Prüfungsformat und Überblick: Was CAFCA tatsächlich prüft
Der Certified AML FinTech Compliance Associate (CAFCA) von ACAMS richtet sich an Fachkräfte, die Geldwäsche- und Finanzkriminalitätsrisiken in schnelllebigen FinTech-Umgebungen verstehen und kontrollieren müssen. Dazu gehören unter anderem digitales Onboarding, Zahlungs- und Wallet-Produkte, Transaktionsüberwachung, Untersuchungen und die Bereitschaft für regulatorische Prüfungen.
ACAMS nennt derzeit ein Prüfungsformat mit 60 Fragen in 90 Minuten. Darunter befinden sich nicht bewertete Pilotfragen; die Bestehensanforderung von 70 Prozent bezieht sich auf die bewerteten Fragen. ACAMS führt die Prüfung derzeit auf Englisch. Dieser Artikel ist auf Deutsch verfasst und stellt keine offizielle deutschsprachige Prüfungsfassung dar. Prüfen Sie Format, Buchungsregeln und Gebühren vor der Anmeldung direkt bei ACAMS.
Die vier Bereiche unten folgen dem bereitgestellten CAFCA-Programm. Die Lernprioritäten sind redaktionelle Orientierungshilfen, keine von ACAMS bestätigte Prüfungsgewichtung. Stand der Quellenprüfung: 11. Oktober 2026.
Prüfungsbereiche und Lernprioritäten
| Prüfungsbereich | Inhaltlicher Umfang | Lernpriorität (redaktionell) |
|---|---|---|
| Finanzkriminalitätsrisiken im FinTech | Digitales Onboarding, Produktänderungen, Zahlungs- und Wallet-Produkte, Betrug, Mule-Konten, Plattformmissbrauch und Risikosignale | Kernbereich: Risikomuster erkennen und angemessen einordnen |
| Grundlagen eines AML/CFT-Programms | Risikobasierte Richtlinien, Governance, Kundenprüfung, verstärkte Sorgfalt, Monitoring, Sanktionen, Verdachtsmeldungen, Schulungen und Aufzeichnungen | Kernbereich: Kontrollen und Eskalationen im Zusammenhang verstehen |
| Sorgfalt und Monitoring in digitalen Kanälen | Identitätsprüfung, wirtschaftlich Berechtigte, laufende Überwachung, Warnmeldungen, Geräte- und Verhaltenssignale, Dienstleister und Datenqualität | Kernbereich: Digitale Hinweise mit weiteren Informationen abgleichen |
| Regulatorische Bereitschaft und kontinuierliche Verbesserung | Mängelbehebung, unabhängige Prüfung, Managementinformationen, Behördenkontakt, Produkteinführungen und Rückkopplung von Kontrollen | Kernbereich: Wirksamkeit nachweisen und Schwachstellen nachhaltig beheben |
60 Konzepte für die CAFCA-Vorbereitung 1–10
1. Risikobasiertes Denken
Finanzkriminalitätsrisiken im FinTech
Ein risikobasierter Ansatz richtet die Intensität von Prüfungen und Kontrollen an Art, Umfang und Kontext des erkannten Risikos aus. Er ist weder ein pauschales Ja noch ein pauschales Nein zu bestimmten Kunden, Produkten oder Ländern. Entscheidend ist, welche Gefährdung plausibel ist, welche Informationen fehlen und ob die vorgesehenen Kontrollen das verbleibende Risiko angemessen begrenzen.
Praxisbeispiel: Ein FinTech erwägt Kunden aus mehreren Märkten aufzunehmen. Das Team vergleicht Produktfunktionen, Kundengruppen, Zahlungswege und verfügbare Prüfmittel, bevor es gezielte Kontrollen für die erkannten Risiken festlegt.
Häufiger Denkfehler: Ein höheres Risiko bedeutet nicht automatisch, dass eine Geschäftsbeziehung abgelehnt werden muss. Die risikobasierte Entscheidung verlangt zunächst eine nachvollziehbare Prüfung möglicher Kontrollen und des verbleibenden Risikos.
2. Risiken über den Produktlebenszyklus
Finanzkriminalitätsrisiken im FinTech
FinTech-Risiken verändern sich, wenn ein Produkt entworfen, eingeführt, skaliert oder wesentlich angepasst wird. Neue Auszahlungsmöglichkeiten, Kundengruppen oder Vertriebskanäle können bestehende Annahmen ungültig machen. Eine Risikobetrachtung ist deshalb kein einmaliges Freigabedokument, sondern muss zu relevanten Produktänderungen zurückkehren und prüfen, ob Risikoanalyse, Kontrollen und Zuständigkeiten noch zusammenpassen.
Praxisbeispiel: Ein Zahlungsdienst ergänzt eine sofortige Auszahlung an externe Konten. Vor der Freigabe überprüft das Team, ob die bisherigen Kundenprüfungen, Limits und Überwachungsregeln auch diesen neuen Geldfluss erfassen.
Häufiger Denkfehler: Eine einmal erteilte Produktfreigabe ist keine dauerhafte Bestätigung, dass das Risiko unverändert bleibt. Neue Funktionen und Nutzungsweisen können Kontrollen überholen.
3. Inhärentes Risiko und Restrisiko
Finanzkriminalitätsrisiken im FinTech
Das inhärente Risiko beschreibt die Gefährdung, bevor die Wirkung von Kontrollen berücksichtigt wird. Das Restrisiko ist die Gefährdung, die nach den tatsächlich wirksamen Kontrollen verbleibt. Diese Trennung hilft, weder ein riskantes Produkt vorschnell als unvertretbar zu behandeln noch Kontrollen bloß auf dem Papier als ausreichend anzunehmen. Beurteilt werden müssen sowohl die Risikotreiber als auch die praktische Kontrollwirkung.
Praxisbeispiel: Eine Wallet ermöglicht schnelle Weiterleitungen an Dritte und hat daher inhärente Risiken. Das Team bewertet anschließend, wie Identitätsprüfung, Transaktionsüberwachung und Eingriffsmöglichkeiten das verbleibende Risiko beeinflussen.
Häufiger Denkfehler: Ein hohes inhärentes Risiko beweist nicht, dass auch das Restrisiko hoch ist. Umgekehrt senkt eine aufgeschriebene Kontrolle das Restrisiko nicht, wenn sie praktisch nicht funktioniert.
4. Bedrohung, Schwachstelle und Auswirkung
Finanzkriminalitätsrisiken im FinTech
Eine belastbare Risikoanalyse unterscheidet zwischen einer möglichen Bedrohung, einer ausnutzbaren Schwachstelle und den Folgen einer erfolgreichen Ausnutzung. So wird klarer, an welcher Stelle eine Maßnahme ansetzen sollte: bei der Wahrscheinlichkeit eines Angriffs, bei der Gelegenheit dazu oder bei der Begrenzung möglicher Schäden. Die Unterscheidung macht aus einer allgemeinen Sorge eine prüfbare Risikohypothese.
Praxisbeispiel: Ein Konto kann viele Kleinstüberweisungen empfangen. Das Team prüft, ob fehlende Herkunftsinformationen eine Schwachstelle bilden, welche Missbrauchsform denkbar ist und welche Folgen Weiterleitungen hätten.
Häufiger Denkfehler: Eine Bedrohung allein ist noch keine vollständige Risikobewertung. Ohne Bezug zu einer konkreten Schwachstelle und möglichen Auswirkungen bleibt unklar, welche Kontrolle den größten Nutzen hätte.
5. Kundenprofil und erwartete Nutzung
Finanzkriminalitätsrisiken im FinTech
Transaktionen werden aussagekräftiger, wenn sie mit dem bekannten Kundenprofil und der erwarteten Nutzung verglichen werden. Dazu können Geschäftsmodell, Tätigkeit, Herkunft der Mittel und gewöhnliche Produktnutzung gehören, soweit diese Informationen erhoben werden dürfen und für den Zweck relevant sind. Abweichungen sind Prüfhinweise; ihre Bedeutung hängt davon ab, ob eine plausible Erklärung vorliegt und weitere Signale hinzukommen.
Praxisbeispiel: Ein zuvor wenig aktives Geschäftskonto beginnt, zahlreiche Zahlungen aus unterschiedlichen Branchen zu empfangen. Das Team vergleicht den Aktivitätswechsel mit dem hinterlegten Geschäftsprofil und sucht nach erklärenden Informationen.
Häufiger Denkfehler: Eine Abweichung vom erwarteten Verhalten beweist keine Straftat. Sie kann legitime Geschäftsentwicklung widerspiegeln und muss im Kontext geprüft werden.
