Wer die Begriffe kennt, stellt die besseren Fragen.

Unter Adverse Media (oder Negative News) versteht man jegliche negativen Informationen aus öffentlich zugänglichen Quellen — Presse, Gerichtsberichte, regulatorische Verlautbarungen — die auf ein erhöhtes Geldwäsche-, Betrugs- oder Reputationsrisiko hinweisen. Systematisches Adverse-Media-Screening ist Bestandteil jeder Risikoprüfung.

Adverse Media Screening durchsucht öffentliche Quellen — Nachrichten, Rechtsdatenbanken, Regulierungsmitteilungen — nach risikorelevanten Informationen über eine Person oder Entität, darunter Geldwäschevorwürfe, Korruption, Sanktionsumgehung und Menschenrechtsverletzungen.

Anti-Money Laundering umfasst alle gesetzlichen, regulatorischen und betrieblichen Massnahmen, die verhindern sollen, dass illegal erwirtschaftete Vermögenswerte in den legalen Finanzkreislauf eingeschleust werden. Das AML-Regime stützt sich auf die FATF-Empfehlungen sowie nationale Gesetze wie das GwG (DE), AMLA (CH) oder die EU-Geldwäscherichtlinien.

API-basierte Compliance ermöglicht es Unternehmen, AML-, KYC- und Sanktionsprüfungen direkt in ihre bestehenden Systeme (CRM, ERP, Transaktionssysteme) zu integrieren, ohne separate Compliance-Oberflächen bedienen zu müssen.

Artikel 22 DSGVO gewährt das Recht, keiner ausschliesslich automatisierten — auch auf Profiling beruhenden — Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet oder die betroffene Person erheblich beeinträchtigt. Für das KYC-/AML-Screening zentral: Eine Verdachtsmeldung darf nie ohne menschliche Prüfung erfolgen.

Ein Audit Trail (Prüfspfad) dokumentiert jeden Schritt eines Compliance-Prozesses — wer, wann, was, warum — in einer unveränderlichen, jederzeit rekonstruierbaren Form. Er ist Voraussetzung für den Nachweis gegenüber Aufsichtsbehörden, dass Sorgfaltspflichten eingehalten wurden.

Automated Compliance Monitoring ersetzt manuelle Stichproben und Batch-Verfahren durch kontinuierliche, regelbasierte und KI-gestützte Überwachung von Transaktionen, Geschäftsbeziehungen und regulatorischen Änderungen in Echtzeit.

Ein Background Check ist die strukturierte Prüfung von Sanktionslisten, Strafregistern, Handelsregistern, negativen Medienberichten, Bonitätsinformationen und weiteren öffentlichen und lizenzierten Quellen, um das Integritätsrisiko einer Person oder Organisation zu bewerten.

Die BaFin ist die zentrale Aufsicht über Kredit- und Finanzdienstleistungsinstitute in Deutschland und überwacht unter anderem die Einhaltung der geldwäscherechtlichen Pflichten, sanktioniert Verstösse und publiziert Auslegungs- und Anwendungshinweise zum GwG.

Eine Bonitätsauskunft (Credit Check) gibt Aufschluss über Zahlungsausfälle, Mahnverfahren, Insolvenzverfahren und die allgemeine Kreditwürdigkeit einer Person oder Firma im Rahmen einer Risikoprüfung.

Das Business Partner Screening untersucht vor Aufnahme einer Geschäftsbeziehung systematisch Sanktionslisten, Registereinträge, adverse Medien und wirtschaftlich Berechtigte. In regulierten Industrien entfällt auf diesen Schritt häufig der grösste Teil der Compliance-Arbeitszeit.

Das C-Level Background Screening umfasst neben Standardkomponenten spezifische Prüfungen wie die Analyse von Interessenkonflikten, handelsrechtlichen Verflechtungen und der öffentlichen Wahrnehmung einer Führungskraft. Besonders bei regulierten Finanzinstituten ein integraler Bestandteil des Bestellungsverfahrens.

