Kennen Sie Ihren Kunden (KYC): Globale regulatorische Landschaft und Compliance-Standards

Kenne deinen Kunden (KYC) KYC (Know Your Customer) ist ein Sorgfaltsprozess, der von Unternehmen, insbesondere im Bankwesen, der Fintech-Branche und im Finanzdienstleistungssektor, durchgeführt wird, um die Identität ihrer Kunden zu überprüfen, die Legitimität ihrer Gelder zu beurteilen und ihr Gesamtrisikoprofil zu bewerten. Dies geschieht durch die Erfassung und Validierung wichtiger Informationen wie Personalausweise, Adressnachweise, Finanzberichte und gegebenenfalls die Herkunft des Vermögens. KYC geht über die Kundenaufnahme hinaus und umfasst die fortlaufende Überwachung von Finanztransaktionen sowie die regelmäßige Überprüfung des Kundenrisikos, um verdächtiges Verhalten frühzeitig zu erkennen und entsprechende Maßnahmen zu ergreifen.

KYC ist der Eckpfeiler der globalen Bekämpfung von Geldwäsche und Terrorismusfinanzierung. 

Finanzierungsmaßnahmen (CTF) ermöglichen es Unternehmen, den Missbrauch ihrer Plattformen zu verhindern und nationale sowie internationale Vorschriften von Organisationen wie der Financial Action Task Force (FATF) einzuhalten. Die Nichteinhaltung ordnungsgemäßer KYC-Verfahren kann Institutionen anfällig für behördliche Strafen, Reputationsschäden und einen erheblichen Vertrauensverlust bei den Verbrauchern machen.

Obwohl die Umsetzung von KYC-konformen Verfahren komplex und ressourcenintensiv sein kann, ist sie für nachhaltiges Wachstum auf nationaler und internationaler Ebene unerlässlich. Gut implementierte KYC-Praktiken beugen Betrug vor und schützen Kundendaten, wodurch personalisierte Services und stärkere Geschäftsbeziehungen ermöglicht werden. In einer zunehmend digital vernetzten Welt werden Innovationen wie e-KYC, biometrische Verifizierung und KI-gestützte Risikobewertung verstärkt eingesetzt, um die Compliance zu optimieren und das Kundenerlebnis zu verbessern. KYC ist somit nicht nur eine regulatorische Anforderung, sondern auch ein Wettbewerbsvorteil.

KYC-Regulierungsrahmen

Der Rahmen für die Einhaltung der KYC-Vorschriften wird maßgeblich von der Financial Action Task Force (FATF) vorgegeben, einer 1989 gegründeten zwischenstaatlichen Organisation, die weltweit Standards zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung festlegt. Über 200 Staaten und Länder haben die 40 Empfehlungen der FATF übernommen, die im Laufe der Jahre kontinuierlich aktualisiert und auf nationaler Ebene weiterentwickelt wurden.

Die Organisation führt gegenseitige Evaluierungen durch, um die Mitgliedsländer hinsichtlich der technischen Konformität ihrer Gesetze zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung sowie der Effektivität ihrer Umsetzung zu bewerten. Länder, die diese Evaluierungen nicht bestehen, können auf die graue oder schwarze Liste der FATF gesetzt werden, was ihren Zugang zu den internationalen Finanzmärkten erheblich einschränkt. Die Aufnahme in diese Listen kann weitreichende Folgen für die Finanzlage einer Region haben und die Länder dazu bewegen, entsprechende Gesetze zu erlassen und durchzusetzen.

Während einige übergeordnete Prinzipien universell gelten, wie die Sorgfaltspflicht gegenüber Kunden (Customer Due Diligence, CDD), die erweiterte Sorgfaltspflicht gegenüber Hochrisikokunden (Enhanced Due Diligence, EDD) und die laufende Überwachung, können die konkreten Regelungen von Land zu Land erheblich variieren. Nationale Regulierungsbehörden interpretieren die FATF-Richtlinien anhand lokaler Risikobewertungen, der Reife des Finanzsektors und der jeweiligen Durchsetzungskapazitäten. Die meisten Jurisdiktionen verfügen über spezialisierte Aufsichtsbehörden, die die Einhaltung der KYC- und AML-Vorschriften überwachen und bei Verstößen Bußgelder verhängen oder Reformen anordnen können.

