KYC-Automatisierung in Deutschland: Innovation und BaFin-Erwartungen in Einklang bringen

Die Kundenidentifizierung und -verifizierung – Know Your Customer (KYC) – bleibt eine der operativ aufwendigsten Pflichten für Finanzinstitute in Deutschland. Nach dem Geldwäschegesetz (GwG), das die EU-Geldwäscherichtlinien in deutsches Recht umsetzt, müssen Verpflichtete die Identität ihrer Kunden vor Begründung einer Geschäftsbeziehung feststellen und überprüfen. Die Herausforderung für Fintech-Unternehmen besteht darin, dies skalierbar zu bewerkstelligen, ohne die Nutzererfahrung zu beeinträchtigen oder hinter den aufsichtlichen Erwartungen der BaFin zurückzubleiben.

Die Spannung zwischen Onboarding-Geschwindigkeit und Compliance-Strenge hat sich verschärft, da digitale Geschäftsmodelle das Zeitbudget für die Kundenverifikation von Stunden oder Tagen auf wenige Minuten komprimieren. Eine durchdachte KYC-Architektur ist heute keine nachgelagerte Betriebsfunktion mehr, sondern eine strategische Funktion, die Konversionsraten, Kostenstrukturen und aufsichtliches Standing gleichzeitig prägt.

Der Rechtsrahmen für die Identitätsverifikation

§ 10 GwG legt die allgemeinen Kundensorgfaltspflichten fest. Bei natürlichen Personen erfordert dies die Erhebung von Name, Geburtstag und -ort, Staatsangehörigkeit und Wohnanschrift, verifiziert anhand eines gültigen Identifikationsdokuments. Bei juristischen Personen müssen Unternehmen die Firma, die Rechtsform, die Registerdaten, die Vertreter und die wirtschaftlich Berechtigten feststellen. Die entscheidende Frage für digitale Geschäftsmodelle ist, wie diese Verifikationsschritte aus der Ferne durchgeführt werden können, ohne die Integrität des Prozesses zu kompromittieren.

Zentrale Sorgfaltspflichten nach dem GwG

§ 10 GwG bildet zusammen mit § 11 zur Identifizierung und § 11a zur Verarbeitung personenbezogener Daten das Rückgrat der laufenden Kundensorgfalt. § 12 benennt die zulässigen Quellen und Dokumente für die Identifizierung, und § 15 zählt die Umstände auf, unter denen verstärkte Sorgfaltspflichten (EDD) zwingend sind. Das BaFin-Rundschreiben 3/2017 (GW), das die Regelung von 2014 ablöste, bildet bis heute den Rahmen für die Videoidentifizierung: ein Echtzeit-Videogespräch mit geschulten Mitarbeitern unter detaillierten Verfahrensanforderungen einschließlich Prüfung der Sicherheitsmerkmale des Dokuments, Abgleich von Person und Lichtbild und Aufzeichnung der Sitzung.

Die Technik hat sich seither schneller entwickelt als der Rechtsrahmen. Als Fernverfahren ohne Ausweis-Chip oder Signatur lässt die BaFin bislang nur die Videoidentifizierung nach dem Rundschreiben 3/2017 (GW) zu, die geschulte Mitarbeiter in Echtzeit durchführen müssen; eine Verordnung nach § 13 Abs. 2 GwG, die weitere Verfahren bestimmt, ist bislang nicht erlassen. Vollautomatische Verfahren werden in Deutschland deshalb vor allem auf dem Weg über die qualifizierte elektronische Signatur mit Referenzüberweisung genutzt (§ 12 Abs. 1 GwG). Die eIDAS-Verordnung (Verordnung (EU) Nr. 910/2014) bietet eine zusätzliche Rechtsgrundlage, wobei notifizierte elektronische Identifizierungssysteme – wie die eID-Funktion des deutschen Personalausweises – als gültige Mittel der Identitätsverifikation anerkannt sind. Der aktualisierte Rahmen eIDAS 2.0 (Verordnung (EU) 2024/1183) etabliert die European Digital Identity Wallet, die die Identifizierungsinfrastruktur für DACH-Fintechs in den kommenden Jahren wesentlich prägen dürfte.

