eKYC aus der Ferne: Methoden, Risiken und Compliance (DE)

eKYC, oder elektronisches Know Your Customer, ist die Durchführung der Kundenidentifikation und Due Diligence über digitale Kanäle. Es ermöglicht einer Organisation, Identitätsinformationen zu sammeln, Nachweise zu validieren, zu überprüfen, ob der Antragsteller mit diesen verknüpft ist, relevante Risiken zu überprüfen und eine Entscheidung zu dokumentieren, ohne dass jeder Kunde eine Filiale oder ein Büro aufsuchen muss.

Der „elektronische“ Teil beschreibt den Kanal, nicht eine geringere Verpflichtung. Ein Remote-Flow benötigt weiterhin eine Richtlinie für zuverlässige Nachweise, Betrugsresistenz, Ausnahmen, menschliche Überprüfung, Datenschutz, Aufzeichnung und fortlaufende Kunden-Due-Diligence. Das Ersetzen eines Schreibtisches durch eine App ändert die Angriffsfläche und das Betriebsmodell; es verwandelt nicht ein Selfie oder eine Datenbankantwort in ein vollständiges KYC.

Dieser Leitfaden konzentriert sich auf den Remote-Onboarding-Zweig des breiteren KYC-Lebenszyklus: wie elektronische Nachweise gesammelt, getestet, einem Antragsteller zugeordnet und betrieben werden, wenn der Kunde nicht physisch anwesend ist.

Wichtigste Erkenntnisse

• eKYC ist digitales KYC, keine einzelne Technologie. Dokumente, NFC-Chips, autoritative Datenbanken, digitale Anmeldeinformationen, Biometrie und betreute Videos können alle eine Remote-Entscheidung unterstützen.
• Die Sicherheit hängt vom gesamten System ab. Die Stärke des Nachweises, die Validierung, die Bindung des Antragstellers, die Integrität der Erfassung, die Richtlinie und die Ausnahmebehandlung sind wichtiger, als ob die Reise als „automatisiert“ bezeichnet wird.
• Remote-Onboarding birgt besondere Bedrohungen. Präsentationsangriffe, eingeschleuste Medien, Emulatoren, gestohlene Identitätsdaten, synthetische Identitäten, Account-Farmen und manipulierte Dokumente erfordern separate Kontrollen.
• Das Risiko sollte den Weg bestimmen. Antragsteller mit geringerem Risiko können einen kurzen Ablauf absolvieren, während Unsicherheiten oder höhere Risiken mehr Nachweise, eine aktive Herausforderung oder eine geschulte Überprüfung auslösen können.
• Die Organisation bleibt verantwortlich. Ein Anbieter liefert Nachweise und technische Ergebnisse; die regulierte oder sich darauf verlassende Organisation ist Eigentümer der rechtlichen Analyse, der Akzeptanzrichtlinie, der Aufzeichnungen und der fortlaufenden Überwachung.

Was bedeutet eKYC?

eKYC bedeutet die Durchführung der Identitäts- und Kunden-Due-Diligence-Teile von KYC über eine elektronische Reise. Der Antragsteller kann ein Telefon, einen Browser, einen Kiosk, eine wiederverwendbare digitale Identität oder einen unterstützten Videokanal verwenden. Die Organisation kann verschiedene Arten von Nachweisen kombinieren, anstatt jede Person durch dieselbe Dokument- und Selfie-Sequenz zu zwingen.

Die Anleitung der Financial Action Task Force zur digitalen Identität ist technologieneutral. Sie fordert regulierte Unternehmen auf, das Sicherheitsniveau, die Architektur und die Governance eines digitalen Identitätssystems zu verstehen und dann zu entscheiden, ob es für das relevante Kunden-Due-Diligence-Risiko ausreichend zuverlässig und unabhängig ist.

