Zusammenfassung

  • Der Annual Report 2025 der Svea Bank erklärt, alle Sanierungsmaßnahmen aus der AML-Sanktion vom 17. Dezember 2025 seien „completed according to plan“ und von der Internen Revision validiert, mit regelmäßiger Berichterstattung an FI.
  • Die FI-Entscheidung (FI dnr 23-13249) enthielt keine Sanierungsanordnung und keine Meldepflicht; der „Plan“, an dem der Abschluss gemessen wird, ist intern definiert und nie veröffentlicht.
  • Der englische Jahresbericht nennt die Sanktion „a warning and an administrative penalty of SEK 170 million“ — im Widerspruch zur FI-Entscheidung, die nur einen anmärkning verhängte, eine eigene, mildere Sanktionsstufe.
  • Bis Ende September 2026 fehlt jeder regulatorisch bestätigte Abschlussbeleg; die FI-Sanktionsliste 2026 zeigt keine Folgemaßnahme gegen Svea Bank.
  • Der Abuse-Contact des RIPE-Eintrags für 193.105.138.0/24 zeigt unverändert seit dem 31. Oktober 2023 auf eine Verizon-Schweden-Adresse [1][2][3].

Die Entscheidung, die nichts zu reparieren anordnete

FI gab am 17. Dezember 2025 um 08:00 bekannt, dass Svea Bank AB (Org.-Nr. 556158-7634) eine Rüge nach 15 kap. 1 § LBF und eine Verwaltungsstrafe von 170 Mio. SEK nach 15 kap. 7 § LBF erhält [4]. Die Untersuchung (FI dnr 23-13249) deckte den Zeitraum 30. April 2022 bis 1. Mai 2023 ab, beschränkt auf Geschäft mit juristischen Personen, und fand Mängel bei allgemeinen und kundenspezifischen Risikoanalysen, der Identifizierung wirtschaftlich Berechtigter, der Dokumentation von Zweck und Art der Geschäftsbeziehungen sowie der verstärkten Sorgfaltsprüfung — in zwei Fällen mit über einem Jahr Verzögerung [5].

Der operative Teil des Bescheids enthält genau zwei Punkte: Rüge und Strafe. Kein föreläggande, keine Berichtspflicht. Die Strafe wird nach Rechtskraft in Rechnung gestellt; Rechtsmittel gehen binnen drei Wochen an die Förvaltningsrätten i Stockholm [6]. FI urteilte, die Verstöße rechtfertigten weder Lizenzentzug noch eine Verwarnung [4].

Diese Architektur ist entscheidend: Eine Sanktion ohne Sanierungsanordnung setzt keinen regulatorischen Maßstab. Wenn die Bank später „Abgeschlossenheit“ meldet, misst sie an einem selbst geschriebenen Plan.

Die Behauptung der Bank

Svea Bank kommentierte am Entscheidungstag durch CEO Lennart Ågren, sie werde den Bescheid analysieren und verbleibende Maßnahmen umgehend umsetzen; ein Rechtsmittel wurde nicht angekündigt [7]. Der Annual Report 2025 geht weiter: Die Maßnahmen seien von der Internen Revision validiert und FI regelmäßig berichtet worden, und „All measures have now been completed according to plan“ [8]. Der schwedische Jahresabschlussbericht sagt dasselbe: „samtliga åtgärder är stängda enligt plan“ [9].

Drei Merkmale bestimmen das Beweisgewicht. Erstens ist der Plan intern — Meilensteine und Abschlusskriterien wurden nie veröffentlicht. Zweitens ist die Validierung intern: Die Interne Revision sitzt in derselben Konzernstruktur wie die Behauptung; „FI regelmäßig berichtet“ ist ausgehende Offenlegung, kein eingehendes Regulatorbestätigung. Drittens fehlt jede externe Ankerstelle: kein regulatorischer Abschluss, kein externer Prüfbericht, keine entscheidungsgebundene Meilensteinliste [8]; die FI-Sanktionsliste 2026 zeigt die einzige Finanzbranche-Sanktion des Jahres gegen Ikano Bank AB (Rüge plus 140 Mio. SEK), nicht gegen Svea [10].

Die Verwarnung, die keine war

Der englische Annual Report nennt die Sanktion „a warning“ [8]. FI verhängte aber ausdrücklich eine anmärkning, nicht eine varning [4][6] — zwei verschiedene Stufen, und FI begründete gerade, dass die Verstöße keine varning rechtfertigten. Der schwedische Jahresbericht verwendet anmärkning korrekt [9]; die Abweichung liegt in der englischen Fassung. Ob Übersetzungsartefakt oder bewusste Abschwächung, lässt sich aus den Akten nicht entscheiden. Der Test bleibt informativ: Wer den Sanktionsbegriff des Regulators im englischen Referenzdokument falsch wiedergibt, lädt Fragen zur Sorgfalt der übrigen Compliance-Narrative ein.

Was extern verifizierbaren Beleg ausmachen würde

Nichts davon beweist, dass die Sanierung nicht stattfand. Die Behauptung kann wahr sein. Aber ihre Verifizierungsarchitektur ist invertiert: Der Betreiber behauptet, die eigene Revision validiert, und das Regulator-Schweigen ist das einzige externe Signal — und es ist mehrdeutig.

Extern überprüfbar wäre der Beleg, wenn mindestens eine von drei Bedingungen einträte: FI veröffentlicht ein Anerkennungs- oder Abschlussdokument zur Sanierung; ein externer Prüfer attestiert die Maßnahmen gegen veröffentlichte Kriterien; oder die Bank veröffentlicht den Sanierungsplan selbst. Bis Ende September 2026 trifft keine der drei Bedingungen zu.

Eine zweite, operativ sichtbare Oberfläche bewegt sich nicht: Der RIPE-Eintrag für 193.105.138.0/24 (Netname SVEA-EKONOMI-SE, ORG-SBSA5-RIPE „Svea Billing Services AB“, sponsoring LIR ORG-TA44-RIPE, Maintainer SWIPNET-LIR-MNT, zuletzt geändert 2023-10-31) wird über AS211899 (Svea Bank AB) geroutet und zeigt als Abuse-Contact eine Verizon-Schweden-Adresse mit abuse-c AR23510-RIPE [1][2][3]. Unabhängige Mirrors bestätigen die Anzeige. Keine dokumentierte Korrektur dieser Verwahrungslücke wurde gefunden.

Vorherige Berichterstattung und was hier neu ist

Die frühere Berichterstattung dokumentierte die Register-Kette hinter 193.105.138.0/24 und das Fehlen von Follow-up, Berufung oder Sanierungsnachweis. Neu ist die Gegenüberstellung der eigenen Nachsanktions-Aussagen der Bank mit dem Entscheidungstext: die konkrete Diskrepanz „warning“ vs. anmärkning und der strukturelle Befund, dass das Fehlen jedes entscheidungsgebundenen Maßstabs die Abschlussbehauptung formal unverifizierbar macht.

Quellen