AML-Monitoring und Regeln

1) Ziele der AML-Überwachung und RBA-Prinzip

• Früherkennung von Platzierungsmustern → Layering → Integration.
• Reduzierung des regulatorischen und Zahlungsrisikos (Banken/PSPs, Kartensysteme).
• Konsistenz zum risikobasierten Ansatz (RBA): Regelungstiefe und Reaktionsgeschwindigkeit hängen vom Kunden-/Geo-/Produktprofil und der Menge ab.

2) Risikokarte: Was wir im Modell berücksichtigen

Kundenrisiko (KYC): Alter des Kontos, Tier/KYC/EDD, SoF/SoW, PEP/adverse media.
Geo/Jurisdiktionen: Sanktionen, hohes FATF-Risiko, Cross-Border-Routen.
Zahlungsmethoden: Karten (MCC 7995), A2A, Wallets, Krypto (Ein-/Ausgang).
Verhalten und Verknüpfungsgraph: gängige IP/Geräte/Zahlungsmittel (Multiaccount/Maultiere).
Transaktionen und Bewegung der Mittel: velocity, Betrag, Frequenz, Zeit-zu-withdrawal.
Spielkontext: Einzahlungen → kurze Aktivität → Rückzug; anomale Rentabilität der Sitzungen.

3) AML-Überwachungsarchitektur (online + offline)

1. Sammeln von Ereignissen in Echtzeit: Einzahlungen, Wetten, Schlussfolgerungen, Transfers, KYC/KYB-Änderungen, Anti-Fraud-Alerts.
2. Rule Engine (≥ 50-150 ms pro Lösung): Block-/Hold-/Eskalationsauslöser.
3. Scoring/ML-Schicht: Composite-Risiko-Skor, Graph-Zeichen (Maultiere, Konten „Farmen“).
4. Case Management: Priorisierung, Checklisten, Timeline, Anhänge.
5. DWH & Reporting: Aggregate, Trends, KPIs, Modelltraining.
6. Integrationen: KYC/KYB, PSP, KYT (Krypto) Anbieter, Sanktionsscreening, Travel Rule.

4) Regelbibliothek (Kern)

1. Structuring/Smurfing

Viele Einzahlungen knapp unter dem Review-/SoF-Limit in einem kurzen Fenster.
Ein stark fragmentierter Umsatz → eine schnelle Ausgabe auf verschiedene Requisiten.

2. Rapid In–Out / Short Dwell

Einzahlung → Mindest- oder Nullspiel → schnelle Auszahlung (T + 0/T + 1).
Der Auszahlungsbetrag stimmt nicht mit dem Einkommensprofil des Spielers überein.

3. Mule/Proxy Use

Ein 'device/IP' unterstützt mehrere Konten mit verschiedenen Zahlern.
Freigegebene Karten/Wallets zwischen unabhängigen Konten.

4. Layering durch Methodik

A2A/Wallets/Krypto-Ketten mit Währungsumrechnung und Transfers zwischen Sub-Wallets.

5. Bonus Missbrauch (AML-relevant)

Netzwerk-Cluster von Konten, synchrone Einzahlungen für minimale Beträge, schnelle Rückschlüsse auf Bonusgewinne.

6. High-Risk Geo / PEP / Adverse Media

Kundentransaktionen mit EDD-Tags oder bei aufgetauchter Sanktionsübereinstimmung.

7. Chargeback-prokatschka

Eine Reihe von Einzahlungen mit weiteren Charjbacks und zeitnahen „Cash-out“ -Funden.

8. Crypto-on/off-ramp Anomalien

Eingang/Ausgang über Adressen mit hohem Risiko (Mixer, Darknet, Scam-Cluster), hoher 'risk _ score' des KYT-Anbieters.