Dies macht eKYC zu einem Betriebsmodell und nicht zu einer Produktkategorie mit einer festen Definition. In einem Markt kann ein autoritativer Datenbankabgleich plus ein gebundenes Telefon für ein begrenztes Konto akzeptabel sein. In einem anderen kann die Richtlinie ein Regierungsdokument, eine Chipverifizierung, Lebendigkeitsprüfung, einen Gesichtsvergleich und eine Überprüfung vor Beginn einer Beziehung erfordern.

eKYC, KYC, digitale Identität und Authentifizierung im Vergleich

Begriff	Frage, die er beantwortet	Typischer Zeitpunkt	Grenze, die es zu wahren gilt
KYC	Kennen und verstehen wir diesen Kunden gut genug für die Beziehung?	Onboarding und fortlaufende Überprüfung	Umfassender als Identitätsnachweise
eKYC	Können die KYC-Nachweise und die Entscheidung über elektronische Kanäle abgeschlossen werden?	Remote-Onboarding und Aktualisierung	Ein Kanal, kein separates rechtliches Ziel
Identitätsprüfung	Existiert die beanspruchte reale Identität, und ist der Antragsteller mit ihr verknüpft?	Registrierung, Wiederherstellung oder Step-up	Bewertet nicht von sich aus das Kundenrisiko
Digitale Identität	Welche digitale Darstellung, Anmeldeinformation oder welches Konto bezieht sich auf das Subjekt?	Registrierung und spätere Verwendung	Qualität hängt davon ab, wie sie ausgestellt und gepflegt wurde
Authentifizierung	Kontrolliert der aktuelle Benutzer den an ein Konto gebundenen Authentifikator?	Anmeldung oder Transaktionsautorisierung	Beweist nicht, wie das Konto ursprünglich eingerichtet wurde
AML-Screening	Erscheint der Kunde in relevanten Sanktions-, PEP- oder anderen Risikodaten?	Onboarding und erneutes Screening	Eine mögliche Übereinstimmung ist nicht automatisch eine bestätigte Übereinstimmung

Diese Konzepte arbeiten zusammen. eKYC kann einen Kundenstamm aufbauen und einen Authentifikator binden. Die Authentifizierung kann dann den späteren Zugriff schützen. Anti-Geldwäsche-Kontrollen können das verifizierte Kundenprofil verwenden, um Screening und Verhalten zu interpretieren. Sie als eine einzige Bewertung zu behandeln, verbirgt, welche Schlussfolgerung tatsächlich unterstützt wird.

Wie funktioniert ein eKYC-Prozess?

1. Richtlinie und Sicherstellungsziel definieren

Beginnen Sie mit der geschützten Beziehung oder Aktion. Legen Sie die Gerichtsbarkeiten, Kundentypen, Produkte, Risikofaktoren, akzeptierten Nachweise, verbotenen Fälle, Eskalationsregeln, Aufbewahrungsfristen und Entscheidungsverantwortlichen fest. Ein Konto mit eingeschränkter Funktionalität benötigt möglicherweise nicht die gleichen Nachweise wie die Kontowiederherstellung oder der Zugriff auf ein reguliertes Finanzprodukt.

Die Richtlinie sollte auch definieren, was passiert, wenn die bevorzugte Methode nicht verfügbar ist. Eine Person besitzt möglicherweise kein kompatibles Telefon, hat keinen lesbaren Chip, besitzt nicht das Standarddokument oder kann keine biometrische Aktion durchführen. Ein alternativer Pfad ist Teil der Kontrolle.

2. Minimale Identifikationsdaten sammeln

Sammeln Sie die Attribute, die zur Auflösung des Kunden und zur Erfüllung des jeweiligen Zwecks erforderlich sind. Dies kann den rechtlichen Namen, das Geburtsdatum, die Adresse, die Nationalität, die staatliche Kennung oder Kontaktinformationen umfassen. Mehr Daten führen nicht automatisch zu mehr Sicherheit. Jedes Feld sollte einen Grund, Schutz, eine Aufbewahrungsregel und einen Löschpfad haben.

3. Identität auflösen

Die Auflösung bestimmt, ob die angegebenen Attribute eine Person in der relevanten Population identifizieren. Das NIST SP 800-63A-4 Identitätsprüfungsmodell trennt Auflösung, Validierung und Verifizierung. Diese Trennung ist weit über die US-Bundesdienste hinaus nützlich, da sie verhindert, dass ein Datenbanktreffer fälschlicherweise als Beweis dafür angesehen wird, dass der Antragsteller den Datensatz besitzt.

