KYC, AML und die Kosten von Schwarzgeld

KYC, AML und die Kosten von Schwarzgeld

Im Dezember 2012 erklärte sich HSBC bereit, den US-Behörden rund 1,9 Milliarden Dollar zu zahlen, um Vorwürfe beizulegen, die Bank habe mexikanische Drogenkartelle Hunderte Millionen Dollar über ihre Konten waschen lassen. Die Ermittler stellten fest, dass die mexikanische Einheit der Bank so viel Bargeld über die US-Grenze bewegt hatte, dass die Händler speziell angefertigte Kisten verwendeten, die genau durch die Kassenfenster von HSBC passten. Kein Manager ging ins Gefängnis. Die Bank zahlte, versprach, ihre Kontrollen zu verbessern, und machte weiter.

Dieser Fall und der darauf folgende Skandal bei der Danske Bank prägten die moderne Ära der Durchsetzung von Geldwäschevorschriften. Diese Lektion erklärt, was die Regeln konkret verlangen, wenn eine Bank einen Kunden aufnimmt, warum Banken die Aufsichtsbehörden mit Meldungen überschütten und wie diese beiden Fälle zu Lehrbuchbeispielen wurden.

Das Kernproblem: Banken sind die Gatekeeper

Geldwäsche ist der Vorgang, Geld aus Kriminalität (Drogen, Betrug, Korruption, Menschenhandel) so aussehen zu lassen, als kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →äme es aus legitimen Quellen. Sie läuft meist in drei Phasen ab: Placement (Bargeld ins Finanzsystem bringen), Layering (es über viele Transaktionen bewegen, um die Spur zu verwischen) und Integration (es ausgeben, als wäre es sauber).

Regierungen kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen nicht jede Transaktion prüfen. Also schieben sie die Aufgabe den Banken zu. Das ist die Grundlage von AML (Anti Money Laundering): das Regelwerk, das Finanzinstitute verpflichtet, verdächtige Aktivitäten zu erkennen und zu melden.

Die Bank wird gesetzlich als Hilfsorgan eingesetzt. Wenn sie versagt, zahlt die Bank.

KYC: wissen, mit wem man es zu tun hat

KYC (Know Your Customer) ist die erste Verteidigungslinie. Bevor eine Bank ein Konto ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen →öffnet, muss sie prüfen, wer der Kunde wirklich ist.

In den USA ist das rechtliche Rückgrat der Bank Secrecy Act (BSA) von 1970, massiv verstärkt durch den USA PATRIOT Act von 2001 nach den Anschlägen vom 11. September. Der PATRIOT Act führte die Regel zum Customer Identification Program (CIP) ein, die Banken verpflichtet, folgende Angaben zu erheben und zu verifizieren:

• Name
• Geburtsdatum
• Adresse
• Eine Identifikationsnummer (Social Security Number, Pass oder Steuernummer des Unternehmens)

In der EU läuft das entsprechende Rahmenwerk über eine Reihe von Geldwäscherichtlinien (aktuell die 6., also 6AMLD) und ab 2024 über eine neue einheitliche EU-Geldwäscheverordnung plus eine zentrale Behörde, AMLA (die Anti Money Laundering Authority) mit Sitz in Frankfurt, die im Laufe von 2026 die direkte Aufsicht über Hochrisikoinstitute aufnimmt.

Mehr als der Ausweis: risikobasierte Due Diligence

KYC ist keine Einheitslösung. Banken wenden Customer Due Diligence (CDD) im Verhältnis zum Risiko an.

• Ein Angestellter, der ein Girokonto ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen →öffnet: Standard-CDD.
• Eine Politically Exposed Person (PEP), also ein hoher Regierungsvertreter oder eine ihm nahestehende Person mit höherem Korruptionsrisiko: Enhanced Due Diligence (EDD), mit Prüfung der Vermögensherkunft und Freigabe durch das Senior Management.
• Eine offshore registrierte Briefkastenfirma ohne erkennbares Geschäft: EDD oder Ablehnung.

