Den Compliance-Stack eines Fintechs lesen wie ein Regulierer

# Den Compliance-Stack eines Fintechs lesen wie ein Regulierer

2021 kollabierte der deutsche Zahlungsdienstleister Wirecard, nachdem ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → eingeräumt hatte, dass 1,9 Milliarden Euro in der Bilanz nicht existierten. Jahrelang hatten Prüfer, Investoren und selbst einige Aufseher die schön aufgemachten Compliance-Angaben für sich sprechen lassen. Niemand hatte tatsächlich die Motorhaube geöffnet. Diese Lektion zeigt Ihnen, wie Sie die Motorhaube öffnen.

Warum das mehr zählt als ein schickes Dashboard

Jedes Fintech zeigt Ihnen heute eine "Trust and Safety"-Seite: Badges, Zertifizierungen, ein Absatz über "bankübliche Sicherheit". Diese Seite sagt Ihnen so gut wie nichts darüber, ob das Compliance-Programm tatsächlich funktioniert. Ein Regulierer oder ein Investor, der ernsthafte Due Diligence macht, ignoriert das Marketing und stellt drei Fragen: Was ist die rechtliche Pflicht, was ist der tatsächliche Control, und was ist der Nachweis, dass ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → laufend greift.

Die drei Säulen, definiert

KYC (Know Your Customer): der Prozess, die Identität eines Kunden vor dem Onboarding zu verifizieren, gesetzlich vorgeschrieben nach Geldwäscherecht. Bei Geschäftskunden heißt das KYB (Know Your Business) und umfasst die Prüfung der Beneficial Owners, also der realen Menschen, die die Einheit letztlich besitzen oder kontrollieren (nach US- und EU-Regeln typischerweise jeder mit 25 % oder mehr Anteilsbesitz).

AML Transaction Monitoring: laufende Überwachung von Zahlungsströmen, um Muster zu erkennen, die auf Geldwäsche hindeuten, etwa Structuring (das Zerlegen großererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → Überweisungen in kleinere, um Meldeschwellen zu umgehen) oder das schnelle Durchleiten von Geldern.

Sanctions Screening: der Abgleich von Kunden und Transaktionen gegen staatlich geführte Listen verbotener Personen, Einheiten und Länder, etwa die Specially Designated Nationals-Liste der OFAC in den USA oder die konsolidierte Sanktionsliste der EU.

Die regulatorische Architektur, nach Jurisdiktion

USA: Der Bank Secrecy Act (1970) ist das grundlegende AML-Gesetz, durchgesetzt über FinCEN (Financial Crimes Enforcement Network), eine Behörde des Finanzministeriums. FinCEN verlangt Suspicious Activity Reports (SARs) für auffällige Transaktionen und Currency Transaction Reports (CTRs) für Bargeldtransaktionen über 10.000 Dollar. Die OFAC setzt Sanktionen durch. Die meisten Fintechs haben selbst keine Banklizenz; sie operieren über eine "Bank-Sponsor"- oder Banking-as-a-Service-Konstruktion mit einer lizenzierten Bank (Beispiele: Cross River Bank, Column Bank), und diese Sponsorbank haftet letztlich gegenüber ihrem Aufseher, sei es die OCC (Office of the Comptroller of the Currency), die Fed oder die FDIC.

Europäische Union: Der Geldwäscherahmen läuft über eine Reihe von Richtlinien, zuletzt AMLD5 und AMLD6, bald konsolidiert unter der neuen AMLR (Anti-Money Laundering Regulation) und einer neuen Aufsichtsbehörde, AMLA (Anti-Money Laundering Authority), die von 2025 bis 2026 operativ wird und die grenzüberschreitenden Finanzinstitute mit dem höchsten Risiko direkt beaufsichtigen wird. Zahlungsinstitute werden nach PSD2 (der zweiten Zahlungsdiensterichtlinie) lizenziert und national beaufsichtigt: die FCA in Großbritannien (nach dem Brexit außerhalb des AMLA-Zuständigkeitsbereichs), die BaFin in Deutschland, die Banque de France/ACPR in Frankreich.

