Was ist KYC-Compliance? Anforderungen, Vorschriften und Aktualisierungen

Zusammenfassung: Die Einhaltung der KYC-Vorschriften ist eine gesetzliche Verpflichtung für Banken, Fintechs, Krypto-Plattformen und andere regulierte Unternehmen gemäß den FATF-Empfehlungen und den nationalen Geldwäschegesetzen. Zu den wichtigsten Compliance-Verpflichtungen gehören das Kundenidentifizierungsprogramm (CIP), die Kundensorgfaltspflicht (CDD), das KYC-Screening anhand von Sanktions- und PEP-Listen sowie die laufende Überwachung. Die Nichteinhaltung hat schwerwiegende Folgen: Allein im zweiten Quartal 2025 beliefen sich die weltweiten Geldwäschestrafen auf 2.91 Milliarden US-Dollar, ein Anstieg um 193 % gegenüber dem Vorquartal. Zu den Aktualisierungen im Jahr 2026 gehören die Einführung des EU-Geldwäschegesetzes, neue Regeln für Kryptotransfers und überarbeitete FATF-Standards zu wirtschaftlichem Eigentum und finanzieller Inklusion.

Was ist KYC?

Kenne deinen Kunden (KYC) KYC (Know Your Customer) bezeichnet den Identitätsprüfungsprozess, den Unternehmen anwenden, bevor sie eine Geschäftsbeziehung mit ihren Kunden eingehen. Ursprünglich im Finanzsektor eingeführt, wurden die KYC-Gesetze inzwischen auf andere Branchen ausgeweitet. Je nach Branche wird KYC auch als „Know Your Client“ (Know Your Client), „Know Your Patient“ (Know Your Patient), „Know Your Business“ (Know Your Business) oder „Know Your Transaction“ bezeichnet.

Was versteht man unter KYC-Compliance?

Die Einhaltung der KYC-Richtlinien ist eine regulatorische Anforderung für Finanzinstitute und andere Organisationen. Dieser Prozess umfasst die Überprüfung der Kundenidentität, die Bewertung ihrer Finanzaktivitäten und die Bestimmung des damit verbundenen Risikos. Diese Unternehmen müssen Kundenidentifizierungsprozesse implementieren und ihre Kunden regelmäßig gemäß den regulatorischen Vorgaben überprüfen. Die KYC-Anforderungen helfen Unternehmen, Strafen zu vermeiden, Betrug zu bekämpfen und Finanzkriminalität wie Geldwäsche und Terrorismusfinanzierung einzudämmen.

Wer muss die KYC-Vorschriften einhalten?

Die Einhaltung der KYC-Richtlinien gilt für eine Vielzahl von Unternehmen in verschiedenen Branchen. Zu den üblicherweise betroffenen Unternehmen gehören:

• FinanzinstitutionenBanken, Versicherungsgesellschaften, Maklerfirmen und Hypothekengeber
• Fintech und Krypto: Kryptowährungsbörsen, digitale Geldbörsen, Zahlungsplattformen und Online-Kreditanbieter. Gemäß einer gemeinsamen Erklärung von FinCEN, CFTC und SEC aus dem Jahr 2019 werden Krypto-Plattformen als Finanzdienstleistungsunternehmen eingestuft und unterliegen uneingeschränkt den KYC-Compliance-Anforderungen.
• Grundeigentum: Agenturen und Immobilienverwaltungsfirmen
• Gesundheitswesen: Krankenhäuser, Apotheken und Online-Gesundheitsdienstleister
• Spielen und Spielen: E-Gaming-Plattformen, Online-Casinos und Lotterieunternehmen
• Juristische und professionelle Dienstleistungen: Anwaltskanzleien und Wirtschaftsprüfungsgesellschaften
• Edelmetall- und Kunsthändler: Galerien, Juweliere und Antiquitätenhändler

Die Überprüfung der Kundenidentität wird auch zunehmend von nicht regulierten Unternehmen wie beispielsweise E-Commerce-Marktplätze und Gig-Wirtschaft Plattformen, auf denen Betrug und Kontomissbrauch ein erhebliches finanzielles und Reputationsrisiko bergen.

