Die Nationalbank der Ukraine bereitet Änderungen der Finanzüberwachungsvorschriften vor: Banken werden verpflichtet, individuelle Verhaltensprofile von Kunden zu erstellen und automatisch alle Abweichungen vom üblichen Muster zu erfassen. Überweisungen über der Norm, ungewöhnliche Zahlungsgeografien, neue Kontrahenten – all das unterliegt verstärkter Kontrolle.
Die Logik des Regulators ist verständlich. Die Ukraine steht unter Druck der FATF und der EU bezüglich der Standards zur Bekämpfung der Geldwäsche. Der umfassende Krieg hat eine zusätzliche Dimension hinzugefügt: Schattenfinanzierungsschemata, Sanktionsumgehung, Vermögensabzug. Die Überwachung von Anomalien ist ein Instrument, das unter solchen Bedingungen tatsächlich funktioniert.
Aber die Architektur des Systems wirft Fragen auf, die die NBU bisher nicht öffentlich angesprochen hat.
Erstens die Kriterien der „Atypikalität". Wer entscheidet, dass eine Überweisung von 50.000 Griwna an einen Verwandten in einer anderen Stadt eine Anomalie ist und nicht einfach übliche Hilfe? Wenn der Algorithmus anhand von Durchschnittswerten trainiert wird, wird er per Definition diejenigen bestrafen, deren Verhalten von der Mehrheit abweicht – Freiberufler, Unternehmer, Menschen mit unregelmäßigen Einkommen.
Zweitens die Konsequenzen des Alarms. Sperrung einer Operation, Dokumentaufforderung, Verzögerung – für ein Unternehmen mit strikten Fristen kann dies echte Verluste bedeuten. Der Beschwerde- und Prüfmechanismus sowie die Fristen sind in den veröffentlichten Materialien nicht detailliert.
Drittens der Zugriff auf Profile. Das „übliche Aktivitätsprofil" ist eine strukturierte Sammlung persönlicher Finanzdaten. Die Ordnung ihrer Speicherung, des Schutzes und der Weitergabe an Dritte, insbesondere an Strafverfolgungsbehörden, erfordert einen klaren normativen Rahmen, der derzeit nicht vorhanden ist.
Ähnliche Verhaltensanalysesysteme funktionieren längst in Banken der EU – doch dort existieren sie in einem GDPR-Umfeld mit klar definierten Rechten des Datensubjekts, unabhängiger Überwachung und gerichtlicher Kontrolle. Die ukrainische Version ist derzeit ein Instrument ohne öffentlich definierte Grenzen seiner Nutzung.
Die NBU hat das Recht zu diesem Schritt. Aber ob der Mechanismus zum Schutz des Kunden vor fehlerhaften Alarmen eine genauso prioritäre Entwicklung sein wird wie der Überwachungsmechanismus selbst, wird klar werden, wenn wir den finalen Text des Rechtsakts sehen, nicht nur sein Konzept.
