KYC, KYB und Customer Due Diligence: Praxisleitfaden für Compliance-Teams

Viele Unternehmen verfügen über ein Tool zur Identitätsprüfung, einen Anbieter von Unternehmensdaten, ein Sanktionsscreening und einen Kundenrisikowert. Dennoch können sie oft nicht nachvollziehbar erklären, wie aus diesen Informationen eine Onboarding-Entscheidung entstanden ist. Genau dieses praktische Problem behandelt der Leitfaden. Ein tragfähiger KYC-/KYB-Prozess ist keine Sammlung von Abkürzungen oder Dokumenten, sondern ein nachvollziehbarer Kundenlebenszyklus.

FATF-Empfehlung 10 bietet eine nützliche internationale Grundlage: den Kunden identifizieren und verifizieren, wirtschaftlich Berechtigte feststellen und mit angemessenen Maßnahmen prüfen, Zweck und angestrebte Art der Geschäftsbeziehung verstehen sowie die laufenden Sorgfaltspflichten erfüllen.¹ Die FATF setzt Standards für Staaten; verbindliche Pflichten entstehen durch das jeweils anwendbare nationale oder regionale Recht. Die entscheidende Frage lautet daher nicht „Wie sieht die globale KYC-Checkliste aus?“, sondern: Was muss dieses Unternehmen bei dieser Geschäftsbeziehung verstehen, prüfen, entscheiden und aufbewahren?

Wie KYC, KYB und CDD zusammenwirken

KYC ist eine gebräuchliche Kurzbezeichnung für das Verständnis und die Verifizierung einer natürlichen Person als Kunde. KYB bezeichnet in der Praxis die Anwendung der relevanten Sorgfaltspflichten auf ein Unternehmen oder eine andere juristische Person. CDD ist der umfassendere, risikobasierte Prozess, mit dem ein Unternehmen den Kunden und die Geschäftsbeziehung versteht. Die Begriffe überschneiden sich: In FATF-, britischen und EU-Regelwerken werden die zugrunde liegenden Pflichten in der Regel als Customer Due Diligence beziehungsweise Kundensorgfaltspflichten beschrieben, nicht als universelle gesetzliche Kategorie namens „KYB“.¹²³

Kompakte Definitionen finden Sie unter KYC: unverzichtbar für regelkonforme Geschäftsbeziehungen und KYC, CDD und EDD im Vergleich. Dieser Leitfaden beantwortet die nächste operative Frage: Wie lassen sich die Begriffe in einem durch Nachweise gestützten Kundenlebenszyklus zusammenführen?

Das Kunden-Onboarding ist der operative Prozess, in dem Informationen erhoben, CDD-Maßnahmen durchgeführt, Risiken eingestuft und eine Geschäftsbeziehung eingerichtet, eingeschränkt, eskaliert oder abgelehnt wird. Die Kundenrisikobewertung bestimmt die Intensität der Prüfung. Das Sanktionsscreening verfolgt einen eigenen rechtlichen Zweck, auch wenn dafür dieselben Identitäts- und Eigentumsdaten verwendet werden. Die Transaktionsüberwachung bewertet Aktivitäten während der Geschäftsbeziehung; laufende CDD ist umfassender, weil sie zusätzlich das Kundenverständnis aktuell hält.

Den übergeordneten Zusammenhang erläutert der Leitfaden zur AML-Compliance.

Regulatorische Grundlage: Quellen vor ihrer Verwendung einordnen

Kennzeichnen Sie Vorgaben in Richtlinien und Inhalten eindeutig:

Die britischen Money Laundering Regulations enthalten derzeit verbindliche CDD-Anforderungen für Unternehmen in ihrem Anwendungsbereich.² Die Verordnung (EU) 2024/1624 wird unmittelbar geltende EU-Anforderungen überwiegend ab dem 10. Juli 2027 einführen. Vor diesem Datum darf sie nicht als bereits geltende EU-weite Pflicht dargestellt werden.³ Der CDD-Rahmen von FinCEN in den USA gilt für bestimmte erfasste Finanzinstitute und nicht für jedes US-Unternehmen.⁴

Einen praxistauglichen KYC- und KYB-Prozess gestalten

1. Geltungsbereich und rechtlichen Rahmen festlegen

Bevor Sie Dokumente anfordern, bestimmen Sie die leistungserbringende juristische Person, den Kundentyp, das Produkt, die beteiligten Rechtsordnungen, die regulierte Tätigkeit und die für die Geschäftsbeziehung geltenden Vorschriften. Eine globale Richtlinie kann gemeinsame Kontrollen festlegen. Sie sollte jedoch nicht verschleiern, welcher lokale Rechtsrahmen einen Schritt verlangt und welcher Schritt eine eigene risikopolitische Entscheidung ist.

