Eine wirksame Meldung verfassen

Eine Verdachtsmeldung ist nur so nützlich wie das, was ein FIU-Analyst ihr innerhalb weniger Minuten entnehmen kann. Viele Meldungen werden eingereicht, ohne dass daraufhin Maßnahmen ergriffen werden, weil die Sachverhaltsdarstellung lediglich den Warnmeldungstext kopiert, den Verdachtsgrund im Text versteckt oder Hunderte von Transaktions-Hashes auflistet, ohne zu erläutern, was diese zeigen. Eine klare, durch Belege gestützte Meldung zu verfassen, ist eine Kernkompetenz für alle, die Fälle eskalieren oder Meldungen zur Einreichung freigeben.

Wer die Meldung liest und was diese Personen benötigen

Der erste Leser ist in der Regel ein FIU-Analyst, häufig unterstützt durch eine automatisierte Erstbewertung, die eingehende Meldungen einstuft. Meldungen können später an Polizei, Staatsanwaltschaften, Steuer- oder Sanktionsbehörden oder eine ausländische FIU weitergegeben werden; Teile davon werden möglicherweise Jahre später in Gerichtsverfahren gelesen. Keine dieser Personen kann auf das Fallbearbeitungssystem oder das Analysetool des Unternehmens zugreifen. Die Meldung muss für sich allein verständlich sein.

Die meisten FIUs nehmen Meldungen über ein strukturiertes Formular oder Dateiformat entgegen, mit Feldern für betroffene Personen und Rechtsträger, Konten, Transaktionen und Indikatoren sowie einer Sachverhaltsdarstellung im Freitext. Viele nutzen XML-basierte Meldesysteme wie das von UNODC entwickelte goAML. Strukturierte Felder ermöglichen es der FIU, Meldungen verschiedener Unternehmen miteinander abzugleichen; die Sachverhaltsdarstellung erklärt, warum die Tatsachen verdächtig sind. Beides muss übereinstimmen: Eine Adresse, die in der Sachverhaltsdarstellung vorkommt, aber in den Transaktionsfeldern fehlt, kann nicht automatisch abgeglichen werden.

Formulare und Felddefinitionen sind national geregelt. Daher konzentriert sich die nachfolgende Methode auf Inhalte, die jede FIU benötigt.

Aufbau: wer, was, wann, wo, warum und wie

Eine verlässliche Sachverhaltsdarstellung beantwortet sechs Fragen, normalerweise in dieser Reihenfolge nach einer kurzen einleitenden Zusammenfassung.

Beginnen Sie mit zwei oder drei Sätzen, die das Ergebnis voranstellen: wer was getan hat, in welcher Höhe, über welchen Zeitraum und warum das Unternehmen einen Verdacht hegt. Wer nur bis dahin liest, sollte dennoch wissen, ob der Fall für ihn relevant ist.

Schreiben Sie anschließend chronologisch oder entlang des Geldflusses, nicht in der Reihenfolge, in der die ermittelnde Person zufällig auf die Sachverhalte gestoßen ist. Nennen Sie zum Schluss die Maßnahmen des Unternehmens (Einschränkungen, Beendigung der Geschäftsbeziehung, fortgesetzte Überwachung) sowie etwaige frühere Meldungen mit Bezug zum Fall unter Angabe ihrer FIU-Referenznummern.

On-Chain-Belege darstellen

On-Chain-Tatsachen können von jedem überprüft werden. Das macht sie zu aussagekräftigen Belegen, sofern sie präzise dargestellt werden.

