Das wahre Gesicht des Betrugs #5: Der digitale Raub – wie Milliarden aus Betrugsmaschen gewaschen werden 

Moderne Finanzkriminalität funktioniert als zwei eng miteinander verzahnte Systeme: Betrug, der Geld von Opfern abschöpft, und Geldwäsche, die es verschiebt und verschleiert. Finanzinstitute befinden sich an der Schnittstelle beider Systeme. Ob sie es wissen oder nicht – sie sind Teil der Infrastruktur, die Kriminelle nutzen, um gestohlenes Geld wieder in den Wirtschaftskreislauf einzuschleusen. In diesem Teil unserer Betrugsreihe folgen wir dem Geld – seiner digitalen Spur und den „Interventionspunkten”, die für die Betrugserkennung entscheidend sind.

In früheren Artikeln haben wir das industrielle Ausmaß moderner Betrugsnetzwerke und die durch Menschenhandel rekrutierte Arbeitskraft, die diese Netzwerke antreibt, beleuchtet. Sobald das gestohlene Geld das Konto des Opfers verlässt, greift der zweite Teil des Betrugsmechanismus: die Geldwäsche. Dabei handelt es sich um den Prozess, illegal erlangtes Geld – aus dem Drogenhandel oder anderen kriminellen Aktivitäten – zu verschleiern und als legitim erscheinen zu lassen. In dieser Reihe beleuchten wir, wie dieser Prozess im Kontext von Betrug abläuft.

Der digitale Raub: Wie die Geldwäsche abläuft

Phase 1: Einschleusung und Verschleierung gestohlener Gelder

Geldwäsche beginnt traditionell mit der Einschleusung – der Einführung illegaler Gelder in das Finanzsystem – gefolgt von der Verschleierungsphase, in der Gelder bewegt und verschachtelt werden, um ihre Rückverfolgung zu erschweren. Dies kann den Einsatz von Geldkurieren, die Kanalisierung von Geldern über Prepaid-Karten oder die Aufteilung von Beträgen in kleinere Summen umfassen – eine als „Smurfing” bekannte Methode, bei der die überwiesenen Beträge unterhalb der Meldepflichtgrenze bleiben.

In modernen Betrugsszenarien befindet sich das Geld des Opfers bereits im Finanzsystem, wenn es gestohlen wird. Die Herausforderung besteht daher nicht darin, Gelder in das System einzuschleusen, sondern sie schnell zu verschieben und zu verschleiern.

Hier nutzen Kriminelle Geldkuriere – Personen, die häufig unter Vorspiegelung falscher Tatsachen angeworben werden, um illegale Gelder entgegenzunehmen und weiterzuleiten. Diese Personen sind in der Regel selbst Opfer von Social Engineering – gelockt durch gefälschte Stellenangebote, „Romantik”-Fallen oder Schnellverdienst-Versprechen. Dennoch fungieren ihre Konten als erster und entscheidender Knotenpunkt in der Geldwäschekette. Über diesen werden gestohlene Gelder rasch aus dem Einflussbereich des Opfers herausbewegt. Da das gestohlene Geld bereits in elektronischer Form vorliegt, entfällt die klassische Einschleusungsphase nahezu vollständig. Der eigentliche Kampf findet in der Verschleierungsphase statt – und er beginnt in dem Moment, in dem ein Opfer dazu gebracht wird, Geld auf ein Kurierkonto zu überweisen.

Die Gelder, die Geldkuriere wieder in das System einschleusen, gelangen jedoch selten direkt auf Konten, die von den Tätern kontrolliert werden. Stattdessen werden sie über Zwischenkonten geleitet, was Distanz schafft und Aufdeckung sowie Rückholung erheblich erschwert.

Obwohl viele Kuriere unwissentlich beteiligte Personen sind – angeworben über gefälschte Stellenanzeigen oder Messaging-Apps mit Versprechen von 70 bis 300 US-Dollar pro Tag für „Remote-Zahlungsabwicklung” – ahnen manche von Anfang an, dass die Aktivität fragwürdig ist.