6. Risiken grenzüberschreitender Zahlungen
Finanzkriminalitätsrisiken im FinTech
Grenzüberschreitende Zahlungswege können zusätzliche Informations-, Zuständigkeits- und Überwachungsfragen aufwerfen. Das Risiko ergibt sich nicht allein aus einer Länderbezeichnung, sondern aus dem Zusammenspiel von Beteiligten, Zahlungszweck, Produktgestaltung, Transparenz der Geldflüsse und anwendbaren Anforderungen. Eine sinnvolle Analyse untersucht den konkreten Weg der Mittel und die Fähigkeit, die beteiligten Parteien angemessen zu prüfen.
Praxisbeispiel: Ein FinTech stellt fest, dass ein Händler regelmäßig Zahlungen über mehrere Länder empfängt. Das Team zeichnet den Zahlungsweg nach und prüft, ob die verfügbaren Informationen zur wirtschaftlichen Tätigkeit und zu den Beteiligten passen.
Häufiger Denkfehler: Ein grenzüberschreitender Vorgang ist nicht automatisch verdächtig. Eine pauschale geografische Einstufung ersetzt nicht die Bewertung von Kontext, Zahlungsweg und konkreten Risikosignalen.
7. Mule-Konten und Vermittlernetzwerke
Finanzkriminalitätsrisiken im FinTech
Mule-Konten können dazu eingesetzt werden, Gelder entgegenzunehmen und weiterzuleiten, wodurch Herkunft und Kontrolle der Mittel verschleiert werden. Einzelne Konten wirken dabei mitunter unauffällig; erst gemeinsame Empfänger, ähnliche Abläufe, zeitliche Muster oder Verbindungen zwischen Konten können ein Netzwerk erkennen lassen. Die Analyse sollte daher relevante Beziehungen zusammenführen, ohne aus einer Verknüpfung automatisch auf Schuld zu schließen.
Praxisbeispiel: Mehrere neu eröffnete Konten erhalten kleine Eingänge und leiten die Mittel kurz darauf an denselben Empfänger weiter. Das Team prüft die Konten als mögliches Muster und vergleicht Onboarding- und Transaktionsinformationen.
Häufiger Denkfehler: Ein gemeinsamer Empfänger beweist nicht, dass alle Kontoinhaber Teil eines kriminellen Netzwerks sind. Verbindungen begründen eine Untersuchung, nicht automatisch eine abschließende Bewertung.
8. Betrugsübernahme und Mule-Nutzung unterscheiden
Finanzkriminalitätsrisiken im FinTech
Bei einer Kontoübernahme kann ein Dritter unbefugt ein bestehendes Konto steuern; bei einer Mule-Nutzung kann ein Kontoinhaber selbst Gelder für andere empfangen oder weiterleiten. Beide Muster können sich überschneiden und ähnliche Transaktionssignale erzeugen, verlangen aber unterschiedliche Untersuchungsfragen. Gerätewechsel, Anmeldeereignisse, Kundenkontakt und Kontoverhalten helfen, die Arbeitshypothese einzugrenzen.
Praxisbeispiel: Nach einem verdächtigen Gerätewechsel wird ein Konto für schnelle Überweisungen genutzt. Das Team prüft sowohl Hinweise auf unbefugten Zugriff als auch mögliche Beteiligung des Kontoinhabers am Geldfluss.
Häufiger Denkfehler: Ein auffälliger Geldfluss allein zeigt nicht, wer das Konto kontrolliert hat. Wer Betrugsübernahme und Mule-Nutzung gleichsetzt, kann die Untersuchung in die falsche Richtung lenken.
9. Zusammenspiel von Betrugs- und AML-Signalen
Finanzkriminalitätsrisiken im FinTech
Betrug und Geldwäsche sind unterschiedliche Risikokategorien, können aber in derselben Ereigniskette auftreten. Betrugsdaten können beispielsweise Hinweise auf kompromittierte Konten liefern; Transaktionsdaten können zeigen, wohin die Mittel anschließend fließen. Ein abgestimmter Informationsaustausch zwischen zuständigen Teams verbessert das Gesamtbild, sofern Rollen, Zugriffsrechte und Eskalationswege klar sind.
Praxisbeispiel: Das Betrugsteam erkennt mehrere manipulierte Kontoeröffnungen. Das AML-Team prüft, ob verbundene Konten die eingehenden Gelder weiterleiten und ob eine gesonderte Eskalation nötig ist.
Häufiger Denkfehler: Ein Betrugsverdacht ist nicht automatisch ein Geldwäscheverdacht und umgekehrt. Die Teams sollten Signale verknüpfen, aber die jeweilige Fragestellung getrennt beurteilen.
10. Wallet- und Sofortzahlungsrisiken
Finanzkriminalitätsrisiken im FinTech
Wallets und schnelle Zahlungsfunktionen können Geldbewegungen beschleunigen und die Zeit zur Prüfung verkürzen. Risikorelevant sind unter anderem Ein- und Auszahlungswege, Verbindungen zu Dritten, Rückbuchungsmöglichkeiten und die Sichtbarkeit des wirtschaftlichen Zwecks. Die passende Kontrolle hängt von der konkreten Funktion ab und kann Überwachung, Begrenzungen, zusätzliche Prüfungen oder zeitnahe Fallbearbeitung umfassen.
Praxisbeispiel: Ein neues Wallet erlaubt unmittelbare Auszahlungen an externe Empfänger. Das Produktteam und Compliance prüfen, wie Einzahlungen, Empfängerwechsel und auffällige Folgezahlungen überwacht werden.
Häufiger Denkfehler: Die Geschwindigkeit eines Produkts macht es nicht automatisch unzulässig oder unannehmbar. Sie verlangt eine Prüfung, ob Kontrollen mit der Geschwindigkeit Schritt halten.
60 Konzepte für die CAFCA-Vorbereitung 11–20
11. Missbrauch von Plattformen und Marktplätzen
Finanzkriminalitätsrisiken im FinTech
Plattformen können Zahlungen zwischen vielen Nutzern, Händlern und Dienstleistern vermitteln. Dadurch entstehen Risiken, wenn der tatsächliche Anbieter, der wirtschaftliche Zweck oder die Beziehung zwischen Parteien nicht ausreichend sichtbar ist. Eine Risikoanalyse berücksichtigt die Rolle der Plattform, die Identifizierbarkeit der Nutzer, Zahlungsflüsse, Rückerstattungen und Möglichkeiten, auffällige Aktivitäten zeitnah zu untersuchen.
Praxisbeispiel: Ein Marktplatz verzeichnet rasch wachsende Umsätze bei mehreren neuen Händlern. Das Team vergleicht Verkaufsaktivität, Zahlungswege und Händlerinformationen auf Auffälligkeiten oder nicht plausible Zusammenhänge.
Häufiger Denkfehler: Die Plattform kennt ihre Nutzer nicht zwangsläufig allein deshalb, weil sie ein Konto angelegt haben. Registrierung und Verständnis von Geschäftsaktivität sind unterschiedliche Prüfaufgaben.
12. Wachstum, Automatisierung und Kontrollkapazität
Finanzkriminalitätsrisiken im FinTech
Schnelles Wachstum kann die Menge an Kunden, Zahlungen und Warnmeldungen erhöhen, bevor Personal und Systeme entsprechend erweitert sind. Automatisierung hilft bei Skalierung, beseitigt aber nicht die Verantwortung für klare Zuständigkeiten, ausreichende Prüfungskapazität und Eskalation. Die Kontrollplanung sollte deshalb mit dem erwarteten Volumen und den Folgen von Verzögerungen Schritt halten.
Praxisbeispiel: Eine App-Kampagne verdoppelt kurzfristig die Zahl neuer Kunden. Das Unternehmen prüft, ob Onboarding-Prüfungen, Warnmeldungsbearbeitung und Eskalation die zusätzliche Last bewältigen können.
Häufiger Denkfehler: Ein technisch automatisierter Prozess ist nicht automatisch ausreichend skalierbar. Rückstände und ungeprüfte Ausnahmen können trotz gut funktionierender Software entstehen.
13. Länderrisiken im Kontext bewerten
Finanzkriminalitätsrisiken im FinTech
Länderbezogene Informationen können Teil einer Risikoanalyse sein, dürfen aber nicht losgelöst von Kunde, Produkt und Transaktion interpretiert werden. Internationale Einstufungen und Beobachtungslisten sind Hinweise für eine kontextbezogene Prüfung, keine universelle Anweisung, sämtliche Beziehungen pauschal abzulehnen oder gleich zu behandeln. Maßgeblich sind konkrete Risiken und anwendbare lokale Anforderungen.
Praxisbeispiel: Ein Kunde hat geschäftliche Verbindungen in ein Land, das stärker beobachtet wird. Das Team bewertet Art und Zweck der Verbindung und passt seine Prüfung nur insoweit an, wie das konkrete Risiko dies rechtfertigt.
Häufiger Denkfehler: Eine Einstufung auf einer internationalen Beobachtungsliste erzwingt nicht automatisch pauschale verstärkte Prüfung oder den Abbruch aller Beziehungen. Entscheidend bleibt die verhältnismäßige Einzelfallbewertung.
