Die qualitativen Befunde folgen den sechs Untersuchungsfeldern.
Kundendaten
Befund. Die BaFin stellte fest, dass Institute Qualität, Vollständigkeit und Verfügbarkeit der für das Monitoring verwendeten Daten oft nicht überprüften. Kopien von Ausweisdokumenten lagen häufig ohne Kennzeichnung ihrer Herkunft im System [2]. Die FCA fand Institute, die Zweck und angestrebte Art der Geschäftsbeziehung nicht erhoben oder nicht dokumentierten, obwohl diese Angaben die laufende Überwachung tragen [3].
Einordnung. Eine ausgefüllte Maske belegt weder die Richtigkeit der Angaben noch ihre Verfügbarkeit im Zielsystem. Diese Auswertung zerlegt Datenqualität deshalb in fünf Eigenschaften: Vollständigkeit, Richtigkeit, Aktualität, Herkunftsnachweis und konsistente Weiterverarbeitung. Ein Readiness-Nachweis erfasst die Kundenakte und den Datenweg bis in Risiko- und Monitoring-Systeme.
Wirtschaftlich Berechtigte
Befund. FATF und Egmont Group werteten 106 Fälle und Typologien aus 34 Jurisdiktionen aus und beschreiben, wie Rechtsträger und Rechtsvereinbarungen zur Verschleierung von Eigentum und Kontrolle genutzt werden [5]. Die Quelle stammt aus 2018 und beruht auf bekannt gewordenen Fällen.
Einordnung. Die AMLR verlangt, anderweitige Kontrolle unabhängig von und parallel zur Eigentumsbeteiligung zu ermitteln [4]. Wirtschaftliches Eigentum durch Beteiligung liegt bei 25 % oder mehr vor; indirektes Eigentum wird über die Beteiligungskette multipliziert, und die Ergebnisse mehrerer Ketten werden addiert [4]. Ein Registerauszug ist damit Bestandteil der Evidenz, aber kein Abschluss der Prüfung. Das geltende GwG verlangt bereits heute, die Eigentums- und Kontrollstruktur zu dokumentieren [10].
Risikobasierte Aktualisierung
Befund. Die FCA fand Institute, die ihre eigenen Vorgaben zu periodischen Reviews nicht einhielten, und Vorgaben ohne Festlegung von Frequenz und anlassbezogenem Vorgehen [3]. Die EBA berichtet für Kreditinstitute häufige Mängel bei der Kundenrisikoeinstufung [1].
Einordnung. Eine niedrige Überfälligkeitsquote ist nur aussagekräftig, wenn Risikoeinstufung und Grundgesamtheit stimmen. Zu niedrige Risikoklassen verlängern Fristen scheinbar regelkonform. Das ist eine methodische Möglichkeit, keine aus den Quellen bezifferte Häufigkeit.
Monitoring und Bearbeitung von Treffern
Befund. Die BaFin fand unzureichende institutsspezifische Parametrisierung, Indizienmodelle, die nicht alle Risikobereiche der Risikoanalyse abdeckten, fehlende Dokumentation der regelmäßigen Überprüfung sowie Rückstände bei der Bearbeitung von Treffern und verspätete Verdachtsmeldungen [2]. Die HKMA beschreibt, dass ungeeignete Kundensegmentierung höhere Risiken unüberwacht lassen kann und dass bei Systemumstellungen übersehene Daten zu lang anhaltenden Lücken führen können [6]. Die EBA nennt eine unzureichende Kalibrierung von Monitoring- und Screening-Systemen als häufige Mängelursache [1]. Die MAS führt die Verstöße der neun betroffenen Institute auf eine mangelhafte oder uneinheitliche Umsetzung vorhandener Strategien und Kontrollen zurück [11].