Aufgrund der zunehmenden Digitalisierung des modernen Finanzsystems werden international neue Bestimmungen zu Remote-Onboarding, digitaler Identitätsprüfung und automatisierter Transaktionsüberwachung eingeführt. In einigen Teilen der Welt wurde der regulatorische Rahmen zudem auf Nichtbanken wie Anbieter von Dienstleistungen für virtuelle Vermögenswerte (VASPs), Fintech-Startups, Kryptowährungsbörsen, Immobilienmakler und sogar Anwälte und Steuerberater ausgeweitet. Dies spiegelt die wachsende Erkenntnis wider, dass Geldwäsche und Betrug über traditionelle Finanzkanäle hinausgehen. 

Im Folgenden wird ein Überblick über die wichtigsten KYC-Regulierungsbehörden, nationale Durchsetzungstrends und prominente Compliance-Maßnahmen der letzten Jahre nach Jurisdiktionen gegeben, wobei hervorgehoben wird, wie globale Prinzipien in lokalen Kontexten angewendet werden.

USA

Die Vereinigten Staaten verfügen über eines der größten und umfassendsten Systeme zur Einhaltung der KYC- und AML-Vorschriften. Grundlage hierfür ist der Bank Secrecy Act (BSA) von 1970, der im Laufe der Jahre aufgrund der zunehmenden Komplexität von Finanzkriminalität erheblich weiterentwickelt wurde, darunter der USA PATRIOT Act von 2001 und der Anti-Money Laundering Act von 2020.

FinCEN (Financial Crimes Enforcement Network)

FinCEN ist eine Abteilung des US-Finanzministeriums, die den Bank Secrecy Act (BSA) durchsetzt und die Einhaltung der KYC/AML-Vorschriften für Unternehmen wie Banken, Geldtransferdienstleister, Casinos, Wertpapierfirmen und eine wachsende Zahl von Fintech-Unternehmen und Anbietern von Dienstleistungen im Bereich virtueller Vermögenswerte (VASPs) überwacht. Darüber hinaus ist FinCEN für die Meldung verdächtiger Aktivitäten (SAR), die Sorgfaltspflichten gegenüber Kunden (CDD) und die Transparenz der wirtschaftlichen Eigentümer gemäß dem Corporate Transparency Act von 2024 zuständig.

OFAC (Amt für die Kontrolle ausländischer Vermögenswerte)

Das OFAC verwaltet und setzt die US-Wirtschafts- und Handelssanktionen durch, die auf die nationalen Sicherheits- und außenpolitischen Ziele abgestimmt sind und vom Präsidenten angeordnet sowie durch Gesetze des Kongresses erlassen wurden. Im Rahmen der KYC-Pflichten müssen Institutionen ihre Kunden anhand der Liste der speziell benannten Staatsangehörigen (Specially Designated Nationals, SDN) und der Sperrliste des OFAC überprüfen. 

Aktuelle Durchsetzung 

TD Bank (Oktober 2024)

In einem der größten Geldwäscheverfahren der jüngeren Geschichte bekannte sich die TD Bank der Verstöße gegen den Bankgeheimnisgesetz (BSA) schuldig und erklärte sich bereit, eine Strafe von 3 Milliarden US-Dollar zu zahlen. Grund dafür war, dass die TD Bank über 670 Milliarden US-Dollar an verdächtigen Transaktionen über mehrere Jahre hinweg nicht ausreichend überwacht und gemeldet hatte. Dies spiegelte systemische Mängel in den internen Kontrollsystemen, der Transaktionsüberwachung und der Meldung verdächtiger Transaktionen (SAR) wider. Im Rahmen der Einigung wurde die TD Bank verpflichtet, einen unabhängigen Compliance-Beauftragten zu ernennen, der die Maßnahmen zur Bekämpfung der Geldwäsche über einen Zeitraum von drei Jahren überwachen sollte. 

Großbritannien

Seit dem Austritt aus der Europäischen Union hat das Vereinigte Königreich seine eigenen AML- und CTF-Mandate beibehalten und erweitert, größtenteils in Übereinstimmung mit den Geldwäschebestimmungen von 2017, und diese bei Bedarf angepasst.

