Wie KYC- und AML-Systeme online funktionieren

Online sind KYC (Know Your Customer) und AML (Anti-Money Laundering) keine „Formalität“, sondern ein obligatorisches Kontrollsystem: Personalausweis, Risikobewertung des Kunden, kontinuierliche Überwachung von Transaktionen und rechtzeitige Berichte an die Regulierungsbehörde. Ziel ist es, Geldwäsche, Terrorismusfinanzierung, Betrug und das Spielen von Minderjährigen zu verhindern und gleichzeitig eine hohe UX und Datenschutz zu wahren.

1) Was ist KYC und AML - kurz

KYC: Feststellung der Identität und Adresse des Kunden, Überprüfung des Alters/der Rechtsfähigkeit, Erhebung eines PII-Mindestsatzes, Risikobewertung am Eingang und regelmäßige Überprüfung (KYC-Aktualisierung).

AML/CFT: Sanktions- und PEP-Screenings, Erkennung verdächtiger Zahlungsmuster, Limits, manuelle Untersuchungen und Einreichung von STR/SAR (verdächtige Aktivitätsmeldungen).

2) Onboarding: Standard KYC-Flow (5 Schritte)

1. Datenerhebung: Name, Geburtsdatum, Staatsangehörigkeit, Adresse, Kontakte; Einwilligung und Grundlage der Verarbeitung.

2. Dokumente: Foto/Scan-ID (Reisepass/Ausweis/Wasser. ID) + manchmal Adressnachweis (Gebrauchsrechnung/Kontoauszug).

3. Lebendigkeit und Biometrie: Selfie-Video/Foto, Überprüfung der „Lebendigkeit“, Vergleich mit einem Dokument.

4. Validierungen: MRZ, Ablaufdatum, Kontrolle von Fälschungen, Geo-Inkonsistenzen, Altersbarriere.

5. Sanktionen/PEP/Adverse Media: Überprüfung des Kunden und des Begünstigten anhand aktueller Listen und negativer Nachrichten → Risikobewertung.

Ergebnis: approve/reject/manual review. Bei der manuellen Überprüfung geht der Fall in eine spezialisierte Warteschlange mit Checklist und SLA.

3) Kunden-Risiko-Scoring (Customer Risk Rating)

Gebildet aus:

Identifikationsfaktoren: Dokumente und ihre Gültigkeit, nicht übereinstimmende Daten.
Georisk: Land des Wohnsitzes/Quelle der Mittel, sanktionierte Gerichtsbarkeiten.
Verhaltenssignale: Gerät, Proxy/VPN, Übereinstimmungen mit bekannten Betrugsnetzwerken.
Finanzprofil: angegebene Geldquelle, Umsatzlimits, frühe Transaktionen.
Das Scoring unterteilt in Low/Medium/High-Level und legt die KYC-Tiefe (EDD - Advanced Check) und die KYC-Refresh-Frequenz fest.

4) Ongoing Due Diligence: Überwachung nach dem Onboarding

Regelmäßige Revisionen (12-36 Monate oder bei Risikoereignissen).

Permanente Sanktion/PEER-Rescrining bei der Aktualisierung von Listen.

Verhaltensauslöser: Ein-/Auszahlungsspitzen, atypische Zahlungswege, Mehrfachkarten, „Maultiere“, grenzüberschreitende Überweisungen, Nachtspitzen, Kommunikation mit anderen Konten (Graph-Signale).

Fallmanagement: Alerts werden zu Fällen mit Priorität, Checklisten, Noten, Anhängen und Ergebnis (cleared/STR).

5) Transaktionsüberwachung (AML-Regeln & -Modelle)

Schwellenwerte: N Einzahlung/Auszahlung pro Zeitraum, hohe Beträge, häufige Stornierungen, Fragmentierung (structuring).

Routenmuster: schnelles Ein-/Aussteigen, seltene/nicht standardmäßige PSPs, hohe Chargeback-Rate.

Verhaltensbezogene ML: Cluster von Anomalien, Graph-Indikatoren für Multiaccounting/Collusion.

Feinabstimmung (Tuning): TP/FP-Balance (true/false positives), periodisches Backtesting auf historischen Daten.

6) STR/SAR und Interaktion mit dem Regler

Wenn der Fall verdächtig bleibt:

Der Compliance Officer bildet die STR/SAR (Fakten, Betrag, Muster, Teilnehmer, Timeline).
Der Zeitpunkt und das Format des Berichts hängen von der Gerichtsbarkeit ab; Lagerung von Materialien - in einem unveränderlichen Archiv, Zugriff nur durch Rollen.
Der Kunde wird nicht über die Einreichung des Berichts informiert (Tipping-off ist verboten).

7) Integrationen und Architektur (API/Webhooks/Busse)

REST/gRPC für synchrone Abfragen (KYC-Fall erstellen, Ergebnis anfordern, Risikoabfrage erhalten).

Webhooks von KYC/Sanktions-/AML-Anbietern: signierte HMACs, mit Anti-Replay (Timestamp, Nonce), Retrays mit Deduplizierung.

Ereignisbus (Kafka/PubSub): Transaktionen, Statusänderungen, Alerts → SIEM/Fallspeicher.

Idempotenz des Geldes: 'Idempotency-Key', einzigartige' txn _ id', Saga/Kompensation - damit die Wiederholung von Webhooks keine Takes erzeugt.

8) UX und Kampf gegen Frod - wie man kombiniert

Mehrstufig: Grundprüfung am Eingang, erweitert - nur für Risiko/Limit-Upgrade.

