KYC-Software oder Identitätsprüfung: Was Compliance-Teams wirklich brauchen

KYC-Software und Software zur Identitätsprüfung sind nicht zwangsläufig dasselbe. Die Identitätsprüfung soll hinreichende Gewissheit darüber schaffen, dass eine Person tatsächlich diejenige ist, für die sie sich ausgibt. Ein umfassenderer KYC- oder CDD-Prozess kann darüber hinaus Unternehmens- und Eigentümerdaten, den Zweck der Geschäftsbeziehung, AML-Prüfungen, die Kundenrisikobewertung, Prüfung und Eskalation, Nachweise sowie Kontrollen nach dem Onboarding umfassen.

Die Unklarheit entsteht nicht nur aus der Compliance-Terminologie, sondern auch aus der Vermarktung. Ein Anbieter bezeichnet Dokumenten- und biometrische Prüfungen als „KYC-Software“. Ein anderer meint damit Sanktions- und PEP-Prüfungen. Ein dritter beschreibt eine Plattform für den gesamten Kundenlebenszyklus. Käufer sollten deshalb vergleichen, welche Kontrollen ein Produkt tatsächlich ausführt, welche Daten es voraussetzt und welche Rolle es in der Onboarding-Architektur übernimmt.

Die praktische Frage lautet nicht, welche Bezeichnung richtig ist, sondern: Benötigt das Unternehmen Software zur Identitätsprüfung, eine AML-Entscheidungsebene oder beides?

Eine ausführliche Einordnung des Kundenlebenszyklus und der regulatorischen Konzepte finden Sie in unserem Leitfaden zu KYC, KYB und Kundensorgfaltspflichten.

Sechs Begriffe, die Softwarekäufer auseinanderhalten sollten

Die folgenden Begriffe überschneiden sich im allgemeinen Sprachgebrauch, beantworten jedoch unterschiedliche Fragen. Welche rechtlichen Maßnahmen und Bezeichnungen gelten, hängt von der Rechtsordnung, dem verpflichteten Unternehmen, dem Kunden, dem Produkt, dem Vertriebskanal und dem ermittelten Risiko ab.

Diese Unterscheidung hat eine klare regulatorische Grundlage. FATF Recommendation 10 behandelt die Identifizierung und Überprüfung des Kunden als einen Teil der Kundensorgfaltspflichten. Wirtschaftlich Berechtigte, Zweck und angestrebte Art der Geschäftsbeziehung sowie laufende Sorgfaltspflichten werden gesondert behandelt. Die FATF-Guidance on Digital Identity betrachtet digitale Identitätssysteme gezielt als mögliche Unterstützung für den Identifizierungs- und Überprüfungsschritt innerhalb der CDD.

Die FATF Recommendations sind internationale Standards, die Staaten in ihren jeweiligen Rahmenwerken umsetzen. Sie sind kein unmittelbar geltendes Weltgesetz für jedes Unternehmen. Ein Vergleich von Produktkategorien kann deshalb die verschiedenen Ebenen erklären, aber nicht die für jeden Leser erforderlichen Kontrollen vorgeben.

Was Software zur Identitätsprüfung tatsächlich leistet

Software zur Identitätsprüfung unterstützt Unternehmen dabei, die Verlässlichkeit von Identitätsangaben für einen bestimmten Zweck zu beurteilen. Abhängig von Anbieter, Land, Kanal und erforderlichem Vertrauensniveau können dazu Dokumentenprüfungen, elektronische Identitätssysteme, vertrauenswürdige Datenbanken, dokumentenunabhängige Nachweise, Selfie-Abgleiche, biometrische Verfahren oder Liveness-Prüfungen gehören.

Dies sind mögliche Verfahren und keine weltweit verbindliche Liste vorgeschriebener KYC-Technologien. Die FATF Guidance on Digital Identity folgt einem risikoorientierten Ansatz: Vertrauensniveau, Technologie, Governance und Verlässlichkeit eines digitalen Identitätssystems müssen für den jeweiligen CDD-Zweck geeignet sein. Für einschlägige US-amerikanische Kundenidentifizierungsverfahren erkennen FinCEN-Unterlagen ebenfalls dokumentenbasierte, dokumentenunabhängige oder kombinierte Methoden an, statt weltweit einen einheitlichen Pass-und-Selfie-Prozess vorzuschreiben.