14. Politisch exponierte Personen risikobasiert prüfen
Finanzkriminalitätsrisiken im FinTech
Der Status als politisch exponierte Person kann wegen möglicher Einfluss- und Korruptionsrisiken eine vertiefte Betrachtung erfordern. Er ist ein Risikofaktor, aber kein Nachweis von Fehlverhalten. Die konkrete Prüfung sollte mit dem Kundenprofil, der Art der Funktion, den Geldflüssen und den geltenden Anforderungen zusammenhängen; Entscheidungen und Eskalationen sind sachlich zu dokumentieren.
Praxisbeispiel: Beim Onboarding wird eine Kundin als politisch exponiert erkannt. Das Team prüft die Angaben zum erwarteten Geschäftsverhalten und entscheidet anhand des Kontexts, welche zusätzlichen Informationen angemessen sind.
Häufiger Denkfehler: Der PEP-Status ist kein Beweis für Kriminalität und kein automatischer Ablehnungsgrund. Eine pauschale Zurückweisung ersetzt keine risikobasierte Prüfung.
15. Warnsignal ist kein Beweis
Finanzkriminalitätsrisiken im FinTech
Ein Warnsignal markiert eine Abweichung oder mögliche Verbindung, die näher untersucht werden sollte. Es kann durch legitime Aktivität, Datenfehler oder Missbrauch verursacht sein. Gute Fallarbeit trennt deshalb Beobachtung, Hypothese und belegte Schlussfolgerung. Die Stärke und Qualität der verfügbaren Informationen bestimmen, ob eine Rückfrage, zusätzliche Analyse oder eine formelle Eskalation angemessen ist.
Praxisbeispiel: Ein Gerät wird bei mehreren Konten erkannt. Das Team behandelt den Treffer zunächst als Verknüpfungshinweis und prüft weitere Onboarding- und Transaktionsdaten, bevor es eine Schlussfolgerung zieht.
Häufiger Denkfehler: Mehrere Warnsignale können die Prüfung dringlicher machen, aber nicht automatisch die Tatsachenfrage beantworten. Verdacht, Beleg und rechtliche Bewertung dürfen nicht vermischt werden.
16. Governance und klare Verantwortlichkeit
Grundlagen eines AML/CFT-Programms
Ein AML/CFT-Programm braucht festgelegte Verantwortlichkeiten für Entscheidungen, Ausführung, Aufsicht und Eskalation. In einem FinTech mit Produkt-, Betriebs- und Compliance-Teams muss deutlich sein, wer Risiken bewertet, Kontrollen umsetzt und ungelöste Konflikte an die zuständige Leitung bringt. Verantwortlichkeit sollte mit ausreichender Information und tatsächlicher Entscheidungsbefugnis verbunden sein.
Praxisbeispiel: Ein Produktteam plant einen neuen Zahlungsweg. Die Governance legt fest, wer die Risikobewertung freigibt, wer technische Kontrollen umsetzt und wer ungelöste Bedenken an die Leitung eskaliert.
Häufiger Denkfehler: Die bloße Existenz einer Compliance-Funktion beweist nicht, dass Verantwortlichkeiten wirksam geregelt sind. Unklare Übergaben können wichtige Risiken zwischen Teams verschwinden lassen.
17. Unternehmensweite Risikoanalyse
Grundlagen eines AML/CFT-Programms
Eine unternehmensweite Risikoanalyse führt relevante Informationen über Kunden, Produkte, Kanäle, Märkte und Transaktionsarten zusammen. Sie schafft eine nachvollziehbare Grundlage, um Kontrollen zu priorisieren und Lücken zu erkennen. Eine brauchbare Analyse dokumentiert Annahmen, verwendete Daten und wesentliche Änderungen; sie sollte von den Teams überprüft werden, die Produkte und Abläufe tatsächlich kennen.
Praxisbeispiel: Ein FinTech ergänzt eine neue Kundengruppe und aktualisiert seine Risikoanalyse. Dabei bezieht es Informationen aus Produktentwicklung, Zahlungsbetrieb und Fallbearbeitung ein, statt nur das Vorjahresdokument fortzuschreiben.
Häufiger Denkfehler: Eine Risikomatrix ist nicht schon deshalb aussagekräftig, weil sie ausgefüllt wurde. Veraltete Annahmen oder fehlende Produktinformationen können zu falschen Prioritäten führen.
18. Richtlinien in ausführbare Kontrollen übersetzen
Grundlagen eines AML/CFT-Programms
Eine Richtlinie beschreibt Erwartungen; operative Kontrollen setzen sie in wiederholbare Schritte um. Dazu gehören verständliche Kriterien, Zuständigkeiten, Entscheidungswege und Nachweise. Bei der Gestaltung sollte klar sein, welches Risiko die Kontrolle mindern soll und wie Abweichungen behandelt werden. Eine abstrakte Vorgabe ist wenig hilfreich, wenn Mitarbeitende sie im konkreten Arbeitsablauf nicht umsetzen können.
Praxisbeispiel: Eine Richtlinie verlangt laufende Überwachung. Das Team legt fest, welche Daten geprüft werden, wer Warnmeldungen bewertet und wie ungeklärte Fälle an die zuständige Funktion gelangen.
Häufiger Denkfehler: Eine umfassende Richtlinie garantiert keine wirksame Kontrolle. Ohne klare Abläufe, geschulte Mitarbeitende und nachvollziehbare Bearbeitung bleibt die Vorgabe möglicherweise nur auf dem Papier.
19. Übergaben zwischen Produkt, Betrieb und Compliance
Grundlagen eines AML/CFT-Programms
FinTech-Kontrollen hängen häufig von Informationen mehrerer Funktionen ab. Produktteams kennen Funktionen und Änderungen, Betriebsteams sehen reale Abläufe, und Compliance beurteilt Risiken und Eskalationen. Vereinbarte Übergaben sorgen dafür, dass Erkenntnisse rechtzeitig weitergegeben werden und keine Funktion stillschweigend Aufgaben einer anderen übernimmt. Die Verantwortung muss für den jeweiligen Schritt erkennbar bleiben.
Praxisbeispiel: Der Kundendienst bemerkt wiederkehrende Beschwerden über ungewöhnliche Kontosperren. Ein vereinbarter Meldeweg bringt das Muster zu Compliance und Produkt, damit Ursache und Kontrollwirkung geprüft werden.
Häufiger Denkfehler: Informeller Austausch allein ist kein verlässlicher Übergabeprozess. Wenn Zuständigkeit und Dokumentation fehlen, können wichtige Hinweise trotz guter Zusammenarbeit verloren gehen.
20. Zweck der Kundenprüfung
Grundlagen eines AML/CFT-Programms
Die Kundenprüfung soll eine ausreichende Grundlage schaffen, um zu verstehen, mit wem das Unternehmen eine Beziehung eingeht und ob die Nutzung zum bekannten Profil passt. Je nach Geschäftsmodell und Rechtsordnung können Identität, Tätigkeit, Eigentum und erwartete Nutzung relevant sein. Die erhobenen Informationen sollten für die Risikobeurteilung nützlich sein, statt bloß als Sammlung nicht ausgewerteter Daten zu dienen.
Praxisbeispiel: Ein Geschäftskunde beantragt ein Konto für digitale Zahlungen. Das Team prüft Identität und Geschäftsaktivität und erfasst eine plausible Erwartung für die Nutzung des Produkts.
Häufiger Denkfehler: Das Sammeln vieler Unterlagen ist nicht dasselbe wie eine wirksame Kundenprüfung. Entscheidend ist, ob die Informationen verlässlich sind und die Risikobeurteilung tatsächlich unterstützen.
60 Konzepte für die CAFCA-Vorbereitung 21–30
21. Verstärkte Sorgfalt verhältnismäßig einsetzen
Grundlagen eines AML/CFT-Programms
Verstärkte Sorgfalt ist eine vertiefte Prüfung, die auf ein erkanntes höheres Risiko reagieren soll. Welche zusätzlichen Informationen oder Maßnahmen sinnvoll sind, hängt von der konkreten Risikolage und den einschlägigen Anforderungen ab. Die Maßnahmen sollten eine offene Frage beantworten oder eine erkannte Schwachstelle mindern; sie sind kein Selbstzweck und sollten nachvollziehbar begründet werden.
Praxisbeispiel: Ein komplexes Eigentumsbild lässt die Kontrolle eines Geschäftskunden unklar. Das Team fordert passende zusätzliche Informationen an und dokumentiert, wie diese die offene Frage zur Eigentümerstruktur klären.
Häufiger Denkfehler: Verstärkte Sorgfalt bedeutet nicht, unterschiedslos möglichst viele Dokumente anzufordern. Ungezielte Zusatzanforderungen belasten Kunden, ohne zwingend das relevante Risiko zu mindern.
