AML, KYC und Sanktions-Screening in der Praxis

# AML, KYC und Sanktions-Screening in der Praxis

2020 zahlte Capital One 80 Millionen Dollar an das OCC (Office of the Comptroller of the Currency), nachdem Prüfer systemische Lücken im BSA/AML-Programm (Bank Secrecy Act / Anti-Money Laundering) festgestellt hatten, darunter Regeln zum Transaction Monitoring, die abgeschaltet oder über die Produktlinien hinweg nie richtig kalibriert waren. Kein Hacker, kein gestohlener Datensatz. Nur eine Compliance-Kontrolle, die still und leise ihre Aufgabe nicht erfüllte, während Millionen Transaktionen durch sie liefen.

Genau um diese Lücke geht es in dieser Lektion. Verfolgen wir, was in dem Moment passiert, in dem jemand in einer Neobank-App auf „Konto ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen →öffnen“ tippt, und schauen wir uns an, wo genau die rechtlichen Pflichten in der Technologie sitzen.

Das rechtliche Rückgrat: drei Regime, ein Stack

Vor dem Ablauf zunächst die drei Säulen, die jedes US-Fintech, das mit Geld zu tun hat, gleichzeitig erfüllen muss:

1. Der Bank Secrecy Act (BSA, 1970) und seine Aufsichtsbehörde FinCEN (Financial Crimes Enforcement Network, Teil des US-Finanzministeriums). Der BSA verlangt von Finanzinstituten, Aufzeichnungen zu führen und Meldungen abzugeben, die Geldwäsche aufdecken helfen, allen voran SARs (Suspicious Activity Reports) und CTRs (Currency Transaction Reports, ausgelöst ab 10.000 Dollar in Bargeld).

2. Der USA PATRIOT Act (2001), Section 326, der ein CIP (Customer Identification Program) vorschreibt: Jedes Institut muss überprüfen, wer ein Kunde tatsächlich ist, bevor ein Konto ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen →öffnet wird. Das ist die rechtliche Wurzel von „KYC“ (Know Your Customer).

3. OFAC (Office of Foreign Assets Control), eine Behörde des Finanzministeriums, die Wirtschaftssanktionen durchsetzt. Sie pflegt die SDN-Liste (Specially Designated Nationals list), also namentlich benannte Personen, Unternehmen und Länder, mit denen US-Personen und -Institute rechtlich keine Geschäfte machen dürfen. Das Screening gegen diese Liste ist nicht optional; es gilt ein Regime der strict liability, das heißt, Absicht spielt keine Rolle, wenn eine verbotene Transaktion durchgeht.

In Europa ist die entsprechende Architektur die EU-AMLD (Anti-Money Laundering Directives, inzwischen in der 6. Fassung, AMLD6), durchgesetzt von nationalen Aufsichtsbehörden und ab 2025 zunehmend von AMLA (der neuen EU-Behörde zur Bekämpfung der Geldwäsche mit Sitz in Frankfurt), daneben die EU-Sanktionslisten, die der Rat der EU führt.

Der Onboarding-Flow im Detail

Stellen Sie sich eine Neobank wie Chime, Revolut oder N26 vor (hier als illustrative reale Beispiele der Kategorie genannt, nicht als Gegenstand einer konkreten Enforcement-Behauptung).

Schritt 1: Identitätserfassung und CIP. Die App fragt Name, Geburtsdatum, Adresse und SSN (Social Security Number) oder ein Äquivalent ab. Damit ist das CIP-Minimum des PATRIOT Act erfüllt. Im Hintergrund führt ein Anbieter wie Jumio, Onfido oder PersonaPersonaA semi-fictional, research-based representation of your ideal customer: their goals, frustrations, behaviours and decision criteria.Vollständige Definition ansehen → eine Dokumentenprüfung (ID-Scan) plus Liveness-Checks durch (ein Selfie, das mit dem Ausweisfoto abgeglichen wird), um zu bestätigen, dass die Person echt und anwesend ist.

