Was ist eine KYC-Prüfung? Bedeutung, Ablauf, Anforderungen
Was ist eine KYC-Prüfung? Wie der KYC-Prozess von der Ausweisprüfung bis zur Überwachung abläuft und was FATF und Südostasiens Aufsichtsbehörden verlangen.
Die Know-Your-Customer-Prüfung (KYC) ist die Gesamtheit der Prüfungen, die ein beaufsichtigtes Unternehmen durchführt, um zu bestätigen, dass ein Kunde die Person ist, die er zu sein vorgibt, und um das von ihm ausgehende Risiko zu verstehen. Sie umfasst das Erheben von Identitätsdaten, deren Überprüfung anhand verlässlicher, unabhängiger Quellen und deren Aktualisierung. Die Standards der Financial Action Task Force (FATF) setzen den Mindestrahmen, die Einzelheiten regelt jedes Land selbst.
Dieser Artikel beschreibt die Pflicht des Instituts, nicht den Weg, auf dem ein Kunde KYC in einer bestimmten App durchläuft. Die Beispiele konzentrieren sich auf die Philippinen, Malaysia und Singapur; Indonesien, Vietnam und Thailand erscheinen in den Tabellen. Die Vorschriften sind national, und der Ansatz eines einzelnen Landes ist nicht als regionale Norm zu lesen.
Was bedeutet KYC?
KYC steht für Know Your Customer. Es ist die Pflicht, Kunden zu identifizieren und das von ihnen ausgehende Risiko zu verstehen, und es ist ein Teil eines Rahmens zur Geldwäscheprävention (AML). Der Begriff der FATF für die entsprechenden Maßnahmen lautet Sorgfaltspflichten gegenüber Kunden (CDD). „KYC-Prüfung“ wird oft für den Teil aus Identifizierung und Überprüfung verwendet und im allgemeinen Sprachgebrauch für die gesamte Prüfung; dieser Artikel verwendet den Begriff für die gesamte Prüfung.
Die FATF-Standards verlangen, Kunden anhand verlässlicher, unabhängiger Dokumente, Daten oder Informationen zu identifizieren und ihre Identität zu überprüfen; die Länder setzen dies in nationale Vorschriften zur Prävention von Geldwäsche und Terrorismusfinanzierung (AML/CFT) um. Bindend für ein Institut sind diese nationalen Vorschriften, nicht der FATF-Standard selbst.
Die vier Kernelemente von KYC (FATF-Empfehlung 10)
Die FATF-Empfehlung 10 legt vier CDD-Maßnahmen fest:
- Den Kunden identifizieren und seine Identität anhand verlässlicher, unabhängiger Dokumente, Daten oder Informationen überprüfen.
- Den wirtschaftlich Berechtigten ermitteln, also die natürliche Person, die den Kunden letztlich besitzt oder kontrolliert, und angemessene Maßnahmen ergreifen, um deren Identität zu überprüfen.
- Zweck und angestrebte Art der Geschäftsbeziehung verstehen und, soweit angemessen, Informationen dazu einholen.
- Während der gesamten Beziehung kontinuierlich überwachen und Transaktionen prüfen, erforderlichenfalls einschließlich der Herkunft der Mittel.
Die FATF-Standards verlangen diese Maßnahmen bei Begründung einer Geschäftsbeziehung, bei bestimmten gelegentlichen Transaktionen, bei Verdacht auf Geldwäsche oder Terrorismusfinanzierung und bei Zweifeln an früher erhobenen Identifizierungsdaten. Manche Leitfäden beschreiben KYC als drei Bestandteile; der FATF-Standard nennt vier Maßnahmen.
Wie die KYC-Prüfung abläuft
Die folgenden Schritte folgen den vier FATF-Maßnahmen und ergänzen sie um Screening, Risikobewertung und Entscheidung. Reihenfolge und Detailtiefe unterscheiden sich je nach Institut und Land.