4. Nachweise und Attribute validieren

Die Validierung prüft, ob die Nachweise authentisch, genau, aktuell und akzeptabel sind. Ein Dokumentenpfad kann Ablaufdatum, Layout, gedruckte Felder, maschinenlesbare Daten, Sicherheitsmerkmale, Anzeichen von Änderungen und Ausstellerinformationen überprüfen. Ein NFC-Pfad kann signierte Chipdaten lesen, sofern unterstützt. Ein Datenbankpfad kann Attribute mit einer autoritativen oder glaubwürdigen Quelle abgleichen.

Geben Sie spezifische Nachweise und Begründungscodes zurück. „Abgelaufene Nachweise“, „nicht unterstützte Nachweise“, „Feldkonflikt“ und „vermutete Manipulation“ erfordern unterschiedliche Kundenanweisungen und operative Maßnahmen.

5. Verbindung des Antragstellers zur Identität verifizieren

Die Verifizierung verbindet die Person im Vorgang mit den validierten Nachweisen. Ein Remote-Dokumentenfluss kann eine Live-Gesichtserfassung mit dem Porträt auf dem Dokument vergleichen. Eine digitale Anmeldeinformation kann einen kryptografischen Kontrollnachweis verwenden. Ein betreuter Ablauf kann einen geschulten Agenten umfassen, der ein definiertes Verfahren befolgt.

Dokumentenvalidierung, Lebendigkeitsprüfung, Gesichtsabgleich und Erfassungs-Integrität beantworten unterschiedliche Fragen. Das Bestehen einer Prüfung sollte nicht stillschweigend bedeuten, dass alle vier bestanden wurden.

6. Kunden überprüfen und Risikobewertung vornehmen

Wo erforderlich, überprüfen Sie den Kunden und verwandte Personen anhand relevanter Sanktionen, politisch exponierter Personen, negativer Medien oder anderer Risikodatenquellen. Kombinieren Sie Screening-Nachweise mit Geografie, Produkt, Zweck, Kundentyp, Eigentum und anderen Richtlinienfaktoren.

Der Namensabgleich ist probabilistisch. Bewahren Sie Quelldaten und Abgleichskontext auf, unterscheiden Sie Kandidaten von bestätigten Übereinstimmungen und leiten Sie Unklarheiten risikobasiert weiter, anstatt jeden ähnlichen Namen abzulehnen.

7. Entscheiden und Datensatz aufbewahren

Ordnen Sie Nachweise expliziten Ergebnissen wie genehmigt, Wiederholung, Step-up, manuelle Überprüfung oder abgelehnt zu. Speichern Sie die Richtlinien- und Workflow-Version, Nachweisreferenzen, strukturierte Ergebnisse, Zeitstempel, Prüferaktionen und Entscheidungsbegründungen, die für Audit, Beschwerde und spätere Aktualisierung erforderlich sind.

Das Backend – nicht die Browser-Weiterleitung – sollte den Kundenstatus steuern. Überprüfen Sie das Endergebnis über einen authentifizierten Server-zu-Server-Pfad und machen Sie Wiederholungen idempotent, damit ein verzögertes Ereignis keine doppelten Kunden oder widersprüchliche Entscheidungen erzeugen kann.

8. Überwachen und aktualisieren

eKYC endet nicht mit der Kontoeröffnung. Dokumente laufen ab, Sanktionsinformationen ändern sich, Konten werden wiederhergestellt, Eigentumsverhältnisse ändern sich und das Verhalten kann vom erwarteten Profil abweichen. Definieren Sie periodische und ereignisgesteuerte Aktualisierungsauslöser und bewahren Sie die Beziehung zwischen den neuen Nachweisen und dem ursprünglichen Datensatz.

