ist eine ehrliche Antwort auf die operative Frage: Welche Datenarchitektur, welches Rollenmodell und welche Modell-Governance sind erforderlich, damit eine deutsche Bank im Jahr 2028 einer Aufsichtsanfrage der AMLA standhält, die nicht lautet „Existiert ein Verfahren?“, sondern „Zeigen Sie mir den Datenfluss, der zu diesem Alert geführt hat — Feld für Feld, Verantwortlicher für Verantwortlicher, Modellversion für Modellversion.“

Diese Zahlen sind nicht das eigentliche Problem. Das Problem ist, dass kaum eines dieser Institute heute beziffern kann, welche Datenfelder zur Bildung dieser Bestände beitragen, wer für sie verantwortlich ist, und welche Transformationen sie auf dem Weg in das Monitoring-System durchlaufen.

Drei Lager, drei Sprachen

Die Antwort auf die Frage „Wie kam dieses Alert zustande?“ hat in deutschen Banken heute drei mögliche Quellen — und sie sprechen nicht miteinander.

Das erste Lager ist die Datenwelt: Datenarchitektur, Data Engineering, der wachsende Bereich Data Governance mit seinen Data Owners und Data-Lineage-Werkzeugen. Diese Brille sieht Datenflüsse, Feldebene, Quellsysteme, Transformationen. Sie sieht aber selten, warum ein bestimmtes Feld regulatorisch relevant ist. Sie kann zeigen, dass der UBO-Anteil aus dem Transparenzregister kommt — sie kann nicht beurteilen, ob dieser UBO eigentlich nach Art. 22 AMLR aufzufassen wäre.

Das zweite Lager ist die Compliance-Welt: Geldwäschebeauftragte, Fincrime-Spezialisten, Sanktionslistenmanager, AML-Officer. Diese Brille sieht regulatorische Anforderungen, FATF-Empfehlungen, Wolfsberg-Standards, BaFin-Auslegungen. Sie sieht aber oft nicht, dass die korrekte Umsetzung dieser Anforderungen ohne Data-Lineage-Architektur nicht möglich ist. Sie schreibt Arbeitsanweisungen, die in der Datenwelt nicht abbildbar sind, und akzeptiert Berichte, deren Entstehung sie selbst nicht prüfen könnte.

Das dritte Lager ist die KI-Welt: Modellentwickler, Data Scientists, zunehmend auch Vendor-Architekten von Transaktionsmonitoring-Systemen mit maschinellem Lernen. Diese Brille sieht Modellgüte, False-Positive-Raten, Drift, Feature Engineering. Sie sieht aber selten, dass ein AML-Transaktionsmonitoring-Modell — je nach Anwendungslage und nachgelagerter Verwendung — unter den EU AI Act fallen und damit als Hochrisiko-System einzustufen sein kann, mit den entsprechenden Pflichten zu Risikomanagement, Dokumentation und menschlicher Aufsicht.

Diese drei Lager existieren in jeder deutschen Bank. In den meisten existieren sie nebeneinander, mit getrennten Vorgesetzten, getrennten Budgets, getrennten Vokabularen. Die einzige Stelle, an der sie sich treffen, ist die Verdachtsmeldung — also das Endprodukt. Damit ist die Verdachtsmeldung gleichzeitig der Punkt, an dem Inkohärenzen erstmals sichtbar werden, und der Punkt, an dem für strukturelle Korrekturen kein Spielraum mehr besteht.

Die These dieser Serie

Die AMLA wird in den kommenden Jahren etwas einfordern, was bisher in keiner deutschen Bank organisatorisch besteht: eine integrierte Sicht aus den drei Disziplinen. Diese Sicht entsteht nicht durch das Erlernen einer einzelnen Disziplin. Sie entsteht durch das gleichzeitige Aufsetzen von drei Brillen — und durch das Bewusstsein dafür, was jede einzelne nicht sieht.

Watchdog widmet dieser Frage in den kommenden zwölf Monaten eine sechsteilige Serie.

Teil 2 richtet die Datenbrille auf die AMLR. Was bedeuten die neuen RTS-Anforderungen auf Feldebene konkret für die Datenarchitektur einer mittelgroßen deutschen Bank? Warum ist Data Lineage nicht ein Tool-Thema, sondern eine Architektur-Anforderung? Und welche Rolle wird der FinCrime Data Steward in den kommenden Jahren spielen — eine Rolle, die heute in deutschen Stellenanzeigen kaum auftaucht und in fünf Jahren der Engpass des Marktes sein wird.

Teil 3 wechselt zur Compliance-Brille. Was unterscheidet das risikobasierte Modell der AMLR vom bisherigen deutschen Geldwäschegesetz? Wo sind die fachlichen Stolperstellen — etwa beim Korrespondenzbankgeschäft nach Art. 36 AMLR, das viele deutsche Häuser betreiben, ohne den vollen EDD-Aufwand realisiert zu haben? Und welche internationalen Vergleichsmaßstäbe — FATF, Wolfsberg, OFAC — sind für die fachliche Standortbestimmung unverzichtbar?

Teil 4 setzt die KI-Brille auf. Wann fällt ein AML-Modell unter den EU AI Act, und welche Konsequenzen ergeben sich aus der Hochrisiko-Klassifikation? Wie verhält sich der AI Act zur ISO 42001 als implementierender Norm? Und warum ist Modellgüte allein keine ausreichende Compliance-Kennzahl?

Teil 5 erkundet das Niemandsland zwischen den Brillen. Drei klassische Anti-Pattern werden in Banken regelmäßig sichtbar: Datenqualitäts-Probleme, die als IT-Issue fehl-etikettiert werden, statt als Verantwortung des Fachbereichs aufgesetzt zu werden. Compliance-Anforderungen, die ohne korrespondierendes Datenmodell formuliert werden. KI-Modelle, deren Entstehung keiner mehr nachvollziehen kann.

Teil 6 unternimmt schließlich die Synthese. Wie sieht die organisatorische und technische Architektur einer Bank aus, die alle drei Brillen integriert hat? Welche Rolle hat dabei der FinCrime-Architekt — eine Funktion, die in deutschen Bankorganigrammen bisher nicht vorgesehen ist und die in den kommenden Jahren entstehen muss?

Die Reihenfolge ist nicht zufällig

Sie folgt einer einfachen redaktionellen Linie, die in dieser Publikation seit ihrer Gründung als Lese-Anleitung dient: Erst Lesbarkeit, dann Governance, dann Intelligenz. Eine Bank, die ihre Daten nicht lesen kann, hat keine Grundlage für Compliance. Eine Bank, die ihre Compliance-Logik nicht governiert, hat keine Grundlage für KI. Eine Bank, die Lesbarkeit und Governance gelöst hat, kann anschließend KI sinnvoll und prüfbar einsetzen.

Diese Reihenfolge ist nicht ideologisch. Sie ist eine empirische Beobachtung aus der Begleitung zahlreicher AML-Modernisierungsprojekte: Die Reihenfolge umzukehren — also mit einem KI-Vendor zu beginnen, ohne Lesbarkeit und Governance gelöst zu haben — produziert mit beeindruckender Zuverlässigkeit Compliance-Theater. Mit Aufsichtsbehörden, die in den kommenden drei Jahren ihre Aufsichtspraxis von der Existenz auf die Wirksamkeit umstellen, ist Compliance-Theater nicht mehr finanzierbar.