On-Premises-AML-Software

On-Premises-AML-Software ist Screening zur Geldwäscheprävention, das in der eigenen oder einer dedizierten Umgebung eines Unternehmens betrieben wird, statt als geteilter Dienst bezogen zu werden, den der Anbieter hostet und betreibt. Die Prüfungen sind dieselben — Sanktionen, politisch exponierte Personen (PEP), Adverse Media und Wallets — doch die Software und vor allem die Screening-Daten des Unternehmens laufen in einer Umgebung, die das Unternehmen kontrolliert, und nicht in einer Multi-Tenant-Plattform, die mit anderen Kunden geteilt wird.

Für die meisten regulierten Unternehmen ist dieses Bereitstellungsmodell keine technische Randnotiz. Es entscheidet, wo Kundendaten und Screening-Nachweise physisch liegen, wer die Umgebung betreibt, die sie hält, und wie stark diese Umgebung von anderen Tenants getrennt ist. Eine Krypto-Börse, ein E-Geld-Emittent oder ein Zahlungsunternehmen mit Anforderungen an die Datenresidenz, mit Single-Tenant-Vorgaben oder mit strengen internen Aufsichtserwartungen trifft eine echte Architekturentscheidung, wenn es eine On-Premises- oder dedizierte Bereitstellung gegen eine gehostete abwägt.

Dieser Beitrag erläutert, was On-Premises-AML-Software ist, warum Unternehmen sie in Betracht ziehen, was sie im Gegenzug verlangt, wie sich gehostete, dedizierte und On-Premises-Bereitstellungen vergleichen, wo die Entscheidung in einer regulierten Plattform liegt und wo die Grenzen verlaufen.

Was On-Premises-AML-Software ist

On-Premises-AML-Software beschreibt ein Bereitstellungsmodell, keine andere Art der Prüfung. Die Screening-Logik — der Abgleich einer Person, eines Unternehmens oder einer Blockchain-Adresse mit Sanktions-, PEP-, Adverse-Media- und Wallet-Risikodaten — verhält sich gleich, wo immer sie läuft. Was sich ändert, ist der Ort, an dem sie läuft, und wer die Umgebung und die darin liegenden Daten kontrolliert.

Drei Ausprägungen lohnen die Unterscheidung. Ein gehosteter Multi-Tenant-Dienst wird vollständig vom Anbieter betrieben, wobei die Daten mehrerer Kunden in einer geteilten Plattform liegen. Eine dedizierte Single-Tenant-Bereitstellung gibt einem Unternehmen eine eigene, isolierte Instanz samt Speicher, gleichviel ob der Anbieter oder das Unternehmen sie betreibt. Eine On-Premises-Bereitstellung platziert die Software und ihre Daten in der eigenen Infrastruktur des Unternehmens, in einer Umgebung, die das Unternehmen unmittelbar betreibt. Entscheidend ist die Linie aus Isolation und Kontrolle: wie getrennt die Daten des Unternehmens von denen anderer sind und wer die Schlüssel zur Umgebung hält, die sie speichert.

Eine Nuance prägt alles Weitere. AML-Screening ist auf externe Referenzdaten angewiesen — Sanktionslistungen, PEP-Einträge und Adverse-Media-Quellen, die sich von einem Tag auf den anderen ändern. Deshalb bedeutet eine On-Premises-Bereitstellung selten eine vollständig getrennte; die Referenzdaten müssen die Umgebung weiterhin erreichen und aktuell bleiben. On-Premises beschreibt, wo die eigenen Daten des Unternehmens und das Screening laufen, nicht die Zusage, dass die Prüfung nichts von außen benötigt.

Warum Unternehmen On-Premises-Bereitstellung in Betracht ziehen

Der klarste Treiber ist die Datenresidenz. Screening verarbeitet identifizierende Angaben zu Kunden und erzeugt Nachweise, die ein Unternehmen aufbewahren muss, und manche Unternehmen sind — durch Regulierung, interne Vorgaben oder ein Kundenmandat — verpflichtet, diese Daten innerhalb einer bestimmten Jurisdiktion oder in der eigenen Umgebung zu halten. Eine Bereitstellung, die die Daten an einem kontrollierten Ort hält, erfüllt diese Anforderung unmittelbar, während ein geteilter gehosteter Dienst dies möglicherweise nicht tut.