Unabhängig vom Anwerbeweg ist ihre Rolle simpel: Gelder – häufig von Betrugsopfern – auf ihr Bankkonto entgegennehmen und schnell weiterleiten (z. B. auf andere Konten oder in Krypto-Wallets).

Das Kritische daran: Klassische KYC-Prüfungen sehen einen legitimen Kunden: echte Identitätsdokumente, plausible Adresse. Das Konto besteht die Verifizierung, weil die Person real ist. Die Transaktionsüberwachung kann verdächtige Aktivitäten irgendwann melden – doch bis dahin wurden bereits mehrere Opferüberweisungen abgewickelt und die Gelder weiterbewegt.

Phase 2: Verschleierung durch Transaktionsschichten

Sobald die Gelder die ersten Kurierkonten passiert haben, gelangen sie in ein Labyrinth, das eine Rückverfolgung nahezu unmöglich machen soll. Erste Station: Kryptobörsen. Innerhalb von Minuten werden Euro in Bitcoin oder Ethereum umgewandelt – doch sobald die Konvertierung erfolgt ist, endet die Möglichkeit der Banken, Transaktionen einzufrieren oder rückgängig zu machen, da Kryptotransaktionen irreversibel sind. Kriminelle Netzwerke betreiben anschließend sogenanntes „Chain-Hopping” – sie verschieben Werte über verschiedene Blockchains (z. B. von Bitcoin zu Ethereum und weiter in andere Kryptowährungen) und nutzen sogenannte „Mixer”, die Kryptowerte auf Hunderte von Wallets verteilen und so den Transaktionspfad verschleiern und eine Rückverfolgung nahezu unmöglich machen.

Phase 3: Umwandlung digitaler Gelder in reale Vermögenswerte

Die letzte Herausforderung besteht darin, gewaschene Gelder in nutzbare Vermögenswerte umzuwandeln – häufig durch Immobilien, Luxusgüter oder Investitionen in bargeldintensive Branchen wie Restaurants, Bars oder Casinos.

Für größere Summen, die letztlich in reale Vermögenswerte reinvestiert werden sollen, kaufen Kriminelle vorgefertigte Briefkastenfirmen von Untergrundanbietern – Unternehmen, die in Ländern mit schwacher Strafverfolgung registriert sind und über Bankkonten, aber kein reales Geschäft verfügen. Diese Gesellschaften stellen gefälschte Rechnungen aus, die Bankprüfungen standhalten, benennen Strohleute als Direktoren, um die tatsächlichen wirtschaftlichen Eigentümer zu verschleiern, und erzeugen Transaktionsketten, die auf dem Papier legitim wirken.

Gegenwehr: Wo die Erkennung verbessert werden muss

Der dreiphasige Geldwäscheprozess nutzt Lücken in den Finanzkontrollen genau in den Momenten, in denen sie am meisten zählen – bei der Kontoeröffnung, wenn gestohlene Gelder auf Kurier- oder Briefkastenfirmenkonten eingehen und wenn Geld in Kryptowährungen oder Sachwerte fließt. In jeder Phase gibt es Möglichkeiten zur Erkennung. In jeder Phase stehen klassische Kontrollmechanismen unter Druck.

Um diese Muster zu erkennen, müssen Finanzinstitute zwei Ebenen unterscheiden: die Betrugsprävention – also den Schutz des Opfers vor dem Versenden von Geld – und die Erkennung von Kurierkonten, um zu verhindern, dass Geldwäschekonten Gelder empfangen oder weiterbewegen.

Beim Onboarding (Prävention von Geldkurieren und Geldwäschern) bedeutet das, über das Dokument hinaus zu schauen und auf folgende Signale zu achten:

• mehrere Konten, die in kurzer Zeit von demselben Gerät oder derselben IP-Adresse eröffnet werden, koordiniertes Kurier-Farming oder gemeinsam genutzte Geräte,

• inkonsistente, unter Zwang gegebene oder auswendig gelernte Antworten während der Live-Videoverifizierung (Hinweise auf Social Engineering oder Scripting),

• kürzlich ausgestellte Dokumente in Verbindung mit einer schwachen oder kaum vorhandenen digitalen Präsenz

• oder ein Profil, das nicht zum finanziellen Hintergrund passt.