- Identitätsdaten erheben. Das Institut erhebt die Identitätsdaten des Kunden. Welche Angaben die Vorschriften nennen, unterscheidet sich je nach Land, wie die Datentabelle weiter unten zeigt.
- Identität überprüfen. Die Daten werden anhand verlässlicher, unabhängiger Dokumente, Daten oder Informationen abgeglichen, persönlich oder aus der Ferne. In Singapur etwa behandelt die Monetary Authority of Singapore (MAS) Myinfo als verlässliche und unabhängige Quelle, und auf den Philippinen behandelt die Bangko Sentral ng Pilipinas (BSP) das Philippine Identification System (PhilSys) ebenso. Die FATF-Standards verlangen die Überprüfung vor oder während der Begründung der Beziehung; Länder können zulassen, dass sie danach so bald wie praktisch möglich abgeschlossen wird, sofern die Risiken wirksam gesteuert werden und es wesentlich ist, den normalen Geschäftsbetrieb nicht zu unterbrechen.
- Wirtschaftlich Berechtigten ermitteln. Soweit einschlägig, ermittelt das Institut die natürliche Person hinter dem Kunden und ergreift angemessene Maßnahmen, um deren Identität zu überprüfen. Die FATF-Standards behandeln auch die wirtschaftliche Berechtigung an juristischen Personen (Empfehlung 24).
- Zweck verstehen. Das Institut stellt fest, warum der Kunde die Beziehung wünscht und was sie sein soll. Die malaysischen und die indonesischen Vorschriften nennen den Zweck unter den einzuholenden Informationen.
- Screening durchführen. Sanktionslistenprüfung und Screening auf politisch exponierte Personen (PEP) gehören nach nationalen Vorschriften in der Regel zu den CDD; die FATF-Standards behandeln PEP in Empfehlung 12.
- Risiko bewerten. Die Bewertung bestimmt die Prüftiefe: vereinfachte, Standard- oder verstärkte Sorgfaltspflichten, behandelt im nächsten Abschnitt.
- Entscheiden. Das Institut nimmt den Kunden auf, eskaliert den Fall oder lehnt ab. Lassen sich die CDD nicht abschließen, sollte das Institut nach den FATF-Standards das Konto nicht eröffnen oder die Beziehung nicht aufnehmen beziehungsweise eine bestehende beenden und prüfen, ob eine Verdachtsmeldung (suspicious transaction report, STR) abzugeben ist.
- Überwachen und aktualisieren. Die kontinuierliche Überwachung umfasst die Prüfung von Transaktionen und die Aktualisierung der Daten durch Überprüfungen, insbesondere bei Kunden mit höherem Risiko. Die FATF-Standards verlangen CDD auch bei Bestandskunden, nach Wesentlichkeit und Risiko.
Risikobasiertes KYC: vereinfachte, Standard- und verstärkte Sorgfaltspflichten
Die FATF-Standards verlangen, dass sich der Umfang der CDD nach einem risikobasierten Ansatz richtet; die Prüftiefe hängt damit vom Risiko des Kunden ab. Die Beispiele im Auslegungshinweis der FATF sind Orientierung, keine verbindlichen Elemente.