Identitätsprüfung und Authentifizierung sind ebenfalls voneinander zu unterscheiden. Bei der Identitätsprüfung geht es in der Regel darum, eine Identität während des Onboardings oder einer anderen festgelegten Prüfung festzustellen oder zu bestätigen. Die Authentifizierung klärt, ob eine wiederkehrende Person oder ein Gerät auf ein Konto zugreifen oder eine Handlung ausführen darf. Dieselben Technologien können beide Zwecke unterstützen, doch das Kontrollziel ist jeweils ein anderes.

Eine erfolgreiche Identitätsprüfung liefert einen relevanten Nachweis. Sie beantwortet jedoch nicht sämtliche Compliance-Fragen. Sie stellt weder fest, ob ein Kunde einem Sanktions- oder PEP-Eintrag entspricht, noch wer ein Unternehmen kontrolliert. Ebenso wenig bestimmt sie den Zweck einer Geschäftsbeziehung oder ob Tätigkeit und geografischer Bezug des Kunden nach den internen Vorgaben ein vertretbares Risiko darstellen.

Was „KYC-Software“ in der Praxis bedeuten kann

„KYC-Software“ ist eine Sammelbezeichnung des Marktes und keine standardisierte Funktionsliste. Der Financial Crime Guide der britischen FCA weist darauf hin, dass KYC und CDD teilweise synonym verwendet werden. Softwareanbieter nutzen den Begriff noch breiter.

Die meisten als KYC-Software vermarkteten Produkte folgen vor allem einem von drei Modellen:

1. Identitätsprüfung als Ausgangspunkt. Die Plattform beginnt mit Identitätsnachweisen und einer Bewertung ihrer Verlässlichkeit. Ergänzend können Betrugssignale, AML-Prüfungen, Unternehmensverifizierung oder Prozessfunktionen hinzukommen.
2. AML und Risiko als Ausgangspunkt. Die Plattform beginnt mit Sanktions-, PEP-, Watchlist- oder Prüfungen negativer Medien und kann Kundenrisikobewertung, Fallbearbeitung und Monitoring ergänzen. Identitätsdaten können aus einer vorgelagerten Prüfung stammen.
3. Kundenlebenszyklus oder Orchestrierung als Ausgangspunkt. Die Plattform koordiniert Datenerhebung, Prüfungen, Risikovorgaben, Freigaben, Fallbearbeitung, Produktzugang und laufende Kundenereignisse über mehrere Anbieter und interne Systeme hinweg.

Diese Modelle können sich überschneiden. Ein Anbieter deckt möglicherweise mehrere Ebenen ab, ein anderer bindet spezialisierte Dienste ein. Keiner der Ansätze ist grundsätzlich überlegen. Die geeignete Architektur richtet sich nach regulatorischem Anwendungsbereich, Produkten, Kunden, Betriebsmodell, vorhandenen Systemen und Kontrollzuständigkeiten des Unternehmens.

Ein häufiger Beschaffungsfehler besteht darin, von der Bezeichnung „KYC-Software“ auf sämtliche drei Modelle zu schließen. Stattdessen braucht es eine Kontrollübersicht: Welche Daten gehen ein? Welches System erhebt oder überprüft sie? Welche Prüfungen laufen? Wer bearbeitet Ausnahmen? Wie werden Entscheidungen dokumentiert? Was geschieht nach dem Onboarding?

Wo KYB und Unternehmensverifizierung einzuordnen sind

Unternehmensverifizierung bezeichnet üblicherweise Software, die Angaben zu einer juristischen Person bestätigt. Je nach Anbieter kann sie offizielle oder kommerzielle Datenquellen abfragen, Gesellschaftsunterlagen prüfen, Registrierung oder aktiven Status bestätigen oder Angaben zu Geschäftsleitern und Eigentümern erfassen.

