KYC/AML-Systeme

Die Strafen für Finanzinstitute beliefen sich in der ersten Jahreshälfte 2025 auf insgesamt 1,23 Milliarden US-Dollar — ein Anstieg von 417 % gegenüber dem gleichen Zeitraum 2024, laut dem H1 2025 Enforcement Report von Fenergo. Das ist keine Prognose. Das ist der aktuelle Stand.

Silverthread Labs entwickelt KYC/AML-Systeme für regulierte Unternehmen: Identitätsprüfungsprozesse, Transaktionsüberwachungspipelines, risikobasierte Onboarding-Stufen und die Audit-Infrastruktur, die Compliance-Teams tatsächlich einem Regulierer vorlegen können. Wir integrieren Persona, Onfido, Sumsub und Jumio in produktionsreife Systeme, die einer eingehenden Prüfung standhalten — nicht nur einer ersten Durchsicht.

Die Integration eines KYC/AML-Systems kostet in der Regel zwischen 5.000 und 40.000+ US-Dollar, abhängig von Anbieter, Transaktionsvolumen und regulatorischem Umfang. Produktionsreif in 3–8 Wochen.

Was eine KYC/AML-Integration tatsächlich umfasst#

Die Begriffe „KYC-Compliance" und „AML-Compliance" werden häufig synonym verwendet. Es handelt sich jedoch nicht um dasselbe Problem. Jeder Bereich erfordert einen anderen technischen Ansatz, und ihre Verwechslung ist einer der häufigsten Gründe, warum Implementierungen bei einer Prüfung scheitern.

KYC: Verifizierung der Identität Ihrer Nutzer#

Know Your Customer (KYC) ist der Prozess, mit dem festgestellt wird, dass ein Nutzer tatsächlich die Person ist, die er vorgibt zu sein, und dass er berechtigt ist, Ihre Plattform zu nutzen. Dazu gehören Dokumentenprüfung — amtliche Ausweisdokumente, Reisepässe, Adressnachweise — in Kombination mit biometrischen Liveness-Checks und Datenbankabgleichen gegen Sanktionslisten, Register politisch exponierter Personen (PEP) und Adverse-Media-Quellen.

Die technische Arbeit besteht nicht einfach darin, ein Provider-SDK einzubinden. Es geht darum, Ihre Nutzer-Risikostufen der jeweils angemessenen Prüftiefe zuzuordnen, Pass/Fail-Schwellenwerte zu konfigurieren, Sonderfälle zu behandeln (abgelaufene Dokumente, Teilübereinstimmungen, Eskalationen zur manuellen Prüfung) und ein Datenmodell aufzubauen, das jedes Prüfergebnis so detailliert protokolliert, dass die Entscheidung später vollständig nachvollzogen werden kann.

AML: Überwachung des Nutzerverhaltens#

Anti-Money Laundering (AML) — also die Geldwäschebekämpfung — beginnt nach der Identitätsfeststellung. Es handelt sich um den fortlaufenden Prozess der Überwachung des Transaktionsverhaltens anhand von Risikoregeln und Typologien: Strukturierungsmuster, ungewöhnliche Transaktionshäufigkeit, geografische Risiken, Gegenparteirisiken — mit Generierung von Alerts, wenn das Verhalten definierte Schwellenwerte überschreitet.

AML-Systeme erfordern eine andere Architektur als KYC-Prozesse: ereignisgesteuerte Pipelines statt synchroner Verifizierungsaufrufe, Rule Engines oder ML-basiertes Scoring, Case Management für die Alert-Triage und Unterstützung für Suspicious Activity Report (SAR) Workflows. Viele Plattformen unterliegen zudem der regulatorischen Pflicht zur Echtzeit-Transaktionsprüfung gegen OFAC und andere Sanktionsdatenbanken.

Wo die meisten Implementierungen scheitern#

Einige Fehlermuster tauchen bei Projekten, die wir übernehmen oder bewerten, immer wieder auf:

Unzureichende Audit Trails. Das System protokolliert ein Pass/Fail-Ergebnis, aber nicht die Daten, die zu dieser Entscheidung geführt haben. Wenn ein Regulierer fragt: „Zeigen Sie mir den Verifizierungsdatensatz dieses Nutzers von vor 18 Monaten", ist die Antwort ein Zeitstempel und ein Statuscode. Das ist kein Audit Trail. Das ist ein Haftungsrisiko.

