Banken · KYC, AML und die Kosten von Schwarzgeld

Im Dezember 2012 erklärte sich HSBC bereit, den US-Behörden rund 1,9 Milliarden Dollar zu zahlen, um Vorwürfe beizulegen, mexikanischen Drogenkartellen das Waschen von Hunderten Millionen Dollar über seine Konten ermöglicht zu haben. Die Ermittler stellten fest, dass die mexikanische Einheit der Bank so viel Bargeld über die US-Grenze bewegt hatte, dass die Händler speziell angefertigte Kisten verwendeten, deren MaMaEinsatz von Software, um wiederkehrende Marketingaufgaben und Kampagnen zu automatisieren und Personalisierung in großem Maßstab über Kanäle wie E-Mail, Web und Social zu ermöglichen.Vollständige Definition ansehen →ße durch die Kassenfenster von HSBC passten. Kein Manager kam ins Gefängnis. Die Bank zahlte, versprach die Kontrollen zu verbessern, und machte weiter.

Dieser Fall und der darauf folgende Skandal bei der Danske Bank prägten die moderne Ära der Anti-Money-Laundering-Durchsetzung. Diese Lektion erklärt, was die Regeln tatsächlich verlangen, wenn eine Bank einen Kunden onboardet, warum Banken die Aufsichtsbehörden mit Meldungen überschwemmen, und wie diese zwei Versäumnisse zu Lehrbuchbeispielen wurden.

Das Kernproblem: Banken sind die Gatekeeper

Geldwäsche ist der Prozess, Geld aus Straftaten (Drogen, Betrug, Korruption, Menschenhandel) so aussehen zu lassen, als kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →äme es aus legitimen Quellen. Sie läuft üblicherweise in drei Phasen ab: Placement (Bargeld ins Finanzsystem bringen), Layering (es über viele Transaktionen bewegen, um die Spur zu verwischen) und Integration (es ausgeben, als wäre es sauber).

Regierungen können nicht jede Transaktion prüfen. Also schieben sie die Aufgabe den Banken zu. Das ist die Grundlage von AML (Anti Money Laundering): das Regelwerk, das Finanzinstitute verpflichtet, verdächtige Aktivitäten zu erkennen und zu melden.

Die Bank wird rechtlich in Dienst gestellt. Wenn sie versagt, zahlt die Bank.

KYC: wissen, mit wem man es zu tun hat

KYC (Know Your Customer) ist die erste Verteidigungslinie. Bevor eine Bank ein Konto ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen →öffnet, muss sie überprüfen, wer der Kunde wirklich ist.

In den USA ist das rechtliche Rückgrat der Bank Secrecy Act (BSA) von 1970, massiv verstärkt durch den USA PATRIOT Act von 2001 nach den Anschlägen vom 11. September. Der PATRIOT Act führte die Regel des Customer Identification Program (CIP) ein, die Banken verpflichtet, Folgendes zu erheben und zu verifizieren:

• Name
• Geburtsdatum
• Adresse
• Eine Identifikationsnummer (Social Security Number, Pass oder Steuernummer des Unternehmens)

In der EU läuft das entsprechende Rahmenwerk über eine Reihe von Anti-Geldwäsche-Richtlinien (aktuell die 6., 6AMLD) und ab 2024 über eine neue einheitliche EU-Geldwäscheverordnung plus eine zentrale Behörde, AMLA (die Anti Money Laundering Authority) mit Sitz in Frankfurt, die im Laufe von 2026 die direkte Aufsicht über Hochrisikoinstitute aufnimmt.

Über die reine Identifikation hinaus: risikobasierte Due Diligence

KYC ist kein Einheitsmodell. Banken wenden Customer Due Diligence (CDD) proportional zum Risiko an.

• Ein Angestellter, der ein Girokonto eröffnet: Standard-CDD.
• Eine Politically Exposed Person (PEP), also ein hoher Regierungsvertreter oder dessen enges Umfeld mit erhöhtem Korruptionsrisiko: Enhanced Due Diligence (EDD), mit Prüfung der Vermögensherkunft und Freigabe durch das Senior Management.
• Eine offshore registrierte Briefkastenfirma ohne klares Geschäft: EDD oder Ablehnung.

