CFCS-Prüfung: 60 zentrale Konzepte verständlich erklärt

Prüfungsformat und Zielgruppe: Kein reines Reproduktionsexamen

Prüfungsformat und Zielgruppe

Die Zertifizierung Certified Financial Crime Specialist (CFCS) der ACFCS richtet sich an Fachleute, die Finanzkriminalität aus mehreren Blickwinkeln bearbeiten – etwa in Compliance, Ermittlungen, Prüfung, Aufsicht oder Strafverfolgung. Laut der aktuellen ACFCS-Prüfungsvorbereitungsseite umfasst die Prüfung 135 szenariobasierte Multiple-Choice-Fragen, dauert vier Stunden und verlangt 88 richtige Antworten zum Bestehen.

Diese Angaben wurden am 11. Oktober 2026 anhand der ACFCS-Seite geprüft. Da Prüfungsinformationen geändert oder auf Anbieter-Seiten unterschiedlich dargestellt werden können, bestätigen Sie Format und Buchungsdetails vor der Anmeldung nochmals direkt bei ACFCS. Der Leitfaden ist eine deutschsprachige Lernhilfe; daraus folgt nicht, dass die offizielle Prüfung auf Deutsch angeboten wird. Prüfen Sie die verfügbaren Prüfungssprachen beim Anbieter.

Die Prüfung verbindet zwölf Inhaltsbereiche. In Fallszenarien ist oft entscheidend, was die Fakten tatsächlich belegen, welche Jurisdiktion und Rolle relevant sind und welcher nächste Schritt sachgerecht ist. Die Lernschwerpunkte in der Tabelle sind redaktionelle Orientierung, keine offiziellen Prüfungsanteile.

So arbeiten Sie mit diesem Leitfaden

Lesen Sie zunächst die Erklärungen, wenden Sie das Konzept anschließend auf das jeweilige Mini-Szenario an und prüfen Sie zuletzt den häufigen Denkfehler. Achten Sie besonders auf die Trennung von Warnsignal und Beweis, internationalem Standard und nationalem Recht sowie Betrugsprävention und AML-Reaktion auf mutmaßliche Erlöse.

Prüfungsquelle: ACFCS Exam Preparation
Prüfungsübersicht: The CFCS Exam
Handbuch: CFCS Handbook and Application

Die zwölf Themenbereiche im Überblick

Themenbereich	Inhalt und Abgrenzung	Redaktioneller Lernschwerpunkt
Geldwäsche	Methoden, Indikatoren, Vermittler, Terrorismusfinanzierung sowie Finanz- und Nichtfinanzvehikel.	Wertfluss und Aussagekraft der Fakten nachzeichnen.
Betrugserkennung und -prävention	Konsumenten-, Zahlungs-, Kredit-, Versicherungs-, Identitäts- und interner Betrug sowie Analytik und Kontrollen.	Betrugsverlustprävention von der AML-Bearbeitung möglicher Erlöse trennen.
Korruptionsbekämpfung und Ermittlungen	Bestechung, Erpressung, Drittparteien, grenzüberschreitende Gesetze und Vermögensfolgen.	Jurisdiktion, Vorsatz, Vermittler und Buchführung zusammen betrachten.
Steuerhinterziehung und Durchsetzung	Hinterziehung und legale Gestaltung, Offshore-Strukturen, Zoll- und Umsatzsteuerbetrug sowie Ermittlungen.	Verschleierung oder Fälschung von zulässiger Steuerplanung unterscheiden.
Vermögensrückgewinnung	Vermögensplanung und -verfolgung, Sicherung, Einziehung, Rückführung, Insolvenz und Rechtshilfe.	Wert erhalten und passende nationale oder grenzüberschreitende Wege prüfen.
Ermittlungen zu Finanzkriminalität	Ermittlungsansatz, OSINT, Unterlagen, Befragungen, Beweiswert, Datenschutz und Dokumentation.	Rechtmäßige, nachvollziehbare Ermittlungsschritte und Beweissicherung planen.
Finanzunterlagen auswerten	Abschlüsse, Zahlungsströme, Hauptbücher, Steuer- und Zolldokumente sowie Fehler und Manipulation.	Abweichungen abstimmen und ihre Aussagekraft begrenzen.
Geld- und Warenströme	Überweisungen, Korrespondenzbanken, MSBs, informelle Werttransfers, Handel, Rohstoffe und digitale Vermögenswerte.	Wert über Vermittler, Abwicklung und Sachwerte verfolgen.
Compliance-Programme und Sanktionskontrollen	Risikobewertung, Governance, Sorgfaltspflichten, wirtschaftlich Berechtigte, Monitoring und Tests.	Kontrollen am konkreten Risiko ausrichten und Eskalationen dokumentieren.
Cybersicherheit und Datenschutz	Social Engineering, Kontoübernahme, Reaktion auf Vorfälle, digitale Beweise und Datenschutzpflichten.	Sicherheits-, Betrugs- und Datenschutzreaktionen koordinieren, ohne Beweise zu gefährden.
Ethik und berufliche Verantwortung	Interessenkonflikte, Vertraulichkeit, Unabhängigkeit, Rollen, Eskalation und Gemeinwohlpflichten.	Professionelle Verantwortung von bloßer technischer oder rechtlicher Erlaubnis unterscheiden.
Internationale Standards und Zusammenwirken von Delikten	FATF, UN, OECD, Basel, EU, Wolfsberg und grenzüberschreitende Kooperation.	Standards als Rahmen anwenden, ohne sie mit nationalem Recht gleichzusetzen.

60 Konzepte für die CFCS-Lernvorbereitung 1–10

1. Geldwäsche als Verbergen und Nutzen krimineller Erlöse

Geldwäsche

Geldwäsche umfasst je nach anwendbarem Recht insbesondere die Umwandlung oder Übertragung krimineller Erlöse, die Verschleierung ihrer Herkunft oder Zuordnung sowie bestimmte Formen ihres Erwerbs, Besitzes oder ihrer Verwendung. Nicht jede Nutzung solcher Vermögenswerte erfüllt automatisch einen Geldwäschetatbestand. Der erforderliche Bezug zu einer Vortat sowie Kenntnis-, Vorsatz- und weitere Tatbestandsanforderungen richten sich nach der maßgeblichen Rechtsordnung. Die Analyse verfolgt deshalb sowohl den Wertfluss als auch die verfügbaren Informationen über die Beteiligten.

Praxisbeispiel: Eine Ermittlerin verfügt über belastbare Unterlagen, die Zahlungen einem Rechnungsbetrug zuordnen. Ein Unternehmen leitet diese Beträge mit nachweislich unzutreffenden Beratungsrechnungen weiter. Sie untersucht die Verschleierungswirkung, die wirtschaftlichen Empfänger und die Kenntnis der Verantwortlichen getrennt.

Häufiger Denkfehler: Weder eine ungewöhnliche Zahlung noch der bloße Umgang mit Vermögenswerten beweist bereits Geldwäsche. Herkunft, konkrete Handlung und die nach dem anwendbaren Recht erforderlichen subjektiven Merkmale müssen gesondert geprüft werden.

2. Verschiedene Geldwäschemethoden erkennen

Geldwäsche

Bargeldeinzahlungen, Unternehmen und grenzüberschreitende Überweisungen sind zunächst legitime Instrumente. Zu Geldwäschemethoden können sie werden, wenn sie zur Bewegung oder Verschleierung krimineller Erlöse eingesetzt werden, etwa durch fingierte Geschäftsvorfälle, vorgeschobene Inhaber oder undurchsichtige Übertragungsketten. Die Methode ist nicht mit einem festen Ablauf gleichzusetzen. Entscheidend ist, welche konkrete Handlung die Herkunft, Zuordnung oder Kontrolle des Werts schwerer nachvollziehbar macht.

Praxisbeispiel: Eine Ermittlerin findet Barzahlungen, Rechnungen eines verbundenen Betriebs und anschließende Auslandsüberweisungen. Sie gleicht die Rechnungen mit Leistungsnachweisen und Geschäftstätigkeit ab und verfolgt die Empfänger. Erst diese Prüfung zeigt, ob reale Geschäfte oder ein möglicher Verschleierungsmechanismus vorliegen.

Häufiger Denkfehler: Nicht jeder Fall folgt einem dreistufigen Schema. Ebenso wenig ist eine Auslandsüberweisung schon eine Geldwäschetechnik. Wer nur Transaktionsformen oder Stufen benennt, übersieht den tatsächlichen Mechanismus und seine Belege.

