5 Herausforderungen bei der Identitätsprüfung und wie man sie bewältigt

Die FTC verzeichnete 2024 über 1.1 Millionen Meldungen zu Identitätsdiebstahl. Die gesamten Betrugsverluste beliefen sich in diesem Jahr auf 12.5 Milliarden US-Dollar, ein Anstieg von 25 % gegenüber 2023. Beide Zahlen spiegeln dasselbe zugrundeliegende Problem wider: Die Verifizierungssysteme sind entweder zu schwach, um ausgeklügelte Betrugsfälle aufzudecken, oder zu unflexibel, um legitimen Kunden den Prozess ohne Abbruch zu ermöglichen. Diese fünf Herausforderungen verdeutlichen, wo die Identitätsprüfung am häufigsten versagt und welche Kosten die einzelnen Fehler in der Praxis verursachen.

1. Dokumentenbetrug, der die Standarderkennungsmethoden übersteigt

Gefälschte Dokumente Fälschungen waren schon immer ein Problem, doch die Hürden für die Herstellung überzeugender Ausweiskopien sind deutlich gesunken. Generative KI-Tools ermöglichen es Kriminellen nun, plausible Ausweiskopien ohne Spezialausrüstung zu erstellen, und spezielle Bearbeitungssoftware kann Dokumente erzeugen, die selbst bei minderwertigen OCR-Scans bestehen, ohne dass ein Drucker benötigt wird. Nationale Personalausweise sind besonders häufig Ziel von Fälschungen, da sie sich in den verschiedenen Ausstellungsländern stark unterscheiden. Dies führt dazu, dass Prüfsysteme oft auf Dokumententypen stoßen, mit denen sie nicht trainiert wurden.

Unternehmen, die Kunden in mehreren Märkten verifizieren, sind einem zusätzlichen Risiko ausgesetzt. Ein Reisepass aus einem Land kann Sicherheitsmerkmale aufweisen, die in einem im selben Jahr in einem anderen Land ausgestellten Personalausweis fehlen. KYC-Verifizierungsprozess Was für einen inländischen Kundenstamm funktioniert, stößt bei globaler Anwendung häufig an seine Grenzen, und die Abdeckung Tausender Dokumentformate in Hunderten von Ländern erfordert eine kontinuierlich aktualisierte Dokumentenanalyse. Teams, die statische Dokumentenmodelle verwenden, arbeiten mit forensischen Daten, die Betrüger bereits analysiert haben. Einen detaillierteren Einblick in den aktuellen Stand der Fälschungstechniken bietet dieser Leitfaden. Bekämpfung von Dokumentenfälschung Die Karte von 2025 zeigt die aktuelle Angriffsfläche im Detail.

2. Deepfake- und biometrische Spoofing-Angriffe

Lebendigkeitserkennung Das System war ursprünglich dafür entwickelt worden, Personen mit ausgedruckten Fotos vor der Kamera zu blockieren. Diese Bedrohung besteht zwar weiterhin, wurde aber von Angriffen übertroffen, für die ältere Systeme nicht ausgelegt waren. Deepfake-Videos können mittlerweile passive Lebendigkeitsprüfungen, die auf Bewegungs- oder Texturanalysen basieren, umgehen. Zudem speisen sogenannte Injection-Angriffe einen synthetischen Videostream direkt in die Kamera-API ein und umgehen so die aktive Lebendigkeitsprüfung vollständig. Der Jahresbericht 2025 des Internet Crime Complaint Center (ICCC) des FBI verzeichnete über 22,000 Anzeigen wegen KI-gestützten Betrugs mit einem Schaden von über 893 Millionen US-Dollar. Identitätsdiebstahl war dabei ein Hauptgrund für einen Großteil dieser Fälle.

Das Hauptproblem für Verifizierungsteams ist die Modelldrift. Eine vor zwei Jahren implementierte biometrische Schicht wurde für Angriffsmethoden von damals kalibriert. Betrüger aktualisieren ihre Werkzeuge schneller, als die meisten Anbieter Patches bereitstellen, sodass ein wachsender Anteil synthetischer Gesichter Erkennungsmodelle überwindet, die nicht gegen aktuelle Spoofing-Techniken neu trainiert wurden. biometrische Überprüfung Es bedarf eines kontinuierlichen Nachtrainings anhand von Live-Angriffsdaten, nicht nur anhand von Validierungs-Benchmarks, und die Pipeline benötigt eine aktive Überwachung auf Injection-Angriffe, die niemals physisch mit einer Kamera interagieren.

