Leitstück 10 · UBO · FinCrime-Architektur 2026

Komplexe Ownership-Strukturen und die UBO-Verifikationslücke

„Wer kontrolliert dieses Unternehmen?“ klingt einfach und ist die schwerste Frage der Compliance. UBO-Ermittlung wird zur Graph-Traversierung — mit CorporateStructure, ComplexStructureDetected und einer Verification State Machine.

Die Lieblingsverteidigung des Geldwäschers ist nicht die anonyme Briefkastenfirma — die fällt heute auf. Es ist die geschichtete Struktur: Beteiligungen so über Ketten und Jurisdiktionen verteilt, dass an keiner einzelnen Stelle jemand die meldepflichtige Schwelle erreicht. Auf jeder Ebene sieht alles harmlos aus; erst die Gesamtrechnung über alle Pfade enthüllt, wer wirklich kontrolliert. Genau hier setzt der EU-Rahmen an — und genau hier bleibt eine Lücke, die kein Register allein schließt.

Die AML-Verordnung (AMLR, Verordnung (EU) 2024/1624) verschärft die Definition des wirtschaftlich Berechtigten an zwei entscheidenden Punkten. Erstens zählt nun bereits ein Anteil von 25 % oder mehr — exakt 25 % genügen. Zweitens wird indirekte Beteiligung durch Multiplikation entlang der Kette berechnet und über mehrere Ketten summiert: Wer 15 % über den einen und 15 % über den anderen Weg hält, ist mit 30 % wirtschaftlich Berechtigter (Art. 52). Das ist keine juristische Feinheit. Es ist eine Rechenvorschrift auf einem Graphen — und damit endlich präzise genug, um sie zu implementieren.

Warum das ein Graph-Problem ist

Eine Eigentümerstruktur ist ein gerichteter, gewichteter Graph: Knoten sind natürliche und juristische Personen, Kanten sind Beteiligungen mit einem Prozentgewicht. Die Frage „Hält Person X mindestens 25 % an Firma Z?“ ist dann exakt definiert: Man bildet über jeden Pfad von X nach Z das Produkt der Kantengewichte und summiert diese Produkte über alle Pfade. Übersteigt die Summe 25 %, ist X wirtschaftlich Berechtigter. Was die AMLR in Worten beschreibt, ist eine Standard-Graph-Traversierung — und genau deshalb ist Handarbeit hier so fehleranfällig: Menschen übersehen den zweiten Pfad, verrechnen sich bei der Multiplikation oder geben bei vier Ebenen entnervt auf. Die Struktur ist darauf ausgelegt, das menschliche Auge zu ermüden.

Python · UBO-Berechnung als Pfad-Traversierung (AMLR Art. 52)from collections import defaultdict

UBO_THRESHOLD = 0.25            # 25% oder mehr (AMLR)

# Kanten: owner -> {company: anteil}; jede Kante ist ein Claim (Leitstück 06)
class CorporateStructure:
    def __init__(self):
        self.edges = defaultdict(dict)   # owner -> {target: weight}

    def add(self, owner, target, weight):
        self.edges[owner][target] = weight

    def effective_ownership(self, person, company, _depth=0) -> float:
        # Summe über alle Pfade des Produkts der Kantengewichte
        if _depth > 20:                  # Zyklen-/Tiefenschutz
            return 0.0
        total = 0.0
        for target, w in self.edges.get(person, {}).items():
            if target == company:
                total += w                            # direkter Anteil
            else:
                total += w * self.effective_ownership(target, company, _depth+1)
        return total

    def is_ubo(self, person, company) -> bool:
        return self.effective_ownership(person, company) >= UBO_THRESHOLD

    def complexity(self, company) -> dict:
        # ComplexStructureDetected: Tiefe/Verzweigung als EDD-Trigger
        depth, layers = self._max_depth(company), len(self.edges)
        flag = depth >= 4 or layers >= 12
        return {"max_depth": depth, "complex": flag}

Der entscheidende Punkt ist nicht die Eleganz der Rekursion, sondern dass die Schwelle (25 %) und die Komplexitätsgrenzen benannte Parameter sind — versionierbar, wenn die RTS sie schärfen, genau wie die Schwellen aus Leitstück 05. Und: Jede Kante in dieser Struktur ist ein Claim mit Provenienz aus Leitstück 06. Die Rechnung ist nur so belastbar wie ihre schwächste Kante.

Die eigentliche Lücke: kennen ist nicht verifizieren

Hier liegt der Kern dieses letzten Leitstücks. Die AMLR und die Transparenzregister sagen dir, welche Struktur behauptet wird. Sie sagen dir nicht, ob die behauptete auch die echte ist. Register sind oft veraltet, lückenhaft oder bewusst manipuliert; Nominee-Arrangements, Treuhänder und Strohleute verschieben die formale Beteiligung weg vom tatsächlich Kontrollierenden. Die Berechnung auf dem Graphen liefert einen Kandidaten für den UBO — die Verifikation, dass dieser Kandidat der wahre Berechtigte ist, ist eine eigene, härtere Aufgabe. Genau diese Differenz ist die UBO-Verifikationslücke.

Die Berechnung sagt, wer laut Struktur kontrolliert. Die Verifikation sagt, ob die Struktur die Wahrheit erzählt. Zwischen beidem versteckt sich der Geldwäscher.

