Customer Due Diligence: KYC-Pflichten im Überblick

Einführung: Was Sie zu Customer Due Diligence (CDD) sofort wissen müssen

Customer Due Diligence (CDD) ist die gesetzlich vorgeschriebene Prüfung von Kunden und wirtschaftlich Berechtigten im Rahmen der Anti Money Laundering Regulierung. Die Kundenprüfung hilft, Geldwäsche und Terrorismusfinanzierung zu verhindern. Sie ist der Kern jedes Know Your Customer Programms und wird durch das GwG, die EU-AMLR, die UK MLR 2017 und die FinCEN CDD Rule verbindlich gefordert.

Zwei Daten sollten Sie kennen: Die FinCEN Customer Due Diligence Rule ist in den USA seit dem 11. Mai 2018 anzuwenden. Ab dem 10. Juli 2027 wird die EU-Geldwäscheverordnung (AMLR, Verordnung (EU) 2024/1624) in der EU unmittelbar für verpflichtete Unternehmen gelten.

CDD umfasst in der Praxis fünf Kernaktivitäten:

• Identifizierung des Kunden (natürliche und juristische Personen)

• Verifizierung der Identität aus unabhängigen, zuverlässigen Quellen

• Ermittlung und Verifizierung der wirtschaftlich Berechtigten (UBOs)

• Verständnis von Art und Zweck der Geschäftsbeziehung

• Ongoing Monitoring, also die laufende Überwachung über den gesamten Kundenlebenszyklus

Für PE/VC-Teams, Corporate-M&A-Analysten, Berater und Fintech-Gründer gilt: Ohne saubere CDD-Prozesse drohen Bußgelder, Deal-Risiken und Reputationsschäden. Dieser Guide liefert Ihnen den Überblick über die Pflichten, den Prozess und die praktische Umsetzung.

Begriffsklärung: Customer Due Diligence, KYC und Client Due Diligence

Due Diligence bedeutet allgemein „angemessene Sorgfalt“. Im AML-Zusammenhang steht Customer Due Diligence CDD für die gebotene Sorgfaltspflicht bei der Prüfung von Kunden und Geschäftspartnern, um Risiken wie Geldwäsche, Terrorismusfinanzierung und Betrug zu minimieren.

Die Begriffe „customer due“, „customer due diligence“, „client due diligence“ und „CDD“ beschreiben in der Praxis dieselben Anforderungen. Die Terminologie variiert je nach Jurisdiktion und Sprache der jeweiligen Regulierung, der Inhalt bleibt identisch. In den UK MLR 2017 lesen Sie „customer due diligence“, in der FATF-Terminologie ebenfalls, im deutschen GwG ist von „Sorgfaltspflichten“ die Rede.

Der Unterschied zwischen CDD und KYC: CDD ist der regulatorische Rahmen, die gesetzliche Mindestanforderung. KYC ist die operative Umsetzung, also der konkrete Onboarding-Prozess, die Identitätsprüfung, das Screening und das Monitoring. KYC ist ein zentrales Element der Compliance in regulierten Branchen und keine eigenständige, separate Pflicht.

Der gelegentlich verwendete Begriff „KYC Due Diligence“ fasst Identitätsprüfung, Risikobewertung und Analysen zusammen. Er ist kein eigener Rechtsstandard, sondern eine Kurzform für die kombinierten operativen Aktivitäten der CDD. Wie diese Prozesse konkret aussehen, zeigen die folgenden Abschnitte zu den Stufen der CDD und zum CDD-Prozess.

Rechtsrahmen: GwG, EU-AMLR, MLR 2017 und FinCEN CDD Rule

Customer Due Diligence ist nicht freiwillig. Nationale Gesetze und internationale Standards schreiben sie verbindlich vor. Die CDD-Anforderungen variieren stark zwischen Ländern und Märkten, folgen aber denselben Grundprinzipien. Die Einhaltung gesetzlicher Vorgaben ist eine Hauptverpflichtung für Unternehmen bei KYC.

