Legitimationsprüfung: was kontrolliert wird und wer dazu verpflichtet ist
Die Legitimationsprüfung klärt, wer da wirklich unterschreibt. Was kontrolliert wird, wen das GwG dazu verpflichtet und was aus der Ferne zulässig ist.
Einleitung
Die Legitimationsprüfung klärt, ob die Person am anderen Ende wirklich die ist, für die sie sich ausgibt, und zwar bevor jemand unterschreibt. Banken, Versicherer, Steuerberater und Makler schreibt das Geldwäschegesetz sie vor. Für alle anderen ist sie die einzige Absicherung gegen einen Vertrag, den ein Fremder unterschrieben hat.
Digitales Onboarding endet nicht bei einem hübschen Formular. Der eigentliche Punkt ist die Frage, ob die Person am anderen Ende wirklich die ist, für die sie sich ausgibt, und zwar bevor irgendjemand unterschreibt. Banken, Steuerberater, Rechtsanwälte und Immobilienmakler müssen das nach dem Geldwäschegesetz ohnehin tun. Alle anderen sollten es tun, weil die Fernbeziehung zum Kunden inzwischen die einfachste Stelle für eine Identitätstäuschung ist.
Zwei Fragen werden dabei ständig vermischt. Eine elektronische Signatur beweist, dass ein Dokument nach der Unterschrift nicht mehr verändert wurde. Über die Person hinter dem Klick sagt sie nichts. Beides braucht man, und beides wird von unterschiedlicher Technik geprüft.
Dieser Leitfaden zeigt, was bei der Identitätsprüfung tatsächlich kontrolliert wird, wen das GwG verpflichtet und wie die Prüfung in den Signaturprozess wandert, statt danebenzustehen. Wer sich für die andere Hälfte interessiert, also die Prüfung fertiger Dateien, findet sie in unserem Beitrag zur Online-Dokumentenprüfung.
Chaindoc führt Dokumentenprüfung, Lebenderkennung und Sanktionsabgleich im selben Ablauf durch, in dem auch die Unterschrift eingeholt wird. Geprüfte Identität und signiertes Dokument bleiben so aneinander gebunden. Mehr dazu unter KYC-Verifizierung.
Warum digitales Onboarding schiefgeht
Kunden, die man nie persönlich getroffen hat, waren früher die Ausnahme. Heute sind sie der Normalfall, und die Schwachstelle ist mitgewandert. Der Betrug ist dabei selten raffiniert. Meist ist es ein eingescannter Ausweis, der jemand anderem gehört, weitergeleitet in einer E-Mail, die niemand geprüft hat.
Das Dokument sieht echt aus, weil es echt ist
Der häufigste Fall im Onboarding-Betrug ist ein echter Ausweis in falschen Händen. Der Pass stimmt, das Foto stimmt, nur der Absender ist nicht der Inhaber. Ein Blick auf den Scan entlarvt das nicht. Genau dafür gibt es die Lebenderkennung, und genau deshalb ist "wir haben eine Ausweiskopie angefordert" keine Prüfung.
Niemand ist zuständig
In vielen Kanzleien und Unternehmen liegt der Identitätsschritt im Postfach einer einzelnen Person. Der Vertrieb sammelt den Ausweis ein, jemand leitet ihn an die Compliance weiter, dort wird er abgelegt, und der Mandatsvertrag geht über ein völlig anderes Werkzeug raus. Fragt die Aufsicht zwei Jahre später, welches Dokument zum Zeitpunkt der Unterschrift vorlag, dauert die Antwort eine Woche. Manchmal kommt sie gar nicht zustande.
Das ist übrigens genauso ein Dokumentationsproblem wie ein Betrugsproblem. Viele Häuser haben sauber geprüft und können es später nur nicht mehr belegen.
Was bei der Identitätsprüfung wirklich kontrolliert wird
"Kunden identifizieren" klingt nach einem Schritt. Praktisch sind es vier Prüfungen, die verschiedene Fragen beantworten. Man kann einzelne davon bestehen und andere gleichzeitig durchfallen.
Echtheit des Dokuments
Das System liest den Ausweis und prüft, ob das Dokument selbst echt ist: Sicherheitsmerkmale, Schriftarten, das Layout der Vorlage für dieses Land und Ausgabejahr, dazu der Abgleich von aufgedrucktem Text mit maschinenlesbarer Zone und Chip. Abweichungen von der Vorlage fallen hier am häufigsten auf.