Risikostufen ohne Logik. Das Unternehmen ordnet Nutzer den Kategorien niedrig/mittel/hoch zu, aber die Zuordnungslogik ist nicht dokumentiert oder inkonsistent. Derselbe Nutzertyp wird je nach Registrierungskanal unterschiedlich eingestuft. Niemand kann erklären, warum.

Fehlkonfiguration des Anbieters. KYC-Anbieter sind leistungsstark und hochgradig konfigurierbar. Liveness-Checks sind zu permissiv eingestellt. Watchlist-Screening findet gegen weniger Datenbanken statt als regulatorisch vorgeschrieben. Dokumentenablauffristen werden nicht durchgesetzt. Diese Probleme werden erst bei einer Prüfung sichtbar.

Anbieterauswahl: Das richtige Tool für das Risikoprofil#

Es gibt nicht den einen besten KYC/AML-Anbieter. Die richtige Wahl hängt von der Nutzergeografie, dem Transaktionsvolumen, der regulatorischen Zuständigkeit und davon ab, wie viel der Anbieter übernehmen soll im Vergleich zu dem, was Ihre Plattform selbst handhabt. Wir verfügen über direkte Integrationserfahrung mit allen vier großen Plattformen und empfehlen auf Basis Ihres spezifischen Profils — nicht auf Basis unserer Vertrautheit mit einem bestimmten Anbieter.

Persona: modular und Workflow-orientiert#

Persona basiert auf visueller Workflow-Konfiguration. Seine größte Stärke ist die Kompositionsfähigkeit: Sie stellen Verifizierungsprozesse aus modularen Komponenten zusammen (Dokumentenerfassung, Selfie/Liveness, Datenbankprüfungen, benutzerdefinierte Datenfelder) und versionieren diese Workflows. Diese Struktur ist relevant für Plattformen, die mehrere Onboarding-Pfade benötigen (unterschiedliche Prozesse für Privat- vs. Geschäftskunden oder verschiedene Jurisdiktionen), bei denen eine einzelne starre Integration erhebliche Custom-Logik erfordern würde. Es ist unsere Standardempfehlung für US-marktorientierte Fintechs, die Workflow-Logik selbst kontrollieren möchten, ohne sie von Grund auf neu zu entwickeln.

Onfido (Entrust): KI-gestützte Dokumenten- und Biometrieprüfung#

Die Atlas AI Engine von Onfido deckt ein breites Spektrum globaler Dokumententypen ab, was sie besonders nützlich macht, wenn Ihre Nutzerbasis international divers ist und Abdeckung die Hauptanforderung darstellt. Sie bewältigt Dokumenten-Authentizitätsprüfungen und biometrische Verifizierung zuverlässig. Enterprise-Preise liegen typischerweise bei rund 65.000 US-Dollar/Jahr im skalierten Betrieb — ein relevanter Faktor für Plattformen in der Frühphase, die ihr Volumen noch ermitteln.

Sumsub: Kompletter Compliance-Stack für Krypto und Fintech#

Sumsub bündelt KYC, Unternehmensverifizierung (KYB), AML-Transaktionsüberwachung und Travel-Rule-Compliance in einer einzigen Plattform. Es ist der Anbieter, den wir bei Krypto-Börsen, Web3-Plattformen und Fintechs mit Betrieb in mehreren Jurisdiktionen empfehlen. Die Preise beginnen bei 1,35 US-Dollar pro Verifizierung mit einem Minimum von 149 US-Dollar/Monat. Für Plattformen, die einen vollständigen Compliance-Stack statt zusammengestückelter Einzellösungen benötigen, reduziert Sumsub die Integrationskomplexität erheblich.

Jumio: Hohes Volumen, schnelles Onboarding#

Jumio ist auf Skalierung ausgelegt: Hochdurchsatz-Identitätsprüfung mit Entscheidungslatenz im Sub-Sekundenbereich bei Dokumentenprüfungen, mit Abdeckung von über 5.000 Dokumententypen in mehr als 200 Ländern. Die Infrastruktur unterscheidet sich grundlegend von Alternativen für geringere Volumina — ein entscheidender Faktor für Zahlungsabwickler und Finanzplattformen, bei denen Onboarding-Latenz bei hohem Volumen eine harte Anforderung ist.