Fünf Identifizierungsmethoden in der Praxis

Mehrere automatisierte oder halbautomatisierte Ansätze befinden sich im operativen Einsatz auf dem deutschen Markt. Jeder bringt ein eigenes Risiko- und Sicherheitsprofil mit, und die Eignung einer Methode hängt von der Risikoklasse des Kunden, dem Produkttyp und der Gesamt-Compliance-Architektur ab:

• Video-Ident mit Agent: Die etablierte BaFin-anerkannte Methode. Ein geschulter Agent führt den Kunden durch eine Echtzeit-Videositzung, prüft das Identifikationsdokument und dessen Sicherheitsmerkmale unter kontrollierten Lichtverhältnissen und gleicht die Person mit dem Lichtbild ab. Zuverlässig und aufsichtlich gut verstanden, aber ressourcenintensiv und kapazitätsbegrenzt in Spitzenzeiten.
• Auto-Ident (automatisiertes Video): Voll- oder teilautomatisierte Verfahren unter Einsatz von Machine-Learning-basierter Dokumentenerkennung und biometrischem Abgleich. Das Identifikationsdokument wird gescannt und anhand von Sicherheitsmerkmalen verifiziert – Hologramme, Mikroschrift, UV-Elemente und die maschinenlesbare Zone (MRZ) – während Gesichtserkennungstechnologie das Live-Bild mit dem Dokumentenfoto vergleicht, oft unterstützt durch Liveness-Detection-Algorithmen. Als eigenständiges Verfahren ist es für Verpflichtete nach dem GwG bislang nicht anerkannt; in der Praxis wird es deshalb mit einer qualifizierten elektronischen Signatur und einer Referenzüberweisung kombiniert.
• eID-Verifikation: Nutzung der elektronischen Identifikationsfunktion des deutschen Personalausweises. Dies bietet ein hohes Sicherheitsniveau und ist sowohl nach eIDAS als auch nach dem GwG ausdrücklich anerkannt. Die Nutzung durch Endanwender war historisch begrenzt, doch die künftige EU Digital Identity Wallet nach eIDAS 2.0 dürfte diese Entwicklung verändern.
• Bank-Ident (Money-Transfer-Verfahren): Nutzung eines bestehenden verifizierten Bankkontos als Proxy für die Identitätsverifikation, typischerweise durch eine Kleinstbetragsreferenzüberweisung. Diese Methode nutzt die vom referenzierenden Institut bereits durchgeführte KYC. Als alleiniges Verfahren kommt sie nur bei vereinfachten Sorgfaltspflichten in Betracht (§ 14 Abs. 2 GwG); im Regelfall ist die Referenzüberweisung der gesetzlich vorgeschriebene zweite Baustein der Identifizierung per qualifizierter elektronischer Signatur.
• Qualifizierte elektronische Signaturen (QES): Unter eIDAS hat eine qualifizierte elektronische Signatur die rechtliche Äquivalenz einer handschriftlichen Unterschrift und bietet starke Identitätsgewähr. Das GwG erkennt sie als Mittel der Identitätsprüfung an, wenn der Verpflichtete die Signatur validiert und zusätzlich sicherstellt, dass eine Transaktion von einem Zahlungskonto erfolgt, das auf den Namen des Kunden lautet (§ 12 Abs. 1 GwG).

Der biometrische Extraktionsprozess im Detail

Die automatisierte Identifikation beruht auf einer Sequenz technischer Operationen, die Aufsichtsbehörden sowohl einzeln als auch im Zusammenspiel prüfen. Der Prozess beginnt typischerweise mit einer Dokumentenaufnahme, bei der der Kunde beide Seiten des Identifikationsdokuments mit einem Mobilgerät fotografiert. Computer-Vision-Modelle extrahieren anschließend die Textfelder – die MRZ, die visuelle Inspektionszone und sekundäre Datenelemente – und prüfen die Werte auf interne Konsistenz.

