Aadhaar eKYC für Unternehmen: KUA-Lizenzierung, Daten und AML-Regeln

Zuletzt geprüft: 5. Oktober 2026 · Keine Rechtsberatung

Aadhaar eKYC ist der schnellste Weg, die meisten Erwachsenen in Indien zu verifizieren, und der am stärksten regulierte. Die Hürde ist die Lizenz. Dieser Leitfaden behandelt den Ablauf für Nutzer, die Daten, die Rechtslage, die Wege über die Authentication User Agency und die eKYC User Agency (AUA und KUA) sowie über die Authentication Service Agency (ASA) und das Vorgehen für alle, die Aadhaar nicht abdeckt.

Was Aadhaar ist

Aadhaar ist die 12-stellige Identitätsnummer Indiens. Sie stützt sich auf eine zentrale Datenbank mit demografischen und biometrischen Daten, das Central Identities Data Repository (CIDR). Eine Pflichtkarte gibt es nicht: Die Nummer, die Datenbank und der Authentifizierungsdienst bilden den Identitätsnachweis.^[8][15]

Verbreitung in Zahlen

Das Press Information Bureau (PIB) und UIDAI zählen Inhaber, Authentifizierungen und eKYC-Abfragen getrennt. Deshalb nennt jede Zahl ihre Kennzahl.

Quellen: PIB^[1]; DD News^[3]; PIB zu eKYC-Volumen^[4].

Die Zahl der Authentifizierungen erreichte 221 Crore im August 2025, ein Plus von 10% binnen eines Jahres.^[2] Die Gesichtsauthentifizierungen stiegen auf 28.29 Crore im November 2025, nach 12.04 Crore im November 2024.^[3] Am 9. September 2026, nach mehr als 500 Crore (5 Mrd.+) Gesichtsauthentifizierungen durch rund 200 Stellen, startete UIDAI ein Face Authentication SDK und eine Sandbox. Damit sollen Banken und Finanzunternehmen die Vorgaben der Reserve Bank of India (RBI) zur Multi-Faktor-Authentifizierung erfüllen.^[5] Die von uns geprüften Quellen veröffentlichen keinen Anteil der erfassten Erwachsenen. Daher nennt dieser Beitrag keinen (5. Oktober 2026).

Was der Nutzer sieht

Online-eKYC: Der Nutzer gibt eine Aadhaar-Nummer oder eine Virtual ID ein, erteilt seine Einwilligung und bestätigt dann mit einem OTP, das an die bei UIDAI registrierte Mobilnummer gesendet wird, oder mit Fingerabdruck, Iris oder Gesicht. Die Gesichtserfassung auf dem Smartphone läuft über die App AadhaarFaceRD von UIDAI.^[5][14]

Offline wird UIDAI nicht aufgerufen. Der Nutzer lädt eine signierte Paperless Offline eKYC-Datei aus dem myAadhaar-Portal herunter, schützt sie mit einer Freigabephrase und übergibt beides. Der gedruckte Secure QR auf dem Aadhaar-Brief, dem e-Aadhaar oder der PVC-Karte wird mit dem Secure-QR-Reader von UIDAI ausgelesen.^[6][7]

Was ein Unternehmen über Aadhaar eKYC erhält

Online erhält die KUA signierte demografische Daten und ein Foto. Offline wählt der Inhaber, welche demografischen Felder und ob das Foto in die Datei aufgenommen werden.^[6]

Um eine Offline-Datei der Person zuzuordnen, die vor Ihnen steht, ergänzen Sie eine eigene OTP-Prüfung oder einen Gesichtsabgleich zwischen einem Live-Selfie und dem eingebetteten Foto.^[6]