22. Vereinfachte Maßnahmen und lokale Vorgaben
Grundlagen eines AML/CFT-Programms
In bestimmten Situationen mit geringerem Risiko können verhältnismäßige, vereinfachte Maßnahmen angemessen sein, sofern die anwendbaren Regeln dies zulassen. Die Einstufung braucht eine Begründung anhand des konkreten Kunden-, Produkt- und Kontextprofils. Vereinfachung bedeutet nicht, grundlegende Risiken oder zwingende Pflichten zu ignorieren; nationale Umsetzung und lokale Vorschriften bestimmen den Handlungsspielraum.
Praxisbeispiel: Ein Produkt mit eng begrenzter Funktion und nachvollziehbarem Kundenkreis wird als niedriger riskant eingestuft. Das Team dokumentiert die Gründe und prüft, ob lokale Regeln vereinfachte Maßnahmen erlauben.
Häufiger Denkfehler: Ein geringer Risikoeindruck ist keine allgemeine Ausnahme von geltenden Pflichten. FATF-Standards allein legen nicht für jede Rechtsordnung dieselben konkreten Maßnahmen fest.
23. Wirtschaftlich Berechtigte verstehen
Grundlagen eines AML/CFT-Programms
Bei einer Organisation reicht es nicht immer, nur die unmittelbar auftretende juristische Person zu kennen. Die Prüfung wirtschaftlich Berechtigter soll helfen, die natürliche Person oder Personen hinter Eigentum oder Kontrolle nach den anwendbaren Kriterien zu identifizieren. Komplexe Beteiligungsketten verlangen eine nachvollziehbare Betrachtung der Struktur und der verfügbaren Belege, ohne eine universelle Schwelle zu unterstellen.
Praxisbeispiel: Ein Unternehmen wird von mehreren Gesellschaften gehalten. Das Team verfolgt die Eigentumskette anhand verfügbarer Unterlagen und klärt, welche natürlichen Personen nach den einschlägigen Regeln maßgeblich sind.
Häufiger Denkfehler: Der direkte Anteilseigner ist nicht zwangsläufig der wirtschaftlich Berechtigte. Eine bestimmte Beteiligungsschwelle darf nicht als weltweit einheitliche Regel angenommen werden.
24. Laufende Kunden- und Transaktionsüberwachung
Grundlagen eines AML/CFT-Programms
Laufende Überwachung prüft, ob Kundenaktivitäten weiterhin zum bekannten Profil passen und ob sich Risikofaktoren verändern. Sie verbindet Transaktionsdaten mit verfügbaren Kundeninformationen und kann Anlass für eine Aktualisierung oder Untersuchung geben. Umfang und Häufigkeit sollten zum Risiko und zu den einschlägigen Vorgaben passen; ein einmaliger Onboarding-Schritt ersetzt diese fortlaufende Betrachtung nicht.
Praxisbeispiel: Ein zuvor ruhiges Konto beginnt, hohe Aktivität über mehrere Zahlungskanäle zu zeigen. Das Team prüft die Transaktionen zusammen mit dem aktuellen Kundenprofil und entscheidet, ob weitere Informationen erforderlich sind.
Häufiger Denkfehler: Monitoring bedeutet nicht, jede Transaktion einzeln manuell zu prüfen. Wirksame Überwachung nutzt passende Kontrollen, muss aber deren Grenzen und offene Warnmeldungen im Blick behalten.
25. Sanktionsscreening als eigener Kontrollprozess
Grundlagen eines AML/CFT-Programms
Sanktionsscreening vergleicht relevante Personen oder Transaktionen mit den Listen, die nach der anwendbaren Rechtsordnung und dem Geschäftsmodell zu berücksichtigen sind. Treffer müssen auf Identität und Kontext geprüft werden, weil Namen mehrdeutig sein können. Zuständigkeiten, Datenqualität und rechtzeitige Bearbeitung beeinflussen die Wirksamkeit ebenso wie die verwendeten Vergleichsregeln.
Praxisbeispiel: Ein Screening-System meldet einen ähnlich geschriebenen Namen. Eine geschulte Person vergleicht verfügbare Identitätsmerkmale und entscheidet anhand der Ergebnisse, ob es sich um einen echten oder falschen Treffer handelt.
Häufiger Denkfehler: Ein Namensähnlichkeitstreffer beweist keine Übereinstimmung. Umgekehrt reicht die Installation eines Screening-Werkzeugs nicht aus, wenn Treffer unbearbeitet bleiben.
26. Warnmeldungen strukturiert bearbeiten
Grundlagen eines AML/CFT-Programms
Eine Warnmeldung ist der Anfang eines Prüfprozesses, nicht dessen Ergebnis. Die Bearbeitung sollte den Auslöser, relevante Kunden- und Transaktionsinformationen, vorgenommene Prüfungen und die Entscheidung abbilden. Klare Kriterien für Abschluss und Eskalation helfen, vergleichbare Fälle konsistent zu behandeln und dringliche Sachverhalte nicht in einer Warteschlange zu übersehen.
Praxisbeispiel: Ein Monitoring-Alert weist auf ungewöhnlich schnelle Weiterleitungen hin. Die Analystin prüft Gegenparteien und Kundenprofil, hält ihre Schlussfolgerung fest und eskaliert, wenn die Aktivität ungeklärt bleibt.
Häufiger Denkfehler: Ein Alert lässt sich nicht allein durch eine knappe Auswahl im System sinnvoll schließen. Ohne nachvollziehbare Analyse ist später schwer zu erkennen, ob relevante Informationen berücksichtigt wurden.
27. Verdachtsmeldungen und Eskalation
Grundlagen eines AML/CFT-Programms
Verdachtsmeldungen, im Englischen häufig SAR oder STR genannt, folgen den jeweils anwendbaren lokalen Regeln und internen Eskalationswegen. Die Compliance-Analyse sollte relevante Tatsachen, offene Fragen und die Grundlage einer Entscheidung klar darstellen. Konkrete Meldekriterien, Fristen, Empfänger und Rollen sind rechtsordnungsspezifisch; aus einem internationalen Standard allein lassen sie sich nicht universell ableiten.
Praxisbeispiel: Eine Untersuchung findet mehrere ungeklärte Weiterleitungen, die nicht zum Kundenprofil passen. Die zuständige Stelle bewertet den Sachverhalt nach dem lokalen Verfahren und dokumentiert die Entscheidung über eine mögliche Meldung.
Häufiger Denkfehler: Ein auffälliges Muster führt nicht überall automatisch zur selben Meldung oder Frist. Ebenso darf eine interne Eskalation nicht mit dem rechtlichen Meldeentscheid gleichgesetzt werden.
28. Vertraulichkeit und Kommunikation im Verdachtsfall
Grundlagen eines AML/CFT-Programms
Informationen über interne Untersuchungen oder mögliche Meldungen müssen kontrolliert behandelt werden. Welche Offenlegung untersagt oder zulässig ist, hängt von der jeweiligen Rechtsordnung und dem konkreten Sachverhalt ab. Mitarbeitende sollten wissen, an wen sie Fragen weiterleiten und welche Kommunikation freigegeben ist, damit Kundenkontakt weder eine Untersuchung beeinträchtigt noch lokale Anforderungen verletzt.
Praxisbeispiel: Ein Kunde fragt nach dem Grund für eine zusätzliche interne Prüfung. Der Mitarbeitende nutzt den vorgegebenen Kommunikationsweg und gibt keine unfreigegebenen Angaben zu einer möglichen Untersuchung preis.
Häufiger Denkfehler: Vertraulichkeit bedeutet nicht, jede Nachfrage grundsätzlich zu ignorieren. Zugleich sollte niemand ohne Prüfung lokaler Regeln pauschal über eine mögliche Verdachtsmeldung informieren.
29. Aufzeichnungen nachvollziehbar führen
Grundlagen eines AML/CFT-Programms
Aufzeichnungen sollten erkennen lassen, welche Informationen vorlagen, wer eine Entscheidung traf und warum eine Maßnahme gewählt oder verworfen wurde. Dazu können Kundenprüfungen, Untersuchungen, Eskalationen und Kontrolländerungen gehören. Welche Unterlagen wie lange aufzubewahren sind, bestimmt die anwendbare Rechtsordnung und interne Vorgaben; ein universeller Zeitraum lässt sich nicht voraussetzen.
Praxisbeispiel: Ein Alert wird geschlossen, weil die Aktivität plausibel erklärt werden konnte. Die Analystin dokumentiert die geprüften Daten, die Erklärung und den Grund für den Fallabschluss.
Häufiger Denkfehler: Eine große Menge gespeicherter Daten ist nicht automatisch eine gute Akte. Ohne klare Begründung und geregelte Aufbewahrung kann die Dokumentation unvollständig oder unbrauchbar sein.