Eine zweite Ebene verifiziert die physische Authentizität des Dokuments. Dies umfasst die Erkennung bekannter Sicherheitsmerkmale – die diffraktiven optisch variablen Bildelemente moderner Personalausweise, das lasergravierte Lichtbild, das sekundäre Geisterbild und Ultraviolettmerkmale, die nur unter spezifischer Beleuchtung sichtbar werden. Gefälschte Dokumente scheitern häufig an diesen Prüfungen, weil die Reproduktion echter optischer Sicherheitselemente deutlich schwerer ist als die Nachbildung des gedruckten Layouts.

Die biometrische Ebene vergleicht das Dokumentenfoto mit einem Live-Selfie oder Videostream. Liveness-Erkennung ist hier entscheidend: Das System muss bestätigen, dass das Live-Bild in Echtzeit von einer realen Person erfasst wird – nicht von einem Foto, einer Videoaufnahme oder einem künstlich erzeugten Gesicht. Marktübliche Systeme setzen typischerweise aktive Liveness-Challenges ein – Kopfbewegungen oder Blinzeln – kombiniert mit passiven Liveness-Signalen aus Texturanalyse, Tiefenschätzung und Reflexionsmustern.

Machine Learning, DORA und die MaRisk

Wo Machine-Learning-Modelle Identifikationsentscheidungen steuern, gehören sie zur IKT-Landschaft des Unternehmens. Deren Risikomanagement richtet sich seit dem 17. Januar 2025 für Kreditinstitute, Zahlungs- und E-Geld-Institute und Kryptowerte-Dienstleister nach der Verordnung (EU) 2022/2554 (DORA); die früheren BaFin-Rundschreiben BAIT und ZAIT gelten für diese Unternehmen nicht mehr. Der Lebenszyklus der Modelle – Entwicklung, Validierung, Einsatz, Monitoring und Außerbetriebnahme – muss dokumentiert und gesteuert sein.

Das Modellrisikomanagement nach den MaRisk verlangt, dass Unternehmen die Annahmen und Grenzen der eingesetzten Machine-Learning-Systeme verstehen. Dies umfasst Performance-Monitoring über demografische Gruppen, Bias-Tests, Drift-Erkennung und Verfahren für Retraining, wenn die Leistung nachlässt. Der EU AI Act fügt eine weitere Ebene hinzu, allerdings eine engere als oft angenommen: Die biometrische Verifizierung, die nur bestätigt, dass eine Person die ist, für die sie sich ausgibt, nimmt Anhang III ausdrücklich von den Hochrisiko-Systemen aus. Hochriskant wird eine Strecke, wenn sie zugleich die Kreditwürdigkeit natürlicher Personen bewertet; dann greifen Anforderungen an Risikomanagement, Daten-Governance, Transparenz und menschliche Aufsicht.

Transparenzpflichten nach Art. 50 AI Act

Art. 50 des EU AI Act, anwendbar ab dem 2. August 2026, verlangt, dass Menschen erfahren, wenn sie mit einem KI-System interagieren. Die Pflicht, automatisierte Entscheidungen verständlich zu machen und eine menschliche Überprüfung zu ermöglichen, folgt dagegen aus dem Datenschutzrecht (Art. 13 bis 15 und 22 DSGVO) und, bei Hochrisiko-Systemen, aus Art. 86 des AI Act. Unternehmen sollten deshalb den automatisierten Schritt offenlegen und Pfade für menschliche Überprüfung klar kommunizieren – besonders bei ablehnenden Entscheidungen.

Datenschutz: DSGVO, BDSG und DSFA-Anforderungen

Jedes KYC-Automatisierungssystem muss innerhalb der Vorgaben der Datenschutz-Grundverordnung (DSGVO) und des deutschen Bundesdatenschutzgesetzes (BDSG) operieren. Biometrische Daten – einschließlich Gesichtsbildern für Vergleichszwecke – stellen besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO dar und erfordern eine ausdrückliche Einwilligung oder eine andere gültige Rechtsgrundlage für die Verarbeitung. Art. 22 DSGVO, der die automatisierte Entscheidungsfindung im Einzelfall regelt, ist ebenfalls relevant, wenn KYC-Ergebnisse ohne bedeutsames menschliches Eingreifen bestimmt werden.