Die Rechtsgrundlage von Aadhaar

Der Aadhaar Act, 2016 regelt die Authentifizierung (Section 8), die Offline-Verifizierung (Section 8A), die Grenzen der Weitergabe (Section 29) und die Sanktionen (Section 40).^[8] Im Verfahren Justice K.S. Puttaswamy (Retd.) v. Union of India bestätigte der Supreme Court am 26. September 2018 Aadhaar für Sozialleistungen. Er hob jedoch Section 57 auf, soweit sie privaten Stellen erlaubte, die Aadhaar-Authentifizierung per Vertrag zu verlangen oder zu nutzen. Ebenso hob er die verpflichtende Verknüpfung mit Bankkonten und SIM-Karten auf.^[10]

Der Aadhaar and Other Laws (Amendment) Act, 2019 stellte die private Nutzung auf eine gesetzliche Grundlage: Offline-Verifizierung nach Section 8A sowie freiwillige Aadhaar-Nutzung für das Bank-KYC nach dem Prevention of Money-laundering Act (PMLA) und für SIM-Karten nach dem Telegraph Act.^[9] Die Aadhaar Authentication for Good Governance (Social Welfare, Innovation, Knowledge) Rules, 2020 in der am 31. Januar 2025 geänderten Fassung erlauben der Zentralregierung, private Stellen für Zwecke wie Gastgewerbe, Gesundheitswesen, Auskunfteien, E-Commerce, Bildung, Anwesenheitserfassung von Personal, Kunden-Onboarding und eKYC zuzulassen. Dies geschieht über das am 27. Februar 2025 gestartete SWIK-Portal.^[11][12]

Section 8A(4)Aadhaar Act, eingefügt 2019

„Keine Stelle, die eine Offline-Verifizierung anstrebt, darf (a) einen Inhaber einer Aadhaar-Nummer einer Authentifizierung unterziehen; (b) eine Aadhaar-Nummer oder biometrische Informationen einer Person für irgendeinen Zweck erheben, verwenden oder speichern“

Quelle: UIDAI, Aadhaar and Other Laws (Amendment) Act, 2019^[9]

Erfüllt Aadhaar die geldwäscherechtlichen Sorgfaltspflichten gegenüber Kunden in Indien

Ja, für die Stellen, die das Gesetz nennt. Section 11A des PMLA, eingefügt 2019, sieht die Aadhaar-Authentifizierung für Bankunternehmen und die Offline-Verifizierung für jede meldepflichtige Stelle vor. Andere meldepflichtige Stellen dürfen erst authentifizieren, wenn die Zentralregierung sie nach Konsultation von UIDAI und ihrer Aufsichtsbehörde notifiziert hat.^[9][13]

Section 11A(1) and (3)Prevention of Money-laundering Act, 2002

„Jede meldepflichtige Stelle überprüft die Identität ihrer Kunden und des wirtschaftlich Berechtigten durch (a) Authentifizierung nach dem Aadhaar [...] Act, 2016, wenn die meldepflichtige Stelle ein Bankunternehmen ist; oder (b) Offline-Verifizierung [...] keinem Kunden und keinem wirtschaftlich Berechtigten dürfen Leistungen verweigert werden, weil er keine Aadhaar-Nummer hat.“

Quelle: UIDAI, Aadhaar and Other Laws (Amendment) Act, 2019, Section 27^[9]

Die KYC-FAQ der RBI vom 9. Juni 2025 nennen als Wege für das Bank-Onboarding Aadhaar-eKYC mit OTP oder Biometrie, die Offline-Verifizierung, eine beglaubigte Kopie eines amtlich gültigen Dokuments, Digital KYC und den Video-based Customer Identification Process (V-CIP). Sie stellen klar, dass die Aadhaar-Nummer für KYC nicht verpflichtend ist, sofern der Kunde keine staatliche Leistung beansprucht.^[14]

