Transaction-Monitoring-Alerts: Backlog abbauen und dauerhaft beherrschen

Kurzantwort: Einen Transaction-Monitoring-Backlog bauen Banken in drei Schritten ab: offene Alerts nach Risiko und Alter triagieren, ein getrenntes Team aus Level-1-Analysten, Level-2-Ermittlern und Qualitätssicherung einsetzen und die Ursachen der Alert-Flut, meist zu grob eingestellte Szenarien und Schwellen, kontrolliert beheben. In der Schweiz sind die ermittelten Transaktionen nach Art. 20 Abs. 3 GwV-FINMA innert angemessener Frist auszuwerten, in Deutschland verlangt § 25h Abs. 2 KWG funktionierende Überwachungssysteme. Die Entscheidung über eine Verdachtsmeldung bleibt immer beim Institut.

Dieser Ratgeber richtet sich an Heads of Compliance, Geldwäschereiverantwortliche und Leitungen von Financial-Crime-Teams in der Schweiz und in Deutschland. Er zeigt, wie ein Alert-Rückstand entsteht, wie Sie ihn mit temporärer Verstärkung abbauen und wie Sie verhindern, dass er nach dem Projekt wiederkommt.

Warum Alert-Backlogs im Transaction Monitoring entstehen

Ein Backlog entsteht, wenn über mehrere Wochen mehr Alerts eingehen, als das Team abschliessen kann. Die Ursachen liegen selten nur beim Personal, und jede Ursache verlangt eine eigene Massnahme:

Die Pflicht zur Überwachung ist in beiden Ländern klar. In der Schweiz sorgt der Finanzintermediär für eine wirksame Überwachung der Geschäftsbeziehungen und Transaktionen; Banken und Wertpapierhäuser betreiben dafür ein informatikgestütztes System (Art. 20 Abs. 1–2 GwV-FINMA). In Deutschland müssen Kreditinstitute Datenverarbeitungssysteme betreiben und aktualisieren, die ungewöhnliche Geschäftsbeziehungen und Zahlungen erkennen (§ 25h Abs. 2 KWG), ergänzt durch die kontinuierliche Überwachung nach § 10 Abs. 1 Nr. 5 GwG. Ein wachsender Rückstand ist deshalb kein reines Kapazitätsthema, sondern ein Compliance-Risiko.

Triage nach Risiko und Alter

Die Triage legt fest, welche Alerts zuerst bearbeitet werden. Sinnvoll ist eine Reihenfolge, die das höchste Risiko zuerst abdeckt und alte Alerts nicht weiter altern lässt.

1. Bestand erfassen: offene Alerts nach Szenario, Kundenrisiko, Betrag, Alter und Status auswerten.
2. Nach Kunde bündeln: Mehrere Alerts zum selben Kunden als einen Fall bearbeiten. Das spart Zeit und verbessert das Gesamtbild.
3. Prioritäten setzen: zuerst Kunden mit erhöhtem Risiko, Hochrisikoländer, hohe Beträge und die ältesten Alerts; danach die Standardfälle.
4. Abschlussregeln festlegen: Für wiederkehrende, eindeutig unauffällige Muster dokumentierte Abschlussgründe definieren und von der Geldwäschereifachstelle bzw. vom Geldwäschebeauftragten genehmigen lassen.
5. Zufluss und Abfluss steuern: wöchentlich messen, ob mehr Alerts abgeschlossen werden als neu entstehen.

Rechenbeispiel (Annahme)

Ein Institut hat 6’000 offene Alerts, monatlich kommen 1’200 neue hinzu, das Team schliesst 1’000 ab. Der Rückstand wächst also um 200 pro Monat. Soll er in sechs Monaten abgebaut sein, braucht es monatlich 2’200 Abschlüsse. Bei 20 Minuten je Level-1-Alert, einem Level-2-Anteil von 10 % und zwei Stunden je Level-2-Fall sind das rund 1’170 Stunden pro Monat. Bei 120 produktiven Stunden je Person ergibt das etwa zehn Analysten, zuzüglich Qualitätssicherung und Teamleitung. Alle Werte sind Annahmen; die echten Zahlen liefert ein kurzer Pilot.