Customer Due Diligence ist die grundlegende Prüfung von Kundenidentität, Geschäftsstruktur und Zweck der Geschäftsbeziehung. Unter das deutsche GwG fallen die Identifikation des Vertragspartners, die Abklärung des wirtschaftlich Berechtigten und die laufende Überwachung der Transaktionen.

Eine komplexe Eigentümerstruktur liegt vor, wenn mehrere zwischengeschaltete Gesellschaften, oft in verschiedenen Jurisdiktionen, die Kette vom operativen Unternehmen zum UBO verlängern. Solche Strukturen lösen regelmässig EDD-Pflichten aus, weil sie das Risiko verschleierter Eigentumsverhältnisse erhöhen.

Bevor ein Hochrisiko-KI-System in den Verkehr gebracht werden darf, muss der Anbieter ein Konformitätsbewertungsverfahren durchlaufen und dokumentieren, dass die KI den Anforderungen des AI Act genügt. Das Verfahren umfasst technische Dokumentation, Risikobewertung und Qualitätsmanagement.

Der Corporate Veil (Durchgriff, piercing the corporate veil) bezeichnet die rechtliche Durchbrechung der Haftungsbeschränkung zwischen Gesellschaft und Gesellschafter. Im KYC-Kontext meint dies die Pflicht, durch den Schleier der juristischen Person hindurch zum natürlichen Eigentümer durchzublicken.

Der Credit Check liefert Auskunft über das Zahlungsverhalten, bestehende Kreditverpflichtungen, Insolvenzen und Mahnverfahren einer natürlichen oder juristischen Person. Im Rahmen von Integrity Due Diligence ein Indikator für finanzielle Stabilität und potenzielle Interessenkonflikte.

DORA ermächtigt die Europäischen Aufsichtsbehörden, bestimmte IKT-Drittdienstleister als kritisch zu benennen und einem direkten Aufsichtsregime zu unterwerfen. Das betrifft insbesondere grosse Cloud-Provider, Rechenzentrumsbetreiber und Datenaggregatoren, von denen der Finanzsektor abhängt.

Die Übermittlung personenbezogener Daten in Drittländer ist nach DSGVO nur zulässig, wenn ein Angemessenheitsbeschluss der EU-Kommission vorliegt oder geeignete Garantien (Standardvertragsklauseln, Binding Corporate Rules) bestehen. Der EU-US Data Privacy Framework bietet einen aktuellen Übermittlungsmechanismus.

Der Controller (Verantwortlicher) entscheidet über Zwecke und Mittel der Verarbeitung. Der Processor (Auftragsverarbeiter) verarbeitet Daten im Auftrag des Controllers, darf sie aber nicht für eigene Zwecke nutzen. Bei KYC-Screening ist eine vertragliche Rollenklärung nach Art. 28 DSGVO zwingend.

Nach Art. 5(1)(c) DSGVO müssen personenbezogene Daten dem Zweck angemessen, erheblich und auf das notwendige Mass beschränkt sein. Im KYC-Kontext heisst das: Nur die Daten erheben und speichern, die für die konkrete Compliance-Prüfung wirklich benötigt werden.

De-Risking bezeichnet die Praxis von Finanzinstituten, pauschal ganze Kundensegmente oder Länder auszuschliessen, statt eine individuelle Risikoprüfung durchzuführen. Die FATF kritisiert dieses Verhalten, weil es finanzielle Exklusion fördert und legale Geschäfte in informelle Kanäle drängen kann.

DORA verlangt von Finanzinstituten regelmässige Tests der digitalen Resilienz, einschliesslich Vulnerability Assessments, Penetrationstests und — für systemrelevante Institute — Threat-Led Penetration Testing (TLPT). Die Tests müssen Szenarien abdecken, die von den gängigen Bedrohungen für den Finanzsektor abgeleitet sind.

Die Director Disqualification prüft, ob eine Person — etwa wegen Insolvenzverschleppung oder Betrugs — von der Ausübung einer Geschäftsführungs- oder Vorstandstätigkeit ausgeschlossen ist. Besonders relevant bei der Bestellung von Führungskräften in regulierten Sektoren.