Financial Conduct Authority (FCA)

Die FCA verfügt über weitreichende Befugnisse zur Aufsicht über Finanzdienstleistungsunternehmen und zur Durchsetzung der AML/KYC-Vorschriften. Sie bewertet, wie diese Unternehmen mit Risiken der Finanzkriminalität umgehen, insbesondere wie sie Identitätsprüfungen von Kunden durchführen, Sorgfaltsprüfungen gewährleisten und Transaktionen überwachen. Darüber hinaus kann sie Bußgelder verhängen, Geschäftstätigkeiten einschränken oder in extremen Fällen Lizenzen entziehen. 

Aktuelle Durchsetzung 

Equifax Limited (Oktober 2023)

Equifax Limited wurde kürzlich von der FCA wegen erheblicher Mängel im Umgang mit einem Cyberangriff aus dem Jahr 2017, der die US-amerikanische Muttergesellschaft betraf und zur Offenlegung der personenbezogenen Daten von 14 Millionen britischen Kunden führte, mit einer Geldstrafe von 11.16 Millionen Pfund belegt. Die FCA stellte fest, dass Equifax UK die Verarbeitung sensibler personenbezogener Daten durch die Muttergesellschaft nicht ausreichend überwacht hatte. Obwohl der Vorgang im Ausland stattfand, blieb Equifax Limited gemäß britischem Recht verantwortlich. Die FCA bemängelte Schwächen im Risikomanagement, den Sicherheitsvorkehrungen und den Governance-Verfahren von Equifax, die maßgeblich zu den Auswirkungen des Datenlecks auf britische Kunden beitrugen.

Europäische Union (EU)

Die Europäische Union verfolgt einen progressiven, mehrstufigen Ansatz zur Bekämpfung von Finanzkriminalität und legt dabei besonderen Wert auf grenzüberschreitende Einheitlichkeit bei der Identifizierung von Kunden, der Risikobewertung und der Meldung verdächtiger Aktivitäten durch die Institutionen.  

Geldwäscherichtlinien (AMLDs)

Die 1991 eingeführten Geldwäscherichtlinien wurden in jeder ihrer Fassungen europaweit weiterentwickelt und verfeinert, um die Compliance-Anforderungen zu stärken. Die vierte Geldwäscherichtlinie (2015) legte Mindestanforderungen an die Kundenidentifizierung (KYC) und die Sorgfaltspflichten für Banken, Immobilienmakler, Wirtschaftsprüfer und andere Finanzdienstleister fest, während die fünfte Geldwäscherichtlinie (2018) den Anwendungsbereich auf Kryptowährungsplattformen und Prepaid-Kartenherausgeber ausweitete. 

Kürzlich wurde mit der sechsten Geldwäscherichtlinie (2021) die strafrechtliche Haftung für Geldwäschedelikte auf juristische Personen ausgeweitet, was bedeutet, dass Unternehmen selbst für Geldwäscheverstöße ihrer Mitarbeiter verantwortlich gemacht werden können.

Aktuelle Durchsetzung 

Euram Bank (Oktober 2024)

Im Oktober 2024 ordnete die österreichische Finanzmarktaufsicht (FMA) der Europäisch-Amerikanischen Investmentbank AG (Euram Bank) die sofortige Einstellung des Geschäftsbetriebs aufgrund unzureichender Geldwäschebekämpfungsmaßnahmen an. Die FMA hatte die Euram Bank bereits Anfang des Jahres aufgefordert, die Geldwäscherichtlinien einzuhalten, doch diese hatte die Mängel nicht ausreichend behoben.

China, Kambodscha

China nutzt ein duales Regulierungssystem für die nationale Finanzaufsicht und die Bekämpfung von Geldwäsche, wobei die Zuständigkeiten zwischen der Zentralbank und einer eigens dafür zuständigen Finanzaufsichtsbehörde aufgeteilt sind. In den letzten Jahren hat China seinen Fokus verstärkt darauf gerichtet, die nationalen Bemühungen an internationale Standards anzugleichen und gleichzeitig spezifische nationale Herausforderungen wie großvolumige Bargeldtransaktionen und Schattenbankennetzwerke anzugehen.

Chinesische Volksbank (PBC)

Gemäß dem Geldwäschegesetz der Volksrepublik China ist die Zentralbank der Volksrepublik China (PBC) für die Ausarbeitung von Geldwäschebekämpfungsrichtlinien, die Festlegung regulatorischer Anforderungen für die Identitätsprüfung von Kunden und die Untersuchung von Finanzinstituten zuständig, die im Verdacht stehen, gegen diese Vorschriften verstoßen zu haben. Die PBC beaufsichtigt außerdem das Chinesische Zentrum für die Überwachung und Analyse der Geldwäschebekämpfung (CAMLMAC), das – wie andere Zentralstellen für Finanzinformationen (FIUs) – Transaktionsdaten sammelt und analysiert, um verdächtige Aktivitäten im gesamten Finanzsystem aufzudecken.