Kontrolle und Isolation sind die nächsten Gründe. Eine Single-Tenant- oder On-Premises-Anordnung bedeutet, dass die Screening-Daten des Unternehmens nicht mit den Daten anderer Kunden zusammenliegen und dass das Unternehmen unmittelbare Aufsicht über die Umgebung hat, die sie hält. Für ein Institut, das einer Aufsicht genau nachweisen muss, wo regulierte Daten liegen und wer sie erreichen kann, ist diese Unmittelbarkeit leichter zu belegen als eine geteilte Plattform.

Drittanbieter- und Technologierisiko ist der dritte Grund. Erwartungen an die operationelle Resilienz verlangen von regulierten Unternehmen heute, ihre Abhängigkeit von Technologieanbietern zu steuern und zu wissen — und festzuhalten —, wo ihre Daten liegen und wie ein Anbieter beaufsichtigt wird. Eine dedizierte oder On-Premises-Bereitstellung verändert die Gestalt dieser Abhängigkeit: Sie verringert die Exposition gegenüber einer geteilten Plattform und verlagert zugleich mehr von der Umgebung in die eigene Kontrolle und die eigenen Resilienzvorkehrungen des Unternehmens. Sie liegt zudem näher an den internen Systemen, was die Integration mit den Plattformen erleichtern kann, neben denen AML-Screening ohnehin läuft.

Was On-Premises-Bereitstellung im Gegenzug verlangt

Kontrolle hat ihren Preis in Verantwortung. Bei einem gehosteten Dienst hält der Anbieter die Plattform gepatcht, die Infrastruktur am Laufen und — entscheidend — die Referenzdaten aktuell. Verlagert man die Bereitstellung in eine dedizierte oder On-Premises-Umgebung, wird mehr dieser operativen Arbeit zur eigenen: die Umgebung betreiben und patchen, ihre Verfügbarkeit und Wiederherstellung steuern und die Menschen bereitstellen, die sie gesund halten.

Die Referenzdaten verdienen besondere Aufmerksamkeit. Sanktions- und PEP-Listen ändern sich häufig, und eine Screening-Prüfung ist nur so gut wie die Daten dahinter; eine Liste, die veraltet ist, ist ein Kontrollversagen, kein kleiner Fehltritt. Eine Bereitstellung, die die Umgebung isoliert, muss aktualisierte Listungen dennoch zuverlässig und rechtzeitig in sie hineinbringen. Die Pflicht, gegen aktuelle Daten zu prüfen, wird nicht milder, weil die Software auf der eigenen Infrastruktur läuft — wenn überhaupt, übernimmt das Unternehmen mehr Verantwortung dafür.

Upgrades und Veränderung folgen demselben Muster. Neue Fähigkeiten, Korrekturen und Änderungen an Datenquellen, die ein gehosteter Dienst zentral einspielt, müssen für eine dedizierte oder On-Premises-Bereitstellung geplant und in einem vom Unternehmen gesteuerten Takt angewendet werden. Nichts davon spricht gegen eine On-Premises-Bereitstellung; es benennt ihren ehrlichen Preis. Das Modell passt zu Unternehmen, die die Kontrolle brauchen und bereit sind, die operative Verantwortung zu tragen, die damit einhergeht.

Hosted, Dedicated und On-Premises im Vergleich

Die drei Modelle beantworten dieselben Fragen unterschiedlich. Sie nebeneinanderzustellen macht den Zielkonflikt greifbar: Je isolierter und stärker vom Unternehmen kontrolliert die Bereitstellung, desto mehr operative Verantwortung wandert vom Anbieter zum Unternehmen.

Keine Zeile macht ein Modell für sich genommen richtig. Ein Unternehmen liest die Tabelle gegen die eigenen Pflichten: wo regulierte Daten liegen müssen, wie viel Isolation es nachweisen können muss und wie viel operative Verantwortung es realistisch tragen kann.

Wo die Bereitstellungsentscheidung liegt

Bereitstellung ist eine von der Fähigkeit getrennte Entscheidung. Die Prüfungen, die eine Plattform durchführt — und die Art, wie sie aufgerufen werden, ob über eine API auf dem kritischen Pfad oder ein Panel zur Prüfung —, sind dieselben, ob das Screening in einem gehosteten Dienst oder in der eigenen Umgebung des Unternehmens läuft. Ein Unternehmen kann AML-Screening in seine Onboarding- und Überwachungsabläufe integrieren und dann getrennt entscheiden, wo dieses Screening bereitgestellt wird.