5) Parameter und Schwellenwerte (Normalisierungsbeispiel)

Velocity: Einlagen ≥ N für 24h; einzigartige Zahlungsmittel ≥ M.
Time-to-withdrawal: Anteil der Leads ≤ T Minuten nach der Einzahlung.
Structuring: Anteil der Zahlungsereignisse im Bereich'[threshold − ε, threshold) 'in 7 Tagen.
Graph: Grad (Gerät/IP/Karte)> Quantil des 99. Perzentils; Nähe zu bekannten Clustern (Embeddings).
KYT (Krypto): Adresse/Börse mit Risikokategorie ≥ R; Verbindungen ≤ 2 Hops mit verbotenen Entitäten.
Geo-Risiko: Transaktionen aus/in Ländern mit hohem Risiko oder Sanktionen.

Die Schwellenwerte sind anpassungsfähig: Sie sinken für neue Konten/Hochrisiko-Geos und steigen für Kunden mit sauberer Historie und Tier2 +.

6) Beispielregeln (Pseudo-SQL)

sql
-- Rapid In-Out: Deposit → Quick Withdrawal
IF sum(withdraw. amount WHERE ts BETWEEN now()-1d AND now()
AND withdraw. time_from_last_deposit <= 30m) >= X
AND gameplay. activity_score <= Y
THEN ALERT('RAPID_IN_OUT')

-- Structuring: SoF threshold crushing
IF count(deposit WHERE amount BETWEEN (S-δ) AND (S-1)
AND ts BETWEEN now()-7d AND now()) >= K
THEN ALERT('STRUCTURING')

-- Mule network: a common device/card for ≥ N accounts in 14 days
IF distinct(accounts USING device_id OR card_token) >= N
THEN ALERT('MULE_NETWORK')

-- Crypto KYT: Address/Exchange Risk
IF kyt_risk_score >= R OR kyt_exposure_to_mixer <= 2_hops
THEN ALERT('KYT_HIGH_RISK')

7) Priorisierung und Weiterleitung von Alerts

Severity: Hoch (Sanktionen/TAC hohes Risiko/PEP + Anomalie), Mittel (Rapid in-out/Strukturierung), Niedrig (Velocity ohne Ausgabe).
Routing: Linie Investigations L1/L2/L3, Eskalation in Compliance/Rechtsabteilung.

Deadlines: Hoch - Analyse ≤ 4 Stunden; Medium — ≤ 24 ч; Low - ≤ 72 Stunden

Aktionen: temporärer Hold/Limit, Dokumentenabfrage (SoF/EDD), Sperre, SAR/STR.

8) Untersuchungen: Prozess und Artefakte

• Kundenprofil (KYC tiers, SoF/SoW, PEP/sanctions, Historie).
• Zeitleiste: Einzahlungen/Spiel/Schlussfolgerungen, IP/Geräte, Geo, verknüpfte Konten.
• Zahlungs-IDs: PSP ids, ARN/RRN, Wallets/Adressen.
• KYT-Bericht (für Krypto): Fondspfad, Risikocluster, Börsen-Tags.
• Ergebnis: Approve/Close, EDD & Monitor, Freeze & Report.

Kommunikation mit dem Kunden: Vorlagen für SoF-Anfragen/Dokumente, Antwortfristen, Folgen der Nichtlieferung.

9) SAR/STR und Interaktion mit Regulierungsbehörde/Partnern

Die Kriterien der Abgabe: die begründete Verdächtigung auf das Abwaschen/Finanzierung/sankzionnyje des Verstoßes.
Inhalt: Kurzbeschreibung, Fakten und Zeitlinie, Beträge/Details, Kommunikation mit bekannten Schemata, Maßnahmen, Kontakt des Verantwortlichen.
Fristen: je nach Gerichtsbarkeit (oft „unverzüglich“ nach Feststellung des Verdachts).
Vertraulichkeit: Verbot, den Kunden über die Tatsache der SAR (Tipping-Off) zu informieren.
Interaktion mit Acquirer/PSP: Übertragung von Risikointelligenz (im Rahmen des Vertrags und des Gesetzes).

10) Sanktionen und Screening vs AML-Monitoring

Sanktionierung/PEP/Adverse Media Screening - Personen-/Unternehmensfilter.
AML-Monitoring ist ein Filter für Verhalten und Transaktionen.
Sie ergänzen sich: Der Sanktionshit erhöht die Priorität der AML-Alert und des EDD/Hold-Triggerits.

