Kurz: KYC prüft die Identität einer Person oder eines Unternehmens, AML ist das umfassende System, das diese Prüfdaten mit laufendem Monitoring und Meldepflichten verbindet. KYC liefert also die Datengrundlage, auf der AML-Kontrollen und Risikoeinstufungen überhaupt erst aufbauen können. Wer beides getrennt denkt, übersieht genau die Lücke, in der Geldwäsche und Sanktionsverstöße entstehen.
Kurz gesagt:
Die kontinuierliche Überwachung ist bei AML unerlässlich, da verdächtige Muster auch Jahre nach Kontoeinrichtung auftreten können.
Eine lückenhafte KYC-Dokumentation erhöht das Risiko operativer Probleme, während unzureichendes Monitoring auf Haftungs- oder aufsichtsrechtliche Konsequenzen hinausläuft.
Die europäische AML-Verordnung verschärft die Identifikationspflichten und schafft eine zentrale Aufsichtsstruktur für grenzüberschreitende Geschäfte.
Automatisierte Tools reduzieren Fehler und manuellen Aufwand, ersetzen jedoch nicht die fachliche Einschätzung bei komplexen Fällen.
Regelmäßige Aktualisierung und Dokumentation aller KYC- und AML-Maßnahmen sind unerlässlich, um bei Prüfungen jederzeit transparent zu sein.
Was ist Anti-Money-Laundering (AML)?
AML steht für die Gesamtheit der Massnahmen, mit denen Unternehmen und Finanzinstitute Geldwäsche, Terrorismusfinanzierung und Korruption verhindern sollen. Es handelt sich nicht um eine einzelne Prüfung, sondern um ein fortlaufendes Programm aus Governance, Kontrollen und Meldewegen.
Zum Kern eines AML-Programms gehören mehrere Bausteine. Dazu zählt eine interne Governance-Struktur mit klaren Zuständigkeiten, eine systematische Transaktionsüberwachung, die auffällige Zahlungsmuster erkennt, sowie die Pflicht, verdächtige Aktivitäten über sogenannte Suspicious Activity Reports (SARs) an die zuständigen Behörden zu melden. Hinzu kommt das Screening gegen Sanktionslisten und Listen politisch exponierter Personen, kurz PEPs.
Laut LSEG bildet KYC dabei nur einen spezialisierten Teilbereich des weiter gefassten AML-Rahmens: KYC konzentriert sich auf Identität und wirtschaftlich Berechtigte, während AML zusätzlich Monitoring, Sanktionsprüfung und die Meldung verdächtiger Aktivitäten umfasst.
Entscheidend ist der zeitliche Charakter: AML endet nicht mit der Kontoeröffnung. Ein Kunde, der heute unauffällig wirkt, kann in einem Jahr ein ganz anderes Transaktionsmuster zeigen, etwa durch neue Geschäftspartner in Hochrisikoländern oder plötzlich steigende Überweisungsvolumen. Genau deshalb verlangen moderne AML-Programme kontinuierliches Monitoring statt einmaliger Kontrollen.
Was ist Know Your Customer (KYC)?
KYC bezeichnet den Prozess, mit dem Unternehmen die Identität natürlicher und juristischer Personen feststellen und überprüfen, bevor und während sie mit ihnen Geschäfte machen. Bei Unternehmen gehört dazu auch die Ermittlung der wirtschaftlich berechtigten Personen hinter einer Struktur.
Innerhalb von KYC unterscheidet man zwischen Customer Due Diligence (CDD) und Enhanced Due Diligence (EDD). CDD ist die Standardprüfung: Name, Geburtsdatum, Adresse, Ausweisdokument, bei Firmen der Handelsregisterauszug und die Eigentümerstruktur. EDD kommt dort zum Einsatz, wo das Risiko höher liegt, etwa bei politisch exponierten Personen, bei Kunden aus Hochrisikojurisdiktionen oder bei ungewöhnlich komplexen Firmenkonstrukten. Nach den FATF-Empfehlungen muss die Sorgfaltsprüfung grundsätzlich vor Aufnahme der Geschäftsbeziehung erfolgen. Eine verzögerte Verifikation ist unter engen Voraussetzungen zulässig, solange noch keine Transaktionen stattfinden.
In der Praxis stützt sich KYC heute stark auf digitale Verfahren, sogenanntes eKYC: automatisierte Dokumentenprüfung, Video-Identifikation und Datenbankabgleiche beschleunigen den Onboarding-Prozess erheblich, ersetzen aber nicht die fachliche Beurteilung bei komplexen Fällen, wobei Tools zur Mandantenkommunikation wie Bewertungsmanagement-Software die Nutzerfreundlichkeit zusätzlich verbessern.