2. Kunden- und Unternehmensdaten erheben

Bei natürlichen Personen erheben Sie die Angaben, die nach dem anwendbaren Recht zur Identifizierung erforderlich sind. Bei Unternehmen ermitteln Sie Firma, Rechtsform, Registerdaten, Sitzstaat, eingetragenen Sitz oder Hauptgeschäftssitz, relevante Mitglieder der Geschäftsleitung, Personen, die Vertretungsbefugnis beanspruchen, sowie Eigentums- und Kontrollverhältnisse. Der Informationsumfang sollte der Geschäftsbeziehung angemessen sein und nicht auf einem unveränderlichen globalen Formular beruhen.

3. Identität verifizieren und Verlässlichkeit der Quelle beurteilen

Eine Kundenerklärung zu erfassen ist nicht dasselbe wie sie zu verifizieren. Die FATF verlangt verlässliche und unabhängige Quelldokumente, Daten oder Informationen.¹ Eine belastbare Dokumentation enthält:

Eine elektronische Quelle kann geeignet sein, wenn der anwendbare Rechtsrahmen dies zulässt und das Unternehmen ihre Verlässlichkeit versteht. „Verifiziert“ darf kein unerklärter Status ohne Quelle, Datum oder dokumentierte Ausnahme sein.

Erhebung, Validierung und Verifizierung trennen

Diese Schritte werden in Onboarding-Systemen häufig in einem einzigen Status zusammengefasst. Dann lässt sich schwer erklären, was das Unternehmen tatsächlich weiß. Bei der Erhebung wird festgehalten, was ein Kunde oder Vertreter mitgeteilt hat. Die Validierung prüft, ob ein Feld vorhanden, in sich schlüssig und im erwarteten Format ist. Die Verifizierung gleicht einen relevanten Sachverhalt mit einer Quelle ab, deren Verlässlichkeit für genau diesen Sachverhalt bekannt ist.

Beispielsweise kann die Firma mit einem Registereintrag übereinstimmen, während die antragstellende Person nicht befugt ist, das Unternehmen zu vertreten. Ein Identitätsdokument kann echt erscheinen, obwohl im Kundenprofil ein ungeklärter Widerspruch besteht. Ein Anbieter kann ein Ergebnis liefern, ohne dass Abdeckung, Abrufdatum oder Datenherkunft klar sind. Der Prozess sollte diese Unterschiede festhalten, statt jedes Ergebnis pauschal als unbedenklich zu markieren.

Legen Sie eine praktikable Regel für wesentliche Abweichungen fest: Welche darf der Antragsteller korrigieren? Welche benötigen eine unabhängige Bestätigung? Welche erfordern eine Analystenentscheidung? Und welche verhindern die Fortsetzung der Geschäftsbeziehung? Das reduziert sowohl wiederholte Kundenanfragen als auch nicht hinreichend begründete Freigaben.

4. Wirtschaftlich Berechtigte, Kontrolle und Vertretungsbefugnis feststellen

Bei Unternehmenskunden verfolgen Sie Eigentum und Kontrolle so weit, bis die nach dem anwendbaren Maßstab relevanten natürlichen Personen verstanden sind. Wirtschaftliches Eigentum umfasst letztendliches Eigentum oder Kontrolle. Es beschränkt sich weder auf unmittelbare Beteiligungen noch auf einen einzigen weltweit geltenden Prozentsatz.¹ Die britischen Vorschriften enthalten eine konkrete Sicherung: Die Verifizierung wirtschaftlich Berechtigter darf nicht allein auf Angaben des Registers gestützt werden.²

Mit Wirtschaftlich Berechtigte und verbundene Parteien können Sie Eigentumsketten strukturiert abbilden. Bei komplexen Gruppen, Trusts, Treuhand- oder Nominee-Strukturen und widersprüchlichen Nachweisen kommt es auf Nachvollziehbarkeit an: Warum besteht die Struktur? Wer kontrolliert sie letztlich? Welche Nachweise sind verlässlich? Und was bleibt ungeklärt? Komplexität ist kein Beweis für Fehlverhalten. Ein erforderlicher, aber ungeklärter Sachverhalt muss dokumentiert und eskaliert werden, statt stillschweigend als verifiziert zu gelten.