Eine zentrale Anforderung ist die Ermittlung des Ultimate Beneficial Owner (UBO): der reale Mensch, der ein Unternehmen letztlich besitzt oder kontrolliert, auch wenn er hinter mehreren Holdingebenen versteckt ist. In den USA verpflichtet der Corporate Transparency Act nun viele Unternehmen, die wirtschaftlich Berechtigten an FinCEN zu melden (das Financial Crimes Enforcement Network, die AML-Behörde des US-Finanzministeriums).

Für einen leicht verständlichen Überblick über das US-Rahmenwerk ist die Website von FinCEN die maßgebliche kostenlose Quelle: fincen.gov.

Laufendes Monitoring und der SAR

KYC beim Onboarding ist nur der Anfang. Banken müssen Kunden über die gesamte Dauer der Beziehung überwachen.

Automatisierte Transaktionsüberwachungssysteme markieren Anomalien: ein Rentner, der plötzlich Überweisungen von 50.000 Dollar aus drei Ländern erhält, oder ein Konto, das so strukturiert ist, dass es knapp unter den Meldeschwellen bleibt (genannt Structuring oder „Smurfing").

Wenn etwas nicht stimmt, reicht die Bank einen SAR (Suspicious Activity Report) bei FinCEN ein. In der EU ist das Äquivalent ein STR (Suspicious Transaction Report), der bei einer nationalen FIU (Financial Intelligence Unit) eingereicht wird.

Wichtige Fakten zu SARs:

• Sie müssen innerhalb einer festgelegten Frist eingereicht werden (in den USA 30 Tage nach Erkennen der verdächtigen Aktivität).
• Tipping off, also den Kunden darüber zu informieren, dass ein SAR eingereicht wurde, ist selbst eine Straftat.
• Banken reichen außerdem automatisch CTRs (Currency Transaction Reports) für Bargeschäfte über 10.000 Dollar ein. Ein CTRCTRDie Click-Through Rate (CTR) ist der Prozentsatz der Personen, die einen Link, eine Anzeige oder einen Call to Action anklicken, bezogen auf alle, die ihn gesehen haben.Vollständige Definition ansehen → ist Routine und keine Anschuldigung; ein SAR signalisiert Verdacht.

US-Institute reichen Millionen SARs pro Jahr ein (FinCEN berichtete laut eigenen öffentlichen Statistiken in den letzten Jahren deutlich über 3 Millionen SAR-Meldungen jährlich). Das Volumen ist enorm, und das erzeugt ein eigenes Problem: zu viele Meldungen geringer Qualität können die wirklich wichtigen begraben.

Fallstudie 1: HSBC

Das Versagen von HSBC war keine einzelne übersehene Transaktion. Es war systemisch.

• Die mexikanische Tochter klassifizierte Mexiko trotz offensichtlicher Kartellexposition als Niedrigrisiko.
• Sie clearte Dollartransaktionen für Banken in sanktionierten Ländern, indem sie identifizierende Informationen aus Überweisungsnachrichten entfernte, damit die Filter nicht ansprangen.
• Die Monitoringsysteme waren im Verhältnis zum Risiko unterfinanziert und unterbesetzt.

Die Einigung von 2012 (rund 1,9 Milliarden Dollar) kam mit einem Deferred Prosecution Agreement (DPA): Strafanzeige erhoben, aber ausgesetzt, sofern die Bank reformiert und einen unabhängigen Monitor akzeptiert. Das DPA wurde zum Standardinstrument der Durchsetzung bei Großbanken, von manchen kritisiert, weil Institute sich damit freikaufen können.

Fallstudie 2: danske bank

Der Fall Danske Bank ist der größte bekannte Geldwäscheskandal in der europäischen Geschichte.

Zwischen etwa 2007 und 2015 verarbeitete die kleine estnische Niederlassung der Danske Bank schätzungsweise 200 Milliarden Euro an verdächtigen Transaktionen, ein großer Teil davon aus Russland und ehemaligen Sowjetstaaten, geleitet über Konten nicht ansässiger Kunden.