• Deutschland / EU: Das Geldwäschegesetz (GwG) setzt die EU-Geldwäscherichtlinien in nationales Recht um. Die kommende EU-AMLR (Verordnung (EU) 2024/1624) gilt ab dem 10. Juli 2027 unmittelbar für Finanzinstitute und andere verpflichtete Unternehmen in allen Mitgliedstaaten. Die regulatorischen technischen Standards der neuen europäischen AML-Behörde (AMLA) waren bis zum 10. Juli 2026 vorzulegen.

• UK: Die Money Laundering Regulations 2017 (MLR 2017) definieren die CDD-Pflichten. Regulation 28 legt die vier Kernanforderungen fest, Regulation 33 regelt Enhanced Due Diligence, Regulation 37 das vereinfachte Verfahren. Die MLR 2017 gelten für elf Kategorien verpflichteter Personen, darunter Banken, Finanzinstitute und Rechtsanwälte.

• USA: Die FinCEN Customer Due Diligence Final Rule ist seit dem 11. Mai 2018 anzuwenden. Sie verpflichtet Institute wie Banken und Futures Commission Merchants, die Identität von Kunden und deren wirtschaftlich Berechtigten zu identifizieren und zu verifizieren.

• Internationaler Rahmen: Die Financial Action Task Force (FATF) Empfehlung 10 setzt den globalen Standard für Customer Due Diligence Requirements. Sie erfordert CDD unter anderem bei gelegentlichen Transaktionen oberhalb der Schwelle von 15.000 USD/EUR. Der Standard verlangt Identifikation, Verifizierung, UBO-Ermittlung und laufende Überwachung.

Die 4 zentralen Customer Due Diligence Anforderungen

UK MLR 2017, die US FinCEN CDD Rule und FATF Recommendation 10 definieren im Kern dieselben vier CDD-Anforderungen. Die Kundenprüfung erfordert die Identifizierung und Verifizierung von Kunden in jedem dieser Regelwerke.

• Kunden identifizieren: Bei natürlichen Personen bedeutet das Name, Geburtsdatum und Anschrift. Bei juristischen Personen: Firmenname, Company Number bzw. Handelsregisternummer, Gründungsland, Geschäftsführung und eingetragener Sitz. Die Datenerhebung muss vollständig und nachvollziehbar sein.

• Identität verifizieren: Die Identität des Kunden wird anhand zuverlässiger, unabhängiger Quellen geprüft. Das sind Ausweisdokumente, Reisepässe, Handelsregisterauszüge, geprüfte Jahresabschlüsse oder elektronische Identitätsdienste. Automatisierte Verfahren werden häufig zur Kundenüberprüfung eingesetzt, etwa eIDAS-konforme digitale Checks in der EU.

• Wirtschaftlich Berechtigte identifizieren und verifizieren: Die FinCEN CDD Rule verlangt die Identifizierung von Eigentümern mit 25 % oder mehr der Anteile sowie von Personen mit Kontrollbefugnissen (Ultimate Beneficial Owners). Das gilt über alle Schichten der Eigentümerstruktur hinweg. Die Dokumentationspflicht ist streng.

• Zweck und Art der Geschäftsbeziehung verstehen: Zweck und Art der Geschäftsbeziehung werden dokumentiert. Bei erhöhtem Risiko kommt die Prüfung der Herkunft der Mittel und des Vermögens hinzu. Ongoing Monitoring ist entscheidend zur Risikobewertung von Kunden, nicht nur beim Onboarding.

Diese vier Pflichten gelten über den gesamten Kundenlebenszyklus, nicht nur bei Kontoeröffnung oder Vertragsschluss.

Die drei Stufen der Customer Due Diligence: SDD, Standard und Enhanced Due Diligence

Die CDD Rule und das GwG verlangen einen risikobasierten Ansatz (Risk Based Approach). Die CDD-Anforderungen variieren je nach Risikoprofil des Kunden. Daraus ergeben sich drei Prüf-Tiefen.