KYC-Anforderungen

Die KYC-Anforderungen legen fest, welche Informationen regulierte Unternehmen erfassen, überprüfen und aufbewahren müssen. Zu den Standard-KYC-Anforderungen gehören:

• Erfassung des vollständigen Namens, des Geburtsdatums und der Adresse eines Kunden beim Onboarding
• Identitätsprüfung anhand von behördlichen Dokumenten wie Reisepass, Führerschein oder Personalausweis
• KYC-Screening gegen globale Sanktionslisten (OFACDatenbanken der Vereinten Nationen, der EU, des britischen Finanzministeriums und der PEP-Datenbanken zur Identifizierung eines erhöhten Risikos
• Beurteilung des Risikoniveaus des Kunden und Anwendung der angemessenen Sorgfaltspflicht
• Aufbewahrung von Kundendatensätzen für den von der jeweiligen Gerichtsbarkeit vorgeschriebenen Mindestzeitraum, in der Regel fünf bis sieben Jahre.
• Meldung verdächtiger Transaktionen an die zuständige Finanzermittlungsstelle

Die KYC-Anforderungen variieren je nach Rechtsordnung und Branche. In den Vereinigten Staaten legt der Bank Secrecy Act die Mindestanforderungen für Finanzinstitute fest. In der EU gelten die Anforderungen durch aufeinanderfolgende Geldwäscherichtlinien für alle Mitgliedstaaten. In Australien setzt AUSTRAC die Anforderungen des AML/CTF-Gesetzes durch.

KYC-Compliance im Bankwesen

Banken unterliegen den strengsten KYC-Compliance-Pflichten aller Branchen, da sie im Zentrum des Finanzsystems stehen. Die KYC-Anforderungen für Banken gehen über die Identitätsprüfung bei Kontoeröffnung hinaus und umfassen Folgendes:

• Die Art und den Zweck jeder Kundenbeziehung verstehen
• Bewertung des Geldwäsche- und Terrorismusfinanzierungsrisikos für jeden Kunden
• Durchführung verstärkter Sorgfaltsprüfungen bei Hochrisikokunden, einschließlich politisch exponierte Personen und Kunden aus Hochrisikogebieten
• Kontinuierliche Transaktionsüberwachung zur Erkennung verdächtiger Aktivitätsmuster
• Meldung verdächtiger Aktivitäten (SARs) an die zuständige Behörde bei Feststellung verdächtigen Verhaltens
• Kundendaten aktuell halten und den Aufsichtsbehörden auf Anfrage zugänglich machen

In den Vereinigten Staaten verpflichtet der Bank Secrecy Act Banken zur Überprüfung ihrer Kunden und zur Meldung verdächtiger Aktivitäten an das Financial Crimes Enforcement Network (FinCEN). In der EU müssen Banken die aufeinanderfolgenden Geldwäscherichtlinien einhalten, die die Sorgfaltspflichten gegenüber Kunden und die Offenlegung der wirtschaftlichen Eigentümer regeln.

Globale KYC-Vorschriften und Aktualisierungen bis 2026

Nachfolgend sind die wichtigsten KYC-Regulierungsrahmen weltweit mit aktuellem Stand (Stand 2026) aufgeführt:

• FATF-Empfehlungen: Die 40 Empfehlungen legen internationale Standards zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung in 38 Mitgliedsländern fest. Im Februar 2025 aktualisierte die FATF die Empfehlungen 1, 10 und 15, um die Sorgfaltspflichten im Bereich KYC (Know Your Customer) besser mit den Zielen der finanziellen Inklusion in Einklang zu bringen.
• United States BSA und Geldwäschegesetz von 2020: Das Gesetz erfordert KYC-Programme, die Meldung verdächtiger Aktivitäten an FinCEN und die Offenlegung der wirtschaftlich Berechtigten gemäß dem Corporate Transparency Act. Das Gesetz von 2020 führte strengere Anforderungen an die wirtschaftlich Berechtigten ein und erweiterte die Durchsetzungsbefugnisse von FinCEN.
• EU-Geldwäscherichtlinien und Geldwäschegesetz: Die EU-Geldwäschebehörde (AMLA), die Mitte 2025 in Frankfurt gegründet wurde, zentralisiert die Aufsicht über risikoreiche Finanzinstitute in allen Mitgliedstaaten und harmonisiert die Offenlegungspflichten für wirtschaftlich Berechtigte. Die aktualisierten Geldtransferbestimmungen decken nun alle Krypto-Transfers unabhängig von ihrem Wert ab.
• Kanadas PCMLTFA: Die von FINTRAC überwachten Programme erfordern KYC-Programme, Meldungen über verdächtige Transaktionen und die Aufbewahrung von Aufzeichnungen für mindestens fünf Jahre.
• Australiens Geldwäsche- und Terrorismusfinanzierungsgesetz: Die von AUSTRAC umgesetzte Regelung sieht vor, dass Aufzeichnungen mindestens sieben Jahre lang aufbewahrt werden müssen.

