Echtzeit-Transaktionsüberwachung für $0.02 pro Aufruf plus Case Management mit einem für Suspicious Activity Reports (SAR) vorbereiteten Export. 11 vordefinierte Regelpakete, AWAITING_USER Auto-Remediation, 500 Verifizierungen pro Monat kostenlos.
Robinhood Ventures
Über 2.000 Organisationen weltweit vertrauen uns.
Was die BSA verlangt
Jedes US-Finanzinstitut muss jede Transaktion in Echtzeit überwachen und innerhalb von 30 Tagen nach Entdeckung einen Suspicious Activity Report (SAR) einreichen. Didit liefert die Regel-Engine, die Case State Machine, die Auto-Remediation-Schleife und den FinCEN-Schema-Export, für $0.02 pro Transaktionsaufruf. 500 Verifizierungen sind jeden Monat kostenlos.
Wähle die gewünschten Prüfungen aus, ID, Liveness, Face Match, Sanktionen, Adresse, Alter, Telefon, E-Mail, benutzerdefinierte Fragen. Ziehe sie im Dashboard in einen Flow oder poste denselben Flow an unsere API. Verzweige nach Bedingungen, führe A/B-Tests durch, kein Code erforderlich.
Bette nativ mit unserem Web-, iOS-, Android-, React Native- oder Flutter-SDK ein. Leite auf eine gehostete Seite um. Oder sende deinem Nutzer einfach einen Link, per E-Mail, SMS, WhatsApp, überall. Wähle, was zu deinem Stack passt.
Didit hostet die Kamera, die Beleuchtungshinweise, die mobile Übergabe und die Barrierefreiheit. Während der Nutzer den Flow durchläuft, bewerten wir über 200 Betrugssignale in Echtzeit und verifizieren jedes Feld anhand autoritativer Datenquellen. Ergebnis in unter zwei Sekunden.
Echtzeit-signierte Webhooks halten deine Datenbank synchron, sobald ein Nutzer genehmigt, abgelehnt oder zur Überprüfung gesendet wird. Frage die API bei Bedarf ab. Oder öffne die Konsole, um jede Session und jedes Signal zu prüfen und Fälle nach deinen Vorstellungen zu verwalten.
Didit · Transaktionsüberwachung
Didit · Fallmanagement
OFFEN
Alert ausgelöst
T+0s
IN BEARBEITUNG
Analyst K. zugewiesen
T+4m
SAR_EINGEREICHT
Analyst K. + Officer M.
T+2h
GESCHLOSSEN
Officer M.
T+24h
Didit · SAR-Export
Didit · WARTET_AUF_BENUTZER
Didit · Case Console
Didit · Retention Stack
$ curl -X POST https://verification.didit.me/v3/transactions/ \
-H "x-api-key: $DIDIT_API_KEY" \
-d '{
"transaction_id": "tx-9001",
"transaction_details": { "direction": "OUTBOUND", "currency": "USD", "amount": "9500" },
"subject": { "full_name": "J. Doe" },
"counterparty": { "full_name": "Counterparty" }
}'status GENEHMIGT · IN_PRÜFUNG · ABGELEHNT · WARTET_AUF_BENUTZER$ curl https://verification.didit.me/v3/transactions/$TXN/ \
-H "x-api-key: $DIDIT_API_KEY"
# Gibt den vollständigen Case-Payload zurück,
# markierte Transaktionen, KYC des Subjekts,
# Gegenpartei, Verhaltenskontext,
# Prüferbericht, HMAC-Signatur.
# Abbildung auf das FinCEN SAR XML-Schema.Case OFFEN · IN UNTERSUCHUNG · SAR_EINGEREICHT · GESCHLOSSENYou are integrating Didit into a US financial institution (bank, money services business, crypto VASP, broker-dealer, casino, mortgage lender) to satisfy Bank Secrecy Act monitoring + Suspicious Activity Report (SAR) filing under the Financial Crimes Enforcement Network (FinCEN). Three obligations:
1. Monitor every transaction in real time against the eleven seeded rule bundles (structuring, velocity, mule patterns, geographic risk, sanctioned counterparties, etc.).
