Wenn man über die Lücke zwischen KYC, KYB und laufendem Monitoring schreibt, liegt eine Annahme nahe, die in vielen Anbietertexten auftaucht. Nämlich, dass „laufendes Monitoring“ bei Identitätslösungen regelmäßige erneute Sanktionslistenprüfungen bedeutet und kaum mehr.
Das stimmt nicht. Lösungen für laufendes AML-Monitoring können Sanktionslisten, Watchlists, PEP und negative Medienberichte für natürliche und juristische Personen abdecken. Sie greifen auf Tausende Medienquellen zurück, filtern kontextbezogen und aktualisieren ihre Daten je nach Datenfeed in Abständen von wenigen Stunden bis zu einem Monat. Das ist ein leistungsfähiges Produkt, das wichtige Arbeit leistet. Im Wesentlichen gilt dasselbe für seine wichtigsten Wettbewerber.
Die Lücke liegt also nicht dort, wo ich sie vermutet hatte. Sie liegt an einer interessanteren Stelle. Und wenn man sie einmal erkennt, lässt sie sich nicht mehr übersehen.
Die Lücke betrifft nicht die Abdeckung. Sie betrifft die Fragestellung.
KYC fragt, ob eine Person die ist, für die sie sich ausgibt
Dokumentenprüfung, Lebenderkennung, biometrischer Abgleich, Adressprüfung sowie Abgleich mit Sanktions- und PEP-Listen bei der Registrierung.
Die Technologie ist inzwischen ausgesprochen gut. Ein sauber aufgebauter Prozess verifiziert eine Person in weniger als einer Minute. Moderne Lebenderkennung ist so zuverlässig, dass die meisten Angreifer inzwischen andere Stellen im Prozess angreifen.
Sie beantwortet eine Identitätsfrage, und das gründlich. Sie sagt Ihnen aber nicht, was diese Person tut oder wie sie sich entwickelt. Das ist keine Kritik. Es ist der definierte Leistungsumfang, den die Anbieter klar benennen.
KYB: eine deutlich schwierigere Aufgabe
KYB fragt, ob ein Unternehmen tatsächlich existiert und wer es wirklich besitzt und kontrolliert. Die meisten Erklärungen handeln das in einem Absatz ab. Das wird der Aufgabe nicht gerecht.
Die Schwierigkeit liegt in der Struktur, und das meine ich wörtlich. Eine Person hat eine Identität. Ein Unternehmen hat eine Struktur. Diese Strukturen werden von Menschen geschaffen, gelegentlich von Menschen, denen daran liegt, dass die Struktur undurchsichtig bleibt.
Eine gründliche KYB-Prüfung durchläuft deshalb mehrere Ebenen. Die Verifizierung der Entität anhand eines Unternehmensregisters. Die Identifizierung von Geschäftsführern und Organmitgliedern. Und die Ermittlung der wirtschaftlich Berechtigten: Welche Menschen stehen tatsächlich hinter der Entität? Üblicherweise sind das alle mit einer Beteiligung von mindestens fünfundzwanzig Prozent. Der Schwellenwert variiert jedoch je nach Rechtsraum und lässt sich, ehrlich gesagt, mit genügend Entschlossenheit recht leicht umgehen. FinCEN und die Geldwäscherichtlinien der EU ziehen diese Grenze etwas unterschiedlich.
Hinzu kommt die Beteiligungskette. Unternehmen A gehört Holding B, die in einem Land mit lückenhaftem Register eingetragen ist. Diese gehört zwei Entitäten in einem dritten Land, von denen eine ein Trust ist. Irgendwo am Ende dieser Kette stehen Menschen. Sie zu finden, ist die Aufgabe.
Die Registerqualität schwankt enorm. Darüber spricht fast niemand. Manche Rechtsräume veröffentlichen Angaben zu wirtschaftlich Berechtigten offen. Andere veröffentlichen nur die Gründung und nichts darüber hinaus. Wieder andere veröffentlichen einen Namen und ein Datum und behandeln den Rest als Geschäftsgeheimnis. Ein KYB-Anbieter ist immer nur so gut wie die Register, auf die er zugreifen kann. Kein Anbieter kann Daten herbeizaubern, die ein Staat nicht erhebt. OpenCorporates zeigt anschaulich, wie uneinheitlich die zugrunde liegende Datenlage tatsächlich ist.
