Geldwäsche und Betrug: Kann die IT noch der Regulierung standhalten?

Die Bundesregierung zieht in den Kampf gegen Geldwäsche und verabschiedete schon im April eine Ergänzung zum erst Ende Januar beschlossenen Anti-Korruptionsgesetz. Wer soll da noch hinterherkommen? IT Finanzmagazin fragte bei Wolfgang Kelz (TIBCO,  Country Sales Director, D/A/CH) nach – wie Geldwäsche und Betrug heute aufgedeckt werden kann und welche Auswirkung die laufenden Regulierungsänderungen auf die IT haben.

Herr Kelz, können die Banken der enormen Änderungsgeschwindigkeit des Gesetzgebers eigentlich noch hinterherkommen? Was bedeutet diese letzte, erneute Änderung für die Banken-IT?

Schon seit einigen Jahren werden die rechtlichen Rahmenbedingungen für die Finanzwirtschaft kontinuierlich verschärft. Die Kreditinstitute brauchen daher IT-Lösungen, die flexibel genug sind, um diese Änderungen mitzumachen. Aufgrund der aktuell bevorstehenden Anpassung der Rechtslage stehen Lösungen, die Geldwäsche (Anti Money Laundering, kurz AML) erkennen und verhindern können, hoch im Kurs.

Üblicherweise sprechen Anti-Fraud-Anbieter gar nicht gern in der Presse über die eingesetzte Technologie – aber können Sie bitte andeuten, wie Ihre Software Geldwäschern auf die Schliche kommen kann? Wie funktioniert es?

Der Kern einer AML-Lösung ist das Transaction Monitoring, also die laufende Überwachung von Zahlungsströmen in Echtzeit. Dabei werden aus einer Vielzahl an Transaktionen diejenigen herausgefiltert, die Verdachtsmomente enthalten. Das klingt erst einmal relativ einfach, man muss ja nur die Transaktionen mit einem sehr feinen „Kamm“ durchkämmen. Ist der Kamm allerdings zu fein, fischt man zu viele Vorfälle heraus, die sogenannte „false-positive“ Rate steigt. Unschuldige geraten irrtümlicherweise ins Visier.

So durchleuchtet zu werden, wird den Kunden aber nicht gefallen.

Ja, die Kunden sind heute sicher deutlich sensibler und wechselbereiter als früher. Sie reagieren viel stärker auf die Servicequalität ihres Instituts. Umso gravierender ist es, wenn zu viele False-Positives sowie False-Negatives, also tatsächliche, aber nicht erkannte Betrugsfälle auftreten. Das schadet dem Image der Bank enorm und erhöht die Unzufriedenheit der Kunden.

Transaction Monitoring kommt übrigens auch in anderen Feldern zum Einsatz, etwa in der Aufdeckung von Betrugsfällen im Kreditkartengeschäft. Zu viele False-Positives führen auch hier zur Verärgerung des Kunden. Denn wenn die Karte an der Kasse ohne ersichtlichen Grund abgelehnt wird, ist das für einen Kunden unangenehm oder sogar peinlich.

Ist den die Gefahr groß, dass es zu “False-Positives” kommt?

Es gibt immer mehr Fälle von Identitätsdiebstahl und Missbrauch von Kreditkartendaten. Auch die Muster der Angreifer werden immer ausgefeilter. Und das in einem zunehmend komplexen Umfeld.

Wieso komplexer?

Nicht nur die Zahl der Transaktionen und Anfragen steigt rasant. Gleichzeitig nimmt die Zahl der involvierten Partner laufend zu. Das bedeutet: Immer mehr Partner müssen in einen bestehenden oder neuen Service eingebunden werden. Da die eigentliche Transaktion außerhalb des Kreditkarten-Instituts stattfindet, ist die IT besonders gefordert. Auch die technische Infrastruktur wird immer vielschichtiger: Die Zahl der Geräte, der Schnittstellen (APIs), der anfragenden Locations. Es kommen auch immer mehr Signaturen und Authentifizierungen zum Einsatz. Außerdem ändern sich die Datenformate, Standards und Security-Anforderungen laufend.

Und wie läuft das “Transaction Monitoring”? Ich meine – auf der einen Seite soll das System exakt sein – auf der anderen sind es sehr viele Daten. Bekommt man das in den Griff?