Schritt 2: KYC-Risikobewertung. KYC geht über die Identitätsprüfung hinaus und verlangt Urteilsvermögen: Sind dieser Kunde, dieser Beruf und die erwartete Aktivität plausibel? Ein Neobank-Kunde, der monatlich 2.000 Dollar Lohneingang erwartet, erhält einen niedrigen Risk Score. Wer ein Konto ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen →öffnet und sofort 50.000 Dollar per Überweisung in eine nicht zugehörige Jurisdiktion schicken will, wird für EDD (Enhanced Due Diligence) markiert.

Schritt 3: Sanktions-Screening in Echtzeit. Noch bevor das Konto aktiviert wird, läuft der Name des Antragstellers gegen die SDN-Liste des OFAC und häufig gegen die Pendants der EU, UN und UK. Das ist Fuzzy Matching, kein exakter String-Vergleich, denn sanktionierte Parteien nutzen Transliterationen, Aliasnamen und Beinahe-Treffer. Ein häufiger Name wie „Mohammed Al Rashid“ erzeugt False Positives gegen SDN-Einträge; das System braucht eine Review-Queue mit Menschen, nicht nur ein Ja/Nein-Gate.

Schritt 4: Laufendes Transaction Monitoring. Genau hier lag das Versagen von Capital One. Es reicht nicht, jemanden einmal beim Onboarding zu screenen. Jede Transaktion danach läuft durch eine Rules Engine, die Muster markiert: schnelle Bewegung von Geldern („Layering“, eine klassische Stufe der Geldwäsche), Structuring (mehrere Einzahlungen knapp unter der CTRCTRClick-Through Rate (CTR) is the percentage of people who click a link, ad, or call to action out of those who viewed it.Vollständige Definition ansehen →-Schwelle von 10.000 Dollar) oder Transfers in Hochrisiko-Jurisdiktionen. Diese Regeln haben Schwellenwerte, und Schwellenwerte müssen gepflegt, getestet und angepasst werden, wenn sich Produkte ändern. Das Problem von Capital One: Als die Bank ihre Produkte für Small Business Banking skalierte, wurden die Monitoring-Regeln einer Plattform nicht auf eine andere ausgeweitet oder dort nicht korrekt konfiguriert, sodass große Transaktionsvolumina jahrelang praktisch unüberwacht blieben. (OCC consent order, 2020)

Schritt 5: SAR-Meldung. Wenn das Monitoring oder eine manuelle Prüfung etwas Verdächtiges zutage bringt, reicht das Institut einen SAR bei FinCEN ein, in der Regel innerhalb von 30 Tagen nach Entdeckung. SARs sind vertraulich; den Kunden zu warnen, ist selbst ein Verstoß.

Wo der Tech-Stack tatsächlich sitzt

Für ein Fintech ist das nicht ein System, sondern eine Kette von Anbietern und interner Logik:

• Identity-Verification-Layer: Jumio, Onfido, PersonaPersonaA semi-fictional, research-based representation of your ideal customer: their goals, frustrations, behaviours and decision criteria.Vollständige Definition ansehen →, Socure
• Sanktions-/PEP-Screening: Refinitiv World-Check, LexisNexis, ComplyAdvantage (PEP = Politically Exposed Person, eine Person mit öffentlichem Amt, die zusätzlicher Prüfung unterliegt)
• Transaction Monitoring: Actimize, SAS AML oder interne Rules Engines auf Basis eines Data WarehouseData WarehouseA central repository that consolidates data from many source systems into a structured, query-optimized store designed for analytics, reporting, and business intelligence.Vollständige Definition ansehen →
• Case Management: leitet markierte Alerts an menschliche Compliance-Analysten, die entscheiden: freigeben, eskalieren oder einen SAR einreichen