| Stufe | Wann sie gilt | Übliche Maßnahmen (FATF-Beispiele) | Nationale Beispiele |
|---|---|---|---|
| Vereinfacht | Das Risiko ist geringer und wurde angemessen analysiert; nicht bei Verdacht oder in einem konkreten Szenario mit höherem Risiko | Beispiele sind die Überprüfung der Identität nach Beginn der Beziehung, seltenere Aktualisierung der Daten und reduzierte Überwachung | Das Grundsatzdokument der Bank Negara Malaysia (BNM) lässt vereinfachte CDD zu, wenn die Risiken als gering bewertet werden, außer bei höheren Risiken oder Verdacht; OJK Regulation No. 8 of 2023 der indonesischen Otoritas Jasa Keuangan (OJK) lässt sie nach angemessener Risikoanalyse zu |
| Standard | Weder Faktoren für geringeres noch für höheres Risiko sprechen für eine andere Prüftiefe | Die vier oben beschriebenen CDD-Maßnahmen | Das Grundsatzdokument der BNM nennt die Daten, die bei Standard-CDD für Privatkunden einzuholen sind (siehe Datentabelle) |
| Verstärkt | Das Risiko ist höher | Beispiele sind mehr Informationen über den Kunden und die Beziehung, Informationen über die Herkunft der Mittel oder des Vermögens und über die Gründe für Transaktionen, die Zustimmung der Geschäftsleitung, verstärkte Überwachung und häufigere Datenaktualisierung | Die OJK definiert verstärkte Sorgfaltspflichten (EDD) als vertiefte CDD für Kunden mit hohem Risiko, einschließlich PEP |
Beziehungen ohne persönliche Anwesenheit erscheinen in den Beispielen der FATF nur dann als möglicher Faktor für ein höheres Risiko, wenn keine geeigneten risikomindernden Maßnahmen umgesetzt wurden. KYC aus der Ferne ist daher nicht automatisch mit hohem Risiko verbunden.
Welche Dokumente und Daten werden für KYC benötigt?
Die konkreten Angaben ergeben sich aus den nationalen Vorschriften und der Risikoanalyse des Instituts. Die Tabelle zeigt die Daten, die für Privatkunden genannt werden; die Vorschriften gruppieren die Informationen unterschiedlich, die Listen sind daher nicht unmittelbar vergleichbar. So regelt MAS Notice 626 den Zweck der Beziehung in einem eigenen Absatz, während die malaysische und die indonesische Liste ihn enthalten; die Zahl der Angaben zeigt deshalb nicht, wie viel ein Land verlangt. Der Inhalt der thailändischen Vorschrift wird hier nicht beschrieben.
| Land (Vorschrift) | Informationen, die die Vorschrift zur Identifizierung von Privatkunden nennt |
|---|---|
| Singapur (MAS Notice 626, für Banken) | Vollständiger Name einschließlich Aliasnamen; eindeutige Identifikationsnummer; Wohnanschrift; Geburtsdatum; Staatsangehörigkeit |
| Malaysia (Grundsatzdokument der BNM) | Vollständiger Name; Nummer der National Registration Identity Card (NRIC), des Reisepasses oder eines anderen amtlichen Dokuments; Wohn- und Postanschrift; Geburtsdatum; Staatsangehörigkeit; Art des Berufs; Arbeitgeber oder Art der Geschäftstätigkeit; Telefonnummer; Zweck der Transaktion |
| Indonesien (OJK Regulation No. 8 of 2023) | Vollständiger Name einschließlich Aliasname; Nummer des Identitätsdokuments; Anschrift; Geburtsort und -datum; Staatsangehörigkeit; Beruf; Anschrift und Telefonnummer des Arbeitsplatzes; Geschlecht; Familienstand; Geburtsname der Mutter; dazu der wirtschaftlich Berechtigte, die Herkunft der Mittel, Einkommen oder Nettovermögen und der Zweck der Beziehung |
| Vietnam (AML-Gesetz) | Vollständiger Name; Geburtsdatum; Staatsangehörigkeit; Beruf oder Position; Telefonnummer; Nummer des Ausweises, des Bürgerausweises, der persönlichen Kennnummer oder des Reisepasses (bei ausländischen Einwohnern mit Ausstellungsdatum und -ort); Wohnsitz |
| Philippinen (BSP-Vorschriften) | Name und/oder PhilSys-Nummer, unter den Mindestangaben; eine vollständige Liste wird hier nicht genannt |
Bei Unternehmen erstreckt sich der Prozess auch auf die wirtschaftlich Berechtigten; die Prüfung von Unternehmen ist Gegenstand von Know Your Business (KYB).
