Kunden-Onboarding und KYC: Workflow-Agent

Ein neuer Kunde bei Bank, Fintech oder Unternehmen aufzunehmen heißt: Unterlagen einsammeln, Identität prüfen, gegen Sanktionslisten abgleichen, die tatsächlichen Eigentümer hinter einer Firma finden und eine risikoklassifizierte Akte schreiben. Ein großer Teil davon ist Nachfassen und Abgleichen von Informationen über Systeme hinweg. Ein Agent führt den Workflow durchgängig aus, ruft deterministische Identitäts- und Abgleichsdienste als Werkzeuge auf, entwirft die Akte und gibt Ermessensfälle an die Compliance-Verantwortlichen ab. Typisches Ziel: kürzere Zeit bis zur Kontoeröffnung und weniger Analystenstunden je Akte, ohne die Geldwäschekontrollen zu schwächen.

Problem & Nutzen

• Heute: Analysten erfassen Antragsdaten erneut, fordern fehlende Unterlagen per E-Mail an, durchsuchen Firmenregister, verfolgen Eigentümerketten über Rechtsordnungen hinweg, sichten Abgleichtreffer (überwiegend Fehlalarme) und schreiben die Begründung für die Akte. Firmenfälle (KYB) mit mehrstufigen Strukturen dauern Tage bis Wochen; Abbrüche bei langsamem Onboarding bedeuten einen erheblichen wirtschaftlichen Verlust.
• KI-Nutzen: Dokumentenaufnahme und Konsistenzprüfungen, automatisches Nachfassen, Registerabfragen, Aufbau des Graphen der wirtschaftlich Berechtigten (UBO), Erstsichtung von Treffern und Entwurf der Akte; Analysten konzentrieren sich auf Hochrisiko- und mehrdeutige Fälle.
• Regulatorischer Sog: Die EU-Geldwäscheverordnung (EU) 2024/1624 gilt ab dem 10. Juli 2027 mit unmittelbar anwendbaren Regeln zur Kundensorgfalt (CDD); die AMLA schließt 2026 die technischen Standards zur CDD ab (Konsultation endete im Mai 2026, Übermittlung an die Kommission für das 3. Quartal 2026 geplant; prüfen Sie den aktuellen Stand bei der AMLA) [1][2]. Institute gestalten ihre Onboarding-Prozesse derzeit neu. ROI-Aussagen von Anbietern (z. B. prozentuale Zeitersparnis) sind Marketing- zahlen; messen Sie Ihre eigene Ausgangslage.

Varianten

• Privatkunden-Onboarding (B2C): überwiegend automatisierte Identitätsprüfung plus Abgleich; der Agent bearbeitet Ausnahmen und fehlende Daten.
• Firmen-Onboarding / KYB: Registerabruf, Abbildung der Eigentümerstruktur, Identifikation der wirtschaftlich Berechtigten, Herkunft des Vermögens; der stärkste Anwendungsfall für Agenten, weil die Arbeit unstrukturiert ist.

• Fintech / Zahlungsinstitute / Anbieter von Kryptowerten: hohes Volumen, API-first, risikobasierte Abstufung.

• Periodische / ereignisgesteuerte Überprüfung (Perpetual KYC): derselbe Agent aktualisiert bestehende Akten; siehe AGENT-011.

So funktioniert es

application intake (web/app/RM)
  -> identity proofing tool (document check + liveness, eID / EUDI wallet where available)
  -> document intake & extraction (ID, registry extracts, statutes, UBO forms)
  -> registry lookup (national registers, BRIS, transparency registers, LEI)
  -> ownership graph & UBO derivation (threshold, control by other means)
  -> screening (sanctions, PEP, adverse media) + alert triage draft
  -> risk scoring (rules + model) and EDD triggers
  -> gap detection -> auto-request to customer / RM
  -> file narrative + recommendation
  -> human approval (compliance officer) -> account opening in core banking/CRM
  -> monitoring hand-off + review schedule

• Deterministische Kerne: Identitätsabgleich, Abgleich mit Sanktionslisten und die abschließenden Regeln zur Risikobewertung bleiben in zertifizierten oder regelbasierten Komponenten; das Sprachmodell liest, gleicht ab, fasst zusammen und entwirft.
• Mensch-in-der-Schleife (Human-in-the-Loop): verpflichtende Freigabe bei Hochrisikokunden, PEPs, erweiterter Sorgfalt (EDD), jeder Ablehnung und jedem Treffer, der als echter Treffer geschlossen wird; stichprobenartige Qualitätssicherung bei automatisch freigegebenen Fällen mit niedrigem Risiko. Das Vier-Augen-Prinzip bleibt erhalten.