3. Warnsignal und Beweis auseinanderhalten

Geldwäsche

Ein Warnsignal ist ein beobachtbares Merkmal, das eine vertiefte Prüfung rechtfertigen kann, etwa ein ungewöhnlicher Zahlungsweg oder eine nicht erklärte Aktivität. Ein Beweis hat eine andere Funktion: Er stützt eine konkrete Tatsachenbehauptung nach den einschlägigen Anforderungen. Fachleute dokumentieren daher erst die Beobachtung und prüfen dann, welche Schlussfolgerungen weitere Informationen tragen.

Praxisbeispiel: Ein Kunde teilt eine größere Zahlung auf mehrere Überweisungen auf. Die Analystin prüft Muster, Kundenprofil und mögliche legitime Gründe, statt Absicht zu unterstellen.

Häufiger Denkfehler: Ein auffälliges Muster beweist weder Vorsatz noch Straftat. Die Bezeichnung eines Indikators als feststehendes Fehlverhalten überzeichnet, was die vorhandenen Fakten aussagen.

4. Terrorismusfinanzierung und Herkunft der Mittel

Geldwäsche

Bei Terrorismusfinanzierung kann der verwendete Wert aus legalen oder illegalen Quellen stammen. Für die Risikobeurteilung sind daher nicht nur Herkunft und Zahlungsform relevant, sondern auch Empfänger, Zweck, Verbindungen und Verwendung. Die Analyse unterscheidet diese Frage von Geldwäsche, bei der die Verschleierung krimineller Erlöse häufig im Mittelpunkt steht.

Praxisbeispiel: Eine gemeinnützige Organisation erhält nachvollziehbare Spenden, überweist jedoch Mittel an einen nicht transparenten Zwischenempfänger. Die Prüfung richtet sich auf Zweck und Empfängerbeziehung.

Häufiger Denkfehler: Legale Herkunft schließt ein Finanzierungsrisiko nicht automatisch aus; ein auffälliger Empfänger beweist umgekehrt keine terroristische Verbindung. Beide Seiten müssen anhand belastbarer Informationen geprüft werden.

5. Gatekeeper und nichtfinanzielle Vehikel

Geldwäsche

Anwälte, Buchhalter, Unternehmensdienstleister und andere Gatekeeper können legitime Dienstleistungen erbringen, zugleich aber unwissentlich oder wissentlich in undurchsichtige Strukturen eingebunden sein. Unternehmen, Trusts und ähnliche Vehikel können Geschäftszwecke erfüllen oder Eigentum verschleiern. Die Beurteilung richtet sich nach Rolle, tatsächlicher Kontrolle, Transaktionen und geltenden Berufs- und Rechtsregeln.

Praxisbeispiel: Ein Dienstleister gründet mehrere Firmen für einen Kunden, doch die wirtschaftlichen Gründe und tatsächlichen Kontrolleure bleiben unklar. Die Prüferin untersucht Unterlagen und Zuständigkeiten.

Häufiger Denkfehler: Ein komplexes Vehikel oder die Einschaltung eines Beraters beweist kein Fehlverhalten. Entscheidend sind konkrete Handlungen und der Kontext, nicht Berufsbezeichnung oder Rechtsform allein.

6. Betrugsprävention von AML-Reaktion trennen

Betrugserkennung und -prävention

Betrugskontrollen sollen unberechtigte Handlungen erkennen oder Verluste begrenzen, etwa durch Identitätsprüfung, Verhaltensanalysen oder Freigaben. Die AML-Bearbeitung fragt zusätzlich, ob mögliche Erlöse bewegt oder verschleiert werden und ob daraus Prüfungs-, Eskalations- oder Meldepflichten entstehen. Beide Funktionen können denselben Fall betreffen, verfolgen aber unterschiedliche unmittelbare Ziele. Informationen werden entsprechend den Zuständigkeiten und geltenden rechtlichen Vorgaben ausgetauscht.

Praxisbeispiel: Ein Kunde bestreitet eine bereits gebuchte Kartenbelastung. Die Betrugsfunktion sperrt nach ihrem Verfahren die betroffene Karte und prüft eine Erstattung. Parallel untersucht die AML-Funktion anhand der verfügbaren Zahlungsdaten, ob weitere Aktivitäten auf die Bewegung möglicher Betrugserlöse hindeuten und welche Pflichten im anwendbaren Recht bestehen.

Häufiger Denkfehler: Die Erstattung eines Betrags erledigt nicht automatisch eine mögliche AML-Prüfung. Umgekehrt ersetzt eine Verdachtsprüfung keine zeitnahe Maßnahme zum Schutz des betroffenen Kontos.

7. Identitätsbetrug und Kontoübernahme

Betrugserkennung und -prävention

Identitätsbetrug nutzt fremde oder erfundene Identitätsdaten, während eine Kontoübernahme den unbefugten Zugriff auf ein bestehendes Konto bezeichnet. Die Unterscheidung hilft, passende Gegenmaßnahmen zu wählen: etwa Antragsprüfung bei gefälschter Identität oder Zugangssicherung und Wiederherstellung bei kompromittierten Zugangsdaten. Ein einzelner technischer Hinweis muss mit weiteren Kontoinformationen abgeglichen werden.

Praxisbeispiel: Ein Kunde meldet unbekannte Überweisungen, während die Anmeldedaten kürzlich geändert wurden. Das Team sichert zunächst den Zugang und prüft anschließend Geräte- und Transaktionsinformationen.

Häufiger Denkfehler: Eine erfolgreiche Anmeldung beweist nicht, dass der rechtmäßige Kontoinhaber gehandelt hat. Zugangsdaten können gestohlen, weitergegeben oder missbraucht worden sein.

8. Kredit- und Hypothekenbetrug anhand von Angaben prüfen

Betrugserkennung und -prävention

Kredit- oder Hypothekenbetrug kann falsche Einkommens-, Beschäftigungs-, Vermögens- oder Objektangaben umfassen. Für eine belastbare Prüfung werden Antragsdaten mit unabhängigen und zeitlich passenden Unterlagen abgeglichen. Eine Abweichung kann auf Täuschung hinweisen, aber auch aus Bewertungsfehlern, veralteten Daten oder Missverständnissen entstehen; die Ursache ist gesondert zu untersuchen.

Praxisbeispiel: Ein Kreditnehmer weist ein Einkommen aus, das nicht mit den eingereichten Abrechnungen übereinstimmt. Die Prüferin verifiziert die Angaben über zulässige Quellen und dokumentiert die Unterschiede.

Häufiger Denkfehler: Nicht jede falsche oder unvollständige Angabe belegt vorsätzlichen Betrug. Erst der Kontext, die Bedeutung der Information und weitere Hinweise helfen, Fehler von absichtlicher Täuschung zu unterscheiden.

9. Interne Kontrollen gegen Mitarbeiterbetrug

Betrugserkennung und -prävention

Interner Betrug kann durch gefälschte Buchungen, missbrauchte Zugriffsrechte, manipulierte Lieferanten oder Umgehung von Freigaben entstehen. Kontrollen wie Funktionstrennung, nachvollziehbare Genehmigungen und unabhängige Überprüfung senken die Gelegenheit und erleichtern die Entdeckung. Ihre Wirksamkeit hängt sowohl vom geeigneten Design als auch von konsequenter Anwendung und Überwachung ab.

Praxisbeispiel: Eine Mitarbeiterin legt Lieferanten an und genehmigt zugleich deren Rechnungen. Eine Prüfung untersucht betroffene Zahlungen und richtet getrennte Rollen für Anlage und Freigabe ein.

Häufiger Denkfehler: Eine schriftliche Regel verhindert keinen Betrug, wenn sie in der Praxis umgangen wird. Ebenso beweist ein einzelner Fehler nicht automatisch, dass jede Kontrolle grundsätzlich mangelhaft ist.

10. Datenanalytik als Ermittlungsunterstützung

Betrugserkennung und -prävention

Analytische Verfahren vergleichen Transaktionen, Identitätsdaten oder Abrechnungsmuster, um ungewöhnliche Fälle zu priorisieren. Bei Versicherungs- und Gesundheitsabrechnungen können sie etwa mögliche Doppelabrechnungen erkennen; bei Sozialleistungen können mehrfach verwendete Identitätsdaten aufklärungsbedürftige Fälle sichtbar machen. Die Ergebnisse hängen von Datenqualität, Vergleichsgruppen, Modellannahmen und Schwellen ab. Treffer sind Prüfhinweise, keine abschließenden Befunde. Verfahren müssen auf Fehlalarme und übersehene Fälle überprüft werden.

Praxisbeispiel: Ein Versicherer markiert zwei Erstattungsanträge für dieselbe versicherte Person, dasselbe Behandlungsdatum und dieselbe Leistung. Die zuständige Prüferin gleicht Rechnungsnummern, Zahlungen, Stornierungen und korrigierte Belege über zulässige Quellen ab. Sie klärt, ob eine echte Doppelabrechnung, eine erneute Einreichung ohne zusätzliche Auszahlung oder ein Datenfehler vorliegt.