So binden Sie Aadhaar eKYC an: KUA, Sub-KUA oder offline

Eine anfragende Stelle sendet eine Aadhaar-Nummer mit demografischen oder biometrischen Daten an das CIDR. Eine AUA erhält eine Authentifizierung mit Ja oder Nein. Eine KUA erhält zusätzlich eKYC-Daten. Beide erreichen das CIDR über eine ASA, indem sie selbst eine werden oder eine beauftragen. Eine Sub-AUA oder Sub-KUA nutzt Aadhaar über eine bestehende anfragende Stelle.^[15]

Wer KUA werden will, stellt einen Antrag nach dem Verfahren der UIDAI. Er akzeptiert eine Prüfung vor Ort von Dokumenten, Infrastruktur und Technik. Er unterzeichnet eine Vereinbarung, die Schadensersatz bei Nichterfüllung vorsieht. Die UIDAI kann Antragsgebühren, jährliche Abonnementgebühren und Gebühren pro Transaktion erheben.^[15][16] Dieser Beitrag nennt keine Beträge. Prüfen Sie das aktuelle Gebührenrundschreiben der UIDAI. Eine Vorlaufzeit für das Onboarding ist nicht veröffentlicht. Die Preise von Intermediären sind in den Quellen, auf die sich dieser Leitfaden stützt, nicht öffentlich (5. Oktober 2026).

Die Sicherheitsvorgaben der UIDAI gelten auf jedem Authentifizierungsweg: Erfasste Daten sofort verschlüsseln, biometrische Daten oder OTPs nie speichern, die Aadhaar-Nummer nie als Kundennummer verwenden und Antworten für Prüfzwecke protokollieren.^[15]

Online-eKYC als Sub-KUA, vereinfacht dargestellt.

Anwendungsfälle und Branchenregeln

Jede Branche braucht für Online-eKYC eine eigene Rechtsgrundlage. Ohne sie bleibt nur der Offline-Weg.

Für die Altersprüfung enthalten die Offline-Datei und der Secure QR das Geburtsdatum oder das Geburtsjahr. Sie können also 18+ prüfen, ohne die Aadhaar-Nummer zu speichern.^[6][9] Laut dpdpa.com akzeptiert Regel 10 der Digital Personal Data Protection (DPDP) Rules, 2025 verlässliche Alters- oder Identitätsangaben oder ein damit verknüpftes virtuelles Token für die elterliche Einwilligung bei unter 18-Jährigen, zum Beispiel über DigiLocker. DigiLocker hat mehr als 70 crore registrierte Nutzer. Unser DigiLocker-API-Leitfaden behandelt das Thema.^[17] Zu Datenbankabgleichen siehe unseren Beitrag zur Aadhaar-Verifizierungs-API.

Grenzen und Ausweichlösungen

Aadhaar ist für Einwohner bestimmt: Das Gesetz gibt jedem Einwohner Anspruch auf eine Nummer und definiert als Einwohner, wer in den zwölf Monaten vor der Registrierung 182 Tage oder mehr in Indien gelebt hat.^[8] Ausländer mit kurzem Aufenthalt und viele nicht in Indien ansässige Inder haben keine. Bei einem Kind erfordert die Offline-Verifizierung die Einwilligung eines Elternteils oder Vormunds.^[9]

Aadhaar ist eine Option, keine Pflicht. Nach PMLA Abschnitt 11A darf keinem Kunden eine Leistung verweigert werden, weil er keine Aadhaar-Nummer hat. Eine Stelle, die die Authentifizierung nutzt, muss auch die anderen Wege anbieten, einschließlich Reisepass.^[9] Wir haben keine Primärquelle zu Aadhaar-Ausfällen gefunden (5. Oktober 2026).

Zuerst Aadhaar, mit einem Dokumentenweg für alle anderen.

Der Dokumentenweg liest den Chip des E-Passes per Nahfeldkommunikation (NFC) aus, prüft die Lebendigkeit und gleicht das Gesicht mit dem Chipfoto ab. Unser Beitrag zur NFC-eID-Verifizierung erklärt, warum der Chip schwer zu fälschen ist.