Diese strukturelle Tatsache zählt: In den USA wird Compliance-Risiko oft nach oben an eine Sponsorbank ausgelagert; in der EU trägt das lizenzierte Fintech selbst typischerweise die direkte regulatorische Haftung. Wenn Sie ein Fintech bewerten, fragen Sie immer: Wer hält eigentlich die Lizenz, und wer antwortet dem Regulierer, wenn etwas schiefgeht?

Wie "echte Infrastruktur" in der Praxis aussieht

Nehmen Sie ein Zahlungsunternehmen, das einen kleinen E-Commerce-Händler onboardet. Eine dünne Compliance-Schicht macht das so:

• Sammelt einen amtlichen Ausweis und ein Selfie, ruft eine Vendor-APIAPIApplication Programming Interface: eine standardisierte Schnittstelle, über die Anwendungen kommunizieren und Daten austauschen, ohne die interne Funktionsweise der jeweils anderen zu kennen.Vollständige Definition ansehen → auf (z. B. Jumio, Onfido), erhält ein "pass", weiter geht's.
• Führt einen einmaligen Sanktionsabgleich beim Onboarding durch, danach nie wieder.
• Hat eine Rules Engine, die Transaktionen über einer runden Schwelle flaggt und Alerts erzeugt, die niemand innerhalb der regulatorischen Fristen prüft.

Echte Infrastruktur sieht anders aus:

• KYB umfasst die Prüfung der Handelsregistereintragung, die Abklärung der Beneficial Ownership über Unternehmensregister und die Zuweisung eines Risk Ratings (niedrig/mittel/hoch), das die Tiefe des Onboardings und die Frequenz der laufenden Überprüfung bestimmt.
• Sanctions Screening läuft beim Onboarding und bei jeder Transaktion, weil Sanktionslisten in Echtzeit aktualisiert werden (Russland-bezogene Listungen nach Februar 2022 brachten innerhalb von Wochen tausende Namen hinzu) und ein bei der Anmeldung sauberer Kunde einen Monat später auf einer Liste auftauchen kann.
• Transaction Monitoring nutzt Verhaltens-Baselines, nicht nur statische Schwellen: Ein Händler, der plötzlich das 10-Fache seines üblichen Volumens verarbeitet, oder ein Privatkonto, das in einer Woche Gelder von 40 nicht verbundenen Absendern erhält, löst einen Case für einen menschlichen Analysten aus, nicht bloß eine Regel.
• SARs werden tatsächlich eingereicht. In den USA gingen bei FinCEN im Fiskaljahr 2023 über 4,6 Millionen SARs ein (FinCEN-Schätzung, öffentlich berichtet); ein Fintech mit relevantem Volumen, das null SARs pro Jahr einreicht, ist ein Red Flag, kein Zeichen sauberer Kunden.

Eine einfache Monitoring-Regel, illustriert

Hier eine reduzierte Version einer Structuring-Erkennungsregel, wie sie ein Analyst in einem Compliance-System prüft:

IF sum(transactions, customer_id, rolling_24h) > $9,000
AND count(transactions, customer_id, rolling_24h) >= 3
AND each_transaction < $10,000
THEN flag_case("possible structuring", risk_score += 25)

Das ist nicht das ganze System, echte Systeme gewichten dutzende Variablen und nutzen Machine-Learning-Modelle, die auf historischen SAR-Ergebnissen trainiert sind, aber es zeigt die Kernlogik: Suche nach Verhalten, das so *geformt* ist, dass es eine bekannte Meldeschwelle umgeht, nicht nur nach großen Zahlen.

Due-Diligence-Checkliste: was Sie wirklich fragen sollten

Wenn Sie ein Fintech bewerten (als Investor, Partner oder neuer Mitarbeiter), akzeptieren Sie kein "wir sind compliant". Fragen Sie nach:

1. Wer ist die lizenzierte Einheit und wer ist die Sponsorbank bzw. der Regulierer? Lassen Sie sich den konkreten Namen geben, nicht "ein erstklassiger Bankpartner".