Unternehmen müssen eine Datenschutz-Folgenabschätzung (DSFA) für automatisierte KYC-Systeme durchführen. Eine DSFA sollte den Verarbeitungszweck, die betroffenen Datenkategorien, die Erforderlichkeit und Verhältnismäßigkeit der Verarbeitung sowie die Maßnahmen zur Adressierung identifizierter Risiken dokumentieren. Die Datenschutzaufsicht muss konsultiert werden, wenn das Restrisiko trotz Maßnahmen hoch bleibt. Übermittlungen biometrischer Daten an Auftragsverarbeiter außerhalb der EU/EWR erfordern besondere Sorgfalt im Rahmen von Schrems II.

Aufbewahrung, Dokumentation und Löschung

Aufbewahrungsfristen müssen konkurrierende Pflichten erfüllen. § 8 Abs. 4 GwG verlangt, die Aufzeichnungen fünf Jahre aufzubewahren, gerechnet ab dem Schluss des Kalenderjahres, in dem die Geschäftsbeziehung endet, soweit kein anderes Gesetz eine längere Frist vorsieht; spätestens nach zehn Jahren sind sie zu vernichten. Steuerrechtliche Pflichten nach der Abgabenordnung können diese Frist ausdehnen. Gleichzeitig verlangt der Grundsatz der Datenminimierung der DSGVO, dass Daten gelöscht werden, sobald die Rechtsgrundlage entfallen ist. Ein strukturierter Löschplan mit automatisierten Löschworkflows ist der einzige gangbare Weg, diese Pflichten im Betrieb in Einklang zu bringen.

Auslöser verstärkter Sorgfaltspflichten nach § 15 GwG

§ 15 GwG zählt Umstände auf, die verstärkte Sorgfaltspflichten auslösen – darunter Geschäftsbeziehungen mit politisch exponierten Personen (PEPs), Kunden aus von der EU-Kommission als hochrisikoreich eingestuften Jurisdiktionen, Beziehungen mit ungewöhnlich komplexen Strukturen und Transaktionen ohne erkennbaren wirtschaftlichen oder rechtmäßigen Zweck. Für automatisierte KYC-Systeme bedeutet dies, dass die Identifikations-Pipeline in der Lage sein muss, solche Szenarien zu markieren und in eine verstärkte Prüfung zu routen.

PEP-Screening kombiniert typischerweise kommerzielle Listendaten mit öffentlichen Quellen und muss so gestaltet sein, dass es Fehlalarme bewältigt, ohne für reguläre Kunden inakzeptable Reibung zu erzeugen. Sanktions-Screening auf Basis von EU-, UN-, OFAC- und nationalen Listen läuft parallel. Beide Prozesse sollten regelmäßig kalibriert werden, um Listenaktualisierungen, das Tuning der Fuzzy-Matches und sich ändernde Risikotypologien abzubilden.

Laufende Überwachung und Transaktionsmonitoring

Die Identifizierung beim Onboarding ist nur der Ausgangspunkt. § 10 GwG sieht auch laufende Überwachungspflichten über die gesamte Geschäftsbeziehung vor. Unternehmen müssen Kundendaten aktuell halten, Risikoklassifizierungen periodisch überprüfen und Transaktionen auf Muster überwachen, die mit dem bekannten Kundenprofil nicht vereinbar sind. Transaktionsmonitoring-Systeme erzeugen Alarme, die triagiert, untersucht und – wo angemessen – als Verdachtsmeldung an die Zentralstelle für Finanztransaktionsuntersuchungen (FIU) eskaliert werden müssen.

Die zentrale Design-Herausforderung des automatisierten Monitorings ist die Festlegung von Schwellenwerten und Szenarien, die tatsächlich verdächtiges Verhalten erfassen, ohne Compliance-Teams mit Fehlalarmen zu überfluten. Gut kalibrierte Systeme kombinieren regelbasierte Trigger mit statistischen Baselines, die für jedes Kundensegment, jeden Anwendungsfall und jeden Produkttyp spezifisch sind. Rückstände in der Alarmbearbeitung sind ein häufiger aufsichtlicher Punkt: Wachsen sie unkontrolliert, deutet dies entweder auf unterbesetzte Ermittlungsteams oder auf schlecht kalibrierte Erkennungslogik hin. Aufsichtsbehörden erwarten, dass Unternehmen Alter und Durchsatz von Alarmen messen, berichten und aktiv steuern.

