AML- und Sanktionsprüfung für Kreditgeber und BNPL-Anbieter

Bei Kreditgebern und Buy-Now-Pay-Later-Anbietern (BNPL) können an mehreren Stellen Compliance-Risiken entstehen: Eine Person beantragt ein Produkt, ein Händler oder Programmpartner kommt hinzu, Eigentumsdaten ändern sich, ein Begünstigter wird angelegt oder Gelder fließen an eine neue Partei. Ein geeigneter Prüfprozess folgt diesen Ereignissen, ohne die Prüfung mit der Kreditentscheidung zu verwechseln.

Dieser Leitfaden erläutert, wie Nichtbank-Kreditgeber, digitale Kreditgeber, Embedded-Lending-Programme und BNPL-Anbieter einen operativen Prüfprozess gestalten können. Er ist keine Rechtsberatung. Welche Parteien, Quellen, Zeitpunkte und Maßnahmen gelten, hängt von Rechtsordnung, Erlaubnissen, Geschäftsmodell, vertraglichen Zuständigkeiten und Risikobewertung des Unternehmens ab.

Lizenzierte Banken und Digitalbanken sollten ergänzend den speziellen Leitfaden zur Sanktionsprüfung für Banken heranziehen. Zahlungsinstitute finden im ereignisbasierten Leitfaden für Zahlungsinstitute die Kontrollen für Zahlungsketten.

Wo die Prüfung in den Kreditprozess gehört

Die Prüfung beantwortet eine klar abgegrenzte Frage: Ergibt sich für die übermittelte Person, das Unternehmen oder die Transaktionspartei ein möglicher Treffer in den aktivierten Sanktions- und PEP-Listen, Fahndungslisten sowie Quellen für negative Medien?

Sie beantwortet nicht, ob sich ein Antragsteller den Kredit leisten kann, ob der Kreditgeber eine Kreditlinie genehmigen sollte oder ob Aktivitäten ein verdächtiges Verhaltensmuster erkennen lassen. Solche Kontrollen können neben der Prüfung bestehen, benötigen jedoch andere Daten, Modelle, Zuständigkeiten und Nachweise.

Diese Trennung ist im Vereinigten Königreich besonders wichtig. Das am 15. Juli 2026 in Kraft getretene Regelwerk der FCA für Deferred Payment Credit umfasst Verbraucherschutzanforderungen und Anforderungen an die finanzielle Tragbarkeit für Unternehmen in seinem Anwendungsbereich.¹ Diese Anforderungen dürfen nicht als Funktionen von AML-Prüfsoftware dargestellt werden.

Kreditmodell und zuständigen Rechtsträger bestimmen

Der Begriff „Kreditgeber“ kann unterschiedliche Konstellationen beschreiben. Eine Bank kann Kredite über ein eigenes Produkt vergeben. Ein Nichtbank-Kreditgeber kann Darlehen unmittelbar vergeben. Ein Embedded-Lending-Anbieter kann sein Produkt über einen Händler oder eine Softwareplattform vertreiben. Bei einem BNPL-Programm können die Zuständigkeiten zwischen Gläubiger, Händler, Plattform, Sponsor, Servicer und Zahlungsdienstleister aufgeteilt sein.

Vor der Gestaltung der Prüfung ist zu dokumentieren:

1. welcher Rechtsträger die Kunden- oder Geschäftsbeziehung begründet;
2. welche Partei die Daten des Antragstellers oder Unternehmens erhebt und kontrolliert;
3. welcher Rechtsträger für die maßgeblichen Sanktions- und AML-Kontrollen zuständig ist;
4. welche Partei Kandidaten prüft und die daraus folgende Maßnahme genehmigt;
5. wie Entscheidungen und Nachweise zwischen den Programmteilnehmern übergeben werden; und
6. welches System die maßgebliche Aufzeichnung für das Kreditereignis führt.

Es darf nicht vorausgesetzt werden, dass die Auslagerung eines Produktschritts die zugrunde liegende rechtliche Verantwortung überträgt. Die genaue Zuordnung hängt vom maßgeblichen Rahmenwerk und Vertragsmodell ab.

Parteien der Prüfpopulation zuordnen

Die folgende Übersicht dient der Umsetzung und ist keine allgemeingültige rechtliche Checkliste. Ein Unternehmen sollte eine Partei nur einbeziehen, wenn sich dies aus seinen maßgeblichen Pflichten, seiner Risikobewertung und seiner genehmigten Richtlinie ergibt.