2. Open and manage cases on every flagged transaction.
3. Export the SAR-ready package matching the FinCEN SAR XML schema for filing via the BSA E-Filing System.
Pricing (verified live 2026-05-16):
- Transaction Monitoring: $0.02 per transaction call
- Anti-Money Laundering (AML) Screening on flagged subjects: $0.20 per check, $0.07 per user per year for ongoing monitoring
- User Verification (Know Your Customer (KYC)) for remediation: $0.33 per check
- First 500 verifications free every month, forever
PRE-REQUISITES
- Production API key from https://business.didit.me (sandbox key in 60 seconds, no credit card).
- Webhook endpoint with HMAC SHA-256 verification of the X-Signature-V2 header.
HMAC-SHA256 verification MUST run against the raw body bytes (the raw payload as Didit sent it) BEFORE any JSON parsing — re-serialising the parsed body changes whitespace and key order, which invalidates the signature. - A workflow_id for KYC sessions (used on remediation), and Transaction Monitoring + Case Management enabled in the Business Console.
- Optional: integration with the BSA E-Filing System on your back-end OR push to your existing investigation tool (Actimize, NICE, Quantexa, ComplyAdvantage Workflow).
STEP 1 — Monitor every transaction with the Transactions API
POST https://verification.didit.me/v3/transactions/
Headers:
x-api-key: <your api key>
Content-Type: application/json
Body (required fields verified live 2026-05-16):
{
"transaction_id": "<your internal transaction id>",
"transaction_category": "finance",
"transaction_details": {
"direction": "OUTBOUND",
"amount": "9500",
"currency": "USD",
"currency_kind": "fiat",
"action_type": "payment"
},
"subject": {
"entity_type": "individual",
"vendor_data": "<your user id>",
"full_name": "<user name from verified KYC>"
},
"counterparty": {
"entity_type": "individual",
"full_name": "<counterparty name if known>",
"payment_method": {
"method_type": "wire",
"account_id": "<counterparty account or routing reference>"
}
}
}
REQUIRED fields the API rejects if missing:
- subject.vendor_data + subject.full_name
- counterparty.full_name
- transaction_details.direction + currency + currency_kind + amount
Response shape (excerpted from a real successful 201):
{
"uuid": "<server transaction uuid>",
"txn_id": "<your transaction_id echoed back>",
"status": "APPROVED",
"score": 0,
"severity": null,
"cost_breakdown": {
"total_price": 0.02,
"items": [{ "usage_type": "transaction_monitoring", "price": 0.02 }]
}
}
Transaction status enum (exact case, UPPER_SNAKE_CASE): APPROVED | IN_REVIEW | DECLINED | AWAITING_USER.
STEP 2 — Branch on the verdict
APPROVED → clear the transaction. Webhook may still update later if Ongoing Monitoring catches a delayed signal.
IN_REVIEW → hold the transaction. Case opens automatically in the Business Console for analyst triage.
DECLINED → refuse the transaction. Case opens at SAR-candidate priority.
AWAITING_USER → the workflow needs more data from the customer (source of funds, updated address, refreshed selfie). The response includes a remediation verification URL — send it to the customer.
STEP 3 — Handle AWAITING_USER auto-remediation
Push the verification URL on the response to the customer (email, app deep-link, push notification). They complete the additional verification in hosted flow on their phone.
On completion:
- The remediation session is LINKED to the original transaction (you'll see the linkage in both webhooks).
- Didit re-runs the relevant rules with the new evidence.
- The transaction moves to APPROVED (clear) or DECLINED (case opens for SAR consideration).
The whole loop takes minutes for the user; your team only touches the cases that genuinely need human judgement.
STEP 4 — Case Management — every flagged transaction opens a case
Cases live in the Business Console with a state machine:
OPEN → alert fires, no reviewer yet
INVESTIGATING → reviewer assigned, gathering context
SAR_FILED → SAR exported and filed; case awaits regulator response
CLOSED → case resolved, no SAR (with reviewer notes explaining why)
Each transition is signed, timestamped, and attributed (analyst name + officer name).