Prüfen Sie gegebenenfalls auch Identität und Befugnis einer Person, die für den Kunden handelt. Die Stellung als Geschäftsführer, Beschäftigter oder Vermittler belegt nicht in jedem Zusammenhang automatisch die Vertretungsbefugnis.

5. Zweck und erwartete Aktivität verstehen

Das Unternehmen benötigt ein verwertbares Bild davon, warum die Geschäftsbeziehung besteht und wie sie voraussichtlich genutzt wird. Abhängig von Produkt und Risiko kann dies Zweck, Geschäftstätigkeit, benötigte Leistungen, erwartete Volumina oder Bandbreiten, Länder, Transaktionsarten, Gegenparteien, Finanzierungswege und gegebenenfalls Mittelherkunft umfassen. Das sind Beispiele für die Kontrollgestaltung, keine weltweit verbindliche Dokumentenliste.

Die erwartete Aktivität ist eine Grundlage für Risikobewertung und spätere Überwachung. Sie ist weder ein Versprechen, dass jede Transaktion einer Prognose entspricht, noch ein Beweis dafür, dass jede Abweichung verdächtig ist. Sie liefert den Kontext, um bei Veränderungen die richtige Frage zu stellen.

Erwartete Aktivität als operative Grundlage nutzbar machen

Erwartete Aktivität stiftet nur dann Nutzen, wenn sie eine spätere Entscheidung unterstützen kann. Eine allgemeine Angabe wie „internationale Zahlungen“ gibt dem Operations-Team selten ausreichend Kontext. Eine angemessene Grundlage kann Geschäftsmodell, erwartete Korridore, Zahlungs- oder Finanzierungswege, ungefähre Muster, relevante Gegenparteien und den Grund für die Nutzung des Dienstes beschreiben. Ziel ist nicht, jeden denkbaren Datenpunkt zu erheben, sondern die Fakten zu bestimmen, die ein späteres Ereignis besser oder schlechter erklärbar machen.

Bei natürlichen Personen können Beruf, Mittelherkunft, beabsichtigte Produktnutzung und erwartete Aktivitäten relevant sein. Bei einem Marktplatz können Händlerkategorien, Abrechnungsmodell, unterstützte Länder und erwartete Zahlungshöhen dazugehören. Bei einem Corporate-Treasury-Kunden können Konzerngesellschaften, Währungen, Lohn- oder Lieferantenzahlungen und die Befugnis zur Zahlungsanweisung wichtig sein. Erfassen Sie den Kontext, der die Kontrollreaktion wesentlich verändert.

Ändert sich das Geschäft, aktualisieren Sie diese Grundlage, statt die Onboarding-Angaben als dauerhaft anzusehen. Hier treffen Kundensorgfalt und laufende Überwachung aufeinander: Dasselbe Kundenverständnis sollte helfen, Warnmeldungen, neue Produkte, neue Länder und wesentliche Aktivitätsänderungen einzuordnen.

6. Kundenrisiko bewerten

Die Kundenrisikobewertung nutzt relevante Faktoren, um die angemessene Intensität von CDD, EDD, Überwachung und Überprüfung festzulegen. Dazu können Kunden- oder Unternehmenstyp, Komplexität der Eigentumsverhältnisse, Geografie, Produkte, Vertriebskanal, erwartete Aktivität und relevante PEP- oder Sanktionssignale gehören. Ein numerischer Wert kann Konsistenz fördern. Er entscheidet aber nicht rechtlich darüber, ob ein Kunde angenommen werden darf.

Die Methodik sollte Gewichtung, wesentliche Übersteuerungen, Entscheidungskompetenz und Nachweise erkennen lassen. Die FCA nennt gewichtete Faktoren, klare Methoden und dokumentierte Änderungen als hilfreiche Praxis; unbegründete Übersteuerungen stellen ein Qualitätsrisiko dar.⁵ Eine zweckmäßige Akte kann Modell und Version, Eingabedaten, Ergebnis, manuelle Anpassungen, zugrunde liegende Nachweise und Freigabe festhalten.