30. Risikoorientierte Schulung
Grundlagen eines AML/CFT-Programms
Schulungen sollen Mitarbeitenden die Kenntnisse vermitteln, die sie für ihre konkreten Aufgaben und Eskalationen benötigen. Ein Produktteam braucht möglicherweise andere Fallbeispiele als Analystinnen oder der Kundendienst. Wirksamkeit zeigt sich nicht allein in der Teilnahme, sondern auch darin, ob Beschäftigte Warnsignale erkennen, Verfahren anwenden und Unsicherheiten an die zuständige Stelle weitergeben können.
Praxisbeispiel: Nach Einführung einer neuen Wallet-Funktion erhalten Betriebsteams konkrete Szenarien zu ungewöhnlichen Auszahlungen und üben, welche Informationen sie erfassen und wohin sie Fälle weiterleiten.
Häufiger Denkfehler: Eine jährliche allgemeine Präsentation belegt nicht automatisch, dass Mitarbeitende für ihre Aufgaben vorbereitet sind. Inhalt und Übung sollten zu Rolle und Produkt passen.
60 Konzepte für die CAFCA-Vorbereitung 31–40
31. Unabhängige Prüfung des Programms
Grundlagen eines AML/CFT-Programms
Eine unabhängige Prüfung beurteilt, ob wesentliche Kontrollen angemessen gestaltet sind und wie sie in der Praxis funktionieren. Sie sollte ausreichend Abstand zu den geprüften Tätigkeiten haben und Befunde so dokumentieren, dass Verantwortliche Ursachen und Folgen verstehen. Prüfungsumfang und Unabhängigkeitsanforderungen richten sich nach dem Programm und den anwendbaren Regeln.
Praxisbeispiel: Eine Prüffunktion zieht abgeschlossene und offene Warnmeldungsfälle heran. Sie vergleicht die dokumentierte Verfahrensvorgabe mit der tatsächlichen Bearbeitung und berichtet festgestellte Schwächen an die zuständige Leitung.
Häufiger Denkfehler: Eine interne Selbstauskunft des Kontrollverantwortlichen ist nicht dasselbe wie eine unabhängige Prüfung. Auch eine Prüfung ohne Nachverfolgung löst erkannte Schwächen nicht.
32. Dienstleister und ausgelagerte Kontrollen
Grundlagen eines AML/CFT-Programms
FinTechs können Identitätsprüfung, Screening oder Monitoring mit externen Werkzeugen unterstützen. Die Nutzung eines Dienstleisters überträgt die technische Leistung, aber nicht automatisch die Verantwortung, die Kontrollwirkung zu verstehen. Zu prüfen sind Eignung, Datenverarbeitung, Grenzen, Ausfälle, Änderungsprozesse und Möglichkeiten zur Überwachung der Leistung im eigenen Betrieb.
Praxisbeispiel: Ein Anbieter meldet bei der Identitätsprüfung einen erfolgreichen Abgleich. Das FinTech prüft zusätzlich, welche Daten und Prüfverfahren dahinterstehen und wie Fehlerfälle oder Systemausfälle bearbeitet werden.
Häufiger Denkfehler: Ein bekannter Anbieter garantiert keine passende Kontrolle für jedes Produkt. Das Unternehmen muss Ergebnisse, Einschränkungen und Schnittstellen weiterhin überwachen.
33. Digitale Identitätsprüfung als mehrstufiger Prozess
Sorgfalt und Monitoring in digitalen Kanälen
Digitale Identitätsprüfung kann Dokumente, vom Kunden bereitgestellte Angaben und technische Prüfungen verbinden. Kein einzelnes Element beantwortet zwangsläufig alle Fragen zur Echtheit, Identität und Kontrolle des Kontos. Ein angemessener Prozess berücksichtigt die Qualität der Signale, mögliche Umgehungsmethoden und den Zweck der Prüfung und sorgt für einen nachvollziehbaren Weg bei ungeklärten Fällen.
Praxisbeispiel: Ein Kunde lädt ein Ausweisdokument hoch und durchläuft eine digitale Prüfung. Bei widersprüchlichen Angaben ergänzt das Team die Bewertung durch weitere verfügbare Informationen statt den ersten Treffer ungeprüft zu akzeptieren.
Häufiger Denkfehler: Ein bestandener automatisierter Check beweist nicht in jedem Fall, dass die gesamte Identität und Nutzung plausibel sind. Digitale Ergebnisse brauchen Kontext und klare Fehlerwege.
34. Dokumentenprüfung und ihre Grenzen
Sorgfalt und Monitoring in digitalen Kanälen
Dokumentenprüfungen können Manipulationen oder Unstimmigkeiten anzeigen, doch ihre Aussagekraft hängt von Bildqualität, Dokumenttyp und Prüfverfahren ab. Ein bestätigtes Dokument beantwortet nicht automatisch, wer das Konto tatsächlich kontrolliert oder ob die erwartete Aktivität plausibel ist. Ergebnisse sollten mit anderen verfügbaren Identitäts- und Kontoinformationen abgeglichen werden.
Praxisbeispiel: Ein Dokument wird technisch als echt eingestuft, doch Name und Kontoinformationen weichen voneinander ab. Das Team hält den Fall offen und klärt die Abweichung anhand weiterer zulässiger Angaben.
Häufiger Denkfehler: Ein Echtheitsurteil über ein Dokument ist nicht gleichbedeutend mit einer vollständigen Kundenprüfung. Dokument, Person und spätere Kontonutzung sind unterschiedliche Prüfgegenstände.
35. Lebenderkennung und gefälschte Medien
Sorgfalt und Monitoring in digitalen Kanälen
Lebenderkennung soll helfen, eine reale Person von einem statischen Bild oder bestimmten Manipulationen zu unterscheiden. Sie kann jedoch durch neue Angriffsmethoden, gefälschte Medien oder technische Fehler an Grenzen stoßen. Deshalb sollte sie als ein Signal in einem mehrstufigen Prozess verstanden werden, dessen Ausnahmen untersucht und dessen Wirksamkeit bei Änderungen regelmäßig betrachtet wird.
Praxisbeispiel: Ein Onboarding-System meldet eine ungewöhnliche Aufnahme, obwohl das Dokument plausibel wirkt. Das Team nutzt den vorgesehenen Prüfpfad für Ausnahmen und stützt die Entscheidung nicht auf einen einzelnen automatischen Wert.
Häufiger Denkfehler: Eine bestandene Lebenderkennung schließt Identitätsmissbrauch nicht aus. Ein fehlgeschlagener Versuch beweist umgekehrt nicht automatisch betrügerische Absicht.
36. Geräte- und Verknüpfungssignale
Sorgfalt und Monitoring in digitalen Kanälen
Geräteinformationen können Konten oder Aktivitäten miteinander verknüpfen und dadurch Untersuchungen priorisieren. Gemeinsame Geräte kommen jedoch auch aus legitimen Gründen vor, etwa bei geteilten Haushalts- oder Arbeitsgeräten. Der Signalwert steigt erst, wenn er mit weiteren Informationen wie Zeitmustern, Identitätsangaben oder Transaktionen übereinstimmt.
Praxisbeispiel: Drei neue Konten verwenden dasselbe Gerät und leiten Gelder an einen gemeinsamen Empfänger. Das Team prüft zusätzliche Gemeinsamkeiten, statt allein aus dem Geräteabgleich eine Verbindung als gesichert anzunehmen.
Häufiger Denkfehler: Ein Geräteabgleich ist kein Beweis für dieselbe Person oder Absprache. Technische Kennungen können geteilt, verändert oder ungenau erfasst werden.
37. Verhaltenssignale einordnen
Sorgfalt und Monitoring in digitalen Kanälen
Verhaltenssignale können Veränderungen bei Anmeldezeiten, Nutzungsmustern oder Transaktionsabläufen aufzeigen. Ihre Bedeutung hängt davon ab, ob das Muster für die Person und das Produkt ungewöhnlich ist und ob eine harmlose Erklärung vorliegt. Solche Signale eignen sich zur Priorisierung und gezielten Prüfung, sollten aber nicht ohne weitere Informationen als abschließende Tatsachenbehauptung behandelt werden.
Praxisbeispiel: Ein Konto wechselt plötzlich zu nächtlicher Nutzung und beginnt unmittelbar danach neue Empfänger zu verwenden. Das Team vergleicht die Veränderung mit anderen Zugriffsdaten und der bisherigen Kontonutzung.
Häufiger Denkfehler: Ungewöhnliches Verhalten kann durch Reisen, neue Arbeitszeiten oder technische Änderungen entstehen. Eine Verhaltensabweichung allein ist keine sichere Aussage über die Absicht.
38. Datenqualität vor Modelländerungen prüfen
Sorgfalt und Monitoring in digitalen Kanälen
Unvollständige, verspätete oder falsch zugeordnete Daten können Identitätsprüfungen und Transaktionsüberwachung verzerren. Bevor Regeln angepasst werden, sollte das Team untersuchen, ob Eingabedaten korrekt, ausreichend und konsistent sind. Andernfalls kann eine scheinbare Modellschwäche in Wahrheit ein Datenproblem sein, und eine Regeländerung würde die Ursache verdecken statt beheben.