Die Prüfung eines übermittelten Eigentümers ist nicht mit der Ermittlung oder Verifizierung der vollständigen Eigentumskette gleichzusetzen. Ist eine solche Ermittlung erforderlich, müssen die Informationen aus dem eigenen Prozess des Kreditgebers oder einer anderen maßgeblichen Quelle stammen, bevor die betreffenden Personen oder Unternehmen in die Prüfung aufgenommen werden können.

Prüfung an Kredit- und BNPL-Ereignissen ausrichten

Eine ausschließlich kalenderbasierte erneute Prüfung kann den Moment verpassen, in dem eine neue Partei erstmals ein Risiko begründet. Vor der Wahl des Zugangswegs sind Ereignis, verfügbare Daten, Eingriffspunkt und Verantwortung für die Nachweise festzulegen.

Die Kontrolle muss nicht an jedem Punkt denselben Zugangsweg nutzen. Bei einem Antrag oder Begünstigtenereignis kann eine Echtzeit-Prüf-API sinnvoll sein. Für ein übermitteltes Portfolio eignet sich die CSV-Batch-Prüfung. Genehmigte Kunden, Händler oder Partner können in die laufende Überwachung aufgenommen werden, wenn die Richtlinie vorsieht, dass spätere Änderungen erneut zur Prüfung vorgelegt werden.

Kundenprüfung und Prüfung von Zahlungsparteien trennen

Die Kundenprüfung schafft eine Ausgangsbasis für die Person oder das Unternehmen, die beziehungsweise das in die Kreditbeziehung eintritt. Die Prüfung von Zahlungsparteien betrifft Namen oder unterstützte Identifikatoren, die durch eine Auszahlung, Rückzahlung oder Erstattung neu hinzukommen.

Keine dieser Prüfungen ist eine verhaltensbasierte Transaktionsüberwachung. Diese sucht nach Mustern in Aktivitäten über einen längeren Zeitraum. Die Transaktionsprüfung von Checklynx gleicht übermittelte Transaktionsparteien und unterstützte Identifikatoren mit aktivierten Quellen ab; sie beansprucht nicht, Verhaltensanomalien zu erkennen.

Diese Abgrenzung verhindert einen häufigen Umsetzungsfehler: Ein unauffälliges Ergebnis beim Onboarding ist kein Nachweis dafür, dass auch jede spätere Zahlungspartei geprüft wurde.

Kandidaten klären, ohne die Prüflast zu vervielfachen

Daten von Antragstellern und Händlern können Transliterationen, unterschiedliche Schriften, Aliasnamen, abweichende Schreibweisen und unvollständige sekundäre Identifikatoren enthalten. Eine strikte Regel für exakte Namen kann plausible Kandidaten übersehen; wahlloses Fuzzy Matching kann hingegen die Prüfwarteschlange überlasten.

Die intelligente Abgleichstechnologie und Zusammenführung zu Profilen von Checklynx nutzt übermittelte Identifikatoren und fasst zusammengehörige Quelldatensätze in Profilen für Analysten zusammen. Dadurch kann sich die doppelte Prüfung einzelner Quelldatensätze verringern. Die Entscheidung, ob der Kandidat der geprüften Partei entspricht, bleibt beim Analysten.

Bereits geklärte falsch positive Treffer sollten außerdem ihren genauen Kunden- und Ergebniskontext behalten. Eine Wiederverwendung darf nicht stillschweigend zu einer allgemeinen Freigabeliste werden: Ein anderer Kunde, geänderte Identitätsangaben, eine neue Funktion, eine geänderte Quelle oder eine andere relevante Aktualisierung kann eine erneute Prüfung erfordern.

PEP-Status, Kundenrisiko und Kreditentscheidung trennen

Ein PEP-Kandidat ist keine Sanktionslistung und kein Beleg für Fehlverhalten. Zunächst klärt der Analyst Identität und Funktion. Anschließend wendet das Unternehmen seine eigenen risikobasierten Maßnahmen nach dem maßgeblichen Rahmenwerk an.

Checklynx unterstützt die PEP-Prüfung, einschließlich übermittelter Angaben zu Familienmitgliedern und engen Vertrauten, und kann geklärte Informationen in die Kundenrisikobewertung überführen. Der Kreditgeber bleibt dafür verantwortlich, wie sich die Stellung als politisch exponierte Person auf die Geschäftsbeziehung auswirkt und welche verstärkten Maßnahmen erforderlich sind.