Einordnung. Monitoring-Readiness beantwortet drei getrennte Fragen: Werden alle relevanten Daten und Produkte erfasst, entstehen geeignete Treffer, und werden sie fachlich richtig bearbeitet? Eine niedrige Trefferzahl kann gute Kalibrierung oder fehlende Erkennung bedeuten. Die Vollständigkeit der überwachten Population ist deshalb vor der Qualität einzelner Treffer zu prüfen.
Kontrollnachweise und unabhängige Prüfung
Befund. Die BaFin fand Kontrollpläne, die nicht alle Geschäftsbereiche und Themen abdeckten, nicht regelmäßig aktualisiert wurden und Überwachungshandlungen ohne aussagekräftige Dokumentation [2]. Die FCA fand fehlende Nachweise verstärkter Sorgfaltsmaßnahmen und in einem Institut dieselben Mitarbeitenden in Kundenaufnahme und Zweitlinienprüfung derselben Kunden [3]. FINTRAC betrachtet eine Maßnahme erst dann als geschlossen, wenn das Institut alle angemessenen Korrekturen nachweisen kann [8].
Einordnung. Fehlende Evidenz und nachgewiesene Nichtdurchführung sind nicht dasselbe, begrenzen aber beide die Prüfbarkeit. Die Bewertung unterscheidet deshalb „nicht nachgewiesen“ von „nachweislich nicht durchgeführt“. Eine wesentliche Maßnahme endet mit einer dokumentierten Wirksamkeitsnachprüfung, nicht mit einer Erledigtmeldung.
Management und Ressourcen
Befund. Die BaFin beobachtet regelmäßig, dass Geldwäschebeauftragte ihren Aufgaben nicht ausreichend nachkommen können, und wertet es als klares Warnzeichen, wenn konkrete Warnungen zugunsten von Ertragsmöglichkeiten unberücksichtigt bleiben [2]. Die EBA beschreibt für schnell wachsende FinTech-Institute Personal, das für die Menge der erzeugten Treffer nicht ausreichte [1].
Einordnung. Wirksamkeit auf Leitungsebene zeigt sich daran, ob aus einem wesentlichen Befund eine Entscheidung zu Verantwortung, Ressourcen, Frist und Nachprüfung folgt. Die AMLR verlangt angemessene personelle, technologische und sonstige Ressourcen für die Compliance-Funktionen [4].
Gegenbefunde
Die HKMA fand bei den meisten geprüften Instituten Gremien zur Steuerung des Transaktionsmonitorings, regelmäßige Tests zu Datenqualität und Datenherkunft und eine Mehrheit korrekt funktionierender Szenarien [6]. Die Aussage, automatisiertes Monitoring sei überwiegend wirkungslos, ist mit diesem Befund nicht vereinbar.
Die EBA berichtet sinkende Restrisiken zwischen 2021 und 2024 unter anderem bei Kreditinstituten und in den drei Kapitalmarktsektoren, zugleich aber steigende Restrisiken bei Zahlungsinstituten [1]. Verbesserungen auf Sektorebene und erhebliche Defizite in einzelnen Prozessen bestehen nebeneinander.
Übertragbarkeit auf die Zielsektoren
Internationale Befunde dienen hier als Prüfhinweise, nicht als in Deutschland geltende Vorgaben. Die EBA-Befunde sind für EU-Institute am engsten anschlussfähig. Für Banken stehen die unwirksame Anwendung vorhandener CDD-Verfahren und die Risikoeinstufung im Vordergrund [1]. Für Zahlungsinstitute nennt die EBA Schwächen bei der Kundenverifizierung und steigende Restrisiken [1]. Für Wertpapierinstitute hebt die EBA Mängel bei Verdachtsmeldungen und bei der Wirksamkeit der laufenden Überwachung hervor [1]. Die kanadischen und südafrikanischen Zahlen beziehen sich auf überwiegend andere Verpflichtetengruppen und stützen nur die methodische Aussage, dass Abhilfebedarf in risikobasierten Prüfungen verbreitet ist.