Team: Bearbeitung, Qualitätssicherung und Entscheid trennen

Ein Alert-Team trennt Vorprüfung (Level 1), vertiefte Abklärung (Level 2), Qualitätssicherung und Entscheid. So bleibt nachvollziehbar, wer einen Alert geprüft, wer ihn freigegeben und wer über eine Meldung entschieden hat. Auffällige Fälle eskalieren nach einer festen Regel an die Geldwäschereifachstelle bzw. den Geldwäschebeauftragten. Wie das Team zu dimensionieren ist, zeigt das Rechenbeispiel oben; die Zahl für Qualitätssicherung und Teamleitung hängt vom Anteil der Level-2-Fälle ab.

Externe Fachkräfte übernehmen typischerweise Level 1, Level 2, Qualitätssicherung und Tuning-Analysen. Den Entscheid über Meldung und Weiterführung trifft das Institut. Alpinum Solutions stellt dafür Analysten, Senior Analysts, Team Leads und Fachexperten über Staff Leasing und Freelancing bereit, als Einzelperson oder als Taskforce. Im Staff Leasing arbeiten sie in den Systemen des Instituts und nach dessen fachlichen Weisungen. Mehr zur Leistung auf der Seite AML-, KYC- und Financial-Crime-Compliance.

Szenarien und Schwellen nachjustieren

Ohne Tuning kommt der Backlog wieder. Der Abbau sollte deshalb von Anfang an mit einer Ursachenanalyse laufen.

• Zuständigkeit: In der Schweiz legt die Geldwäschereifachstelle oder eine andere unabhängige Stelle die Parameter des Überwachungssystems fest und veranlasst die Auswertung der Meldungen (Art. 25 Abs. 1 lit. b und c GwV-FINMA). Externe Analysten liefern Auswertungen, entscheiden aber nicht selbst über Parameter.
• Daten zuerst: Viele Fehlalarme entstehen durch falsche Stammdaten, fehlende Gegenparteien oder doppelte Buchungen. Datenfehler beheben, bevor Schwellen steigen.
• Begründet ändern: Jede Änderung an Szenarien oder Schwellen braucht eine dokumentierte Analyse, einen Test und eine Genehmigung. Ein reines Anheben der Schwellen zur Senkung der Alert-Zahl ist schwer zu begründen.
• Wirkung messen: Trefferquote je Szenario, Anteil der Alerts mit Eskalation und Anteil der Meldungen vorher und nachher vergleichen.
• Ausblick EU: Ab dem 10. Juli 2027 darf die Billigung der Kriterien zur Erkennung verdächtiger Transaktionen nicht ausgelagert werden (Art. 18 Abs. 3 lit. f AMLR).

Dokumentation und Meldungen

Jeder abgeschlossene Alert braucht eine nachvollziehbare Begründung. In der Schweiz müssen Belege so erstellt werden, dass sich fachkundige Dritte ein zuverlässiges Urteil über Transaktionen und Geschäftsbeziehungen bilden können; sie sind nach Ende der Beziehung mindestens zehn Jahre aufzubewahren (Art. 7 Abs. 1 und 3 GwG).

Was in jede Alert-Dokumentation gehört

• Auslösendes Szenario und betroffene Transaktionen
• Geprüfte Informationen: Kundenprofil, Transaktionshistorie, Dokumente, Rückfragen
• Würdigung: Warum ist die Transaktion plausibel oder nicht?
• Ergebnis, Datum, bearbeitende Person und gegebenenfalls Qualitätssicherung

Bei Verdacht gilt in beiden Ländern: unverzüglich melden. In der Schweiz an die Meldestelle für Geldwäscherei (MROS) nach Art. 9 GwG; über die Erstattung entscheidet das oberste Geschäftsführungsorgan oder eine Stelle, an die es diese Aufgabe überträgt, etwa die Geldwäschereifachstelle (Art. 25a GwV-FINMA). In Deutschland an die Zentralstelle für Finanztransaktionsuntersuchungen (FIU), unabhängig vom Betrag (§ 43 Abs. 1 GwG). Ein Backlog verzögert diese Meldungen. Deshalb gehören Fälle mit Verdachtsmomenten an den Anfang der Triage.

