KYC und AML: das eine ist eine Prüfung, das andere ein Regime

Zwei Abkürzungen, eine Besprechung, und niemand ist sich einig, welche wofür steht. Die Compliance sagt, das Haus brauche AML. Der Vertrieb sagt, man mache doch bei jedem Neukunden KYC. Beide glauben, sie sprechen über dieselbe Arbeit.

Tun sie nicht. Genau in dieser Lücke gehen Prüfungen schief.

Kurz gesagt: KYC ist etwas, das Sie an einem einzelnen Kunden tun, am Anfang. AML ist der Rahmen, der Ihnen das vorschreibt, plus alles, was danach noch offen bleibt. Das eine ist eine Aufgabe. Das andere ist ein Regime, in dem diese Aufgabe steckt.

Der Unterschied ist nicht akademisch. Häuser kaufen ein Identifizierungswerkzeug, haken den Punkt ab und erfahren bei der BaFin-Prüfung, dass die Identifizierung vielleicht ein Fünftel dessen war, was sie schuldeten.

KYC steht für Know Your Customer, auf Deutsch die Kundenidentifizierung. AML steht für Anti-Money Laundering, im deutschen Recht abgebildet im Geldwäschegesetz.

AML ist das Weitere von beiden. Es ist der Bestand aus Gesetz, Aufsicht und interner Verfahrensordnung, der kriminelles Geld aus legitimen Geschäften heraushalten soll. KYC ist eine Pflicht darin: feststellen, wer Ihr Vertragspartner ist, bevor Sie mit ihm ins Geschäft kommen.

Die Frage "brauchen wir KYC oder AML?" funktioniert damit ungefähr wie die Frage, ob man eine Fahrprüfung oder die Straßenverkehrsordnung braucht. Sie machen die Prüfung, weil das Gesetz es verlangt, und bestanden zu haben entbindet Sie von nichts anderem auf der Straße.

Warum sich die Begriffe verhakt haben

Den größten Anteil daran haben ehrlicherweise die Anbieter. Identitätsprüfung ist der Teil des Regimes, der sich am leichtesten als Software verkaufen lässt, also bekam er das lauteste Marketing. Wer nach AML-Software sucht, findet überwiegend KYC-Produkte mit AML im Seitentitel.

Der Rest lässt sich schlechter verpacken. Transaktionsmonitoring, Verdachtsmeldung, eine schriftliche Risikoanalyse, Schulungen, Aufbewahrung: nichts davon lässt sich in einer Viertelstunde vorführen.

KYC beantwortet eine einzige Frage: ist diese Person oder Gesellschaft die, für die sie sich ausgibt?

In der Praxis zerfällt das in drei Prüfungen, und die meisten Häuser führen nur die erste durch.

Dokumentenprüfung. Sind Ausweis, Pass oder Registerauszug echt und gültig? Eine belastbare Prüfung liest Sicherheitsmerkmale und die maschinenlesbare Zone aus, statt einen Scan anzusehen.

Lebendprüfung. Legt gerade ein echter Mensch dieses Dokument vor, oder hält jemand ein Foto davon in die Kamera? Diese Prüfung fängt das häufigste Betrugsmuster ab, bei dem ein echtes Dokument von der falschen Person benutzt wird.

An dritter Stelle steht das Screening, und die Sanktionslistenprüfung ist eine eigene Pflicht ohne Schwelle.

Taucht der Kunde auf Sanktionslisten auf, oder ist er eine politisch exponierte Person, deren Akte verschärfte Sorgfalt verlangt?

Wer alle drei durchführt, weiß am ersten Tag, mit wem er es zu tun hat, und genau davon handelt unser Leitfaden zur Legitimationsprüfung. Das ist der ganze Umfang. Zu dem, was dieser Kunde im siebten Monat mit Ihnen macht, sagt KYC nichts, und genau dieses Schweigen füllt das GwG.

Fünf Pflichten liegen außerhalb der Identifizierung, und an jeder einzelnen scheitern Häuser regelmäßig.

1. 1
   Eine schriftliche Risikoanalyse. Sie müssen dokumentieren, welche Kunden, Produkte, Länder und Vertriebswege Sie Geldwäscherisiken aussetzen, und das bewerten. Prüfer verlangen dieses Dokument zuerst, und erstaunlich viele Verpflichtete haben es nicht.
2. 2
   Kontinuierliche Überwachung. Die Geschäftsbeziehung wird beobachtet, nicht nur eröffnet. Ein Kunde, der im Januar die Identifizierung bestand und im Juni auffällige Beträge bewegt, ist ein Geldwäscheproblem, und keine Ausweisprüfung wird das melden.
3. 3
   Verdachtsmeldung. Wenn etwas nicht stimmt, melden Sie es der Zentralstelle für Finanztransaktionsuntersuchungen, und Sie sagen dem Kunden nichts davon. Beim Timing danebenzuliegen ist hier keine Ordnungswidrigkeit, sondern strafbewehrt.
4. 4
   Aufbewahrung, in der Regel fünf Jahre. Identifizierungsnachweise, die Begründung hinter Risikoentscheidungen, die Unterlagen zu jeder Meldung.
5. 5
   Ein Verantwortlicher mit Namen. Nach §7 GwG braucht es einen Geldwäschebeauftragten, dazu belegbare Schulungen der Mitarbeitenden.

