Geldwäscheprävention: "99% der Fälle sind ein Fehlalarm"

Bietet Geldwäscheprävention per KI: Tobias Schweiger CEO hawk:AI — Tobias Schweiger CEO hawk:AI

Ständig entstehen neue Anforderungen und die grundsätzliche Digitalisierung der Finanzinstitute darf auch die Geldwäscheprävention nicht vernachlässigen. Regulierung und Aufsicht verlangen die Weiterentwickelung und auch Themen wie Echtzeitüberweisung oder PSD2 stellen die Banken vor neue Herausforderungen. Im Interview: Tobias Schweiger CEO der hawk:AI. Er will mit KI die Anti-Fraud-Strategie grundsätzlich neu angehen.

Herr Schweiger, jedes regulierte Finanzinstitut ist bereits derzeit verpflichtet, nach dem GwG zu prüfen und Verdachtsfälle zu melden. Warum also etwas ändern?

Extern ausgelöste Echtzeitüberweisungen werden bei vielen Instituten das Verlangen schüren, im Transaktions-Monitoring schneller und effizienter zu werden. Also die Eingangs- und Ausgangsüberweisungen schon dann zu prüfen, wenn sie passieren.

Der generell steigende Kostendruck auf die Banken wirkt zudem als Trigger für eine deutlich effizientere Gestaltung der Geldwäscheprävention durch die Nutzung neuer Technologien. Bislang war die Hauptreaktion der Geldhäuser auf gestiegene Anforderungen vor allem Personalaufbau. Dieser Ansatz wird ein Ende haben müssen.

Welche Defizite sehen Sie denn bei der Geldwäscheprävention?

Die Systeme, die bei den meisten Finanzinstituten in Verwendung sind, haben sich in den vergangenen Jahrzehnten nicht weiterentwickelt. Nachholbedarf besteht vor allem in den folgenden drei Feldern:

Erstens basieren die bestehenden Systeme oft auf starren Regeln, die pauschal und meist ausschließlich für eine einzelne Transaktion eine Beurteilung durchführen. Löst diese Regel einen Alarm aus, wird ein Fall oder Alert erzeugt, der eine manuelle Bearbeitung nach sich zieht. So entsteht eine hohe Zahl an Fehlalarmen, die den Prozess hochgradig ineffizient macht:

99% der Fälle sind ein Fehlalarm oder sogenannte „False Positives“

Zweitens sind heutige Systeme ganz grundsätzlich nicht auf die Analyse von Transaktions-, Stamm- oder Falldaten ausgelegt, um zum Beispiel regelmäßig eine risikobasierte Segmentierung der Kunden durchzuführen. Auch die Möglichkeit, aus vergangenen Fallentscheidungen der Bank zu lernen, ist in der Regel nicht gegeben. Am schwerwiegendsten aber ist: Anomalien im Verhalten von einem oder mehreren Kunden werden nicht erkannt. Es fehlt damit jede Möglichkeit, vorausschauend an der Risikominimierung für die Bank zu arbeiten.

Drittens sind die heutigen Systeme oft nicht in der Lage, Arbeitsabläufe optimal zu gestalten. Starre Software-Architektur macht es unmöglich, externe Quellen schnell zu integrieren und für die Bearbeiter sichtbar zu machen. Damit vergibt das Finanzinstitut die Möglichkeit, Abläufe zu verschlanken, umfänglicher zu dokumentieren – und nicht zuletzt: die Mitarbeiterzufriedenheit zu erhöhen.

Zusammengefasst: Die Systeme der alten Welt können nur mit starren Regeln, aber nicht mit Daten umgehen. Gerade diese Daten sind aber der Schlüssel zu besseren Ergebnissen.

Mit welchen Technologien kann man diese Defizite aus Ihrer Sicht besser bearbeiten?

Der Einsatz von maschinellem Lernen ist die aus meiner Sicht einzige Lösung, um Erkenntnisse aus den ja zweifellos vorliegenden Datenmengen zu gewinnen und zur Verbesserung der Prozesse einzusetzen.”

Je nach Anwendungsfall werden damit etablierte Methoden wie „Supervised Machine Learning“ eingesetzt, um aus menschlichem Verhalten der Vergangenheit Vorhersagen darüber zu treffen, wie ein menschlicher Bankmitarbeiter im aktuell vorliegenden Fall entscheiden würde. Ist sich die Maschine sicher genug, kann eine manuelle Prüfung gegebenenfalls unterbleiben.

Geht es darum, Anomalien im Transaktionsverhalten eines Konto- oder Depotinhabers festzustellen, sind Methoden wie „Unsupervised Machine Learning oder „Deep Learning“ sinnvoll. Nur so können jenseits der bisher angewendeten, starren Regeln neue Kriminalitätsmuster aufgedeckt werden.

Das wird aber jetzt nicht so einfach mit den jetzigen Systemen funktionieren, oder? Was muss dafür auf der Infrastrukturseite passieren?

