Compliance wird gebaut. Nicht getagged.
Du kennst das Ritual. Ein 47-seitiges Policy-PDF, abgesegnet vom Aufsichtsrat, abgelegt im SharePoint, abgehakt im Audit. Unten, in der Produktion, läuft ein Screening-Batch aus 2014, der Umlaute als Sonderzeichen interpretiert und Mohammed nicht von Muḥammad trennt. Während du diesen Absatz zu Ende liest, erzeugt er seinen dreitausendsten False Positive für heute. Jemand wird ihn klären. Meistens ohne Kaffee.
In dieser Lücke zwischen Regulierungstext und Systemrealität arbeitet watchdog.
Offen gesagt
Ich bin kein Geldwäschebeauftragter. Ich war nie einer. Ich habe mein halbes Leben in der IT verbracht: Systeme entworfen, Pipelines gebaut, Produktionen stabilisiert, Incidents um drei Uhr morgens abgearbeitet. watchdog ist mein Versuch, die Methoden moderner Engineering-Teams dorthin zu tragen, wo Compliance heute oft noch mit Dokumentenlogik statt Systemlogik arbeitet.
Was ich bin, und was ich nicht bin
Herausgeber
Die redaktionellen Texte auf dieser Seite entstehen KI-gestützt, menschlich kuratiert. Das steht hier offen, weil Transparenz in einem Feld, das Nachvollziehbarkeit zur Pflicht erhebt, kein Nice-to-have ist und weil du ohnehin merken würdest, wenn es anders wäre.
IT-Betreiber
Ich stelle Systeme zur Verfügung: Screening-Stacks, Graph-Infrastruktur, Alert-Pipelines, Sandbox-Umgebungen. Dinge, die laufen, skalieren, geloggt werden und in einem Prüfungsbericht bestehen.
Nicht der Regtext-Experte
Ich lese den regulatorischen Text und respektiere ihn. Aber den Schmerz der täglichen Anwendung kenne ich nur, wenn du ihn mir erzählst. Genau deshalb bin ich hier.
Transparenzhinweis
Alle Inhalte auf dieser Seite sind rein privater Natur. Ich schreibe hier als unabhängiger Experte und Publizist im Sinne von Art. 5 GG. Als Herausgeber arbeite ich mit KI-gestützten Redakteuren und Workflows; Auswahl, Einordnung, Kuratierung und Veröffentlichung liegen bei mir. Meine Beiträge geben ausschließlich meine persönliche Einschätzung wieder und sind keine offiziellen Stellungnahmen einer Behörde oder Institution.
Was ich übertrage. Was ich lerne.
Aus der IT
Aus der IT kommt ein ganzer Werkzeugkasten, der in der Compliance-Praxis noch kein Zuhause gefunden hat: Git-gestützte Regelpflege mit Branching und Code-Review. Reproduzierbare Backtests gegen dieselben Snapshot-Daten wie die Produktion. SLOs für Alert-Bearbeitungszeit. Feature-Flags für neue Typologien. Blue-Green-Rollouts neuer Screeningversionen. CI-Pipelines, die eine Regel nicht produktiv werden lassen, ohne dass sie gegen ein annotiertes Testset gelaufen ist.
Nichts davon ist exotisch. Es ist der Standard, den sich jede moderne Software-Organisation längst gegeben hat.
Aus der Praxis
Von dir lerne ich das, was in keinem GitHub-Issue steht: wie eine Typologie wirklich entsteht, warum eine scheinbar solide Regel an der Realität scheitert, welche False-Positive-Muster von welcher Analystin stammen, wo der Unterschied zwischen einer guten Verdachtsmeldung und einer zählenden Verdachtsmeldung liegt.
Je offener du mit deinem Pain redest, desto schärfer wird das, was ich bauen kann. Das ist keine Charmeformel. Das ist Anforderungsanalyse.
Stack, ohne Pathos
Daten & Pipelines
PostgreSQL, DuckDB, Parquet, dbt, Airflow. Polars dort, wo Pandas seit einer halben Stunde hängt.