Der Digital Operational Resilience Act (Verordnung EU 2022/2554) verpflichtet Finanzinstitute in der EU, ihre IKT-Sicherheit zu stärken — mit Anforderungen an IKT-Risikomanagement, Störungsmeldungen, Tests der digitalen Resilienz und das Management von IKT-Drittparteirisiken. Gilt seit Januar 2025.

Eine Datenschutz-Folgenabschätzung ist für Verarbeitungen mit voraussichtlich hohem Risiko zwingend vorgeschrieben. Sie dokumentiert Art, Umfang und Zweck der Datenverarbeitung, bewertet Risiken und legt Abhilfemassnahmen dar. Im RegTech-Bereich besonders relevant beim Einsatz automatisierter Entscheidungsfindung.

Enhanced Due Diligence geht über CDD hinaus und kommt bei Hochrisiko-Geschäftsbeziehungen zum Tragen, etwa bei PEPs, Drittstaaten mit strategischen Mängeln oder komplexen, undurchsichtigen Eigentumsstrukturen. EDD erfordert zusätzliche Nachweise zur Herkunft des Vermögens und eine intensivierte laufende Überwachung.

NIS2 unterscheidet zwischen wesentlichen (essential) und wichtigen (important) Einrichtungen — je nach Grösse und Sektorbedeutung. Wesentliche Einrichtungen unterliegen strengerer Beaufsichtigung und können mit höheren Bussgeldern belegt werden. Die Abgrenzung erfolgt nach sektoralen Grössenschwellen (Mitarbeiter, Umsatz).

Der Artificial Intelligence Act (KI-Gesetz der EU) reguliert Künstliche Intelligenz nach einem risikobasierten Ansatz und unterscheidet vier Risikokategorien: unannehmbar, hoch, gering und minimal. Der AI Act ist die weltweit erste umfassende gesetzliche Rahmenregelung für KI.

Die EU verhängt restriktive Massnahmen (Sanktionen) durch Beschlüsse des Rates nach Art. 29 EUV und Art. 215 AEUV. Sie umfassen Einfrieren von Vermögenswerten, Einreiseverbote und sektorale Wirtschaftssanktionen. Die jeweils aktuelle konsolidierte Liste wird im EU-Amtsblatt veröffentlicht.

Executive Vetting umfasst die detaillierte Prüfung von Vorstandskandidaten und Geschäftsführern auf wirtschaftliche Verflechtungen, Interessenkonflikte, frühere regulatorische Verstösse und Reputationsrisiken — deutlich über einen Standard-Background-Check hinausgehend.

Die Financial Action Task Force mit Sitz in Paris setzt die international anerkannten Mindeststandards zur Bekämpfung von Geldwäsche, Terrorismusfinanzierung und Proliferationsfinanzierung. Ihre 40 Empfehlungen bilden das Fundament nationaler AML-Gesetze weltweit.

Ein Fit & Proper Assessment prüft die fachliche Qualifikation (fit) und persönliche Integrität (proper) von Geschäftsleitern und Aufsichtsratsmitgliedern. In der Finanzbranche verlangen Aufsichtsbehörden wie die BaFin und die FINMA den Nachweis vor der Bestellung.

Die Financial Intelligence Unit ist die zuständige nationale Behörde für die Entgegennahme, Analyse und Weiterleitung von Verdachtsmeldungen. In Deutschland ist es die Zentralstelle für Finanztransaktionsuntersuchungen, in der Schweiz das MROS (Money Laundering Reporting Office Switzerland).

Das Vier-Augen-Prinzip verlangt, dass risikorelevante Entscheidungen von mindestens zwei qualifizierten Personen unabhängig geprüft werden. Im Compliance-Kontext betrifft dies insbesondere die Freigabe von Hochrisiko-Geschäftsbeziehungen und die Validierung von AML-Alerts.

