AML-Audit und Berichterstattung

1) Ziele und Kontext

Die AML-Kette in iGaming umfasst: Onboarding (KYC/KYB), Sanktionierung/PEP/Adverse Media-Screening, Überwachung von Transaktionen und Verhalten, Eskalation von Fällen und Erstellung von Berichten an die FIU (SAR/STR und andere Formen). Das Audit (extern/intern) überprüft das Design und die Wirksamkeit der Kontrollen, die Evidenzbasis und die Aktualität der Berichterstattung.

2) Gouverneure und Rollen

Board/Risk Committee: genehmigt jährlich EWRA (Enterprise-Wide Risk Assessment), Politik und Toleranzen zum Risiko.
MLRO (und Stellvertreter): Eigentümer der Verfahren, SAR/STR-Qualität, Kontakt mit FIU/Regler.
Compliance Ops/FinCrime: Überprüfung von Warnmeldungen, Fallpflege, QS und Schulung.
Internal Audit/External Independent Audit: unabhängige Überprüfung des Designs/der Wirksamkeit der Kontrollen.
Data/Tech: besitzen TMS (Transaction Monitoring System), Modelle und Zeitschriften.

3) RBA (Risk-Based Approach) для iGaming

• Auftraggeber: Alter/Geo, EVR/Sanktion, SoF/SoW, Verhaltensmuster (Dep/Lead-Rate, atypische Summen, Multi-Accounting).
• Produkt/Kanal: Casino/Sport/Live, Krypto-On/Off-Rump, anonyme Geldbörsen, sofortige Auszahlungen.
• Geographie: hohes Risiko von Gerichtsbarkeiten, Korridore für den Transfer von Geldern.
• Anbieter/Partner: PSPs/Affiliates/Aggregatoren.
• Transaktionen: Strukturierung (Smurfing), zirkuläre Ströme, Intermediäre (Mule).

Fazit: Der Risiko-Score des Kunden/der Transaktion steuert die KYC-Tiefe, die Revue-Frequenz und die Sensitivität der TMS-Regeln.

4) KYC/KYB, SoF/SoW und Revue

KYC: Verifizierung von Identität/Adresse, Alter, Vergleich mit Sanktionen/PEP/Adverse Media.
KYB: Begünstigte (UBO), Branchenrisiken, Sanktionen gegen juristische Personen/UBO.
SoF/SoW: Nachweis der Geldquelle/des Vermögens für ein hohes Risiko (Auszüge, Dividenden, Erträge, Verkauf eines Vermögenswertes).
Revue: periodisch (12-36 Monate) und Trigger (Umsatzsprung, Änderung des Verhaltensprofils).

5) Sanktionen/PEP/Adverse Media

Sanktionen: primäres Screening beim Onboarding und tägliches Rescrining aller aktiven Kunden und Zahlungsempfänger.
PEP: verstärkte Due Diligence und erhöhte Revue-Frequenz.
Adverse Media: negative Veröffentlichungen zu Geldwäsche, Betrug, Korruption; im Falle eines Zusammentreffens → Verstärkung der Maßnahmen/Eskalation.

6) Transaktionsüberwachung und Verhaltenskontrolle

• Eine Reihe von kleinen Einzahlungen → eine schnelle Umwandlung in eine Auszahlung (minimale Spielaktivität).
• Multi-Accounting: Geräte-/IP/Zahlungsinstrument-Matches.
• Rotation von Geldern zwischen Geldbörsen/Karten (Rundwege).
• Verwendung von Anbietern/Gerichtsbarkeiten/Proxies mit hohem Risiko.
• Einzahlungen von Dritten, häufige Rückbuchungen/Ausfälle, starke Rückgänge/Gewinne von GGR nach Spieler.
• Für den Sport: Wetten auf margenschwache Märkte mit verdächtiger Synchronizität (Match-Fix Red Flags).

TMS-Regeln: velocity (N Transaktionen pro X min), amount spikes, device/IP clustering, geovelocity, no-play withdrawals, split deposits, duplicate instruments.

