KYC (Know Your Customer)

KYC bezeichnet die Identifizierung des Kunden bei Begründung der Geschäftsbeziehung. CDD bezeichnet die allgemeinen Sorgfaltspflichten: Identifizierung, Abklärung des wirtschaftlich Berechtigten, Einholung von Informationen über den Zweck der Geschäftsbeziehung, kontinuierliche Überwachung. EDD bezeichnet die verstärkten Sorgfaltspflichten bei erhöhtem Risiko: zusätzliche Informationen, Herkunft der Mittel, Genehmigung durch Führungsebene, intensivere Überwachung. Im GwG stehen die Pflichten in §§10 bis 15.

Für Ermittler: Die Identifizierungsdaten des CASP sind das, was ein Auskunftsersuchen liefert. Bei synthetischen Identitäten liefern sie einen nicht existierenden Menschen. Für Compliance: Die Qualität des KYC entscheidet über die Verwertbarkeit aller späteren Erkenntnisse.

KYC ist der Beginn, CDD der laufende Prozess, EDD die Verstärkung. Zum Transaktionsmonitoring (IV.26): Das Monitoring ist Teil der kontinuierlichen Überwachung innerhalb der CDD.

§ 10 Abs. 3 GwG nennt vier Anlässe: die Begründung einer Geschäftsbeziehung; Transaktionen außerhalb einer Geschäftsbeziehung ab 15.000 Euro, bei Geldtransfers und Kryptowertetransfers schon ab 1.000 Euro; Tatsachen, die auf Geldwäsche oder Terrorismusfinanzierung hindeuten, und zwar unabhängig von jeder Schwelle; Zweifel an den erhobenen Angaben zur Identität.

Bei natürlichen Personen verlangt § 11 Abs. 4 GwG Vor- und Nachnamen, Geburtsort, Geburtsdatum, Staatsangehörigkeit und eine Wohnanschrift. Wie diese Angaben zu überprüfen sind, regelt § 12 GwG. Greifen verstärkte Sorgfaltspflichten nach § 15 GwG, muss der Verpflichtete risikoangemessene Zusatzmaßnahmen treffen, bei politisch exponierten Personen und Hochrisiko-Drittstaaten ausdrücklich die Herkunft der Vermögenswerte klären; Kryptodienstleister trifft das wegen ihres Risikoprofils häufig.

Videogestützte und automatisierte Verfahren sind unter Auflagen der Aufsicht zulässig. Ihre Beweiskraft sinkt, weil KI-generierte Ausweise und Deepfake-Videos den reinen Bildabgleich täuschen können. Verpflichtete sollten den Abgleich deshalb mit Liveness-Prüfung, Geräte- und Verhaltensdaten absichern. Die Analyse dazu: Visuelles KYC ist tot.

Das GwG nennt keine feste Frist. § 10 Abs. 1 Nr. 5 GwG verlangt, Dokumente, Daten und Informationen in angemessenem zeitlichen Abstand zu aktualisieren, abhängig vom Risiko. Institute legen die Zyklen in ihrer Risikoanalyse fest, gestaffelt nach Risikoklasse. Anlassbezogen ist sofort nachzuprüfen, etwa wenn das Transaktionsverhalten nicht mehr zum Kundenprofil passt.

Dann darf keine Geschäftsbeziehung begründet und keine Transaktion durchgeführt werden. Eine bestehende Beziehung ist nach § 10 Abs. 9 GwG zu beenden, durch Kündigung oder auf andere Weise. Für Kunden heißt das: Wer Unterlagen verweigert, riskiert die Kontokündigung.

Der KYC-Fragebogen erfüllt die Pflicht, Zweck und Art der Geschäftsbeziehung zu klären. Erst damit lässt sich beurteilen, ob spätere Zahlungen zum Kunden passen. Bei politisch exponierten Personen und Bezug zu Hochrisiko-Drittstaaten verlangt § 15 GwG ausdrücklich Maßnahmen zur Herkunft der Vermögenswerte. Der Kunde muss mitwirken, so steht es in § 11 Abs. 6 GwG.