In eKYC verwendete Nachweismethoden

Methode	Was sie unterstützen kann	Stärken	Wichtige Einschränkungen
Optische Dokumentenerfassung	Attributerfassung und Dokumentenvalidierung	Breite Verfügbarkeit und vertraute Benutzererfahrung	Bilder können verändert, wiedergegeben, schlecht erfasst oder nicht unterstützt werden
NFC-Chip-Lesen	Signierte Dokumentendaten und Extraktion von Porträts mit höherer Sicherheit	Kann Chip-Signaturen verifizieren und die Abhängigkeit von Pixeln reduzieren	Erfordert kompatible Dokumente, Geräte und Implementierung
Autoritative Datenbankprüfung	Attributenabgleich	Es ist möglicherweise kein physisches Dokument erforderlich	Abdeckung, Aktualität, Abgleichslogik und rechtmäßiger Zugriff variieren
Biometrischer Gesichtsvergleich	Verknüpfung der Antragstellererfassung mit einem Referenzporträt	Direkter Nachweis der Inhaberbindung	Genauigkeit hängt von Referenz, Qualität, Schwellenwert und Population ab
Lebendigkeitsprüfung oder PAD	Nachweis einer Live-Präsentation bei der Erfassung	Hilft gegen definierte Wiedergabe- und Präsentationsangriffe	Stoppt nicht automatisch eingeschleuste Medien oder beweist die Identität
Digitale Anmeldeinformationen	Kryptografisch präsentierte Identitätsattribute	Kann wiederholte Dokumentenerfassung minimieren	Vertrauen hängt von Aussteller, Sicherheit, Status, Wallet und Prüferrichtlinie ab
Betreutes Video	Agentengesteuerte Nachweise und Ausnahmebehandlung	Kann komplexe oder unsichere Fälle unterstützen	Erfordert Schulung, Konsistenz, sichere Tools und Qualitätskontrollen

Keine Methode ist universell die beste. Eine gute Architektur ermöglicht es der Richtlinie, Nachweise zu kombinieren und den Pfad zu ändern, ohne die gesamte Anwendung neu aufbauen zu müssen.

Regulatorische und Standarderwartungen

FATF: Zuverlässigkeit, Unabhängigkeit und Risiko

Die FATF-Empfehlung 10 bildet die Grundlage der Kunden-Due-Diligence. Ihre Leitlinien für digitale Identitäten genehmigen Technologien nicht nach Bezeichnung. Sie fordert die sich darauf verlassende Organisation auf, die Sicherheit zu verstehen und zu bestimmen, ob das System im Hinblick auf das Geldwäsche- und Terrorismusfinanzierungsrisiko zuverlässig und unabhängig ist.

EBA: ein gesteuerter Remote-Prozess

Die Leitlinien der Europäischen Bankenaufsichtsbehörde (EBA) für das Remote-Kunden-Onboarding legen Erwartungen an Kredit- und Finanzinstitute fest, die Remote-Kunden-Onboarding-Lösungen nutzen. Sie umfassen Richtlinien, Lösungsbewertung, Informationssammlung, Dokumentenauthentizität, biometrische und nicht-biometrische Methoden, die Abhängigkeit von Dritten, IKT-Sicherheit und fortlaufende Überwachung. Eine gekaufte Komponente benötigt immer noch Governance und Tests innerhalb des Kontrollrahmens der Institution.

EU-AML-Vorschriften: CDD bleibt das Ziel

Verordnung (EU) 2024/1624 sieht Ausweisdokumente, zuverlässige unabhängige Quellen und qualifizierte elektronische Identifizierungsmittel als Wege zur Verifizierung vor. Sie behält auch die umfassenderen CDD-Pflichten bei: Identifizierung des Kunden und des wirtschaftlichen Eigentümers, Verständnis der Beziehung, Überprüfung relevanter finanzieller Sanktionsrisiken und Überwachung der Beziehung.

NIST: Die Prüfung ist eine Reihe unterschiedlicher Kontrollen

NIST trennt Identitätsauflösung, Nachweisvalidierung, Antragstellerverifizierung, Registrierung, Betrugsmanagement, Datenschutz und Wiedergutmachung. Die Anforderungen an die Remote-Prüfung unterscheiden auch Präsentationsangriffe von digitalen Einschleusungen und Bedrohungen durch gefälschte Medien. Auch wenn eine Organisation nicht an NIST gebunden ist, ist das Modell ein praktischer Weg, um testbare Anforderungen zu formulieren.