Die EU-Datenschutz-Grundverordnung (GDPR) regelt die Verarbeitung personenbezogener Daten in der gesamten EU. Seit Mai 2018 gültig, harmonisiert sie die Datenschutzgesetze der Mitgliedstaaten und gibt Betroffenen weitgehende Rechte — darunter das Recht auf Auskunft, Löschung und Datenübertragbarkeit.

Der Geldwäschebeauftragte ist nach GwG § 7 für die Implementierung und Überwachung der internen Sicherungsmassnahmen verantwortlich. Er fungiert als Ansprechpartner für Aufsichtsbehörden, Strafverfolgungsorgane und die FIU und muss auf Geschäftsleiterebene angesiedelt sein.

Das Geldwäschegesetz verpflichtet Finanzinstitute, Rechtsanwälte, Notare, Immobilienmakler und viele weitere Berufsgruppen zur Identifikation von Vertragspartnern, Meldung von Verdachtsfällen und Implementierung eines wirksamen Risikomanagements gegen Geldwäsche und Terrorismusfinanzierung.

Die Geldwäschereiverordnung der FINMA konkretisiert die Pflichten von Finanzintermediären in der Schweiz hinsichtlich Identifikation, Transaktionsüberwachung und Meldepflichten. Sie gilt als technischer Umsetzungsstandard zum Schweizer Geldwäschereigesetz.

Die Einsicht in Handelsregister (commercial registers) liefert Basisdaten zu Firma, Sitz, Rechtsform, vertretungsberechtigten Personen und Kapitalverhältnissen einer juristischen Person. Sie ist der erste Schritt jeder Unternehmensprüfung.

Die Leiter internationaler Organisationen (UN, IWF, Weltbank, WTO, OSZE) sind nach der EU-Richtlinie 2015/849 explizit als PEPs klassifiziert — eine Erweiterung, die nicht in allen Jurisdiktionen so detailliert umgesetzt wird.

Hochrisiko-KI-Systeme nach dem AI Act sind KI-Systeme, die in sicherheitsrelevanten Kontexten betrieben werden — darunter kritische Infrastruktur, Strafverfolgung und biometrische Identifikation. Sie müssen strenge Anforderungen an Transparenz, menschliche Aufsicht und Risikomanagement erfüllen.

HMT und OFSI verwalten und vollziehen britische Finanzsanktionen nach dem Sanctions and Anti-Money Laundering Act 2018. Seit dem Brexit agiert das UK als autonome Sanktionsmacht mit eigener konsolidierter Liste.

Eine Holding-Struktur wird errichtet, um operative Einheiten unter einer gemeinsamen Eigentumsstruktur zu bündeln. In der UBO-Analyse ist die Holding der zentrale Durchlaufpunkt: Wer die Holding kontrolliert, kontrolliert die operativen Gesellschaften darunter.

Ein ICT Third-Party Provider ist ein Unternehmen, das Informations- und Kommunikationstechnologie-Dienstleistungen an Finanzinstitute bereitstellt. DORA führt ein europäisches Aufsichtsrahmenwerk für sogenannte kritische IKT-Drittdienstleister ein, die von den Europäischen Aufsichtsbehörden (ESA) überwacht werden können.

Die Identifikation nach GwG verpflichtet Verpflichtete, Name, Geburtsdatum, Wohnsitz und Nationalität einer natürlichen Person oder Firma, Sitz und Rechtsform einer juristischen Person zu erheben und anhand eines gültigen Ausweisdokuments respektive Handelsregisterauszugs zu verifizieren.

Die Identitätsverifikation (IDV) bestätigt die Identität einer Person durch Abgleich mit einem amtlichen Ausweisdokument — physisch, per Video-Ident-Verfahren oder über qualifizierte elektronische Signaturen. Als zentraler Teil des KYC-Prozesses muss sie die Anforderungen nach GwG oder gleichwertigem nationalem Recht erfüllen.

Integrity Due Diligence prüft nicht nur Rechts- und Eigentumsverhältnisse, sondern gezielt das Reputationsrisiko einer Person oder Entität: Korruption, Sanktionen, Geldwäschevorwürfe, Menschenrechtsverletzungen und negative Medienberichterstattung — abgestuft nach Risikoklasse.