• Simplified Due Diligence (SDD): Zulässig bei Kunden mit nachweislich geringem Risiko, etwa regulierte Finanzinstitute, börsennotierte Unternehmen, öffentliche Stellen oder Transaktionen mit niedrigem Volumen. Die Verifizierungstiefe sinkt, aber Identifikation, grundlegende CDD-Prüfungen und Monitoring bleiben bestehen. SDD ist kein Freifahrtschein.

• Standard CDD: Das ist die Standardstufe für alle Geschäftsbeziehungen. Alle vier Kernanforderungen werden vollständig erfüllt. Standard CDD ist die Basis für die Mehrheit der Kunden, ohne zusätzliche EDD-Maßnahmen.

• Enhanced Due Diligence (EDD): Enhanced CDD wird für Kunden mit höherem Risiko angewendet. Auslöser sind politisch exponierte Personen (PEPs), Kunden aus Hochrisikoländern oder auf Sanktionslisten, komplexe Offshore-Strukturen oder ungewöhnlich große Transaktionen. Konkrete EDD-Elemente umfassen: erweiterte Anforderungen zur Mittelherkunft (Source of Funds und Vermögen), häufigere Überprüfungen, Freigabe durch das Senior Management, vertieftes Screening gegen adverse Media, OSINT-Recherchen und detailliertere UBO-Analysen.

Der Customer Due Diligence Prozess: Schritt-für-Schritt

Der Customer-Due-Diligence-Prozess besteht aus klar definierbaren Schritten, die sich als Workflow dokumentieren lassen. Kundenprüfung ist ein fortlaufender Prozess, nicht einmalig.

1. Initiale Risikoklassifizierung: Vor der Kundenaufnahme bewerten Sie Kundentyp, Geografie, Branche und Produkttyp. Die Risikobewertung bildet die Grundlage für alle weiteren Schritte.

2. Kundenidentifizierung: Erfassung der relevanten Kundeninformationen, ob natürliche oder juristische Person.

3. Identitätsprüfung: Prüfung der Identität anhand unabhängiger Quellen, etwa Ausweisdokumente, Register oder elektronische Checks.

4. Beneficial-Owner-Ermittlung: Bei juristischen Personen wird die Eigentümer- und Kontrollstruktur verfolgt, UBOs identifiziert und verifiziert.

5. Screening: Abgleich gegen Sanktionslisten, PEP-Datenbanken, Adverse-Media-Quellen und relevante Beobachtungslisten.

6. Risikoprofil und Einstufung: Auf Basis aller Ergebnisse wird entschieden, ob SDD, Standard CDD oder EDD gilt.

7. Laufende Überwachung und Aktualisierung: Ongoing Monitoring über die gesamte Geschäftsbeziehung. Ereignisbezogene Auslöser wie Eigentümerwechsel, neuer PEP-Status oder große Transaktionen lösen sofortige Neubewertungen aus.

Bei bestehenden Kunden wird der Due-Diligence-Prozess wiederholt, entweder turnusbezogen nach interner Policy oder bei Ereignis-Triggern. Dokumentation an jedem Schritt ist Pflicht, um gegenüber Aufsicht und Prüfern belegen zu können, dass alle Vorgaben erfüllt wurden. Unternehmen müssen Dokumentation und Nachweise über die Kundenüberprüfung aufbewahren.

Risikobasierter Ansatz: Kundeneinstufung und Monitoring-Tiefe

FATF und nationale Regulierer verlangen explizit einen risikobasierten Ansatz, um Ressourcen auf die größten Risiken zu konzentrieren. Die Risikobewertung klassifiziert Kunden basierend auf Herkunftsland oder Branche und weiteren Risikofaktoren.

Typische Risikofaktoren:

• Länder- und Sanktionsrisiko (z.B. FATF-Hochrisikoliste)

• Branchenrisiko (Glücksspiel, Krypto, wertintensive Güter)

• Produkt- und Kanalrisiko (Remote-Onboarding, Private Banking)

• Eigentümerstruktur (verschachtelte Holdings, Briefkastenfirmen)

• PEP-Status

• Transaktionsvolumen und -frequenz

Aus diesen Faktoren leiten Sie ein Risikoprofil ab (niedrig, mittel, hoch), das die Wahl zwischen SDD, Standard CDD und Enhanced Due Diligence steuert.