Datenaufbereitung

Benötigte Daten: Ausweisdokumente und Selfies, Handelsregisterauszüge, Strukturen wirtschaftlich Berechtigter, Sanktions- und PEP-Listen, vorhandene Kundenstammdaten sowie die Risikorichtlinie und die Onboarding-Regeln des Instituts. Diese liegen im CRM oder Kernbankensystem, im DMS, in E-Mail-Postfächern und als Papierkopien. Typische Lücken: schlechte Scanqualität, mehrsprachige und ausländische Dokumente, doppelte Kundendatensätze, veraltete Risikobewertungsregeln in Word oder PDF, uneinheitliche Namen von Rechtsträgern für den Abgleich und unklare Aufbewahrungsfristen.

Schritte der Aufbereitung: (1) den Onboarding-Prozess mit seinen Risikostufen und den erforderlichen Nachweisen dokumentieren (PREP-002); (2) die Risikorichtlinie in eine gepflegte Wissensbasis überführen (PREP-013); (3) Kunden- und Firmennamen vor dem Abgleich deduplizieren und normalisieren (PREP-011); (4) Daten aus Ausweisdokumenten mit passenden Werkzeugen extrahieren (DOC-004) und ältere Akten per OCR erfassen (PREP-006); (5) Testfälle aus früheren Onboardings mit der endgültigen Entscheidung als Evaluierungsdatensatz zusammenstellen (PREP-018, PREP-020); (6) Aufbewahrungsregeln festlegen und Rechtsgrundlage prüfen (PREP-025) sowie Testdaten pseudonymisieren (PREP-022).

Aufwand: mittel, etwa 25-35 %, da Anbieter einen Großteil der Datenerfassung liefern; die Hauptarbeit liegt bei Regeln und der Qualität der Stammdaten. Siehe GUIDE-003.

Umsetzungswege

Welcher Weg für wen

• KMU: Weg A - KYC ist ein Standardprozess mit starker Regulierung, und ausgereifte, in der EU gehostete Anbieter verkaufen ihn pro Prüfung zu KMU-Preisen; ein Eigenbau erhöht das Prüfrisiko.
• Großunternehmen: Weg A - Identitätsprüfung und Abgleich sind Standardfunktionen mit zertifizierten Anbietern; bauen Sie nur die Orchestrierung darum herum (Weg B), wenn Sie besondere Onboarding-Abläufe haben.
• Entwickler: Weg B - Prüf- und Abgleichs-APIs der Anbieter einbinden, dazu eine Orchestrierung auf Basis von Cloud-Modellen und ein Agent für die Fallakte.

Weg A — Kaufen (für die meisten Verpflichteten empfohlen)

• Identitätsprüfung & Orchestrierung: Onfido (Entrust), Veriff (EU), IDnow (DE), Signicat (NO), Sumsub, Jumio, Persona, Fourthline (NL), WebID (DE), Idenfy (LT).
• KYB-/KYC-Lebenszyklus & KI-Agenten: Moody's (Orbis/Maxsight), LSEG World-Check und Dow Jones Risk & Compliance (Abgleichsdaten), Fenergo, Quantexa (UBO/Entity Resolution), Napier AI, Hawk, ComplyAdvantage, Lexis Nexis Risk, Encompass, Parcel, Alloy, Workfusion und auf Pega/Appian basierende Onboarding-Suiten.
• A wählen, wenn: Sie reguliert sind, nur ein kleines internes ML-Team haben und von der Aufsicht akzeptierte Anbieter mit Prüfnachweisen brauchen. Prüfen Sie Datenhaltung in der EU, Zertifizierung der Ausweislösung, Erklärbarkeit der Entscheidungen zu Treffern und Ausstiegsmöglichkeiten (das Institut bleibt bei Auslagerung verantwortlich; siehe EBA-Leitlinien [3]).