Wie wir den richtigen Anbieter für Ihren Anwendungsfall auswählen#

Unser Anbieterauswahlprozess beginnt bei Ihren regulatorischen Anforderungen — nicht beim Anbieterkatalog. Wir erfassen Ihre Jurisdiktionen, die geltenden Vorschriften (FinCEN, FCA, MiCA, DORA, bundesstaatliche MSB-Anforderungen), das Nutzer-Risikoprofil und das Transaktionsvolumen, bevor wir einen Stack empfehlen. In vielen Fällen ist die Antwort ein einzelner Anbieter. Bei Plattformen, die in mehreren Jurisdiktionen mit unterschiedlichen Risikostufen operieren, ist eine hybride Architektur mit verschiedenen Anbietern für verschiedene Prüftypen oft der richtige Ansatz.

Wir dokumentieren die Begründung für jede Konfigurationsentscheidung. Wenn Ihr Compliance-Team gefragt wird, warum ein bestimmter Anbieter gewählt wurde, sollte diese Antwort in Ihrer Systemdokumentation stehen — nicht in der Erinnerung einzelner Personen.

Was wir entwickeln#

Integration der Identitätsprüfung#

Wir integrieren die API Ihres gewählten KYC-Anbieters in Ihren Onboarding-Prozess: Dokumentenerfassung, Liveness-Checks, Watchlist-Screening und die Ergebnisverarbeitungslogik (bestanden, abgelehnt, manuelle Prüfung, erneuter Versuch). Das Datenmodell erfasst den vollständigen Verifizierungsdatensatz: Nachweisfelder, Entscheidungsbegründung und das Pass/Fail-Ergebnis, sodass die Entscheidung zu jedem zukünftigen Zeitpunkt rekonstruiert werden kann.

Risikobasierte Onboarding-Prozesse#

Die meisten regulierten Plattformen benötigen mehr als einen Onboarding-Pfad. Ein Privatkunde, ein Geschäftskunde und eine vermögende Privatperson haben jeweils unterschiedliche Sorgfaltspflichten. Wir entwickeln die Routing-Logik, die Nutzer auf Basis Ihrer Risikoklassifizierungskriterien der richtigen Verifizierungsstufe zuordnet, und konfigurieren jede Stufe mit der angemessenen Prüftiefe.

Transaktionsüberwachungspipelines#

Sobald ein Nutzer registriert ist, endet die Compliance nicht. Wir bauen die Event-Pipelines, die Transaktionsdaten erfassen, Ihr Regelwerk oder Scoring-Modell anwenden und Alerts zur Überprüfung generieren. Dies umfasst die Regelkonfiguration (Geschwindigkeit, Strukturierung, geografisches Risiko, Gegenpartei-Screening), Alert-Management-Workflows und die für die regulatorische Berichterstattung erforderliche Logging-Infrastruktur.

Verdachtsmeldungen und SAR-Workflow-Unterstützung#

Wenn ein Transaktionsüberwachungs-Alert eskaliert wird, benötigt Ihr Compliance-Team einen strukturierten Prozess zur Untersuchung und, falls erforderlich, zur Erstellung einer Verdachtsmeldung (Suspicious Activity Report). Wir entwickeln den Case-Management-Workflow: Alert-Triage, Beweissicherung, Eskalations-Routing und SAR-Dokumentation — auf einem Standard, der den Meldeprozess unterstützt und eine belastbare Dokumentation der Untersuchung schafft.

Audit-Trail- und Reporting-Infrastruktur#

Jede Prüfung, Entscheidung, Eskalation und Konfigurationsänderung sollte so detailliert protokolliert werden, dass die Entscheidung zu jedem zukünftigen Zeitpunkt rekonstruiert werden kann. Wir bauen Audit-Trail-Infrastruktur, die die zugrundeliegenden Daten jeder Entscheidung erfasst — mit versionierten Workflow-Konfigurationen, damit Sie nachweisen können, wie Ihr Compliance-System an jedem beliebigen Datum konfiguriert war.

Regulierte Umgebungen, für die wir entwickeln#

Fintech und Neobanken#

Neobanken operieren typischerweise unter Bankpartner-Vereinbarungen, die KYC/AML-Standards zusätzlich zu den direkten regulatorischen Anforderungen auferlegen. Wir entwickeln für beides: die Compliance-Anforderungen, die Ihr Bankpartner stellt, und die Skalierungsanforderungen, die Ihr Nutzervolumen mit sich bringt.

