Sanktionsscreening ist der Abgleich von Personen, Unternehmen, Wallets, Bankdaten und Zahlungsdaten mit Sanktionslisten – beim Onboarding, bei Zahlungen, Auszahlungen und in Ermittlungen. Wenn Sie nach „sanctions screening“ gesucht haben, wollen Sie vermutlich die praktische Sicht: was geprüft wird, wie Teams das Ergebnis nutzen und welcher zusätzliche Kontext hilft, die nächsten Schritte zu entscheiden. Für Fraud-Analysten bei Banken, Fintechs und Krypto-Börsen ist es ein Kontrollschritt innerhalb eines größeren Fall-Workflows.
Eine nützliche Kontextquelle ist betrugsbezogene Intelligence von Active Defense: KI-Köderidentitäten halten Betrüger auf Telegram und per E-Mail im Gespräch, und das, was Betrüger schicken, wird in einen Threat-Intelligence-Feed mit bewerteten Indikatoren und STIX-2.1-Export umgewandelt.
Was Sanktionsscreening im Fraud-Betrieb bedeutet
Im Fraud-Betrieb bedeutet Sanktionsscreening, einen Kunden, eine Gegenpartei, einen Begünstigten, einen Absender, eine Wallet oder eine andere relevante Kennung gegen offizielle Sanktionslisten und interne Kontrollen zu prüfen. Das Ziel ist praktisch: festzustellen, ob eine Person, ein Unternehmen, ein Zahlungsziel oder ein damit verbundenes Detail genauer geprüft werden muss, bevor ein Konto eröffnet, eine Zahlung verarbeitet, eine Auszahlung freigegeben oder ein Fall abgeschlossen wird.
Fraud-Teams kümmern sich darum, weil Sanktionsrisiken an mehreren Stellen der täglichen Arbeit auftauchen können:
- Onboarding und Kontoeröffnung
- Prüfung von Zahlungen und Begünstigten
- Prüfung von Auszahlungen und Payouts
- Prüfung von Krypto-Transfers
- Händlerprüfungen
- Fallermittlungen nach einem Alert oder einer Meldung
In der Praxis reicht Screening über Namen hinaus. Je nach Zahlungsweg, Produkt und Fall prüfen Analysten gegebenenfalls Namen, Aliasnamen, Geburtsdaten, Adressen, Länder, Bankkennungen und – wenn relevant – Krypto-Adressen. Das Screening kann stattfinden, bevor eine Beziehung beginnt, bevor Gelder bewegt werden, nachdem ein Alert ausgelöst wurde oder später, wenn während einer Ermittlung neue Informationen auftauchen.
Es ist außerdem keine einmalige statische Aufgabe. Die meisten Teams betreiben Sanktionsscreening als risikobasierte operative Kontrolle, die an Queues, Alerts, Triage und Eskalationswege gebunden ist.
Dadurch unterscheidet es sich von Transaktionsüberwachung, Betrugserkennung, Adverse-Media-Screening und AML-Ermittlungen, auch wenn diese Kontrollen oft im selben Workflow zusammenlaufen. In Betrugsfällen steht Sanktionsscreening oft neben Prüfungen von Zielbankkonten, Wallet-Exponierung, Geräte- oder Kontoverhalten und bekannten Betrugsindikatoren. Zum breiteren Fall-Workflow rund um Betrugszahlungen siehe den umfassenderen Fraud-Workflow.
Was Fraud-Teams tatsächlich prüfen
Für Fraud-Analysten beginnt Sanktionsscreening meist mit den Kennungen, über die Gelder bewegt werden können oder die eine Gegenpartei identifizieren. Namen sind wichtig, aber der Prüfungsumfang ist oft größer, weil Betrugsfälle selten mit einem sauberen Feld und einer eindeutigen Antwort hereinkommen.