KYB ist weiter gefasst und weniger einheitlich definiert. Der Begriff dient häufig als Kurzform für Onboarding- und Sorgfaltskontrollen bei Unternehmen und anderen juristischen Personen. Ein KYB-Prozess kann eine Unternehmensverifizierung einschließen. Darüber hinaus muss das prüfende Unternehmen gegebenenfalls Vertreter, Eigentums- und Kontrollverhältnisse, wirtschaftlich Berechtigte, Geschäftszweck, erwartete Tätigkeit, Risikofaktoren, Prüfergebnisse und laufende Änderungen erfassen und verstehen.

Die Bestätigung, dass ein Unternehmen existiert, schließt daher die Sorgfaltsprüfung einer juristischen Person nicht ab. FATF Recommendation 10 sieht die Identifizierung wirtschaftlich Berechtigter und angemessene Maßnahmen zur Überprüfung ihrer Identität sowie ein Verständnis der Eigentums- und Kontrollstruktur vor. Welche Maßstäbe und Methoden gelten, bestimmt der jeweilige rechtliche Rahmen.

Auch die technischen Zuständigkeiten müssen klar bleiben. Ein Onboarding- oder Unternehmensdatenanbieter kann Unternehmens- und Eigentümerangaben beschaffen und bestätigen. Eine getrennte AML-Ebene kann anschließend die bereitgestellten Daten zu Unternehmen, wirtschaftlich Berechtigten, kontrollierenden Personen, Geschäftsleitern, Zeichnungsberechtigten und verbundenen Parteien für AML-Prüfungen, Risikobewertung und Fallbearbeitung verwenden.

Checklynx folgt diesem zweiten Modell: Der Kunde oder ein vorgelagerter Anbieter stellt Kunden-, Unternehmens-, Eigentümer- und UBO-Daten bereit. Checklynx fragt keine Unternehmensregister ab und ermittelt keine wirtschaftlich Berechtigten. Die Plattform kann die bereitgestellten Beziehungen abbilden und Teams bei der Steuerung von Risiken wirtschaftlich Berechtigter und verbundener Parteien im übergeordneten AML-Prozess unterstützen.

AML-Prüfungen und Kundenrisiko sind getrennte Kontrollen

Die AML-Prüfung bildet eine weitere Ebene. Sie ersetzt weder Identitäts- noch Unternehmensverifizierung. Dabei werden bereitgestellte Personen- oder Unternehmensdaten mit festgelegten Risikoquellen abgeglichen. Je nach Prüfprogramm können dazu Sanktions-, PEP- und Watchlist-Daten sowie negative Medien gehören.

Jedes Prüfergebnis ist anhand seiner Quelle und seines rechtlichen Kontexts zu bewerten. Ein möglicher Sanktionstreffer ist nicht dasselbe wie ein PEP-Bezug. Ein PEP-Hinweis belegt kein Fehlverhalten. Negative Medien haben nicht dieselbe Rechtswirkung wie eine offizielle Sanktionsbenennung. Keines dieser Ergebnisse bestätigt die Echtheit eines Identitätsdokuments.

Auch die abschließende Kundenentscheidung trifft nicht die AML-Prüfung. Ein möglicher Treffer ist Ausgangspunkt einer Untersuchung. Teams müssen gegebenenfalls die Identität klären, Qualität und Relevanz der Quelle bewerten, Rechtsordnung und einschlägiges Programm bestimmen, Eigentums- oder Beziehungskontext berücksichtigen und dokumentieren, warum ein Ergebnis verworfen, eskaliert, eingeschränkt oder anderweitig behandelt wurde.

Die Kundenrisikobewertung beantwortet wiederum eine andere Frage. Sie führt relevante Faktoren – etwa Kundentyp, geografischen Bezug, Produkt, Vertriebskanal, Eigentümerstruktur, erwartete Tätigkeit und Prüfinformationen – zu einer Risikoeinschätzung zusammen, die angemessene Kontrollen unterstützt. Faktoren, Methodik, Schwellenwerte und Folgemaßnahmen richten sich nach dem einschlägigen Rahmenwerk und den internen Vorgaben des Unternehmens.