Lebenderkennung
Ein kurzes Selfie oder Video belegt, dass gerade eine echte Person anwesend ist und ihr Gesicht zum Ausweisfoto passt. Dieser Schritt stoppt den Fall mit dem geliehenen Pass, und er wird am häufigsten weggelassen, weil er das Onboarding unbequemer macht.
Abgleich mit Listen
Sanktionslisten, PEP-Listen, negative Presse. Für verpflichtete Unternehmen ist das keine Kür, und es muss wiederholt werden statt einmalig beim Onboarding zu laufen.
Bindung an die Unterschrift
Der vergessene Punkt. Läuft die Prüfung in einem System und die Unterschrift in einem anderen, hat man am Ende zwei Datensätze ohne belegte Verbindung. Wird die geprüfte Identität im Moment der Unterschrift an den Dokument-Hash gebunden, entsteht eine einzige Beweiskette statt zweier Aktenordner.
Ehrlich bleiben sollte man trotzdem: Keine Identitätsprüfung ist eine Betrugsgarantie. Generative Modelle liefern inzwischen Ausweisbilder, an denen reine Bildforensik oft scheitert. Deshalb wiegt der Abgleich mit Chip und maschinenlesbarer Zone jedes Jahr schwerer als die Bildanalyse. Dazu haben wir in KI-gestützter Dokumentenprüfung geschrieben.
Wen das Geldwäschegesetz zur Identifizierung verpflichtet
Manche prüfen ihre Kunden aus Vernunft. Andere, weil sonst ein Bußgeld kommt. Für die zweite Gruppe legen die Regeln fest, welche Nachweise wie lange aufbewahrt werden.
Zwei Punkte werden regelmäßig falsch verstanden. Erstens greift die Pflicht *vor* Begründung der Geschäftsbeziehung, nicht erst bei der ersten Zahlung. Der richtige Ort ist also der Mandats- oder Vertragsabschluss. Zweitens sind Fernverfahren ausdrücklich zulässig, VideoIdent und eID inklusive. "Dafür muss der Kunde ins Büro kommen" stimmt seit Jahren nicht mehr.
Wo zusätzlich eine bestimmte Signaturstufe gefordert ist, greifen Identitätsprüfung und Signaturniveau ineinander. Details dazu im Beitrag zur qualifizierten elektronischen Signatur.
Dahinter steht das Geldwäscherecht als ganzes Regime, und beide Begriffe werden regelmäßig verwechselt: KYC und AML zeigt, was jeweils dazugehört.
Die Prüfung in den Signaturprozess holen
Die Reihenfolge entscheidet, wie viel der Nachweis später wert ist. Erst prüfen, dann unterschreiben, und beides verbunden halten.
Prüfen, bevor das Dokument aufgeht
Der Kunde bekommt einen Link, erledigt Ausweisprüfung und Lebenderkennung und sieht erst danach den Vertrag. Vorher gibt es nichts zu unterschreiben. Klingt selbstverständlich, üblich ist aber das Gegenteil: Vertrag raus, Ausweis hinterherlaufen, hoffen.
Ergebnis an die Unterschrift binden
Beim Signieren werden Prüfergebnis, Zeitstempel und Dokument-Hash gemeinsam festgeschrieben. Dieser Hash ist ein Fingerabdruck des exakten Dateiinhalts. Ändert sich ein einziges Zeichen, passt er nicht mehr. So lässt sich beides zeigen: Das Dokument ist unverändert, und die geprüfte Person hat es unterschrieben. Chaindoc verankert diesen Eintrag auf einer Blockchain, damit der Zeitstempel nicht von unserer eigenen Datenbank abhängt. Das zählt genau dann, wenn die Gegenseite widerspricht.
Auffindbar halten
Ein Nachweis, den niemand findet, ist kein Nachweis. Prüfung, Dokument und Protokoll gehören an einen Ort, mit rollenbasierten Rechten, damit nur die zuständigen Personen Identitätsdaten öffnen. Fertige Dokumente lassen sich anschließend unabhängig über die Signaturprüfung kontrollieren.
Erst identifizieren, dann unterschreiben lassen
Ausweisprüfung, Lebenderkennung und Listenabgleich im selben Ablauf wie der Vertrag, mit einem Protokoll für beides.
Was die Prüfung vor der Unterschrift bringt
Eine saubere Prüfung ändert drei Dinge, und nur eines davon heißt Compliance.
Der Nachweis steht
Ein vollständiger Datensatz zeigt, welche Identität wie geprüft wurde und welches Dokument genau diese Person unterschrieben hat. In der Prüfung ist das der Unterschied zwischen einem kurzen Gespräch und wochenlanger Rekonstruktion. Getragen wird das vom Audit-Trail.