Das alles heißt: KYB ist schwierig, gute Anbieter beherrschen es, und es ist mehr wert, als die meisten Käufer erkennen.
Doch einen Punkt halte ich dabei für besonders wichtig. Ich habe ihn bisher nirgends schriftlich formuliert gesehen.
Eine KYB-Prüfung ist eine Momentaufnahme einer Struktur, die ausdrücklich für Veränderungen geschaffen wurde.
Dafür sind Unternehmensstrukturen da. Unternehmen verlegen ihren Rechtssitz. Geschäftsführer werden bestellt und treten zurück. Anteile wechseln den Besitzer. Tochtergesellschaften entstehen in neuen Rechtsräumen. Nichts davon ist verdächtiges Verhalten. Es ist normaler Unternehmensalltag, und es passiert ständig.
Deshalb ist eine KYB-Verifizierung wesentlich kürzer aktuell als eine KYC-Verifizierung. Die Identität einer Person ist relativ stabil. Die Struktur eines Unternehmens ist es nicht. Fast niemand berücksichtigt diesen Unterschied.
Was laufendes Monitoring tatsächlich bedeutet
Nun zu dem Begriff, der die Verwirrung auslöst. Hier möchte ich sorgfältig sein, denn eine falsche Darstellung wäre unfair und würde der eigenen Argumentation schaden.
Wenn ein Anbieter von Identitätslösungen „laufendes Monitoring“ sagt, meint er laufendes AML-Monitoring. Und das ist ein echtes Produkt, keine bloße Marketinggeste.
Nehmen wir das deutlichste Beispiel. Bestimmte Softwarelösungen gleichen die Profile von Antragstellern und Entitäten laufend mit Änderungen an Sanktionslisten, Watchlists und negativen Medienberichten weltweit ab. Sie erfassen juristische ebenso wie natürliche Personen. Sie werten sehr viele Medienquellen aus, ordnen Treffer nach Art ein und nutzen ein Sprachmodell, um Analysten bei der Priorisierung zu unterstützen.
Das ist kein geringer Leistungsumfang. Jedes Unternehmen, das für seine Kunden Verantwortung trägt, sollte eine solche Lösung einsetzen.
Zwei operative Details sollte man kennen. Sie stehen eher in der Dokumentation als im Marketingmaterial. Meist ist die Funktion eine Zusatzleistung und nicht standardmäßig enthalten. Außerdem läuft sie üblicherweise erst ab der Aktivierung. Bereits vor dem Kauf freigegebene Entitäten müssen erneut geprüft werden, um überhaupt in das Monitoring aufgenommen zu werden.
Beides ist kein Trick. Beides ist aber entscheidend, wenn Sie davon ausgegangen sind, dass Monitoring enthalten ist und rückwirkend greift. Viele Käufer nehmen genau das an.
Wo liegt also die Lücke?
Nachdem ich zunächst falschlag, bin ich zu folgendem Ergebnis gekommen.
Laufendes AML-Monitoring wurde für eine Frage entwickelt, und es beantwortet sie gut: Stellt dieser Kunde ein Finanzkriminalitätsrisiko dar?
Für Banken, Zahlungsdienstleister, Börsen, Kreditgeber oder Glücksspielanbieter ist das genau die richtige Frage. Sie haben Kunden. Sie bewegen Geld in deren Auftrag. Wenn einer dieser Kunden Geld wäscht, ist das Ihr regulatorisches Problem. Sie müssen sofort wissen, wenn sich sein Risikoprofil verändert.
Denken Sie nun an einen Fonds.
Sie haben keine Kunden. Sie haben Portfoliounternehmen. Sie überweisen ihnen einmal Geld, halten die Beteiligung sieben oder acht Jahre lang und bewegen überhaupt kein Geld in ihrem Auftrag.