Ein Identitätsergebnis kann in diese Bewertung einfließen, ersetzt sie jedoch nicht. Ebenso belegt das Fehlen eines Sanktions- oder PEP-Treffers nicht, dass ein Kunde ein geringes Risiko aufweist. Eine separate Kundenrisikobewertung kann bereitgestellte Kundeninformationen und Risikosignale in einen kontrollierten Prüfprozess einbinden.

Eine mehrstufige Onboarding-Architektur

Eine zweckmäßige Technologiearchitektur ordnet jede Kontrolle einer klaren Zuständigkeit zu. Ein Anbieter kann mehrere Ebenen abdecken, doch die Übergaben sollten nachvollziehbar bleiben.

1. Vorgelagerte Verifizierung — Identitäts- oder Unternehmensprüfung, soweit erforderlich.
2. Bereitgestellte Kunden-, Unternehmens- und UBO-Daten — Informationen werden für nachgelagerte Kontrollen strukturiert.
3. AML-Prüfung — Relevante Parteien werden entsprechend dem Prüfprogramm des Unternehmens geprüft.
4. Kundenrisikobewertung — Relevante Faktoren fließen gemäß der internen Methodik in die Bewertung ein.
5. Fallbearbeitung und Nachweise — Mögliche Treffer und Ausnahmen werden zugewiesen, untersucht und dokumentiert.
6. Entscheidung nach internen Vorgaben — Das zuständige Unternehmen legt die nächste Maßnahme fest.
7. Laufendes Monitoring — Änderungen an Kundeninformationen, Eigentumsverhältnissen, Prüfquellen oder Risikobewertung können erneute Prüfungen, Neubewertungen und weitere Fallbearbeitung auslösen.

Diese Architektur vermeidet zwei verbreitete Fehler. Erstens wird eine bestandene Identitätsprüfung nicht mit einer vollständigen AML-Beurteilung gleichgesetzt. Zweitens entsteht nicht der Eindruck, dass AML-Prüfsoftware die zugrunde liegenden Identitäts-, Unternehmens- oder Eigentümerdaten selbst beschafft oder verifiziert.

Wenn Teams bereits Kunden-, Unternehmens- und Eigentümerdaten erhalten, kann KYC/KYB-Onboarding mit AML-Entscheidungsprozessen diese Eingaben mit AML-Prüfungen, Kundenrisiko, kontrollierter Fallbearbeitung, Nachweisen und laufenden Kontrollen verbinden.

KYC-Software richtig bewerten

Ausgangspunkt sollte das Betriebsmodell sein, nicht die Funktionsliste eines Anbieters. Hinter derselben Funktionsbezeichnung können unterschiedliche Datenquellen, Kontrollziele, Prüfprozesse oder Zuständigkeiten stehen.

Die Checkliste sollte zu einer Architekturentscheidung führen und nicht lediglich zu einer Produktpunktzahl. Manche Unternehmen benötigen einen spezialisierten Anbieter für Identitätsprüfung und eine separate AML-Ebene. Andere müssen bestehende Systeme orchestrieren. Wieder andere nutzen einen Anbieter für mehrere Kontrollen, behalten aber getrennte Governance, Tests und Nachweise für jedes Kontrollziel bei.

Erfahren Sie, wie laufendes Monitoring relevante Änderungen nach dem Onboarding unterstützt.

Rechtsordnung und regulatorischer Anwendungsbereich sind maßgeblich

Softwarekategorien bestimmen keine rechtlichen Pflichten. Die FATF Recommendations setzen internationale Standards, die Staaten durch unterschiedliche Gesetze und Aufsichtsrahmen umsetzen. Ob ein Unternehmen in den Anwendungsbereich fällt, welche CDD-Maßnahmen gelten, welche Nachweise anerkannt werden und wann verstärkte oder laufende Kontrollen erforderlich sind, richtet sich nach dem einschlägigen Rahmenwerk und dem konkreten Sachverhalt.