Die Verbindung zwischen Onboarding und Monitoring

Ein häufiger architektonischer Fehler besteht darin, Onboarding-KYC und laufendes Monitoring als getrennte Systeme zu betrachten. In einer reifen Architektur fließen die beim Onboarding erhobenen Daten – einschließlich des deklarierten Kontozwecks, der erwarteten Transaktionsvolumina und des Kundensegments – unmittelbar in die Monitoring-Ebene als Baseline für den Vergleich künftiger Aktivitäten ein. Veränderungen dieser Baseline während der Beziehung (etwa eine deutliche Änderung der deklarierten Einkommensverhältnisse, eine neue PEP-Einstufung oder Exposition gegenüber einer neu sanktionierten Jurisdiktion) sollten automatisch eine Neubewertung der Kundenrisikoklasse auslösen.

KYC-Anbieterarchetypen und die Make-or-Buy-Entscheidung

Die meisten Fintechs werden sich für Teile ihres KYC-Stacks auf einen oder mehrere externe Anbieter stützen, statt jede Schicht intern zu bauen. Die Anbieterlandschaft lässt sich anhand weniger Archetypen beschreiben, jeder mit eigenen Stärken und Kompromissen:

• Full-Stack-Identitätsanbieter, die eine End-to-End-Orchestrierung liefern: Dokumentenaufnahme, Verifikation, biometrischer Abgleich, Liveness und teils Sanktions- und PEP-Screening über eine einzige Integration. Sie sind schnell einsetzbar, können aber zu Lock-in führen und bieten nicht immer die schichtweise Transparenz, die Aufsichtsbehörden erwarten.
• Spezialisierte Liveness- und Anti-Spoofing-Anbieter mit Fokus auf der biometrischen Ebene. Diese Anbieter bieten oft besseren Schutz gegen fortgeschrittene Präsentationsangriffe und Deepfakes als generalistische Werkzeuge, müssen aber mit separaten Dokumentenverifikationskomponenten integriert werden.
• Screening- und Watchlist-Anbieter, die PEP-, Sanktions- und Adverse-Media-Daten aus mehreren Quellen bündeln. Sie werden in der Regel per API integriert und vom Orchestrierungslayer des Unternehmens oder einem Full-Stack-Anbieter konsumiert.
• Identitätsorchestrierungs-Plattformen, die Kunden je nach Risikoklasse, Geografie oder Produkt durch unterschiedliche Verifikationspfade routen. Sie führen die eigentliche Verifikation meist nicht selbst durch, sondern koordinieren Drittanbieter-Komponenten.

Die Make-or-Buy-Entscheidung ist nicht binär. Die meisten Unternehmen landen bei einem hybriden Modell: Anbieter für commoditisierte Funktionen (Dokumenten-OCR, einfaches Sanktions-Screening), interne Kontrolle über Orchestrierung, Entscheidungslogik und Audit. Die entscheidende Disziplin ist, dass das Unternehmen selbst – nicht der Anbieter – die Begründung für jede Designentscheidung und jede risikobasierte Ausnahme vom Standardfluss dokumentiert und verantwortet.

Risk Scoring, Kundensegmentierung und der risikobasierte Ansatz

Das GwG verlangt ausdrücklich einen risikobasierten Ansatz: Unternehmen müssen ihre eigene Exposition gegenüber Geldwäsche- und Terrorismusfinanzierungsrisiken verstehen und ihre Kontrollen entsprechend kalibrieren. Auf Kundenebene ergibt sich daraus typischerweise ein Risikoscore, der Geografie, Beruf, Produkttyp, erwartete Transaktionsvolumina, PEP-Status und alle während des Onboardings identifizierten verstärkten Risikofaktoren berücksichtigt. Dieser Score sollte direkt in die Tiefe der erforderlichen Verifikation einfließen – von einem vereinfachten Flow für Niedrigrisikokunden (wo zulässig) bis zur EDD für Segmente mit höherem Risiko.