Die wichtigsten eKYC-Betrugsbedrohungen

Gestohlene echte Beweismittel

Ein Krimineller kann Dokumentenbilder und persönliche Daten einer realen Person besitzen. Die Authentizität des Dokuments allein beweist nicht, dass der aktuelle Antragsteller der rechtmäßige Inhaber ist.

Veränderte oder gefälschte Dokumente

Text, Porträts, maschinenlesbare Daten oder Layouts können verändert werden. Die Validierung sollte unabhängige Felder und Sicherheitsnachweise vergleichen, anstatt einem visuell überzeugenden Frontbild zu vertrauen.

Präsentationsangriffe

Gedruckte Fotos, Bildschirmwiedergaben, Masken und andere Artefakte zielen auf die erwartete Kamera ab. Die Erkennung von Präsentationsangriffen und die Erfassungsanleitung können an dieser Grenze zusätzliche Nachweise liefern.

Injektionsangriffe

Virtuelle Kameras, Emulatoren, modifizierte Anwendungen, Hooks und manipulierte Anfragen können gefälschte Medien nach oder um den physischen Sensor herum einfügen. NIST SP 800-63A-4 verlangt von Remote-Prüfsystemen in seinem Anwendungsbereich, das Vertrauen in die echte Sensorerfassung zu erhöhen und Medien auf Modifikationen zu analysieren; ein biometrischer Vergleich allein ist nicht ausreichend.

Synthetische und zusammengesetzte Identitäten

Echte und gefälschte Attribute können zu einer Identität zusammengesetzt werden, die keiner echten Person entspricht. Geräte-, Kontakt-, Nachweis-, Geschwindigkeits- und Beziehungs-Signale über verschiedene Sitzungen hinweg können Muster aufdecken, die eine einzelne Dokumentenentscheidung übersehen würde.

Account-Farmen und automatisierte Registrierung

Skripte können viele Versuche erstellen, Wiederholungen ausnutzen oder gestohlene Daten in großem Maßstab testen. Ratenbegrenzungen, Versuchsbeschränkungen, Ressourcenkontrollen, Geschwindigkeitsanalysen und Überprüfungswarteschlangen sollten vor dem Start konzipiert werden.

Wie man einen eKYC-Dienst bewertet

Sicherheit und regulatorische Eignung

Fragen Sie, welche Nachweisstärken, Identitätsprüfungsmodelle, Gerichtsbarkeiten, Kundentypen und regulierten Anwendungsfälle unterstützt werden. Ordnen Sie jeden unabhängigen Test oder jede Zertifizierung der exakten Komponente, Version, dem Modus, Schwellenwert und Angriffsbereich zu.

Abdeckungsqualität

Erstellen Sie eine Matrix für die Länder, Dokumente, Skripte, Datenbanken, Geräte und Sprachen, die Ihre Kunden tatsächlich verwenden. „Globale Abdeckung“ ist nicht ausreichend. Messen Sie nicht unterstützte Nachweise, Extraktionsqualität, Abschluss, Wiederholung und Überprüfung nach Segment.

Betrugsresistenz

Fordern Sie eine Angriff-für-Angriff-Karte für Dokumentenmanipulation, Wiedergaben, Masken, Morphings, generierte Medien, Injektionen, Emulatornutzung, wiederholte Identitäten und automatisierte Versuche an. Überprüfen Sie das Verhalten bei falsch positiven und falsch negativen Ergebnissen am vorgesehenen Betriebsschwellenwert.

Entscheidungs- und Überprüfungsoperationen

Überprüfen Sie Nachweisansichten, Begründungscodes, Richtlinienversionierung, Warteschlangen, Berechtigungen, Prüferaktionen, Audit-Logs, Wiederholungskontrollen und Beschwerden. Automatisierung ist nur nützlich, wenn Ausnahmen verständlich und steuerbar bleiben.

