AML/KYC für EMIs und Zahlungsinstitute

Ein E-Geld-Institut (EMI) oder Zahlungsinstitut steht zwischen seinen Kundinnen und Kunden und dem übrigen Finanzsystem, und diese Stellung bringt eine Pflicht mit sich: zu wissen, wer die Kundschaft ist, und kriminelles Geld aus den betriebenen Flüssen herauszuhalten. AML — die Gesamtheit der Kontrollen, die verhindern, dass eine Plattform zur Geldwäsche oder zur Bewegung von Mitteln für sanktionierte oder unrechtmäßige Zwecke genutzt wird — und KYC — die Überprüfung der Identität einer Kundin oder eines Kunden bei der Aufnahme — sind der Weg, auf dem ein Institut diese Pflicht erfüllt. Für ein EMI oder Zahlungsinstitut sind sie keine am Rand eines Produkts hinzugefügten Funktionen, sondern die Bedingungen, unter denen das Institut überhaupt Kundengelder halten und bewegen darf.

Diese Kontrollen werden oft unter Compliance-Kosten verbucht, doch für ein Zahlungs- oder E-Geld-Institut liegen sie näher an einer Betriebsvoraussetzung als an einem Gemeinkostenposten. Sie entscheiden, ob das Institut eine Kundin aufnehmen kann, ob es die prüfende Aufsichtsbehörde zufriedenstellt und ob die Banken und Schemes, von denen es abhängt, es angebunden lassen. Ein Institut, das Identität nicht verlässlich prüfen, gegen die einschlägigen Listen abgleichen und auf sich änderndes Risiko überwachen kann, kann nicht nachweisen, dass es ein sicherer Ort für den Geldverkehr ist — wie überzeugend sein kommerzielles Angebot auch sein mag.

Das Thema betrifft jede Führungsrolle in eigener Form. Für eine Geschäftsführung setzen AML und KYC die Balance zwischen reibungsloser Aufnahme von Kundschaft und der Aufnahme von Risiko, das das Institut nicht tragen kann. Für eine technische Leitung sind sie Kontrollen, für deren Unterstützung die Plattform gebaut sein muss — Identitätsprüfung, Screening und Überwachung in Onboarding und Ledger verdrahtet, nicht nachträglich angesetzt. Für eine Compliance-Funktion oder eine MLRO sind sie eine tägliche Disziplin und ein Bestand an Nachweisen, der einer Prüfung standhalten muss. Dieser Beitrag legt dar, wie AML und KYC in ein EMI oder Zahlungsinstitut auf der Ebene von Konzept, Kontrolle und Risiko passen und wie eine Plattform an ihrer Fähigkeit zu beurteilen ist, sie zu unterstützen — nicht, um Screening-Schwellen oder ein Due-Diligence-Verfahren vorzuschreiben.

Was AML und KYC für ein EMI oder Zahlungsinstitut bedeuten

KYC und AML sind verwandt, aber verschieden. KYC ist die Arbeit, beim Onboarding festzustellen, dass eine Kundin die ist, die sie zu sein vorgibt, und genug über sie zu erheben, um das Risiko zu verstehen, das sie darstellt. AML ist das weitere Programm — Screening, Überwachung, Risikobeurteilung und die Eskalation von Bedenken —, durch das das Institut seine Plattform über die gesamte Dauer der Beziehung vor Geldwäsche oder Sanktionsumgehung bewahrt. KYC ist das Tor; AML ist die Disziplin, die hinter dem Tor Wache hält. Ein Institut braucht beide und braucht ihr Zusammenspiel, denn eine saubere Identitätsprüfung beim Onboarding sagt nichts darüber, wie sich ein Konto ein Jahr später verhält, und Überwachung ist nur so gut wie die Identität, an die sie geknüpft ist.

Für ein EMI oder Zahlungsinstitut ist der Zweck dieser Kontrollen konkret: Das Institut führt Konten und bewegt Geld für andere, was es genau zu jenem Kanal macht, den kriminelles Geld sucht. Die Kontrollen bestehen, damit das Institut rechtmäßige Kundschaft aufnehmen, jene erkennen kann, die es nicht aufnehmen sollte, und bemerkt, wenn eine rechtmäßige Kundin sich auf eine Weise zu verhalten beginnt, die Aufmerksamkeit verlangt. Nichts davon leistet eine einzelne Prüfung. Es leistet ein Satz von Kontrollen, die Identität feststellen, sie gegen die einschlägigen Listen testen und die Beziehung im Verlauf weiter prüfen, wobei jede eine andere Frage beantwortet und keine für sich allein genügt.