Praxisbeispiel: Nach einer Systemmigration steigt die Zahl ungewöhnlicher Warnmeldungen. Das Team prüft zuerst, ob Transaktionsarten und Kundensegmente korrekt übertragen wurden, bevor es Schwellenwerte verändert.
Häufiger Denkfehler: Mehr Alerts bedeuten nicht automatisch, dass Monitoring-Regeln zu empfindlich sind. Schlechte oder veränderte Daten können das Muster verursachen.
39. Datenherkunft und Übertragungswege
Sorgfalt und Monitoring in digitalen Kanälen
Datenherkunft beschreibt, wo eine Information entsteht und wie sie durch Systeme übertragen oder verändert wird. Für eine verlässliche Untersuchung muss nachvollziehbar sein, ob ein Wert aus einer Kundenangabe, einem Dienstleister oder einer internen Berechnung stammt. Diese Transparenz erleichtert die Fehleranalyse und verhindert, dass scheinbar präzise Ergebnisse ohne Kenntnis ihrer Grenzen verwendet werden.
Praxisbeispiel: Ein Alert beruht auf einer Branchenklassifikation, die aus einem externen System übernommen wurde. Das Team verfolgt die Datenquelle und bestätigt, ob der übermittelte Wert zum Kunden passt.
Häufiger Denkfehler: Ein Feld im System ist nicht allein deshalb zuverlässig, weil es vollständig ausgefüllt ist. Quelle, Aktualität und mögliche Umwandlungen sind ebenfalls relevant.
40. Treffer, Fehlalarme und übersehene Fälle
Sorgfalt und Monitoring in digitalen Kanälen
Ein Fehlalarm liegt vor, wenn sich eine Warnmeldung nach der Prüfung nicht als relevanter Verdachtsfall bestätigt. Ein übersehener Fall liegt vor, wenn eine risikorelevante Aktivität nicht erkannt wird oder keine geeignete Warnmeldung auslöst. Beide Arten von Fehlern beeinflussen die Kontrollwirkung. Die Bewertung sollte daher nicht allein auf die Zahl geschlossener Warnmeldungen schauen, sondern auch auf Qualität, Abdeckung, Rückmeldungen und erkannte Schwachstellen.
Praxisbeispiel: Das Team stellt fest, dass viele Warnmeldungen durch eine veraltete Händlerkategorie ausgelöst werden. Es behebt die Datenursache und prüft zugleich, ob die Anpassung relevante Fälle weiterhin erfasst.
Häufiger Denkfehler: Weniger Fehlalarme sind nicht automatisch ein Erfolg, wenn gleichzeitig echte Risiken übersehen werden. Leistungskennzahlen müssen beide Seiten der Kontrollwirkung berücksichtigen.
60 Konzepte für die CAFCA-Vorbereitung 41–50
41. Monitoring-Regeln begründet anpassen
Sorgfalt und Monitoring in digitalen Kanälen
Die Anpassung von Monitoring-Regeln sollte auf einer Ursachenanalyse und einem klaren Kontrollziel beruhen. Das Team prüft, welche Fälle ausgelöst werden, welche relevanten Fälle fehlen und ob Produkt- oder Datenänderungen die Ergebnisse erklären. Änderungen brauchen eine nachvollziehbare Begründung und eine spätere Prüfung, damit die Verringerung unerwünschter Alerts nicht zu einer unbeabsichtigten Kontrolllücke führt.
Praxisbeispiel: Eine Regel erzeugt nach Einführung eines neuen Zahlungswegs zahlreiche wenig hilfreiche Warnungen. Das Team untersucht Fallbeispiele, ändert gezielt die Regel und prüft danach ihre Wirkung auf verschiedene Muster.
Häufiger Denkfehler: Schwellenwerte nur deshalb zu erhöhen, weil die Warteschlange wächst, kann relevante Aktivität verdecken. Zuerst ist die Ursache des Anstiegs festzustellen.
42. Netzwerkanalyse über einzelne Konten hinaus
Sorgfalt und Monitoring in digitalen Kanälen
Eine Netzwerkanalyse betrachtet Beziehungen zwischen Konten, Geräten, Empfängern und Transaktionen, statt jeden Vorgang isoliert zu bewerten. Sie kann koordinierte Muster sichtbar machen, die in Einzelfällen wenig auffällig erscheinen. Die Verbindung muss jedoch mit dem jeweiligen Datentyp und seiner Zuverlässigkeit bewertet werden; analytische Nähe allein belegt weder gemeinsame Kontrolle noch eine rechtswidrige Absprache.
Praxisbeispiel: Mehrere Konten teilen Empfänger und ähnliche Transaktionszeitpunkte. Das Team erstellt eine Fallübersicht der Verbindungen und prüft, ob unabhängige Identitäts- oder Verhaltensinformationen das Muster stützen.
Häufiger Denkfehler: Eine grafisch dichte Verbindungskarte kann überzeugend wirken, ohne belastbare Belege zu liefern. Beziehungen sind Hinweise, deren Bedeutung geprüft werden muss.
43. Gezielte Rückfragen und angemessene Einschränkungen
Sorgfalt und Monitoring in digitalen Kanälen
Wenn Informationen fehlen, können gezielte Rückfragen oder zeitlich und sachlich passende Schutzmaßnahmen helfen, Unsicherheit zu begrenzen. Ob eine Rückfrage oder Einschränkung angemessen ist, hängt von der offenen Frage, den Befugnissen des Unternehmens und den geltenden Anforderungen ab. Bei einer Kundenkommunikation ist insbesondere darauf zu achten, keine Informationen über eine interne Verdachtsprüfung oder eine mögliche Meldung offenzulegen, wenn dies nach den anwendbaren Regeln unzulässig wäre.
Praxisbeispiel: Eine ungewöhnliche Zahlung weicht stark vom bisherigen Profil ab. Das Team prüft zunächst die verfügbaren internen Informationen und nutzt, falls erforderlich, das vorgesehene Verfahren für eine sachlich begrenzte Rückfrage, ohne interne Prüfungen oder mögliche Meldungen offenzulegen.
Häufiger Denkfehler: Eine sofortige vollständige Kontosperre ist nicht in jedem Fall der beste erste Schritt. Auch Rückfragen und Einschränkungen müssen sachlich begründet, verhältnismäßig und mit den geltenden Regeln vereinbar sein.
44. Hinweise, Analyseergebnisse und Belege einordnen
Sorgfalt und Monitoring in digitalen Kanälen
Ein Warnsignal weist auf eine Abweichung oder mögliche Verbindung hin. Ein Analyseergebnis ordnet solche Hinweise vorläufig ein; weitere Informationen können es stützen, abschwächen oder widerlegen. Auch Belege sind nach Quelle, Zuverlässigkeit und Kontext zu bewerten und machen eine Schlussfolgerung nicht automatisch zweifelsfrei. Die Unterscheidung hilft, Unsicherheiten transparent festzuhalten und keine weitergehenden Schlüsse zu ziehen, als die verfügbaren Informationen tragen.
Praxisbeispiel: Ein Geräteabgleich verbindet zwei Konten, doch die Kontoinhaber bestreiten eine Beziehung. Die Analystin dokumentiert den Abgleich als Hinweis, prüft seine Zuverlässigkeit und sucht nach weiteren Informationen, die das Analyseergebnis stützen oder entkräften könnten.
Häufiger Denkfehler: Ein technischer Score oder eine interne Verknüpfung ist nicht automatisch ein Beweis für gemeinsames Handeln oder Fehlverhalten. Werden Analyseergebnisse überdehnt, kann das zu Fehlentscheidungen und unbegründeten Beschuldigungen führen.
45. Datenschutz und Zweckbindung berücksichtigen
Sorgfalt und Monitoring in digitalen Kanälen
Digitale Prüfungen können sensible oder umfangreiche Informationen verarbeiten. Erhobene Daten sollten einen nachvollziehbaren Bezug zum Prüfzweck haben und nach den anwendbaren Datenschutzregeln behandelt werden. Zugriffsrechte, Nutzung, Weitergabe und Aufbewahrung müssen kontrolliert sein. Eine wirksame Risikoanalyse betrachtet daher nicht nur, welche Daten nützlich wären, sondern auch, ob ihre Verarbeitung angemessen und zulässig ist.
Praxisbeispiel: Ein Team möchte zusätzliche Gerätedaten zur Fallpriorisierung verwenden. Es klärt Zweck, Zugriff und zulässige Nutzung, bevor die Daten in einen neuen Überwachungsprozess aufgenommen werden.
Häufiger Denkfehler: Mehr Daten verbessern eine Prüfung nicht automatisch. Eine unnötige Datensammlung kann neue Risiken schaffen und lokale Datenschutzanforderungen verletzen.
