Fraud- und KYC/AML-Detection-Pipelines aufbauen

# Fraud- und KYC/AML-Detection-Pipelines aufbauen

An einem Dienstagmorgen wird ein Konto ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen →öffnet. Die Identitätsprüfung ist in unter 90 Sekunden durch. Drei Wochen später gehen auf genau diesem Konto 14 kleine Einzahlungen von Fremden ein, und das Geld wird sofort an eine Krypto-Börse weitergeleitet. Sie haben gerade einen Money Mule beim Waschen von Geldern beobachtet, und jeder einzelne Schritt hat Daten hinterlassen.

Diese Lektion verfolgt dieses Konto vom Onboarding bis zur Auszahlung und zeigt Ihnen, wie Sie die Systeme bauen, die so etwas erkennen: Device Fingerprinting, Transaction Monitoring und die Maschinerie, die einen Suspicious Activity Report (SAR) erzeugt, also eine verpflichtende Meldung, die Banken an die Aufsicht schicken, wenn sie mögliche kriminelle Aktivitäten entdecken.

Der Lebenszyklus eines betrügerischen Kontos

Fraud ist kein einzelnes Ereignis. Es ist eine PipelinePipelineAlle aktiven Verkaufschancen über die Phasen des Vertriebsprozesses hinweg, zusammen mit ihrem gesamten potenziellen Wert und ihrer Abschlusswahrscheinlichkeit.Vollständige Definition ansehen →, und Ihre Detection muss ihr Stufe für Stufe entsprechen.

Stufe 1: Onboarding. Eine synthetische Identität (eine erfundene Person, gebaut aus einer echten Sozialversicherungsnummer plus frei erfundenen Angaben) oder eine gestohlene Identität stellt einen Antrag. Hier beginnen KYC (Know Your Customer, die gesetzliche Pflicht zu prüfen, wer Ihre Kunden sind) und AML (Anti-Money-Laundering, die weiter gefassten Regeln zur Unterbindung illegaler Gelder).

Stufe 2: Dormancy. Gute Mules bleiben still. Das Konto verhält sich tage- oder wochenlang unauffällig, um eine „Vertrauenshistorie“ aufzubauen und an einfachen Regeln vorbeizukommen.

Stufe 3: Aktivierung. Geld kommt an, oft in strukturierten Beträgen (bewusst unterhalb von Meldeschwellen gehalten, etwa der US-Grenze von 10.000 Dollar für den Currency Transaction Report).

Stufe 4: Auszahlung. Die Gelder fließen schnell ab, meist über einen Kanal, der schwer rückabzuwickeln ist: Krypto, Geschenkkarten oder ein weiteres Mule-Konto.

Jede Stufe erzeugt ein anderes Datensignal. Verpassen Sie eine, läuft die ganze Kette durch.

Onboarding: Device Fingerprinting und Identitätssignale

Beim Signup haben Sie kaum Transaktionshistorie, also stützen Sie sich darauf, wer und was den Antrag stellt.

Device Fingerprinting heißt, aus den Attributen eines Geräts eine halbwegs eindeutige Kennung zu bauen: Betriebssystem, Browserversion, Bildschirmauflösung, installierte Schriftarten, Zeitzone und IP-Adresse. Kein einzelnes Attribut ist eindeutig, die Kombination in der Regel schon. Das entscheidende Fraud-Signal ist nicht der Fingerprint selbst. Es ist die Wiederholung: ein Device-Fingerprint, der 50 Konten ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen →öffnet, ist ein schreiendes Warnsignal, selbst wenn jede einzelne Identität sauber aussieht.

Weitere wertvolle Onboarding-Signale:

• Velocity: wie viele Anträge von dieser IP, diesem Gerät oder dieser Adresse in der letzten Stunde kamen.
• Alter von E-Mail und Telefonnummer: eine gestern aktivierte Rufnummer ist riskanter als eine, die seit fünf Jahren gehalten wird.
• Document Liveness: passt das Selfie zum Ausweis, und handelt es sich um eine lebende Person statt um ein Foto von einem Foto.
• Dateninkonsistenz: die SSN sagt, die Person sei 55, das Selfie sieht nach 22 aus.

Für die regulatorische Grundlinie veröffentlicht FinCEN, die Behörde des US-Finanzministeriums, die Customer Due Diligence rule, die regelt, was Sie erheben und verifizieren müssen.

Der Zielkonflikt im Design ist real. Zu viele Prüfungen, und legitime Kunden brechen den Flow ab. Das ist Onboarding-Friction, und im Fintech killt sie direkt die Conversion. Also staffeln Sie: leichte Prüfungen für Profile mit geringem Risiko, Step-up-Verifizierung (zusätzliches Dokument, Videocall) nur, wenn Signale eine Schwelle überschreiten.