Eine zentrale Anforderung ist die Identifizierung des Ultimate Beneficial Owner (UBO): des realen Menschen, der ein Unternehmen letztlich besitzt oder kontrolliert, auch wenn ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → hinter mehreren Holdingebenen verborgen ist. In den USA verpflichtet der Corporate Transparency Act inzwischen viele Unternehmen, ihre wirtschaftlich Berechtigten an FinCEN zu melden (das Financial Crimes Enforcement Network, die Behörde des US-Finanzministeriums, die AML verantwortet).

Für einen verständlichen Überblick über das US-Rahmenwerk ist die Website von FinCEN die mamaEinsatz von Software, um wiederkehrende Marketingaufgaben und Kampagnen zu automatisieren und Personalisierung in großem Maßstab über Kanäle wie E-Mail, Web und Social zu ermöglichen.Vollständige Definition ansehen →ßgebliche kostenlose Quelle: fincen.gov.

Laufende Überwachung und der SAR

KYC beim Onboarding ist nur der Anfang. Banken müssen Kunden über die gesamte Dauer der Geschäftsbeziehung überwachen.

Automatisierte Transaktionsüberwachungssysteme markieren Auffälligkeiten: ein Rentner, der plötzlich Überweisungen von 50.000 Dollar aus drei Ländern erhält, oder ein Konto, das so gesteuert wird, dass es knapp unter den Meldeschwellen bleibt (genannt Structuring oder „Smurfing").

Wenn etwas nicht stimmt, reicht die Bank einen SAR (Suspicious Activity Report) bei FinCEN ein. In der EU ist das Äquivalent ein STR (Suspicious Transaction Report) an eine nationale FIU (Financial Intelligence Unit).

Wichtige Fakten zu SARs:

• Sie müssen innerhalb einer festgelegten Frist eingereicht werden (in den USA 30 Tage nach Feststellung der verdächtigen Aktivität).
• Den Kunden darüber zu informieren, dass ein SAR eingereicht wurde (Tipping off), ist selbst eine Straftat.
• Banken reichen außerdem automatisch CTRs (Currency Transaction Reports) für Bartransaktionen über 10.000 Dollar ein. Ein CTRCTRDie Click-Through Rate (CTR) ist der Prozentsatz der Personen, die einen Link, eine Anzeige oder einen Call to Action anklicken, bezogen auf alle, die ihn gesehen haben.Vollständige Definition ansehen → ist Routine und keine Anschuldigung; ein SAR signalisiert Verdacht.

US-Institute reichen Millionen SARs pro Jahr ein (FinCEN meldete in den letzten Jahren laut eigenen öffentlichen Statistiken deutlich über 3 Millionen SAR-Meldungen jährlich). Das Volumen ist enorm, was ein eigenes Problem schafft: zu viele Meldungen geringer Qualität kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen die wirklich wichtigen begraben.

Fallstudie 1: HSBC

Das Versagen von HSBC war keine einzelne übersehene Transaktion. Es war systemisch.

• Die mexikanische Tochter klassifizierte Mexiko trotz offensichtlicher Kartellexposition als Niedrigrisikoland.
• Sie verrechnete US-Dollar-Transaktionen für Banken in sanktionierten Ländern, indem sie identifizierende Angaben aus den Überweisungsnachrichten entfernte, damit die Filter nicht anschlugen.
• Ihre Überwachungssysteme waren im Verhältnis zum Risiko unterfinanziert und personell unterbesetzt.

Der Vergleich von 2012 (rund 1,9 Milliarden Dollar) kam mit einem Deferred Prosecution Agreement (DPA): Strafanzeige erhoben, aber ausgesetzt, sofern die Bank Reformen umsetzt und einen unabhängigen Monitor akzeptiert. Das DPA wurde zum Standardinstrument der Durchsetzung bei Großbanken, von manchen kritisiert, weil Institute sich damit freikaufen kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen.

Fallstudie 2: danske bank

Der Fall Danske Bank ist der größte bekannte Geldwäscheskandal der europäischen Geschichte.

Zwischen etwa 2007 und 2015 verarbeitete die kleine estnische Filiale der Danske Bank schätzungsweise 200 Milliarden Euro an verdächtigen Transaktionen, vieles davon aus Russland und ehemaligen Sowjetstaaten, geleitet über Konten nicht ansässiger Kunden.