Grumpio liefert Screening über Legichain, sein AML- und KYC-Produkt, das mit On-Premises- oder Dedicated-Storage bereitgestellt werden kann, sodass die Screening-Datensätze, Ergebnisse und Nachweise eines Unternehmens in einer kontrollierten Single-Tenant-Umgebung liegen statt in einer geteilten. Legichain umfasst Personen- und Unternehmensprüfung gegen Sanktions- und PEP-Daten, Adverse-Media-Screening und Multi-Blockchain-Wallet-Risikoprüfung, geliefert als automatisiertes API-Ergebnis mit Risk-Score und PDF-Nachweisbericht und verfügbar über eine API und ein Web-Panel, die auf einen einzigen Kredit-Pool zurückgreifen. Preise und Produktdetails sind auf der Legichain-Website veröffentlicht. Eine Unternehmensprüfung auf diese Weise ersetzt keine vollständige KYB-Verifizierung, und kein Datenbestand bildet jede Partei in jeder Jurisdiktion lückenlos ab.

Welche Unternehmen zu einer dedizierten oder On-Premises-Bereitstellung greifen, ist meist absehbar: jene mit Anforderungen an die Datenresidenz, Single-Tenant-Vorgaben oder Richtlinien zum Eigenbetrieb, die ein geteilter Dienst nicht erfüllt. Für die meisten anderen ist eine gehostete Bereitstellung die verhältnismäßige Wahl. Die Frage als Architekturentscheidung zu behandeln — und das Bereitstellungsmodell an die tatsächlichen Pflichten des Unternehmens statt an eine Voreinstellung zu binden —, bewahrt sie davor, später zu einer teuren Annahme zu werden.

Umfang und Grenzen

Das Bereitstellungsmodell ändert nicht, wer die Compliance-Entscheidung trägt. Wo immer die Software läuft, ist ein Treffer ein Signal, das das Unternehmen bewertet, und kein Urteil, das die Software fällt; die Prüfung jedes Hinweises und der Nachweis, der sie stützt, gehören dem regulierten Unternehmen. Eine On-Premises-Bereitstellung ändert, wo die Daten liegen und wer die Umgebung betreibt; sie verlagert die Entscheidung nicht auf den Anbieter.

Sie macht ein Unternehmen auch nicht für sich genommen konform oder sicher. Daten an einem bestimmten Ort zu halten, ist ein Beitrag zu einer Datenschutz- und Resilienzhaltung, nicht Compliance an sich; eine kontrollierte Umgebung muss dennoch gut betrieben, aktuell gehalten und belegt werden. Wie eine Bereitstellung tatsächlich aufgebaut und gepflegt wird — die Topologie, die Art, wie Referenzdaten aktualisiert werden, Patching, Schlüsselverwaltung und Wiederherstellung —, liegt in der eigenen Gestaltungsverantwortung des Unternehmens und fällt nicht unter eine allgemeine Darstellung wie diese. Wir erstellen keine Rechtsgutachten und garantieren keine Zulassung. Wir setzen regulatorische und prüfungsbezogene Anforderungen in Technologie, Infrastruktur und Betrieb um.

Zusammenfassung und nächste Schritte

On-Premises-AML-Software ist eine Entscheidung über die Bereitstellung, nicht darüber, was geprüft wird. Sie entscheidet, wo die Screening-Daten und Nachweise eines Unternehmens liegen, wie isoliert die Umgebung ist und wer sie betreibt — während die Prüfungen auf Sanktionen, PEP, Adverse Media und Wallets selbst dieselben bleiben. Ihr Reiz sind Kontrolle und Datenresidenz; ihr Preis ist operative Verantwortung, einschließlich der dauerhaften Pflicht, die Referenzdaten aktuell zu halten, wo immer die Software läuft.

Gut zu wählen bedeutet, die tatsächlichen Pflichten des Unternehmens zu lesen — wo regulierte Daten liegen müssen, wie viel Isolation es nachweisen muss, wie viel Betriebslast es tragen kann — und das Bereitstellungsmodell daran zu binden statt an eine Gewohnheit. Dies bewusst zu entscheiden, als Teil der regulatorischen Bereitschaft und nicht später unter aufsichtlichem Druck, macht aus einer Hosting-Frage eine belastbare Architekturposition.