Eine wirksame KYC-Prüfung endet nicht mit der Identitätsfeststellung. Für verpflichtete Unternehmen ist es entscheidend, Kundendaten, Risikobewertung, laufende Überwachung und Dokumentation in ein belastbares Compliance-System zu integrieren. Gerade für die Geldwäscheprävention muss KYC als fortlaufender Prozess verstanden werden.
In Deutschland ergeben sich zentrale Pflichten, insbesondere aus dem Geldwäschegesetz (GwG). Zusätzlich gewinnt die EU-Verordnung 2024/1624 an Bedeutung, die grundsätzlich ab dem 10. Juli 2027 unmittelbar gilt.
Risikobasierte KYC-Prüfung statt Einheitsprozess
Die KYC-Compliance basiert auf einem risikoorientierten Ansatz. Unternehmen müssen Risiken der Geldwäsche und Terrorismusfinanzierung identifizieren, bewerten und dokumentieren.
Für die Einstufung können unter anderem folgende Faktoren relevant sein:
- Art und Zweck der Geschäftsbeziehung,
- Herkunfts- und Tätigkeitsländer,
- Produkte und Dienstleistungen,
- Eigentums- und Kontrollstrukturen,
- erwartetes Transaktionsverhalten,
- Hinweise auf politisch exponierte Personen,
- ungewöhnliche oder schwer nachvollziehbare Konstellationen.
Wichtig ist, dass Risikokategorien konkrete Folgen haben. Bei erhöhtem Risiko können zusätzliche Informationen, interne Freigaben oder eine intensivere Überwachung erforderlich sein.
Welche Pflichten zur KYC-Compliance gehören
Eine erfolgreiche Identitätsprüfung allein erfüllt nicht sämtliche KYC-Anforderungen. Zu den wesentlichen Sorgfaltspflichten gehören auch die Ermittlung der wirtschaftlich Berechtigten, die Bewertung von Zweck und Art der Geschäftsbeziehung sowie deren kontinuierliche Überwachung.
Besondere Aufmerksamkeit erfordern komplexe Unternehmens- und Beteiligungsstrukturen. Unternehmen müssen nachvollziehen können, welche natürlichen Personen letztlich Eigentum oder Kontrolle ausüben.
Bei erhöhtem Risiko können verstärkte Sorgfaltspflichten notwendig sein. Dazu können zusätzliche Informationen über den Kunden, Angaben zur Herkunft von Vermögenswerten, interne Genehmigungen oder eine verstärkte Überwachung gehören.
KYC-Prozesse sollten außerdem klare Regeln enthalten für:
- risikoorientierte Aktualisierung von Kundendaten in angemessenen zeitlichen Abständen,
- erneute Prüfung bei relevanten Änderungen,
- Neubewertung des Risikoprofils,
- Eskalation auffälliger Fälle,
- manuelle Prüfungen,
- Dokumentation von Entscheidungen.
Typische Herausforderungen in der Praxis
Eine der größten Herausforderungen ist die Aktualität von Kundendaten. Änderungen bei Anschriften, Geschäftsführern, Beteiligungsverhältnissen oder wirtschaftlich Berechtigten können eine erneute Bewertung notwendig machen.
Ebenso problematisch sind zu viele False Positives bei automatisierten Screening-Prozessen. Zu großzügige Regeln verursachen einen hohen manuellen Prüfaufwand, während zu enge Filter relevante Treffer übersehen können.
Internationale Kundenbeziehungen erhöhen die Komplexität zusätzlich. Unterschiedliche Schreibweisen, ausländische Register und mehrstufige Beteiligungsstrukturen erschweren eindeutige Zuordnungen.
Auch fragmentierte IT-Systeme sind ein Risiko. Wenn Identitätsdaten, Risikobewertung, Screening und Fallbearbeitung nicht sauber miteinander verbunden sind, können veraltete oder widersprüchliche Informationen entstehen.
Best Practices für KYC und Geldwäscheprävention
Wirksame KYC-Compliance verbindet Automatisierung mit klaren Kontroll- und Eskalationsprozessen.
Zu den wichtigsten Best Practices gehören:
- Risikokriterien eindeutig definieren und dokumentieren,
- automatisierte Prüfungen mit manuellen Eskalationswegen kombinieren,
- Kundendaten risikoorientiert und bei relevanten Änderungen aktualisieren,
- Entscheidungen und Freigaben nachvollziehbar protokollieren,
- Compliance-Prozesse regelmäßig testen,
- Datenschutz, Zugriffsrechte und Aufbewahrungsfristen berücksichtigen.
Besonders wichtig ist die Dokumentation. Unternehmen sollten nachvollziehen können, welche Informationen geprüft wurden, welche Risikofaktoren vorlagen, warum eine bestimmte Einstufung erfolgte und wer eine manuelle Entscheidung getroffen hat.
Externe KYC-Dienstleister richtig einbinden
Unternehmen können Teile der KYC-Prüfung an spezialisierte Anbieter auslagern. Die Verantwortung für die Erfüllung der geldwäscherechtlichen Sorgfaltspflichten bleibt jedoch beim verpflichteten Unternehmen.
Deshalb sollten Verantwortlichkeiten, Kontrollrechte, Datenverarbeitung, Nachweise und Verfahren bei Störungen eindeutig geregelt werden. Bei ausgelagerten Prüfungen muss zudem sichergestellt werden, dass die Leistungen des Dienstleisters angemessen überwacht und kontrolliert werden können.
Ein technisch erfolgreicher Identitätscheck sollte außerdem nicht automatisch als vollständige KYC-Freigabe gelten, wenn noch weitere Risiko- oder Compliance-Prüfungen erforderlich sind.
Vorbereitung auf die EU-AMLR
Mit der EU-Verordnung 2024/1624 werden zentrale AML- und KYC-Anforderungen stärker harmonisiert. Unternehmen sollten ihre Prozesse daher bereits vor dem 10. Juli 2027 auf Anpassungsfähigkeit prüfen.
Besonders relevant sind folgende Fragen:
- Ist das Risikomodell flexibel anpassbar?
- Können Kundenbestände neu bewertet werden?
- Sind wirtschaftlich Berechtigte nachvollziehbar dokumentiert?
- Sind verstärkte Sorgfaltspflichten systematisch hinterlegt?
- Lassen sich Entscheidungen revisionssicher nachvollziehen?
- Sind externe Dienstleister in das Kontrollsystem eingebunden?
Eine belastbare KYC-Compliance entsteht durch das Zusammenspiel von Risikobewertung, aktuellen Kundendaten, laufender Überwachung, klaren Verantwortlichkeiten und vollständiger Dokumentation. Genau diese Elemente sind entscheidend für eine wirksame Geldwäscheprävention und eine dauerhaft regulatorisch belastbare Kundenprüfung.