Weg B — Auf Cloud-KI-Diensten aufbauen

• Modelle: führende Sprachmodelle mit Verarbeitung in der EU (Claude über AWS Bedrock oder Google Vertex in EU-Regionen, Azure OpenAI EU Data Zones, Gemini auf Vertex EU) oder EU-Anbieter (Mistral). Strukturierte Ausgaben für die Extraktion.
• Dokumente: Azure Document Intelligence ID-Modell, Google Document AI Identitätsprozessoren, AWS Textract AnalyzeID, Mistral OCR.
• Werkzeuge über MCP oder Function Calling: Register-APIs (z. B. OpenCorporates, auf dem Handelsregister basierende Anbieter, nationale Transparenzregister), API des Abgleichsanbieters, Fallmanagement.
• Orchestrierung: LangGraph, Temporal oder Camunda für dauerhaften Zustand und Freigaben; n8n für leichtere Abläufe.
• B wählen, wenn: Sie ein Plattformteam haben und einen besonderen Prozess oder Altbestand, zu dem Anbieter nicht passen.

Weg C — Selbst betreiben (Open Source)

• Modelle: Reasoning-/Instruktionsmodelle mit offenen Gewichten (Qwen3, Llama, Mistral, Klasse gpt-oss) über vLLM; Docling, PaddleOCR oder olmOCR für Dokumente; Qwen-VL zum visuellen Lesen von Dokumenten.

• Stack: Neo4j oder Memgraph für Eigentümergraphen, OpenSanctions / yente (offene Sanktions- und PEP-Daten samt Abgleichs-API, kommerzielle Lizenz für die geschäftliche Nutzung) [4], OpenSearch, Temporal/Camunda, Langfuse fürs Tracing.

• Hardware: HW3 für ein Modell mit 30-120 Mrd. Parametern, das Analysten bedient; HW2 genügt für reine Extraktions-Pipelines.

Weg D — Eigenes Training

Lohnt sich für Modelle zur Entity Resolution und zum Namensabgleich, Klassifikatoren für Dokumentenbetrug oder Modelle zur Sichtung von Treffern, trainiert auf den eigenen historischen Entscheidungen des Instituts zu Treffern (Tausende gelabelte Fälle). Ein generisches Feintuning von Sprachmodellen ist selten nötig.

Stand der Technik (2026)

• Agentisches KYC geht bei großen Banken und Anbietern vom Pilot in den Produktivbetrieb: Agenten, die Registerdaten abrufen, UBO-Graphen aufbauen und die Akte entwerfen; Produkteinführungen der Anbieter 2025-2026 positionieren sie als „digitale Analysten“. Die Belege sind überwiegend Fallstudien der Anbieter; unabhängige Benchmarks sind selten.

• Die Identitätsschicht verändert sich: Die EBA-Leitlinien zum Remote-Onboarding (anwendbar seit 2. Oktober 2023) setzen Erwartungen an Lebenderkennung, Dokumentenprüfung und Auslagerung [3]. Die EU-Brieftasche für die Digitale Identität (EUDI-Wallet, Verordnung (EU) 2024/1183) soll bis Ende 2026 in jedem Mitgliedstaat bereitstehen; Annahmepflichten für Banken und andere regulierte Branchen folgen etwa ein Jahr später; die nationale Bereitschaft ist uneinheitlich [5]. Nachweise aus der Wallet verlagern einen Teil des Onboardings vom Scannen von Dokumenten zur Prüfung von Berechtigungsnachweisen.

• Grenzen und Fehlerbilder: halluzinierte Registerangaben, falsche Zuordnungen bei häufigen Namen, übersehene Eigentümerschaft durch Kontrolle auf andere Weise, stilles Überspringen von Schritten, zu großes Vertrauen in Zusammenfassungen von Negativmedien und uneinheitliche Begründungen der Risikoeinstufung. Gegenmaßnahmen: Aussagen mit Quellenangabe, deterministischer Abgleich, Evaluierungsdatensätze aus historischen Akten und verpflichtende menschliche Freigabe.