Wesentliche Unterschiede zwischen KYC und AML: kompakte Gegenüberstellung
KYC und AML werden oft synonym verwendet, beschreiben aber unterschiedliche Reichweiten. KYC ist ein Teilbereich, AML das übergeordnete System mit eigenen Reporting-Pflichten.
- Umfang: KYC prüft Identität und Eigentümerstruktur, AML umfasst zusätzlich Monitoring, Sanktionsscreening und Meldewesen.
- Zeitpunkt: KYC findet primär beim Onboarding und bei definierten Auslösern statt, AML läuft kontinuierlich über die gesamte Kundenbeziehung.
- Zielsetzung: KYC beantwortet die Frage „Wer ist dieser Kunde?“, AML beantwortet „Verhält sich dieser Kunde auffällig?“.
- Konsequenzen: Eine lückenhafte KYC-Akte führt zu Nacharbeit, ein fehlendes AML-Reporting kann aufsichtsrechtliche Bussen auslösen.
Für die operative Compliance bedeutet das: Ein Unternehmen kann ein sauberes KYC-Dossier führen und trotzdem ein AML-Problem haben, etwa wenn Transaktionsmuster nicht überwacht werden. Umgekehrt nützt das beste Monitoring wenig, wenn die zugrunde liegenden Identitätsdaten fehlerhaft oder veraltet sind. Beide Systeme funktionieren nur zusammen.
Wie KYC und AML im Kundenlebenszyklus zusammenwirken
Der Zusammenhang zeigt sich am klarsten entlang der Kundenbeziehung. Beim Onboarding greift zunächst das Customer Identification Program (CIP): Identität feststellen, Dokumente prüfen, erste Risikoeinstufung vornehmen. Diese Einstufung bestimmt, wie intensiv der Kunde später überwacht wird.
Nach dem Onboarding beginnt die Monitoring-Phase. Transaktionen werden gegen erwartete Muster abgeglichen, Watchlists und Sanktionslisten werden in regelmässigen Abständen neu abgefragt, denn eine Person kann nachträglich auf eine Sanktionsliste gesetzt werden, ohne dass sich an ihren Kontobewegungen etwas ändert.
Fällt dabei etwas auf, etwa eine Transaktion, die nicht zum bekannten Geschäftsmodell passt, folgt die interne Fallbearbeitung: ein Compliance-Team prüft den Vorgang, holt bei Bedarf zusätzliche Unterlagen ein und entscheidet, ob eine Meldung an die zuständige Behörde erforderlich ist. Diese SAR-Meldung ist der Punkt, an dem KYC-Daten und AML-Monitoring tatsächlich zusammenlaufen: Ohne die ursprüngliche Identitätsprüfung liesse sich eine verdächtige Transaktion gar nicht einer Person zuordnen.
AML/KYC-Prozess: praktische Schritte, Tools und Rollen
Ein funktionierendes Compliance-Programm verteilt Aufgaben klar: Der Compliance-Officer verantwortet Richtlinien, Eskalation und Meldewesen, das Front Office führt die Erstprüfung beim Kundenkontakt durch, und das IT- beziehungsweise Datenteam sorgt dafür, dass Screening-Systeme und Datenbanken aktuell bleiben.
In der Praxis läuft ein typischer Fall so ab:
- Der Kunde reicht Identitätsdokumente und, bei Unternehmen, Nachweise zur Eigentümerstruktur ein.
- Ein Screening-Tool gleicht die Angaben gegen Sanktions- und PEP-Listen ab.
- Das System weist dem Kunden eine Risikokategorie zu, etwa niedrig, mittel oder hoch.
- Bei erhöhtem Risiko greift eine vertiefte Prüfung mit zusätzlichen Unterlagen.
- Nach Freigabe beginnt laufendes Monitoring, das Transaktionen automatisiert mit dem erwarteten Kundenprofil abgleicht.
- Auffälligkeiten landen in einem Case-Management-System zur manuellen Nachprüfung.
Die eingesetzten Tools decken typischerweise drei Funktionen ab: Screening gegen Listen, kontinuierliches Transaktionsmonitoring und Case-Management für die Fallbearbeitung. Laut Thomson Reuters reduziert der Einsatz von RegTech-Lösungen den manuellen Aufwand und die Zahl falscher Treffer, stellt aber gleichzeitig höhere Anforderungen an Datenqualität und Nachvollziehbarkeit der Entscheidungen.