Ein risikobasierter Ansatz stützt auch das Effizienzargument der KYC-Automatisierung. Indem die ressourcenintensivsten Verifikationsschritte (etwa Live-Agent-Video-Ident oder Prüfung durch erfahrene Compliance-Mitarbeiter) genau den Segmenten vorbehalten bleiben, in denen sie wirklich nötig sind, können Unternehmen der Mehrheit der Kunden eine leichtgewichtige Erfahrung bieten und gleichzeitig dort robuste Kontrollen wahren, wo es darauf ankommt.

Typische Fallstricke in KYC-Automatisierungsprogrammen

Im deutschen Markt zeigen sich wiederkehrende Fallstricke in KYC-Automatisierungsprogrammen: intransparente Anbieterabhängigkeiten, unzureichende Dokumentation der Modellleistung, schwache Rückkopplung zwischen Compliance-Ermittlungsergebnissen und Modell-Retraining sowie unzureichende Governance bei Änderungen an Erkennungsschwellen. Aufsichtsbehörden fragen häufig, wie eine bestimmte Regel oder ein bestimmter Score festgelegt wurde, wann er zuletzt überprüft wurde und wie seine Wirksamkeit gemessen wird. Unternehmen, die diese Fragen nicht glaubwürdig beantworten können, werden tendenziell aufsichtliche Aufmerksamkeit auf sich ziehen – unabhängig davon, ob tatsächlich ein Versagen eingetreten ist.

BaFin-Erwartungen an KI-basierte Systeme

Der gesetzliche Maßstab für jedes Fernverfahren ist ein Sicherheitsniveau, das der Prüfung des vor Ort vorgelegten Ausweises gleichwertig ist (§ 13 Abs. 1 Nr. 2 GwG); für die Videoidentifizierung hat die BaFin dazu detaillierte Vorgaben gemacht. In der Praxis sollten Unternehmen, die KI-basierte KYC-Systeme einsetzen, Folgendes nachweisen können:

• Robuste Erkennung gefälschter, veränderter oder abgelaufener Identifikationsdokumente, mit klaren Nachweisen zu den für die Modellvalidierung verwendeten Testdaten
• Wirksame Liveness-Erkennung zur Verhinderung von Spoofing durch Fotos, Videoaufnahmen oder synthetische Medien
• Präziser biometrischer Abgleich zwischen Dokumentenfoto und Live-Bild über demografische Gruppen hinweg
• Umfassende Audit-Trails zu jeder Verifikationsentscheidung, einschließlich Modellversion und eingehender Inputs
• Eskalationsverfahren an menschliche Prüfer für Fälle, in denen das automatisierte System keine sichere Feststellung treffen kann
• Regelmäßige Tests und Validierung der Systemgenauigkeit, einschließlich Tests mit diversen demografischen Gruppen zur Vermeidung diskriminierender Ergebnisse

Aufbau einer konformen KYC-Architektur

Eine durchdachte KYC-Automatisierungsarchitektur für den deutschen Markt kombiniert typischerweise mehrere Verifikationsmethoden in einem risikobasierten Ansatz. Kundensegmente mit höherem Risiko erfordern intensivere Verifikation – einschließlich der EDD-Maßnahmen nach § 15 GwG – während Standard-Risikoszenarien die gesetzlich anerkannten digitalen Wege – eID oder qualifizierte elektronische Signatur mit Referenzüberweisung – mit automatisierter Vorprüfung und stichprobenartiger menschlicher Kontrolle nutzen können. Die Architektur sollte klare Eskalationswege, umfassendes Monitoring und die Flexibilität beinhalten, sich an sich entwickelnde aufsichtliche Erwartungen anzupassen.

Eine Referenzarchitektur trennt typischerweise die Verantwortungsbereiche zwischen Datenerfassung, Verifikation, Entscheidung und Case Management klar voneinander. Die Datenerfassungsschicht nimmt die Rohinputs des Kunden entgegen (Dokumentenbilder, Video-Frames, Formulardaten). Die Verifikationsschicht führt Dokumentenauthentizitätsprüfungen, biometrischen Abgleich und Sanktions-/PEP-Screening durch. Die Entscheidungsschicht wendet die risikobasierte Logik an und produziert ein Ergebnis – freigeben, ablehnen oder zur menschlichen Prüfung routen. Die Case-Management-Schicht unterstützt Analysten bei Ausnahmefällen und liefert den Audit-Trail. Jede Schicht sollte unabhängig beobachtbar sein, damit Fehler diagnostiziert und behoben werden können, ohne die gesamte Kundenreise neu aufsetzen zu müssen.