Grenzen und Risiken

• Die Verantwortung für die Überwachung und für Meldungen bleibt beim Institut. Externe Analysten bereiten Entscheide vor, treffen sie aber nicht.
• Massenabschlüsse ohne genehmigte Regeln und Begründung erzeugen ein neues Prüfungsrisiko statt eines abgebauten Rückstands.
• Ein Abbauprojekt ohne Tuning und ohne Ursachenanalyse verschiebt das Problem nur.
• Alpinum ist keine Kanzlei und erbringt keine Rechtsberatung. Die Auslegung der Melde- und Sorgfaltspflichten im Einzelfall bleibt beim Institut und seinen Beratern.

Häufige Fragen zum Transaction-Monitoring-Backlog

Was ist ein False Positive im Transaction Monitoring?

Ein False Positive ist ein Alert, den das Überwachungssystem auslöst, obwohl die Transaktion nach Prüfung unauffällig ist. Typische Gründe sind grobe Schwellen, fehlende Kundendaten oder Szenarien, die das normale Verhalten eines Segments nicht abbilden. Auch ein False Positive braucht eine dokumentierte Begründung, bevor er geschlossen wird.

Wer entscheidet über eine Verdachtsmeldung?

In der Schweiz entscheidet das oberste Geschäftsführungsorgan über Meldungen an die MROS; es kann diese Aufgabe an Mitglieder ohne direkte Geschäftsverantwortung, an die Geldwäschereifachstelle oder an eine mehrheitlich unabhängige Stelle übertragen (Art. 25a GwV-FINMA). In Deutschland ist der Geldwäschebeauftragte bei Verdachtsmeldungen weisungsfrei (§ 7 GwG). Externe Analysten bereiten den Fall vor.

Wie schnell müssen Alerts bearbeitet werden?

Die GwV-FINMA verlangt eine Auswertung innert angemessener Frist (Art. 20 Abs. 3), zusätzliche Abklärungen sind unverzüglich einzuleiten (Art. 17). Eine feste Tageszahl nennt die Verordnung nicht. Sinnvoll sind deshalb interne Bearbeitungsfristen je Risikostufe. Ergibt sich ein Verdacht, ist in beiden Ländern unverzüglich zu melden.

Dürfen externe Analysten Alerts abschliessen?

Externe Analysten können Alerts nach den Regeln und Prüfanweisungen des Instituts bearbeiten und dokumentieren. Welche Alerts sie selbst schliessen dürfen und welche eine Freigabe brauchen, legt das Institut fest. In Deutschland ist die Übertragung interner Sicherungsmassnahmen wie Überwachungssysteme vorab anzuzeigen (§ 6 Abs. 7 GwG). Ob ein Einsatz im Staff Leasing eine Auslagerung ist, beurteilt und dokumentiert das Institut im Einzelfall (BaFin-AuA, Ziff. 3.10).

Wie gross muss ein Team zum Abbau eines Alert-Backlogs sein?

Das hängt von Bestand, Zufluss, Bearbeitungszeit und Zielzeitraum ab. Im Rechenbeispiel oben braucht es für 6’000 offene Alerts, 1’200 neue pro Monat und sechs Monate Laufzeit rund zehn Analysten plus Qualitätssicherung und Teamleitung. Erst ein Pilot zeigt die echten Bearbeitungszeiten. Die Planung beschreibt der Ratgeber KYC-Remediation planen.

Nächster Schritt

Beschreiben Sie uns Bestand, Zufluss und Zieltermin. Ausgewählte Profile liegen in der Regel innerhalb von 48 Stunden vor; den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab.

• AML-, KYC- und Financial-Crime-Compliance
• KYC-Remediation mit temporären Spezialisten planen
• Fallstudie: KYC-Taskforce mit acht Compliance Officers
• Bedarf besprechen

Stand: 31. Oktober 2026.