KYC-Konformität für Kryptowährungen

Kryptowährungsbörsen und Anbieter von Dienstleistungen im Bereich digitaler Vermögenswerte unterliegen in den meisten Ländern den KYC-Vorschriften. In den USA wurden Kryptoplattformen in einer gemeinsamen Erklärung von FinCEN, CFTC und SEC aus dem Jahr 2019 als Finanzdienstleistungsunternehmen eingestuft und fallen somit vollständig unter den Bank Secrecy Act.

In der EU verpflichten die aktualisierten Geldtransferrichtlinien Krypto-Dienstleister (CASPs) zur Anwendung der KYC-Richtlinien bei allen Überweisungen und heben damit eine bisherige Ausnahmeregelung auf. CASPs müssen sich zudem bei den zuständigen nationalen Behörden registrieren und bei Transaktionen mit hohem Wert oder hohem Risiko verstärkte Sorgfaltspflichten erfüllen.

Kernelemente von KYC

KYC besteht aus drei Schlüsselkomponenten, die eine solide Grundlage für den Schutz vor verschiedenen Formen von Betrug und gefährlichen Transaktionen schaffen.

1. Kundenidentifizierungsprogramm (CIP)

Kundenidentifikationsprogramm (KVP) Die Kundenidentifizierung umfasst die Erfassung grundlegendster Kundendaten wie Name, Geburtsdatum und Adresse. Ein wesentlicher Bestandteil ist die Einbeziehung offizieller Ausweisdokumente (z. B. Reisepass, Führerschein, Personalausweis), deren Echtheit regional stark variieren kann. Diese Dokumente müssen mithilfe zuverlässiger Technologien auf ihre Echtheit geprüft werden, um zwischen offiziellen und gefälschten Dokumenten zu unterscheiden.

2. Sorgfaltspflicht gegenüber Kunden (CDD)

Es gibt drei Arten von Kunden-Due-Diligence erfolgt je nach dem mit dem Kunden verbundenen Risikoniveau.

• Vereinfachte Due Diligence (SDD) wird bei Kunden mit einem geringen Risiko der Geldwäsche oder Terrorismusfinanzierung angewendet, daher ist der erforderliche Überprüfungsaufwand minimal. 
• Regelmäßige Sorgfaltsprüfung (RDD) ist der Standardansatz für Neukunden, deren Risikoniveau normal oder unbekannt ist. Dabei geht es darum, den Zweck der Geschäftsbeziehung zu verstehen und mit Sanktionslisten und Listen politisch exponierter Personen (PEP) abzugleichen. 
• Erweiterte Due Diligence (EDD) Die erweiterte Sorgfaltspflichtprüfung (EDD) wird bei Kunden angewendet, die als Hochrisikokunden gelten, beispielsweise bei solchen, die in Hochrisikogebieten Geschäfte getätigt haben, politisch exponierte Personen (PEP) sind oder an einer großen oder ungewöhnlichen Transaktion beteiligt waren. EDD umfasst in der Regel eine eingehendere Prüfung der Geschäftshistorie des Kunden, eine genauere Analyse seiner Transaktionen und die Ermittlung seiner Vermögensquellen.

3. Laufende Überwachung

Sobald Kunden an Bord sind, sind die Institutionen verpflichtet, folgende Leistungen zu erbringen: laufende Überwachung Ihre Transaktionen und Aktivitäten werden überwacht, um verdächtiges Verhalten zu erkennen und zu melden. Treten neue Risiken auf, muss das Risikoniveau des Kunden erneut und unter verstärkter Beobachtung bewertet werden. 

Wann sollte die KYC-Prüfung durchgeführt werden?