Häufiger Denkfehler: Ein hoher Modellwert beweist keine betrügerische Absicht. Auch scheinbar identische Datensätze können aus Korrekturen oder technischen Duplikaten entstehen. Datenqualität, tatsächliche Auszahlung und fachliche Plausibilität müssen geprüft werden.

60 Konzepte für die CFCS-Lernvorbereitung 11–20

11. Bestechung und unzulässige Vorteile

Korruptionsbekämpfung und Ermittlungen

Bestechung betrifft typischerweise einen Vorteil, der angeboten, versprochen, gewährt, gefordert oder angenommen wird, um eine Entscheidung oder Handlung ungebührlich zu beeinflussen. Die genaue rechtliche Einordnung hängt von der anwendbaren Jurisdiktion und den Umständen ab. Analytisch wichtig sind Beteiligte, Zweck, Zeitpunkt, Gegenleistung und die tatsächliche Rolle des Empfängers.

Praxisbeispiel: Ein Anbieter zahlt einem Vermittler ungewöhnliche Gebühren kurz vor einer öffentlichen Vergabe. Die Ermittlerin prüft Vertrag, Kommunikation, Zahlungsweg und mögliche Entscheidungsbeeinflussung.

Häufiger Denkfehler: Eine Zahlung an eine Amtsperson oder ein hohes Vermittlerhonorar beweist für sich genommen keine Bestechung. Zweck, Vorsatz und tatsächlicher Zusammenhang müssen weiter untersucht werden.

12. Drittparteien als Korruptionsrisiko

Korruptionsbekämpfung und Ermittlungen

Dritte können legitime Vertriebs- oder Beratungsaufgaben erfüllen, aber auch genutzt werden, um Zahlungen oder Einflussnahme zu verschleiern. Eine risikogerechte Prüfung betrachtet Geschäftsgrund, Leistungsnachweise, Vergütung, Eigentum und Verbindungen zu Entscheidungsträgern. Der Umfang sollte sich am konkreten Risiko und an der Rolle der Drittpartei orientieren.

Praxisbeispiel: Ein Berater verlangt eine erfolgsabhängige Zahlung über eine Gesellschaft ohne erkennbare Leistungen. Das Unternehmen verlangt nachvollziehbare Leistungsbelege und eskaliert ungeklärte Auffälligkeiten.

Häufiger Denkfehler: Die Beauftragung eines Vermittlers ist nicht automatisch verdächtig. Ungeprüfte Zahlungen sind aber ebenfalls keine harmlose Routine, wenn Leistung oder wirtschaftlicher Zweck fehlen.

13. Erpressung und Zwangszahlungen

Korruptionsbekämpfung und Ermittlungen

Bei Erpressung wird ein Vorteil durch Drohung oder Zwang gefordert. Für die Untersuchung ist wichtig, ob eine konkrete Bedrohung der persönlichen Sicherheit oder wirtschaftlicher Druck vorlag, welche Handlungsalternativen bestanden und wer die Zahlung veranlasste. Eine Zwangslage ist nicht automatisch eine korruptionsrechtliche Ausnahme oder ein Entlastungsgrund; ihre rechtliche Bedeutung hängt vom anwendbaren Recht und den Umständen ab. Ermittlungen müssen zugleich den Schutz gefährdeter Personen berücksichtigen.

Praxisbeispiel: Eine Mitarbeiterin berichtet von konkreten Gewaltdrohungen, mit denen ein lokaler Mittelsmann eine Zahlung erzwungen habe. Die zuständige Stelle veranlasst geeignete Schutzmaßnahmen und sichert, soweit ohne zusätzliche Gefährdung möglich, Nachrichten, Zahlungsdaten und Aussagen. Die rechtliche Bewertung der Zahlung erfolgt gesondert unter Einbeziehung qualifizierter Rechtsberatung.

Häufiger Denkfehler: Eine Zahlung beweist keine freiwillige Mitwirkung. Umgekehrt macht die Behauptung, man habe unter Druck gestanden, eine Zahlung nicht automatisch rechtmäßig. Sicherheitsbedrohung, wirtschaftlicher Druck und rechtliche Folgen sind getrennt zu prüfen.

14. Buchführung und interne Korruptionskontrollen

Korruptionsbekämpfung und Ermittlungen

Unklare Beratungsgebühren, falsche Leistungsbeschreibungen und ungewöhnlich aufgeteilte Zahlungen können auf Verschleierung hinweisen. Die Analyse verbindet Buchung, Vertrag, tatsächliche Leistung, Genehmigung und Zahlungsempfänger. Buchführungs- und Kontrollpflichten können unabhängig davon relevant sein, ob eine konkrete Bestechung bewiesen wird. Ein US-rechtliches Beispiel sind die einschlägigen FCPA-Buchführungs- und Kontrollbestimmungen für erfasste Emittenten. Sie dürfen nicht als identische Pflicht jedes international tätigen Unternehmens dargestellt werden.

Praxisbeispiel: Bei einem US-börsennotierten Emittenten ist eine Zahlung einer konsolidierten Tochtergesellschaft als „Marktberatung“ erfasst. Es fehlen nachvollziehbare Leistungsbelege; vorhandene Nachrichten nennen stattdessen einen anderen Zahlungszweck. Das Prüfungsteam untersucht Buchungsrichtigkeit, Freigaben und Kontrollen getrennt von der Frage, ob die Zahlung einen Bestechungstatbestand erfüllt.

Häufiger Denkfehler: Ein unzutreffender Buchungstext beweist nicht automatisch Bestechung oder den Vorsatz einer bestimmten Person. Ebenso wenig erledigt fehlender Bestechungsnachweis mögliche eigenständige Buchführungs- oder Kontrollfragen.

15. Jurisdiktion und grenzüberschreitende Korruptionsfälle

Korruptionsbekämpfung und Ermittlungen

Unternehmensstatus, Geschäftstätigkeit, Handlungsort, beteiligte Personen und Zahlungswege können unterschiedliche Korruptionsgesetze berühren. Die US-amerikanischen FCPA-Bestechungsbestimmungen betreffen insbesondere die Bestechung ausländischer Amtsträger; der UK Bribery Act erfasst auch Bestechung im privaten Bereich. Der FCPA enthält eine eng begrenzte Ausnahme für bestimmte Zahlungen zur Beschleunigung routinemäßiger Amtshandlungen. Der UK Bribery Act kennt keine entsprechende allgemeine Ausnahme. Anwendbarkeit, Tatbestandsmerkmale und mögliche Ausnahmen müssen für jedes einschlägige Recht gesondert geprüft werden.

Praxisbeispiel: Eine US-börsennotierte Gesellschaft mit Geschäftstätigkeit im Vereinigten Königreich lässt über einen Vermittler eine Zahlung an einen ausländischen Amtsträger veranlassen, um eine diskretionäre Auftragsentscheidung zu beeinflussen. Das Untersuchungsteam dokumentiert die Anknüpfungspunkte für beide Rechtsordnungen und lässt deren Anwendbarkeit prüfen. Die Bezeichnung als „Beschleunigungszahlung“ macht eine Auftragsentscheidung nicht zu einer routinemäßigen Amtshandlung.

Häufiger Denkfehler: Eine Ausnahme in einer Rechtsordnung ist keine weltweite Erlaubnis. Weder die geringe Höhe einer Zahlung noch ihre Verbuchung als Gebühr ersetzt die Prüfung von Zweck, Empfänger, Zuständigkeit und anwendbarem Recht.

16. Steuerhinterziehung von Steuerplanung unterscheiden

Steuerhinterziehung und Durchsetzung

Legale Steuerplanung nutzt zulässige Wahlrechte oder Strukturen. Daneben können Gestaltungen steuerlich nicht anerkannt oder als missbräuchlich beurteilt werden, ohne dass damit bereits eine strafrechtliche Hinterziehung bewiesen ist. Steuerhinterziehung setzt die Merkmale des anwendbaren Rechts voraus, etwa vorsätzliche Falschangaben oder das Verschweigen steuerlich relevanter Tatsachen mit der erforderlichen steuerlichen Folge. Offenlegung, materielle Zulässigkeit, steuerliche Auswirkungen und Vorsatz sind deshalb getrennt zu untersuchen.

Praxisbeispiel: Ein Unternehmen hat eine komplexe Konzernstruktur offengelegt. Interne Umsatzaufstellungen enthalten jedoch Erlöse, die in den zugänglichen Steuerunterlagen nicht erkennbar sind. Das befugte Team prüft zunächst Perioden, Zuordnung und einschlägige Erfassungsregeln und untersucht anschließend, ob eine unbeabsichtigte Differenz oder eine bewusste Verschleierung vorliegt.