Bei alledem spielt die Cloud eine große Rolle. Dafür gibt es drei Gründe:

Die Software kann erstens jederzeit auf dem aktuellsten Stand gehalten werden, ohne dabei den Beschränkungen der Bank-IT unterworfen zu sein, etwa, um auf neue Regulatorik zu reagieren.

Autor Tobias Schweiger, hawk:AI

Tobias Schweiger ist Mitgründer und Chief Executive Officer (CEO) der hawk:AI (Website), einem Anbieter einer Softwarelösung zur Geldwäscheprävention mit Sitz in München. Vor Gründung der hawk:AI war er Vorstand der PAY.ON AG mit insgesamt 120 Mitarbeitern an den Standorten München, New York und Salzburg. Als Chief Financial/ Operating Officer (CFO/COO) zeichnete er bei PAY.ON für den Aufbau von Strukturen in Vertrieb, Kundenimplementierung und im Bereich Finanzen verantwortlich. 2015 war er ebenso für den erfolgreichen Verkauf des Unternehmens an ACI Worldwide in Naples, Florida, USA, mitverantwortlich.

Wird zweitens eine zentrale Cloud-Infrastruktur genutzt – am besten von gleich mehreren Instituten – ergeben sich Kosteneinsparungsmöglichkeiten bei der Implementierung der Lösung, genauso wie auch im Betrieb. Natürlich ist auch die einfache Skalierbarkeit für steigende Datenmengen ein Punkt.

Drittens ermöglicht es nur die Datenverarbeitung an zentraler Stelle, auch institutsübergreifend Analysen durchzuführen – dies ist vor allem wichtig, um Anomalien festzustellen, die erst im Zusammenspiel mehrerer Kontoinhaber sichtbar werden.

Und welche Vorteile haben die Institute davon? Rechnet sich das?

Ja, das rechnet sich. Die Vorteile werden an zwei Stellen deutlich:

Erstens führt die Reduktion von False Positives zu weniger Arbeitsaufwand in der manuellen Bearbeitung von Verdachtsfällen. Dadurch werden Ressourcen frei, die abgebaut oder anderweitig eingesetzt werden können. In wachstumsstarken Banken kann das auch bedeuten, dass sich der Personalaufwand im Bereich des Anti Money Laundering nicht linear mit der Kundenzahl nach oben schraubt. In jedem Fall ist der Einsatz moderner Technologie – unter Einbezug von Implementierungs- und Betriebskosten – ein klarer Beitrag zur Effizienz der Bank, der das operationelle Risiko nicht erhöht.

Zweitens führt die analytische Vorgehensweise mit neuen Algorithmen dazu, dass auch in komplexen Sachlagen Anomalien und Verdachtsfälle früher erkannt werden. Das ist ein Beitrag zur Risikominimierung und gegebenenfalls zur Vermeidung von Strafen, denen die Bank ansonsten ausgesetzt sein könnte. Zudem adressiert ein proaktives Vorgehen auch die Reputationsrisiken des Institutes. Banken müssen ihren Vertrauensvorsprung schützen, gerade in Zeiten wie diesen.

Sie würden das sicher nicht so formulieren, wenn hawk:AI die Geldwäscheprävention nicht im Griff hätte. Geben Sie doch mal bitte ein konkretes Beispiel.

Ja, hawk:AI kann das. Mit unseren Kunden können wir sehr schnell live gehen, denn die Implementierung unserer Lösung ist reibungslos – wenn das Finanzinstitut die notwendigen fachlichen und technischen Ressourcen ebenso rückhaltlos bereitstellt wie wir. Ein Beispiel erfolgreicher Zusammenarbeit ist unsere Kooperation mit dem Zahlungsdienstleister Ratepay. Das Unternehmen hat sich nach eigenen Aussagen für die Lösung von hawk:AI entschieden, weil wir in der Lage waren, seine Anforderungen innerhalb von wenigen Wochen umzusetzen und in den Betrieb zu etablieren. Charlotte Ruffin, Compliance Officer von Ratepay, sagt, das habe sehr dabei geholfen, die internen Abläufe regulierungskonform zu optimieren und deutlich effizienter zu gestalten.

Warum wird die neue Technologie zur Geldwäscheprävention von den Banken noch nicht so angenommen, wie Sie sich das wünschen?

Das stimmt so nicht! Die neuen Technologien werden angenommen. Viele Banken haben ihre klare Orientierung hin zur Cloud und Künstlicher Intelligenz bereits öffentlich gemacht. Die Banken müssen sich digitalisieren. Die Schlagworte sind hier Datenorientierung, Skalierbarkeit, Kostendruck. Auch die Regulatorik beginnt die Weichen zu stellen – man schaue sich nur die Publikationen der Bafin an mit Titeln wie „Big Data trifft auf künstliche Intelligenz“ und „Orientierungshilfe zu Auslagerungen an Cloud Anbieter“.