In der EU behandelt Artikel 13 der Directive (EU) 2015/849 Identifizierung und Überprüfung, wirtschaftlich Berechtigte, Zweck und angestrebte Art der Geschäftsbeziehung sowie laufendes Monitoring als CDD-Maßnahmen. Die EU befindet sich im Übergang zur Regulation (EU) 2024/1624, die im Allgemeinen ab dem 10. Juli 2027 gilt. Ihre Anforderungen an den privaten Sektor dürfen im August 2026 nicht so dargestellt werden, als würden sie bereits vollständig gelten.

Im Vereinigten Königreich sind Teil 3 der Money Laundering Regulations 2017 und die einschlägigen FCA-Leitlinien nach regulatorischem Anwendungsbereich und Umständen des Unternehmens auszulegen. In den Vereinigten Staaten gilt die hier behandelte FinCEN CDD Rule für bestimmte erfasste Finanzinstitute und nicht für jedes Unternehmen, das den Begriff KYC verwendet.

Dieses Modell dient der Zuordnung technischer Zuständigkeiten. Welche rechtlichen Maßnahmen gelten, ist für jede Gesellschaft, jedes Produkt, jeden Kundentyp und jede Rechtsordnung gesondert zu bestimmen.

Wo eine AML-Entscheidungsebene ansetzt

Eine AML-Entscheidungsebene ist relevant, wenn ein Team bereits Kunden-, Unternehmens- und Eigentümerinformationen erhält, diese Eingaben aber noch in konsistente AML-Prüfungen, Risikobewertungen, Fallbearbeitung, Nachweise und laufende Kontrollen überführen muss.

Checklynx unterstützt diese AML-Entscheidungsebene im KYC/KYB-Onboarding. Auf Grundlage der vom Kunden oder einem vorgelagerten Anbieter bereitgestellten Angaben zu Kunden, Unternehmen, wirtschaftlich Berechtigten und verbundenen Parteien können Teams AML-Prüfungen durchführen, Kundenrisikokontrollen anwenden, Ausnahmen bearbeiten, Entscheidungsnachweise aufbewahren und relevante Kontrollen nach dem Onboarding fortführen.

Identitätsdokumentenprüfung, Biometrie, Liveness-Prüfung, Unternehmensregisterprüfung und Ermittlung wirtschaftlich Berechtigter bleiben vorgelagerte Funktionen. Das verantwortliche Unternehmen bleibt für seine Richtlinien und die abschließende Entscheidung über die Geschäftsbeziehung zuständig.

Häufig gestellte Fragen

Ist KYC-Software dasselbe wie Software zur Identitätsprüfung?

Nicht unbedingt. Software zur Identitätsprüfung konzentriert sich darauf, eine Identität festzustellen oder zu bestätigen. „KYC-Software“ wird uneinheitlich verwendet und kann Identitätsprüfung, AML-Prüfungen, Kundenrisiko, Fallprozesse, Orchestrierung des Kundenlebenszyklus oder mehrere dieser Funktionen bezeichnen. Käufer sollten Kontrollen und Datenflüsse vergleichen, statt sich allein auf die Produktbezeichnung zu verlassen.

Reicht die Identitätsprüfung aus, um KYC abzuschließen?

Weder technisch noch rechtlich gibt es eine weltweit einheitliche Definition für ein „vollständig abgeschlossenes KYC“. Nach FATF Recommendation 10 und den hier behandelten Rahmenwerken der EU, des Vereinigten Königreichs und bestimmter US-Finanzinstitute bilden Identifizierung und Überprüfung des Kunden einen Teil umfassenderer CDD-Maßnahmen. Weitere Pflichten hängen von Rechtsordnung, verpflichtetem Unternehmen, Kunde, Produkt, Geschäftsbeziehung und Risiko ab.

Erfordern KYC-Prüfungen immer einen Pass oder biometrische Verfahren?