China Banken- und Versicherungsaufsichtsbehörde (CBIRC)

Das CBIRC stellt sicher, dass Institute die von der PBC festgelegten AML-Standards ordnungsgemäß umsetzen, indem es interne Kontrollmechanismen, Onboarding-Verfahren und laufende Sorgfaltsprüfungen überprüft. Seit seiner Gründung im Jahr 2018 hat das CBIRC zur Verbesserung der KYC-Protokolle in China beigetragen, insbesondere bei staatlichen und ländlichen Finanzinstituten, die in der Vergangenheit bei der Einhaltung der Vorschriften hinterherhinkten.

Aktuelle Durchsetzung

Ant Group (Juli 2023)

Nach Abschluss einer mehrjährigen Untersuchung verhängte die PBC eine Geldstrafe von Die Ant Group wurde wegen einer Reihe von Verstößen, darunter Versäumnisse bei der Bekämpfung von Geldwäsche, mangelhafte Verbraucherschutzpraktiken und unzureichende Unternehmensführung, mit einer Geldstrafe von 7.123 Milliarden Yuan (ca. 984 Millionen US-Dollar) belegt. Mit dieser Strafe haben die Aufsichtsbehörden ein klares Signal gesendet: Fintech-Unternehmen müssen unabhängig von ihrer Größe oder ihrem Einfluss die KYC-Vorschriften im gleichen Umfang wie traditionelle Banken einhalten, um den Missbrauch ihrer Finanzprodukte zu verhindern. 

Indien

Indiens wichtigstes Geldwäschegesetz ist der „Prevention of Money Laundering Act“ aus dem Jahr 2002, der die rechtliche Grundlage für eine breite Palette von Compliance-Verpflichtungen bildet, die in den letzten zwei Jahrzehnten umgesetzt wurden.

Reserve Bank von Indien (RBI)

Die indische Zentralbank (RBI) erlässt Richtlinien und aktualisiert diese regelmäßig, die festlegen, wie Finanzinstitute die Identität ihrer Kunden überprüfen, Aufzeichnungen führen und Risiken bewerten müssen. Neben der Regelsetzung führt die RBI auch Audits, Vor-Ort-Prüfungen und thematische Überprüfungen durch, um sicherzustellen, dass die Institute nicht nur die entsprechenden Richtlinien auf dem Papier haben, sondern diese auch effektiv umsetzen. Zu ihren Durchsetzungsbefugnissen gehört die Verhängung von Geldstrafen und die Beschränkung des Geschäftsbetriebs bei wiederholten Verstößen.

Financial Intelligence Unit (FIU-IND)

Die FIU-IND fungiert als zentrale indische Behörde für den Empfang, die Bearbeitung und die Analyse von Verdachtsmeldungen (STRs) meldepflichtiger Unternehmen und fördert die Zusammenarbeit zwischen den Behörden sowie die Unterstützung von Ermittlungen der Strafverfolgungsbehörden. In den letzten Jahren hat die FIU-IND den Schwerpunkt verstärkt auf datengestützte Überwachung, branchenübergreifenden Informationsaustausch und eine schnellere Behebung von Compliance-Mängeln gelegt (insbesondere im Zuge der Digitalisierung des Finanzsektors).

Aktuelle Durchsetzung

HDFC Bank und Punjab & Sind Bank (März 2025)

Im März 2025 verhängte die indische Zentralbank (RBI) Geldstrafen in Höhe von 75 Lakh ₹ (ca. 87,000 USD) gegen die HDFC Bank und 68.20 Lakh ₹ (ca. 80,000 USD) gegen die Punjab & Sind Bank. Grund dafür waren Mängel bei der Kundenidentifizierung und die Nichteinhaltung einheitlicher Risikoklassifizierungsprotokolle. Die Aufsichtsbehörden betonten zwar, dass die Strafen auf Verfahrenslücken und nicht auf vorsätzliches Fehlverhalten zurückzuführen seien, unterstrichen aber dennoch die Wichtigkeit einer strengen Aufsicht, insbesondere angesichts der zunehmenden Verbreitung digitaler Kundenregistrierung.