Häufiger Denkfehler: Eine aggressive Gestaltung ist nicht automatisch Hinterziehung, aber auch nicht allein wegen ihrer Offenlegung zulässig. Eine steuerliche Korrektur beweist noch keinen strafrechtlichen Vorsatz; die Bezeichnung als „Planung“ rechtfertigt umgekehrt keine falschen Angaben.

17. Offshore-Strukturen und wirtschaftlicher Zweck

Steuerhinterziehung und Durchsetzung

Grenzüberschreitende Gesellschaften und Konten können legitime geschäftliche Gründe haben, zugleich aber Eigentum oder steuerlich relevante Einkünfte verschleiern. Eine Prüfung verfolgt Kontrolle, Geschäftstätigkeit, Buchführung und Offenlegungspflichten über die beteiligten Rechtsräume. Entscheidend ist nicht die geografische Bezeichnung, sondern ob Struktur und Angaben mit dem tatsächlichen wirtschaftlichen Verhalten übereinstimmen.

Praxisbeispiel: Eine Gesellschaft ohne sichtbare Geschäftstätigkeit erhält regelmäßig Zahlungen von verbundenen Unternehmen. Die Prüferin gleicht Verträge, Eigentümerangaben und Steuerunterlagen ab.

Häufiger Denkfehler: Ein Offshore-Konto ist nicht allein wegen seines Standorts rechtswidrig. Ohne Prüfung von Zweck, Offenlegung und anwendbarem Recht ist weder Entwarnung noch Schuldzuweisung gerechtfertigt.

18. Zoll- und Umsatzsteuerbetrug über Handelsangaben

Steuerhinterziehung und Durchsetzung

Zoll- und Umsatzsteuerbetrug können unterschiedliche Mechanismen nutzen. Falsche Angaben zu Zollwert, Menge oder Ursprung können die Zollbelastung verändern; fingierte Rechnungen können Grundlage eines unberechtigten Vorsteuerabzugs sein. Die Prüfung gleicht Rechnungen, Transport- und Zollunterlagen, Zahlungen und tatsächliche Leistungen ab. Der steuerliche Effekt wird gesondert von einem möglichen Werttransfer oder einer Verschleierung krimineller Erlöse beurteilt. Die konkreten Voraussetzungen richten sich nach dem anwendbaren Zoll- und Steuerrecht.

Praxisbeispiel: Ein deutscher Händler macht Vorsteuer aus einer Rechnung über eine angeblich bereits ausgeführte Warenlieferung geltend. Lager-, Transport- und Lieferantendaten widersprechen dieser Lieferung. Die Prüferin klärt die tatsächliche Leistung, die Rechnungsgrundlage und den beanspruchten Steuerabzug sowie mögliche Korrekturen oder Dokumentationsfehler. Etwaige weitergeleitete Zahlungen untersucht sie zusätzlich, nicht als Ersatz für die steuerliche Prüfung.

Häufiger Denkfehler: Eine Handelsabweichung beweist weder vorsätzlichen Steuerbetrug noch Geldwäsche. Ein möglicher Steuerschaden und ein möglicher Verschleierungsmechanismus sind unterschiedliche Fragen und benötigen jeweils passende Belege.

19. Lohnsteuer und beschäftigungsbezogene Abgaben

Steuerhinterziehung und Durchsetzung

Unstimmigkeiten zwischen tatsächlicher Beschäftigung, Lohnabrechnung, Bankzahlungen und gemeldeten Beträgen können auf Fehler oder vorsätzliche Verstöße hindeuten. In Deutschland sind insbesondere der Lohnsteuerabzug und die Sozialversicherungsbeiträge zu unterscheiden: Beiträge sind keine Steuern, und die Pflichten folgen unterschiedlichen Regelungen. Eine belastbare Prüfung vergleicht denselben Zeitraum und klärt Beschäftigungsstatus, Arbeitsleistung, Abrechnung und Zahlung, bevor sie eine rechtliche oder subjektive Bewertung vornimmt.

Praxisbeispiel: Bei einem deutschen Betrieb zeigen Schichtpläne und Bankzahlungen für denselben Monat mehr entgeltlich tätige Personen als die Lohnabrechnung. Die befugte Prüferin gleicht Verträge und Fremdleistungsrechnungen ab, klärt die tatsächlichen Beschäftigungsverhältnisse und vergleicht anschließend die einschlägigen Lohnsteuer- und Sozialversicherungsmeldungen.

Häufiger Denkfehler: Nicht jede in einem Schichtplan genannte Person ist automatisch Arbeitnehmer des geprüften Betriebs. Unterschiedliche Zeiträume, Fremdpersonal oder Abrechnungsfehler können Differenzen erklären. Vorsätzliche Nichtmeldung oder Nichtabführung muss gesondert untersucht werden.

20. Steuerdaten als Ermittlungsansatz nutzen

Steuerhinterziehung und Durchsetzung

Steuererklärungen liefern Angaben zu Einkommen, Geschäftstätigkeit und steuerlich relevanten Sachverhalten. Ihr Ermittlungswert entsteht durch den Vergleich mit weiteren zulässigen Quellen. Dabei sind Kontogutschriften nicht automatisch steuerpflichtige Einnahmen oder Umsatzerlöse: Darlehenszuflüsse, Einlagen und interne Transfers müssen wirtschaftlich zugeordnet werden. Auch Zeiträume und steuerliche Erfassungsregeln können Unterschiede erklären. Zugang, Nutzung und Weitergabe von Steuerdaten können besonderen Beschränkungen unterliegen; Befugnisse und Quellenherkunft sind deshalb vor der Auswertung zu klären.

Praxisbeispiel: Ein befugtes Ermittlungsteam vergleicht geringe erklärte Umsätze einer Gesellschaft mit hohen Kontogutschriften. Verträge und Buchungsunterlagen erklären einen Teil als Darlehen und Gesellschaftereinlagen. Für die verbleibenden, offenbar kundenbezogenen Zahlungen prüft das Team Leistungsbezug, Zeitraum und steuerliche Erfassung und dokumentiert offene Fragen statt sofort nicht erklärte Umsätze zu behaupten.

Häufiger Denkfehler: Weder eine eingereichte Steuererklärung noch eine Bankgutschrift erklärt für sich allein den tatsächlichen steuerlichen Sachverhalt. Erst rechtmäßiger Quellenzugang, wirtschaftliche Zuordnung und Abgleich erlauben belastbare Schlussfolgerungen.

60 Konzepte für die CFCS-Lernvorbereitung 21–30

21. Vermögensrückgewinnung früh mitplanen

Vermögensrückgewinnung

Vermögensrückgewinnung ist wirksamer, wenn Ermittler früh feststellen, welche Vermögenswerte bestehen, wer sie kontrolliert, wo sie liegen und wie schnell sie veräußert werden könnten. Die Planung verbindet Beweislage, Zuständigkeit, verfügbare Sicherungsinstrumente und Kosten. Ein frühes Lagebild hilft, Werte zu erhalten, ohne eine rechtliche Befugnis oder ein Ergebnis vorwegzunehmen.

Praxisbeispiel: Ein Betrugsverdacht betrifft ein Unternehmen mit beweglichen Vermögenswerten und Konten in mehreren Ländern. Das Team erstellt ein Vermögensbild und prüft rechtmäßige Sicherungswege.

Häufiger Denkfehler: Vermögensverfolgung beginnt nicht erst nach einem rechtskräftigen Urteil. Wer zu spät plant, riskiert Wertverlust; voreiliges Einfrieren ohne Befugnis kann jedoch ebenfalls unzulässig sein.

22. Vermögensspuren über Eigentum und Kontrolle verfolgen

Vermögensrückgewinnung

Tracing verfolgt die Bewegung oder Umwandlung eines bestimmten Werts durch Konten, Unternehmen, Personen und Vermögensarten. Es erfordert nachvollziehbare Belege für jede Verbindung und muss zwischen rechtlichem Eigentum, tatsächlicher Kontrolle und wirtschaftlichem Nutzen unterscheiden. Eine ähnliche Summe oder zeitliche Nähe allein begründet noch keine sichere Zuordnung.

Praxisbeispiel: Nach einer verdächtigen Überweisung kauft ein verbundenes Unternehmen eine Immobilie. Die Ermittlerin verknüpft Zahlungsbelege, Eigentumsdaten und Finanzierung, bevor sie die Immobilie dem ursprünglichen Wert zuordnet.

Häufiger Denkfehler: Gleich hohe Beträge beweisen nicht, dass es sich um denselben Wert handelt. Die Zuordnung braucht einen nachvollziehbaren Transaktionspfad und alternative Finanzierungsquellen sind zu prüfen.

