Einen wirksamen Bericht verfassen

Eine Verdachtsmeldung ist nur so nützlich, wie das, was eine Analystin oder ein Analyst der FIU innerhalb weniger Minuten daraus verstehen kann. Viele Meldungen werden eingereicht, aber nie bearbeitet, weil die Darstellung den Alarmtext kopiert, den Verdachtsgrund verschleiert oder Hunderte von Transaktions-Hashes auflistet, ohne zu erklären, was sie zeigen. Eine klare, belegte Meldung zu verfassen, ist eine Kernkompetenz für alle, die Fälle eskalieren oder Meldungen freigeben.

Wer den Bericht liest und was diese Personen benötigen

Die erste lesende Person ist in der Regel eine Analystin oder ein Analyst der FIU, häufig unterstützt durch eine automatisierte Einstufung, die eingehende Meldungen bewertet. Meldungen können später an die Polizei, Staatsanwaltschaften, Steuer- oder Sanktionsbehörden oder eine ausländische FIU weitergeleitet werden; Teile davon können noch Jahre später in Gerichtsverfahren gelesen werden. Keine dieser Personen kann auf das Fallverwaltungssystem oder das Analysewerkzeug des Unternehmens zugreifen. Der Bericht muss für sich allein verständlich sein.

Die meisten FIUs erfassen Meldungen über ein strukturiertes Formular oder Dateiformat mit Feldern zu betroffenen Personen, Konten, Transaktionen und Indikatoren sowie einer Freitext-Darstellung. Viele nutzen XML-basierte Meldesysteme wie goAML, das von UNODC entwickelt wurde. Strukturierte Felder ermöglichen es der FIU, Meldungen verschiedener Unternehmen miteinander abzugleichen; die Darstellung erklärt, warum die Sachverhalte verdächtig sind. Beides muss übereinstimmen: Eine in der Darstellung genannte Adresse, die in den Transaktionsfeldern fehlt, kann nicht automatisch abgeglichen werden.

Formulare und Felddefinitionen sind von Land zu Land unterschiedlich. Die nachfolgende Methode konzentriert sich daher auf Inhalte, die jede FIU benötigt.

Struktur: wer, was, wann, wo, warum und wie

Eine überzeugende Darstellung beantwortet sechs Fragen, normalerweise in dieser Reihenfolge nach einer kurzen einleitenden Zusammenfassung.

Beginnen Sie mit zwei oder drei Sätzen, die zuerst das Ergebnis nennen: Wer hat was getan, in welcher Höhe, über welchen Zeitraum und warum vermutet das Unternehmen einen Verdacht? Wer nur diesen Abschnitt liest, sollte dennoch erkennen können, ob der Fall für die betreffende Person relevant ist.

Schreiben Sie anschließend chronologisch oder entlang des Geldflusses und nicht in der Reihenfolge, in der die ermittelnde Person die Sachverhalte entdeckt hat. Schließen Sie mit den Maßnahmen des Unternehmens (Einschränkungen, Beendigung der Geschäftsbeziehung, fortgesetzte Überwachung) sowie früheren damit verbundenen Meldungen, die Sie anhand ihrer FIU-Referenznummern angeben.

On-Chain-Belege präsentieren

On-Chain-Sachverhalte sind für alle überprüfbar und dadurch aussagekräftige Belege, sofern sie präzise dargestellt werden.