Transaction Monitoring: Verhalten über die Zeit beobachten

Sobald das Konto aktiv ist, wechseln Sie von „wer sind Sie“ zu „was tun Sie“. Transaction Monitoring ist ein kontinuierliches Scoring-System.

Zwei grobe Ansätze, die zusammen eingesetzt werden:

Regelbasiertes Monitoring. Explizite, von Menschen geschriebene Logik. Beispiele:

• Jeden eingehenden Transfer flaggen, auf den innerhalb von 24 Stunden ein ausgehender Transfer ähnlicher Größe folgt (Pass-through-Verhalten, typisch für Mules).
• Drei oder mehr Einzahlungen knapp unter 10.000 Dollar in einer Woche flaggen (mögliches Structuring, also die Straftat, Beträge zu stückeln, um Meldepflichten zu umgehen).

Regeln sind transparent und einer Aufsichtsbehörde leicht zu erklären, was zählt. Aber Kriminelle lernen sie und bleiben knapp darunter.

Machine-Learning-Modelle. Sie bewerten Transaktionen anhand hunderter Features gleichzeitig und erkennen Muster, die niemand von Hand codiert hat. Der Haken: sie sind schwerer erklärbar, und Aufsichtsbehörden erwarten Model Explainability (begründen zu kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen, warum ein Kunde geflaggt wurde).

Die meisten reifen Fintechs fahren beides: Regeln als transparentes Sicherheitsnetz, ML für das Subtile.

Hier ein vereinfachtes Beispiel für ein Velocity-Feature und eine Regel, die Art von Logik, die in einer Monitoring-Engine steckt:

# Flag rapid pass-through: money in, money out, minimal balance kept
def is_passthrough(account):
    inflow = sum(t.amount for t in account.txns_24h if t.direction == "in")
    outflow = sum(t.amount for t in account.txns_24h if t.direction == "out")
    retained = inflow - outflow
    # Mule-Konten leiten fast alles weiter, und zwar schnell
    if inflow > 1000 and outflow >= 0.9 * inflow:
        return True, "pass_through_pattern"
    return False, None

Das ist bewusst simpel gehalten. Reale Systeme kombinieren dutzende solcher Signale zu einem einzigen Risk Score.

Das Problem der False Positives

Das ist der Kern der Disziplin. Ein Fraud-System, das alles flaggt, fängt alle Kriminellen und zerstört das Geschäft.

Jeder Alert kostet auf zwei Wegen Geld:

1. Untersuchungskosten. Ein menschlicher Analyst muss geflaggte Konten prüfen. Analysten sind teuer und langsam.

2. Kundenschaden. Ein zu Unrecht eingefrorenes Konto bedeutet einen verärgerten Kunden, ein Support-Ticket und oft eine verlorene Beziehung.

In der Branche wird durchgängig darauf hingewiesen, dass die große Mehrheit der AML-Alerts False Positives sind (Werte über 90 Prozent werden häufig zitiert, die genauen Quoten variieren je nach Institut und sind schwer zu verifizieren). Das heißt, Ihre Analysten verbringen die meiste Zeit damit, Unschuldige freizugeben.

Der Trade-off steckt in zwei Begriffen:

• Precision: wie viele der geflaggten Konten tatsächlich schlecht waren.
• Recall: wie viele der insgesamt schlechten Konten Sie erwischt haben.

Schrauben Sie den Recall hoch (mehr Fraud erwischen), sinkt meist die Precision (mehr Fehlalarme). Beides lässt sich nicht maximieren. Business, Compliance und Risk müssen gemeinsam den akzeptablen Punkt festlegen, denn die „richtige“ Antwort hängt von Risikoappetit und regulatorischer Exponierung ab, nicht allein von Mathematik.

Eine praktische Taktik: Risk Tiering der Reaktion. Nicht jeder Alert braucht eine Kontosperre. Die Optionen eskalieren in ihrer Schärfe:

• Niedriger Score: loggen und beobachten.
• Mittel: sanftes Step-up (Verifizierung anfordern).
• Hoch: die konkrete Transaktion anhalten, nicht das ganze Konto.
• Kritisch: sperren und zur Untersuchung weiterleiten.

Das erhält die Customer ExperienceCustomer ExperienceDas Gesamtbild, das ein Kunde über alle Interaktionen hinweg von Ihrer Marke gewinnt, vom ersten Kontakt bis zum Support nach dem Kauf.Vollständige Definition ansehen → und hält das Risiko trotzdem im Griff.