KYC-Anforderungen in Südostasien: Überblick nach Ländern
Die Tabelle nennt das wichtigste Regelwerk je Land. Sie beschreibt, welche Vorschriften bestehen, nicht, was jede von ihnen verlangt.
| Land | Aufsichtsbehörde / zentrale Meldestelle (soweit hier genannt) | Wichtigste Vorschrift (geltende Fassung) | Anwendungsbereich und Grenzen |
|---|---|---|---|
| Philippinen | Bangko Sentral ng Pilipinas (BSP); Anti-Money Laundering Council (AMLC), die zentrale Meldestelle | Anti-Money Laundering Act of 2001 (Republic Act No. 9160) in der geänderten Fassung, zuletzt geändert durch Republic Act No. 11521 (2021); CDD-Vorschriften der BSP in der durch Circular No. 1170 (2023) geänderten Fassung | Die BSP-Vorschriften gelten für von der BSP beaufsichtigte Institute; eine vollständige Datenliste wird hier nicht genannt |
| Malaysia | Bank Negara Malaysia (BNM) | Grundsatzdokument der BNM zu Geldwäscheprävention, Bekämpfung der Terrorismus- und Proliferationsfinanzierung und gezielten Finanzsanktionen für Finanzinstitute (BNM/RH/PD 030-14), in Kraft seit dem 6. Februar 2024 und an die Stelle der am 1. Januar 2020 in Kraft getretenen Fassung getreten | Gilt für die Finanzinstitute in seinem Anwendungsbereich; die Datenangaben betreffen Privatkunden im Rahmen der Standard-CDD |
| Singapur | MAS; Suspicious Transaction Reporting Office (STRO), die zentrale Meldestelle | MAS Notice 626 für Banken (zuletzt geändert am 30. Juni 2025), mit entsprechenden Notices für andere Finanzinstitute | Notice 626 gilt für Banken; andere Notice-Nummern werden hier nicht beschrieben |
| Indonesien | Otoritas Jasa Keuangan (OJK); PPATK (Pusat Pelaporan dan Analisis Transaksi Keuangan), die zentrale Meldestelle | OJK Regulation No. 8 of 2023 zu Geldwäscheprävention und zur Bekämpfung der Terrorismus- und Proliferationsfinanzierung im Finanzdienstleistungssektor | Inoffizielle englische Übersetzung des Titels |
| Vietnam | State Bank of Vietnam (SBV) | Law on Anti-Money Laundering No. 14/2022/QH15, geändert mit Wirkung zum 1. Dezember 2026 | Inoffizieller englischer Titel; der Inhalt der Änderung wurde nicht geprüft |
| Thailand | Anti-Money Laundering Office (AMLO) | Anti-Money Laundering Act B.E. 2542 (1999) in der geänderten Fassung; Ministerial Regulation on Customer Due Diligence B.E. 2563 (2020) | Nur die Bezeichnungen der Regelwerke; Inhalt und Zeitpunkte des Inkrafttretens werden hier nicht beschrieben |
Geprüft am 30. Oktober 2026. Vorschriften ändern sich; bestätigen Sie die geltende Fassung daher bei der jeweiligen Aufsichtsbehörde. Die FATF-Standards werden in der im Juni 2026 geänderten Fassung zitiert; die Ergebnisse der FATF-Plenarsitzung vom 26. bis 30. Oktober 2026 waren zum Zeitpunkt der Prüfung dieser Seite noch nicht veröffentlicht. Das vietnamesische Gesetz wird anhand einer englischen Übersetzung aus einer juristischen Datenbank beschrieben. Die Titel für Indonesien, Vietnam und Thailand sind inoffizielle englische Fassungen.
Philippinen. PhilSys wurde durch den Philippine Identification System Act (Republic Act No. 11055) eingerichtet. Die Vorschriften der BSP erkennen in der durch Circular No. 1170 (2023) geänderten Fassung die PhilSys-Einträge einer Person als amtlichen und ausreichenden Identitätsnachweis an.
Malaysia. Das Grundsatzdokument der BNM verpflichtet Institute, die Identität vor oder während der Beziehung zu überprüfen.