Streit wird kürzer
Nichtabstreitbarkeit heißt, dass ein Unterzeichner nicht glaubhaft behaupten kann, nie zugestimmt zu haben. Ist eine geprüfte Identität an ein gehashtes Dokument gebunden, hört "das war ich nicht" auf, ein Argument zu sein.
Das Onboarding wird schneller
Das überrascht viele. Man erwartet, dass Identitätsprüfungen bremsen, und manuell tun sie das auch. Eine automatisierte Prüfung ist in unter einer Minute durch und erspart das Hin und Her per E-Mail, in dem die eigentlichen Tage verschwanden.
Ein ehrlicher Vorbehalt: Für den Kunden kommt ein Schritt dazu, und manche springen genau dort ab. Bei einer günstigen Selbstregistrierung kann eine volle Ausweis- und Lebendprüfung mehr Abbrüche kosten, als sie an Betrug verhindert. Die Prüftiefe sollte zum Risiko passen.
Identitätsprüfung ins Onboarding einbauen
Der bestehende Werkzeugkasten muss dafür nicht ersetzt werden. Drei Schritte, in dieser Reihenfolge.
1. Festlegen, wer wie geprüft wird
Nicht jeder braucht dieselbe Tiefe. Schreiben Sie die Stufen auf: Eine kleine Verlängerung kommt mit E-Mail und Unterschrift aus, ein neuer Firmenkunde mit großem Volumen braucht Ausweis, Lebenderkennung und Listenabgleich. Verpflichtete haben hier wenig Spielraum, das GwG setzt die Untergrenze. Alle anderen sollten die Regel trotzdem schriftlich festhalten, denn uneinheitliche Prüfungen sind schlimmer als flache.
2. Die Prüfung vor die Unterschrift setzen
Identitätsschritt und Vertrag gehören in denselben Ablauf, damit der Kunde eine Strecke durchläuft und nicht zwei. Ein typischer Fehler an dieser Stelle: Das alte E-Mail-Verfahren bleibt "sicherheitshalber" bestehen, und am Ende laufen zwei Prozesse mit zwei Ablagen nebeneinander. Das alte Verfahren gehört richtig abgeschaltet.
3. Abgleich wiederholen
Sanktions- und PEP-Status ändern sich. Wer im März sauber war, kann im Oktober auf einer Liste stehen. Eine einmalige Prüfung ist eine veraltete Prüfung. Setzen Sie ein Intervall und halten Sie es auch ein: quartalsweise bei höherem Risiko, jährlich beim Rest.
Was bei jedem Durchlauf auf den Tisch gehört:
- Abgleich gegen die aktuellen Listen
- Wer im Team Identitätsdaten öffnen darf, und ob das noch nötig ist
- Ausweise, die seit dem Onboarding abgelaufen sind
- Ob der Nachweis noch mit einem Klick auffindbar ist
Gute Praxis im Umgang mit Identitätsdaten
Ein paar Gewohnheiten trennen Häuser, die Prüfungen bestehen, von solchen, die hektisch suchen.
So wenig erheben wie möglich
Identitätsdaten sind die heikelste Kategorie im Haus. Die DSGVO verlangt, nur zu speichern, was nötig ist, und nur so lange wie vorgeschrieben. Zusätzliche Passkopien "zur Sicherheit" sind das Gegenteil von sicher.
Zugriff nach Rolle beschränken
Vertrieb und Support brauchen den Ausweis eines Kunden selten. Geben Sie den Zugriff den Rollen, die ihn wirklich benötigen, prüfen Sie die Liste regelmäßig und protokollieren Sie jeden Zugriff.
Kein Foto vom Foto akzeptieren
Ein Screenshot eines Ausweises im Chat ist keine Prüfung, egal wie scharf die Datei ist. Wenn das Dokument nicht durch ein Verfahren lief, das den Ausweis getestet und eine lebende Person bestätigt hat, bleibt es eine unbelegte Behauptung.
Die Leute schulen, die onboarden
Wer mit Kunden spricht, wird beim wichtigen Mandat unter Druck geraten, den Schritt zu überspringen. Diese Kollegen müssen wissen, dass sie Nein sagen dürfen und an wen sie eskalieren. Die meisten Kontrollpannen sind nicht technisch.
Identität und Integrität beantworten zwei verschiedene Fragen. Die Identitätsprüfung sagt, wer die Person ist. Der Dokument-Hash sagt, dass die Datei seit der Unterschrift unverändert ist. Das eine ersetzt das andere nicht, und ein belastbarer Nachweis braucht beides.