Ein Korrespondenzbankverhältnis liegt vor, wenn eine Bank einer ausländischen Bank Zugang zu ihrem Zahlungsverkehrssystem gewährt. Aufgrund des erhöhten Geldwäscherisikos verlangen die FATF-Empfehlungen Nr. 13 und das GwG besondere, verstärkte Sorgfaltspflichten.

KYC bezeichnet den Prozess, mit dem ein Finanzinstitut oder verpflichtetes Unternehmen die Identität eines Kunden feststellt, verifiziert und dessen Risikoprofil bewertet. Die europäische Finanzmarktaufsicht konkretisiert KYC als Teil der CDD-Massnahmen gemäss der EU-Geldwäscherichtlinie.

Eine KYC Utility ist eine gemeinsam genutzte Plattform, die Identifikationsdaten einmal erhebt, pflegt und mehreren Nutzern (Banken, Versicherungen) zur Verfügung stellt — mit Zustimmung des Kunden. Das Modell verspricht Kostensenkung und bessere Datenqualität.

Der Legal Entity Identifier (ISO 17442) ist ein standardisierter, weltweit eindeutiger Identifikator für juristische Personen, die Finanztransaktionen durchführen. LEI-Daten umfassen Unternehmensinformationen und die direkte Muttergesellschaft — ein Basisdatenpunkt für UBO-Analysen.

Ein Litigation Check durchsucht elektronische Gerichtsregister und Rechtsdatenbanken nach Klagen, Verfahren und Urteilen, in die eine Person oder ein Unternehmen verwickelt ist oder war — ein Schlüsselindikator für Reputations- und operationelle Risiken.

DORA etabliert eine einheitliche Meldepflicht für schwerwiegende IKT-Vorfälle bei Finanzinstituten. Der Vorfall wird innerhalb festgelegter Fristen (Erstmeldung innerhalb von 4 Stunden, Zwischenmeldung, Abschlussmeldung) über standardisierte Templates an die zuständige Aufsicht gemeldet.

Media Monitoring umfasst die strukturierte Beobachtung von Presse, Blogs, Fachpublikationen und sozialen Medien auf relevante Nachrichten über Geschäftspartner, Transaktionen oder politische Veränderungen, die das Risikoprofil beeinflussen könnten.

Moderne RegTech-Plattformen klassifizieren Adverse-Media-Treffer automatisch nach Schweregrad (niedrig, mittel, hoch), Themenkategorie (Finanzkriminalität, Korruption, Umweltverstösse) und Quellenautorität, um die manuelle Prüfung zu priorisieren.

Die NIS2-Richtlinie (EU 2022/2555) erweitert den Anwendungsbereich der ursprünglichen NIS-Richtlinie auf wesentlich mehr Sektoren und Unternehmen, verschärft Sicherheitsanforderungen, etabliert eine persönliche Haftung der Geschäftsleitung und stärkt Meldepflichten für Cybersicherheitsvorfälle.

NIS2 verschärft die Meldepflichten auf ein mehrstufiges Verfahren: Frühwarnung innerhalb von 24 Stunden nach Kenntnis des Vorfalls, detaillierte Meldung innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats. Diese Struktur ähnelt dem DORA-Regime, gilt aber branchenübergreifend.

No-Code Compliance bedeutet, regulatorische Prüf- und Melde-Workflows über visuelle Oberflächen zu konfigurieren, statt sie zu programmieren. Der Trend wird vor allem von mittelständischen regulierten Unternehmen getrieben, die keinen eigenen Entwicklungsstab unterhalten.

Ein Nominee Director (Treuhänderischer Geschäftsführer) wird formell im Handelsregister eingetragen, übt die Funktion jedoch nach Weisung des tatsächlichen wirtschaftlich Berechtigten aus. Ein klassischer Red-Flag-Indikator in der UBO-Analyse.