11) Krypto-Streams: KYT, Travel Rule, Off-/On-Ramp

KYT (Know Your Transaction): Risikoanbieter für Adressen/Börsen, On-Chain-Tracing, Kategorisierung von Quellen/Empfängern.
Travel Rule: Austausch von Sender-/Empfängerattributen zwischen VASPs bei Schwellenwerttransfers (falls zutreffend).
Off-/On-Ramp-Richtlinien: White-List-Börsen/Anbieter, Verbot von P2P-Plattformen mit hohem Risiko, Limits für Beträge/Häufigkeit, Beibehaltung der primären Leads nach dem Eintritt in Krypto.

12) Metriken, Qualitätskontrolle und Modellrisiko

• Alert Precision/Recall (manuelle Markierungen nach Fall).
• Anteil der in SLA geschlossenen High-Alert.
• Durchschnittliche Untersuchungszeit (p50/p95).
• SAR-conversion (Warnungen → Berichte)
• Wiederholte Alerts für die gleichen Cluster (Recurrence).
• Anteil falsch positiver Sperren (Impact per Conversion).

Modell-/Regelvalidierung: Backtesting, Merkmalsstabilität, Drift (PSI), einmal pro Quartal - Regelrevue, jährlich - unabhängige Überprüfung.

13) Governance und Verantwortung (Governance)

AML-Richtlinie: Rollen (MLRO/Head of Compliance), Schwellenwerte, Geo-Matrix, Liste verbotener Quellen.
Change-control: RFC auf neue Regeln/Schwellenwerte, Change Log, A/B-Bewertung der geschäftlichen Auswirkungen.
Schulungen: jährliche Schulungen, Wissenstests, Fallbibliothek.
Audit und Retention: Aufbewahrung von Fällen/Lösungen/Daten gemäß den Anforderungen (in der Regel 5 + Jahre), sichere Speicher, Zugriff über RBAC.

14) Anti-Muster

„Eine Größe für alle“: gleiche Schwellenwerte für alle Länder/Methoden/Kunden.
Reaktive Überwachung ohne Online ist eine „Aufholjagd“ -Kontrolle.
Der Mangel an Graph-Analyse → nicht gefangen multiaccounts/Maultiere.
Ignorieren der KYT/Travel Rule bei Krypto-Streams.
Es gibt keine klaren SLAs für Untersuchungen, die Alerts häufen sich mit „Schulden“.
Keine AML ↔ KYC/KYB/Payments Orchestrator Kommunikation (keine Hold/Limits „am Draht“).

15) Checkliste Umsetzung

• Risikobewertung: Risikokarte nach Kunden/Geo/Methoden/Produkten.
• Rule Engine online + Regelbibliothek (structuring, rapid in-out, mule, KYT, geo).
• Scoring/ML + Graph-Zeichen; Kalibrierung von Schwellenwerten und Priorisierung.
• Fallsystem mit Vorlagen, Timelines, Checklisten und SLAs.
• Integrationen: KYC/KYB, Sanktionen/RER, PSP, KYT, Travel Rule.
• SAR/STR-Prozesse, Playbook „Freeze & Report“, Tipping-off-Verbot.
• Qualitätsmetriken (Precision/Recall, SLA, SAR-Conversion), Dashboards und Alerts.
• Change Management und jährliche unabhängige Tests.
• Datenspeicherung/Zugriffsrichtlinien, Verschlüsselung, Überwachung.
• Teamschulung (Zahlungen/Risiko/Compliance/Support) und regelmäßige Übungen.

16) Zusammenfassung

Eine starke AML-Überwachung in iGaming ist eine Online-Rule Engine + ML/Graph, die mit CUS/CUV/Sanktionen/CUT, klaren SLA-Untersuchungen, SAR/STR-Disziplin und der ständigen Kalibrierung von Schwellenwerten auf reale Risiken verknüpft ist. Eine solche Kontur schneidet die Geldwäsche ab, hält die Partnerinfrastruktur bei Banken/PSPs in der „grünen Zone“ und trifft den Umbau gewissenhafter Spieler kaum.