Nach der Meldung

Die Einreichung einer Meldung über eine verdächtige Transaktion schließt eine Untersuchung ab, aber nicht das Risiko. Der Kunde kann weiterhin aktiv sein, dasselbe Netzwerk kann weitere Konten erreichen, und die Meldung selbst ist ein Datenpunkt dafür, wie gut das Programm funktioniert. Was ein Unternehmen nach der Einreichung mit dem Konto, mit Rückmeldungen und mit den eigenen Kennzahlen unternimmt, zeigt den Aufsichtsbehörden, ob die Meldung eine wirksame Kontrolle oder bloße Pflichterfüllung ist.

Entscheidungen zum Konto

Eine Meldung verpflichtet das Unternehmen nicht dazu, die Geschäftsbeziehung mit dem Kunden zu beenden, und ein automatischer Ausstieg nach jeder Meldung ist schlechte Praxis: Er kann den Kunden warnen, Aktivitäten zu weniger aufmerksamen Unternehmen verlagern und Einblicke zunichtemachen, die für die Behörden wertvoll sein könnten. Die Entscheidung ist eine eigenständige, risikobasierte Beurteilung, die zusammen mit der Meldung dokumentiert wird.

Wiederholte Meldungen zum selben Kunden sind ein starkes Signal. Viele Unternehmen legen in einer Richtlinie fest, dass eine zweite oder dritte Meldung eine Überprüfung der Geschäftsbeziehung durch einen höheren Ausschuss auslöst, damit nicht immer wieder Meldungen über einen Kunden eingereicht werden, ohne dass sich etwas ändert. Die Beendigung der Geschäftsbeziehung selbst folgt den Verfahren aus der Lektion Laufende Sorgfaltspflichten und Beendigung der Geschäftsbeziehung.

Ein strukturierter Entscheidungsvermerk stellt die Verbindung zwischen Meldung, Entscheidung und Nachverfolgung her:

{
  "str_ref": "STR-2026-1172",
  "fiu_ack": "received 2026-09-22",
  "customer_id": "C-77310",
  "prior_reports": 1,
  "decision": "RESTRICT",
  "restriction": "fiat payouts suspended; crypto withdrawals to whitelisted addresses only",
  "monitoring": ["post-STR watchlist", "daily review of inbound USDT"],
  "review_due": "2026-12-22",
  "approved_by": "MLRO",
  "exit_review_trigger": "any further report"
}

Der Vermerk verknüpft die Referenz der Meldung und die Eingangsbestätigung der FIU mit der Entscheidung zum Konto, der zusätzlichen Überwachung, einem Überprüfungstermin und der genehmigenden Person. Der Auslöser für eine Überprüfung der Beendigung der Geschäftsbeziehung macht die Eskalationsregel ausdrücklich, sodass die nächste Analystin oder der nächste Analyst sie nicht erst wieder herausfinden muss.

Fortgesetzte Überwachung

Nach einer Meldung gilt der Kunde als bekanntes Hochrisiko, und die Überwachung sollte dies berücksichtigen:

• den Kundenrisikowert erhöhen und den regelmäßigen Überprüfungszyklus verkürzen;
• das Konto und verknüpfte Konten (gemeinsam genutzte Geräte, Adressen, Zahlungsdaten) mit niedrigeren Meldeschwellen auf eine Beobachtungsliste nach der Meldung setzen;
• die in der Meldung genannten Gegenparteien überprüfen, damit neue Kunden, die mit demselben Netzwerk verbunden sind, bei der Aufnahme erkannt werden;
• das Konto zum festgelegten Termin überprüfen und dokumentieren, ob sich der Verdacht erhärtet, abgeschwächt oder geklärt hat.