Checkliste für die Umsetzung

• Bestätigen Sie Ihre Rechtsgrundlage: PMLA, Genehmigung nach den Good-Governance-Regeln, Telekommunikationslizenz oder nur Offline-Verifizierung.
• Wählen Sie den Weg: KUA, Sub-KUA oder Offline-Verifizierung.
• Formulieren Sie einen Einwilligungstext, der die Daten, ihre Verwendung und die Alternativen nennt.
• Bieten Sie jedem Kunden einen Weg ohne Aadhaar an.
• Speichern Sie nur die Referenz-ID oder die letzten vier Ziffern, niemals die Nummer.
• Prüfen Sie bei jeder Offline-Datei und jedem QR-Code die Signatur der UIDAI.
• Speichern Sie niemals biometrische Daten oder OTPs. Protokollieren Sie Metadaten für Prüfzwecke.

Wie Didit bei Aadhaar eKYC hilft

Didit ergänzt Aadhaar auf Anfrage. In Indien nutzt der Workflow für die eID-Verifizierung heute den Dokumentenweg: Erfassung des Ausweisdokuments, NFC-Chip-Auslesung, Liveness-Prüfung und Gesichtsabgleich, dazu AML-Screening gegen 1,300+ Sanktions-, PEP- und Beobachtungslisten. Eine vollständige KYC-Prüfung kostet $0.33, die NFC-Verifizierung $0.15 und das AML-Screening $0.20.

Derselbe Workflow verarbeitet in Europa bereits nationale eID-Verfahren. Die Dokumentation zu digitalen ID-Wallets zeigt, wie Verfahren aktiviert werden.^[18] Die oben gezeigten Aadhaar-Bildschirme gehören zur lizenzierten KUA oder Sub-KUA, die die Daten anfragt, nicht zu einem Aadhaar-Ablauf von Didit.

Häufig gestellte Fragen

Quellen

1. Aadhaar-Inhaber und Authentifizierungen bis heute, Press Information Bureau, 18. März 2026.
2. Aadhaar-Authentifizierungen im August 2025, Press Information Bureau.
3. UIDAI verzeichnet 231 Crore Aadhaar-Authentifizierungstransaktionen im November, DD News.
4. Aadhaar-eKYC-Transaktionen, Press Information Bureau, 2025.
5. Start des Aadhaar Face Authentication SDK und der Sandbox, Press Information Bureau, 9. September 2026.
6. Aadhaar Paperless Offline e-KYC, UIDAI.
7. Aadhaar-Onlinedienste, Secure QR, UIDAI.
8. Aadhaar (Targeted Delivery of Financial and Other Subsidies, Benefits and Services) Act, 2016, in geänderter Fassung, UIDAI.
9. Aadhaar and Other Laws (Amendment) Act, 2019, UIDAI.
10. Justice K.S. Puttaswamy (Retd.) v. Union of India, Urteil vom 26. September 2018, Supreme Court of India.
11. Aadhaar-Authentifizierung für Good Governance und das SWIK-Portal, Press Information Bureau, 2025.
12. Änderung der Aadhaar Authentication for Good Governance Rules, Press Information Bureau, 2025.
13. Prevention of Money-laundering (Maintenance of Records) Rules, 2005, Financial Intelligence Unit India.
14. FAQs zur Master Direction on KYC, Reserve Bank of India, 9. Juni 2025.
15. Authentication Requesting Agency (AUA, KUA, ASA), UIDAI, aktualisiert am 30. Juni 2026.
16. AUA- und KUA-Vereinbarung, Version 4.0, UIDAI.
17. DigiLocker, National e-Governance Division, MeitY.
18. Digitale ID-Wallets, Didit-Dokumentation.

Vergleichen Sie nationale Verfahren auf der Seite zur eID-Verifizierung. Für Europa siehe die Seite zur EUDI-Wallet.