Das eingesetzte System muss Access Patterns möglichst zuverlässig analysieren. Eine Unregelmäßigkeit sollte dann idealerweise in Echtzeit – nämlich genau dann, wenn sie passiert – erkannt werden. Um Anomalien aufzuspüren, ist es entscheidend, dass die laufenden Transaktionsdaten mit historischen Daten abgeglichen werden. Das war in der Vergangenheit schon allein deshalb schwierig, weil sich innerhalb einer Bank Daten-Silos herausgebildet hatten: So waren beispielsweise die Daten aus dem Kreditkartenbereich und aus dem Kontokorrentbereich nicht integriert.

Es geht also um die Integration von “alten” und aktuellen Daten?

Ja, und um eine schnelle Auswertung. Auch der Verarbeitungszeitpunkt spielt eine immer wichtigere Rolle. Es geht nicht mehr nur darum zu erkennen, warum etwas passiert ist. Ein Verdachtsfall sollte nicht erst Tage später erkannt werden. Er sollte zeitnah entdeckt werden. Daher ist immer öfter gar nicht die Datenmenge entscheidend, sondern die Geschwindigkeit. Bei TIBCO sprechen wir daher von Fast Data und nicht von Big Data, weil Big Data sich ausschließlich auf die Analyse historischer Daten bezieht.

Nochmal – wie bekommen Sie das in den Griff? Wie bekommen Sie die Geschwindigkeit hin?

Zunächst einmal muss ein zeitgemäßes System hochdynamisch sein, um strukturierte und unstrukturierte Datenströme in Echtzeit auswerten zu können. Es geht also nicht nur um die Analyse von Zahlenreihen in Tabellen, sondern auch um Textkomponenten, Dokumente, Metadaten. Das System sollte außerdem zwischen den Daten eine logische und zeitliche Korrelation herstellen können.

Ein modernes System sollte also die Möglichkeit bieten, verschiedenste Modelle und Regelwerke anzuwenden. Auch sollte es Champion-Challenger-Modelle unterstützen. Mit diesem Verfahren kann ein Finanzinstitut testen, ob eine Änderung der Logik für Entscheidungsfindung und Risikobewertung auch effektiv ist. Das Champion-Challenger-Testing geht dabei stets von der neuen Idee, dem Challenger, aus. Dies kann eine eher kleine Änderung an einem einzelnen Objekt oder eine große Neuerung sein wie zum Beispiel ein neuer Entscheidungsprozess für die Kundenwertanalyse. Der Challenger wird immer gegen das bestehende Regelwerk, den Champion, getestet, um vergleichen zu können.

Was bedeutet?

Wegen des hohen Aufwands für die Anpassungen an neue Regeln wurden in der Vergangenheit die Modelle höchstens ein- bis zweimal jährlich aktualisiert. Wie wir wissen, ändern sich die Betrugsmuster aber immer schneller. Damit können ältere Systeme, deren Änderung sehr aufwändig ist, nicht mehr mithalten. Heute müssen Systeme viel einfacher, schneller und kostengünstiger angepasst werden. Das erledigen am besten die Statistiker selbst, ohne Unterstützung durch einen spezialisierten Programmierer. Nur so gewinnen Unternehmen die nötige Flexibilität, auf Veränderungen schnell reagieren zu können.

Also ist nicht die Rechenleistung der Systeme das Hauptproblem, sondern eher die Anpassbarkeit?

Die Weiterentwicklung des Transaction Monitorings erfordert ständige Analysen. So wie sich die Situation im Strom der Transaktionen ständig ändert, müssen auch die Auswertungen laufend aktualisiert werden. Wir sprechen von Real-Time-Analytics. Diese Form der Analyse behält die Vergangenheit im Blick, wertet alles aus, was im Moment passiert, und erstellt Prognosen für die weitere Entwicklung in nächster Zukunft. Die Analytics-Anwendung muss also komplexe statistische und mathematische Modelle abbilden können. Die daraus generierten Informationen müssen so aufbereitet werden, dass sie die Anforderungen des jeweiligen Adressaten erfüllen. Vorstandsmitglieder erwarten einen anderen Detaillierungsgrad als Risikomanager.

Sie haben vorhin “Real-time-Analytics” angesprochen. Wie läuft das, was muss ich mir darunter vorstellen?

Es gibt drei wesentliche Komponenten. Im ersten Schritt werden auf der Grundlage großer Datenmengen mathematische Analysen durchgeführt und Modelle für typische Muster und Verhaltensweisen entwickelt. Wenn Sie so wollen, wird mit Hilfe von Big Data erst einmal der Normalzustand definiert. Data Scientists und Analysten sind hier gefordert. Im zweiten Schritt geht es darum, Abweichungen und Ausreißer zu identifizieren. Auch hier werden riesige Datenmengen ausgewertet. Der Unterschied zu Schritt eins ist, dass aus dem laufenden Datenstrom so aktuell wie möglich kritische Vorfälle und Entwicklungen herausgefiltert werden. Das erfordert eine hohe Rechenleistung.