Die Einhaltung der KYC-Richtlinien ist eine fortlaufende Verpflichtung und keine einmalige Prüfung bei der Einstellung von Mitarbeitern. Regulierte Unternehmen müssen die KYC-Prüfung zu folgenden Zeitpunkten durchführen:

• Bei Kontoeröffnung oder vor dem Aufbau einer Kundenbeziehung
• Wenn ein Kunde eine Transaktion oberhalb des geltenden Meldeschwellenwerts durchführt
• Wenn das Unternehmen Grund hat, an der Richtigkeit der vorhandenen Kundeninformationen zu zweifeln
• Wenn sich Transaktionsmuster deutlich ändern oder der Verdacht auf Finanzkriminalität aufkommt
• In regelmäßigen Abständen im Rahmen der periodischen Überprüfung, basierend auf der Risikobewertung des Kunden
• Wenn sich die Umstände eines Kunden wesentlich ändern, wie beispielsweise eine Änderung der wirtschaftlichen Eigentümerstruktur bei Geschäftskunden

Strafen bei Nichteinhaltung der KYC-Vorschriften

Die finanziellen und aufsichtsrechtlichen Folgen der Nichteinhaltung von KYC-Vorschriften sind gravierend und nehmen weltweit an Häufigkeit und Ausmaß zu. Jüngste Beispiele für Durchsetzungsmaßnahmen:

• Januar 2026: Die dänische Finanzaufsichtsbehörde verhängte gegen die Saxo Bank eine Geldbuße in Höhe von 313 Millionen DKK (ca. 49 Millionen USD) wegen Verstößen gegen das dänische Geldwäschegesetz. Es wurde keine tatsächliche Geldwäsche festgestellt; allein strukturelle Kontrollmängel führten zur Verhängung der Geldbuße.
• 2025: in Deutschland BaFin Verhängte eine Rekordstrafe von 45 Millionen Euro (53 Millionen US-Dollar) gegen JP Morgan SE wegen systematischer Verzögerungen bei der Einreichung von Verdachtsmeldungen.
• Juli 2025: Singapurs MAS Verhängte Strafen in Höhe von insgesamt 27.45 Millionen Singapur-Dollar (ca. 21.64 Millionen US-Dollar) gegen neun Finanzinstitute wegen Verstößen gegen die Geldwäsche- und Terrorismusfinanzierungsbestimmungen, darunter unzureichende Sorgfaltspflichten gegenüber Kunden und das Versäumnis, Warnsignale zu untersuchen.
• Q2 2025: Laut Corlytics beliefen sich die weltweiten Geldstrafen im Zusammenhang mit Geldwäsche auf 2.91 Milliarden US-Dollar, ein Anstieg um 193 % gegenüber dem Vorquartal.

Neben Geldstrafen kann die Nichteinhaltung zu Abhilfemaßnahmen, Geschäftsbeschränkungen, dem Verlust der Betriebserlaubnis, strafrechtlichen Ermittlungen und dauerhaften Reputationsschäden bei Bankpartnern und Investoren führen.

Herausforderungen bei der Einhaltung der KYC-Richtlinien

Komplexe globale Regulierungen

International tätige Unternehmen sehen sich einer fragmentierten Regulierungslandschaft gegenüber, in der die KYC-Compliance-Anforderungen je nach Land, Branche und Kundentyp variieren. Die Kenntnis der Anforderungen in allen Märkten, in denen sie tätig sind, stets auf dem neuesten Stand zu halten und die Compliance-Programme bei Gesetzesänderungen anzupassen, stellt eine erhebliche, laufende Investition dar.

Hohe Betriebskosten

Manuelle KYC-Prozesse sind ressourcenintensiv, insbesondere erweiterte Due-Diligence-Prüfungen. Die Kosten steigen mit der Expansion in neue Märkte mit unterschiedlichen Anforderungen. Automatisierte KYC-Lösungen senken die Kosten pro Verifizierung deutlich und gewährleisten gleichzeitig die Einhaltung der Compliance-Standards.

Privatsphäre und Datenschutz

KYC-Compliance-Programme erfassen erhebliche Mengen an personenbezogenen Daten, wodurch Unternehmen dem Anwendungsbereich von Datenschutzgesetzen unterliegen, einschließlich Datenschutz in Europa und der California Consumer Privacy Act (CCPA) In den Vereinigten Staaten müssen KYC-Anbieter die Datenminimierung, rechtmäßige Verarbeitungsgrundlagen und die Fähigkeit zur Bearbeitung von Löschanträgen nachweisen, ohne die gesetzlichen Aufbewahrungspflichten zu verletzen.

Wie Shufti die Einhaltung der KYC-Vorgaben unterstützt

Shuftis KYC-Lösung Es umfasst Identitätsprüfung, KYC-Screening anhand globaler Sanktions- und PEP-Listen sowie die kontinuierliche Überwachung in über 240 Ländern mithilfe einer einzigen, firmeneigenen Technologieplattform. Dazu gehören KI-gestützte Dokumentenprüfung und passive Lebenderkennung, zertifiziert nach [Zertifizierungsstelle einfügen]. iBeta Level 3 (ISO/IEC 30107-3) mit einer Fehlerrate von 0 % und Überwachung negativer Medien, alles zugänglich über eine einzige API.