Betraf die Meldung ein mutmaßliches Opfer, etwa einen Kunden, der Ersparnisse an einen Anlagebetrug sendet, hat die fortgesetzte Überwachung auch einen Schutzzweck: Warnungen vor weiteren Überweisungen an dieselben Empfänger, eine Bedenkzeit bei größeren Auszahlungen und die Prüfung, ob der Kunde die Polizei kontaktiert hat. Diese Maßnahmen schützen den Kunden, ohne die Meldung offenzulegen.

Setzt sich die verdächtige Aktivität fort, erwarten viele FIUs eine weitere Meldung statt Schweigen. Eine Folgemeldung nennt die frühere Referenznummer, behandelt ausschließlich den neuen Zeitraum und führt aus, was sich geändert hat. Die nationalen Vorschriften unterscheiden sich darin, ob Meldungen über fortgesetzte Aktivitäten vorgeschrieben sind und wie häufig sie erfolgen müssen; daher legt das Verfahren des Unternehmens für jedes Land die örtliche Vorschrift fest.

Rückmeldungen der FIU und Austausch von Typologien

Empfehlung 34 (Leitlinien und Rückmeldungen) verlangt von den zuständigen Behörden, Aufsichtsbehörden und Selbstregulierungsstellen, Leitlinien festzulegen und Rückmeldungen bereitzustellen, die meldenden Unternehmen helfen, insbesondere bei der Erkennung und Meldung verdächtiger Transaktionen. Rückmeldungen gibt es in mehreren Formen:

Die Interpretative Anmerkung zu Empfehlung 29 beschreibt die strategische Analyse von Trends und Mustern durch die FIU, aus der viele Materialien zu Typologien hervorgehen. Internationale Gremien tragen ebenfalls dazu bei: Die FATF veröffentlicht Berichte zu Warnsignalen und Typologien, und Mitglieder der Egmont Group tauschen Indikatoren mit den meldenden Unternehmen aus.

Rückmeldungen sind oft begrenzt, insbesondere fallspezifische Rückmeldungen, da Vertraulichkeit gewahrt werden muss. Unternehmen können dennoch aus indirekten Signalen lernen: einer Aufforderung zur Bereitstellung zusätzlicher Informationen, einer die Meldung anführenden Herausgabeanordnung oder einer darauf folgenden Sperranordnung. Werden diese Signale für jede Meldung dokumentiert, entsteht ein Bild davon, welche Fälle die Behörden als nützlich erachtet haben.

Managementinformationen und Berichterstattung an den Vorstand

Die Geschäftsleitung und der Vorstand müssen wissen, ob die Meldungen wirksam sind, ohne vertrauliche Einzelheiten einzusehen. Die Managementinformationen (MI) zu Meldungen werden aggregiert und anonymisiert; Namen und Falldetails bleiben bei der Compliance-Funktion.

Zahlen allein sagen dem Vorstand nicht, was zu tun ist. Ein guter Quartalsbericht enthält einen kurzen Kommentar zu neuen Typologien, bemerkenswerten Fällen in anonymisierter Form, Themen aus Rückmeldungen der FIU, Kapazität im Verhältnis zur Arbeitslast und allen Entscheidungen, die der Vorstand treffen muss, etwa ob ein Rückstandsrisiko akzeptiert oder die Finanzierung weiterer Ermittler genehmigt werden soll.

Das Meldevolumen ist kein Ziel. Die Erklärung zur wirksamen Überwachung verdächtiger Aktivitäten der Wolfsberg Group (Teil I, Juli 2024; Teil II, August 2025) führt aus, dass die Wirksamkeit anhand der Qualität der an Strafverfolgungsbehörden weitergegebenen Hinweise und nicht anhand der Anzahl eingereichter Meldungen beurteilt werden sollte, und warnt vor defensiver Meldung: Meldungen, die dem Schutz des Unternehmens dienen und nicht auf einem begründeten Verdacht beruhen. Ein plötzlicher Anstieg des Volumens kann auf eine bessere Erkennung hindeuten oder auf ein neues Szenario, das schwache Meldungen hervorbringt.