Die EU-AMLR setzt hier klare Obergrenzen: Bei Kunden mit höherem Risiko darf der Abstand zwischen zwei Aktualisierungen ein Jahr nicht überschreiten, bei allen anderen fünf Jahre. Die Überwachungstiefe richtet sich nach der Risikoklassifizierung des Kunden. Moderne Programme stellen verstärkt auf perpetual KYC und kontinuierliches Monitoring um, statt sich auf feste Zyklen zu verlassen.

CDD ist kein Einmal-Projekt: Ongoing Customer Due Diligence und pKYC

Der Customer-Due-Diligence-Prozess endet nicht mit dem Onboarding. Ongoing CDD umfasst die kontinuierliche Überwachung von Kundenaktivitäten über den gesamten Kundenlebenszyklus. Die Überwachung von Kunden ist eine laufende Pflicht während der gesamten Geschäftsbeziehung.

Ongoing Monitoring umfasst konkret:

• Transaktionsüberwachung auf verdächtige Muster

• Periodische Aktualisierung von Stammdaten und Kundeninformationen

• Erneutes Screening gegen Sanktions- und PEP-Listen

• Prüfung bei negativen Medienmeldungen

Perpetual KYC (pKYC) geht einen Schritt weiter: Statt fester Kalenderüberprüfungen nutzen Sie Datenfeeds, automatische Alerts und Re-Screenings, um relevante Risikoänderungen in Echtzeit zu erfassen. Regelmäßige Überprüfungen sind notwendig, um Risiken aktuell zu halten.

Typische Trigger für sofortige Neubewertungen: plötzliche Volumensteigerungen, Wechsel in Hochrisiko-Länder, Änderungen in der Eigentümerstruktur, neuer PEP-Status oder interne Warnhinweise. Die laufende Überwachung ist auch nach der FinCEN CDD Final Rule verpflichtend.

Dokumentation, DSGVO und Datenschutz in der Customer Due Diligence

CDD ist immer mit der Verarbeitung personenbezogener Daten verbunden. In der EU muss das DSGVO-konform erfolgen.

Typisch verarbeitete Daten: Personenstammdaten, Ausweiskopien, UBO-Informationen, Sanktions- und PEP-Treffer, interne Risikobewertungen. Die Rechtsgrundlage ist in der Regel die gesetzliche Pflicht nach Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem Geldwäschegesetz.

Gegenüber Kunden bestehen Informationspflichten: Zweck der Verarbeitung, Rechtsgrundlage, Speicherdauer und Weitergabe an Dritte (z.B. Screening-Anbieter) müssen transparent gemacht werden. Transparenz ist hier kein optionales Feature, sondern eine Pflicht.

Die Aufbewahrungsfristen richten sich nach den AML-Gesetzen: In den meisten EU- und UK-Rechtsordnungen müssen Unterlagen fünf Jahre nach Ende der Geschäftsbeziehung aufbewahrt werden. Danach folgt die datenschutzkonforme Löschung oder Anonymisierung.

Praktische Empfehlung: Bauen Sie Ihre CDD-Dokumentation so auf, dass sie Audit-Anforderungen und Datenschutzanforderungen gleichzeitig erfüllt. Klare Rollen- und Berechtigungskonzepte, sichere Speicherung und Nachverfolgbarkeit sind entscheidend.

Typische CDD-Fehler und deren Folgen für Finanzinstitute und Unternehmen

Aufsichtsbehörden finden in ihren Berichten immer wieder dieselben Schwachstellen in CDD-Programmen. Die Kundenüberprüfung schützt Unternehmen vor Betrug und illegalen Aktivitäten, aber nur, wenn sie korrekt umgesetzt wird.