Identität und Onboarding am Eintrittspunkt

Onboarding ist der Ort, an dem AML und KYC der Kundin zuerst begegnen, und der Ort, an dem sich ein Großteil des späteren Risikos entscheidet. Eine natürliche Person zu prüfen bedeutet zu bestätigen, dass eine reale Person anwesend ist, dass die vorgelegte Identität echt ist und dass beides zusammengehört — typischerweise über eine Dokumentenprüfung, eine biometrische oder Liveness-Prüfung, die das Dokument mit der lebenden Person verbindet, und bestätigende Daten. Ein Unternehmen zu prüfen ist eine breitere Übung: die Einheit zu verstehen, wer hinter ihr steht und wer sie letztlich kontrolliert, damit das Institut keine undurchsichtige Struktur aufnimmt, deren wahren Eigentümer es nie sieht. Die Tiefe dieser Arbeit sollte dem Risiko folgen, das die Kundin darstellt, statt einer einzigen festen Routine für alle.

Das Onboarding-Erlebnis trägt zudem ein kommerzielles Gewicht, das AML- und KYC-Diskussionen mitunter übersehen. Jeder zusätzliche Schritt verliert einen Anteil echter Antragsteller, sodass ein Institut ein reales Interesse an einer Prüfung hat, die gründlich und schnell ist statt gründlich und langsam. Hier verdient Automatisierung ihren Platz: eine Identitätsprüfung, die sich im Ablauf auflöst und Dokumenten-, biometrische und Datenprüfungen zusammen nutzt, nimmt gute Kundschaft ohne Reibung auf und stellt zugleich die Identität ordentlich fest. Grumpio begegnet dem mit KYC-Verifizierungssoftware, die aus Dokumenten-, NFC-, Liveness- und Face-Matching-Prüfungen ein automatisiertes Ergebnis liefert, sodass das Onboarding schnell bleibt, ohne dass das Institut die Strenge aufgibt, von der die Kontrolle abhängt.

Abgleich gegen Sanktionen, PEPs und Adverse Media

Ist eine Kundin identifiziert, muss das Institut diese Identität gegen das testen, was über Risiko in der weiteren Welt bekannt ist. Sanktions-Screening prüft, ob eine Kundin oder Gegenpartei auf den Listen erscheint, die den Umgang mit ihr verbieten oder beschränken; dies ist nicht risikobasiert, sondern absolut, denn ein Sanktionsverstoß ist ein Verstoß, unabhängig von der Absicht. PEP-Screening stellt fest, ob eine Kundin eine politisch exponierte Person ist, deren Stellung engere Aufmerksamkeit statt Ausschluss verlangt. Adverse-Media-Screening bringt glaubwürdige negative Informationen zutage, die öffentlich mit einer Kundin verbunden sind und Risiko signalisieren können, das die Listen noch nicht abbilden. Jede davon beantwortet eine andere Frage, und zusammen machen sie aus einer geprüften Identität eine beurteilte.

Was Screening hervorbringt, sind Signale, keine Urteile. Ein Name, der auf einen Sanktionseintrag passt, kann die sanktionierte Partei sein oder eine unbeteiligte Person gleichen Namens; ein PEP-Treffer benennt einen Status, kein Fehlverhalten; ein Adverse-Media-Treffer meldet eine Verbindung, keine bewiesene Tatsache. Die Disziplin liegt darin, aufzulösen, was ein Treffer bedeutet, bevor darauf reagiert wird, und dies konsistent und mit einer Aufzeichnung zu tun. Diese Prüfungen in einen Arbeitsablauf zu bündeln, statt Identität in einem System und Screening in einem anderen zu führen, erlaubt es einem Institut, eine Kundin als Ganzes zu sehen und seine Nachweise an einem Ort zu halten. Grumpios AML-Screening-Software bündelt Personen- und Unternehmensscreening, Sanktions-, PEP- und Adverse-Media-Prüfungen sowie Blockchain-Wallet-Risikobewertung in einem Arbeitsablauf mit API- und Web-Panel-Zugang und periodischem Re-Screening; Einzelheiten finden sich unter legichain.com. Screening stellt fest, was die Listen und die öffentliche Aufzeichnung sagen; das Institut entscheidet weiterhin, was ein Signal bedeutet.