Entscheidet dann das System, ob es sich um einen Betrugsfall handelt oder nicht?

Nein. Die Entscheidung, ob ein Betrugsfall vorliegt, übernimmt nicht die Maschine, sondern immer noch der Mensch, unterstützt von dynamischen, interaktiven Auswertungen. Das System gibt dem Experten Warnhinweise. Die Analytics-Anwendung gibt ihm dann die Möglichkeit, die Daten in dynamischen Dashboards interaktiv zu untersuchen.
Das System kann aber auch bei der Validierung bestehender Modelle helfen. Bei dem immer größer werdenden Volumen an Daten und Transaktionen versucht man natürlich, so viel wie möglich zu automatisieren.

Ist Betrugsermittlung also nichts anderes als eine spezielle Form der Business Intelligence?

Wenn sich Finanzdienstleister lediglich ein schnelles und schickes Frontend anschaffen, ist das deutlich zu kurz gesprungen. Analytics ist zwar eine wesentliche Komponente, aber eben nur ein Teil. Eine leistungsfähige IT-Umgebung für das Aufdecken von Geldwäsche und Betrug besteht aus mehreren Bausteinen, die erst im Zusammenspiel die geforderte Geschwindigkeit, Genauigkeit und Kosteneffizienz bringen.

Was braucht man alles, damit eine solche Lösung funktioniert? Woher kommen die Daten?

Eine wesentliche Voraussetzung für Real-Time-Analytics ist die Integration von Applikationen und Daten. Dazu gehören Fragestellungen rund um die Anbindung, Kommunikation und Sicherheit der beteiligten Anwendungen und Datenbanken. Ein leistungsfähiger Enterprise Service Bus inklusive API-Management helfen, On-Premise- und Cloud-Systeme zu verbinden.

Hinzu kommt, dass auch Log- beziehungsweise Maschinendaten erfasst werden müssen. Nur so kann man erkennen, wann, wie oft, wo und wie Transaktionen abgewickelt werden, wer sie initiiert und welchen Umfang sie haben. Wichtig dabei ist: Die Integration sollte nicht nur Systeme und Daten umfassen, sondern auch die Menschen einbeziehen, die in die entsprechenden Prozesse eingebunden sind. Sie werden informiert, angeleitet und geführt, um komplexe Entscheidungen treffen zu können.

Eine Grundvoraussetzung dafür ist ein funktionierendes Event Processing. Dazu gehören zunächst die Aggregation und das Filtern interner und externer Daten, auch die Analyse von Streaming-Daten. Im Weiteren findet dann der Abgleich von Mustern, das Auffinden statistischer Abweichungen und ein dazu passendes Ausnahmen-Handling statt. Diese Aufgabe erledigen Engines für Regeln und Entscheidungen. Weil die Betrugsmuster sich immer schneller verändern, müssen die Institute heute viel schneller und flexibler agieren. Dazu gehört auch die schnelle Information aller relevanten Stellen.

Auch die Prozesse, die Menschen und Systeme verbinden, dürfen nicht mehr so statisch sein wie früher. Die Automatisierung eines Schritt-für-Schritt-Ablaufs allein hilft heute nicht mehr. Das Business Process Management (BPM) muss viel flexibler sein als in der Vergangenheit. Es muss mit dynamischen und ereignisgesteuerten Umgebungen zurechtkommen, menschliche ad-hoc Entscheidungen berücksichtigen und diese in die Abläufe integrieren. Außerdem sollte es ein Fallmanagement enthalten, das laufende Veränderungen in Entscheidungs- und Vorhersagemodelle integrieren kann und mobiles Arbeiten sowie Apps unterstützt.

Das klingt furchtbar kompliziert. Ist die Technologie dafür schon verfügbar oder ist das Zukunftsmusik?

Ich spreche von bewährten Technologien, die bereits bei Airlines, bei Öl- und Gasfirmen sowie in der Telekommunikationsbranche und an der Wallstreet im Einsatz sind. Das ist keine Zukunftsmusik. Eine leistungsfähige Fast-Data-Architektur gibt es auch für Finanzinstitute, die damit übrigens ihre Anzeigepflichten zuverlässig und effizient erfüllen können und eigene Risiken minimieren.

Lassen Sie mich raten – Tibco hat da was im Programm. Richtig? ; )
Herr Kelz, vielen Dank, dass Sie ein wenig aus dem Nähkästchen geplaudert haben.aj