Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) zeigt der Landesbank Hessen-Thüringen (Helaba) die Gelbe Karte. Die Aufsichtsbehörde hat gegen das öffentlich-rechtliche Institut ein Bußgeld in Höhe von 20.000 Euro festgesetzt. Der Grund für die Sanktion liegt nicht in konkreten Geldwäschefällen, sondern in der präventiven Infrastruktur: Die Bank betrieb über einen Zeitraum von einem Jahr Datenverarbeitungssysteme, die den strengen gesetzlichen Anforderungen nur unzureichend genügten.

Der festgestellte Verstoß bezieht sich auf den Zeitraum von Oktober 2022 bis September 2023. In dieser Phase waren die Systeme der Bank laut BaFin nur "eingeschränkt angemessen", um verdächtige Geldströme zuverlässig zu filtern. Auch wenn die Summe des Bußgeldes für eine Bank dieser Bilanzsumme wirtschaftlich kaum ins Gewicht fällt, wiegt der Reputationsschaden durch die öffentliche Rüge schwerer. Es ist ein klares Signal der Aufseher, dass bei der Compliance-IT keine Nachlässigkeiten geduldet werden.

Die Technik muss Schritt halten

Das Kreditwesengesetz (KWG) lässt den Banken hier wenig Spielraum. Institute sind verpflichtet, hochkomplexe EDV-Monitoring-Systeme zu betreiben, die wie ein digitales Sicherheitsnetz fungieren. Sie müssen in der Lage sein, Geschäftsbeziehungen und einzelne Transaktionen im Zahlungsverkehr in Echtzeit zu scannen, um Anhaltspunkte für Geldwäsche, Terrorismusfinanzierung oder andere strafbare Handlungen zu identifizieren.

Die Crux liegt dabei in der Feinjustierung: Die Systeme dürfen nicht statisch sein, sondern müssen sich dynamisch an das Risikoprofil und den Umfang der Geschäftstätigkeit anpassen. Bei einem Großinstitut wie der Helaba sind die Anforderungen an diese Parameter entsprechend hoch.

Mangelnde Dokumentation und Kontrolle

Die Kritik der BaFin zielt dabei auch auf die Transparenz der Algorithmen. Ein Kreditinstitut muss jederzeit dokumentieren und nachvollziehbar darlegen können, nach welchen Kriterien das System Alarm schlägt. Die "Black Box" ist in der Compliance tabu. Zudem schreibt der Gesetzgeber vor, dass die Qualität dieser Filtersysteme regelmäßig durch unabhängige Prüfer kontrolliert werden muss.

Dass die Helaba nun für Versäumnisse in diesem Bereich zur Kasse gebeten wird, reiht sich in eine strengere Gangart der BaFin ein, die insbesondere die IT-Sicherheit und die Geldwäscheprävention im Bankensektor in den letzten Jahren stärker in den Fokus gerückt hat. Für die Helaba dürfte der Vorgang Anlass sein, ihre Monitoring-Architektur nochmals grundlegend nachzuschärfen.