95 Prozent Fehlalarm: AML hinkt der Echtzeit hinterher

Schwerpunkt: Identity, KYC & Fraud Prevention

Seit Januar 2025 müssen EU-Zahlungsdienstleister Sofortzahlungen empfangen, seit Oktober 2025 auch senden, inklusive verpflichtender Empfänger-Verifizierung (VoP). Dennoch läuft AML-Bearbeitung bei vielen Instituten noch weitgehend „over night“: Batch-Systeme erzeugen erst am nächsten Tag Alerts, von denen bis zu 95 Prozent falsch positiv sind. Diese Lücke zwischen Zahlungs- und Kontrollgeschwindigkeit, technisch, prozessual und regulatorisch, ist das eigentliche Problem der Instant-Payments-Regulierung.

von Tobias Schweiger, Co-Founder und CEO, Hawk

Die Zukunft gehört zweistufigen Systemen, daher auch die grundlegend andere Architektur sein: nämlich ebenfalls ein zweistufiges Systeme. Der Hot Path als erste Stufe trifft Echtzeitentscheidungen in Millisekunden, schnell und erklärbar, ergänzt um Regeln, wo gesetzlich vorgeschrieben. Eine zweite, nachgelagerte Stufe übernimmt die rechenintensivere Analyse: Netzwerkmuster, komplexere Modelle, Mule-Erkennung über viele Konten und Zeiträume, nahezu in Echtzeit oder über Nacht.

Für entscheidend halte ich, dass beide Stufen auf denselben Daten arbeiten statt in getrennten Silos, sonst geht der Kontext verloren, der Betrug erst erkennbar macht.“

Wo Echtzeit-Analyse an ihre Grenzen stößt

Klassische AML-Systeme sind Batch-Architekturen, optimiert auf Durchsatz statt Latenz. Eine Sofortzahlung verlangt eine Entscheidung in unter einer Sekunde, oft unter 250 Millisekunden, dafür braucht es Hot-Path-Architekturen mit In-Memory-Feature-Stores. Manche Risikomuster lassen sich in dieser Zeit kaum abbilden, weil ihre Erkennung einen größeren Kontext erfordert als die einzelne Transaktion. Etwa das Fan-in/Fan-out-Muster, bei dem viele kleine unauffällige Zahlungen aus unterschiedlichen Quellen auf einem Konto zusammenlaufen oder von dort auf viele Zielkonten verteilt werden. Die European Banking Authority (EBA) scheint das ähnlich zu sehen:

In einer Stellungnahme vom April 2024 räumt die EZB ein, dass die höhere Fraud-Rate bei Sofortzahlungen mit den technischen Grenzen des Transaction-Monitorings unter Zehn-Sekunden-Bedingungen zusammenhängen könnte.“

Wenn Banken den Wechsel auf echte Hot-Path-Verarbeitung vollziehen, ändert sich auch die Prozessseite: Statt AML-Alerts wie gewohnt am nächsten Tag zu bearbeiten, bräuchten sie ein durchgehendes Monitoring inklusive Personal- und Schichtplanung. Die 24/7-Pflicht hat jedoch eine unterschätzte Nebenwirkung: Es gibt kein Wartungsfenster mehr für Batch-Jobs, Deployments oder Migrationen. Zero-Downtime-Deployment wird zur Voraussetzung, eine Anforderung, auf die viele On-Premise- oder monolithische Systeme nicht ausgelegt sind.

Kein Zeitpuffer, kein zweiter Blick

UK-Zahlungsdienstleister dürfen unter den Payment Services (Amendment) Regulations von 2024 eine Zahlung bei begründetem Betrugsverdacht bis zu vier Werktage zurückhalten. Die europäische Instant Payments Regulation kennt kein vergleichbares Halte-Recht. Das erhöht den Druck auf die erste Stufe des Modells: Sie muss nicht nur schnell sein, sondern auch die Fälle zuverlässig abfangen, die sich in Millisekunden entscheiden lassen. Für alles andere gibt es in der EU keinen Zeitpuffer.

Dieser fehlende Zeitpuffer wiegt umso schwerer, weil Sekunden darüber entscheiden, ob Geld zurückzuholen ist. Bei Standard-SEPA existiert ein Recall-Fenster von ein bis zwei Tagen, bei Sofortzahlungen ist das Geld in Sekunden beim Empfänger und sofort weiterleitbar. Mule-Netzwerke nutzen dieses Zeitfenster, um Geld durch mehrere Konten zu schleusen. Oft, bevor eine nachgelagerte Analyse das Muster erkennen könnte. Ist das Geld drei Hops weiter, ist ein Zurückholen praktisch ausgeschlossen.

VoP: Sicherheit, die es nicht gibt

Hinzu kommt: VoP schützt vor fehlerhaften Kontodaten, nicht aber vor Social Engineering wie Romance Scams oder CEO-Fraud, bei denen Kunden an die korrekten Daten eines Betrügers überweisen. VoP zeigt ein existierendes Konto an und suggeriert eine Sicherheit, die es so nicht gibt. Deswegen müssen verhaltensbasierte Fraud-Systeme an Bedeutung gewinnen: Systeme, die untypische Empfänger-Beziehungen und Verhaltensänderungen erkennen, statt sich auf einen grünen Haken zu verlassen.

Warum starre Regeln nicht mehr ausreichen

Klassische AML-Systeme liegen bei einer False-Positive-Rate von bis zu 95 Prozent. Ein Analyst, der im Batch-Betrieb einen Tag Zeit hatte, hat jetzt Sekunden. Deshalb braucht es KI-Modelle, die gezielt False Positives reduzieren. Nicht als Ersatz für Regeln, sondern als Voraussetzung dafür, dass Analysten unter Echtzeit-Druck handlungsfähig bleiben.

Vertrauen und Reputation absichern

Bemerkenswert ist in diesem Zusammenhang, dass die EBA 2024 selbst vorgeschlagen hat, Zahlungsdienstleistern zu erlauben, als hochriskant eingestufte Instant-Zahlungen abzulehnen. Noch kein geltendes Recht, aber ein Hinweis darauf, dass sich auch die Aufsicht in Richtung eines risikobasierten, zweistufigen Denkens bewegt, wie wir es mit dem Zweistufen-System für Finanzinstitute vorschlagen. Wer nur mit mehr Personal oder Regeln gegenhält, wird an der Latenz scheitern. Wer auf lernende, erklärbare KI setzt, die Echtzeit- und Tiefenanalyse verbindet, sichert hingegen Vertrauen und schützt seinen Ruf. Tobias Schweiger/dk