Krypto-Börsen und Web3-Plattformen#

FATF Travel Rule-Verpflichtungen, MiCA-Anforderungen in Europa und FinCEN-Durchsetzung in den USA bedeuten, dass Krypto-Plattformen eine fortlaufende Transaktionsüberwachung, Wallet-Screening und nachweisbare AML-Kontrollen benötigen. Eine einfache Identitätsprüfung bei der Registrierung reicht nicht aus.

Zahlungsabwickler und Marktplatzplattformen#

Zahlungsplattformen unterliegen KYC-Anforderungen sowohl auf Nutzerebene (Zahlende und Zahlungsempfänger) als auch auf Unternehmensebene (Händler-Onboarding). Wir entwickeln Verifizierungsprozesse für beide Seiten, einschließlich KYB, Prüfung der wirtschaftlich Berechtigten und der Transaktionsüberwachung, die für Plattformen mit Zahlungsdienstleister-Lizenzen erforderlich ist.

Kredit- und Darlehensplattformen#

Kreditplattformen haben Compliance-Pflichten, die über die Identitätsprüfung hinausgehen: Anforderungen an Ablehnungsbescheide, Audit Trails für Kreditentscheidungen und in einigen Fällen bundesstaatsspezifische Datenaufbewahrungsstandards. Wir entwickeln für die gesamte regulatorische Oberfläche — Onboarding und darüber hinaus.

Wie wir zusammenarbeiten#

Umfangs- und Compliance-Analyse#

Bevor eine einzige Zeile Code geschrieben wird, erfassen wir Ihre regulatorischen Anforderungen im Abgleich mit Ihrer bestehenden Architektur und identifizieren die Lücken: Jurisdiktionsabdeckung, geltende Vorschriften, aktueller Stand einer eventuell bestehenden KYC/AML-Implementierung und die Risikostufen, die Ihr Unternehmen abbilden muss. Das Ergebnis ist ein Compliance-Scope-Dokument, das alle nachfolgenden Build-Entscheidungen steuert.

Anbieterintegration und Workflow-Entwicklung#

Wir integrieren Ihre ausgewählten Anbieter, bauen die Onboarding-Prozesse auf, konfigurieren die Regelwerke und verknüpfen das Datenmodell. Alle Konfigurationsentscheidungen werden während des Builds dokumentiert, nicht danach. Der Build-Prozess umfasst regelmäßige Abstimmungen mit Ihren Compliance-Stakeholdern, um sicherzustellen, dass die Implementierung der regulatorischen Intention entspricht — nicht nur der technischen Spezifikation.

Testen gegen reale regulatorische Szenarien#

Vor der Auslieferung testen wir gegen realistische regulatorische Szenarien: Sonderfälle bei der Dokumentenprüfung, Alert-Schwellenwerte unter simulierten Transaktionsmustern, Eskalationspfade für manuelle Prüfungen und Audit-Trail-Rekonstruktion. Wir prüfen anhand der Fragen, die ein Compliance-Prüfer stellen würde — um Lücken zu finden, bevor sie zu Beanstandungen werden.

Übergabe mit Dokumentation, die Ihr Team eigenständig nutzen kann#

Wir liefern mit Dokumentation, die für eine Übergabe konzipiert ist: Systemarchitektur-Dokumentation, Datenflussdiagramme, Konfigurationsreferenzen, Compliance-Begründungen und Runbooks für Alert-Triage, SAR-Workflow und regelmäßige Überprüfungsprozesse. Ihr Team sollte das System betreiben und diese Dokumentation einem Regulierer vorlegen können — ohne unsere Beteiligung.

FAQ#

Wie lange dauert eine KYC/AML-Integration typischerweise?

Drei bis acht Wochen für ein produktionsreifes System, abhängig von der Anbieterkomplexität, der Anzahl der Onboarding-Stufen und davon, ob Transaktionsüberwachung im Umfang enthalten ist. Projekte, die sowohl Identitätsprüfung als auch eine vollständige Transaktionsüberwachungspipeline mit SAR-Workflow-Unterstützung umfassen, tendieren eher zum Acht-Wochen-Ende. Wir definieren den Umfang jedes Engagements während der Compliance-Analyse, bevor wir uns auf einen Zeitplan festlegen.

Welcher KYC-Anbieter ist die beste Wahl für ein Fintech-Startup?