Teams prüfen üblicherweise:
- Kunden- und Gegenparteinamen
- Unternehmensnamen und Aliasnamen
- Begünstigten- und Absenderdaten
- Bankdaten wie IBAN und SWIFT-bezogene Felder
- Wallet-Adressen und Gegenparteien von Transaktionen
- im Fall gefundene Kontaktkennungen
Gerade diese letzte Gruppe ist oft wichtiger, als es zunächst scheint. Ein Fall kann Telefonnummern, E-Mail-Adressen, Messenger-Konten, Payment-Handles, Links oder Geschenkkartendaten enthalten, die aus Kundenmeldungen, Chat-Screenshots oder internen Notizen stammen. Diese Felder sind vielleicht nicht das primäre Ziel des Sanktionsscreenings, helfen Analysten aber dabei zu beurteilen, ob ein Zahlungsziel oder eine Gegenpartei zu einer größeren Betrugsstruktur gehört.
Im Kryptobereich kommt eine weitere Ebene hinzu. Analysten müssen möglicherweise Ziel-Wallets, Gegenparteien bei Auszahlungen und Wallet-Daten prüfen, die in Chats oder Zahlungsanweisungen übermittelt wurden. Mehr zu Travel-Rule-Prüfungen im Kryptobereich und Wallet-Prüfungen in Betrugsfällen: Diese Workflows liegen in der Praxis nah am Sanktionsscreening.
Active Defense kann betrugsbezogenen Kontext aus laufenden Gesprächen mit Betrügern auf Telegram und per E-Mail ergänzen. Das, was Betrüger übermitteln, wird in einen Threat-Intelligence-Feed mit bewerteten Indikatoren umgewandelt: Krypto-Wallets, Bankdaten, Telefonnummern, Messenger-Konten, Links, Geschenkkarten, Payment-Handles sowie Datei- und Fotohashes. Active Defense extrahiert Krypto-Wallets für BTC, ETH, TRON und SOL aus Live-Chats und bewertet jedes einzelne. Chats, die einen Indikator, ein wiederverwendetes Foto oder ein weitergeleitetes Konto teilen, werden einem Akteur zugeordnet. Jeder Kunde erhält seinen eigenen Feed mit STIX-2.1-Export.
Wie Matching funktioniert und warum False Positives entstehen
Sanktionsscreening erzeugt False Positives, weil Matching mit unvollständigen und inkonsistenten Daten funktionieren muss. Ein Name kann häufig sein, abgekürzt werden oder auf mehrere gültige Arten transliteriert sein. Datensätze können außerdem ohne Geburtsdatum, mit unvollständigen Adressen oder mit vermischten Unternehmensdaten eingehen. In der Fraud-Fallbearbeitung arbeiten Analysten oft mit Daten, die aus Zahlungsformularen, Chat-Transkripten, Screenshots oder Notizen kopiert wurden – dadurch kommen Rechtschreibabweichungen und Formatierungsrauschen hinzu, noch bevor das Screening überhaupt beginnt.
Die meisten Matching-Logiken kombinieren zwei Ansätze:
- exakte Prüfungen für strukturierte Felder
- Ähnlichkeitsprüfungen für Namen und andere Freitextfelder
Die eigentliche Schwierigkeit ist nicht, dass es einen Treffer gibt, sondern welches Gewicht er haben soll. Ein enger Namens-Treffer ohne stützende Details verdient möglicherweise weniger Aufmerksamkeit als ein schwächerer Texttreffer, der zusammen mit passenden Länder-, Unternehmens- und Zahlungsinformationen auftritt. Teams justieren das normalerweise über Messung der Alert-Qualität, denn zu breite Schwellenwerte überfluten Queues, während zu enge relevante Treffer verdecken können.
Die Entscheidung fällt bei der Analystenprüfung. Ein Reviewer kann testen:
- ob der Datensatz eine Person oder ein Unternehmen betrifft
- ob Alter, Geografie oder Adressdaten passen
- ob die Zahlungsroute zum Fall passt
- ob verknüpfte Kennungen auf eine größere Struktur hinweisen
Dasselbe Urteilsvermögen ist auch bei Erstattungsprüfungen, Ermittlungen zu Mule-Konten und Account-Takeover-Fällen wichtig.
Zusätzlicher betrugsbezogener Kontext kann helfen, ohne das Sanktionsscreening zu ersetzen. Active Defense sammelt Indikatoren aus Gesprächen mit Betrügern auf Telegram und per E-Mail, darunter Krypto-Wallets, Bankdaten, Telefonnummern, Messenger-Konten, Links, Geschenkkarten, Payment-Handles sowie Datei- und Fotohashes – jeweils mit einem Confidence-Score.