Risikoentscheidungen nachvollziehbar machen

Ein Risikowert ist eine Entscheidungsgrundlage, nicht die Entscheidung selbst. Gestalten Sie die Methodik so, dass eine unabhängige prüfende Person vier Fragen beantworten kann: Welche Faktoren wurden berücksichtigt? Welche hatten den größten Einfluss? Welche Nachweise stützten die Eingaben? Und wer genehmigte eine Abweichung vom regulären Ergebnis?

„Hohes Risiko, weil das Modell 82 Punkte ausgibt“ erklärt nicht, ob komplexe Eigentumsverhältnisse, Geografie, Produktexposition, PEP-Bezug, Datenunsicherheit oder eine Kombination ausschlaggebend waren. Der Grund sollte die nächste Kontrolle bestimmen: zusätzliche Eigentumsnachweise, verstärkte Prüfung, Produktbeschränkung, Genehmigung durch eine höhere Ebene, engmaschigere Überwachung oder die Entscheidung gegen die Geschäftsbeziehung.

Nutzen Sie Übersteuerungen sparsam und kontrolliert. Sie können berechtigt sein, wenn verifizierte Nachweise wesentlichen Kontext liefern, den die automatisierte Eingabe nicht abbilden konnte. Dokumentieren Sie Person, Grund, Nachweise, Genehmigungsstufe und Ablauf- oder Überprüfungszeitpunkt. Eine Ausnahme ohne verantwortliche Person oder Prüftermin kann unbemerkt zur Dauerregel werden.

7. Standard- oder verstärkte Maßnahmen anwenden

EDD sollte auf den rechtlichen Auslöser und das festgestellte Risiko reagieren, nicht auf eine pauschale Vorgabe wie „hohes Risiko bedeutet fünf zusätzliche Dokumente“. Mögliche Maßnahmen sind zusätzliche Angaben über Kunden oder wirtschaftlich Berechtigte, gegebenenfalls Mittel- oder Vermögensherkunft, Transaktionszweck, Genehmigung durch eine höhere Ebene und verstärkte Überwachung. Im Vereinigten Königreich gelten eigene verbindliche EDD-Anforderungen.⁶ Ab dem 10. Juli 2027 enthält Artikel 34 der EU-Geldwäscheverordnung einen angemessenen Katalog verstärkter Maßnahmen; er ist keine derzeit geltende globale Checkliste.³

PEP- und Sanktionskontrollen können getrennte Bewertungen erfordern, auch wenn dieselbe prüfende Person dieselbe Kundenakte verwendet. Halten Sie Rechts- und Richtliniengrundlage, Nachweise und resultierende Entscheidung jeweils getrennt fest.

EDD auf eine konkrete Frage ausrichten

EDD ist wirksamer, wenn jede zusätzliche Anforderung einen Zweck hat. Sind Eigentumsverhältnisse unklar, fordern Sie Nachweise an, die Eigentum oder Kontrolle klären. Ist die erwartete Aktivität ungewöhnlich komplex, verstehen Sie den wirtschaftlichen Grund sowie relevante Finanzierungs- oder Zahlungsströme. Entsteht ein höheres Risiko aus Geografie, PEP-Bezug oder einem anderen einschlägigen Auslöser, wenden Sie die vom maßgeblichen Rechtsrahmen verlangten Maßnahmen an und dokumentieren Sie, warum diese auf die festgestellte Exposition reagieren.

Vermeiden Sie ein undifferenziertes „EDD-Paket“, das Unterlagen sammelt, ohne die Entscheidung zu verbessern. Es verursacht Reibung, Verzögerungen und eine schwer prüfbare Nachweissammlung. Eine bessere Akte benennt Auslöser, noch unbekannte Fakten, angeforderte Nachweise, zuständige Person, Ergebnis und akzeptiertes oder abgelehntes Restrisiko. Dadurch lässt sich eine normale geschäftliche Erklärung von einem eskalationspflichtigen Fall unterscheiden.