Entwicklerzuverlässigkeit

Testen Sie API-Authentifizierung, Idempotenz, signierte Ereignisse, Ereignisreihenfolge, Wiederholungen, Abgleich, Statusübergänge, Timeouts, Versionierung, Ratenbegrenzungen, Sandbox-Fälle und Umgebungsseparation. Simulieren Sie einen abgeschlossenen Benutzerfluss, dessen Webhook zu spät oder mehrfach eintrifft.

Datenschutz, Sicherheit und Inklusion

Ordnen Sie für jedes Attribut und biometrische Artefakt Sammlung, Zweck, gegebenenfalls Einwilligung, Zugriff, Verschlüsselung, Region, Aufbewahrung, Löschung und Subprozessorbehandlung zu. Messen Sie die Ergebnisse nach Gerät und relevanter Population und stellen Sie dann zugängliche Wiederherstellungs- und alternative Nachweispfade bereit.

Häufige Fehler bei der eKYC-Implementierung

Einen Dokumentencheck kaufen und ihn KYC nennen

Ein echtes Dokument kann einer anderen Person gehören, während eine genau identifizierte Person immer noch einer Überprüfung und Risikobewertung bedarf. Halten Sie Nachweise, Identität, Kundenrisiko und Berechtigung getrennt.

Jedem Antragsteller denselben Ablauf aufzwingen

Ein einheitlicher Pfad kann für Kunden mit geringem Risiko eine übermäßige Belastung und für Kunden mit höherem Risiko unzureichende Nachweise schaffen. Verwenden Sie begrenzte, dokumentierte Verzweigungen mit expliziten Step-up-Kriterien.

Einem Automatisierungsanteil vertrauen

Eine hohe Rate automatischer Entscheidungen kann schwache Schwellenwerte, nicht unterstützte Populationen oder einen überlasteten Wiederholungspfad verbergen. Messen Sie Sicherheit, Abschluss, Überprüfung und nachgelagerte Ergebnisse gemeinsam.

Den Fallback ignorieren

Wenn der einzige Fallback Support-Mitarbeiter sind, die undokumentierte Ausnahmen machen, wird der schwächste Pfad das System definieren. Gestalten Sie alternative Nachweise, manuelle Überprüfung, Wiedergutmachung und Wiederherstellung mit der gleichen Sorgfalt wie den Standard.

Die Ausgabe des Anbieters als endgültige rechtliche Entscheidung behandeln

Der Anbieter kennt nicht die vollständige Kundenbeziehung, das Produktexposure, die Rechtsgrundlage oder die Risikobereitschaft. Behalten Sie die Richtlinien- und Kundenstatus-Verantwortung bei der sich darauf verlassenden Organisation.

Eine eKYC-Bereitstellungscheckliste

Bestätigen Sie vor dem Start, dass:

• die geschützte Beziehung, die Gerichtsbarkeiten und das Sicherstellungsziel dokumentiert sind;
• akzeptierte Nachweise und unabhängige Quellen Kunden- und Risikotypen zugeordnet sind;
• Auflösung, Validierung, Verifizierung, Screening und Berechtigung getrennt bleiben;
• Präsentations-, Injektions-, gestohlene Nachweis- und automatisierte Angriffsbedrohungen getestet werden;
• das Backend die Endergebnisse verifiziert und doppelte Ereignisse sicher verarbeitet;
• Wiederholung, Step-up, Überprüfung, Beschwerde und alternative Pfade klare Verantwortliche haben;
• Datenschutzzweck, Aufbewahrung, Zugriff, Residenz und Löschung definiert sind;
• produktionsähnliche Geräte, Netzwerke, Dokumente und Populationen in die Tests einbezogen sind;
• Richtlinien, Modelle, Workflows und Prüferaktionen für Audit versioniert sind;
• Aktualisierungs- und fortlaufende Überwachungsauslöser mit dem Kundenstamm verknüpft sind.

