Die kurze Antwort
Eine einzige amtliche PEP-Liste gibt es nicht. PEP ist eine von der FATF definierte Risikokategorie, kein von einer Behörde veröffentlichtes Personenregister. Jedes abfragbare Verzeichnis ist eine Zusammenstellung, die ein Anbieter oder ein Compliance-Team aus öffentlichen Unterlagen und Offenlegungen erstellt. Dieser Leitfaden erklärt, woher die Daten stammen, warum Quellen voneinander abweichen und wie Sie sinnvoll darin suchen. Im PEP-Compliance-Hub finden Sie die zugehörigen Leitfäden.
Warum es keine einzige amtliche PEP-Liste gibt
Der Begriff beruht auf einer Definition, nicht auf einem Register. Die FATF beschreibt anhand der ausgeübten Funktion, wer als politisch exponierte Person gilt. Jedes Land übernimmt diese Definition anschließend mit eigenen Ausgestaltungen in sein Recht. Verzeichnisse sind zusammengestellte Datenprodukte. Deshalb können zwei Verzeichnisse dieselbe Person unterschiedlich einordnen.
Eine Sanktionsliste ist tatsächlich eine Liste: Eine bestimmte Behörde veröffentlicht Einträge, Ergänzungen und Streichungen. Beim PEP-Status ist das anders. Die FATF-Leitlinien zu PEPs (Empfehlungen 12 und 22) definieren die Risikokategorie anhand der Funktion. Der FATF-Text stellt ausdrücklich klar, dass die Anforderungen präventiver und nicht strafrechtlicher Natur sind und die Einstufung keinen Vorwurf darstellt. Niemand wird so in ein PEP-Register aufgenommen, wie ein Rechtsträger auf eine Sanktionsliste gesetzt wird. Denn ein solches Register und ein entsprechendes Aufnahmeverfahren gibt es nicht.
Die FATF-Leitlinien benennen auch die Grenzen von Datenbanken deutlich. Ein Verzeichnis allein reicht nicht aus, um die PEP-Anforderungen zu erfüllen, und die Standards verpflichten niemanden zu seiner Nutzung. Die Compliance-Verantwortung liegt beim Institut: Die Liste ist eine Grundlage Ihrer Beurteilung, niemals ihr Ersatz. Das erklärt sowohl, warum Anbieter über Qualität statt über amtliche Autorität konkurrieren, als auch, warum Prüfer immer wieder fragen, was Sie nach einem vom Werkzeug gemeldeten Treffer unternommen haben.
Bei den Einzelheiten unterscheiden sich die Jurisdiktionen. Die Europäische Union hat inländische Amtsträger mit ihrer Geldwäscherichtlinie unmittelbar in den Anwendungsbereich einbezogen. Andere Jurisdiktionen konzentrieren sich auf ausländische Amtsträger und behandeln inländische Fälle risikobasiert. Diese nationalen Unterschiede und den Umgang mit den einzelnen Kategorien erläutert der Leitfaden zu PEP-Kategorien und Risikostufen.
Was Sie kaufen oder selbst aufbauen können, ist daher eine Zusammenstellung: Das Redaktionsteam eines Datenanbieters oder Ihre eigenen Analysten tragen Ernennungen, Amtszeiten und familiäre Verbindungen aus öffentlichen Quellen zusammen. Jedes Verzeichnis bildet ab, wie eine Organisation die Definition auslegt. Darin liegt die Ursache der meisten Beschwerden über die Datenqualität.
Die eine amtliche Liste, die es tatsächlich gibt
Es gibt keine amtliche Namensliste. Die EU veröffentlicht jedoch eine amtliche Liste der Funktionen, die als bedeutend gelten. Ihre Richtlinie verpflichtet jeden Mitgliedstaat, die betreffenden öffentlichen Positionen zu benennen. Die Kommission hat diese Angaben in einem veröffentlichten Dokument zusammengeführt. Das kommt einer amtlichen PEP-Quelle am nächsten – aufgeführt werden allerdings Funktionen, keine Personen.
Die EU-Geldwäscherichtlinie verpflichtet jeden Mitgliedstaat festzulegen, welche öffentlichen Funktionen als bedeutend gelten. Die Europäische Kommission hat die Antworten in einer amtlichen Liste der bedeutenden öffentlichen Funktionen zusammengefasst, die im November 2023 veröffentlicht wurde. Auch die FATF-Leitlinien empfehlen Ländern, die erfassten Positionen öffentlich zu machen. Was weder die EU noch die FATF veröffentlicht, ist ein Namensregister. Die Funktionsliste beantwortet deshalb die Frage, welche Ämter zählen; die Zuordnung zu Personen bleibt Aufgabe von Verzeichnissen und Ihrer eigenen Fallbearbeitung.
Woher die Daten tatsächlich stammen, erläutert diese Seite. Die weiteren Leitfäden finden Sie im PEP-Compliance-Hub.
Was eine PEP-Datenbank enthält
Eine PEP-Datenbank erfasst Personen. Nützlich wird sie jedoch erst durch die zugehörigen Identitätsmerkmale: vollständiger Name, Geburtsdatum, Jurisdiktion, Funktion und Amtszeit. Die Abdeckung erstreckt sich auf aktuelle und ehemalige Amtsträger, Familienmitglieder und nahestehende Personen. Die Aufnahmeregeln unterscheiden sich je nach Anbieter, sodass dieselbe Abfrage bei verschiedenen Quellen unterschiedliche Ergebnisse liefern kann.