Das Versagen war strukturell:

• Die estnische Filiale lief auf einer separaten IT-Plattform, sodass die Überwachung der Zentrale sie nicht erfasste.
• Warnungen von Whistleblowern wurden jahrelang ignoriert.
• Correspondent Banking (Danske nutzte größere Banken zur Verrechnung von Dollar-Transaktionen) verbreitete die Kontamination.

2022 bekannte sich Danske Bank in den USA schuldig und akzeptierte Einziehungen und Strafen von insgesamt rund 2 Milliarden Dollar, abgestimmt zwischen US-amerikanischen und dänischen Behörden. Der CEO war bereits 2018 zurückgetreten.

Die Lehre, die Banken daraus zogen: eine „kleine" Auslandsfiliale kann eine existenzbedrohende Strafe auslösen. Konzernweite, konsistente Kontrollen sind nicht optional.

Warum das Banken so viel kostet

AML ist einer der größten Compliance-Posten im Bankgeschäft. Die weltweiten Ausgaben für Financial Crime Compliance liegen bei mehreren zehn Milliarden Dollar pro Jahr (Branchenumfragen schätzen diese Größenordnung durchgängig, wobei die genauen Zahlen je nach Methodik variieren).

Die Kosten fallen in drei Kategorien:

1. Personal: große Teams von Analysten, die Alerts untersuchen und SARs einreichen.

2. Technologie: Transaktionsüberwachung, Sanktionsscreening und zunehmend Machine Learning, um False Positives zu reduzieren.

3. Strafen und Nachbesserung: wenn Kontrollen versagen.

Hier gibt es ein echtes Spannungsfeld. Zu viele Flags kosten Geld und verärgern legitime Kunden (ein Phänomen namens De-Risking, bei dem Banken ganze Kontokategorien einfach schließen, etwa Geldtransferfirmen, die Migrantengemeinschaften bedienen, weil sich das Risiko nicht lohnt). Zu wenige Flags laden die nächste Milliardenstrafe ein.

Sanktionen: die angrenzende Pflicht

AML liegt direkt neben dem Sanktionsscreening, und beides wird oft verwechselt. Sanktionen sind staatliche Verbote, Geschäfte mit bestimmten Personen, Einrichtungen oder Ländern zu machen.

In den USA werden Sanktionen von OFAC (Office of Foreign Assets Control) durchgesetzt, einer Einheit des Finanzministeriums. Banken müssen jeden Kunden und jede Transaktion gegen die SDN-Liste (Specially Designated Nationals) prüfen. Eine Zahlung für eine sanktionierte Partei zu verarbeiten, ist ein Verstoß mit strict liability: Vorsatz spielt keine Rolle, und die Strafen sind hart. Seit 2022 haben Russland-bezogene Sanktionen den Screening-Aufwand bei US- und EU-Banken drastisch erhöht.

Wichtigste Erkenntnisse

• KYC ist eine gesetzliche Hürde, keine Formalität. Nach dem US Bank Secrecy Act und dem PATRIOT Act (sowie den EU-Geldwäscherichtlinien und dem neuen AMLA-Regime) müssen Banken die Identität prüfen, den Ultimate Beneficial Owner identifizieren und bei Kunden mit höherem Risiko wie PEPs Enhanced Due Diligence anwenden.

• Der SAR ist die zentrale Meldewaffe. Banken müssen Suspicious Activity Reports zeitnah einreichen, dürfen den Kunden nicht informieren und reichen automatische Currency Transaction Reports für Bargeld über 10.000 Dollar ein.

• HSBC (rund 1,9 Milliarden Dollar, 2012) und Danske Bank (rund 2 Milliarden Dollar, 2022) zeigen, dass AML-Versagen systemisch ist, nicht zufällig: schwache Risikoklassifizierung, isolierte IT, ignorierte Whistleblower und Correspondent Banking, das den Schaden verbreitet.

• Compliance ist ein permanenter, teurer Zwang. Banken wägen zu viele Flags (Kosten und De-Risking) gegen zu wenige Flags (katastrophale Strafen) ab, was mitbestimmt, wer überhaupt ein Bankkonto bekommt.

• Sanktionsscreening (OFAC in den USA) ist strict liability: Vorsatz ist irrelevant, und der Aufwand ist seit 2022 stark gewachsen.