Observability, Metriken und kontinuierliche Verbesserung

Observability ist wichtig, weil KYC-Systeme lebende Systeme sind und keine einmalige Installation. Annahmequoten, manuelle Prüfquoten, Fehlalarmraten im Screening, Zeit bis zur Entscheidung und Kalibrierungsdrift der Modelle sollten alle instrumentiert und regelmäßig ausgewertet werden. Kennzahlen sollten zudem nach Kundensegment aufgeschlüsselt werden, um mögliche Muster einer disparaten Wirkung sichtbar zu machen. Wo sich ungünstige Muster zeigen, sollten Unternehmen einen dokumentierten Prozess für die Anpassung der Kontrollen, das Retraining von Modellen und die Kommunikation der Änderungen über die Compliance-Governance-Kette haben.

Unternehmen, die in diesen Bereich einsteigen, sollten frühzeitig den Dialog mit der BaFin suchen – die Aufsichtsbehörde genehmigt zwar keine spezifischen Technologielösungen vorab, doch ein informeller Dialog erhöht die Wahrscheinlichkeit, dass aufsichtliche Erwartungen vor dem Start gut verstanden werden. Der Austausch ist besonders wertvoll, wenn das Unternehmen neuartige Technologie-Kombinationen einsetzen will, auf im deutschen Markt neue Anbieter setzt oder risikobasierte Flows plant, die deutlich von der etablierten Video-Ident-Basis abweichen.

Fazit: KYC-Automatisierung als strategische Fähigkeit

Im DACH-Markt hat sich die KYC-Automatisierung von einem Compliance-Kostenblock zu einer strategischen Fähigkeit entwickelt, die Kundenerfahrung, Unit Economics und das Verhältnis zu Aufsichtsbehörden gleichermaßen prägt. Unternehmen, die sie als solche behandeln – und in Dokumentation, Governance, Observability und kontinuierliche Verbesserung investieren – reduzieren regulatorische Risiken und verschaffen sich gleichzeitig einen operativen Vorteil. Unternehmen, die sie als Nebensache betrachten, sammeln unsichtbare Verbindlichkeiten an, die genau dann auftauchen, wenn sie am schwierigsten zu beheben sind.

Die Reife einer KYC-Funktion zeigt sich selten in einer einzelnen Kennzahl, sondern in der Fähigkeit des Teams, auf eine aufsichtliche oder interne Anfrage hin rasch und überzeugend zu antworten: Welche Methode wurde bei welcher Kundenkohorte angewandt, warum wurde sie ausgewählt, wie hat sie sich über die Zeit entwickelt und welche Kontrollen fangen Abweichungen auf? Je klarer diese Antworten sind, desto besser ist die Ausgangslage des Unternehmens – sowohl im täglichen Betrieb als auch in auffälligen Fällen, in denen die Qualität der Dokumentation über das Ergebnis entscheidet. Ein gut geführtes KYC-Programm erzeugt nicht nur Compliance, sondern auch institutionelles Wissen, das bei jeder künftigen Produkterweiterung oder Markterschließung zur Verfügung steht.

Die Aegiron Capital Group unterstützt Fintech-Akteure bei der Analyse ihrer KYC-Architekturen, der Planung automatisierter Flows und der Integration datenschutzrechtlicher Überlegungen in das Design von Onboarding-Strecken. Unsere Arbeit erfolgt als spezialisierte strategische Beratung; konkrete Rechtsfragen klärt die Kanzlei, die Sie beauftragen. Ziel ist es, Kunden beim Aufbau von Onboarding-Flows zu unterstützen, die sowohl operativ effizient als auch robust gegen die aufsichtlichen, reputativen und ethischen Risiken der massenhaften Verarbeitung von Identitätsdaten sind. Gerade für Unternehmen in der Markteintritts- oder Skalierungsphase kann eine frühzeitige strukturelle Klärung der Verantwortlichkeiten und des Governance-Modells kostspielige Nacharbeiten in späteren Wachstumsphasen vermeiden.