Eine vereinfachte Version einer OFAC-Screening-Regel kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnte als Pseudocode so aussehen:

def screen_transaction(sender, receiver, amount, country):
    if fuzzy_match(sender.name, SDN_LIST, threshold=0.85):
        return "BLOCK - manual review required"
    if country in OFAC_SANCTIONED_COUNTRIES:
        return "BLOCK - sanctioned jurisdiction"
    if amount > 10000 and sender.recent_deposits_sum(days=1) < 10000:
        flag_for_structuring_review(sender)
    return "CLEAR"

Die Fragilität ist offensichtlich, sobald man sie sieht: Das threshold=0.85 für das Fuzzy Matching ist eine geschäftliche Ermessensentscheidung, kein Gesetz. Setzt man es zu hoch, rutschen sanktionierte Parteien durch. Setzt man es zu niedrig, werden legitime Kunden permanent blockiert (ein echter operativer Kostenfaktor und ein Problem mit Kundenbeschwerden). Aufseher prüfen genau diese Kalibrierungsentscheidungen in Prüfungen.

Warum Enforcement speziell Fintechs trifft

Neobanken und Payment-Fintechs sind meist selbst keine Banken; sie arbeiten mit einer lizenzierten Bank zusammen (eine „Bank-as-a-Service“- oder BaaS-Konstruktion, etwa Synapse-Evolve Bank oder Chime-Bancorp Bank). Die BSA/AML-Pflichten hängen aber an der lizenzierten Bank, die die Compliance-Anforderungen vertraglich an das Fintech weitergibt. Wenn der Screening-Stack des Fintechs schwächer ist als der einer traditionellen Bank, haftet die Sponsor Bank gegenüber den Aufsehern trotzdem. Deshalb sehen sich Sponsor Banks zunehmend eigenen Consent Orders von OCC und FDIC wegen unzureichender Aufsicht über Fintech-Partner ausgesetzt (siehe die Enforcement-MaMaUsing software to automate repetitive marketing tasks and campaigns, enabling personalisation at scale across channels like email, web, and social.Vollständige Definition ansehen →ßnahmen von 2024 gegen mehrere BaaS-Sponsor-Banken).

Das ist eine strukturelle Spannung, die es nur im Fintech gibt: schnell skalierende Startups, die Consumer-Growth-Loops bauen, sitzen auf einem Compliance-Regime, das für langsame, personalstarke Banken entworfen wurde.

Key Takeaways

• Drei rechtliche Säulen bestimmen AML für US-Fintechs: der Bank Secrecy Act (FinCEN), die CIP/KYC-Anforderung des PATRIOT Act und das OFAC-Sanktions-Screening. Das europäische Pendant ist AMLD6 plus die neue EU-Geldwäschebehörde (AMLA).
• KYC und Sanktions-Screening finden beim Onboarding statt; Transaction Monitoring läuft dauerhaft und ist der Punkt, an dem die meisten realen Enforcement-Fälle entstehen, weil Schwellenwerte und Regeln mit dem Produktwachstum mitskalieren müssen.
• Die 80-Mio.-Dollar-Strafe gegen Capital One (OCC, 2020) entstand daraus, dass Monitoring-Regeln beim Wachstum der Bank nicht korrekt ausgeweitet wurden, nicht aus einem einzelnen Hack oder Betrugsfall, eine Erinnerung daran, dass technische Compliance-Schulden ein regulatorisches Risiko sind.
• Fintechs haben selten selbst eine Banklizenz; sie operieren über Sponsor Banks in BaaS-Konstruktionen, aber schwaches Screening auf der Fintech-Ebene erzeugt auch für die Sponsor Bank ein reales Enforcement-Risiko.
• Kalibrierungsentscheidungen (Fuzzy-Match-Schwellen, Parameter von Monitoring-Regeln) sind geschäftliche Ermessensentscheidungen mit rechtlichen Folgen; Aufseher nehmen genau diese Einstellungen in Prüfungen unter die Lupe.