Profi-Tipp: Dokumentieren Sie jede Risikoentscheidung so, als müssten Sie sie einem Prüfer ein Jahr später erklären, denn genau das wird irgendwann passieren.
Für die Steuerung eines Programms lohnt sich ein Blick auf wenige Kennzahlen: die Quote falscher Treffer beim Screening, die durchschnittliche Durchlaufzeit bis zur Freigabe eines Kunden und die Anzahl eskalierter Fälle pro Monat. Diese Werte zeigen, ob ein Programm effizient arbeitet oder ob Ressourcen in unnötiger Nachbearbeitung versickern.
Regulatorischer Rahmen und Standards: FATF, EU und nationale Regeln
Die internationale Basis für KYC und AML setzt die Financial Action Task Force, kurz FATF. Ihre Empfehlungen gelten als weltweit anerkannter Standard und verlangen unter anderem Customer Due Diligence, einen risikobasierten Ansatz sowie Meldepflichten für verdächtige Aktivitäten. Die meisten nationalen Gesetzgebungen orientieren sich an diesem Rahmen, setzen ihn jedoch mit eigenen Schwellenwerten und Verfahren um.
Auf europäischer Ebene verschärft die neue EU-Verordnung zum AML/CFT-Rahmen die Anforderungen an sogenannte obliged entities, also Unternehmen mit Melde- und Prüfpflichten, und schafft eine überstaatliche Aufsichtsstruktur. Für Unternehmen, die innerhalb der EU tätig sind, bedeutet das striktere Vorgaben bei der Identifikation wirtschaftlich Berechtigter und bei grenzüberschreitenden Meldungen.
Wichtig für international tätige Unternehmen: Nationale Umsetzungen unterscheiden sich teils erheblich, etwa bei Schwellenwerten für verstärkte Sorgfaltspflichten oder bei der Definition politisch exponierter Personen. Wer in mehreren Jurisdiktionen tätig ist, etwa mit Bezug zur Schweiz und gleichzeitig zur EU, sollte die jeweils strengere Regel als Massstab nehmen und im Zweifel juristisch prüfen lassen, welche nationale Vorschrift tatsächlich greift.
Herausforderungen und Best Practices für Unternehmen
Die häufigsten Probleme in der Praxis sind selten regulatorischer Natur, sondern operativ. Schlechte Datenqualität führt dazu, dass Screening-Systeme Treffer übersehen oder, umgekehrt, mit falschen Treffern überfluten. Hohe Raten an False Positives binden Personal, das eigentlich für echte Risikofälle gebraucht wird. Und der Spagat zwischen Überwachungspflicht und Datenschutz, etwa unter der Datenschutz-Grundverordnung oder dem revidierten Schweizer DSG, verlangt sorgfältige Abwägung.
Bewährt haben sich einige klare Prinzipien:
- Einen konsequent risikobasierten Ansatz verfolgen statt pauschale Prüftiefe für alle Kunden.
- Jede Entscheidung und ihre Begründung lückenlos dokumentieren.
- Mitarbeitende regelmässig zu neuen Typologien und Sanktionsregimen schulen.
- Das Programm periodisch durch unabhängige Prüfungen testen lassen.
Automatisierung hilft dort, wo sie repetitive Abgleiche übernimmt, etwa beim ersten Listen-Screening. Sie ersetzt aber nicht die fachliche Beurteilung bei Grenzfällen, und jede automatisierte Entscheidung muss nachträglich nachvollziehbar bleiben, sonst wird sie bei einer Prüfung zum Risiko statt zur Entlastung.
Praktische Checkliste: Wann und wie KYC durchführen
KYC ist kein einmaliger Haken, den man beim Onboarding setzt. Bestimmte Ereignisse lösen eine erneute Prüfung aus, unabhängig davon, wie lange die Geschäftsbeziehung schon besteht.
- Beim Onboarding: vollständige Identitätsprüfung und erste Risikoeinstufung vor Aufnahme der Geschäftsbeziehung.
- Bei Transaktionen über definierten Schwellenwerten: zusätzliche Prüfung der Mittelherkunft.
- Bei negativer Medienberichterstattung über den Kunden: sofortige Neubewertung des Risikoprofils.
- Bei Änderungen der Rechtsform oder der Eigentümerstruktur: vollständige Aktualisierung der KYC-Akte.
- In regelmässigen Abständen, abhängig von der Risikokategorie: Hochrisikokunden häufiger, Standardkunden seltener.
