KYC: Wie Krypto-Plattformen ihre Kunden verifizieren

KYC (Know Your Customer, „Kenne deinen Kunden“) ist ein Verfahren, bei dem ein Unternehmen prüft, wer sein Kunde ist. Das Unternehmen erhebt Identifikationsdaten, etwa Name und Geburtsdatum, und gleicht diese mit zuverlässigen Quellen ab. KYC ist eine der Maßnahmen zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung (AML/CFT), und der Begriff wird auch im Kryptobereich verwendet.

Was bedeutet KYC?

Die Worte „Know your customer“ beschreiben die Aufgabe des Unternehmens: Es muss wissen, wer sein Kunde ist. KYC im Kryptobereich bezeichnet den Vorgang, bei dem eine Krypto-Plattform prüft, wer ihr Kunde ist.

Im Rahmen von KYC bedeutet „verifizieren“, Informationen mit zuverlässigen Quellen abzugleichen, die unabhängig vom Kunden sind.

KYC wird häufig als Synonym für Customer Due Diligence verwendet – den Begriff, den professionelle Aufsichtsbehörden für die gesamte Palette der KYC-Prüfungen nutzen.

Darüber hinaus kann „Know your customer“ auch eine andere Prüfung bezeichnen: ob ein reguliertes Finanzprodukt für den Kunden geeignet ist, dem es verkauft wird. KYC im Sinne der Identifizierung und Verifizierung eines Kunden ist ein eigenständiger Prozess.

Warum führen regulierte Unternehmen KYC durch?

In manchen Ländern schreiben Vorschriften für regulierte Unternehmen KYC vor. Ein reguliertes Unternehmen ist ein Unternehmen, das nach den Regeln einer Aufsichtsbehörde tätig ist. Eine Aufsichtsbehörde ist eine öffentliche Stelle, die eine Branche überwacht – eine Geschäftsbank unter einer Bankenaufsicht ist ein Beispiel für ein reguliertes Unternehmen.

Die Vorschriften zu KYC richten sich gegen Geldwäsche (das Verschleiern der kriminellen Herkunft von Geld) und Terrorismusfinanzierung. In der Regel beginnt KYC, wenn ein Unternehmen einen Kunden aufnimmt, und setzt sich durch laufende Überwachung fort, solange die Geschäftsbeziehung besteht.

Welche Maßnahmen umfasst KYC?

Die üblicherweise für KYC beschriebenen Maßnahmen sind hier aufgeführt.

1. Kunden identifizieren und verifizieren. Das Unternehmen erhebt die Identifikationsdaten des Kunden, etwa Name und Geburtsdatum, und gleicht diese mit zuverlässigen Quellen ab.
2. Den wirtschaftlich Berechtigten identifizieren. Das Unternehmen ermittelt, welche Person letztlich Eigentümer des Kunden ist oder diesen kontrolliert, sofern es eine solche Person gibt, und unternimmt angemessene Schritte, um deren Identität zu verifizieren.
3. Die Geschäftsbeziehung verstehen. Das Unternehmen erfährt den Zweck und die beabsichtigte Art der Geschäftsbeziehung mit dem Kunden, also warum der Kunde die Dienstleistung wünscht und wie er sie zu nutzen beabsichtigt.
4. Die Geschäftsbeziehung überwachen. Das Unternehmen überwacht die Beziehung zum Kunden fortlaufend und hält die über den Kunden gespeicherten Informationen auf dem aktuellen Stand.

Die KYC-Verifizierung kann auch erfolgen, ohne den Kunden persönlich zu treffen. Ein elektronisches Identifizierungsverfahren ist eine digitale Methode, um zu bestätigen, wer eine Person ist. Der Leitfaden einer Finanzaufsichtsbehörde besagt, dass ein elektronisches Identifizierungsverfahren als zuverlässige Quelle zur Identitätsprüfung gelten kann, sofern das Verfahren unabhängig von der zu prüfenden Person ist.

Welche Daten erhebt KYC?

KYC erhebt Identifikationsdaten über den Kunden. Für Privatpersonen nennt ein älterer Leitfaden zur Kontoeröffnung eines internationalen Ausschusses von Bankenaufsichtsbehörden Daten wie den vollständigen Namen, die ständige Anschrift, das Geburtsdatum, den Geburtsort, die Staatsangehörigkeit und eine amtliche Ausweisnummer aus einem Lichtbildausweis. Dieser Leitfaden wurde inzwischen durch eine neuere Fassung ersetzt, sodass diese Angaben als Beispiele und nicht als aktuelle Vorgabe zu verstehen sind.

Zu den im Rahmen von KYC verwendeten Dokumenten zählen Reisepässe, Personalausweise und Führerscheine. Welche Daten ein Unternehmen genau erhebt, hängt von den jeweils geltenden Vorschriften ab, die sich von Land zu Land unterscheiden.

Die im Rahmen von KYC erhobenen Identifikationsdaten sind personenbezogene Daten, also Informationen über eine identifizierbare Person. Der Leitfaden einer Finanzaufsichtsbehörde für die von ihr beaufsichtigten Unternehmen besagt, dass diese Unternehmen beim Umgang mit solchen Daten ihre Datenschutzpflichten berücksichtigen müssen.

KYC vs. AML/CFT: Worin liegt der Unterschied?

KYC umfasst die Prüfungen, die ein Unternehmen bei seinem Kunden durchführt. AML/CFT ist das umfassendere Maßnahmenpaket gegen Geldwäsche und Terrorismusfinanzierung, und KYC ist eine seiner Maßnahmen.

AML/CFT umfasst zudem die Aufbewahrung von Aufzeichnungen und die Überwachung von Transaktionen. Aufzeichnungen aufzubewahren bedeutet, Informationen über Kunden und deren Transaktionen zu speichern. Transaktionen zu überwachen bedeutet, sie zu beobachten, damit vermutete kriminelle Aktivitäten den Behörden gemeldet werden können.

Warum variiert die Tiefe der KYC-Prüfungen?

KYC-Prüfungen unterscheiden sich im Umfang. Ein risikobasierter Ansatz bedeutet, dass ein Unternehmen den Prüfungsumfang an seine Einschätzung anpasst, wie wahrscheinlich es ist, dass ein Kunde mit Geldwäsche oder Terrorismusfinanzierung in Verbindung steht. Da sich der Prüfungsumfang nach diesem eingeschätzten Risiko richtet, bezeichnet KYC keine einzige, feststehende Reihe von Prüfungen.

Im Rahmen eines risikobasierten Ansatzes kann ein Unternehmen bei einem als risikoärmer eingestuften Kunden vereinfachte Maßnahmen anwenden. Vereinfachte Maßnahmen bedeuten weniger Prüfungen, sind aber weiterhin Teil von KYC und keine Ausnahme davon. Bei einem als risikoreicher eingestuften Kunden wendet das Unternehmen verstärkte Maßnahmen an. Verstärkte Maßnahmen umfassen umfangreichere Prüfungen und werden als verstärkte Sorgfaltspflichten (Enhanced Due Diligence) bezeichnet.