Ihre Frage lautet nicht, ob diese Entität für Sie ein Finanzkriminalitätsrisiko darstellt. Ihre Frage lautet, ob sich das Unternehmen so verändert hat, dass dies Ihre Beteiligung beeinflusst.
Die meisten Antworten darauf sind schlicht keine AML-Signale.
Vier Ereignisse, die nie einen AML-Treffer auslösen
Gehen Sie durch, was in einem Portfolio tatsächlich schiefläuft. Fragen Sie sich, was davon in einem auf Finanzkriminalität ausgerichteten Monitoring-System eine Meldung auslösen würde.
Ein Portfoliounternehmen verlegt seinen Rechtssitz von Delaware auf die Britischen Jungferninseln und bestellt zwei neue Geschäftsführer. Das ist eine Registeränderung. Es ist kein Sanktionslistentreffer und kein PEP-Treffer. Solange kein Journalist darüber schreibt, gibt es auch keinen negativen Medienbericht. Es entsteht überhaupt kein AML-Signal, denn daran ist nichts kriminell. Es ist schlicht eine Tatsache über ein Unternehmen, an dem Sie beteiligt sind. Und sie kann Ihre regulatorische Situation erheblich verändert haben.
Der Hauptaktionär der Börse, über die ein Portfoliounternehmen seine Geschäfte abwickelt, wird auf eine Sanktionsliste gesetzt. Ihr Unternehmen ist nun einem Risiko ausgesetzt. Doch die Sanktionierung betrifft eine Entität, die weder Ihr Antragsteller noch Ihr Kunde noch Geschäftspartner bei einer Ihrer Transaktionen ist. Es handelt sich um ein indirektes Risiko über eine weitere Beziehungsebene. Es liegt außerhalb des Erfassungsbereichs eines Systems, das auf Ihre direkten Beziehungen ausgerichtet ist.
Elf gefälschte Telegram-Kanäle geben sich als Support eines Portfoliounternehmens aus und ziehen dessen Nutzern Geld ab. Ein AML-System erfasst davon nichts. Es gibt keine Watchlist für Identitätsnachahmer. Hier begeht Ihr Portfoliounternehmen keine Finanzstraftat. Es ist das Opfer einer Finanzstraftat, und das gesamte Modell blickt in die andere Richtung.
Ein Gründer wird persönlich in einer Zivilklage in einem Rechtsraum genannt, dessen Gerichtsunterlagen in keiner kommerziellen Datenbank erfasst sind. Vielleicht taucht der Fall irgendwann als negativer Medienbericht auf, wenn eine Publikation ihn aufgreift. Vielleicht auch nicht.
Nichts davon ist ein Versagen der AML-Produkte. All diese Fälle liegen außerhalb der Frage, für deren Beantwortung diese Produkte entwickelt wurden.
Das Antragstellermodell und warum Fonds nicht hineinpassen
Dahinter steckt ein Punkt in der Systemarchitektur. Er erklärt, warum Fonds Schwierigkeiten haben, Identitätsplattformen für sich nutzbar zu machen, und verdient eine genauere Erläuterung.
Sehen Sie sich an, wie diese Systeme tatsächlich aufgebaut sind. Es gibt einen Antragsteller. Der Antragsteller wird verifiziert. Er wird freigegeben, abgelehnt oder zur weiteren Prüfung zurückgestellt. Freigegebene Antragsteller können anschließend überwacht werden. Es gibt Verifizierungsstufen, Werkzeuge zum Erstellen von Workflows, Freigabeschaltflächen und Ablehnungsstatus.
Es ist ein Trichtermodell. Es wurde für das Onboarding entwickelt, weil die Kunden dieser Produkte den ganzen Tag genau das tun.
Ein Fonds hat keinen solchen Trichter. Er hält bereits Anteile an achtunddreißig Unternehmen und kann diese Beteiligungen nicht einfach rückgängig machen. Er hat sie nicht freigegeben, sondern in sie investiert. Wenn ein Signal auftaucht, wird die Beziehung nicht beendet. Die Beteiligung ist illiquide und wird unabhängig davon über Jahre gehalten.