Vom Alert zum SAR: den Kreis schließen

Wenn die Untersuchung den Verdacht bestätigt, erreicht die PipelinePipelineAlle aktiven Verkaufschancen über die Phasen des Vertriebsprozesses hinweg, zusammen mit ihrem gesamten potenziellen Wert und ihrer Abschlusswahrscheinlichkeit.Vollständige Definition ansehen → ihren regulatorischen Endpunkt: den Suspicious Activity Report.

Ein SAR ist eine vertrauliche Meldung an die Financial Intelligence Unit (FinCEN in den USA, die National Crime Agency in Großbritannien und entsprechende Stellen anderswo). Zwei Regeln zählen:

• Fristen sind rechtlich bindend. In den USA ist ein SAR in der Regel innerhalb von 30 Tagen nach Entdeckung der verdächtigen Aktivität fällig. Fristversäumnisse erzeugen regulatorische Haftung.
• Tipping off ist illegal. Sie dürfen dem Kunden nicht sagen, dass Sie einen SAR eingereicht haben. Das prägt Ihr Produkt: Sie schränken ein Konto möglicherweise stillschweigend ein, ohne genau zu erklären, warum.

Gute SAR-Pipelines sind auf Beweise gebaut, nicht nur auf Detection. Jeder Alert sollte seine Belegdaten mitführen: die Device-Fingerprint-Verknüpfungen, die Transaktionskette, die Velocity-Spitzen. Ermittler brauchen ein klares Narrativ, und Aufsichtsbehörden prüfen es später womöglich nach.

Deshalb ist Data LineageData LineageData Lineage zeigt, wie Daten sich durch Systeme bewegen und dabei transformiert werden, von der Quelle bis zur Nutzung: woher sie kommen, was sie verändert hat und wohin sie gehen.Vollständige Definition ansehen → (die Fähigkeit, jeden Score bis zu seinen Quelldaten zurückzuverfolgen) keine Option. Wenn Ihr ML-Modell ein Konto flaggt, müssen Sie Monate später rekonstruieren kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen, warum.

Die PipelinePipelineAlle aktiven Verkaufschancen über die Phasen des Vertriebsprozesses hinweg, zusammen mit ihrem gesamten potenziellen Wert und ihrer Abschlusswahrscheinlichkeit.Vollständige Definition ansehen → zusammensetzen

Verfolgen Sie unser Mule-Konto noch einmal, jetzt durch das gesamte System:

1. Onboarding: Der Device-Fingerprint passt zu vier früheren Konten. Score erhöht, aber keine Blockade (die Identitätsdokumente waren gültig). Konto freigegeben mit Monitoring-Flag.

2. Dormancy: stille Phase. Die Regeln sehen nichts. Der Flag bleibt bestehen.

3. Aktivierung: 14 kleine eingehende Einzahlungen von untereinander unverbundenen Absendern lösen eine Netzwerkanomalie aus (Viele-zu-eins-Finanzierung ist für ein Privatkonto ungewöhnlich).

4. Auszahlung: Die Pass-through-Regel greift, als die Gelder innerhalb von Stunden zu einer Krypto-Börse geleitet werden.

Der kombinierte Score überschreitet die kritische Schwelle. Die ausgehende Transaktion wird angehalten (nicht das ganze Konto, um den Schaden bei einem Irrtum zu begrenzen). Ein Analyst prüft die zusammengetragenen Beweise, bestätigt das Muster, und ein SAR wird innerhalb der Frist eingereicht. Dem Kunden wird nie gesagt, warum.

Kein einzelnes Signal hat dieses Konto erwischt. Funktioniert hat die Schichtung schwacher Signale über den gesamten Lebenszyklus.

Key Takeaways

• Fraud ist eine Pipeline, also muss die Detection es auch sein. Onboarding, Dormancy, Aktivierung und Auszahlung hinterlassen jeweils eigene Datensignale; wer nur eine Stufe abdeckt, lässt die Kette durchlaufen.
• Die Stärke des Device Fingerprinting ist die Wiederholung, nicht die Identität. Ein Gerät, das viele Konten ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen →öffnet, ist ein stärkeres Signal als jedes einzelne Fake-Profil.
• False Positives sind der eigentliche Kostenblock. Die meisten AML-Alerts sind Fehlalarme; staffeln Sie Ihre Reaktion (beobachten, Step-up, anhalten, sperren), statt alles einzufrieren.
• Bauen Sie von Tag eins auf Beweisführung und Erklärbarkeit. SARs haben gesetzliche Fristen, Tipping off ist verboten, und jeder Score muss bis zu seinen Quelldaten rückverfolgbar sein.
• Precision versus Recall ist eine Geschäftsentscheidung. Kein Modell löst sie; Risk, Compliance und Produkt müssen gemeinsam wählen, wo auf der Kurve sie sich positionieren.