8. Entscheidung über die Geschäftsbeziehung treffen und dokumentieren

Zweckmäßige operative Ergebnisse sind genehmigen, mit Kontrollen genehmigen, eskalieren oder weitere Nachweise anfordern sowie ablehnen oder keine Geschäftsbeziehung eingehen. Das sind Workflow-Status und keine universellen Rechtskategorien. Kann die erforderliche CDD nicht abgeschlossen werden, kann das anwendbare Recht die Aufnahme oder Fortführung der Geschäftsbeziehung einschränken.¹

Die Akte sollte erklären, welche Tatsachen bekannt waren, welche Quellen verwendet wurden, welche Widersprüche bestanden, welche Risikomethodik galt, warum zusätzliche Maßnahmen angewendet oder nicht angewendet wurden, wer eine Ausnahme genehmigte und was anschließend geschah.

KYB in der Praxis: Unternehmen, Eigentum und Vertretungsbefugnis

KYB geht weit über die Abfrage einer Handelsregisternummer hinaus. Der Prozess führt in der Regel von juristischer Person, Registrierung, Rechtsform und Sitzstaat über Geschäftsleitung und Vertretungsberechtigte, Eigentumskette und Kontrolle auf andere Weise bis zu den letztlich beteiligten natürlichen Personen sowie Geschäftszweck und erwarteter Aktivität. Ein Register ist ein wichtiger Nachweis. Inhalt, Verlässlichkeit und Aktualität unterscheiden sich jedoch je nach Rechtsordnung.

Sind Nachweise unvollständig, unterscheiden Sie zwischen unbekannt, nicht verifiziert und widersprüchlich. Der nächste Schritt kann eine weitere Beleganforderung, fachliche Eskalation, Produktbeschränkung oder die Entscheidung gegen die Geschäftsbeziehung gemäß Richtlinie und anwendbarem Recht sein. Eine Struktur ist nicht allein deshalb verdächtig, weil sie aus mehreren Ebenen besteht.

Ein praxistaugliches KYB-Nachweispaket

Ordnen Sie die Unternehmensakte nach den Fragen, die beantwortet werden müssen, statt nach einer festen Dokumentenliste:

Diese Übersicht ersetzt keine gesetzlichen Anforderungen. Sie macht eine KYB-Akte prüfbar. Die stärksten Akten enthalten nicht nur Dokumente. Sie zeigen, welche Aussage jedes Dokument stützt, wann es bewertet wurde und zu welchem Ergebnis die prüfende Person kam. Weitere Informationen zu Schwellenwerten und Eigentumskonzepten finden Sie unter Globale UBO-Schwellenwerte und wichtige Regelungen.

Vom Onboarding zur kontrollierten Übergabe

Eine genehmigte Onboarding-Akte ist nicht das Ende der Kontrolle. Die im KYC- und KYB-Prozess erhobenen Informationen müssen die Teams und Systeme erreichen, die sie anschließend benötigen. Dazu gehören zulässige Produkte und Länder, erwartete Aktivität, relevante Eigentümer und Vertretungsberechtigte, Risikoeinstufung, Überprüfungsdatum, Beschränkungen, offene Nachweise und Begründungen für Ausnahmen.

Ohne kontrollierte Übergabe kann ein Unternehmen eine gründliche Erstprüfung durchführen und deren Wert anschließend verlieren. Das Payment-Operations-Team sieht möglicherweise eine Produktbeschränkung nicht. Eine Monitoring-Regel erhält vielleicht nicht den Kontext zur erwarteten Aktivität, der eine Warnmeldung erst aussagekräftig macht. Ein Kundenbetreuer kann eine Änderung beantragen, ohne zu wissen, dass dadurch Vertretungsbefugnis oder Eigentum erneut geprüft werden müssen. Die Kundenakte muss deshalb ein gepflegter Datensatz sein und kein Archiv von Onboarding-Dokumenten.

Legen Sie fest, welche Angaben jeder nachgelagerte Prozess benötigt, wer einen Kundenfakt ändern darf, wie wesentliche Änderungen erkannt werden und welche eine Compliance-Prüfung auslösen. Bewahren Sie frühere Werte und Entscheidungsgründe auf, soweit sie relevant sind. Ein aktuelles Profil allein erklärt möglicherweise nicht, warum ein Produkt freigeschaltet, eine Ausnahme genehmigt oder eine Beschränkung aufgehoben wurde. Klare Verantwortlichkeiten und eine Änderungshistorie machen den Kundenlebenszyklus prüfbar, ohne dass jede operative Handlung an dieselbe prüfende Person weitergeleitet werden muss.