46. Werkzeug- und Modellgrenzen verstehen
Sorgfalt und Monitoring in digitalen Kanälen
Automatisierte Modelle und Werkzeuge liefern Ergebnisse auf Grundlage bestimmter Daten, Annahmen und Konfigurationen. Für eine verantwortliche Nutzung muss das Team wissen, wofür das Werkzeug ausgelegt ist, wo es unzuverlässig sein kann und wie Änderungen seine Leistung beeinflussen. Die Ergebnisse sollten in den Kontrollprozess eingebettet sein, statt als undurchsichtige Endentscheidung zu gelten.
Praxisbeispiel: Ein Risikowert stuft einen Kunden hoch ein, obwohl die einzelnen Datenpunkte widersprüchlich sind. Die Analystin prüft die Grundlage des Werts und folgt dem vorgesehenen Verfahren zur manuellen Bewertung.
Häufiger Denkfehler: Ein präzise wirkender Zahlenwert erklärt sich nicht selbst. Ohne Kenntnis der Daten und Grenzen kann er eine unbegründete Scheinsicherheit erzeugen.
47. Manuelle Prüfung wirksam einbinden
Sorgfalt und Monitoring in digitalen Kanälen
Manuelle Prüfung kann automatisierte Ergebnisse ergänzen, wenn Fälle mehr Kontext oder ein menschliches Urteil erfordern. Sie braucht klare Kriterien, ausreichende Informationen und geschulte Mitarbeitende, damit ähnliche Fälle nicht willkürlich verschieden behandelt werden. Der Prozess sollte auch Rückmeldungen erfassen, wenn wiederkehrende Fehler oder unklare Regeln sichtbar werden.
Praxisbeispiel: Ein automatisiertes System kann eine ungewöhnliche Unternehmensstruktur nicht zuverlässig einordnen. Eine geschulte Prüferin kontrolliert die verfügbaren Unterlagen und hält fest, welche Unsicherheit weiterhin besteht.
Häufiger Denkfehler: Ein Mensch im Prüfprozess garantiert nicht von selbst bessere Ergebnisse. Unklare Vorgaben, Zeitdruck oder fehlender Kontext können auch manuelle Entscheidungen unzuverlässig machen.
48. Finanzkriminalitätsprüfung vor Produkteinführung
Regulatorische Bereitschaft und kontinuierliche Verbesserung
Vor einer Produkteinführung sollte geprüft werden, welche neuen Kunden, Zahlungswege und Missbrauchsmöglichkeiten die Funktion schafft. Daraus werden Kontrollbedarf, Zuständigkeiten und offene Risiken abgeleitet. Eine solche Prüfung muss früh genug stattfinden, damit erforderliche Änderungen noch in Produkt und Betrieb eingebaut werden können, statt erst nach dem Start als dringende Nachbesserung aufzutauchen.
Praxisbeispiel: Ein Team plant eine Funktion für sofortige Auszahlungen an externe Empfänger. Vor der Freigabe erfasst es Geldflüsse, mögliche Missbrauchsmuster und die Kontrollen, die den Betrieb absichern sollen.
Häufiger Denkfehler: Eine Produktprüfung ist keine reine Compliance-Freigabe am Ende des Entwicklungszyklus. Zu spätes Einbeziehen kann sinnvolle Kontrollgestaltung unnötig erschweren.
49. Regulatorische Bereitschaft als laufende Fähigkeit
Regulatorische Bereitschaft und kontinuierliche Verbesserung
Regulatorische Bereitschaft bedeutet, Risiken, Kontrollen und Entscheidungen verständlich erklären und mit passenden Unterlagen belegen zu können. Sie entsteht durch geordnete Verantwortlichkeiten, aktuelle Dokumentation und verlässliche Informationen über die tatsächliche Kontrollleistung. Sie sollte Teil des laufenden Betriebs sein, nicht erst beginnen, wenn eine Prüfung oder Anfrage angekündigt wird.
Praxisbeispiel: Eine Aufsicht fragt, wie ein neuer Zahlungsweg bewertet wurde. Das Unternehmen kann Risikobewertung, Freigaben, Kontrollen und spätere Überprüfung anhand aktueller Unterlagen erläutern.
Häufiger Denkfehler: Ein schnell zusammengestelltes Präsentationspaket beweist keine dauerhafte Bereitschaft. Die zugrunde liegenden Prozesse und Daten müssen ebenfalls aktuell und nachvollziehbar sein.
50. Mängel nach Ursache statt Symptom beheben
Regulatorische Bereitschaft und kontinuierliche Verbesserung
Eine Mängelbehebung sollte nicht beim sichtbaren Symptom enden. Eine Ursachenanalyse fragt, weshalb die Kontrolle versagt hat: etwa wegen unklarer Zuständigkeit, schlechter Daten, ungeeigneter Regeln oder fehlender Kapazität. Erst wenn die Ursache verstanden ist, lässt sich eine Maßnahme wählen, die den Mangel nicht nur kurzfristig verdeckt, sondern eine Wiederholung unwahrscheinlicher macht.
Praxisbeispiel: Warnmeldungen werden verspätet bearbeitet. Das Unternehmen untersucht Personalplanung, Systemweiterleitung und Priorisierung, bevor es lediglich zusätzliche Mitarbeitende für den aktuellen Rückstand einsetzt.
Häufiger Denkfehler: Ein Rückstand lässt sich kurzfristig abbauen, während die Ursache bestehen bleibt. Eine reine Symptombehandlung kann denselben Mangel erneut entstehen lassen.
60 Konzepte für die CAFCA-Vorbereitung 51–60
51. Abhilfemaßnahmen auf Wirksamkeit prüfen
Regulatorische Bereitschaft und kontinuierliche Verbesserung
Nach einer Korrektur muss überprüft werden, ob die Maßnahme den festgestellten Mangel tatsächlich behoben hat. Dazu braucht es geeignete Nachweise und eine Prüfung, die über die bloße Einführung eines neuen Verfahrens hinausgeht. Zeitpunkt und Umfang der Validierung richten sich nach dem Risiko und der Art der Änderung; verbleibende Schwächen müssen erneut bewertet werden.
Praxisbeispiel: Ein Unternehmen verbessert die Datenzuordnung für Monitoring. Nach der Änderung prüft es Stichproben und Fallverläufe, um zu bestätigen, dass Transaktionen nun korrekt klassifiziert werden.
Häufiger Denkfehler: Die Veröffentlichung einer neuen Richtlinie beweist nicht, dass die Kontrolle in der Praxis funktioniert. Die Wirkung muss anhand geeigneter Betriebsnachweise geprüft werden.
52. Kontrolldesign und tatsächliche Durchführung
Regulatorische Bereitschaft und kontinuierliche Verbesserung
Eine Kontrolle kann im Entwurf passend sein und dennoch im Betrieb scheitern, etwa wenn Daten fehlen oder Fälle nicht zeitnah bearbeitet werden. Umgekehrt kann ein Team einen Ablauf zuverlässig durchführen, der das falsche Risiko adressiert. Prüfungen sollten deshalb getrennt beurteilen, ob die Kontrolle sinnvoll gestaltet ist und ob sie wie vorgesehen funktioniert.
Praxisbeispiel: Ein Screening-Verfahren nennt passende Listen und Prüfschritte. Eine Stichprobe zeigt jedoch, dass Treffer wegen unvollständiger Daten nicht zuverlässig zugeordnet werden; Design und Betrieb werden getrennt bewertet.
Häufiger Denkfehler: Ein gutes Verfahrensdokument belegt nicht die operative Wirksamkeit. Ebenso beweist eine fehlerfreie Stichprobe nicht, dass das Kontrollkonzept alle relevanten Risiken abdeckt.
53. Managementinformationen aussagekräftig gestalten
Regulatorische Bereitschaft und kontinuierliche Verbesserung
Managementinformationen sollen Entscheidungen unterstützen, nicht lediglich Aktivitätszahlen präsentieren. Nützlich sind Kennzahlen und Erläuterungen zu Warnmeldungsrückständen, Bearbeitungsqualität, wiederkehrenden Ursachen, Kontrolländerungen und offenen Risiken. Zahlen brauchen Kontext, Vergleichbarkeit und klare Zuständigkeit, damit die Leitung erkennen kann, wo Aufmerksamkeit oder Ressourcen erforderlich sind.
Praxisbeispiel: Ein Bericht zeigt nicht nur die Zahl eingegangener Alerts, sondern auch offene Fälle, Alter der Rückstände und wiederkehrende Ursachen. Die Leitung kann dadurch gezielter über Kapazität und Maßnahmen entscheiden.
Häufiger Denkfehler: Eine steigende oder sinkende Kennzahl ist für sich genommen kein Beleg für bessere Kontrollen. Ohne Kontext kann dieselbe Veränderung mehrere Ursachen haben.