Per case, you get:
- The flagged transaction(s) + the rule(s) that fired
- The subject's verified KYC bundle (document, biometric, AML, device + IP)
- The counterparty data (for crypto: wallet screen; for fiat: counterparty identity if known)
- Behavioural context (user's transaction history, baseline, velocity)
- Reviewer narrative (analyst notes, decisions, escalations)
STEP 5 — Export the SAR package
Two paths:
Path A — Direct from the Console
Click "Export SAR XML" on a case. You get a downloadable package matching the FinCEN SAR XML schema. Upload through the BSA E-Filing System manually.
Path B — Via API + your back-end
GET https://verification.didit.me/v3/transactions/{id}/
Headers:
x-api-key: <your api key>
The full case payload — every field above — is returned as JSON. Map to the FinCEN schema in your back-end and POST to the BSA E-Filing System programmatically.
STEP 6 — Webhook event names
Sessions: standard session webhook for remediation completions (verify X-Signature-V2).
Transactions:
- transaction.created
- transaction.updated
- transaction.status.changed
- transaction.alert.generated
Every payload signed with X-Signature-V2 HMAC SHA-256.
STEP 7 — Ongoing AML monitoring is automatic on every verified subject
Every approved user is re-screened daily against 1,300+ sanctions, PEP, and adverse-media lists at $0.07 per user per year on heavy-volume accounts. When a previously-clean subject crosses an AML threshold, a transaction.alert.generated webhook fires and a case opens automatically.
CONSTRAINTS
- Session statuses Title Case With Spaces; transaction statuses UPPER_SNAKE_CASE. Don't mix.
- SAR filing deadlines: 30 days from detection (extendable by 30 days for suspect identification).
- SAR thresholds: $5,000 aggregate transaction for banks; $2,000 for money services businesses.
- BSA retention: 5 years on every SAR + supporting documentation.
- Tipping-off: NEVER disclose the SAR filing to the subject. Encode this in your customer-comms workflow.
- Default record retention is indefinite while subscribed; configurable per workflow if your supervisor mandates a specific duration.
Read the docs:
- https://docs.didit.me/transaction-monitoring/overview
- https://docs.didit.me/transaction-monitoring/transactions
- https://docs.didit.me/transaction-monitoring/aml-screening
- https://docs.didit.me/sessions-api/create-session
- https://docs.didit.me/integration/webhooks
Start free at https://business.didit.me — sandbox key in 60 seconds, 500 verifications free every month, no credit card.$0 / Monat. Keine Kreditkarte erforderlich.
Zahle nur, was du nutzt. Über 25 Module. Öffentliche Preise pro Modul, keine monatliche Mindestgebühr.
Individuelle MSA & SLA. Für große Volumina und regulierte Programme.
Kostenlos starten → nur zahlen, wenn eine Prüfung läuft → Enterprise für einen individuellen Vertrag, SLA oder Datenresidenz freischalten.
Didit ist die Infrastruktur für Identität und Betrug, die Plattform, die wir uns gewünscht hätten, als wir selbst Produkte entwickelten: offen, flexibel und entwicklerfreundlich, damit sie als echter Bestandteil deines Stacks funktioniert, anstatt einer Blackbox, um die herum du integrieren musst.
Eine API deckt die Verifizierung von Personen (KYC, Know Your Customer), die Verifizierung von Unternehmen (KYB, Know Your Business), das Screening von Krypto-Wallets (KYT, Know Your Transaction) und die Echtzeit-Überwachung von Transaktionen ab, auf einem Stack, der darauf ausgelegt ist, zu sein:
Die Basis darunter: über 14.000 Dokumenttypen in über 48 Sprachen, über 1.000 Datenquellen und über 200 Betrugssignale bei jeder Session. Die Didit-Infrastruktur lernt dynamisch aus jeder Session und wird jeden Tag besser.