Das OFAC verwaltet und vollzieht US-Wirtschafts- und Handelssanktionen auf Basis der US-Aussenpolitik und nationaler Sicherheitsinteressen. Die SDN-Liste (Specially Designated Nationals) des OFAC ist die weltweit meistgeprüfte Sanktionsliste und hat extraterritoriale Wirkung.

Nach der 50 %-Regel des OFAC und der entsprechenden EU-Doktrin gilt eine Entität als sanktioniert, wenn eine oder mehrere sanktionierte Personen kumulativ 50 % oder mehr der Eigentumsanteile halten. Erweiterte Interpretationen umfassen auch beherrschenden Einfluss unterhalb dieser Schwelle.

Eine politisch exponierte Person bekleidet ein hochrangiges öffentliches Amt oder hat dies in den vorangegangenen 12 Monaten getan. Zu PEPs zählen nach dem GwG § 1 Staatschefs, Minister, Parlamentsabgeordnete, hohe Richter und Militärs. Finanzintermediäre müssen PEP-Geschäftsbeziehungen einer verstärkten Due Diligence unterziehen.

Nach der FATF-Definition und den EU-Geldwäscherichtlinien bleibt eine Person für mindestens zwölf Monate nach dem Ausscheiden aus dem Amt als PEP klassifiziert. Einige nationale Gesetze, darunter das deutsche GwG, erlauben nach Ablauf dieser Frist die Rückkehr zu Standard-CDD-Massnahmen.

Vor der Einstellung einer Führungskraft prüft der Pre-Hire Integrity Check Sanktionslisten, Strafregister, Reputationsrisiken und Qualifikationsangaben — besonders relevant für regulierte Positionen, wo eine unzureichende Überprüfung aufsichtsrechtliche Sanktionen auslösen kann.

Der AI Act verbietet KI-Anwendungen, die als unannehmbares Risiko eingestuft werden, darunter Social Scoring durch Behörden, Echtzeit-Gesichtserkennung im öffentlichen Raum und manipulative KI, die eine Person zu schädlichem Verhalten verleitet.

Der Risk-Based Approach verlangt, dass AML-Massnahmen nach dem tatsächlichen Risiko einer Geschäftsbeziehung bemessen werden — nicht nach einem starren Schema. Höhere Risiken erfordern intensivere Massnahmen; niedrige Risiken erlauben vereinfachte Verfahren. Zentraler Grundsatz der FATF-Empfehlungen.

RCAPs sind Familienangehörige (Ehepartner, Kinder, Eltern) und bekannte enge Geschäftspartner oder wirtschaftliche Nutzniesser einer PEP. Auch sie unterliegen den EDD-Regeln, weil über sie das eigentliche Korruptionsrisiko realisiert werden kann.

Eine Red Flag ist ein spezifischer Indikator für erhöhtes Risiko: negative Medienberichte, PEP-Status, komplexe Offshore-Strukturen ohne erkennbaren wirtschaftlichen Zweck, Listen-Treffer. Jede Red Flag löst nach dem Risikobasierten Ansatz dokumentierte Eskalations- und Prüfschritte aus.

RegTech bezeichnet den Einsatz moderner Technologien — KI, Big Data, Cloud Computing — um Compliance-Prozesse zu automatisieren, regulatorische Anforderungen effizient zu erfüllen und Risiken in Echtzeit zu überwachen. Der Begriff wurde 2015 vom UK Financial Conduct Authority (FCA) geprägt.

Regulatory Change Management erfasst, bewertet und implementiert Änderungen in Regulierungen — von GwG-Novellen über neue EU-Richtlinien bis hin zu aufsichtsbehördlichen Rundschreiben — und steuert die Auswirkungen auf Compliance-Prozesse. RegTech-Plattformen automatisieren die Erfassung und Zuordnung.

Das Reputationsrisiko beschreibt die Gefahr unmittelbarer oder mittelbarer finanzieller Verluste durch Beschädigung des öffentlichen Ansehens eines Unternehmens — etwa durch Assoziation mit Geldwäsche, Bestechung, Menschenrechtsverletzungen oder anderen Compliance-Verstössen.