Der risikobasierte Ansatz

AML und KYC in einem Zahlungs- oder E-Geld-Institut werden von einem risikobasierten Ansatz geleitet, nicht von einem einheitlichen. Der Grundsatz ist, dass Kontrollen dem Risiko angemessen sein sollen, das eine Kundin, ein Produkt oder eine Transaktion darstellt: Eine risikoarme Kundin, die einen risikoarmen Dienst nutzt, wird nach einem leichteren Maßstab geprüft und überwacht als eine risikoreiche Kundin, und Ressourcen konzentrieren sich dort, wo das Risiko am größten ist. Das ist kein Freibrief, weniger zu tun; es ist die Anforderung, das richtige Maß am richtigen Ort zu tun und erklären zu können, warum eine bestimmte Kundin die Behandlung erhielt, die sie erhielt. Ein Institut, das denselben schweren Prozess auf alle anwendet, verschwendet Aufwand und verliert gute Kundschaft; eines, das denselben leichten Prozess auf alle anwendet, lässt seine schlimmsten Risiken unzureichend geprüft.

Den risikobasierten Ansatz umzusetzen hängt davon ab, dass das Institut Risiko zuordnen und aufzeichnen und seine Kontrollen entsprechend variieren kann. Das heißt, die Faktoren zu erfassen, die auf das Risiko einer Kundin einwirken, zu einer Beurteilung zu gelangen und Sorgfalt, Screening-Häufigkeit und Überwachungsintensität anzuwenden, die daraus folgen — und dann eine Aufzeichnung der Beurteilung und der Behandlung zu führen, sodass die Logik später gezeigt werden kann. Die konkreten Faktoren, Gewichtungen und Schwellen, die ein Institut nutzt, sind Sache seiner eigenen Risikomethodik und liegen außerhalb dieses Beitrags; die Rolle der Plattform ist es, einen risikobasierten Ansatz betreib- und belegbar zu machen, statt jede Kundin denselben Pfad hinunterzuzwingen.

Laufende Überwachung und periodische Überprüfung

Beim Onboarding geprüfte Identität und am ersten Tag durchgeführtes Screening beschreiben eine Kundin in einem einzigen Moment. Risiko aber bewegt sich. Eine Kundin kann nach ihrer Aufnahme auf einer Sanktionsliste erscheinen, durch einen Rollenwechsel zur PEP werden oder sich auf eine Weise zu verhalten beginnen, die nicht mehr zu dem Profil passt, auf dessen Grundlage sie aufgenommen wurde. Laufende Überwachung und periodisches Re-Screening bestehen, weil eine nur zu Beginn durchgeführte Kontrolle veraltet und ein Institut, das nie erneut hinsieht, nicht behaupten kann, seine Kundschaft im Zeitverlauf zu kennen. Der erneute Abgleich gegen aktualisierte Listen und die Überprüfung von Kundinnen in einem Takt, der ihrem Risiko folgt, hält das Wissen aktuell, statt es am Eintrittspunkt einzufrieren.

Überwachung umfasst zwei verwandte Dinge: die stehenden Prüfungen aktuell zu halten und zu beobachten, wie sich ein Konto tatsächlich verhält. Das Erste ist periodisches Re-Screening — bestehende Kundschaft gegen sich ständig ändernde Listen zu testen, sodass eine neu sanktionierte Partei erfasst statt verpasst wird. Das Zweite ist Aufmerksamkeit für Aktivität, die von dem abweicht, was das Profil einer Kundin erwarten ließe, und die eine Überprüfung verlangen kann. Dieser Beitrag legt nicht dar, wie Transaktionsüberwachungsregeln oder Überprüfungstakte zu gestalten sind — das sind betriebliche Fragen, geformt vom Risikoappetit eines Instituts —, aber die Plattform muss laufende Überwachung und periodische Überprüfung betreib- und belegbar machen, denn ein AML-Programm, das beim Onboarding endet, ist kein AML-Programm.

AML und KYC als belegte Kontrolle

AML und KYC sind nicht nur Tätigkeiten; sie sind Kontrollen, und eine Kontrolle, die sich nicht belegen lässt, bietet wenig Sicherheit, wie sorgfältig sie auch durchgeführt wurde. Es genügt nicht, dass ein Institut Identität prüft, screent und überwacht; es muss zeigen können, dass es das tat, bei wem, wann und mit welchem Ergebnis, und diese Aufzeichnung so lange aufbewahren, wie Beziehung und Regeln es verlangen. Der Nachweis ist es, der aus einem Satz interner Handlungen etwas macht, auf das sich eine Aufsichtsbehörde, eine Prüfung oder eine Partnerbank verlassen kann. Ein Institut, das starke Kontrollen durchführt, aber deren Aufzeichnung nicht vorlegen kann, ist von außen nicht von einem Institut zu unterscheiden, das sie gar nicht durchführte.