Es gehört klar gesagt: ein Haus kann tadellose Identifizierung betreiben und trotzdem an allen fünf Punkten durch die Prüfung fallen.

Die Standards sind global, die Formulierungen national.

Jedes Regime in dieser Aufzählung stammt aus derselben Quelle, den 40 Empfehlungen der Financial Action Task Force. Deshalb ähneln sich die Pflichten über Grenzen hinweg, auch wenn die Paragrafennummern es nicht tun.

Es ist seit langem kein reines Bankenthema mehr

Das ist der Punkt, der freie Berufe erwischt. Banken wissen es seit Jahrzehnten. §2 GwG zählt daneben Notare, Rechtsanwälte, Steuerberater und Wirtschaftsprüfer, Immobilienmakler, Dienstleister für Gesellschaften und Treuhandvermögen sowie Güterhändler oberhalb der Bargeldschwelle auf.

Eine Maklerbüro mit fünf Personen ist damit Verpflichteter mit denselben Kernpflichten wie eine Bank, nur ohne Compliance-Abteilung. Das ist eine unbequeme Lage, und genau deshalb muss die Identifizierung in der Arbeit stecken, die ohnehin läuft, statt daneben.

Wo Sie nachschlagen, je nach Rechtsraum

• Deutschland: Geldwäschegesetz, §10 allgemeine Sorgfaltspflichten und §11 Identifizierung, Aufsicht durch die BaFin, Meldungen an die FIU
• Europäische Union: die Geldwäscherichtlinien werden national umgesetzt, die Pflichten decken sich, die Gesetzesnamen nicht
• Frankreich: das LCB-FT-Regime im Code monétaire et financier, Meldungen an Tracfin
• Spanien: Ley 10/2010, Meldungen an Sepblac
• Brasilien: Lei 9.613/1998, Meldungen an den COAF
• Vereinigte Staaten: Bank Secrecy Act, Aufsicht durch FinCEN

Es gibt einen Punkt, an dem Identität und Regime aufhören, getrennte Themen zu sein, und das ist die Unterschrift.

Ein unterschriebener Vertrag ist der Beleg dafür, dass eine Geschäftsbeziehung besteht, und der Nachweis, dass die Datei selbst unverändert ist, gehört zur Identitäts- und Dokumentenprüfung. Wenn Sie nicht zeigen können, wer beim Unterschreiben am anderen Ende saß, beweist die Identifizierung von vor drei Wochen aus einem anderen Werkzeug herzlich wenig. Die beiden Nachweise liegen getrennt, und sie später zusammenzuführen heißt, ein Postfach zu durchsuchen.

Das ist der praktische Fehler, und er ist langweilig statt dramatisch. Der Vertrieb hat einen Ausweisscan per Mail eingesammelt. Die Compliance hat ihn in einer Tabelle freigegeben. Der Vertrag ging über ein Signaturwerkzeug hinaus, das von beidem nichts gesehen hat. Drei Systeme, drei Zeitstempel, keine durchgehende Spur.

Wer die Prüfung in den Signaturprozess legt, schließt das. Identifizierungsergebnis, Lebendprüfung, Screening und die Unterschrift selbst landen in einem Prüfpfad, verankert, damit ihn niemand nachträglich still korrigiert. Fragt ein Prüfer, woher Sie wussten, wer unterschrieben hat, ist die Antwort ein Nachweis statt drei.

Die Abkürzungen als Synonyme behandeln. Ein Haus, das sagt "wir sind GwG-konform, wir machen KYC", hat meist ein Fünftel der Arbeit erledigt und weiß es noch nicht.

Ein Werkzeug kaufen statt ein Verfahren schreiben. Software führt Prüfungen aus. Sie entscheidet nicht über Ihren Risikoappetit, und ein Prüfer verlangt die schriftliche Risikoanalyse, bevor er nach dem Anbieter fragt.

Einmal identifizieren und nie wieder hinsehen ist der dritte. Risikoeinstufungen altern. Ein bei Begründung geringes Risiko kann Eigentümer, Rechtsraum oder Verhalten wechseln, und nichts an der ursprünglichen Prüfung wird Ihnen das sagen.

Identifizierungsnachweise woanders ablegen als den Vertrag. Zwei Nachweise, die einander nicht referenzieren, sind unter Nachfragen schwer zu verteidigen, auch wenn jeder für sich einwandfrei ist.

KYC sagt Ihnen, wer zur Tür hereingekommen ist. AML ist alles, was Sie von diesem Moment an schulden, bis fünf Jahre nachdem der Kunde gegangen ist.

Die Begriffe sauber zu trennen zahlt sich aus, weil Budgets ihnen folgen. Wer beide Wörter für dasselbe hält, kauft Identitätsprüfung und erklärt das Programm für fertig, um in der Prüfung festzustellen, dass Risikoanalyse, Überwachung und Meldewesen nie jemandes Aufgabe waren.

Fangen Sie mit der schriftlichen Risikoanalyse an, denn sie ist das Erste, was Prüfer aufschlagen, und alles Weitere hängt daran. Sorgen Sie dann dafür, dass Identifizierung und unterschriebener Vertrag am selben Ort liegen, denn dieses Paar werden Sie gemeinsam vorlegen müssen.