Für Unternehmen, die die KYC-Compliance automatisieren möchten, ohne zusätzlichen Integrationsaufwand zu verursachen, bietet Shufti die passende Lösung. IdentitätsprüfungKYC-Screening und laufende Überwachung in einem einheitlichen Arbeitsablauf, ohne Abhängigkeit von externen Datenlieferanten.

Häufig gestellte Fragen:

Was versteht man unter KYC-Compliance?

Die Einhaltung der KYC-Vorschriften ist eine gesetzliche Verpflichtung für Unternehmen. Diese verpflichtet sie, die Identität ihrer Kunden zu überprüfen, KYC-Prüfungen anhand von Sanktions- und PEP-Listen durchzuführen, Risiken zu bewerten und die laufenden Aktivitäten gemäß den FATF-Empfehlungen und den nationalen Geldwäschegesetzen zu überwachen. Verstöße können erhebliche Geldstrafen und den Lizenzentzug zur Folge haben.

Welche KYC-Anforderungen gelten?

Zu den KYC-Anforderungen gehören das Sammeln und Überprüfen der Identität eines Kunden anhand von amtlichen Dokumenten, das Durchführen eines KYC-Screenings anhand globaler Sanktions- und PEP-Listen, das Zuordnen einer Risikobewertung, das Anwenden eines angemessenen Sorgfaltsniveaus und das Aufbewahren von Aufzeichnungen für den von der jeweiligen Gerichtsbarkeit vorgeschriebenen Mindestzeitraum.

Was ist KYC-Screening?

KYC-Prüfung ist der Prozess, bei dem die Identitätsdaten eines Kunden mit Sanktionslisten, Datenbanken politisch exponierter Personen (PEP) und negativen Medienberichten abgeglichen werden. Sie ist ein obligatorischer Schritt im Rahmen der Kundensorgfaltspflicht für alle regulierten Unternehmen.

Wann sollte die KYC-Prüfung durchgeführt werden?

Die KYC-Prüfung muss bei Kontoeröffnung, vor bedeutenden Transaktionen, bei Änderungen oder Unklarheiten bezüglich bestehender Kundendaten sowie in regelmäßigen Abständen entsprechend der Risikobewertung des Kunden durchgeführt werden. Es handelt sich um eine fortlaufende Compliance-Pflicht, nicht um eine einmalige Prüfung.

Welche Strafen drohen bei Nichteinhaltung der KYC-Vorschriften?

Zu den Strafen zählen Bußgelder in Millionenhöhe, Anordnungen zur Behebung von Mängeln, Geschäftsbeschränkungen und der Entzug der Betriebserlaubnis. Im zweiten Quartal 2025 beliefen sich die weltweiten Geldstrafen im Bereich der Bekämpfung von Geldwäsche auf 2.91 Milliarden US-Dollar, ein Anstieg um 193 % gegenüber dem Vorquartal. Jüngste Beispiele sind eine Geldstrafe von 313 Millionen DKK gegen die Saxo Bank und eine Geldstrafe von 45 Millionen Euro gegen JP Morgan SE.

Ist die Einhaltung der KYC-Richtlinien für Kryptowährungen erforderlich?

Ja. Kryptowährungsbörsen und Anbieter digitaler Geldbörsen werden in den meisten wichtigen Jurisdiktionen als Finanzdienstleistungsunternehmen eingestuft und müssen die vollständigen KYC-Compliance-Anforderungen erfüllen, einschließlich Identitätsprüfung, KYC-Screening und Transaktionsüberwachung.

Was hat sich in den Jahren 2025 und 2026 bei den KYC-Vorschriften geändert?

Zu den wichtigsten Aktualisierungen in den Jahren 2025 und 2026 gehören: Die FATF hat die Empfehlungen 1, 10 und 15 zu wirtschaftlichem Eigentum und finanzieller Inklusion überarbeitet (Februar 2025); die EU hat in Frankfurt das AMLA eingeführt, um die AML-Aufsicht zu zentralisieren (Mitte 2025); die aktualisierten EU-Geldtransfervorschriften decken nun alle Krypto-Asset-Transfers ab; und der Corporate Transparency Act in den USA hat die Meldepflichten für wirtschaftlich Berechtigte erweitert.