23. Vorläufige Sicherung und endgültige Einziehung unterscheiden

Vermögensrückgewinnung

Vorläufige Sicherungsmaßnahmen sollen verhindern, dass Vermögenswerte während eines Verfahrens verschwinden oder an Wert verlieren. Eine endgültige Einziehung entzieht Vermögenswerte auf Grundlage des jeweils anwendbaren Rechts. Beide Schritte können unterschiedliche Zuständigkeiten, Voraussetzungen und Rechtsschutzmöglichkeiten haben. Ausländische Bezeichnungen wie confiscation oder forfeiture müssen anhand des konkreten Verfahrens eingeordnet werden; eine deutsche Übersetzung allein erklärt ihre Rechtswirkung nicht.

Praxisbeispiel: In einem laufenden Betrugsverfahren belegt ein Verkaufsauftrag, dass eine mutmaßlich mit Taterträgen erworbene Immobilie kurzfristig veräußert werden soll. Die zuständige Ermittlungsbehörde prüft, ob sie eine vorläufige Sicherung beantragen kann. Ob und in welchem Umfang die Immobilie endgültig eingezogen werden darf, ist damit noch nicht entschieden.

Häufiger Denkfehler: Eine vorläufige Sicherung beweist weder die kriminelle Herkunft des Vermögenswerts noch seine endgültige Einziehbarkeit. Für die spätere Entziehung sind die dafür geltenden Voraussetzungen und Rechte betroffener Personen gesondert zu prüfen.

24. Umgewandelte Erlöse und wertbezogene Einziehung unterscheiden

Vermögensrückgewinnung

Werden mutmaßliche Taterträge zum Kauf eines anderen Vermögenswerts verwendet, verfolgt die Analyse den Wert bis zu seiner neuen Form. Bei Vermischung mit legalen Mitteln müssen Finanzierung und zurechenbare Anteile nachvollziehbar untersucht werden. Davon zu unterscheiden ist eine wertbezogene Einziehung: Soweit die anwendbare Rechtsordnung sie vorsieht, kann sie unter ihren eigenen Voraussetzungen einen entsprechenden Wert erfassen, auch wenn die ursprünglichen Erlöse nicht mehr vorhanden sind. Ein solcher Zugriff auf andere Vermögenswerte beruht auf einer Rechtsgrundlage, nicht auf der Behauptung, diese seien selbst Taterträge.

Praxisbeispiel: Mutmaßliche Betrugserlöse werden zum Kauf einer Maschine verwendet. Das Team rekonstruiert den Zahlungsweg und die Eigentumsverhältnisse. Wurde die Maschine später verkauft und der Erlös verbraucht, prüft die zuständige Stelle zusätzlich, ob eine wertbezogene Einziehung rechtlich möglich ist. Andere, legal finanzierte Maschinen werden dadurch nicht automatisch zu Taterträgen.

Häufiger Denkfehler: Vermögensverfolgung und wertbezogene Einziehung sind nicht dasselbe. Für umgewandelte Erlöse ist der Zusammenhang mit dem ursprünglichen Wert zu belegen; für einen Zugriff auf andere Vermögenswerte sind die eigenständigen gesetzlichen Voraussetzungen und gegebenenfalls Rechte Dritter zu prüfen.

25. Grenzüberschreitende Rechtshilfe für Vermögensfälle

Vermögensrückgewinnung

Wenn Informationen oder Vermögenswerte im Ausland liegen, müssen zuständige Behörden und anwendbare Kooperationswege bestimmt werden. Formelle Rechtshilfe kann Beweiserhebung oder Sicherungsmaßnahmen unterstützen; informeller Informationsaustausch hat andere Grenzen und Zwecke. Erforderlich sind eine klare Anfrage, passende Rechtsgrundlage und Koordination, damit Belege zulässig bleiben und Vermögenswerte nicht durch Verfahrensfehler verloren gehen.

Praxisbeispiel: Ein Konto liegt im Ausland, während die Ermittlungsakte im Heimatland geführt wird. Das Team identifiziert die zuständigen Behörden und nutzt den passenden formellen Weg für erforderliche Maßnahmen.

Häufiger Denkfehler: Ein internationaler Kontakt oder eine freiwillige Auskunft ersetzt nicht automatisch ein förmliches Verfahren. Zuständigkeit, Verwendungszweck und Zulässigkeit der Informationen müssen geklärt sein.

26. Ermittlungsansatz und Predication

Ermittlungen zu Finanzkriminalität

Ein Ermittlungsansatz dokumentiert, welche überprüfbaren Tatsachen eine vertiefte Untersuchung rechtfertigen und welche Fragen offen sind. Er verhindert, dass Ermittler bloßen Vermutungen folgen oder den Umfang unbegrenzt ausdehnen. Welche Schwelle gilt, hängt von Rolle, Verfahren und Jurisdiktion ab; die dokumentierte Grundlage sollte daher konkret, zeitlich nachvollziehbar und überprüfbar sein.

Praxisbeispiel: Ein Hinweis nennt eine Reihe nicht erklärter Überweisungen, aber keine gesicherte Straftat. Die Ermittlerin hält Quelle, überprüfbare Angaben und offene Fragen fest, bevor sie weitere Daten anfordert.

Häufiger Denkfehler: Ein anonymer Hinweis ist weder automatisch wertlos noch bereits ein Beweis. Seine Zuverlässigkeit und die Möglichkeit unabhängiger Bestätigung müssen bewertet werden.

27. OSINT als Hinweisquelle einordnen

Ermittlungen zu Finanzkriminalität

Open-Source-Informationen können Unternehmensverbindungen, öffentliche Äußerungen, Gerichtsunterlagen oder Medienberichte sichtbar machen. Ihre Verlässlichkeit hängt von Herkunft, Aktualität, Identitätszuordnung und möglicher Voreingenommenheit ab. Ermittler sichern Fundstelle und Abrufzeitpunkt und bestätigen wesentliche Angaben, bevor sie sie als Grundlage für weitere Schritte oder Tatsachenbehauptungen verwenden.

Praxisbeispiel: Ein öffentliches Register deutet auf eine Verbindung zwischen zwei Firmen hin. Die Analystin archiviert den Eintrag und prüft die Zuordnung anhand weiterer unabhängiger Unterlagen.

Häufiger Denkfehler: Ein öffentlich zugänglicher Treffer ist nicht automatisch korrekt, aktuell oder beweiskräftig. Ähnliche Namen und unvollständige Daten können zu falschen Zuordnungen führen.

28. Intelligence und Beweismittel unterscheiden

Ermittlungen zu Finanzkriminalität

Intelligence ist Information, die Risiken oder Ermittlungsansätze sichtbar macht; Beweismittel müssen nach den einschlägigen Regeln geeignet sein, eine konkrete Behauptung in einem Verfahren zu stützen. Dieselbe Information kann beide Rollen nacheinander spielen, wenn Herkunft, Erhebung und Authentizität ordnungsgemäß geklärt werden. Die Unterscheidung steuert, wie Material bewertet und weitergegeben wird.

Praxisbeispiel: Ein vertraulicher Hinweis benennt ein Konto. Das Team nutzt ihn als Ermittlungsansatz und beschafft anschließend rechtmäßig bestätigende Konto- und Inhaberdaten.

Häufiger Denkfehler: Ein nützlicher Geheimdienst- oder Hinweisbericht ist nicht automatisch vor Gericht verwendbar. Seine Herkunft und Erhebungsweise müssen geklärt und gegebenenfalls bestätigt werden.

29. Befragungen und Zeugenaussagen sorgfältig planen

Ermittlungen zu Finanzkriminalität

Befragungen sollten einem klaren Untersuchungsziel folgen und offene Fragen von bereits feststehenden Tatsachen trennen. Die Vorgehensweise muss zur Rolle der befragten Person, zu geltenden Rechten und zur zuständigen Jurisdiktion passen. Eine genaue Dokumentation von Fragen, Antworten, Zeitpunkt und gegebenenfalls anwesenden Personen unterstützt spätere Nachvollziehbarkeit und faire Bewertung.

Praxisbeispiel: Eine Buchhalterin kann eine widersprüchliche Zahlung erklären. Der Ermittler legt zunächst die belegten Daten vor und dokumentiert ihre Antwort getrennt von eigenen Schlussfolgerungen.

Häufiger Denkfehler: Eine selbstsicher vorgetragene Aussage ist nicht automatisch wahr. Aussagen müssen mit Unterlagen und weiteren Quellen verglichen werden; rechtliche Schutzrechte dürfen nicht übergangen werden.