• Vollständige Identifikatoren. Geben Sie vollständige Transaktions-IDs (txids) und Adressen in den strukturierten Feldern oder einem Anhang an und nennen Sie die Blockchain. Ein gekürzter Hash lässt sich nicht überprüfen. (In diesem Kurs werden Identifikatoren nur deshalb gekürzt, weil sie fiktiv sind.)
• Blockhöhe und Zeit. Erfassen Sie für wichtige Transaktionen die Blockhöhe und den UTC-Zeitstempel, damit die lesende Person sie auffinden kann.
• Beträge. Geben Sie den nativen Betrag und den Fiatwert samt Quelle und Zeitpunkt an. Bei Token ist der Token-Contract zu nennen: „USDT“ existiert auf mehreren Blockchains.
• Exposure samt Methode. Geben Sie an, ob das Exposure direkt oder indirekt ist, wie viele Hops es umfasst, wie hoch der Prozentsatz ist, welche Kategorie zugeordnet wurde und wann das Analyseergebnis erstellt wurde. Labels ändern sich, und die lesende Person muss wissen, auf welche Version Sie sich gestützt haben (siehe die Lektion Blockchain-Analyse für Compliance-Zwecke).
• Zusammenfassungen statt Datenfluten. Fügen Sie die vollständige Transaktionsliste als Anhang bei. Fassen Sie sie in der Darstellung zusammen („41 Einzahlungen über insgesamt 186.400 USDT von 29 Adressen“) und wählen Sie einige wenige Transaktionen aus, die das Muster belegen.
• Flussdiagramm. Wenn Anhänge zulässig sind, spart ein einfaches Diagramm des Geldflusses mit Beträgen und Daten an jeder Verbindung der Analystin oder dem Analysten viele Stunden. In der Lektion Geldflüsse und Graphen visualisieren von IDFE-BA wird erklärt, wie ein solches Diagramm ohne irreführende Anordnung erstellt wird.

Ein kurzer Anhang mit einfachen Spalten funktioniert mit nahezu jedem Meldesystem:

Nr.  UTC-Zeit              Blockchain  Richtung  Betrag        Gegenpartei              txid
01   2026-09-02 14:07:51  TRON        IN        9,800 USDT    T9xQ…4hRk (unhosted)     7c1e…a90b
02   2026-09-02 15:31:09  TRON        IN        12,500 USDT   TLm2…Vw8P (unhosted)     e44d…0f17
03   2026-09-02 16:02:44  -           FIAT OUT  21,950 USD    Bankkonto endet auf 3301 Auszahlung P-55120
04   2026-09-04 09:12:30  TRON        IN        14,000 USDT   TQa7…r2Nd (unhosted)     19b0…cc5e

Jede Zeile steht für eine einzelne Bewegung in zeitlicher Reihenfolge. Sie nennt die Gegenpartei, wie sie dem Unternehmen bekannt ist, sowie den Identifikator, den die FIU benötigt, um den Vorgang abzurufen. Bei Fiat-Auszahlungen wird statt einer txid die interne Referenz des Unternehmens angegeben. Die Darstellung erklärt anschließend, was die Zeilen zeigen, anstatt sie zu wiederholen.

Formulierungen zur Sicherheit der Aussage

Berichte enthalten drei Arten von Aussagen, die in der Darstellung klar voneinander zu unterscheiden sind:

• Fakten: Was aus den Aufzeichnungen hervorgeht. „Am 2. September 2026 erhielt das Konto 9.800 USDT von der Adresse T9xQ…4hRk in der Transaktion 7c1e…a90b.“
• Schlussfolgerungen: Ergebnisse einer bestimmten Methode. „Die Blockchain-Analyse ordnet die Absenderadresse, zwei Hops zurück, einem Cluster zu, das mit einer Anlagebetrugsoperation in Verbindung gebracht wird; die Zuordnung wurde am 20. September 2026 erstellt.“
• Einschätzungen: Das Urteil des Unternehmens. „Wir vermuten, dass die Kundin oder der Kunde im Auftrag Dritter Betrugserlöse entgegennimmt.“

Verwenden Sie einfache, einheitliche Formulierungen: „beobachtet“ für Fakten, „zugeordnet“ oder „weist darauf hin“ samt Angabe der Methode für Schlussfolgerungen sowie „wir vermuten“ oder „wir schätzen ein“ für Urteile. Stellen Sie ein Label nicht als Tatsache dar („die Adresse gehört einem Betrüger“) und vermeiden Sie Anschuldigungen, die durch die Belege nicht gedeckt sind („die Kundin oder der Kunde ist eine Betrügerin oder ein Betrüger“). Benennen Sie Einschränkungen: eine Nachverfolgung, die an einer anderen Börse endet, eine Zuordnung aus nur einer Quelle oder eine nicht überprüfbare Erklärung der Kundin oder des Kunden. In der Lektion Sicherheit, Unsicherheit und Formulierungen von IDFE-BA wird erklärt, wie Wahrscheinlichkeitsbegriffe mit einer festgelegten Skala verknüpft werden.