Fazit
Digitales Onboarding ist keine Bankformalie mehr, seit Geschäftsbeziehungen vollständig aus der Ferne entstehen. Verpflichtete Unternehmen finden im GwG, was sie erheben und wie lange sie es aufbewahren müssen. Für alle anderen ist der Grund schlichter: Sie schließen gleich einen bindenden Vertrag mit jemandem, den Sie nie getroffen haben.
Stimmt die Reihenfolge, verschwindet der größte Teil der Schwierigkeit. Person prüfen, dann unterschreiben lassen, dann Prüfung und Dokument aneinander gebunden aufbewahren. Eine Prüfung, die in einem anderen System liegt als die Unterschrift, ist genau die, die zwei Jahre später versagt, wenn nur noch eine Frage zählt: Welche Identität hat welche Datei unterschrieben?
Zum Weiterlesen
Die Pflichten oben stehen im Geldwäschegesetz und in den EU-Geldwäscherichtlinien. Die Signaturstufen regelt die eIDAS-Verordnung 910/2014.
Tarife vergleichen Sie auf der Preisseite, weitere Leitfäden stehen im Chaindoc-Blog.
Tags
Häufig gestellte Fragen
Antworten auf die wichtigsten Fragen zu Chaindoc und sicheren Dokumenten-Workflows.
Die Legitimationsprüfung stellt fest, ob eine Person die ist, für die sie sich ausgibt. Der Begriff kommt aus dem Bankrecht und meint genau die Prüfung beim Aufnehmen eines Kunden. Kontrolliert werden das Ausweisdokument auf Echtheit, die Übereinstimmung von Gesicht und Lichtbild und die Frage, ob überhaupt ein lebender Mensch vor der Kamera sitzt. In Deutschland verpflichtet das Geldwäschegesetz bestimmte Branchen dazu, und §11 GwG regelt, welche Daten dabei zu erheben sind. Wer nicht verpflichtet ist, trägt den Schaden allein, wenn der Vertrag am Ende von jemand anderem unterschrieben wurde.
Digitales Onboarding ist die Aufnahme eines Kunden ohne persönliches Treffen: Identität prüfen, Daten erfassen und die nötigen Verträge elektronisch abschließen. Kern der Sache ist die Identifizierung, üblicherweise aus Ausweisprüfung, Lebenderkennung und Abgleich mit Sanktions- und PEP-Listen.
Die Legitimationsprüfung ist die Feststellung der Identität eines Kunden anhand eines gültigen Ausweisdokuments. Banken kennen sie aus § 154 der Abgabenordnung, Verpflichtete nach dem Geldwäschegesetz aus §§ 10 und 11 GwG. Zulässig sind neben der Prüfung vor Ort auch Fernverfahren wie VideoIdent oder die Online-Ausweisfunktion des Personalausweises.
Banken und Finanzdienstleister, Steuerberater, Wirtschaftsprüfer, Rechtsanwälte und Notare, Immobilienmakler sowie Güterhändler ab bestimmten Schwellen. Die Pflicht greift vor Begründung der Geschäftsbeziehung.
Ja. Fernidentifizierungsverfahren sind ausdrücklich vorgesehen, sofern das Verfahren das Dokument selbst prüft und eine lebende Person bestätigt. Eine per E-Mail geschickte Ausweiskopie erfüllt das nicht.
Allein nicht. Eine einfache elektronische Signatur belegt, dass das Dokument nach der Unterschrift unverändert blieb, und hält den Signaturvorgang fest. Wer hinter dem Klick saß, sagt sie nicht. Deshalb müssen Identitätsprüfung und Signaturprotokoll verbunden werden. Bei der qualifizierten elektronischen Signatur ist die Identität bereits durch einen Vertrauensdiensteanbieter geprüft.
In der Regel fünf Jahre, gerechnet ab Ende des Kalenderjahres, in dem die Geschäftsbeziehung endete. Einzelne Branchen haben längere Fristen, ein Blick in die eigene Aufsichtspraxis lohnt sich.
Sie verhindert, dass jemand einen echten Ausweis benutzt, der einer anderen Person gehört. Das ist der häufigste Betrugsfall beim Onboarding. Ein Scan zeigt nicht, wer ihn geschickt hat, ein kurzes Video schon.
Weitere Leitfäden zu E-Signaturen und Blockchain
Praxisnahe Leitfäden zu elektronischen Signaturen, Blockchain-Audit-Trails und sicherer Dokumentenverwaltung — passend zum gerade gelesenen Artikel.