Das hängt von Ihrer Geografie, Ihren regulatorischen Anforderungen und dem erwarteten Volumen ab. Persona ist die stärkste Standardoption für US-marktorientierte Fintechs, die flexibles, Workflow-konfigurierbares Onboarding wünschen. Sumsub eignet sich besser für kryptonahe Fintechs oder solche, die in mehreren Jurisdiktionen operieren. Onfido ist eine Überlegung wert, wenn internationale Dokumentenabdeckung die Hauptanforderung ist. Die Anbieterauswahl erfolgt bei uns im Rahmen der Compliance-Analyse-Phase.

Was ist der Unterschied zwischen KYC und AML als technische Systeme?

KYC behandelt die Identitätsprüfung beim Onboarding: Es wird bestätigt, wer ein Nutzer ist, bevor er Zugang zu Ihrer Plattform erhält. AML behandelt die fortlaufende Verhaltensüberwachung nach der Identitätsfeststellung — Transaktionsmuster werden auf Indikatoren für Finanzkriminalität überprüft und Alerts generiert, wenn Aktivitäten Risikoschwellenwerte überschreiten. Sie erfordern unterschiedliche Architekturen, und auf den meisten regulierten Plattformen sind beide erforderlich.

Können KYC/AML-Compliance-Workflows automatisiert werden?

Ja, zu einem erheblichen Teil. Dokumentenprüfung, Datenbankscreening, Risikobewertung und Alert-Generierung sind vollständig automatisierbar. Manuelle Prüfung ist weiterhin erforderlich bei Sonderfällen: Qualitätsprobleme bei Dokumenten, Teilübereinstimmungen, Eskalationen bei Hochrisiko-Alerts. Ein gut konzipiertes System minimiert das Volumen, das zur menschlichen Überprüfung gelangt.

Wie viel kostet der Aufbau einer KYC/AML-Integration?

5.000–40.000+ US-Dollar, abhängig von Anbieter, Komplexität der Onboarding-Stufen, ob Transaktionsüberwachung im Umfang enthalten ist, und Ihrer bestehenden Infrastruktur. Anbieterkosten kommen separat hinzu: Sumsub beginnt bei 1,35 US-Dollar pro Verifizierung mit einem Minimum von 149 US-Dollar/Monat; Onfido Enterprise-Preise liegen im skalierten Betrieb bei durchschnittlich rund 65.000 US-Dollar/Jahr. Wir erstellen ein Festpreisangebot nach der Compliance-Analyse-Phase.

Garantiert Silverthread Labs die regulatorische Compliance?

Nein. Wir bauen Compliance-Infrastruktur nach professionellem Standard und dokumentieren jede Konfigurationsentscheidung. Compliance ist jedoch eine fortlaufende organisatorische Verpflichtung — keine Eigenschaft von Software. Was wir liefern, ist ein System, das gut konzipiert, gut dokumentiert und prüfbar ist. Ihr Rechts- und Compliance-Team trägt weiterhin die Verantwortung für die regulatorische Auslegung und die laufende Aufsicht.

Bieten Sie laufende Wartung nach der Auslieferung an?

Ja. Regulatorische Anforderungen ändern sich, Anbieter-APIs werden aktualisiert und Risikoregeln müssen angepasst werden, wenn Ihre Plattform reift. Wir bieten fortlaufende Support-Vereinbarungen nach dem initialen Build an und können bei regelmäßigen Compliance-Reviews technischen Input liefern.

Zusammenarbeit#

Wenn Sie in einer regulierten Umgebung entwickeln und ein KYC/AML-System benötigen, das einer Prüfung standhält, kontaktieren Sie Silverthread Labs, um Ihren Compliance-Umfang zu besprechen.

Wir bringen direkte Projekterfahrung aus den Bereichen Fintech, Krypto, Zahlungsverkehr und Kreditwesen mit — zusammen mit den Dokumentationspraktiken, die Compliance-Teams benötigen, wenn Regulierer Fragen stellen. Beschreiben Sie uns Ihre regulatorischen Anforderungen und Ihre aktuelle Architektur, und wir definieren den Umfang von dort aus.

Diese Seiten könnten ebenfalls für Ihr Projekt relevant sein:

• Zahlungssysteme -- Integration und Infrastruktur für Zahlungsabwicklung
• Agentische KI-Systeme -- Autonome Agenten für Prozesse, die über Standardautomatisierung hinausgehen
• Systemintegration -- Anbindung von Compliance-Systemen an Ihre übergreifende Infrastruktur
• Self-Hosted AI für Finanzdienstleistungen -- Private, On-Premises-KI für compliance-sensible Workflows
• Technisches Audit -- Bewertung eines bestehenden Systems gegen Compliance- und Engineering-Standards