30. Beweismittelkette und Ermittlungsdokumentation

Ermittlungen zu Finanzkriminalität

Die Beweismittelkette dokumentiert, welches Material erhoben wurde, wer es verwahrt hat und wann es übergeben oder bearbeitet wurde. Eindeutige Kennzeichnungen, Übergabeprotokolle und nachvollziehbare Bearbeitungsschritte helfen, Verwechslungen oder Veränderungen zu erkennen. Die Dokumentation sollte außerdem zeigen, wo das gesicherte Original liegt und welche Arbeitsfassung ausgewertet wurde. Welche Folgen eine Lücke hat, richtet sich nach dem anwendbaren Verfahren; sie darf weder ignoriert noch pauschal mit Unverwertbarkeit gleichgesetzt werden.

Praxisbeispiel: Eine Ermittlungsbehörde übergibt rechtmäßig sichergestellte Rechnungsordner an eine beauftragte Sachverständige. Das Übergabeprotokoll nennt die Kennzeichnungen der Ordner, übergebende und empfangende Person sowie Datum und Zweck. Die Sachverständige dokumentiert ihre Auswertung und die anschließende Rückgabe, sodass der Verbleib der Unterlagen nachvollziehbar bleibt.

Häufiger Denkfehler: Der Ablageort allein belegt keine verlässliche Beweismittelkette. Ohne eindeutige Zuordnung und dokumentierte Übergaben kann unklar bleiben, ob das ausgewertete Material vollständig und unverändert ist.

60 Konzepte für die CFCS-Lernvorbereitung 31–40

31. Finanzabschlüsse als zusammenhängendes Bild lesen

Finanzunterlagen auswerten

Bilanz, Gewinn- und Verlustrechnung sowie Kapitalflussrechnung beantworten unterschiedliche Fragen: Vermögens- und Schuldensituation, wirtschaftliches Ergebnis und tatsächliche Geldbewegungen. Ihre Aussagen sollten gemeinsam betrachtet werden, statt eine Kennzahl isoliert zu interpretieren. Abweichungen zwischen Gewinn und Zahlungsfluss können wichtige Fragen aufwerfen, aber auch legitime zeitliche oder buchhalterische Ursachen haben.

Praxisbeispiel: Ein Unternehmen meldet wachsenden Gewinn, während verfügbare Zahlungsmittel sinken. Die Analystin prüft Forderungen, Lagerbestände und Zahlungsfristen, bevor sie eine Schlussfolgerung zieht.

Häufiger Denkfehler: Ein hoher ausgewiesener Gewinn bedeutet nicht, dass entsprechend viel Bargeld vorhanden ist. Die Kapitalflussrechnung und zugrunde liegenden Belege sind gesondert zu prüfen.

32. Hauptbuch und Transaktionsbelege abstimmen

Finanzunterlagen auswerten

Das Hauptbuch ordnet Geschäftsvorfälle Konten und Buchungsperioden zu; Rechnungen, Verträge und Zahlungsnachweise können erklären, worauf eine Buchung beruht. Eine Abstimmung verfolgt ausgewählte Einträge zurück zu ihren Quellen und prüft Vollständigkeit, Genehmigung und sachliche Beschreibung. So lässt sich ein Buchungsfehler von einer unbelegten oder möglicherweise manipulierten Buchung abgrenzen.

Praxisbeispiel: Eine Beratungszahlung wird im Hauptbuch als Betriebsausgabe erfasst. Die Prüferin gleicht Rechnung, Leistungsnachweis, Genehmigung und Banküberweisung ab.

Häufiger Denkfehler: Ein plausibler Kontoname bestätigt nicht, dass die zugrunde liegende Leistung erbracht wurde. Die Buchung muss mit unabhängigen Unterlagen abgestimmt werden.

33. Fehler und Manipulation nicht verwechseln

Finanzunterlagen auswerten

Ein Fehler kann durch Versehen, unklare Prozesse oder falsche Eingaben entstehen; Manipulation setzt eine gezielte Veränderung oder Irreführung voraus. Beides kann ähnliche Dokumentabweichungen erzeugen. Die Untersuchung betrachtet Muster, Wiederholung, Vorteil, Genehmigungsweg und Korrekturverhalten, bevor sie Absicht annimmt. Eine faire Analyse dokumentiert auch entlastende Erklärungen und widersprechende Belege.

Praxisbeispiel: Eine Zahlung erscheint doppelt gebucht. Das Team prüft Stornierungen, Eingabehistorie und Freigaben, bevor es zwischen Systemfehler und absichtlicher Doppelbelastung unterscheidet.

Häufiger Denkfehler: Eine Unstimmigkeit allein beweist keine Manipulation. Wer Absicht aus dem bloßen Fehler ableitet, überspringt die notwendige Prüfung von Ursache und Kontext.

34. Buchhaltungsdaten und Steuerunterlagen vergleichen

Finanzunterlagen auswerten

Buchhaltung und Steuerunterlagen beruhen möglicherweise auf unterschiedlichen Zeiträumen, Definitionen oder Anpassungen. Ein sinnvoller Vergleich klärt zuerst diese Abgrenzungen und verfolgt anschließend wesentliche Differenzen zu Belegen und Meldungen zurück. So zeigt sich, ob eine Abweichung erklärbar ist oder weitere Prüfung braucht, ohne unterschiedliche Dokumentzwecke als Widerspruch zu behandeln.

Praxisbeispiel: Die interne Umsatzübersicht weicht von einer eingereichten Steuerunterlage ab. Die Analystin prüft Zeitraum, Abgrenzung und dokumentierte Anpassungen, bevor sie die Differenz eskaliert.

Häufiger Denkfehler: Verschiedene Zahlen in zwei Dokumenten bedeuten nicht automatisch Fälschung. Erst ein Vergleich derselben Periode und derselben Berechnungsgrundlage erlaubt eine belastbare Bewertung.

35. Herkunft und Vollständigkeit von Finanzunterlagen prüfen

Finanzunterlagen auswerten

Vor der inhaltlichen Auswertung ist zu klären, aus welchem System eine Finanzunterlage stammt, welchen Zeitraum sie umfasst und welche Filter oder Auswahlregeln verwendet wurden. Ein Export kann beispielsweise Stornierungen, bestimmte Konten oder nachträgliche Buchungen auslassen, ohne dass dies in der Datei erkennbar ist. Fachleute stimmen Umfang und Summen mit geeigneten Kontrollunterlagen ab und unterscheiden Quelldaten von bearbeiteten Auswertungen. Die verwendete Ausgangsfassung und ihre Erstellungsparameter werden gesichert, damit sich die Analyse reproduzieren lässt.

Praxisbeispiel: Eine Prüferin erhält einen Tabellenexport des jährlichen Hauptbuchs. Dessen Summen stimmen nicht mit der Summen- und Saldenliste zum selben Stichtag überein. Sie stellt fest, dass der Export bestimmte nachträgliche Buchungen nicht enthält, lässt einen vollständigen Export erstellen und dokumentiert die Unterschiede, bevor sie einzelne Zahlungen bewertet.

Häufiger Denkfehler: Eine professionell formatierte Tabelle ist nicht automatisch ein vollständiger oder unveränderter Auszug der Buchhaltung. Fehlende Daten können durch Filter, Exportzeitpunkt oder Bearbeitung entstehen; sie beweisen für sich genommen weder fehlende Geschäftsvorfälle noch Manipulation.

36. Zahlungswege über Zwischenstellen verfolgen

Geld- und Warenströme

Eine Überweisung kann über mehrere Banken, Zahlungsdienstleister oder Konten laufen, bevor der wirtschaftliche Empfänger den Wert erhält. Die Analyse trennt Auftraggeber, Zwischenstellen, Empfängerkonto und tatsächlichen Nutzen. Nachrichten- und Buchungsdaten können unterschiedliche Teile des Wegs zeigen; die vollständige Rekonstruktion erfordert daher das Zusammenführen von Zeitstempeln, Referenzen und Kontoinformationen.

Praxisbeispiel: Eine Zahlung wird an eine ausländische Zwischenbank geleitet und danach einem anderen Unternehmen gutgeschrieben. Die Analystin verknüpft Referenzdaten und Kontobelege, um den Endempfänger zu bestimmen.

Häufiger Denkfehler: Die auf dem Zahlungsauftrag genannte Gegenpartei ist nicht zwingend der wirtschaftliche Nutznießer. Zwischenstellen und abweichende Angaben müssen in die Analyse einbezogen werden.

37. Korrespondenzbankbeziehungen verstehen

Geld- und Warenströme

Korrespondenzbankbeziehungen ermöglichen es Finanzinstituten, Zahlungen für Banken in anderen Ländern abzuwickeln. Dadurch kann eine Transaktion zusätzliche Vermittler und unterschiedliche Informationslagen umfassen. Die Risikoanalyse richtet sich nach Beziehung, Kundenbasis, Zahlungswegen und verfügbaren Kontrollen; eine grenzüberschreitende oder indirekte Zahlung ist nicht allein deshalb verdächtig.