Die Prüfung negativer Medien kann zusätzlichen veröffentlichten Risikokontext liefern, bleibt jedoch eine separate Nachweisquelle. Sie macht aus einer Behauptung weder eine Tatsache noch eine Kreditentscheidung.

Trefferhinweise in eine kontrollierte Prüfung und Nachweisführung überführen

Ein produktiver Prüfprozess braucht mehr als eine API-Antwort. Eine geeignete Fallakte sollte Folgendes verbinden:

Kreditereignis → übermittelte Partei und Funktion → angewandte Richtlinie → Kandidatennachweise → Analyst → Begründung → Eskalation → Ergebnis → nachgelagerte Übergabe

Das Case Management von Checklynx kann Prüfarbeit zuweisen und Notizen, Anhänge, Eskalation und Entscheidungshistorie festhalten. Die KI-gestützte Ergebnisbewertung kann dabei unterstützen, Nachweise zu ordnen und einzuordnen; der autorisierte Analyst bleibt für das Ergebnis verantwortlich.

Tools auf Basis des Model Context Protocol (MCP) können über agentische AML-Compliance kontrollierte AML-Funktionen in agentischen Abläufen unterstützen. Ein Agent darf zulässige Ergebnisse abrufen oder einen genehmigten Prozess unterstützen. Er darf jedoch nicht als System beschrieben werden, das autonom über den rechtlichen Sanktionsstatus, die finanzielle Tragbarkeit oder eine Kreditgenehmigung entscheidet.

Rechtsordnungsspezifische Vorgaben anwenden, ohne eine globale Pflicht für Kreditgeber zu erfinden

Vereinigtes Königreich

Kreditgeber im Vereinigten Königreich sollten Verbraucherkreditvorgaben von AML- und Sanktionskontrollen trennen. Das Regelwerk der FCA für Deferred Payment Credit ist für Unternehmen in seinem Anwendungsbereich relevant; die Prüfung der finanziellen Tragbarkeit und die Zulassung sind jedoch keine Funktionen der AML-Prüfung.¹ Die Sanktionsleitlinien der FCA behandeln Unternehmensführung, Risikobewertung, Klarheit der Prüfschritte, Eskalation und Managementinformationen für Unternehmen in ihrem Zuständigkeitsbereich. Der konkrete Anwendungsbereich und die Pflichten des Unternehmens müssen dennoch gesondert bewertet werden.²

Europäische Union

Die Verordnung (EU) 2024/1624 ist erlassen, gilt jedoch mit Stand September 2026 grundsätzlich erst ab dem 10. Juli 2027.³ Ihre Anwendung auf Beteiligte des Finanz- und Kreditsektors hängt vom jeweiligen Rechtsträger und dem Geschäftsmodell ab. Das künftige Rahmenwerk darf weder als bereits allgemein anwendbar beschrieben werden noch darf behauptet werden, dass alle Kreditgeber, Vermittler oder BNPL-Anbieter identische Pflichten haben.

Vereinigte Arabische Emirate

Unternehmen in den VAE sollten den lizenzierten Rechtsträger, das maßgebliche Aufsichtsrahmenwerk und die einschlägigen Vorgaben zu gezielten Finanzsanktionen bestimmen, bevor Parteien, Listen und Zeitpunkte festgelegt werden. Die CBUAE veröffentlicht Leitlinien zur Transaktionsüberwachung und Sanktionsprüfung. Checklynx kann den Prüfprozess unterstützen, bestimmt jedoch nicht den regulatorischen Anwendungsbereich des Unternehmens.⁴

Checkliste für die Umsetzung

• Kreditgebenden Rechtsträger, Produktmodell und zuständige Programmparteien bestimmen.
• Banken und Digitalbanken von Nichtbank- und Embedded-Lending-Fällen trennen.
• Relevante Antragsteller, Unternehmen, Händler, Partner und Transaktionsparteien festlegen.
• Dokumentieren, welches Ereignis jede Prüfung auslöst und welche Daten rechtmäßig verfügbar sind.
• API, Batch-Verarbeitung, Portal oder laufende Überwachung passend zu Ereignis und Bestand auswählen.
• Die Sanktions- und AML-Prüfung klar von Identitätsprüfung, Prüfung der finanziellen Tragbarkeit, Kreditvergabe, Betrugserkennung und verhaltensbasierter Überwachung abgrenzen.
• Festlegen, wie übermittelte Eigentümer und kontrollierende Personen in den Prüfprozess gelangen, ohne eine allgemeine Eigentümerermittlung zu behaupten.
• Aliasnamen, unterschiedliche Schriften, Transliterationen, häufige Namen und widersprüchliche sekundäre Identifikatoren testen.
• Einen bekannten falsch positiven Treffer vor und nach einer relevanten Änderung der Quelle oder Identität testen.
• Kandidaten einem autorisierten Analysten zuweisen und rekonstruierbare Nachweise bewahren.
• Festlegen, wie der Prüfstatus in den abschließenden Entscheidungsprozess des Kreditgebers einfließt, ohne diesen zu ersetzen.
• Rechtliche und regulatorische Abschnitte erneut prüfen, bevor sie für eine bestimmte Rechtsordnung herangezogen werden.