Wo Sanktionsscreening in Betrugsermittlungen einzuordnen ist
Sanktionsscreening steht mitten in der Betrugsfallbearbeitung, nicht an deren Ende. Wenn ein Analyst dort ankommt, besteht die Hauptaufgabe meist darin zu entscheiden, wie das Screening-Ergebnis den Fall verändert: ob es die Dringlichkeit erhöht, eine Eskalation stützt oder gegenüber anderen Belegen nachrangig bleibt.
In Betrugsermittlungen muss die Prüfung meist mehrere Stränge zugleich zusammenführen:
- das Zahlungsziel oder Ziel der Auszahlung
- den Kontaktkanal, den der Betrüger genutzt hat
- alle Kennungen, die über Fälle hinweg wiederverwendet wurden
- die Abfolge von Nachrichten, Anweisungen und Zahlungsaufforderungen
Das ist wichtig, weil ein Sanktionsergebnis nur ein Teil des operativen Gesamtbilds ist. Ein Analyst kann keinen Sanktionstreffer haben und trotzdem ein starkes Betrugsmuster erkennen – oder einen möglichen Treffer, der gegen den Rest der Fallakte abgewogen werden muss.
Entscheidend ist oft die Verknüpfung. Betrugsermittlungen kommen selten mit einer einzigen sauberen Kennung. Sie bestehen aus Fragmenten: einer Wallet in einem Chat, Bankdaten in Zahlungsanweisungen, einer Telefonnummer, einem Messenger-Konto oder einer Datei, die an den Kunden geschickt wurde. Wenn sich diese Fragmente mit früherer Betrugsaktivität verbinden lassen, lässt sich das Screening-Ergebnis leichter in den Kontext einordnen.
Active Defense kann diesen Kontext aus laufenden Gesprächen mit Betrügern auf Telegram und per E-Mail ergänzen. Das, was Betrüger übermitteln, wird in einen Threat-Intelligence-Feed mit bewerteten Indikatoren umgewandelt, darunter Krypto-Wallets, Bankdaten, Telefonnummern, Messenger-Konten, Links, Geschenkkarten, Payment-Handles sowie Datei- und Fotohashes. Chats, die einen Indikator, ein wiederverwendetes Foto oder ein weitergeleitetes Konto teilen, werden einem Akteur zugeordnet. Jeder Kunde erhält seinen eigenen Feed mit STIX-2.1-Export.
Was gute Screening-Reviews enthalten
Gute Reviews im Sanktionsscreening zeigen, wie der Analyst zu einer Entscheidung gekommen ist – nicht nur, was die Matching-Engine zurückgegeben hat. Ein nützlicher Prüfvermerk ist der, den ein anderer Reviewer später aufnehmen und ohne Rätselraten nachvollziehen kann.
Eine praxisnahe Prüfung erfasst in der Regel:
- die geprüfte Kennung und das exakte Feld, das gematcht hat
- welche Daten fehlten, inkonsistent waren oder geringe Qualität hatten
- welche angrenzenden Details danach geprüft wurden
- was den Fall in Richtung Freigabe oder Eskalation bewegt hat
Es hilft, die Begründung in der Reihenfolge festzuhalten. Zum Beispiel: zuerst die Wallet oder Bankverbindung, dann die zugehörigen Zahlungsanweisungen, dann alle Kontaktpunkte, die mit demselben Fall verbunden sind. Diese Struktur macht es leichter, einen engen Screening-Treffer von einer größeren Betrugsstruktur zu trennen.
In der Betrugsfallbearbeitung kommt der stärkste Kontext oft aus Artefakten, die unter Zeitdruck leicht übersehen werden: weitergeleitete Konten, wiederverwendete Fotos, angehängte Dateien und Payment-Handles. Wenn dasselbe Material in mehreren Fällen auftaucht, kann es Gruppierung, Triage und spätere Recherchen unterstützen. Das ist besonders nützlich, wenn Analysten Begünstigtendaten prüfen oder ein Bankkonto eines Betrügers kontrollieren.