Als Minimaldokumentation gelten ein gültiger Identitätsnachweis, bei Unternehmen der aktuelle Handelsregisterauszug sowie eine nachvollziehbare Begründung der zugewiesenen Risikokategorie. Diese Unterlagen sollten so abgelegt sein, dass eine Aufsichtsbehörde sie jederzeit nachvollziehen kann, ohne Rückfragen stellen zu müssen.
Kanzlei-Perspektive: grenzüberschreitende und Sanktionsaspekte
Bei grenzüberschreitenden Mandaten verschärfen sich die Risiken spürbar. Eine politisch exponierte Person in einem Land muss nicht als solche in einem anderen Register auftauchen, und Sanktionslisten ändern sich häufiger, als viele Unternehmen in ihrem Monitoring-Rhythmus abbilden. Gerade bei Mandaten mit Bezug zu Osteuropa zeigt sich, wie schnell ein unauffälliger Geschäftspartner durch eine neue Sanktionsrunde zum Compliance-Risiko wird.
Wir begleiten Unternehmen in solchen Fällen bei der Sanktionsprüfung, der Dokumentation wirtschaftlich Berechtigter und der rechtssicheren Gestaltung von Verträgen in mehreren Sprachen. Eine rechtssichere Beratung in mehreren Sprachen ermöglicht es, Sachverhalte mit internationalem Bezug präziser einzuordnen, etwa wenn Originaldokumente aus der Ukraine oder aus Russland stammen. Mehr dazu, wie sich Sanktionsrisiken bei Firmengründungen mit Ukraine- und Russland-Bezug konkret auswirken, zeigt sich oft erst bei der Detailprüfung der Vertragspartner.
Persönliche Einschätzung: Warum Unternehmen KYC und AML ernst nehmen sollten
Nach unserer Erfahrung unterschätzen viele Unternehmen, wie schnell sich eine Sanktionslage ändert und wie teuer eine übersehene PEP-Verbindung werden kann. Wer Sanktions- und KYC-Prüfungen erst dann ernst nimmt, wenn eine Behörde nachfragt, zahlt meist deutlich mehr, in Bussgeld und in Reputation, als eine frühzeitige Prüfung je gekostet hätte.
— Bitblade
Unterstützung bei KYC- und AML-Fragestellungen
Wenn eine Sanktionsprüfung, eine Vertragsgestaltung mit internationalem Bezug oder eine Firmengründung mit Auslandsbezug ansteht, lohnt sich ein Blick auf unsere Leistungen, bevor eine Behörde Fragen stellt statt ein Berater. Wir prüfen Verträge und Geschäftsbeziehungen in mehreren Sprachen, was gerade bei Sanktions-Compliance und Mandaten mit Ukraine- oder Russland-Bezug hilfreich sein kann.
Ein erstes Gespräch beginnt mit einer Erstberatung und Einschätzung ab 150 CHF pro Stunde, aus der wir je nach Fall ein konkretes Angebot für Vertragsprüfung, Sanktions-Due-Diligence oder Firmengründung ableiten. Einen Überblick über unsere internationalen Rechtsdienstleistungen finden Sie auf unserer Serviceseite.
Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Finanzberater. Wenden Sie sich an eine qualifizierte Finanzfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.
FAQ
Was ist KYC und AML?
KYC steht für die Identitätsprüfung von Kunden, AML für das übergeordnete System zur Verhinderung von Geldwäsche und Terrorismusfinanzierung. Nach Einschätzung von LSEG ist KYC ein spezialisierter Teilbereich von AML, der sich auf Identität und wirtschaftlich Berechtigte konzentriert, während AML zusätzlich Monitoring und Meldewesen umfasst.
Welche Vorschriften gibt es für KYC und AML?
International orientieren sich die meisten Staaten an den FATF-Empfehlungen, die Customer Due Diligence und einen risikobasierten Ansatz verlangen. In der EU verschärft die neue AML/CFT-Verordnung die Pflichten zusätzlich und schafft eine überstaatliche Aufsichtsstruktur.
Wann muss KYC durchgeführt werden?
KYC erfolgt grundsätzlich vor Aufnahme einer Geschäftsbeziehung und wird bei bestimmten Ereignissen erneuert, etwa bei grossen Transaktionen, negativer Medienberichterstattung oder einer Änderung der Eigentümerstruktur. Hochrisikokunden werden dabei in der Regel häufiger neu geprüft als Standardkunden.
Was versteht man unter AML?
AML bezeichnet das gesamte System aus Governance, Transaktionsüberwachung, Sanktionsscreening und Meldepflichten, mit dem Unternehmen Geldwäsche und verwandte Delikte verhindern sollen. Anders als eine einmalige Prüfung läuft AML kontinuierlich über die gesamte Dauer einer Kundenbeziehung.