Geldwäsche erkennen, die keine Regel findet

Ausgangslage

Banken müssen jede Zahlung überwachen. Dafür gibt es Regeln. Ein Betrag über einer Grenze. Ein Land auf einer Liste. Mehrere Bareinzahlungen in kurzer Zeit. Diese Regeln arbeiten zuverlässig - bei den Fällen, für die sie gemacht sind.

Es gibt aber Fälle, bei denen keine einzige Regel anschlägt:

• Ein Konto bewegt sehr viel Geld. Jede einzelne Buchung bleibt unter der Grenze.
• Geld läuft über fünf Konten weiter. Jede Überweisung sieht für sich normal aus.
• Jemand denkt sich Beträge aus. Jeder Betrag ist plausibel.

Solche Fälle stehen in keiner Zeile. Sie stehen zwischen den Zeilen.

Das Problem gibt es nicht nur bei Geldwäsche. Beim Handel mit Zertifikaten, bei Cum-Ex-Geschäften, beim Betrug im Energiehandel ist es dasselbe: Millionen Buchungen, und das Auffällige liegt im Zusammenhang vieler Zeilen - wer mit wem, in welcher Reihenfolge, in welcher Höhe. Mit einer Tabellenkalkulation kommt man da nicht weit. Nicht wegen der Formeln, sondern wegen der Menge: Eine Tabelle zeigt Zeilen. Sie zeigt keine Wege.

Was wir gemacht haben

Wir haben drei Verfahren gebaut und auf denselben Daten gemessen. Jedes sieht etwas anderes.

• Das Regelwerk. Feste Grenzen und Listen. Es bleibt die Grundlage und findet seine Fälle vollständig.
• Der Vergleich mit ähnlichen Konten. Jedes Konto wird mit vergleichbaren Konten verglichen und mit seinem eigenen Verhalten im Vorjahr. Auffällig ist dann nicht der Betrag, sondern die Abweichung.
• Die Analyse der Zahlungswege. Alle Zahlungen werden als Netz betrachtet. Wer zahlt an wen? Entsteht eine Kette? Fließt Geld im Kreis? Teilen sich mehrere Konten dieselben Geldgeber?

Davor steht die wichtigste Frage im Alltag: Wo soll ein Mensch zuerst hinschauen? Zwei einfache Prüfungen beantworten sie, bevor aufwendige Analysen starten. Die eine schaut auf die Dichte des Zahlungsnetzes. Die andere auf die Ziffern in den Beträgen.

Der Ablauf im Überblick: Was der Gesetzgeber verlangt, was eine Bank heute tut, und wo die Verfahren ansetzen.

Was dabei herauskam

Die einfachen Prüfungen verkürzen die Arbeitsliste erheblich.

Vorher 200 Konten, danach eines. Das ist der Unterschied zwischen Heuhaufen und Nadel.

Dieser Wert gilt für die Prüfung der Netzdichte. Dafür reicht die Zahl der Verbindungen je Konto und die Frage, welche Konten überhaupt zusammenhängen. Ketten werden dabei noch gar nicht verfolgt. Die Ziffernprüfung wirkt in derselben Größenordnung: aus 16 Konten wird eines.

Der zweite Befund war ebenso nützlich. Die drei Verfahren prüfen Unterschiedliches. Wenn trotzdem alle drei auf dasselbe Konto zeigen, ist das kein Zufall - und kein doppelter Treffer. Es ist ein Hinweis.

Einblicke

Alle Abbildungen stammen aus einem Demonstrator mit erfundenen Daten. Die Bank, für die wir gearbeitet haben, und ihre Zahlen sind darin nicht enthalten. Aufbau und Verfahren entsprechen dem, was im echten Projekt entstanden ist.

Wo mehrere Verfahren zusammenfallen. An jedem Kreis steht, wie viele Konten dieses Verfahren insgesamt meldet. In den Überschneidungen steht, wie viele davon auch ein zweites Verfahren gefunden hat. In der Mitte die, auf die alle drei zeigen. Dort schaut man zuerst hin.

Aus mehreren hundert Treffern je Verfahren werden 137 Konten, auf die alle drei zeigen.

Was die Verfahren jeweils finden. Für jede Art von Fall zeigt der Balken, wie viel davon gefunden wird. Das Regelwerk findet aufgeteilte Bareinzahlungen und Zahlungen in Risikoländer vollständig. Bei Ketten und Kreisläufen meldet es nichts. Dort liefern die anderen Verfahren.

Jedes Verfahren hat seinen Bereich. Das Regelwerk deckt zwei von sechs ab - die allerdings ganz.

Eine Kette, sichtbar gemacht. Dasselbe Geld läuft über mehrere Konten. Bei jeder Station bleibt ein kleiner Teil hängen. Als Liste von Buchungen fällt das nicht auf. Als Weg sofort.

Jede Überweisung für sich ist unauffällig. Der Weg ist es nicht.

Erfundene Beträge erkennen. Wer sich Buchungen ausdenkt, verteilt die Zahlen ungefähr gleichmäßig. Echte Beträge tun das nicht: Sie fangen viel öfter mit einer 1 an als mit einer 9. Wer das nicht weiß, fällt genau dadurch auf - und die wenigsten, die Zahlen erfinden, wissen es.

So sieht es aus, wenn Beträge entstanden sind: die 1 steht am häufigsten vorn.

Und so, wenn jemand sie gesetzt hat: die 1 fehlt, die Mitte ist überbesetzt.

Die Arbeitsliste. Am Ende steht keine Theorie, sondern eine Liste. Jeder Eintrag nennt die Regel, die ihn ausgelöst hat, die Begründung in Zahlen und die Vorschrift, auf die er einzahlt.

Was ein Prüfer am Montagmorgen vor sich hat.

Was davon bleibt

Die drei Verfahren hängen nicht am Thema Geldwäsche. Sie hängen an der Form der Daten: viele Buchungen, viele Beteiligte, Auffälligkeiten im Zusammenhang statt in der einzelnen Zeile. Diese Form hat auch der Zertifikatshandel. Und der Energiehandel. Und eine Cum-Ex-Konstruktion.

Was man dafür braucht, ist kein neues Fachwissen über jede dieser Welten. Man braucht ein methodisches Vorgehen: erst billig filtern, dann teuer prüfen, und mehrere unabhängige Verfahren nebeneinander, damit sich ihre Treffer gegenseitig schärfen.

Ohne dieses Vorgehen findet man die Fälle nicht. Nicht, weil zu wenig hingeschaut wird - sondern weil man nicht sehen kann, wonach man nicht sucht.