Erst die Identitätsmerkmale machen eine Datenbank im Alltag brauchbar: Sie unterscheiden Ihren Kunden von allen anderen Menschen mit demselben Namen. Ein Verzeichnis mit ausführlichen Angaben ermöglicht es, einen zunächst beunruhigenden Treffer schnell zu bestätigen oder auszuschließen. Ein Verzeichnis mit spärlichen Angaben macht dagegen jeden häufigen Nachnamen zum Untersuchungsfall. Prüfen Sie bei der Bewertung einer Quelle zuerst die verfügbaren Datenfelder und erst danach die Angaben zur Abdeckung. Die Datenfelder entscheiden darüber, wie viel Arbeitszeit Ihrer Analysten jeder Treffer beansprucht.
Auch der Umfang der Abdeckung variiert. Einige Anbieter führen ehemalige Amtsträger für eine feste risikobasierte Nachlaufphase nach dem Ausscheiden weiter; andere entfernen sie früher. Manche erfassen weit verzweigte Familiennetzwerke, andere beschränken sich auf den Amtsträger. Da sich Amtszeiten und Einträge laufend ändern, ist das heutige Ergebnis nur begrenzt aktuell. Die Akte braucht daher ein Datum für die erneute Prüfung. Wie diese fortlaufende Arbeit geplant wird, erläutert der eigene Leitfaden zum PEP-Monitoring.
Die meisten Probleme mit Fehlalarmen haben hier ihren Ursprung, nicht in Ihrem Prozess. Wenn Suchergebnisse dauerhaft zu viele unzutreffende Treffer liefern, fehlen meist eindeutige Unterscheidungsmerkmale in der Quelle. Das Problem ist dann nicht ein Screening-Programm, das mehr Personal braucht.
So durchsuchen Sie PEP-Listen effektiv
Jede einzelne Quelle hat blinde Flecken. Fundierte Prüfungen gleichen deshalb mehrere Quellen ab. Nutzen Sie Identitätsmerkmale, um die richtige Person von bloßen Namensgleichheiten zu unterscheiden: Geburtsdatum, Jurisdiktion und Amtszeit leisten dabei den größten Beitrag. Bewerten Sie eine Quelle nach Aktualisierungsrhythmus, Unterscheidungsmerkmalen und geografischer Abdeckung statt nach der bloßen Größe.
Die erste gute Gewohnheit ist der Quellenabgleich. Suchen Sie den Namen in mindestens zwei Quellen mit unterschiedlichen Erhebungsmethoden. Eine Person, die in einer auf Ernennungen gestützten Sammlung fehlt, kann in einer nachrichtenbasierten Quelle auftauchen und umgekehrt. Übereinstimmungen schaffen Vertrauen in das Ergebnis.
Die zweite ist die eindeutige Zuordnung. Suchen Sie mit den verfügbaren Merkmalen, nicht nur mit dem Namen. Ergänzen Sie Jurisdiktion und Geburtsdatum, soweit diese vorliegen, und gleichen Sie die Amtszeit mit der Biografie Ihres Kunden ab. Passt die öffentliche Funktion zeitlich und örtlich nicht zum Kunden, handelt es sich wahrscheinlich um eine andere Person.
Die dritte ist die sorgfältige Quellenwahl. Entscheidend ist, wie oft die Daten aktualisiert werden, welche Identitätsmerkmale jeder Eintrag enthält und welche Jurisdiktionen tatsächlich abgedeckt sind. Die reine Zahl der Einträge ist die am wenigsten aussagekräftige Zahl auf der Preisseite eines Anbieters. Eine riesige Liste mit unzureichenden Datenfeldern produziert vor allem unzutreffende Treffer.
Liefert eine Suche ein positives Ergebnis, ist die Prüfung erst zur Hälfte erledigt: Der Treffer muss noch bestätigt, einer Risikostufe zugeordnet und mit einer dokumentierten Entscheidung abgeschlossen werden. Den vollständigen Ablauf beschreibt der Leitfaden dazu, wie Sie eine PEP-Prüfung durchführen.
Was Listen Ihnen nicht sagen können
Eine PEP-Liste beantwortet eine Frage: Fällt eine Person in eine bestimmte Risikokategorie? Sie sagt nichts darüber aus, ob eine konkrete Wallet-Adresse oder ein Transaktionspartner unauffällig ist. Adressrisiken bilden eine eigene Nachweisspur mit eigenen Quellen. Personenbezogene und adressbezogene Prüfungen ergänzen einander; sie ersetzen sich nicht.
Eine PEP-Liste beantwortet die personenbezogene Frage. Die adressbezogene Prüfung liefert eigene Nachweise: Phalcon Compliance prüft die Wallets hinter einer Geschäftsbeziehung und weist unter anderem auf die Risikokategorie sanktionierter Rechtsträger hin.
Die weiteren PEP-Leitfäden, von der Prozessgestaltung bis zur Aufbewahrung von Unterlagen, finden Sie im PEP-Compliance-Hub.