Häufige Schwächen

Fiktives Beispiel einer ausgearbeiteten Darstellung

Die folgende Darstellung eines erfundenen Falls veranschaulicht den Aufbau in der Praxis.

Zusammenfassung. Zwischen dem 2. und 18. September 2026 erhielt unsere Kundin oder unser Kunde M-4471, eine als freiberufliche Übersetzerin bzw. freiberuflicher Übersetzer registrierte Person, 186.400 USDT im TRON-Netzwerk von 29 voneinander unabhängigen, nicht gehosteten Adressen und wandelte fast den gesamten Betrag in USD um, die auf ein Bankkonto im Namen der Kundin oder des Kunden ausgezahlt wurden. Wir vermuten, dass die Kundin oder der Kunde im Auftrag Dritter Erlöse aus Anlagebetrug entgegennimmt und weiterleitet.

Betroffene Person. M-4471 wurde im März 2026 aufgenommen und gab als erwartete Aktivität etwa 2.000 USD pro Monat aus gelegentlichen Kryptokäufen an. Angaben zur Identität, Gerätekennungen und IP-Adressen für Anmeldungen sind in den strukturierten Feldern erfasst. Vor September 2026 wies das Konto keine nennenswerte Aktivität auf.

Aktivität. Die 41 Einzahlungen lagen zwischen 3.100 und 14.000 USDT und gingen in Schüben ein; jeder Schub wurde innerhalb von zwei Stunden umgewandelt und ausgezahlt (siehe Anhang 1). Die Fiat-Auszahlungen beliefen sich insgesamt auf 183.950 USD.

Verdachtsgründe. Die Blockchain-Analyse weist darauf hin, dass 23 der 29 Absenderadressen direkt oder innerhalb von zwei Hops Gelder von Clustern erhielten, die Anlagebetrugsoperationen zugeordnet wurden (Analyse vom 20. September 2026; Anhang 2 zeigt das Flussdiagramm). Das Volumen ist etwa 90-mal so hoch wie die angegebene Aktivität. Im August 2026 teilten uns zwei andere Kundinnen bzw. Kunden mit, dass sie an eine betrügerische Handelsplattform gezahlt hatten; ihre Zahlungen gingen an drei derselben Absenderadressen.

Kontakt mit der Kundin bzw. dem Kunden. Am 10. September baten wir die Kundin oder den Kunden, die Einzahlungen zu erklären. Die Kundin oder der Kunde erklärte, es handle sich um „Handelsgewinne von Freunden“, und legte keine Nachweise vor. Nach der Anfrage gingen weitere Einzahlungen ein.

Ergriffene Maßnahmen. Die Fiat-Auszahlungen wurden am 19. September 2026 bis zum Abschluss der Prüfung eingeschränkt. Zu dieser Kundin bzw. diesem Kunden wurden zuvor keine Meldungen eingereicht.

Die Darstellung nennt zuerst das Ergebnis, unterscheidet klar zwischen Fakten, Schlussfolgerungen und Einschätzung, datiert die Analyse und überlässt die vollständigen Transaktionsdetails den Anhängen.

Prüfungsschwerpunkt: die Bedürfnisse der lesenden Personen (eine Analystin oder ein Analyst der FIU ohne Einblick in interne Systeme sowie spätere Empfängerinnen und Empfänger); strukturierte Felder und Darstellung müssen übereinstimmen; die Struktur wer-was-wann-wo-warum-wie mit dem Ergebnis zuerst; On-Chain-Belege präsentieren (vollständige txids und Adressen, Blockchain und Token-Contract, Blockhöhe und UTC-Zeit, native Beträge und Fiatbeträge, Exposure samt Methode und Datum, Zusammenfassungen mit Anhängen, ein Flussdiagramm); Fakten, Schlussfolgerungen und Einschätzungen mit einfachen Worten voneinander trennen; häufige Schwächen und ihre Abhilfe; die Erklärung der Kundin oder des Kunden und die ergriffenen Maßnahmen einbeziehen.