Man kann ein Portfolio an ein auf Antragsteller ausgelegtes System anbauen. Unternehmen tun das auch. Doch dabei arbeitet man ständig gegen das Modell, weil man ein Onboarding-Produkt zur Verwaltung einer Beteiligung einsetzt.
Vier Fragen statt drei Stufen
Das mit Abstand häufigste Missverständnis: Es handle sich um zunehmend gründliche Prüfstufen. KYC sei die Basis, KYB die umfassende Prüfung und Monitoring die fortgeschrittene Stufe. Diese Einordnung ist falsch. Deshalb verstehen Käufer oft nicht, was sie eigentlich gekauft haben.
Es sind keine Stufen. Es sind verschiedene Fragen. Wer die „höchste“ kauft, bekommt die anderen nicht dazu.
| KYC | KYB | Laufendes AML-Monitoring | Risk Intelligence für Entitäten | |
| Die Frage | Existiert diese Person wirklich? | Existiert dieses Unternehmen wirklich, und wer kontrolliert es? | Ist dieser Kunde zu einem Finanzkriminalitätsrisiko geworden? | Was hat sich bei dieser Entität verändert? |
| Was erfasst wird | Eine natürliche Person | Eine Entität und ihre Beteiligungskette | Sanktionen, PEP, Watchlists, negative Medienberichte | Register, Organmitglieder, Geschäftspartner, soziale Kanäle, Medien |
| Wann | Beim Onboarding | Beim Onboarding | Laufend ab der Aktivierung | Laufend, solange Sie die Beteiligung halten |
| Entwickelt für | Kunden | Kunden | Kunden | Entitäten, deren Risiken Sie ausgesetzt sind, mit denen Sie aber keine Transaktionen abwickeln |
Wer was braucht und in welcher Kombination
Sobald die Fragen getrennt betrachtet werden, lässt sich das recht klar beantworten.
Wenn Sie viele Privatpersonen aufnehmen, etwa als Fintech für Privatkunden, Börse oder Marktplatz, brauchen Sie KYC. Beschaffen Sie eine Lösung. Sie funktioniert und wird schneller einsatzbereit sein, als Sie erwarten.
Wenn Sie Unternehmen aufnehmen, brauchen Sie eine gründliche KYB-Prüfung mit belastbarer Registerabdeckung und tatsächlicher Ermittlung der wirtschaftlich Berechtigten. Das ist schwieriger, als es aussieht, und sein Geld wert.
Wenn Sie für das Finanzkriminalitätsrisiko Ihrer Kunden verantwortlich sind, brauchen Sie zusätzlich zu beiden ein laufendes AML-Monitoring. In den meisten relevanten Rechtsräumen ist das keine Wahlmöglichkeit. Die FATF-Empfehlung 10 verlangt laufende Due Diligence bei Geschäftsbeziehungen, keine einmalige Prüfung am Eingang.
Wenn Ihre Risiken dagegen aus investierten Beteiligungen statt aus aufgenommenen Kunden entstehen, decken die ersten drei nur den Beginn der Beziehung ab. Das betrifft VC-Fonds, Kryptofonds, Family Offices und Unternehmensentwicklungsteams mit Minderheitsbeteiligungen. Die folgenden sieben Jahre deckt keiner dieser Ansätze ab.
Das ist die vierte Frage. Dafür gibt es ein anderes Produkt, und die meisten Unternehmen wissen nicht, dass es existiert.
Häufig gestellte Fragen
KYC fragt, ob eine Person die ist, für die sie sich ausgibt: Dokumentenprüfung, Lebenderkennung, biometrische Prüfungen, Adressprüfung sowie Abgleich mit Sanktions- und PEP-Listen. KYB fragt, ob ein Unternehmen tatsächlich existiert und wer es wirklich besitzt und kontrolliert. Das ist deutlich schwieriger, weil sich Beteiligungsstrukturen über mehrere Rechtsräume erstrecken und Register einander widersprechen.