• Vollständige Identifikatoren. Geben Sie vollständige txids und Adressen in den strukturierten Feldern oder in einer Anlage an und nennen Sie die Blockchain. Ein gekürzter Hash lässt sich nicht überprüfen. (In diesem Kurs werden Identifikatoren nur deshalb gekürzt, weil sie fiktiv sind.)
• Blockhöhe und Zeit. Erfassen Sie für wesentliche Transaktionen die Blockhöhe und den UTC-Zeitstempel, damit der Leser sie auffinden kann.
• Beträge. Geben Sie den nativen Betrag und den Fiatwert einschließlich Quelle und Zeitpunkt an. Nennen Sie bei Token den Token-Vertrag: „USDT“ existiert auf mehreren Blockchains.
• Exposition mit Methode. Geben Sie an, ob die Exposition direkt oder indirekt ist, wie viele Hops vorliegen, wie hoch der prozentuale Anteil ist, welcher Kategorie die Exposition zugeordnet wird und an welchem Datum das Analyseergebnis erstellt wurde. Zuordnungen ändern sich, und der Leser muss wissen, auf welche Version Sie sich gestützt haben (siehe die Lektion Blockchain-Analyse für Compliance).
• Zusammenfassungen statt Datenmassen. Fügen Sie die vollständige Transaktionsliste als Anlage bei; fassen Sie in der Sachverhaltsdarstellung zusammen („41 Einzahlungen über insgesamt 186.400 USDT von 29 Adressen“) und wählen Sie die wenigen Transaktionen aus, die das Muster belegen.
• Ein Flussdiagramm. Wenn Anlagen akzeptiert werden, erspart ein einfaches Diagramm des Geldflusses mit Beträgen und Datumsangaben an jeder Kante dem Analysten Stunden. Die IDFE-CF-Lektion Geldflüsse visualisieren und visuelle Beweismittel für Gerichte erstellen erläutert, wie Sie ein solches Diagramm ohne irreführende Anordnungen erstellen.

Eine kurze Anlage mit einfachen Spalten funktioniert mit nahezu jedem Meldesystem:

Nr.  UTC-Zeit             Blockchain  Richtung  Betrag        Gegenpartei                      txid
01   2026-09-02 14:07:51  TRON        IN        9,800 USDT    T9xQ…4hRk (nicht gehostet)        7c1e…a90b
02   2026-09-02 15:31:09  TRON        IN        12,500 USDT   TLm2…Vw8P (nicht gehostet)        e44d…0f17
03   2026-09-02 16:02:44  -           FIAT OUT  21,950 USD    Bankkonto mit Endziffern 3301     Auszahlung P-55120
04   2026-09-04 09:12:30  TRON        IN        14,000 USDT   TQa7…r2Nd (nicht gehostet)        19b0…cc5e

Jede Zeile steht für eine Geldbewegung in zeitlicher Reihenfolge, mit der Gegenpartei, wie sie dem Unternehmen bekannt ist, und dem Identifikator, den die FIU zum Abrufen benötigt. Fiatauszahlungen enthalten statt einer txid die interne Referenz des Unternehmens. Die Sachverhaltsdarstellung erklärt anschließend, was die Zeilen zeigen, anstatt sie zu wiederholen.

Sprachlicher Ausdruck von Gewissheit

Meldungen enthalten drei Arten von Aussagen, die in der Sachverhaltsdarstellung klar voneinander getrennt werden sollten:

• Tatsachen: was die Aufzeichnungen zeigen. „Am 2. September 2026 gingen auf dem Konto 9.800 USDT von der Adresse T9xQ…4hRk in der Transaktion 7c1e…a90b ein.“
• Schlussfolgerungen: aus einer Methode abgeleitete Ergebnisse. „Die Blockchain-Analyse ordnet die zwei Hops zurückliegende Absenderadresse einem Cluster zu, das mit einem Anlagebetrugsmodell in Verbindung steht; die Zuordnung wurde am 20. September 2026 erstellt.“
• Einschätzungen: die Beurteilung des Unternehmens. „Wir vermuten, dass der Kunde im Auftrag Dritter Erlöse aus Betrug entgegennimmt.“

Verwenden Sie einfache, einheitliche Begriffe: „beobachtet“ für Tatsachen, „zugeordnet“ oder „deutet darauf hin“ unter Angabe der Methode für Schlussfolgerungen und „wir vermuten“ oder „wir schätzen ein“ für Beurteilungen. Vermeiden Sie es, eine Zuordnung als Tatsache darzustellen („die Adresse gehört einem Betrüger“), und vermeiden Sie Anschuldigungen, die durch die Belege nicht gedeckt sind („der Kunde ist ein Betrüger“). Nennen Sie Einschränkungen: eine Nachverfolgung, die bei einer anderen Börse endet, eine Zuordnung aus nur einer Quelle oder eine Erklärung des Kunden, die nicht überprüft werden konnte. Die IDFE-CF-Lektion Den forensischen Bericht verfassen: Gewissheit und Sprache erläutert, wie Sie Wahrscheinlichkeitsbegriffe mit einer definierten Skala verknüpfen.