7) Fälle, Eskalation und SAR/STR

Primäre Alert-Validierung → Datenanreicherung (KYC, Zahlungen, Historie, Affiliate-Quelle, Geräte, Geo, Adverse Media).
PR (Pre-SAR Review): MLRO-Lösung - SAR/STR, überwachen, schließen mit Hinweis.
SAR/STR: Vorbereitung auf lokale Anforderungen (Beschreibung des Sachverhalts, Beträge, Teilnehmer, Schemata, Begründung des Verdachts, beigefügte Beweise, Zeitlinie).
Fristen: „unverzüglich“ gemäß den örtlichen Vorschriften; fix TAT und SLA in der Politik.
Tipping-off: Verbot der Offenlegung der SAR/STR-Einreichung gegenüber dem Kunden.

8) AML-Audit: Reichweite und Methoden

Reichweite: Policies/Procedures, EWRA, KYC/KYB, SoF/SoW, Sanctions/PEP/Adverse Media, TMS Models und Alerts, Case Management, SAR/STR-Log, Training, Journaling, Storage, Third Party (PSP/KYC), Penetrationstests/Zugriffe.

• Walkthrough und Interviews (MLRO, AML-Analysen, Produkt, IT).
• Dock Revue: Politik, SOP, Protokolle, Berichte, Fallbeispiele (Sampling).
• Design/Performance Test: Kontrolltests (Re-Performance), Backtesting TMS und Kalibrierung.
• Model Governance: Regeländerungen/Schwellenwerte, Dokumentation, A/B, periodische Retüne.
• Data lineage: Verfolgen Sie Felder in Berichten zu Primärsystemen.

Outputs: Rating-Bericht, Funde (High/Medium/Low), Remediationsplan, Timing und verantwortlich.

9) Beweisgrundlage und Aufbewahrung

Zeitschriften: Alerts, Cases, Entscheidungen, wer/wann/was geändert hat (immutability).
Artefakte: Screenshots, Auszüge, SoF/SoW, Datei-Hashes, Export aus TMS, Korrespondenz.
Aufbewahrungsfristen: gemäß lokalem Recht (oft 5 + Jahre nach Ende der Beziehung).
Datenschutz/DPA: PII-Minimierung, Rechtsgrundlage, DPIA für High-Risk-Kontrollen.

10) Berichterstattung (extern/intern)

Extern: SAR/STR in FIU; Beantwortung von Anfragen staatlicher Stellen; Periodische statistische Formulare (nach Gerichtsbarkeit).
Intern: MLRO-Bericht an das Board/Committee - SAR-Dynamik, FPR (False Positive Rate) TMS, Sanktionsabdeckung/PER, Training, Remediationsstatus.

11) Risikomatrix (RAG)

12) Checklisten

Vor externem Audit/Prüfung

• Aktuelle EWRA und Risikomatrix.
• Policies/SOP: KYC/KYB, SoF/SoW, sanctions/PEP/Adverse Media, TMS, SAR/STR.
• Alert/Case/SAR-Register, TMS-Änderungsprotokolle.
• Beweise aus einer Stichprobe von Fällen (Scans/Auszüge/Screenshots).
• Mitarbeiterschulungen/Tests, Zugriffsprotokolle.
• Verträge mit PSP/KYC-Anbietern, SLA-Berichte.

Betriebsschicht (täglich/wöchentlich)

• Sanctions/PEP/Adverse Media rescrining.
• QA 10% geschlossene Fälle.
• FPR/TPR-Überwachung, Retün beim Driften.
• Überwachung von SAR/STR-Terminen und SLA-Abweichungen.

13) Empfohlene Register (YAML)

13. 1 SAR/STR-Register

yaml sar_id: "SAR-2025-118"
customer_id: "C-774102"
trigger: ["rapid_withdrawals","no_play","high_risk_geo"]
amounts:
deposits_total: 18500 withdrawals_total: 17200 timeline:
first_alert_at: "2025-10-21T14:22Z"
escalated_at: "2025-10-22T10:05Z"
filed_at: "2025-10-23T16:40Z"
fiU_ack_ref: "FIU-ACK-5529"
attachments: ["kyc.pdf","flows.png","device_cluster.csv"]
mlro: "a.petrova"
status: "filed"