Der Bank Secrecy Act (BSA) ist das grundlegende US-Gesetz zur Bekämpfung der Geldwäsche, das 1970 verabschiedet und seitdem mehrfach geändert wurde. Es verpflichtet US-Finanzinstitute, die Regierung bei der Aufdeckung und Verhinderung von Geldwäsche zu unterstützen, indem sie Aufzeichnungen führen, verdächtige Aktivitäten melden und große Bargeldtransaktionen melden.
Das Regelwerk wird von der Financial Crimes Enforcement Network (FinCEN), einer Abteilung des US-Finanzministeriums, durchgesetzt. Prüfungen werden von der primären Bundesaufsichtsbehörde des Instituts durchgeführt, dem OCC für nationale Banken, der Federal Reserve für staatliche Mitgliedsbanken, der Federal Deposit Insurance Corporation (FDIC) für staatliche Nicht-Mitgliedsbanken, der National Credit Union Administration (NCUA) für Kreditgenossenschaften und der SEC + FINRA für Broker-Dealer.
Im Jahr 2020 modernisierte der Anti-Money Laundering Act von 2020 das Regime, Meldepflichten für wirtschaftliche Eigentümer, regulatorische Ausweitung auf Händler von Antiquitäten und das Corporate Transparency Act wurden hinzugefügt.
Ein Suspicious Activity Report (SAR) ist eine vertrauliche Meldung, die ein US-Finanzinstitut bei FinCEN einreicht, sobald es eine Transaktion oder ein Muster entdeckt, das auf Geldwäsche, Betrug, Terrorismusfinanzierung oder andere kriminelle Aktivitäten hindeuten könnte.
Regeln zur Einreichung:
FinCEN nutzt SARs, um Ermittlungsansätze zu entwickeln; Behörden wie das FBI, IRS-Criminal Investigation und DEA durchsuchen die Datenbank ständig.
Der gesamte Prozess dauert normalerweise unter 30 Sekunden von Anfang bis Ende, Ausweis nehmen, Dokument scannen, Selfie machen, fertig. Das ist der schnellste auf dem Markt. Herkömmliche KYC-Anbieter benötigen für den gleichen Prozess in der Regel mehr als 90 Sekunden.
Im Backend liefert Didit das Ergebnis in unter zwei Sekunden bei p99, gemessen vom Zeitpunkt, an dem der Nutzer das Selfie beendet, bis zum Auslösen deines Webhooks. Die mobile Erfassung ist für langsame Telefone und langsame Netzwerke optimiert: progressive Bildkomprimierung, verzögertes Laden des Software Development Kits und eine One-Tap-Übergabe vom Desktop zum Telefon per QR-Code, wenn der Nutzer im Web beginnt.
Die SAR-Richtlinien von FinCEN decken viele Kategorien ab; die gängigsten sind:
FinCEN erwartet eine regelbasierte und verhaltensbasierte Erkennung, nicht nur eine Checkliste. Ein echtes Transaktionsüberwachungsprogramm passt die Regeln an den Kundenstamm und das Risikoprofil des Instituts an.
Jede Session landet in einem von sieben klaren Status, sodass dein Code immer weiß, was zu tun ist:
Approved, alle Prüfungen bestanden. Den Nutzer weiterleiten.Declined, eine oder mehrere Prüfungen fehlgeschlagen. Du kannst dem Nutzer erlauben, den spezifischen fehlgeschlagenen Schritt (z.B. das Selfie erneut aufnehmen) erneut einzureichen, ohne den gesamten Flow erneut auszuführen.In Review, zur Compliance-Prüfung markiert. Öffne den Fall in der Konsole, sieh dir alle Signale an, entscheide über Genehmigung oder Ablehnung.In Progress, der Nutzer befindet sich mitten im Flow.Not Started, Link gesendet, Nutzer hat ihn noch nicht geöffnet. Sende eine Erinnerung, wenn er zu lange liegt.Abandoned, Nutzer hat den Link geöffnet, aber nicht rechtzeitig abgeschlossen. Erneut ansprechen oder ablaufen lassen.Expired, der Session-Link ist abgelaufen. Eine neue Session erstellen.Ein signierter Webhook wird bei jeder Statusänderung ausgelöst, sodass deine Datenbank immer synchron bleibt. Abgebrochene und abgelehnte Sessions sind kostenlos.