Gemeinsame Bausteine & Kombinationen

• Gleicher Stack: DOC-004 (Extraktion aus Ausweisdokumenten), ANOM-014 (Fälschung und Lebenderkennung), ANOM-016 (Sanktions-/PEP- Abgleich mit Entscheidung über Treffer), ANOM-017 (Manipulation von Dokumenten), DOC-022 (Dokumente der Handelsfinanzierung).
• Nachgelagert: AGENT-028 (Kreditvorlage), PRED-009 (Kreditscoring, eigene Hochrisiko-Bewertung), AGENT-011 (CRM-Pflege und Aktualisierung bei Perpetual KYC).

Aufwand, Kosten & Kennzahlen

• Weg A: 3-9 Monate für die Integration in Kernbankensystem und Fallmanagement sowie die Abbildung der Richtlinien; Lizenz pro Prüfung/Check oder pro Rechtsträger.

• Weg B: 6-12 Monate inkl. Modellrisikomanagement, Evaluierung und Dialog mit der Aufsicht.

• Kennzahlen: Zeit bis zum Abschluss des Onboardings (Median/P90), Quote vollautomatischer Bearbeitung bei Fällen mit niedrigem Risiko, Abbruchquote beim Onboarding, Analystenminuten je Akte, Anteil der Fehlalarme bei Treffern, Fehlerquote der Qualitätssicherung im Vergleich zur menschlichen Ausgangslage, Nacharbeit nach Prüfung durch Aufsicht oder interne Revision, Anteil der Akten mit vollständigen Quellenangaben.

Menschen & Veränderung

Beziehen Sie die Geschäftsleitung und die oder den Compliance- bzw. Geldwäschebeauftragte(n) (legal-compliance) als Eigner der Risikorichtlinie ein, dazu die Abteilungsleitung Onboarding und die Analysten, die Akten prüfen, die IT für CRM- und Kernintegration und die oder den Datenschutzbeauftragte(n) (Ausweisdaten, möglicherweise Biometrie; DSFA wahrscheinlich, AVV mit jedem Prüfanbieter). Informieren Sie Kunden transparent über automatisierte Prüfungen und darüber, wie sie einen Menschen erreichen.

Betriebsrat: in der Praxis ja. Fallmanagement, das Entscheidungen und Bearbeitungszeiten von Analysten erfasst, ist objektiv zur Überwachung geeignet (§ 87 Abs. 1 Nr. 6 BetrVG, BAG-Rechtsprechung); § 90 Abs. 1 Nr. 3 verlangt frühzeitige Unterrichtung über KI in Arbeitsverfahren und § 80 Abs. 3 erlaubt einen Sachverständigen. Öffentliche Stellen beteiligen den Personalrat.

Ergreifen Sie Maßnahmen zur Förderung der KI-Kompetenz (KI-Verordnung Art. 4): Analysten müssen wissen, was der Agent prüft, welche Muster bei Fehlalarmen und übersehenen Treffern auftreten und dass eine negative Entscheidung nie allein auf dem Agenten beruht. Führen Sie einen Parallelpilot mit einem kleinen Team durch (Vorschlag des Agenten gegen Entscheidung der Analysten) und messen Sie die Übereinstimmung vor dem Start. Kommunizieren Sie, dass der Agent das Nachfassen von Unterlagen abnimmt, nicht die Verantwortung; die Analysten geben Hochrisiko-Akten, PEP-Treffer und Ablehnungen frei. Typische Sorgen - aufsichtsrechtliche Risiken und Prüfpfad - begegnen Sie mit vollständiger Protokollierung und Stichproben der Aufsicht. Leitfäden: GUIDE-005, GUIDE-010, GUIDE-014.