-- Monatliches Einreichungsvolumen und mediane Tage von der Eskalation bis zur Einreichung
SELECT EXTRACT(YEAR FROM filed_at)  AS yr,
       EXTRACT(MONTH FROM filed_at) AS mon,
       COUNT(*) AS reports,
       PERCENTILE_CONT(0.5) WITHIN GROUP (
         ORDER BY CAST(filed_at AS DATE) - CAST(escalated_at AS DATE)
       ) AS median_days_to_file
FROM str_register
WHERE filed_at IS NOT NULL
GROUP BY EXTRACT(YEAR FROM filed_at), EXTRACT(MONTH FROM filed_at)
ORDER BY yr, mon;
-- Median und Datumsarithmetik unterscheiden sich je nach Datenbank-Engine (MEDIAN, DATEDIFF, DATE_DIFF)

Die Abfrage zählt die in jedem Monat eingereichten Meldungen sowie die mediane Anzahl der Tage zwischen der Eskalation an den MLRO und der Einreichung. Der Median wird verwendet, weil einige wenige komplexe Fälle einen Durchschnitt verzerren würden. Ein Vergleich des Ergebnisses mit dem internen Standard des Unternehmens zeigt, ob die fristgerechte Bearbeitung nachlässt, bevor eine Prüferin oder ein Prüfer dies feststellt.

Auswertung gewonnener Erkenntnisse

Jede Meldung ist ein Beleg dafür, wie das Programm funktioniert. Bei einer kurzen Überprüfung nach der Einreichung wird gefragt, wie die Aktivität erkannt wurde, wie lange sie vor der Erkennung andauerte und welche Kontrolle sie früher hätte erkennen oder verhindern können. Die Antworten fließen in mehrere Kreisläufe ein:

• Erkennung: neue oder angepasste Szenarien sowie Tests unterhalb des Schwellenwerts, der den Fall nicht erfasst hat (siehe die Lektion Feinabstimmung, Kennzahlen und Modell-Governance);
• Aufnahme und Risikobewertung: neue Risikofaktoren, etwa ein Gerätemuster oder eine Art von Gegenpartei;
• Risikobewertung: aktualisierte Typologie-Risikoexposition in der unternehmensweiten Risikobewertung;
• Schulungen: anonymisierte Fälle für rollenspezifische Schulungen;
• Typologienbibliothek: eine gepflegte interne Sammlung von Mustern, jeweils mit Beispielen, Indikatoren und den Szenarien, die sie abdecken.

Den Kreislauf zu schließen bedeutet, jede Änderung bis zum Abschluss nachzuverfolgen und ihre Wirkung zu messen, beispielsweise ob ein neues Szenario Meldungen hervorbringt, zu denen die Behörden weitere Schritte unternehmen. Anschließend prüft eine unabhängige Kontrolle, ob der gesamte Ablauf – von der Meldung über die Entscheidung zum Konto bis zur Programmänderung – wie beschrieben funktioniert.

Prüfungsschwerpunkt: Eine Meldung erfordert keine Beendigung der Geschäftsbeziehung; die Optionen, fortzufahren, einzuschränken, die Geschäftsbeziehung zu beenden oder das Konto auf Ersuchen einer Behörde offenzuhalten; wiederholte Meldungen als Auslöser für eine Überprüfung der Beendigung der Geschäftsbeziehung; Überwachung nach der Meldung und Folgemeldungen, die frühere Referenzen nennen; Rückmeldungen nach R.34 und ihre Formen sowie indirekte Signale des Nutzens; aggregierte, vertrauliche MI und die wichtigsten Kennzahlen (Umwandlungsrate, Zeitnähe, Rückstand, Qualität, Nachfragen); warum das Volumen kein Ziel ist und welches Risiko defensive Meldungen bergen; Erkenntnisse in die Erkennung, Aufnahme, Risikobewertung, Schulungen und eine Typologienbibliothek einfließen lassen.