Das Versagen war strukturell:

• Die estnische Niederlassung lief auf einer separaten IT-Plattform, das Monitoring der Zentrale deckte sie also nicht ab.
• Warnungen von Whistleblowern wurden jahrelang ignoriert.
• Correspondent Banking (Danske nutzte größere Banken zum Clearing von Dollartransaktionen) verbreitete die Kontamination.

2022 bekannte sich Danske Bank in den USA schuldig und stimmte Einziehungen und Strafen von insgesamt rund 2 Milliarden Dollar zu, koordiniert zwischen US-amerikanischen und dänischen Behörden. Der CEO war bereits 2018 zurückgetreten.

Die Lehre, die Banken daraus zogen: eine „kleine" ausländische Niederlassung kann eine existenzbedrohende Strafe auslösen. Gruppenweite, konsistente Kontrollen sind nicht optional.

Warum das Banken so viel kostet

AML ist einer der größten Compliance-Posten im Bankgeschäft. Die weltweiten Ausgaben für Financial-Crime-Compliance liegen jährlich im Bereich zweistelliger Milliardenbeträge in Dollar (Branchenumfragen schätzen diesen Bereich konsistent, exakte Zahlen variieren je nach Methodik).

Die Kosten fallen in drei Kategorien:

1. Personal: große Analystenteams, die Alerts untersuchen und SARs einreichen.
2. Technologie: Transaktionsüberwachung, Sanktionsscreening und zunehmend machine learning, um False Positives zu reduzieren.
3. Strafen und Remediation: wenn die Kontrollen versagen.

Hier gibt es ein echtes Spannungsfeld. Zu viele Alerts verschwenden Geld und verärgern legitime Kunden (ein Phänomen namens De-Risking, bei dem Banken einfach ganze Kontokategorien schließen, etwa Geldtransferfirmen, die Migrantencommunities bedienen, weil das Risiko es nicht wert ist). Zu wenige Alerts laden die nächste Milliardenstrafe ein.

Sanktionen: die angrenzende Pflicht

AML liegt direkt neben dem Sanktionsscreening, und beides wird oft verwechselt. Sanktionen sind staatliche Verbote, mit bestimmten Personen, Unternehmen oder Ländern Geschäfte zu machen.

In den USA werden Sanktionen von OFAC (Office of Foreign Assets Control) durchgesetzt, einer Abteilung des Finanzministeriums. Banken müssen jeden Kunden und jede Transaktion gegen die SDN-Liste (Specially Designated Nationals) screenen. Eine Zahlung für eine sanktionierte Partei zu verarbeiten ist ein Verstoß mit strict liability: Absicht spielt keine Rolle, und die Strafen sind hart. Seit 2022 haben die Russland-Sanktionen den Screening-Aufwand bei US- und EU-Banken dramatisch erhöht.

Key Takeaways

• KYC ist eine rechtliche Hürde, keine Formalität. Nach dem US Bank Secrecy Act und PATRIOT Act (sowie den EU-Geldwäscherichtlinien und dem neuen AMLA-Regime) müssen Banken die Identität verifizieren, den Ultimate Beneficial Owner ermitteln und bei Kunden mit höherem Risiko wie PEPs Enhanced Due Diligence anwenden.

• Der SAR ist die zentrale Meldewaffe. Banken müssen Suspicious Activity Reports zügig einreichen, dürfen den Kunden nicht informieren und reichen automatisch Currency Transaction Reports für Bargeld über 10.000 Dollar ein.

• HSBC (rund 1,9 Milliarden Dollar, 2012) und Danske Bank (rund 2 Milliarden Dollar, 2022) zeigen, dass AML-Versäumnisse systemisch und nicht zufällig sind: schwache Risikoklassifizierung, isolierte IT, ignorierte Whistleblower und Correspondent Banking, das den Schaden verbreitete.

• Compliance ist eine dauerhafte, teure Einschränkung. Banken wägen zu viele Alerts (Kosten und De-Risking) gegen zu wenige Alerts (katastrophale Strafen) ab, und das bestimmt, wer überhaupt ein Konto bekommt.

• Sanktionsscreening (OFAC in den USA) ist strict liability: Absicht ist irrelevant, und der Aufwand ist seit 2022 stark gewachsen.