Risiken, Regulierung & Compliance

• KI-Verordnung (AI Act): Die Einstufung hängt vom Umfang ab. KI zur Betrugserkennung, die Finanzbetrug aufdeckt, ist von der Kategorie Kreditwürdigkeit in Anhang III ausgenommen, und reine Dokumentenverarbeitung oder Abgleichsunterstützung gilt meist als minimales oder begrenztes Risiko (Chatbots: Art. 50). Systeme, die die Kreditwürdigkeit natürlicher Personen bewerten oder deren Kredit-Score ermitteln, sind Hochrisiko (Anhang III Nr. 5 Buchst. b); ein KYC-Agent, der eine Entscheidung zur Kontoeröffnung mit Kreditbezug speist, kann diese Grenze überschreiten. Biometrische Fernidentifizierungssysteme sind in Anhang III als Hochrisiko aufgeführt; biometrische Verifizierung (1:1, Bestätigung einer behaupteten Identität) ist von dieser Kategorie ausgenommen. Verbote nach Art. 5: kein Social Scoring, keine biometrische Kategorisierung zum Rückschluss auf sensible Merkmale und kein ungezieltes Auslesen von Gesichtsbildern; halten Sie all das aus dem Onboarding-Entwurf heraus [6].
• Geldwäscherecht: Geldwäscherichtlinie (derzeit), Geldwäscheverordnung 2024/1624 ab 10. Juli 2027, technische Standards der AMLA; die endgültige Verantwortung bleibt beim Verpflichteten, auch bei ausgelagerten oder KI-gestützten Schritten [1][2][3].

• DSGVO: Biometrische Daten zur eindeutigen Identifizierung sind besondere Kategorien personenbezogener Daten (Art. 9); nötig sind eine Rechtsgrundlage (oft nationales Geldwäscherecht oder ausdrückliche Einwilligung), DSFA, Datenminimierung und Aufbewahrungsgrenzen. Art. 22 begrenzt ausschließlich automatisierte Entscheidungen mit rechtlicher Wirkung: Sorgen Sie bei Ablehnungen für eine sinnvolle menschliche Prüfung. Die Übermittlung von Dokumenten an Modell-Endpunkte außerhalb der EU braucht einen gültigen Mechanismus; bevorzugen Sie EU-Regionen.

• Gegenmaßnahmen: an Richtlinien gebundener Zustandsautomat, Quellenangabe, unveränderlicher Prüfpfad, Stichproben zur Qualitätssicherung, Modell- validierung, Notausschalter, manueller Ausweichweg für Kunden, die das digitale Onboarding nicht nutzen können.

Erste Schritte

1. Bilden Sie den aktuellen Onboarding-Prozess nach Segment und Risikostufe ab; messen Sie Durchlaufzeit, Abbruchquote und Analystenaufwand.
2. Legen Sie fest, welche Schritte deterministisch sind, welche der Agent unterstützt und welche eine verpflichtende menschliche Freigabe brauchen.
3. Starten Sie einen Pilot zur Dokumentenprüfung bei KYB und zum Entwurf der wirtschaftlich Berechtigten für Akten mit niedrigem und mittlerem Risiko, im Schattenmodus neben den Analysten.
4. Bauen Sie einen Evaluierungsdatensatz aus 200-500 historischen Akten auf; messen Sie Extraktionsgenauigkeit, Richtigkeit der Quellenangaben und Abweichungen von den Analysten, bevor Sie irgendetwas automatisieren.
5. Führen Sie DSFA, Einstufung nach KI-Verordnung und Modellrisikoprüfung durch; informieren Sie die Aufsicht frühzeitig.

Quellen

1. Regulation (EU) 2024/1624 (AML Regulation) - https://eur-lex.europa.eu/eli/reg/2024/1624/oj
2. AMLA - draft RTS and guidelines on customer due diligence (consultations, 2026) - https://www.amla.europa.eu
3. EBA - Guidelines on the use of remote customer onboarding solutions (EBA/GL/2022/15) - https://www.eba.europa.eu/legacy/regulation-and-policy/regulatory-activities/anti-money-laundering-and-countering-financing-4
4. OpenSanctions / yente - https://www.opensanctions.org/docs/yente/
5. Regulation (EU) 2024/1183 (European Digital Identity Framework) - https://eur-lex.europa.eu/eli/reg/2024/1183/oj
6. Regulation (EU) 2024/1689 (AI Act) - https://eur-lex.europa.eu/eli/reg/2024/1689/oj
7. Kennedys Law - The European Digital Identity Framework and the EU Digital Identity Wallet (2026) - https://kennedyslaw.com/en/thought-leadership/article/2026/the-european-digital-identity-framework-introducing-the-new-eu-digital-identity-wallet/