In den vergangenen 18 Monaten hat sich in der deutschen Bankenlandschaft einiges getan – bei großen wie kleinen Häusern.”

Dennoch lässt die Geschwindigkeit des Wandels an vielen Stellen zu wünschen übrig. Zum einen fehlt den Banken in manchen Bereichen schlicht das Wissen und die Kultur, um diese Veränderungen anzugehen. Sowohl in der Führungsebene wie auch in den Fachbereichen.

Neben diesen grundsätzlichen Punkten gibt es auch konkrete Themen, die ein beherztes Handeln bremsen oder sogar verhindern. Viele Entscheider fühlen sich unsicher, wenn es darum geht, Daten an Dienstleister außerhalb der bankeigenen Daten-Infrastrukturen zu übergeben, also an Public-Cloud-Dienstleister wie Amazon Web Services, Google, Microsoft Azure oder die Deutsche Telekom. Diese Bedenken sind auch in Verbindung mit dem zuletzt verschärften Datenschutz zu sehen, zum Beispiel durch die Datenschutz-Grundverordnung 2016/679. Datenschutz ist jedoch meiner Ansicht nach keine tatsächliche Hürde, solange die ausgelagerte Datenverarbeitung richtig durchgeführt wird.

Welche regulatorischen Hürden – vor allem bei der BAIT – sind beim Einsatz von KI und Cloud zu beachten?

BAIT, die Bankenaufsichtliche Anforderungen an die IT als Konkretisierung von MaRisk – zu Deutsch die Mindestanforderungen an das Risikomanagement spielt vor allem im Kontext der „Auslagerung“ in die Cloud eine Rolle. Ihre Relevanz für den Einsatz von KI kann ich nicht erkennen. Ich bin kein Rechtsanwalt, jedoch halte ich die Situation für überschaubar.

Der Datenumzug in die Cloud wird ja auch schon in der Breite gemacht. Natürlich hat eine Bank bei so einer Auslagerung – wie auch für ihre interne IT – regelmäßig eine Risikobeurteilung durchzuführen. Zudem gilt es, im Rahmen des operativen Risikomanagements Notfallpläne zu etablieren. Im Auslagerungsfall kommen noch Exit- und Alternativstrategien zum Tragen.

Kernfragen sind in diesen Zusammenhängen vor allem die Informations- und Prüfungsrechte, die sichergestellt werden müssen. Aus meiner Sicht ist das alles lösbar, wenn das Risikomanagement der Bank mit den Dienstleistern entsprechend konstruktiv zusammenarbeitet.”

Zur Frage der Anwendung von KI in unserem Feld der Geldwäscheprävention: Hier betrachten wir das GwG und die dazugehörigen Auslegungs- und Anwendungshinweise als die relevante Quelle.

Die zentrale Frage an dieser Stelle ist, wie eine Maschinenentscheidung dargestellt werden muss, damit sie der Prüfung standhält.”

Wir bei hawk:AI haben gezeigt, dass es möglich ist, fehlerfrei Fallentscheidungen in mehr Detailtiefe zu dokumentieren, als dies händisch je möglich ist.

Wo wird die Entwicklung ihrer Meinung nach hingehen, und was wird das für die Geldwäscheprävention der Zukunft bedeuten?

Jenseits der schon besprochenen technologischen Fortschritte geht die Entwicklung für mich ganz klar in die Richtung einer deutlich aktiveren Zusammenarbeit auf mehreren Ebenen.

Das Silo-Denken der Finanzinstitute wird ein Ende haben, weil sich Geldwäscheprävention nur dann tatsächlich umsetzen lässt, wenn übergreifend Daten analysiert und Verdachtsfälle qualifiziert werden.”

Der erste Schritt war die Schaffung der Anti Financial Crime Alliance AFCA durch einige deutsche Banken, die Bafin, die Finanical Intelligence Units vom Zoll und das Bundeskriminalamt. Das alles geht in die richtige Richtung. Unsere zentrale, Cloud-basierte Datentechnologie ist hoch relevant, um die Analysen und Informationsaustausch in diesem Kontext zu unterstützen.

Auch die Konzentration der Anti-Geldwäschestrategie auf europäischer Ebene unter dem Dach der European Banking Authority EBA geht in die richtige Richtung. Ich hoffe auf einheitlicheres Vorgehen und mehr Zusammenarbeit zwischen den Meldebehörden auf Basis dieser Initiative. Nur so werden wir die Effektivität des Vorgehens im AML/CFT erhöhen können, wie das „Anti-Money Laundering“ und „Countering the Financing of Terrorism“ international genannt wird.

Zur Unterstützung dieses übergreifenden Vorgehens gehe ich übrigens sogar davon aus, dass für heute noch bestehende Datenschutzbedenken gute Lösungen gefunden werden, beispielsweise im Zuge der Datenanonymisierung. Dann wird das abgestimmte Feststellen und Bearbeiten von Verdachtsfällen zwischen den Instituten möglich.