Wie AML und KYC Systeme funktionieren

1) Warum AML und KYC benötigt werden

KYC (Know Your Customer) bestätigt, dass der Kunde eine echte Person mit einer gültigen Identität und Adresse ist.

AML (Anti-Money Laundering) verhindert Geldwäsche, Terrorismusfinanzierung und die Umgehung von Sanktionen.

Bei iGaming ist dies eine Bedingung für Lizenzen, Partnerbanken und Zahlungsanbieter; Nichterfüllung = Geldbußen, Entzug der Lizenz und Sperrung von Zahlungen.

2) KYC-Prozess: vom Onboarding bis zur Zulassung zur Kasse

KYC-Schritte

1. Datenerhebung: Name, Geburtsdatum, Nationalität, Adresse, Dokument (Pass/ID), Selfie/Video-Liveness.

2. Dokumentenprüfung: MRZ/Chip, Anti-Tamper, Ablaufdatum, Selfie-Matching.

3. Adressbestätigung (PoA): Rechnung für Dienstleistungen/Kontoauszug der Bank ≤ 3-6 Monate.

4. Sanktionen und PEP: Screening gegen Sanktionslisten, politisch exponierte Personen und adverse Medien.

5. Lösung: Pass/Fail/Anforderung zusätzlicher Daten; Aufzeichnung des Grundes und der Versionen der Richtlinien.

Mini-Beispiel für eine Verifizierungsanforderung

json
POST /compliance/kyc/verify
{
"customerId": "c_1029",  "doc": {"type":"passport","country":"DE","number":"X1234567","expiry":"2030-04-01"},  "identity": {"firstName":"Alex","lastName":"K. ","dob":"1993-02-11"},  "address": {"line1":"Musterstr. 5","city":"Berlin","zip":"10115","country":"DE"},  "liveness": {"provider":"onfido","sessionId":"sess_9a7f"},  "consent": true
}

3) Sanktionen, PEP und adverse Medien

Sanktionen: direkte Überschneidungen, Aliasüberschneidungen, sekundäre Überschneidungen (Begünstigte).

PEP: aktuelle und ehemalige Positionen + Familienmitglieder/Angehörige.

Adverse Medien: negative Erwähnung von Betrug, Korruption, Gewalt.

Lösung: true/false/needs review mit Priorisierung nach Art der Übereinstimmung und Frische der Quelle.

4) KYT für Kryptowährungen (Know Your Transaction)

Adress-/Transaktions-Screening: Mixer, Darknet-Cluster, Sanktions-/Exchange-Wallets.

Geldquelle Tracing: Der Weg der Münzen zum On-Ramp/Exchange mit KYC.

Regeln: Block von Hochrisikoclustern; Anforderung einer sauberen Adresse; Antrag des SoF/SoW auf Krypto.

Beispiel eines KYT-Ergebnisses

json
{
"address": "0x9a7f...2b1c",  "riskScore": 83,  "flags": ["mixer_proximity","sanctions_cluster_2hops"],  "recommendation": "deny_and_request_clean_address"
}

5) Scoring und Verifizierungsstufen (risikobasierter Ansatz)

Initial Risk Score (IRS) auf Onboarding: Land, Zahlungsmethode, Alter, EVR/Sanktionen, Gerät.

Ongoing Risk Score (ORS) in der Dynamik: Ein-/Auszahlungsvolumen, Häufigkeit, anomale Muster.

Ebenen:

Niedrig - Basis KYC, Standardlimits.
Medium - zusätzliche SoF/PoA, verengte Grenzen.
High/EDD - erweitertes Dokumentenpaket, manuelle Überprüfung, reduzierte Limits/Pause.

6) SoF/SoW und Affordability (im Rahmen der AML)

SoF (Geldquelle): Gehalt, Geschäft, Ersparnisse, Verkauf von Vermögenswerten, Geschenk/Erbe, Krypto (mit sauberem Weg).

SoW (Quelle des Wohlstands): allgemeiner Einkommenskontext.

Affordability: Übereinstimmung der Intensität des Spiels mit den Einnahmen; bei Nichtübereinstimmung - Limits/Pause.

7) Transaktionsüberwachung (TM) und Verhaltensregeln

Typische Szenarien, die die TM-Engine erfasst:

Häufige Einzahlungen und sofortige Auszahlungen (Pass-Through).
Die Aufteilung der Summen um Schwellenwerte (structuring).
Starker Anstieg des durchschnittlichen Tics; Nachtsitzungen mit hoher Geschwindigkeit.
Nichtübereinstimmung des Inhabers des Zahlungsmittels und des Kontos.
Krypta aus „schmutzigen“ Clustern; viele neue Adressen ohne Historie.

Veranstaltung für TM

json
{
"event":"payment. deposit",  "ts":"2025-10-17T12:10:20Z",  "customerId":"c_1029",  "amount":"1000. 00",  "currency":"EUR",  "method":"card",  "country":"DE",  "device":"ios_app",  "traceId":"tr_55f",  "kvc":{"name_on_card_match":true}
}

8) Fallmanagement und Untersuchung

Alert → Case → Decision: Ein Alert wird zu einem Fall zusammengefasst. Auszüge/Dock-Proofs werden hinzugefügt; Die Aktionen und Versionen der Richtlinien ('policyVer') werden aufgezeichnet.

Lösungen: approve/limit/request info/suspend/offboard.