Abschließende Empfehlung

Sanktions- und AML-Prüfprozesse für Kreditgeber und BNPL-Anbieter sollten sich am Kreditzyklus und nicht an einem allgemeinen AML-Begriff orientieren. Es ist festzulegen, wer für die Kontrolle zuständig ist, welche übermittelte Partei bei welchem Ereignis eintritt, was das Prüfergebnis bedeutet, welches System die Überprüfung verwaltet und wie die Nachweise in den eigenen Entscheidungsprozess des Kreditgebers gelangen.

Checklynx für Embedded Finance ist der kommerzielle Ausgangspunkt. Der Leitfaden zur AML-Namensprüfung erläutert die allgemeine Methodik der Sanktions- und PEP-Prüfung, der Leitfaden zur Echtzeit-API-Architektur die vertiefte technische Gestaltung.

Häufig gestellte Fragen

Wen sollte ein Kreditgeber oder BNPL-Anbieter prüfen?

Die Antwort hängt vom maßgeblichen Rahmenwerk und der genehmigten Richtlinie ab. Zu den möglichen übermittelten Parteien gehören Antragsteller, antragstellende Unternehmen, Händler, Programmpartner, Geschäftsführer, Eigentümer oder kontrollierende Personen, Begünstigte und relevante Transaktionsparteien. Nicht jedes Unternehmen muss jede Kategorie bei jedem Ereignis prüfen.

Ist eine AML-Prüfung dasselbe wie eine Prüfung der finanziellen Tragbarkeit?

Nein. Die AML-Prüfung sucht in den aktivierten Risikoquellen nach Kandidaten. Die Prüfung der finanziellen Tragbarkeit und die Kreditwürdigkeitsprüfung beurteilen, ob ein Kunde den Kredit tragen kann; sie gehören zu den eigenen Verbraucherkredit- und Kreditvergabekontrollen des Kreditgebers.

Kann Checklynx einen Kredit genehmigen oder ablehnen?

Nein. Checklynx stellt Prüfnachweise und Prüfprozesse bereit. Entscheidungen über Kreditvergabe, rechtliche Bewertung, Risiko und die Kundenbeziehung verbleiben beim Kreditgeber.

Unterscheidet sich die BNPL-Prüfung von der Prüfung bei Banken?

Die Grundsätze für Abgleich und Überprüfung können ähnlich sein, Parteien, Programmzuständigkeiten und Produktereignisse können sich jedoch unterscheiden. Lizenzierte Banken und Digitalbanken sollten den speziellen Bankenleitfaden nutzen. Bei einem über Händler vertriebenen BNPL-Produkt kann eine ausdrückliche Zuordnung der Zuständigkeiten zwischen Kreditgeber, Händler, Plattform und Zahlungsdienstleister erforderlich sein.

Kann ein Kreditgeber übermittelte wirtschaftlich Berechtigte prüfen?

Ja. Checklynx kann übermittelte Eigentümer und kontrollierende Personen prüfen. Checklynx gewährleistet nicht eigenständig die Ermittlung oder Verifizierung der vollständigen Eigentumskette.

Ist Transaktionsprüfung dasselbe wie Transaktionsüberwachung?

Nein. Die Transaktionsprüfung gleicht übermittelte Namen oder unterstützte Identifikatoren eines Ereignisses mit aktivierten Quellen ab. Die verhaltensbasierte Transaktionsüberwachung analysiert Aktivitätsmuster über einen längeren Zeitraum.

Wie können KI und MCP die Prüfung bei Kreditgebern unterstützen?

Eine KI-gestützte Bewertung kann Analysten bei der Einordnung von Nachweisen unterstützen. MCP-fähige Tools können kontrollierte AML-Funktionen in agentischen Abläufen innerhalb genehmigter Berechtigungen unterstützen. Weder KI noch MCP dürfen als autonome Entscheidungsinstanz für Sanktionen, finanzielle Tragbarkeit oder Kreditvergabe behandelt werden.