Laufende Customer Due Diligence: anlassbezogen statt pauschal jährlich

Die laufende Überwachung sollte das Kundenverständnis mit späteren Aktivitäten verbinden. Wichtige Prüfanlässe sind Änderungen von Eigentum oder Kontrolle, neue Mitglieder der Geschäftsleitung oder Vertretungsberechtigte, wesentliche Änderungen von Geschäft oder erwarteter Aktivität, neue Produkte oder Länder, neue PEP- oder andere Risikoinformationen, Zweifel an früheren Daten, Datenwidersprüche, auffällig inkonsistente Aktivitäten und bessere Informationen, die eine bisherige Lücke aufdecken.

Die FATF erwartet, dass CDD-Informationen aktuell und relevant bleiben, insbesondere bei Kunden mit höherem Risiko.¹ Daraus entsteht keine universelle jährliche Aktualisierungspflicht. Bei erfassten US-Finanzinstituten verlangt die CDD Rule von FinCEN, Kundeninformationen risikobasiert zu pflegen und zu aktualisieren.⁴ Ab dem 10. Juli 2027 verbindet Artikel 26 der EU-Geldwäscheverordnung anlassbezogene Aktualisierungen mit Höchstintervallen von einem Jahr bei Kunden, bei denen Maßnahmen für erhöhte Risiken angewandt werden, und fünf Jahren bei anderen Kunden.³ Turnusmäßige Überprüfungen können als Auffangkontrolle dienen; die Ereigniserkennung verhindert, dass wesentliche Änderungen bis zum nächsten Kalendertag warten.

Turnusmäßige Überprüfung und Erkennung wesentlicher Änderungen kombinieren

Turnusmäßige Überprüfungen verhindern, dass ruhende Akten auf unbestimmte Zeit unangetastet bleiben. Anlassbezogene Prüfungen sorgen dafür, dass das Programm reagiert, wenn sich Kunde, Geschäftsbeziehung oder Risiko ändern. Beide Kontrollen ergänzen einander.

Verankern Sie den Anlass im operativen Ablauf: Ereignis identifizieren, verantwortliche Person zuweisen, risikogerechte Reaktionsfrist festlegen, vorherigen Stand bewahren und Ergebnis dokumentieren. Eine Benachrichtigung ohne verantwortliche Warteschlange ist keine laufende CDD. Die Kontrolle sollte zeigen können, wie viele Ereignisse erkannt wurden, wie lange sie offen blieben, welche überfällig waren und ob wiederkehrende Datenprobleme behoben werden müssen.

Governance, Nachweise und Automatisierung

Betrachten Sie das Betriebsmodell als praktische Verantwortungsmatrix und nicht als universelles Organigramm. Die Geschäftsleitung sollte aussagekräftige Informationen über Risiken und Kontrollwirksamkeit erhalten. Die Compliance-Leitung sollte für Rahmenwerk und wesentliche Ausnahmen verantwortlich sein. KYC-/KYB-Operations erheben und verifizieren Nachweise. Produkt-, Engineering- und Datenteams verantworten Workflow-Logik, Quellenintegrationen, Berechtigungen und Datenherkunft. Qualitätssicherung und unabhängige Prüfungen müssen feststellen, ob die Kontrolle tatsächlich funktioniert.

Die Nachweisdokumentation sollte kundenseitig bereitgestellte Daten, Verifizierungsquellen und Zeitstempel, Unternehmens- und Registernachweise, Eigentums- und Kontrollabbildung, Vertretungsbefugnis, Zweck und erwartete Aktivität, Risikofaktoren und Methodikversion, EDD-Nachweise, Screening-Referenzen, Widersprüche, Analystennotizen, Übersteuerungen, Genehmigungen, abschließende Entscheidung und spätere Prüfereignisse verbinden.

Qualitätssicherung: die Entscheidung prüfen, nicht nur das Dokument

Die Qualitätssicherung sollte abgeschlossene Fälle über verschiedene Kundentypen, Risikoeinstufungen, prüfende Personen und Ausnahmepfade hinweg stichprobenartig testen. Prüfen Sie, ob die Entscheidung aus den Nachweisen folgt, ob diese aktuell und verlässlich waren, ob erforderliche Eskalationen genutzt wurden und ob eine andere Person die Begründung anhand des Systems nachvollziehen kann. Achten Sie auch auf falsche Sicherheit: Eine vollständig wirkende Akte kann dennoch eine unbelegte Eigentumsfeststellung, eine veraltete Quelle oder eine nicht genehmigte Risikoübersteuerung enthalten.