Singapur. MAS Notice 626 verpflichtet Banken, die Identität anhand verlässlicher, unabhängiger Daten, Dokumente oder Informationen zu überprüfen.
Dieser Artikel dient ausschließlich der Information und stellt keine Rechts- oder Aufsichtsberatung dar.
KYC in Präsenz und eKYC
Elektronisches KYC (eKYC) führt dieselben Prüfungen über Online- oder Mobilkanäle durch, und der CDD-Standard ändert sich mit dem Kanal nicht. In Singapur verlangt MAS Notice 626, dass die CDD der Banken ohne persönliche Anwesenheit mindestens ebenso belastbar ist wie die CDD in Präsenz. Prüfungen aus der Ferne nutzen in der Regel Dokumentenprüfung, biometrischen Abgleich und Liveness-Erkennung; das malaysische e-KYC-Grundsatzdokument führt diese als Maßnahmen auf, die Institute einsetzen können. Der Guidance on Digital ID der FATF aus dem Jahr 2020 hilft beaufsichtigten Unternehmen bei der Entscheidung, ob eine digitale Identität für die CDD geeignet ist.
Häufige Fehler und Risiken bei KYC
- KYC als einmaligen Vorgang behandeln. Die FATF-Standards verlangen, CDD-Daten durch Überprüfungen aktuell zu halten, insbesondere bei Kunden mit höherem Risiko.
- Bei jedem Kunden dieselben Prüfungen anwenden. Der risikobasierte Ansatz verlangt vereinfachte Maßnahmen, wo das Risiko geringer ist, und verstärkte, wo es höher ist.
- Wirtschaftlich Berechtigte übersehen. Den wirtschaftlich Berechtigten zu ermitteln, ist eine der vier FATF-Maßnahmen und kein optionaler Zusatz.
- Kunden aus der Ferne pauschal als hohes Risiko einstufen oder ganze Gruppen ausschließen. Die FATF hat erklärt, dass ihre Standards kein De-Risking vorsehen, also keinen Ausschluss ganzer Kundengruppen, sondern einen risikobasierten Ansatz verlangen.
- Eine überprüfte Identität als Nachweis einer rechtmäßigen Nutzung behandeln. In einem Fall, den Singapur der FATF gemeldet hat, gaben 147 Personen ihre nationale digitale Identität an kriminelle Syndikate weiter, die damit aus der Ferne 276 Konten bei acht Banken eröffneten.
- Angriffe auf Prüfungen aus der Ferne übersehen. Die European Union Agency for Cybersecurity (ENISA) hat 2022 Angriffe mit Fotos, Video-Replay, 3D-Masken und Deepfakes als wesentliche Gesichts-Präsentationsangriffe gegen die Identitätsfeststellung aus der Ferne benannt und festgehalten, dass Video-Injection, die die Kamera umgeht, kein Präsentationsangriff ist. Leitlinien der MAS weisen darauf hin, dass Anträge über das Internet größere Risiken bergen können, darunter die Leichtigkeit, mehrfach fiktive Anträge zu stellen.
Die KYC-Prüfung ist keine einmalige Prüfung bei der Anmeldung. Sie ist risikobasierte Sorgfaltspflicht gegenüber Kunden: die vier FATF-Maßnahmen, angewendet im Verhältnis zum Risiko des Kunden, während der Beziehung aktuell gehalten und von den Vorschriften des jeweiligen Landes geprägt.
Die erhobenen Daten und die Regelwerke unterscheiden sich je Land; was in einem Markt gilt, lässt sich für einen anderen nicht voraussetzen. Teams, die prüfen, wie Software zu diesen Schritten passt, finden mehr zu Software für die KYC-Prüfung.
Mehrere der hier beschriebenen Vorschriften sind neu oder mit Wirkung zu einem späteren Zeitpunkt geändert worden; die geltenden Fassungen sollten daher bei der jeweiligen Aufsichtsbehörde bestätigt werden, bevor man sich auf sie stützt.
Häufige Fragen