Deshalb zählt die Art, wie eine Plattform AML- und KYC-Nachweise erfasst und aufbewahrt, ebenso viel wie die Prüfungen selbst. Ein Verifizierungsergebnis, ein Screening-Ausgang, die Auflösung eines Treffers, eine Risikobeurteilung und eine Überwachungsentscheidung müssen je in dauerhafter, abrufbarer Form aufgezeichnet werden, sodass das Institut rekonstruieren kann, warum eine Kundin aufgenommen und wie sie danach behandelt wurde. Ein strukturierter Nachweisbericht für jede Prüfung, aufbewahrt und abrufbar, gehört zu dem, was ein AML-Programm prüfbar macht statt bloß behauptet. Eine EMI- oder Zahlungsplattform danach zu beurteilen, wie gut sie AML und KYC als belegte Kontrollen unterstützt — nicht nur, ob sie die Prüfungen ausführen kann —, ist einer der aufschlussreichsten Tests, die ein Betreiber anlegen kann.

AML, KYC und der regulatorische Rahmen

Für ein EMI oder Zahlungsinstitut stehen diese Kontrollen innerhalb einer regulatorischen Erwartung, nicht neben ihr. Im Vereinigten Königreich arbeiten E-Geld- und Zahlungsinstitute unter den Regelungen zu E-Geld und Zahlungsdiensten samt den Vorgaben der FCA, und ihre AML-Pflichten entstehen aus den Geldwäscheregelungen, die Kundensorgfalt, Sanktions- und PEP-Screening sowie laufende Überwachung auf risikobasierter Grundlage verlangen. Die Registrierung unter einem Regime ist nicht die Zulassung unter einem anderen, und ein Institut muss seine AML- und KYC-Kontrollen gegenüber der jeweils prüfenden Stelle nachweisen können. Grumpios Position hierzu ist bewusst abgegrenzt. Wir erstellen keine Rechtsgutachten und garantieren keine Zulassung. Wir setzen regulatorische und prüfungsbezogene Anforderungen in Technologie, Infrastruktur und Betrieb um.

In der Europäischen Union arbeiten E-Geld- und Zahlungsinstitute im etablierten Rahmen für Zahlungsdienste und E-Geld, wobei eine weitere Zahlungsdienste-Reform im Kommen, aber noch nicht in Kraft ist, sodass eine Plattform um die geltenden Anforderungen herum gebaut und zugleich anpassbar bleiben sollte. Auch der AML-Rahmen der EU konsolidiert sich: Eine eigene AML-Behörde ist nun tätig und hat zu Beginn 2026 AML-Aufgaben auf EU-Ebene übernommen, mit einem einheitlichen AML-Regelwerk, dessen Hauptbestimmungen ab Mitte 2027 gelten, und der direkten Beaufsichtigung ausgewählter Institute, die ab 2028 erwartet wird. Die praktische Folge ist nicht abzuwarten, sondern Kontrollen zu bauen, die bereits den geltenden Pflichten genügen und ein strengeres, harmonisiertes Regime aufnehmen können. Wie AML und KYC in eine breitere Haltung passen, wird auf den Seiten zur regulatorischen Bereitschaft entfaltet, die die Fähigkeit, diese Kontrollen zu belegen, als Bestandteil der Bereitschaft behandeln und nicht als nachträglich erstellten Bericht.

Zusammenfassung und nächste Schritte

AML und KYC sind, wie ein EMI oder Zahlungsinstitut das Recht erwirbt, Kundengelder zu halten und zu bewegen: KYC stellt fest, wer eine Kundin ist, und AML bewahrt die Plattform davor, über die Dauer der Beziehung gegen ihren Zweck genutzt zu werden. Sie ruhen auf beim Onboarding ordentlich geprüfter Identität, auf Abgleich gegen Sanktions-, PEP- und Adverse-Media-Quellen, auf einem risikobasierten Ansatz, der Aufwand dorthin legt, wo das Risiko am größten ist, und auf laufender Überwachung, die das Wissen aktuell hält. Als Kontrollen beziehen sie ihren Wert aus Konsistenz und Nachweis, und sie gehören zu den klarsten Signalen, die eine Prüfung, eine Aufsichtsbehörde oder eine Partnerbank dafür liest, wie gut ein Institut geführt wird. Eine Plattform ist nicht nur danach zu beurteilen, ob sie die Prüfungen ausführen kann, sondern ob sie AML und KYC und deren Nachweis unkompliziert betreibbar macht. Die stärkste Position ist die, in der ein Betreiber die Plattform, von der seine Kontrollen abhängen, besitzt und versteht, mit Identitätsprüfung und Screening in einem Arbeitsablauf gebündelt, den er jederzeit belegen kann.