13. 2 Register der Sanktionsüberschneidungen

yaml hit_id: "SAN-2025-311"
subject: { customer_id: "C-660901", name: "Ivan K." }
list: ["OFAC","EU"]
match_score: 92 decision: "false_positive"
analyst: "d.koval"
closed_at: "2025-11-03"
notes: "DOB mismatch; address not matching"

13. 3 Risikoprofil des Kunden

yaml customer_id: "C-552201"
risk_score: 78 risk_factors:
geo: "high"
pep: false adverse_media: false product: ["casino","sports"]
payment_methods: ["cards","crypto_onramp"]
behaviour: ["velocity","no_play_withdrawals"]
kyc_level: "enhanced"
review_next: "2026-05-01"
owner: "FinCrimeOps"

13. 4 Änderungen der TMS-Regeln

yaml change_id: "TMS-CH-2025-044"
rule: "no_play_withdrawal_v2"
old_threshold: "withdrawal>500 & play<5 spins"
new_threshold: "withdrawal>300 & play<3 spins"
reason: "trend increase; QA findings"
ab_test: true owner: "FinCrime Analytics"
approved_by: ["MLRO","RiskCom"]
effective_from: "2025-11-10"

14) Playbooks (Vorfälle)

P-AML-01: Strukturierung von Einlagen

Alert → Aggregation nach Gerät/Karten/IP → SoF-Anfrage → Auszahlungslimit/Pause → SAR bei begründetem Verdacht → Registrierung.

P-AML-02: Übereinstimmung bei Sanktionen

AutoBlock → manuelle Verifizierung (DOB/Adresse/Bio) → bei Bestätigung - Kontoschließung/FIU-Nachricht (falls erforderlich) → Dokumentation.

P-AML-03: Nichtspielerische Schlussfolgerungen

Auszahlungsstopp → Überprüfung des Abstands zwischen Abbuchung/Ausgabe, Cross-Wallets, Kontoverbindungen → SoF/Erklärung → SAR/Schließung.

P-AML-04: Crypto on/off-ramp

Kettenanalyse (Austausch/Mixer-Risiko-Tags) → SoF (Krypto-Quelle) → Limits/Blockierung → SAR/Berichterstattung.

P-AML-05: Verdacht auf „Maultiere „/Affiliate-Bündel

Clustering von Geräten/Zahlungen → Kommunikation mit der Quelle des Verkehrs → Pause Gebühren Affiliate → SAR/rechtliche Schritte.

15) KPIs/Metriken

SAR Timeliness (durchschnittliche TAT) und SLA Compliance.
FPR/TPR TMS, Precision @ Top-N nach Priority Alert.
Sanctions/PEP Coverage%, tägliches Rescrining%.
QA Pass Rate für geschlossene Fälle.
Ausbildungsabschluss% nach Rollen.
Model Change Control Compliance% (Änderungen mit Genehmigung/Dockingbasis).

16) Mini-FAQ

Wann ist SAR/STR einzureichen? Nach der Bildung eines begründeten Verdachts und innerhalb der durch das lokale Recht/die Regulierungsbehörde festgelegten Fristen.
Kann der Kunde über SAR informiert werden? Nein, es gilt ein Tipping-Off-Verbot.
Muss ich das Konto immer sperren? RBA-Entscheidung: Risiko, Sanktionen, Widerrufsdrohungen und lokale Gesetzesregeln.
Wie kann man FPR reduzieren? Retün-Regeln, Verhaltensregeln, Segmentierung nach Risiko, periodisches Backtesting/QA.

17) Disclaimer

AML/Sanktionsanforderungen und Berichtsformate unterscheiden sich von Land zu Land und werden aktualisiert. Dieses Material ist ein Operationsrahmen; Überprüfen Sie die genauen Fristen, Formulare und Adressaten mit den lokalen Normen und Anweisungen Ihrer Regulierungsbehörde/FIU.

18) Schlussfolgerung

Die effektive AML-Schleife in iGaming ist nicht nur ein KYC-Tick, sondern ein Bündel aus RBA-Modell, Live-Monitoring, Qualitätsfallmanagement und Berichtsdisziplin. Regelmäßige unabhängige Audits, eine evidenzbasierte Basis und klare Playbooks machen Compliance zu einem nachhaltigen Prozess, der Spieler, Unternehmen und Lizenz schützt.