Weltweit gilt keine einheitliche Methode. Je nach Rahmenwerk und Anwendungsfall können dokumentenbasierte, dokumentenunabhängige, elektronische, biometrische oder kombinierte Verfahren verfügbar oder angemessen sein. Die FATF Guidance on Digital Identity fragt nach einem geeigneten Vertrauensniveau des digitalen Identitätssystems, statt eine bestimmte Technologie weltweit vorzuschreiben.

Worin unterscheiden sich KYB und Unternehmensverifizierung?

Unternehmensverifizierung bedeutet üblicherweise, Angaben zu einer juristischen Person anhand von Unterlagen, Registern oder anderen Datenquellen zu bestätigen. KYB ist eine weiter gefasste Branchenbezeichnung für Onboarding und Sorgfaltsprüfungen bei Unternehmen. Dazu können Unternehmensdaten, Eigentum und Kontrolle, Vertreter, wirtschaftlich Berechtigte, AML-Prüfungen, Risikobewertung und laufende Überprüfung gehören. Die Terminologie ist weltweit nicht einheitlich.

Wie ordnen sich Sanktions- und PEP-Prüfungen in KYC ein?

Sie können als verbundene Kontrollen gegen Finanzkriminalität beim Onboarding und bei laufenden Überprüfungen eingesetzt werden. Sie bleiben von der Identitätsprüfung und voneinander getrennt. Ein Sanktionstreffer, PEP-Hinweis oder negativer Medienbericht ist nach seinem jeweiligen rechtlichen, risikobezogenen und internen Kontext zu bearbeiten; keiner davon ist automatisch eine abschließende Kundenentscheidung.

Endet KYC nach dem Onboarding?

Nicht zwangsläufig. FATF Recommendation 10 umfasst laufende Sorgfaltspflichten; auch die oben behandelten Rahmenwerke der EU, des Vereinigten Königreichs und der erfassten US-Finanzinstitute sehen laufende oder risikoorientierte Kontrollen vor. Auslöser, Häufigkeit und Maßnahmen richten sich nach den einschlägigen Vorgaben und dem risikoorientierten Prozess des Unternehmens – nicht nach einer weltweit einheitlichen jährlichen Aktualisierungspflicht.

Kann ein Unternehmen getrennte Anbieter für Identitätsprüfung und AML-Prüfungen einsetzen?

Ja. In einer modularen Architektur kann ein Anbieter oder Prozess Identitäts- oder Unternehmensdaten beschaffen und überprüfen, während ein anderer AML-Prüfungen, Kundenrisikobewertung, Fallbearbeitung und Monitoring übernimmt. Das Unternehmen muss dennoch die einschlägigen Zuständigkeiten für Auslagerung, Vertrauen auf Dritte, Daten, Governance und Kontrollen regeln.

Worauf sollten Compliance-Teams beim Kauf von KYC-Software achten?

Zuerst sind die erforderlichen Kontrollen zuzuordnen. Anschließend sollten Datenerhebung und Verifizierung, Unternehmens- und Eigentümerdaten, AML-Prüfungen, Kundenrisikobewertung, Fallbearbeitung, Nachweise, laufende Kontrollen, Integrationen, Berechtigungen und Richtliniengovernance bewertet werden. Die Softwareauswahl unterstützt einen Compliance-Prozess; sie bestimmt oder garantiert nicht dessen Rechtskonformität.

KYC/KYB-Onboarding mit kontrollierten AML-Entscheidungen

Wenn die Onboarding-Systeme bereits Kunden-, Unternehmens-, Eigentümer- und UBO-Daten bereitstellen, kann Checklynx diese Eingaben mit AML-Prüfungen, Kundenrisikobewertung, kontrollierter Fallbearbeitung, Entscheidungsnachweisen und laufendem Monitoring verbinden.

Offizielle Quellen

• FATF Recommendations, einschließlich Recommendation 10
• FATF Guidance on Digital Identity
• Directive (EU) 2015/849
• Regulation (EU) 2024/1624
• UK Money Laundering Regulations 2017, Part 3
• FCA Financial Crime Guide, customer due diligence
• FCA Financial Crime Guide, Annex 1
• FinCEN Customer Due Diligence Final Rule
• FinCEN Customer Due Diligence Rule FAQs