Häufige Schwächen

Eine fiktive Sachverhaltsdarstellung als Beispiel

Die folgende Sachverhaltsdarstellung zu einem erfundenen Fall zeigt den Aufbau in der Praxis.

Zusammenfassung. Zwischen dem 2. und 18. September 2026 erhielt unser Kunde M-4471, eine als freiberuflicher Übersetzer registrierte Privatperson, 186.400 USDT im TRON-Netzwerk von 29 nicht miteinander verbundenen, nicht gehosteten Adressen und wandelte nahezu den gesamten Betrag in USD um, die auf ein Bankkonto im Namen des Kunden ausgezahlt wurden. Wir vermuten, dass der Kunde für Dritte Erlöse aus Anlagebetrug entgegennimmt und weiterleitet.

Betroffene Person. M-4471 wurde im März 2026 als Kunde aufgenommen und gab als erwartete Aktivität etwa 2.000 USD pro Monat aus gelegentlichen Kryptokäufen an. Identitätsangaben, Gerätekennungen und IP-Adressen der Anmeldungen sind in den strukturierten Feldern enthalten. Vor September 2026 wies das Konto keine nennenswerte Aktivität auf.

Aktivität. Die 41 Einzahlungen lagen zwischen 3.100 und 14.000 USDT und gingen schubweise ein; die Beträge jedes Schubs wurden innerhalb von zwei Stunden umgewandelt und ausgezahlt (siehe Anlage 1). Die Fiatauszahlungen beliefen sich insgesamt auf 183.950 USD.

Verdachtsgründe. Die Blockchain-Analyse deutet darauf hin, dass 23 der 29 Absenderadressen Gelder direkt oder innerhalb von zwei Hops aus Clustern erhielten, die Anlagebetrugsmodellen zugeordnet werden (Analyse vom 20. September 2026; Anlage 2 enthält das Flussdiagramm). Das Volumen entspricht etwa dem 90-Fachen der angegebenen Aktivität. Im August 2026 teilten uns zwei andere Kunden mit, dass sie Zahlungen an eine betrügerische Handelsplattform geleistet hatten; ihre Zahlungen erreichten drei derselben Absenderadressen.

Kundenkontakt. Am 10. September baten wir den Kunden, die Einzahlungen zu erklären. Der Kunde erklärte, es handle sich um „Handelsgewinne von Freunden“, und legte keine Belege vor. Nach der Anfrage gingen weitere Einzahlungen ein.

Ergriffene Maßnahmen. Fiatauszahlungen wurden am 19. September 2026 bis zum Abschluss der Prüfung eingeschränkt. Zu diesem Kunden wurden zuvor keine Meldungen eingereicht.

Die Sachverhaltsdarstellung stellt das Ergebnis voran, trennt Tatsachen, Schlussfolgerungen und Einschätzung, datiert die Analyse und überlässt die vollständigen Transaktionsdetails den Anlagen.

Prüfungsschwerpunkt: die Bedürfnisse der Leser (eines FIU-Analysten ohne Zugriff auf interne Systeme sowie späterer Empfänger); Übereinstimmung zwischen strukturierten Feldern und Sachverhaltsdarstellung; der Aufbau nach wer, was, wann, wo, warum und wie mit vorangestelltem Ergebnis; Darstellung von On-Chain-Belegen (vollständige txids und Adressen, Blockchain und Token-Vertrag, Blockhöhe und UTC-Zeit, native Beträge und Fiatbeträge, Exposition mit Methode und Datum, Zusammenfassungen mit Anlagen, ein Flussdiagramm); Trennung von Tatsachen, Schlussfolgerungen und Einschätzungen in einfachen Worten; häufige Schwächen und deren Behebung; Aufnahme der Erklärung des Kunden und der ergriffenen Maßnahmen.