Das vollständig revidierte Schweizer Bundesgesetz über den Datenschutz trat im September 2023 in Kraft und nähert das Schweizer Datenschutzrecht an die DSGVO an. Es führt unter anderem eine Meldepflicht bei Datenschutzverletzungen und erweiterte Informationspflichten ein.

Die Risikoanalyse nach GwG § 5 verlangt von Verpflichteten, ihre spezifischen Geldwäsche- und Terrorismusfinanzierungsrisiken zu identifizieren, zu bewerten und Massnahmen abzuleiten. Sie muss dokumentiert, regelmässig aktualisiert und der Aufsicht auf Verlangen vorgelegt werden.

Die DSGVO verlangt in Art. 24 und 32, dass technische und organisatorische Massnahmen (TOMs) unter Berücksichtigung der Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen zu treffen sind — nicht pauschal, sondern risikoadäquat.

Ein Risk Appetite Statement dokumentiert auf Vorstandsebene, welche Risiken ein Institut gezielt eingeht, welche es ausschliesst und wo Schwellenwerte für Eskalationen liegen. Es ist Grundlage jeder risikobasierten Compliance-Strategie.

Das Sanktionsscreening vergleicht Kunden-, Transaktions- und Geschäftspartnerdaten in Echtzeit oder batchweise gegen alle einschlägigen nationalen und internationalen Sanktionslisten. Treffer — auch Teil- und Ähnlichkeitstreffer — werden zur manuellen Überprüfung ausgesteuert.

Der Sanktionslisten-Check prüft eine Person oder Organisation gegen alle massgeblichen Sanktionslisten (OFAC, EU, UN, HMT, SECO) auf direkte Treffer, Teilübereinstimmungen und ähnliche Namensvarianten. Bei Treffern muss der Fall nach definierten Eskalationsregeln behandelt werden.

Ein Suspicious Activity Report ist die formale Meldung eines Verdachts auf Geldwäsche oder Terrorismusfinanzierung an die nationale Financial Intelligence Unit (FIU). In Deutschland erfolgt die Meldung über goAML an die Zentralstelle für Finanztransaktionsuntersuchungen (FIU).

Simplified Due Diligence reduziert den Prüfungsumfang, wenn die Risikobewertung ein geringes Geldwäscherisiko ergibt. Die Erleichterung entbindet jedoch nicht vollständig von den Sorgfaltspflichten; eine dokumentierte Risikobegründung bleibt erforderlich.

Das SECO ist die zuständige Schweizer Behörde für die Umsetzung internationaler Sanktionen. Es führt die schweizerischen Sanktionslisten, informiert über Änderungen und überwacht die Einhaltung. Anders als die EU übernimmt die Schweiz UN-Sanktionen in der Regel direkt und autonom.

Sektorale Sanktionen richten sich gegen bestimmte Wirtschaftszweige eines Zielstaats (Rüstung, Öl, Finanzdienstleistungen) und nicht gegen namentlich gelistete Personen. Die EU-Russland-Sanktionen nach 2014 und 2022 sind das prominenteste Beispiel.

Sentiment-Analyse in der Compliance wertet die sprachliche Tonalität von Presseberichten und Fachbeiträgen maschinell aus, um negative Berichterstattung auch in grossen Textmengen zu identifizieren. Sie ist ein technisches Hilfsmittel, kein juristisches Urteil.

Smurfing (auch Structuring) bezeichnet die Technik, grosse Geldbeträge in viele kleine Transaktionen unterhalb der Meldeschwelle aufzuteilen, um die automatisierte Transaktionsüberwachung zu umgehen. Transaktionsmonitoring-Systeme sind spezifisch auf solche Muster ausgelegt.

Die Sorgfaltspflichten nach GwG umfassen die Identifikation des Vertragspartners, die Abklärung des wirtschaftlich Berechtigten, die Einholung von Informationen über den Zweck der Geschäftsbeziehung, die laufende Überwachung von Transaktionen und die Pflicht zur Verdachtsmeldung.