Praxisbeispiel: Eine kleine Bank nutzt ein Konto bei einer größeren internationalen Bank, um Kundenzahlungen abzuwickeln. Die Prüferin untersucht, welche Informationen über Auftraggeber und Empfänger tatsächlich verfügbar sind.

Häufiger Denkfehler: Eine Korrespondenzbankverbindung bedeutet nicht automatisch unzureichende Kontrolle oder Fehlverhalten. Das konkrete Risiko hängt von den beteiligten Instituten und der Abwicklung ab.

38. MSBs und informelle Werttransfers

Geld- und Warenströme

Money Services Businesses (MSBs) bieten je nach Geschäftsmodell etwa Geldübermittlungen oder andere Zahlungsdienste an. Informelle Werttransfers können durch Vertrauensnetze ausgeglichen werden, ohne dass jede Bewegung als grenzüberschreitende Banküberweisung erscheint. Ermittler verfolgen deshalb nicht nur Konten, sondern auch Agenten, Abrechnungen, Gegenparteien und die wirtschaftliche Erfüllung des Transfers.

Praxisbeispiel: Eine Familie zahlt bei einem lokalen Agenten Geld ein, während ein Partneragent im Zielgebiet den entsprechenden Wert auszahlt. Die Analyse prüft Abrechnung und beteiligte Stellen.

Häufiger Denkfehler: Eine informelle Abwicklung ist nicht automatisch illegal. Ebenso darf das Fehlen einer direkten Banküberweisung nicht mit dem Fehlen eines Werttransfers verwechselt werden.

39. Handelsbasierte Geldwäsche untersuchen

Geld- und Warenströme

Handelsbasierte Geldwäsche nutzt Handelsgeschäfte oder deren Dokumentation, um Vermögen krimineller Herkunft zu übertragen oder seine Herkunft zu verschleiern. Falsche Preise, Mengen oder Warenbeschreibungen können bewirken, dass der gezahlte Betrag nicht dem tatsächlich gelieferten Wert entspricht. Die Analyse verbindet deshalb Rechnung, Vertrag, Ware, Transport, Zollangaben und Zahlung. Sie prüft sowohl legitime Erklärungen für Abweichungen als auch den möglichen Zusammenhang mit Taterträgen. Eine Handelsauffälligkeit allein belegt noch keine Geldwäsche.

Praxisbeispiel: Im Rahmen von Betrugsermittlungen stellt das Team fest, dass ein Importeur aus einem Konto mit mutmaßlichen Betrugserlösen an einen verbundenen Lieferanten gezahlt hat. Die Rechnung weist wesentlich mehr Einheiten aus als die Transport- und Wareneingangsunterlagen. Das Team prüft Teillieferungen, Vertragsänderungen und Zahlungsbelege, um festzustellen, ob eine normale Abwicklung vorliegt oder über die Rechnung zusätzlicher Wert verschoben wurde.

Häufiger Denkfehler: Ein ungewöhnlicher Preis oder eine Mengenabweichung beweist keine handelsbasierte Geldwäsche. Auch ein nachgewiesener Werttransfer ist nicht automatisch illegal: Der Verschleierungsmechanismus und der Zusammenhang mit kriminellem Vermögen müssen gesondert untersucht werden.

40. Wert über verschiedene Vermögensformen hinweg verfolgen

Geld- und Warenströme

Bei einem Wechsel der Vermögensform muss die Untersuchung die Verbindung zwischen den einzelnen Übertragungen belegen. Bei digitalen Vermögenswerten können Transaktionsdaten und Plattformabrechnungen die technische Bewegung zeigen. Bei Prepaid-Produkten verbinden Aufladung und Einlösung die vor- und nachgelagerten Wertbewegungen. Bei Edelmetallen oder anderen Waren sind Kauf-, Liefer- und Verwahrbelege wichtig. Beträge, Zeitpunkte, Wechselkurse und Gebühren werden abgestimmt; Eigentum, tatsächliche Kontrolle und Identität der handelnden Person sind jeweils gesondert zu prüfen.

Praxisbeispiel: Nach einem Betrugsfall werden mutmaßliche Erlöse in digitale Vermögenswerte umgewandelt. Unterlagen einer Handelsplattform zeigen einen späteren Verkauf und die Auszahlung auf ein Bankkonto, von dem ein Goldhändler bezahlt wurde. Die Ermittlerin verknüpft Plattformabrechnung, Bankzahlung, Kaufrechnung und Lagerbestätigung, um den Wert bis zum verwahrten Gold zu verfolgen. Wer die jeweiligen Konten und Vermögenswerte tatsächlich kontrollierte, prüft sie anhand zusätzlicher Belege.

Häufiger Denkfehler: Eine sichtbare Blockchain-Transaktion bildet weder den gesamten Wertweg ab noch identifiziert sie automatisch die handelnde Person. Auch ähnliche Beträge reichen nicht aus, um eine anschließende Auszahlung oder einen Sachwertkauf sicher zuzuordnen; Umrechnung, Gebühren, Zeitfolge und alternative Finanzierungsquellen sind zu berücksichtigen.

60 Konzepte für die CFCS-Lernvorbereitung 41–50

41. Risikobewertung und Restrisiko

Compliance-Programme und Sanktionskontrollen

Eine Risikobewertung erfasst zunächst das Risiko vor Kontrollen und beurteilt anschließend, wie wirksam die vorhandenen Maßnahmen es mindern. Das verbleibende Restrisiko hängt von Design, Anwendung und Datenqualität der Kontrollen ab. Entscheidungen sollten das konkrete Geschäftsmodell und die tatsächlichen Risiken abbilden und nachvollziehbar begründen, statt allein auf Etiketten oder einzelne Merkmale zu reagieren.

Praxisbeispiel: Ein Kunde besitzt eine komplexe internationale Struktur, aber nachvollziehbare Geschäftstätigkeit und wirksame Prüfungen. Das Team bewertet Restrisiko und Lücken, statt nur die Komplexität als Entscheidung zu verwenden.

Häufiger Denkfehler: Hohes inhärentes Risiko führt nicht automatisch zur Ablehnung oder Beendigung einer Beziehung. Es verlangt eine angemessene, verhältnismäßige Bewertung der verbleibenden Risiken.

42. Kundensorgfalt und wirtschaftlich Berechtigte

Compliance-Programme und Sanktionskontrollen

Kundensorgfalt umfasst die Identifizierung des Kunden, die Überprüfung seiner Identität sowie das Verständnis von Zweck und angestrebter Art der Geschäftsbeziehung. Bei juristischen Personen sind außerdem die nach anwendbarem Recht relevanten natürlichen Personen hinter Eigentum oder Kontrolle zu ermitteln und ihre Identität mit geeigneten Maßnahmen zu überprüfen. Mehrstufige Eigentumsketten erfordern den Abgleich von Beteiligungsangaben, Kontrollrechten und geeigneten Quellen. Umfang, Kriterien und Nachweisanforderungen richten sich nach der anwendbaren Rechtsordnung und dem konkreten Risiko.

Praxisbeispiel: Eine Holding nennt eine juristische Person als Anteilseigner. Die Analystin gleicht Registerauszüge und Beteiligungsunterlagen ab, verfolgt die Eigentumskette und prüft zusätzliche Kontrollrechte. Anschließend überprüft sie die Identität der ermittelten wirtschaftlich berechtigten Personen mit geeigneten Nachweisen, statt die bloße Namensangabe zu übernehmen.

Häufiger Denkfehler: Die zuerst genannte Anteilseignerin ist nicht zwingend die wirtschaftlich berechtigte Person. Ein Nominee oder eine komplexe Kette ist ein Prüfhinweis, aber kein Beweis für Verschleierung.

43. Laufende Überwachung am Kundenprofil ausrichten

Compliance-Programme und Sanktionskontrollen

Laufende Überwachung vergleicht tatsächliche Aktivitäten mit dem bekannten Kundenprofil und berücksichtigt Änderungen bei Geschäft, Eigentum oder Risiko. Ein Alarm verlangt Kontextprüfung: ungewöhnliche Aktivität kann erklärt werden, während wiederholte Abweichungen zusätzliche Fragen aufwerfen. Gute Überwachung überprüft auch, ob Kundendaten aktuell und Regeln für das jeweilige Produkt geeignet sind.

Praxisbeispiel: Ein zuvor lokaler Händler beginnt mit häufigen Zahlungen über neue Länder. Das Team aktualisiert das Profil und prüft Geschäftszweck, Gegenparteien und Belege.

Häufiger Denkfehler: Ein Alarm stellt nicht automatisch einen begründeten Verdacht dar; seine Bedeutung muss anhand der verfügbaren Fakten geprüft werden. Umgekehrt ist ein Kunde mit wenigen Alarmen nicht automatisch risikoarm. Die Aussagekraft hängt von Datenqualität und Überwachungsdesign ab.