Nach dem Onboarding ist der Verhaltensfußabdruck ebenso charakteristisch:

• eingehende Gelder, gefolgt von schnellen Ausgangsüberweisungen innerhalb von Minuten,

• kein normales Ausgabeverhalten oder Saldoerhalt,

• mehrere eingehende Zahlungen von nicht miteinander verbundenen Dritten,

• und Anmeldeaktivitäten, die ausschließlich auf Geldtransfers beschränkt sind.

Briefkastenfirmen mit minimaler Betriebshistorie, die große oder häufige Transaktionen abwickeln, wirtschaftlich sinnlose Geschäftsbeziehungen sowie generische oder unplausible Rechnungsbeschreibungen sind ebenfalls Indikatoren. Auf der Kryptoseite sind schnelles Chain-Hopping über Blockchains oder der Einsatz von Mixern starke Warnsignale. Blockchain-Analysetools werden zunehmend unverzichtbar, um dieser Spur zu folgen – und Transaktionsüberwachungssysteme, die unlogische Geschäftsbeziehungen markieren, können Briefkastenfirmenaktivitäten aufdecken, bevor die Gesellschaft aufgelöst und ersetzt wird.

Die Erkennung in dieser Phase liegt häufig außerhalb klassischer Bankkontrollen, doch Warnsignale umfassen:

• Krypto-zu-Immobilien-Transaktionen, die über Briefkastenfirmen abgewickelt werden,

• hochwertige Luxuskäufe über Geschäftskonten ohne plausiblen geschäftlichen Hintergrund,

• und bargeldintensive Unternehmen, deren Umsatzmuster nicht zu ihrer Größe, ihrem Standort oder ihrer Branche passen.

Sektorübergreifende Meldepflichten und Transparenz bei wirtschaftlichen Eigentümern sind hier entscheidend – und genau das schreiben die kommenden regulatorischen Rahmenbedingungen zunehmend vor.

IDnow VideoIdent kann mit kuriersspezifischen Fragen während der Live-Sitzung konfiguriert werden, um Verhaltensauffälligkeiten sichtbar zu machen, die reine Dokumentenprüfungen nicht erfassen würden. Über die Trust Platform und ihre Risk Intelligence können Device & Network Intelligence sowie das IDV Retry Tracking koordinierte Kontoeröffnungen über gemeinsam genutzte Geräte oder IP-Adressen markieren – und ein Echtzeit-Risiko-Scoring kann die Verhaltensmuster erkennen, die auf Kuriertätigkeit hinweisen, bevor Gelder weiterbewegt werden.

Auf regulatorischer Seite ist die Richtung klar. Die EU-Geldwäschebekämpfungsverordnung (AMLR), die ab 2027 in Kraft tritt, wird strengere Anforderungen an die Sorgfaltspflicht gegenüber Kunden, verpflichtende Prüfungen wirtschaftlicher Eigentümer und neue Pflichten für Anbieter von Krypto-Dienstleistungen einführen. Für Finanzinstitute ist dies nicht nur eine Compliance-Übung – es ist eine Chance, eine Infrastruktur aufzubauen, die der Komplexität moderner Finanzkriminalität gewachsen ist.

Auch der institutsübergreifende Informationsaustausch wird unverzichtbar sein. Kuriernetzwerke, Briefkastenfirmenketten und Krypto-Verschleierungsschemata machen nicht an der Eingangstür einer einzelnen Bank halt. Die Frage lautet nicht mehr ob, sondern wie schnell Finanzinstitute handeln müssen, um einen Unterschied zu machen.

Von

Nikita Rybová
Customer & Product Marketing Manager bei IDnow
Verbinden Sie sich mit Nikita auf LinkedIn