Ein Strafregisterauszug dokumentiert rechtskräftige strafrechtliche Verurteilungen einer natürlichen Person und wird in regulierten Branchen standardmässig im Rahmen von Background Checks verlangt. Die Anforderung und Speicherung unterliegen strengen datenschutzrechtlichen Grenzen.

NIS2 fordert von Unternehmen, Cybersicherheitsrisiken in ihrer gesamten Lieferkette zu bewerten — eine der deutlichsten Verschärfungen gegenüber der Vorgängerrichtlinie. Lieferanten und Dienstleister mit Zugang zur IT-Infrastruktur müssen systematisch im Cyberrisikomanagement abgebildet sein.

SupTech ist das Pendant zu RegTech auf Aufsichtsseite: Technologie, die Aufsichtsbehörden einsetzen, um Meldedaten automatisiert zu analysieren, Risiken im Finanzsystem frühzeitig zu erkennen und Prüfungen effektiver zu gestalten.

TPRM umfasst die Identifikation, Bewertung, Überwachung und Steuerung von Risiken, die von Lieferanten, Vertriebspartnern, Beratern und sonstigen Dritten ausgehen. Die NIS2-Richtlinie und DORA erhöhen die regulatorischen Anforderungen an TPRM erheblich.

Technische und organisatorische Massnahmen umfassen nach Art. 32 DSGVO alle Massnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus — darunter Pseudonymisierung, Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme. Die Dokumentation und das Verzeichnis der Verarbeitungstätigkeiten (VVT) sind Kernbestandteile.

Transaktionsmonitoring ist der fortlaufende, softwaregestützte Abgleich von Kundenbewegungen gegen erwartbare Muster. Abweichungen — etwa ungewöhnlich hohe Beträge, strukturierte Zahlungen oder Länderausreisser — lösen Alerts aus, die manuell analysiert und, falls begründet, als SAR an die FIU gemeldet werden.

Der AI Act verlangt die Transparenz und Kennzeichnung bestimmter KI-Systeme — etwa Chatbots und Deepfakes. Nutzer müssen wissen, dass sie mit einem KI-System interagieren, und KI-generierte Inhalte müssen entsprechend markiert werden.

Das Transparenzregister ist ein zentrales deutsches Register, in dem wirtschaftlich Berechtigte von juristischen Personen des Privatrechts und eingetragenen Personengesellschaften eingetragen werden müssen. Es dient der Umsetzung der EU-Geldwäscherichtlinie und ist für Compliance-Prüfungen eine Primärquelle.

Der Ultimate Beneficial Owner ist die natürliche Person, die eine juristische Person oder Rechtsstruktur letztlich kontrolliert oder an ihr wirtschaftlich berechtigt ist. Die Identifikation des UBO ist Kernbestandteil jeder geldwäscherechtlichen Prüfung nach den FATF-Empfehlungen und dem GwG.

UN-Sanktionen werden durch Resolutionen des UN-Sicherheitsrats nach Kapitel VII der UN-Charta verhängt und müssen von allen Mitgliedstaaten umgesetzt werden. Sie sind die einzigen Sanktionen mit universeller völkerrechtlicher Bindungswirkung und Vorrang vor nationalem Recht.

Nach GwG § 3 ist der wirtschaftlich Berechtigte die natürliche Person, die mehr als 25 % der Kapitalanteile hält, mehr als 25 % der Stimmrechte kontrolliert oder auf vergleichbare Weise beherrschenden Einfluss ausübt. Die Feststellung ist Pflichtbestandteil der CDD-Massnahmen.

Die Wolfsberg Group ist ein Zusammenschluss von 12 globalen Finanzinstituten, die Rahmenwerke für Korrespondenzbanken, PEP-Identifikation und Sanktions-Compliance entwickeln. Ihre Publikationen — etwa das Wolfsberg-Papier zum Risk-Based Approach — gelten als international anerkannte Branchenstandards.