2. SAR-/Case-Volumentrends über 12 bis 24 Monate. Konstante Nullwerte und wild schwankende Zahlen deuten beide auf Probleme.

3. Ergebnisse der letzten Aufsichtsprüfung. In den USA durchlaufen Sponsorbanken BSA/AML-Prüfungen; Feststellungen erscheinen oft in Consent Orders, die öffentlich sind. (Siehe FinCENs Seite zu Enforcement Actions für echte Beispiele.)

4. Personalquote: wie viele Compliance-Analysten pro Million Transaktionen oder pro aktivem Kunden. Ein Zwei-Personen-Compliance-Team in einem Unternehmen, das monatlich Millionen Transaktionen verarbeitet, ist eine dünne Schicht.

5. Vendor-Abhängigkeit: Läuft das Screening über einen renommierten, auditierbaren Anbieter (Refinitiv World-Check, ComplyAdvantage, LexisNexis) mit protokollierten Entscheidungen, oder über eine ad-hoc erstellte interne Liste, die niemand aktualisiert?

Die Hauptrisiken, wenn der Stack dünn ist

• Regulatorisches Risiko: Consent Orders, Bußgelder oder der Verlust des Banking-as-a-Service-Zugangs. Echter Präzedenzfall: 2024 gingen die US-Notenbank Fed und die FDIC gegen Bankpartner im BaaS-Bereich wegen BSA/AML-Mängeln im Zusammenhang mit Fintech-Partnern vor, und mehrere Fintech-Bank-Partnerschaften (darunter die breit berichtete Synapse-bezogene Bankstörung) lösten sich 2024 auf, wodurch Kundengelder wochenlang eingefroren waren.
• Reputations- und Kontrahentenrisiko: Kartennetzwerke (Visa, Mastercard) und Korrespondenzbanken kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen Beziehungen zu Fintechs beenden, die als hochriskant gelten, und damit die Payment Rails vollständig abschneiden.
• Betrugsverluste, getarnt als "beherrschbares Risiko": Schwaches Monitoring lässt schlechte Akteure (synthetische Identitäten, Money Mules) länger operieren, was direkte Verluste und den SAR-Backlog erhöht.
• Konzentrationsrisiko beim Outsourcing: Sich vollständig auf einen KYC-Anbieter oder eine Sponsorbank zu verlassen, bedeutet einen Single Point of Failure, wie sich zeigte, als die Insolvenz von Synapse 2024 Fintechs wie Yotta traf, die für Ledger- und Bankinfrastruktur darauf angewiesen waren.

Key Takeaways

• Compliance-Qualität wird an laufenden, nachgewiesenen Controls gemessen, nicht an Onboarding-Häkchen: Echte Programme überwachen Transaktionen und führen Sanktions-Rescreenings laufend durch, nicht nur bei der Anmeldung.
• Kennen Sie die rechtliche Architektur: In den USA tragen Sponsorbanken (reguliert von OCC, Fed oder FDIC, unter FinCENs BSA-Rahmen) häufig die primäre AML-Haftung für Fintech-Partner; in der EU trägt sie typischerweise das lizenzierte Zahlungsinstitut direkt, bald unter der neuen AMLA.
• Null oder stark inkonsistente SAR-Einreichungen, dünne Compliance-Besetzung relativ zum Transaktionsvolumen und Single-Vendor-Abhängigkeit sind konkrete Red Flags in der Due Diligence.
• Öffentliche Enforcement Actions (FinCEN, OCC, Fed, FCA) sind kostenlose, überprüfbare Belege dafür, wie ein Compliance-Programm unter Prüfung tatsächlich abgeschnitten hat, nutzen Sie sie, bevor Sie den eigenen Angaben eines Unternehmens glauben.
• Die Auflösung mehrerer BaaS-Partnerschaften 2024 ist eine laufende Fallstudie: Dünne Compliance und Infrastruktur-Abhängigkeit kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen Kundengelder einfrieren und Geschäftsbeziehungen fast über Nacht beenden.