Produktionsdaten werden standardmäßig in der Europäischen Union verarbeitet und gespeichert, auf Amazon Web Services. Unternehmenskunden können alternative Regionen für Jurisdiktionen anfordern, deren Aufsichtsbehörden dies verlangen.
Verschlüsselung überall. AES-256 im Ruhezustand über jede Datenbank, jeden Objektspeicher und jedes Backup. Transport Layer Security 1.3 während der Übertragung bei jedem API-Aufruf, Webhook und jeder Business Console-Sitzung. Biometrische Daten werden unter einem separaten Customer Master Key verschlüsselt.
Die Aufbewahrung liegt in deiner Kontrolle. Die Standardaufbewahrung ist unbegrenzt (unendlich), es sei denn, du konfigurierst eine kürzere, zwischen 30 Tagen und 10 Jahren pro Anwendung, und du kannst jede einzelne Sitzung jederzeit über das Dashboard oder die API löschen.
Zertifizierungen: SOC 2 Typ 1 (Typ 2 Audit läuft), ISO/IEC 27001:2022, iBeta Level 1 PAD und eine öffentliche Bestätigung von Spaniens Tesoro / SEPBLAC / CNMV, dass Didits Fernidentitätsprüfung sicherer ist als die persönliche Verifizierung. Vollständiger Bericht unter /security-compliance.
Didit ist standardmäßig konform für die Regulierungsbehörden, die für die Identitätsinfrastruktur relevant sind:
Detailliertes Memo, jedes Zertifikat, jeder Regulierungsbrief: /security-compliance.
Drei Integrationspfade, wähle den, der am besten zu deinem Stack passt:
Das gleiche Dashboard, die gleiche Abrechnung, der gleiche Pay-per-Success-Preis für alle drei Optionen. Eine Schritt-für-Schritt-Anleitung findest du unter docs.didit.me/integration/integration-prompt.
Ein häufiges Ergebnis der Überwachung ist: Wir benötigen weitere Informationen vom Kunden, bevor wir diese Transaktion freigeben können, Nachweis der Herkunft der Gelder, eine aktualisierte Adresse, ein erneut verifiziertes Selfie.
Alte Systeme zwingen dein Operations-Team, dies manuell zu erledigen: E-Mail an den Kunden senden, warten, nachhaken, erneut prüfen. AWAITING_USER Auto-Remediation schließt den Kreis automatisch:
AWAITING_USER mit einer Remediation-Verifizierungs-URL in der Antwort.APPROVED; wenn nicht, wechselt sie zu DECLINED und ein Fall wird zur SAR-Prüfung geöffnet.Nettoeffekt: Ein Remediation-Loop, der früher Tage dauerte, dauert jetzt Minuten, der Audit-Trail ist vollständig, und dein Team bearbeitet nur die Fälle, die wirklich menschliches Urteilsvermögen erfordern.
Didit liefert SAR-fähige Nachweise; du bringst die Tools für die Einreichung und Untersuchung mit, die du bereits verwendest.
Integrationsmuster:
Didits Oberfläche ist bewusst eng gefasst: Sie erfasst, bewertet, überwacht, öffnet Fälle und speichert Nachweise. Ob die SAR-Datei Didit oder dein nachgeschaltetes System verlässt, ist deine Entscheidung.
BSA verlangt 5 Jahre Aufbewahrung von Aufzeichnungen zu jeder SAR plus unterstützende Dokumentation. Didits Standardeinstellungen:
Didit ist SOC 2 Typ 1 und ISO/IEC 27001 zertifiziert. Die Auditberichte und der Kontrollkatalog sind unter NDA über /security-compliance erhältlich. Speziell für US-Institutionen erfüllt die Plattform mit ihrer Aufgabentrennung, Verschlüsselung im Ruhezustand und Zugriffs-Protokollierung die Standards, die Prüfer gemäß den FFIEC Information Technology Richtlinien erwarten.
Eine API für KYC, KYB, Transaktionsüberwachung und Wallet-Screening. In 5 Minuten integriert.