Eine Person hat eine Identität und ein Dokument als Nachweis. Ein Unternehmen hat Eintragungen an mehreren Orten, wechselnde Organmitglieder und wirtschaftlich Berechtigte, die mehrere Entitäten weiter oben in der Beteiligungskette stehen können. Die Menschen hinter der Struktur zu finden, macht den Großteil der Arbeit aus. Genau diesen Teil überspringen oberflächliche Erklärungen.
Dieser Begriff verursacht die meiste Verwirrung, weil er für zwei verschiedene Dinge verwendet wird. Zum einen für den regelmäßigen erneuten Listenabgleich eines bestehenden Kunden. Zum anderen für die Beobachtung tatsächlicher Veränderungen, etwa Registermeldungen, Rechtsstreitigkeiten, behördlicher Maßnahmen und negativer Medienberichte, die in keiner Liste stehen werden.
Bei allem, was nie einen AML-Treffer auslöst. Vieles, was in einem Portfolio tatsächlich schiefläuft, löst auf einer Screening-Plattform keine Meldung aus. Dazu gehören unbemerkte Eigentümerwechsel, der Rücktritt eines Geschäftsführers, neue Rechtsstreitigkeiten oder die Erwähnung eines Unternehmens in Unterlagen zu behördlichen Maßnahmen. Denn diese Plattformen sind darauf ausgelegt, Namen mit Listen abzugleichen.
Weil diese Plattformen auf dem Antragstellermodell beruhen: Jemand tritt auf, wird verifiziert, wird Kunde, und die Akte ist vollständig. Das Risiko eines Fonds funktioniert anders. Die Beziehung beginnt mit der Überweisung und dauert Jahre. Niemand stellt erneut einen Antrag.
Es sind keine drei Stufen derselben Sache. Das ist das häufigste Missverständnis. Sie beantworten verschiedene Fragen: Wer ist diese Person? Was ist dieses Unternehmen, und wer kontrolliert es? Was hat sich seit unserer letzten Prüfung verändert? Dahinter liegt eine vierte Frage: Würden wir heute noch dieselbe Entscheidung treffen? Nichts im üblichen Softwarepaket beantwortet sie.
Fazit
Sie bilden keine Stufenleiter. Dieses Missverständnis muss korrigiert werden. Es ist der Grund, warum so viele Unternehmen glauben, etwas gekauft zu haben, das sie gar nicht erhalten haben.
KYC verifiziert eine Person. KYB verifiziert eine Struktur, gründlich und einmalig. Laufendes AML-Monitoring überwacht Ihre Kunden umfassend auf Finanzkriminalitätsrisiken und nutzt dafür wirklich gute Daten.
Was sich bei einer Entität verändert hat, deren Risiken Sie ausgesetzt sind, ist eine eigenständige vierte Frage. Sie betrifft Organmitglieder, Rechtsraum, Geschäftspartner, öffentliche Präsenz und Eigentumsverhältnisse. Die meisten Fonds haben dafür überhaupt keine laufende Überwachung.
Warum diese Lücke besteht, haben wir hier ausführlich beschrieben. Die gesamte Anbieterlandschaft haben wir hier eingeordnet, falls Sie sich vor einer Entscheidung zunächst einen Überblick verschaffen möchten.
Wenn Sie es lieber direkt sehen möchten: Beady AI überwacht laufend Entitäten, deren Risiken Sie ausgesetzt sind, darunter Portfoliounternehmen, Gründer und Geschäftspartner. Erfasst werden Sanktionen, negative Medienberichte, Unternehmensregister und Identitätsnachahmung. Jedes Signal ist mit seiner Primärquelle verknüpft. Buchen Sie einen Termin, und wir prüfen Ihre tatsächlichen Beteiligungen damit. Das dauert etwa zwanzig Minuten. Schon nach einer Minute wissen Sie, ob die vierte Frage für Sie relevant ist.