Streaming
Kafka, wenn es sein muss. Redpanda, wenn es nicht sein muss.
Graph & Entity Resolution
Neo4j für UBO-Strukturen bis in die fünfte Ebene. splink, dedupe, eigene Blocking-Strategien.
Screening-Infrastruktur
Fuzzy-Pipelines mit Unicode-Normalisierung als Vorbedingung, Phonetik dort, wo Jaro-Winkler versagt. Anbindung an OFAC SDN, EU Consolidated List, UN 1267, BaFin-Anordnungen, PEP- und Adverse-Media-Feeds.
On-Chain-Telemetrie
TRM Labs, Chainalysis, eigene Heuristiken für Mixer, Peel-Chains und Cross-Chain-Bridges.
ML, vorsichtig
XGBoost und Isolation Forest, wo sie ehrlich helfen. Keine LLM-Märchen, wo ein sauberer JOIN reicht.
Deployment
Docker, Kubernetes, Terraform, GitHub Actions, ArgoCD.
Prinzip
Infrastruktur als Code. Regeln als Code. Tests als Code. Dokumentation als Code. Wenn etwas nicht committed ist, ist es nicht passiert. Wenn es nicht getestet ist, ist es Hoffnung. Hoffnung ist keine Control.
Warum jetzt
Weil AMLA ab 2028 keine PowerPoint lesen wird. Weil DORA operative Resilienz verlangt und nicht Resilienz-Beteuerungen. Weil die 6. Geldwäscherichtlinie Sachverhalte voraussetzt, die die meisten Häuser technisch noch nicht einmal modellieren können. Weil MiCA längst kein Zukunftsthema mehr ist und Travel-Rule-Implementierungen sichtbar zwischen funktioniert und Theater auseinanderfallen.
Und weil jeder Analyst, der einmal 800 False Positives in einer Schicht disponiert hat, irgendwann begreift, dass der Fehler nicht in seiner Aufmerksamkeit liegt, sondern in der Architektur.
Je sauberer die Daten, desto leiser die Samstagabende. Je präziser das Alerting, desto seltener die Panik am Quartalsende. Je ehrlicher die Modelle, desto länger halten sie im Audit. Das sind keine Meinungen. Das sind Kausalitäten.
Diese Seite ist für dich, wenn
…du Geldwäschebeauftragte bist
und deine Typologien nicht in Word-Anhängen, sondern in versionierten Regelwerken sehen willst. Mit Change-Log, reproduzierbarem Backtest und einem Prüfer, der aufhört, nachzufragen.
…du FinCrime Intelligence Analyst bist
und ahnst, dass dein nächster Verdacht in einem Graph liegt, nicht in Zeile 14.372 einer Excel-Mappe. Und dass die Arbeit leichter würde, wenn man sie dich nur bauen ließe.
…du RegTech-Engineer bist
und genug hast von Produkten, die AI-powered auf dem Datasheet stehen haben und Levenshtein darunter. Du merkst beim Lesen, ob jemand das Feld kennt und ob er zugibt, wo er noch lernt. Hier merkst du es vermutlich schon.
Wie ich arbeite
Kurz, schriftlich, nachvollziehbar. Git-Historie statt Status-Call. Systeme, die in Produktion laufen, statt Deliverables, die in Teams-Kanälen verstauben. Und eine offene Tür für Feedback aus der Praxis, weil ich ohne dich nicht verstehe, wo ich falsch abgebogen bin.
Ein Terminal. Ein Ticket. Eine verschlüsselte Mail.
Erzähl mir, woran es in deiner Alert-Queue klemmt.
Den Rest bauen wir. Nicht als PowerPoint-Ersatz, sondern als System. Nicht als Buzzword-Schicht, sondern als belastbare Infrastruktur zwischen Regulierung, Daten und täglicher Praxis.
watchdog.endvater.de
Herausgeber: Jürgen Schiller García.
Redaktion: KI-gestützt, menschlich kuratiert.
IT: seit dem letzten Jahrtausend.