Verifikation als Zustandsmaschine

Weil Verifikation ein Prozess mit Stufen ist, gehört sie — wie die Geschäftsbeziehung in Leitstück 05 — in eine Zustandsmaschine. Ein UBO-Kandidat durchläuft Zustände: IDENTIFIZIERT (aus der Strukturrechnung), BELEGE_ERHOBEN (Identitätsnachweise nach Art. 22), VERIFIZIERT (unabhängig bestätigt) — oder die Abzweige NICHT_VERIFIZIERBAR und KOMPLEXE_STRUKTUR. Jeder Übergang trägt seinen Grund und sein Ereignis; jeder mündet, wo nötig, in verschärfte Sorgfaltspflichten (Enhanced Due Diligence).

Das ComplexStructureDetected-Signal ist dabei mehr als ein technischer Schwellenwert. Es ist ein Eingeständnis: Manche Strukturen sind so tief oder verzweigt, dass die automatische Rechnung allein nicht genügt. Statt eine scheinbar saubere Antwort vorzutäuschen, eskaliert die Architektur ehrlich — sie markiert den Fall als komplex und übergibt ihn der verschärften, menschlich geführten Prüfung. Das ist das Gegenteil des Onboarding-Häkchens: kein „UBO = Person Y, fertig“, sondern „Kandidat Y mit 30 % über zwei Ketten, Struktur tief, eine Kette nur selbstauskunftsbelegt — bitte verifizieren“.

Ein durchgespielter Fall

Ein neuer Firmenkunde, Z, wird angelegt. Die deklarierte Struktur sieht harmlos aus: zwei Holdings halten Z, niemand erscheint mit mehr als 24 %. Die Graph-Rechnung läuft trotzdem über alle Pfade — und findet, was die Einzelbetrachtung verbarg: Person X hält 60 % an Holding A (die 25 % an Z hält) und 50 % an Holding B (die 30 % an Z hält). 0,60 × 0,25 + 0,50 × 0,30 ergibt 30 %. X ist UBO, obwohl auf keiner Ebene die Schwelle fällt. is_ubo(X, Z) gibt True zurück — der erste Befund, den kein müdes menschliches Auge zuverlässig produziert hätte.

Doch der Befund ist erst ein Kandidat. Die Verifikations-Zustandsmaschine schaltet X auf IDENTIFIZIERT und beginnt die Belegerhebung. Die Kette über Holding A ist registergedeckt — solide. Die Kette über Holding B beruht auf einer Selbstauskunft, und die Beteiligung an B führt über eine Treuhandkonstruktion in einer weiteren Jurisdiktion. Hier greift ComplexStructureDetected: Tiefe und ausländische Treuhand überschreiten die Komplexitätsgrenze. Statt X stillschweigend als verifizierten UBO abzuhaken, zweigt der Fall in KOMPLEXE_STRUKTUR → EDD ab.

Was am Ende in der Akte steht, ist kein glattes „UBO: X“, sondern ein ehrlicher, belegter Zwischenstand: „Kandidat X mit 30 % über zwei Ketten; Kette A registergedeckt, Kette B selbstauskunftsbasiert über eine ausländische Treuhand; Struktur als komplex markiert; verschärfte Sorgfalt eingeleitet.“ Genau so sieht die Schließung der Verifikationslücke aus — nicht als Behauptung von Gewissheit, sondern als nachvollziehbarer Weg zu ihr.

Wo das ganze Dossier zusammenläuft

Die UBO-Frage ist nicht zufällig der Abschluss dieser Reihe — in ihr konvergiert alles. Sie verlangt eine gemeinsame Sprache, denn „wirtschaftlich Berechtigter“ muss überall dasselbe heißen (Leitstück 01). Sie braucht ein Aggregate, das den Befund mit seinen Belegen zusammenhält (02). Sie ist eine Zustandsmaschine mit Schwellen, wie die Geschäftsbeziehung (05). Sie ist eine Graph-Traversierung über Kanten, die nur mit Provenienz beweisen (06). Sie stößt an Jurisdiktionsgrenzen, wo föderierte Abfrage hilft (07). Und ihre automatische Ermittlung muss, wenn Agenten sie übernehmen, durch die Audit Pipeline (09), bevor ein Mensch sie verantwortet.

Damit schließt sich der Bogen, den der Dossier-Titel spannt. Eine UBO-Ermittlung beginnt als Signal — ein Name, eine Beteiligung, ein Treffer. Sie wird zur Beziehung im Graphen, zur Hypothese „X kontrolliert Z“, zur Evidenz durch Belege und Verifikation, und endet in einer verantworteten Entscheidung. Von Alerts zur Evidenz — nicht als Slogan, sondern als durchgezogene Architektur. Die zehn Leitstücke beschreiben kein Werkzeug und keinen Trend, sondern ein Betriebsmodell, in dem aus Signalen belastbare Befunde werden, weil jede Stufe ihre Herkunft, ihre Prüfung und ihren Verantwortlichen mitträgt.

Kernsätze

Damit ist der Bogen vollständig. Zehn Leitstücke, von der gemeinsamen Sprache des Verdachts bis zur verifizierten Kontrolle — eine Architektur der Beweisführung für eine Compliance, die nicht mehr am Rand verwaltet, sondern im Zentrum entscheidet.

Markiert: Beneficial Ownership · UBO · AMLR · Graph · RegTech Architecture · Architektur