44. Sanktionsscreening und anwendbares Recht

Compliance-Programme und Sanktionskontrollen

Sanktionskontrollen prüfen, ob Personen, Organisationen, Transaktionen oder Eigentums- und Kontrollverhältnisse von einschlägigen Maßnahmen betroffen sind. Listen, Rechtswirkung, Eigentumsregeln und Zuständigkeiten unterscheiden sich je nach Rechtsordnung. Ein Treffer ist zunächst zu verifizieren; eine Entscheidung braucht Identitätsabgleich, Kontext und Kenntnis der für das Unternehmen geltenden Regeln.

Praxisbeispiel: Ein Screening markiert einen Namen, der einer gelisteten Person ähnelt. Die zuständige Stelle vergleicht zusätzliche Identifikatoren und prüft die einschlägige Sanktionsregel, bevor sie handelt.

Häufiger Denkfehler: Ein Namensähnlichkeitstreffer beweist keine Identität. Ebenso gibt es keine einheitliche, weltweit geltende Eigentums- oder Kontrollregel für alle Sanktionsregime.

45. Governance, Tests und Eskalationsaufzeichnungen

Compliance-Programme und Sanktionskontrollen

Ein Compliance-Programm benötigt klare Verantwortung, wirksame Kontrollen, Schulung, unabhängige Prüfung und dokumentierte Abhilfe. Tests sollten sowohl prüfen, ob eine Kontrolle sachgerecht gestaltet ist, als auch, ob sie im Alltag funktioniert. Eskalationsaufzeichnungen halten Fakten, Entscheidung, Zuständigkeit und Begründung fest und ermöglichen spätere Überprüfung durch Management oder Aufsicht.

Praxisbeispiel: Ein Test findet veraltete Kundendaten in einem Überwachungssystem. Die Verantwortlichen dokumentieren Umfang und Ursache, korrigieren Daten und kontrollieren anschließend, ob die Abhilfe wirksam war.

Häufiger Denkfehler: Eine vorhandene Richtlinie beweist keine wirksame Umsetzung. Umgekehrt belegt ein einzelner Ausfall nicht automatisch ein generelles Designversagen; Umfang und Ursache müssen untersucht werden.

46. Social Engineering als Angriffsweg

Cybersicherheit und Datenschutz

Social Engineering manipuliert Menschen dazu, Zugangsdaten, Geld oder sensible Informationen preiszugeben oder Schutzmaßnahmen zu umgehen. Angreifer können sich als Vorgesetzte, Dienstleister oder Kunden ausgeben und Beschäftigte dazu bewegen, technische Schutzmaßnahmen oder Freigabeprozesse zu umgehen. Prävention kombiniert sichere Verifikationswege, klare Meldeprozesse und Übung; nach einem Vorfall zählen schnelle Eindämmung und Schutz relevanter Belege.

Praxisbeispiel: Eine Mitarbeiterin erhält eine dringende Zahlungsanweisung mit angeblicher Genehmigung der Geschäftsleitung. Sie verifiziert sie über einen bekannten, unabhängigen Kontaktweg und meldet die Nachricht.

Häufiger Denkfehler: Eine vertraute Absenderadresse beweist nicht, dass die Nachricht echt ist. Konten und Kommunikationskanäle können kompromittiert sein; Verifikation sollte einen unabhängigen Weg nutzen.

47. Auf eine Kontoübernahme koordiniert reagieren

Cybersicherheit und Datenschutz

Bei vermuteter Kontoübernahme müssen Zugang und weitere Verluste gesichert, relevante Systeme geprüft und betroffene Funktionen koordiniert werden. Betrugs-, Sicherheits-, Datenschutz- und Compliance-Teams können unterschiedliche Aufgaben haben. Entscheidungen über Kontosperre, Kundenkontakt, Meldungen und Beweissicherung sollten dokumentiert und an die tatsächlichen Risiken sowie an geltende Anforderungen angepasst werden.

Praxisbeispiel: Ein Kunde meldet, dass Zugangsdaten geändert und unbekannte Zahlungen ausgelöst wurden. Das Team sichert den Zugang, bewahrt Protokolle und prüft mit den zuständigen Funktionen mögliche Meldepflichten.

Häufiger Denkfehler: Eine rasche Kontosperre ist nicht die einzige Aufgabe. Wird die Untersuchung oder Beweissicherung vergessen, können Ursachen und weitere betroffene Konten unentdeckt bleiben.

48. Digitale Beweise technisch sichern

Cybersicherheit und Datenschutz

Digitale Protokolle, Nachrichten und Gerätedaten können durch Löschung, Überschreibung oder Zugriff verändert werden. Befugte Fachleute wählen deshalb geeignete Sicherungsmethoden, etwa nachvollziehbare Datenexporte oder forensische Kopien, und dokumentieren Quelle, Erhebungszeit, Zeitstempel, Zeitzone und Methode. Hashwerte können helfen, spätere Veränderungen an gesicherten Dateien festzustellen. Flüchtige Daten und bevorstehende Löschungen beeinflussen die Reihenfolge der Sicherung. Unvermeidbare Veränderungen sind zu dokumentieren; Erhebung und Analyse müssen rechtmäßig erfolgen und mit der notwendigen Eindämmung des Vorfalls abgestimmt werden.

Praxisbeispiel: Nach einem verdächtigen Zugriff stellt das autorisierte Sicherheitsteam fest, dass relevante Anmeldeprotokolle bei der nächsten Protokollrotation überschrieben würden. Es exportiert die verfügbaren Einträge einschließlich Zeitstempeln und Zeitzonen, berechnet Hashwerte der gesicherten Dateien und dokumentiert Quelle und Sicherungsmethode vor der Überschreibung.

Häufiger Denkfehler: Ein Bildschirmfoto bewahrt nicht zwingend alle zugrunde liegenden Protokolldaten und Metadaten. Auch ein Hashwert beweist weder die Richtigkeit des Inhalts noch die Rechtmäßigkeit der Erhebung; er unterstützt lediglich die Prüfung, ob sich die gesicherte Datei verändert hat.

49. Datenschutz und Ermittlungszugriff abwägen

Cybersicherheit und Datenschutz

Ermittlungsinteresse erlaubt nicht automatisch den Zugriff auf jede verfügbare personenbezogene Information. Zweck, Notwendigkeit, Verhältnismäßigkeit, Zugriffsbeschränkung und anwendbare Datenschutzregeln müssen geprüft werden. Grenzüberschreitende Daten können zusätzliche Anforderungen auslösen. Eine frühe Einbindung der zuständigen Datenschutz- und Rechtsfunktionen hilft, legitime Untersuchungsschritte zu ermöglichen und übermäßige Datennutzung zu verhindern.

Praxisbeispiel: Ein Team möchte alle Nachrichten eines Beschäftigten sichern, obwohl nur ein bestimmter Zeitraum und Projektbereich relevant sind. Datenschutz und Ermittlungsleitung legen den erforderlichen Umfang fest.

Häufiger Denkfehler: „Für die Ermittlung nützlich“ ist keine ausreichende Begründung für unbegrenzte Datenerhebung. Der Zugriff sollte auf legitimen Zweck und erforderlichen Umfang begrenzt sein.

50. Sicherheitsvorfall und Meldeentscheidungen koordinieren

Cybersicherheit und Datenschutz

Ein Sicherheitsvorfall kann zugleich Betrug, Datenschutzverletzung, Betriebsstörung und mögliche Finanzkriminalität betreffen. Die Reaktion trennt technische Eindämmung, Bewertung betroffener Daten, Kunden- oder Behördenkommunikation und Beweissicherung. Fristen und Meldepflichten hängen von Jurisdiktion und Vorfalltyp ab; deshalb müssen zuständige Fachstellen früh eingebunden und Entscheidungen mit Zeitpunkten dokumentiert werden.

Praxisbeispiel: Ein Dienstleister meldet unbefugten Zugriff auf ein System, das Kundendaten und Zahlungsinformationen verarbeitet. Das Unternehmen koordiniert Eindämmung und Beweissicherung mit dem Dienstleister. Datenschutz, Recht und Compliance bewerten anhand der jeweils verfügbaren Informationen mögliche Benachrichtigungspflichten und aktualisieren ihre Bewertung bei neuen Erkenntnissen, statt erst den Abschluss der forensischen Untersuchung abzuwarten.

Häufiger Denkfehler: Nicht jeder Sicherheitsvorfall löst dieselben Meldepflichten aus. Eine pauschale Aussage ohne Kenntnis des Vorfalls, der Daten und der Jurisdiktion ist nicht verlässlich.