Mobile KYC: Kamera, OCR, Autofill, Fortschrittsbalken, verständliche Format- und Zeitvorgaben.

Friktion durch Signal: Verschärfung nur mit Proxy/VPN, ungewöhnlichen Geräten, Übereinstimmungen nach Spalte.

Transparenz: Fall- und ETA-Status in der Schnittstelle, um Support-Tickets zu reduzieren.

9) Datenschutz und Sicherheit (DSGVO/Sicherheit)

Minimierung: Sammeln Sie nur das, was Sie brauchen; verschiedene Grundlagen für PII, KYC-Medien, Transaktionen.

Verschlüsselung: TLS 1. 2+/1. 3; Lagerung von AES-256-GCM; separate Schlüssel und KMS/HSM; begrenzte TTL für KYC-Fotos/Videos.

Zugang: RBAC/ABAC, MFA, Zeitschriften; Just-in-Time hat Recht für Ermittlungen.

Rechtsgrundlage: Vertrag/berechtigtes Interesse/gesetzliche Verpflichtung; DSR-Prozesse (Zugriff/Korrektur/Löschung) und Retentionsrichtlinie.

WORM-Archive für Logs und Untersuchungsmaterial.

10) Lieferanten und Qualität (Vendor Management)

Genauigkeit (Match-Rate) und Verzögerung: CUS Reaktionszeit/Sanktionen ≤ X Sekunden, Genauigkeit liveness → SLO Metriken.

Abdeckung von Ländern/Dokumenten: ID-Validierer nach Region, lokale Adressdatenbanken.

Zuverlässigkeit: Aptime, DR-Pläne, Transparenz bei der Aktualisierung von Sanktionslisten.

Audit und Compliance: ISO 27001, Pen-Test-Berichte, DPIA, Datenverarbeitungsverträge.

Kosten: Modell „pro Validierung“ vs „für erfolgreiche Validierung“, Mengenrabatte.

11) KYC/AML Leistungskennzahlen

KYC Pass-Rate und durchschnittliche Fallzeit (Minuten/Stunden).

False Positive Rate auf Sanktionen/Peer-to-Peer und Transaktionsalarme.

Alert-to-Case Ratio und Anteil der Eskalationen in STR/SAR.

Chargeback Rate/Fraud Rate nach dem Onboarding.

Kosten pro Verifizierung und Anteil der manuellen Revue.

Regulatorische SLAs: Einhaltung von Antwort- und Aufbewahrungsfristen.

12) Typische Fehler

„Wir werden alles sammeln und dann werden wir es herausfinden“. Zusätzliche Daten erhöhen das Risiko und die Kosten.

Einheitliche Grenzwerte für alle Märkte. Das Ignorieren lokaler Regeln führt zu Sperren/Strafen.

Kein Rescrining. Die Sanktionslisten ändern sich täglich.

Fehlende Idempotenz des Geldes. Webhooks-Wiederholungen → doppelte Transaktionen.

Übertreibender WAF/Bot-Check: Bricht den KYC-Download und reduziert die Pass-Rate.

Manuelle Ermittlungen ohne Checklisten: Unterschiedliche Beamte - unterschiedliches Ergebnis, keine Wiederholbarkeit.

13) Implementierungs-Checkliste (speichern)

Grundlegende und erweiterte KYC-Threads, die von SLA und UX verstanden werden
Sanctions/PEP/Adverse media: daily updates, rescrining
Risikobewertung und Eskalationsregeln (EDD, Limits, Refresh)
Transaktionsüberwachung: Schwellenwerte, Szenarien, ML-Signale, Backtesting
API/Webhooks mit HMAC, Anti-Replay, Retrays + Geldidempotenz
KMS/HSM, PII/KYC-Medienverschlüsselung, getrennte Speicher
WORM-Archiv für Cases/Logs, SIEM und Dashboards
Retentionsrichtlinien/DSR, DPIA und Verträge mit Anbietern
STR/SAR und Runbook Incident Reporting
Qualitätsmetriken: Pass-Rate, FP-Rate, TTV KYC, manueller Revue-Anteil

14) Mini-FAQ

KYC = One-Time-Check? Nein, Kunden mit hohem Risiko haben regelmäßige Refresh und laufende Screenings.

Braucht es immer Liveness? Für Märkte mit hoher Betrugsrate - ja; für geringes Risiko kann durch Signal ausgelöst werden.

Wird ML die Regeln ersetzen? Besserer Hybrid: Regeln für Erklärbarkeit und Regulator, ML - um FP zu reduzieren und nicht-triviale Muster zu identifizieren.

Stört KYC die Konvertierung? Flexible Gangart, mobile UX und klare Anforderungen halten die Passrate hoch.

Können Dokumente „nur für den Fall“ aufbewahrt werden? Nein. Retention nach Zweck und Zeitpunkt des Gesetzes, dann Löschung oder Krypto-Löschung.

Effektives KYC/AML online ist die koordinierte Arbeit von Technologie, Prozessen und Menschen: klares Onboarding mit Liveness und Dokumentencheck, ständige Sanktionsprüfungen, intelligente Transaktionsüberwachung, zuverlässiger Kryptoschutz von Daten und transparente Berichterstattung an die Regulierungsbehörde. Mit diesem Ansatz blockiert die Plattform finanzielle und rechtliche Risiken, beschleunigt „saubere“ Kunden und unterstützt das Vertrauen von Nutzern und Partnern.