Nützliche Programmkennzahlen sind Vollständigkeit erforderlicher Nachweise, Nacharbeits- und Abweichungsquoten, Warteschlangenzeit, Alter von Ausnahmen, Häufigkeit von Übersteuerungen, überfällige Überprüfungen, Ausfallraten von Quellen und Qualität abschließender Begründungen. Kennzahlen müssen Handlungen auslösen. Führt eine Quelle regelmäßig zu Lücken, weist ein Team mehr Übersteuerungen auf oder verursacht ein neues Produkt mehr offene Befugnisfragen, passen Sie den Prozess an und prüfen Sie, ob die Änderung wirksam ist.

Automatisierung kann Nachweise erfassen, Daten abgleichen, Informationen extrahieren, Fälle weiterleiten und Entscheidungen unterstützen. Sie überträgt jedoch keine Verantwortung. Kontrollierte KI-Agenten-Workflows, die autorisierte AML-Funktionen nutzen, erläutert Agentische AML mit MCP. Das Unternehmen muss weiterhin steuern, wie Ergebnisse zu Compliance-Entscheidungen werden, einschließlich Grenzen, Ausnahmen, menschlicher Prüfung, Nachweisen und Änderungsmanagement.

Checkliste zur Umsetzung von KYC, KYB und CDD

Weiterführende Ressourcen zu KYC und Kundensorgfalt

Nutzen Sie diesen Leitfaden, wenn Sie den gesamten CDD-Lebenszyklus gestalten oder bewerten möchten. Die folgenden Inhalte vertiefen einzelne Bestandteile:

• Was ist KYC? für eine kompakte Einführung.
• KYC, CDD und EDD im Vergleich zur Terminologie und zu unterschiedlichen Prüfungsstufen.
• Wirtschaftlich Berechtigte und verbundene Parteien zur Abbildung von Eigentum und Kontrolle.
• Kundenrisikobewertung zur Methodik für die Intensität der Sorgfaltspflichten.
• Laufende Überwachung für fortlaufende Prüfungen, Warnmeldungen und Fallbearbeitung nach dem Onboarding.

Häufig gestellte Fragen

Was ist der Unterschied zwischen KYC, KYB und CDD?

KYC und KYB sind praktische Bezeichnungen für Abläufe bei natürlichen Personen und Unternehmen. CDD ist der umfassendere risikobasierte Prozess, der in vielen AML-Standards und Gesetzen verankert ist. Er verbindet Identität, Eigentum und Kontrolle, Zweck, Risiko und laufende Überprüfung.

Ist KYB dasselbe wie KYC?

Beide verfolgen verwandte Ziele, benötigen aber unterschiedliche Nachweise. Bei KYB kommen in der Regel rechtliche Identität des Unternehmens, Vertretungsberechtigte, Eigentum und Kontrolle sowie der geschäftliche Kontext hinzu.

Wie häufig muss KYC aktualisiert werden?

Eine universelle jährliche Vorgabe gibt es nicht. Aktualisieren Sie Informationen bei wesentlichen Änderungen und beachten Sie jeden anwendbaren risikobasierten oder rechtsordnungsspezifischen Prüfzyklus. Die künftige EU-Geldwäscheverordnung sieht ab dem 10. Juli 2027 bestimmte Höchstintervalle vor.³

Lassen sich KYC und KYB automatisieren?

Viele Aufgaben bei Erhebung, Verifizierung, Screening und Fallsteuerung können automatisiert werden. Das Unternehmen bleibt für die Steuerung des Gesamtprozesses und die abschließenden Compliance-Entscheidungen verantwortlich.

Fazit

KYC, KYB und CDD funktionieren, wenn sie einen nachvollziehbaren Lebenszyklus bilden: anwendbaren Rahmen verstehen, Kunden identifizieren und verifizieren, Eigentum und Vertretungsbefugnis feststellen, Zweck und erwartete Aktivität verstehen, Risiko bewerten, angemessene Maßnahmen anwenden, die Entscheidung dokumentieren und die Akte bei Änderungen aktualisieren. So werden einzelne Prüfungen zu einer prüffähigen Kontrolle.

Quellen