Didit für einen eKYC-Workflow nutzen

Didit ermöglicht es Teams, ID-Verifizierung, Lebendigkeitserkennung, Geräte- und IP-Analyse und andere Prüfungen über den Workflow Orchestrator zu kombinieren. Das veröffentlichte vollständige KYC-Paket kostet 0,33 $ für ID-Verifizierung, passive Lebendigkeitsprüfung, Gesichtsabgleich und IP-Analyse, mit 500 kostenlosen Verifizierungen pro Monat.

Teams können die modularen Preise auf der Preisseite einsehen. Diese Kontrollen liefern Nachweise für einen Remote-Prozess; die Organisation ist weiterhin für ihre Kunden-Due-Diligence-Richtlinie, rechtliche Auslegung, Ausnahmen und Überwachung verantwortlich.

Häufig gestellte Fragen

Wofür steht eKYC?

eKYC steht für elektronisches Know Your Customer. Es ist die Nutzung elektronischer Kanäle und Nachweise zur Durchführung der Kundenidentifikation und der damit verbundenen Due Diligence aus der Ferne.

Ist eKYC dasselbe wie Online-Identitätsprüfung?

Die Identitätsprüfung ist ein Kernbestandteil von eKYC, aber eKYC kann auch Kundenrisikobewertung, Screening, Entscheidungsaufzeichnungen, Ausnahmen und fortlaufende Aktualisierungen umfassen. Die Begriffe werden in Produktsuchen oft synonym verwendet, ihr operativer Umfang unterscheidet sich jedoch.

Benötigt eKYC immer ein Selfie und ein Ausweisdokument?

Nein. Die akzeptablen Nachweise hängen von der Gerichtsbarkeit, dem Risiko, der Richtlinie und der Sicherheit ab. Einige Abläufe können autoritative Datenbanken, digitale Anmeldeinformationen, NFC-fähige Dokumente, betreute Videos oder Kombinationen von Nachweisen verwenden.

Kann eKYC vollständig automatisiert werden?

Viele Fälle mit geringem Risiko können automatisiert werden, aber ein verteidigbares Programm benötigt einen Pfad für Unsicherheiten, nicht unterstützte Nachweise, Zugänglichkeit, potenzielle Übereinstimmungen und Beschwerden. „Vollautomatisch“ sollte nicht „kein gesteuerter Ausnahme-Prozess“ bedeuten.

Ist Remote-eKYC weniger sicher als eine persönliche Verifizierung?

Nicht von Natur aus. Die Sicherheit hängt von der Stärke der Nachweise, der Integrität der Erfassung, den Betrugskontrollen, dem Prozessdesign und den Tests ab. Remote- und persönliche Methoden haben unterschiedliche Bedrohungen und sollten anhand der erforderlichen Sicherheit bewertet werden.

Wie hängen eKYC und AML zusammen?

eKYC erstellt und verifiziert die Kundenidentität und den anfänglichen Risikodatensatz. Anti-Geldwäsche-Kontrollen nutzen diesen Kontext für Screening, Überwachung, Untersuchungen und Berichterstattung während der gesamten Beziehung.

Wie oft sollte eKYC wiederholt werden?

Es gibt keinen universellen Zeitplan. Verwenden Sie anwendbare rechtliche Anforderungen und ein dokumentiertes Risikomodell, mit ereignisgesteuerten Aktualisierungen, wenn sich Identitätsdaten, die Gültigkeit von Nachweisen, das Sanktionsrisiko, Eigentumsverhältnisse, Verhalten oder die Kontrollmöglichkeiten wesentlich ändern.

Primäre Referenzen

• FATF-Leitfaden zur digitalen Identität
• FATF-Empfehlungen, in der Fassung vom Juni 2026
• NIST SP 800-63A-4: Identitätsprüfung und Registrierung
• EBA-Leitlinien zur Nutzung von Remote-Kunden-Onboarding-Lösungen
• Verordnung (EU) 2024/1624

Gutes eKYC bewahrt die Logik der Kunden-Due-Diligence, während der Kanal geändert wird. Definieren Sie die erforderliche Sicherheit, sammeln Sie proportionale Nachweise, schützen Sie den Erfassungspfad, halten Sie Ausnahmen steuerbar und verknüpfen Sie die Onboarding-Entscheidung mit der fortlaufenden Kundenbeziehung.