54. Kontakt mit Aufsichtsbehörden vorbereiten
Regulatorische Bereitschaft und kontinuierliche Verbesserung
Bei regulatorischen Anfragen sollte das Unternehmen zeitnah, sachlich und konsistent antworten und die Grundlage seiner Aussagen prüfen. Zuständigkeiten für Informationssammlung, Freigabe und Kommunikation sollten klar sein. Unvollständige Informationen sind kenntlich zu machen, statt durch Vermutungen ersetzt zu werden; konkrete Verfahrensanforderungen richten sich nach der jeweiligen Aufsicht und Rechtsordnung.
Praxisbeispiel: Eine Behörde bittet um eine Beschreibung der Warnmeldungsbearbeitung. Das Unternehmen benennt eine verantwortliche Stelle, gleicht die Antwort mit aktuellen Verfahren ab und kennzeichnet noch zu prüfende Details.
Häufiger Denkfehler: Schnelligkeit rechtfertigt keine ungeprüften Aussagen. Widersprüchliche oder spekulative Antworten können die Klärung erschweren und die Verlässlichkeit der Unterlagen beeinträchtigen.
55. Zusammenarbeit mit Strafverfolgungsbehörden
Regulatorische Bereitschaft und kontinuierliche Verbesserung
Die Zusammenarbeit mit Strafverfolgungsbehörden kann Informationen zu Untersuchungen ergänzen und den Umgang mit relevanten Daten unterstützen. Sie muss über festgelegte Zuständigkeiten und unter Beachtung der lokalen Rechtsgrundlagen, Datenschutz- und Vertraulichkeitsanforderungen erfolgen. Mitarbeitende sollten wissen, wie eine Anfrage geprüft, dokumentiert und an die zuständige Stelle weitergeleitet wird.
Praxisbeispiel: Ein Mitarbeitender erhält eine externe Anfrage zu einem Kundenkonto. Er leitet sie an die zuständige Rechts- oder Compliance-Funktion weiter, statt Daten informell und ungeprüft herauszugeben.
Häufiger Denkfehler: Eine behördliche Anfrage ist nicht automatisch eine ausreichende Grundlage für jede gewünschte Datenweitergabe. Zuständigkeit und lokale Anforderungen müssen geprüft werden.
56. Vorfälle und Kontrollausfälle bearbeiten
Regulatorische Bereitschaft und kontinuierliche Verbesserung
Ein Kontrollausfall oder Datenvorfall verlangt eine geordnete Reaktion: Umfang verstehen, mögliche Auswirkungen begrenzen, zuständige Funktionen informieren und Belege sichern. Die weitere Behandlung hängt vom Sachverhalt und den anwendbaren Vorgaben ab. Eine gute Reaktion verbindet unmittelbare Eindämmung mit späterer Ursachenanalyse und einer Prüfung, ob ähnliche Systeme oder Fälle ebenfalls betroffen sein könnten.
Praxisbeispiel: Ein Screening-Dienst fällt vorübergehend aus. Das Unternehmen bewertet betroffene Vorgänge, aktiviert den vorgesehenen Ausweichprozess und dokumentiert, wie nach Wiederherstellung offene Prüfungen nachgeholt werden.
Häufiger Denkfehler: Die Wiederherstellung des Systems beendet nicht automatisch die Untersuchung. Betroffene Vorgänge und mögliche Folgen müssen weiterhin bewertet werden.
57. Änderungsmanagement für Systeme und Kontrollen
Regulatorische Bereitschaft und kontinuierliche Verbesserung
Änderungen an Produkt, Daten, Regeln oder Dienstleistern können die Kontrollwirkung unbeabsichtigt verändern. Ein geordnetes Änderungsmanagement erfasst den Anlass, bewertet mögliche Auswirkungen, benennt Verantwortliche und prüft die Ergebnisse nach der Umsetzung. Besonders wichtig ist, dass Compliance- und Betriebsauswirkungen vor dem Wechsel betrachtet werden und nicht erst nach einem Fehler sichtbar werden.
Praxisbeispiel: Ein Team ersetzt die Datenquelle für Transaktionsmonitoring. Vor dem Wechsel vergleicht es Feldbedeutungen, testet typische Fälle und plant eine Prüfung, ob Warnmeldungen weiterhin korrekt ausgelöst werden.
Häufiger Denkfehler: Eine technische Änderung ist nicht automatisch ein rein technisches Thema. Wenn Daten oder Abläufe betroffen sind, kann sie AML/CFT-Kontrollen wesentlich beeinflussen.
58. Rückmeldeschleifen zur Kontrollverbesserung
Regulatorische Bereitschaft und kontinuierliche Verbesserung
Eine wirksame Rückmeldeschleife nutzt Erfahrungen aus Untersuchungen, Prüfungen, Beschwerden und Produktänderungen, um Kontrollen anzupassen. Erkenntnisse sollten die verantwortlichen Teams erreichen und in dokumentierte Entscheidungen münden. Dabei ist zu prüfen, ob eine Änderung neue Lücken schafft; Verbesserung ist ein fortlaufender Zyklus aus Beobachtung, Anpassung und erneuter Bewertung.
Praxisbeispiel: Fallbearbeitende melden, dass ein neues Zahlungsschema in bestehenden Regeln nicht erkennbar ist. Das zuständige Team untersucht die Fälle, passt die Überwachung gezielt an und prüft später die Ergebnisse.
Häufiger Denkfehler: Das bloße Sammeln von Rückmeldungen verbessert keine Kontrolle. Erkenntnisse brauchen Verantwortliche, priorisierte Maßnahmen und eine Prüfung ihrer tatsächlichen Wirkung.
59. Entscheidungen mit Begründung dokumentieren
Regulatorische Bereitschaft und kontinuierliche Verbesserung
Eine gute Entscheidungsdokumentation hält nicht nur das Ergebnis fest, sondern auch die wesentlichen Informationen, die Unsicherheiten und die angewandte Abwägung. So können andere zuständige Personen Entscheidungen nachvollziehen, prüfen oder bei neuen Fakten aktualisieren. Besonders bei Grenzfällen sollte erkennbar sein, warum eine Eskalation, zusätzliche Prüfung oder ein Fallabschluss gewählt wurde.
Praxisbeispiel: Ein Alert wird nach einer plausiblen Erklärung geschlossen. Die Dokumentation nennt die geprüften Transaktionen, die ergänzenden Kundeninformationen und den Grund, weshalb die Abweichung als geklärt bewertet wurde.
Häufiger Denkfehler: Ein kurzer Eintrag wie geprüft und erledigt erklärt nicht, wie die Entscheidung zustande kam. Fehlende Begründung erschwert Qualitätssicherung und spätere Neubewertung.
60. Die beste nächste Handlung bestimmen
Regulatorische Bereitschaft und kontinuierliche Verbesserung
Bei Szenariofragen ist die beste nächste Handlung meist diejenige, die eine konkrete Unsicherheit klärt oder ein plausibles Risiko angemessen begrenzt, ohne mehr zu unterstellen, als die Fakten hergeben. Prüfen Sie die eigene Rolle, den Kontext und die verfügbaren Informationen und wählen Sie eine verhältnismäßige Untersuchung, Kontrolle oder Eskalation. Erforderliche Eskalationen oder Meldungen dürfen nicht bis zu abschließender Gewissheit aufgeschoben werden; die maßgeblichen Schwellen, Zuständigkeiten und Fristen richten sich nach der jeweiligen Rechtsordnung.
Praxisbeispiel: Ein Kunde zeigt mehrere ungewöhnliche Geldbewegungen, aber die Verbindung zwischen den Empfängern ist noch unklar. Das Team dokumentiert die verfügbaren Informationen, eskaliert den Fall nach dem geltenden Verfahren und prüft die Transaktionsbeziehungen weiter, ohne eine gegebenenfalls erforderliche Meldung bis zum Vorliegen eines Beweises aufzuschieben.
Häufiger Denkfehler: Die drastischste Antwort ist nicht automatisch die beste. Eine sofortige Ablehnung, Kontoschließung oder Meldung ohne ausreichende Prüfung kann voreilig sein; umgekehrt darf eine erforderliche Eskalation nicht allein deshalb verzögert werden, weil noch keine abschließende Gewissheit besteht.
Sechs Schritte für einen anwendungsorientierten Lernplan
Offizielle Quellen
Maßgeblich für CAFCA-Programm, Prüfungsformat und aktuelle Verfügbarkeit ist ACAMS. Die Prüfungsangaben in diesem Leitfaden beruhen auf den bereitgestellten ACAMS-Quellen, geprüft am 11. Oktober 2026. Die Lernprioritäten sind redaktionell; für konkrete rechtliche Pflichten sind stets die anwendbaren Vorschriften der jeweiligen Rechtsordnung maßgeblich. Quellen: ACAMS, CAFCA Certification: https://www.acams.org/en/certifications/cafca ; ACAMS, Associate Certifications: https://www.acams.org/en/help-center/associate-certifications