Wenn Teams Active Defense nutzen, können sie bewertete Indikatoren aus Gesprächen mit Betrügern auf Telegram und per E-Mail ergänzen, darunter Krypto-Wallets, Bankdaten, Telefonnummern, Messenger-Konten, Links, Geschenkkarten, Payment-Handles sowie Datei- und Fotohashes.
Häufige Fragen zum Sanktionsscreening
Welches Ergebnis im Sanktionsscreening sollte einen Fall am schnellsten verändern?
Die Antwort hängt davon ab, wo das Risiko liegt. Ein enger Treffer, der mit einem Zahlungsziel, einem Auszahlungsziel oder einem Begünstigtendetail verknüpft ist, ist in der Regel wichtiger als ein schwacher Treffer auf einen Namen, zu dem sonst kaum etwas vorliegt. In Betrugsfällen entsteht Geschwindigkeit oft dadurch, dass zunächst eine operative Frage gestellt wird: Beeinflusst dieses Ergebnis, ob Gelder, Zugriffe oder Auszahlungen jetzt sofort bewegt werden sollten?
Deshalb priorisieren Analysten in der Regel:
- Begünstigten- und Absenderdaten
- Wallet-Adressen, die für Transfers oder Auszahlungen genutzt werden
- Bankdaten, die in Zahlungsanweisungen verwendet werden
- Gegenparteien, die bereits mit der Fallakte verknüpft sind
Wenn sich der Fall um ein Empfängerkonto dreht, überschneidet sich die nächste Prüfung oft mit Prüfungen eines Bankkontos eines Betrügers.
Was sollten Analysten tun, wenn der Kundenbericht Chat-Artefakte statt formaler Zahlungsdaten enthält?
Nutzen Sie, was verfügbar ist, und trennen Sie dann direkte Screening-Felder von unterstützendem Kontext. Betrugsfälle kommen oft eher mit Screenshots, kopierten Nachrichten, Sprachnotizen, Dateien oder weitergeleiteten Kontaktdaten als mit einem sauber strukturierten Begünstigtendatensatz.
Nützliche unterstützende Felder können sein:
- Telefonnummern
- E-Mail-Adressen
- Messenger-Konten
- Payment-Handles
- Geschenkkartendaten
- Datei- und Fotohashes
Diese sind vielleicht nicht das primäre Ziel des Sanktionsscreenings, helfen aber dabei, einen möglichen Treffer in ein reales Fallmuster einzuordnen.
Kann betrugsbezogene Intelligence helfen, bevor Gelder bewegt werden?
Ja. Active Defense extrahiert Krypto-Wallets für BTC, ETH, TRON und SOL aus Live-Chats mit Betrügern und bewertet jedes einzelne. Außerdem wird das, was Betrüger übermitteln, in einen Threat-Intelligence-Feed mit bewerteten Bankdaten, Telefonnummern, Messenger-Konten, Links, Geschenkkarten, Payment-Handles sowie Datei- und Fotohashes umgewandelt. Chats, die einen Indikator, ein wiederverwendetes Foto oder ein weitergeleitetes Konto teilen, werden einem Akteur zugeordnet.
Jeder Kunde erhält seinen eigenen Feed mit STIX-2.1-Export.
Sanktionsscreening funktioniert am besten mit Kontext
Sanktionsscreening ist essenziell, erklärt aber für sich allein nicht das vollständige Betrugsbild. In der Praxis verbinden bessere Prüfungen das Screening-Ergebnis mit Zahlungskontext, Identitätskontext und verknüpften Betrugsindikatoren über verschiedene Kanäle hinweg.
Active Defense gibt Fraud-Teams betrugsbezogene Indikatoren aus laufenden Gesprächen mit Betrügern, darunter bewertete Krypto-Wallets, Bankdaten, Telefonnummern, Messenger-Konten, Links, Geschenkkarten, Payment-Handles sowie Datei- und Fotohashes.
Wenn Sie als Analyst einen aktuellen Blick auf Betrugsmuster und wiederkehrende Infrastruktur wollen, folgen Sie den neuesten Briefings und Berichten.