Eskalation: pro Compliance Officer/Anwalt; Das Aktivitätsprotokoll ist unveränderlich (WORM).

SAR/STR: Verdächtiger Bericht an die Regulierungsbehörde nach lokalem Recht.

9) Datenspeicherung, Privatsphäre, Sicherheit

PII-Isolation: separate Speicher und Zugangsschlüssel, Feldminimierung.

Retention: Aufbewahrung N Jahre (nach Gerichtsbarkeit), danach - sichere Entfernung.

Zugriff: RBAC/ABAC, Zugriffsprotokoll, Verschlüsselung (KMS/HSM).

Rechte der betroffenen Person: Zugang/Berichtigung/Einschränkung der Verarbeitung, mit Ausnahme der obligatorischen Löschung durch AML.

10) Metriken und SLO AML/KYC

KYC pass-rate / time-to-verify (p50/p95).

Alert precision/recall (Qualität der TM-Regeln).

Fallschließzeit (MTTC), Anteil der Fälle mit EDD.

SAR/STR Rate und Anteil der bestätigten Vorfälle.

KYT-Abdeckung (welcher% der Kryptodepositen wurde gescreent).

Affordability Interventionen (wie viele Grenzen/pauz).

11) Architektonische Compliance-Muster

Die Compliance-Schicht ist ein separates Modul mit eigener API und Speicher.

Veranstaltungen: 'kyc. started/passed/failed`, `aml. alert/opened/closed`, `payment. deposit/withdrawal`, `kyd. address_screened`.

Idempotenz: Alle Webhooks und Lösungen sind mit 'decisionId', die Wiederholung der Verarbeitung ändert nichts am Ergebnis.

Policy-Versionierung: Jede Berechnung speichert 'policyVer', 'dataVer', 'modelVer' (falls ML vorhanden).

12) Beispiele für Entscheidungen (Richtlinien → Maßnahmen)

json
{
"decisionId":"dec_7f3",  "customerId":"c_1029",  "policy":"aml_v3. 6",  "riskScore":72,  "action":"limit_and_request_sof",  "limits":{"deposit_daily":"200. 00","withdrawal_daily":"0. 00"},  "explanation":["rapid_deposits","new_wallet","country_risk_medium"],  "ttl_days":30
}

13) Rolle von ML/AI und Einschränkungen

Use-cases: Priorisierung von Alerts, Anomalie von Verhaltensmustern, Ranking von Fällen.

Guardrails: Erklärbarkeit, keine Diskriminierung, Mensch-in-Kreislauf; Regeln haben Vorrang vor Modellen für Sanktionen/PEP/EDD.

14) Anti-Muster (das bricht Compliance)

Gleicher Prüfsatz für alle Länder/Methoden (kein risikobasierter Ansatz).

Mischen Sie OLTP-Geld und Compliance-Protokolle in einer Datenbank.

Das Fehlen von Idempotenz auf Cash-Webhooks sind doppelte Lösungen.

„Black Box“ ML ohne Erklärbarkeit und Audit.

Es gibt keine Versionsprotokolle für Richtlinien und Entscheidungsgrundlagen.

Es gibt kein WORM-Archiv und keine Dokumentzugriffskontrolle.

Ignorieren Sie KYT für Krypto und die Inkonsistenz des Namens des Zahlers.

15) AML&KYC Launch/Audit Checkliste

Prozesse

KYC/AML/EDD/Affordability Richtlinien mit 'policyVer' und EOL werden beschrieben.
Regeln für SAR/STR, Eskalation und Interaktion mit der Regulierungsbehörde/Bank.

Technologien

Separates Compliance-Modul: API, Schaufenster, WORM-Archiv.
Veranstaltungen und idempotente Webhooks; Ende „traceId“.

KYC/KYT

KYC (liveness, doc-scan) Provider sind integriert; Der PoA-Fluss ist klar.
KYT ist für alle Krypto-Operationen verbunden; Stopplisten und „saubere Adressen“.

Monitoring

TM-Regeln und ML-Signale; Dashboards SLO/Alert-Qualität.
QS-Fälle: selektive Neubewertung, Teamtraining.

Privatsphäre

PII-Isolation, Verschlüsselung, rollenbasierter Zugriff, Retention, DSGVO/lokale Normen.

16) Memo an den Spieler (wie man KYC/AML schneller passiert)

Bereiten Sie klare Fotos von Dokumenten und frischen Proof of Address vor.

Verwenden Sie Ihre eigenen Karten/Geldbörsen; Der Name muss übereinstimmen.

Bei hohen Beträgen - Kontoauszüge und SoF vorher aufbewahren.

Für Krypto - Übersetzen Sie von einer sauberen Adresse, speichern Sie Tx-hash und einen On-Ramp/Exchange-Bericht.

AML/KYC-Systeme sind keine Formalität, sondern ein Arbeitskreis zum Schutz des Betreibers und der Spieler. Es basiert auf Identitäts- und Adressüberprüfung, Sanktions-/Peer-Screening, risikobasierter Transaktionsüberwachung, KYT für Krypto, Fallmanagement und dokumentierter Berichterstattung. Technisch ist es ein eigenständiges Modul mit Events, idempotenten Lösungen, WORM-Archiv und strikter Privatsphäre. Dieser Ansatz reduziert regulatorische und Zahlungsrisiken, beschleunigt legale Auszahlungen und unterstützt verantwortungsvolles Spielen.