3. Regulatorische Fragmentierung in den verschiedenen Märkten

FATF-Leitlinien Die Richtlinien zur digitalen Identität empfehlen einen risikobasierten Ansatz zur Verifizierung, doch die einzelnen Regulierungsbehörden interpretieren und wenden dieses Prinzip unterschiedlich an. Ein Fintech-Unternehmen, das in der EU, Großbritannien, Singapur und den VAE tätig ist, sieht sich vier verschiedenen Verifizierungsregimen gegenüber, die jeweils eigene Dokumentenanforderungen, Regeln zur biometrischen Einwilligung und Datenaufbewahrungsfristen vorsehen. Datenschutz Die Vorschriften regeln die Speicherung und Verarbeitung biometrischer Daten in den EU-Mitgliedstaaten. Die Richtlinien der MAS Singapurs definieren eigene Onboarding-Standards. Die CBUAE der VAE ergänzt diese um spezifische Anforderungen für das Onboarding von Fernkunden.

Für international expandierende Unternehmen ist der Aufwand für die Anpassung von Verifizierungsprozessen an die jeweiligen Rechtsordnungen erheblich. Eine Prüfsequenz, die den Anforderungen einer Aufsichtsbehörde genügt, kann mit den Vorschriften einer anderen kollidieren. Die manuelle Nachverfolgung dieser Anforderungen birgt zudem ein Prüfungsrisiko, da sich die Vorschriften ändern können. Regulatorische Aktualisierungen geben Unternehmen oft nur 90 bis 180 Tage Zeit zur Anpassung, und diejenigen, die starre, intern entwickelte Verifizierungssysteme verwenden, reagieren in der Regel am langsamsten. Compliance-Tools, die regulatorische Änderungen in Echtzeit überwachen, und Verifizierungsplattformen, die für die Ausführung länderspezifischer Abläufe ohne Codeänderungen entwickelt wurden, unterscheiden Unternehmen, die sich schnell anpassen, von solchen, die mit jedem Übergang nur mühsam umgehen können.

4. Reibungsverluste beim Onboarding und Kundenabwanderung

Der Verifizierungsschritt ist der Punkt, an dem mehr Neukunden den Onboarding-Prozess abbrechen als an jeder anderen Stelle. Ein Prozess, der mehr Dokumente als nötig anfordert, bei unzureichender Bildqualität abbricht oder eine allgemeine Ablehnungsnachricht ohne weitere Hinweise zurückgibt, lässt den Nutzer im Unklaren darüber, wie es weitergehen soll. Die meisten beenden die Sitzung und kehren nicht zurück.

Reibungsverluste hängen nicht nur von der Anzahl der Prozessschritte ab, sondern auch davon, was passiert, wenn etwas schiefgeht. Ein Nutzer, der ein leicht unscharfes Ausweisfoto macht und eine wenig hilfreiche Fehlermeldung erhält, merkt möglicherweise nicht, dass er das Foto wiederholen muss. Jemand, der ein Formular mit Feldbezeichnungen ausfüllt, die nicht mit der Terminologie in seinen Dokumenten übereinstimmen, bricht den Vorgang möglicherweise ab, bevor die Dokumentenprüfung überhaupt beginnt. Identitätsprüfungsdienste Diese Fehlerquellen lassen sich durch automatische Datenerfassung und eine klare Benutzerführung reduzieren, die den meisten intern entwickelten Prozessen fehlt. Ein Kunde, der den Prozess im Verifizierungsschritt abbricht, hat zwar Interesse und Kaufabsicht bekundet, aber nie einen Kauf getätigt.

5. Identitätsbetrug mit synthetischer Identität

Synthetischer Identitätsbetrug Synthetische Identitäten befinden sich am schwierigsten zu erkennenden Ende des Spektrums, da die zu überprüfende Identität reale Daten enthält. Eine synthetische Identität kombiniert eine echte nationale Ausweisnummer oder Sozialversicherungsnummer mit erfundenen Angaben zu Name, Adresse und Geburtsdatum. Datenbankabgleiche, die eine vollständig erfundene Identität erkennen würden, liefern oft nur eine teilweise Übereinstimmung anstatt eines eindeutigen Fehlers. Diese Unklarheit ermöglicht es der synthetischen Identität, die Überprüfung beim Onboarding zu passieren.

Das Problem verschärft sich mit der Zeit. Viele synthetische Identitäten werden über Monate oder Jahre hinweg aufgebaut, bevor es zu betrügerischen Transaktionen kommt. Bis zu ihrer Aktivierung verfügen sie über eine täuschend echt wirkende Kredithistorie. KI-gestützte KYC-Prozesse Systeme, die Verhaltenssignale im gesamten Kundenlebenszyklus überwachen, Dokumentenmetadaten mit bekannten synthetischen Mustern abgleichen und Cluster verwandter Identitäten kennzeichnen, bieten eine nachhaltigere Erkennungsebene als eine einmalige Überprüfung beim Onboarding. Kontinuierliche Überwachung, nicht einmalige Verifizierung, deckt synthetischen Betrug auf, bevor sich die Verluste summieren.