Häufige Fehler:

• Identifikation ohne echte Verifizierung (nur oberflächliche Prüfung)

• Verlass auf ungeprüfte Kundenangaben bei UBOs

• Adverse-Media-Screening nur in einer Sprache, etwa Englisch

• Unklare Risikoklassifizierung oder falsche Anwendung von SDD statt EDD

• Fehlende oder verspätete laufende Überwachung

• Schwache Kontrolle über ausgelagerte Screening-Prozesse

Die Konsequenzen sind erheblich: Im Jahr 2023 erreichten die weltweit gegen Finanzinstitute verhängten Strafen wegen Verstößen gegen AML-, KYC-, Sanktions- und CDD-Vorgaben rund 6,6 Milliarden US-Dollar — davon allein 4,3 Milliarden aus einer einzigen Strafe gegen die Kryptobörse Binance. Dazu kommen regulatorische Auflagen, erhöhte Aufsicht, Reputationsverlust und im Extremfall Lizenzentzug.

Für M&A- und Investment-Teams gilt: Mangelhafte Client Due Diligence führt zu Fehleinschätzungen von Zielunternehmen und Nachhaftungsrisiken. Wenn Ihre Pre-Investment-Prüfung CDD-Defizite beim Target nicht aufdeckt, haften Sie unter Umständen nach dem Closing.

Customer Due Diligence außerhalb klassischer Banken: PE/VC, Corporates, Fintechs

Customer-Due-Diligence-Pflichten gelten nicht nur für Banken. Die Kundenüberprüfung ist in vielen Branchen gesetzlich vorgeschrieben: Versicherer, Rechtsanwälte, Immobilienmakler, Kunst- und Edelmetallhändler, Fintechs und zunehmend auch PE- und VC-Fonds mit regulierten Strukturen.

• PE/VC: In der Pre-Investment-Phase nutzen Deal-Teams CDD und Enhanced Due Diligence, um Risiken bei Portfolio-Unternehmen, deren Kunden und Lieferanten zu verstehen. Das umfasst Beneficial-Owner-Analysen, Sanktionsprüfungen und adverse Media Screening. Experteninterviews können dabei Muster aufdecken, die reine Dokumentenprüfungen nicht zeigen.

• Corporates / M&A: KYC-ähnliche Due Diligence Prozesse bei Lieferanten, Distributoren und Joint-Venture-Partnern sind Standard, um Sanktions-, Korruptions- und Geldwäscherisiken zu adressieren. Geschäftspartner in mehreren Jurisdiktionen erfordern eine an lokale Vorgaben angepasste Prüfung.

• Fintechs: Remote-Onboarding ist der Normalfall. Sie müssen eKYC-Tools, risikoabhängige Schwellenwerte und CDD-Regeln aus GwG, MLR 2017 oder FinCEN in digitale Workflows übersetzen.

Auch nicht-regulierte Unternehmen implementieren zunehmend bankenähnliche CDD-Standards.

Wie FieldSignal CDD- und EDD-Arbeit mit Experteneinsichten ergänzt

CDD-Prüfungen liefern Daten und Signale. Aber oft fehlt der Kontext, um Risiken realistisch zu bewerten. Hier setzt FieldSignal mit qualitativen Experteninterviews an.

• Typische Einsatzfelder: Vor einer Geschäftsbeziehung mit einem Hochrisikokunden oder beim Erwerb eines regulierten Zielunternehmens lassen sich über ehemalige Mitarbeiter, Kunden oder Lieferanten Verhaltensmuster und Compliance-Kultur prüfen. So erfahren Sie, ob die Person hinter dem Risikoprofil tatsächlich ein Problem darstellt.

• Arbeitsweise: FieldSignal identifiziert als Boutique-Expert-Network gezielt Insider wie Ex-Compliance-Officer, ehemalige Relationship Manager oder Branchenregulatoren (wo zulässig) und vermittelt sie für strukturierte Interviews oder Panels.

• Compliance: FieldSignal arbeitet mit Schulung der Experten, Konfliktprüfungen und klaren Do/Don't-Guidelines. Es werden keine Geschäftsgeheimnisse oder Insiderinformationen abgefragt.

• Pricing: Pay-per-use, ohne Jahresretainer, ohne Mindestvolumen, ohne Aufschlag auf Expertenhonorare.

• Praktischer Nutzen für CDD/EDD: Interview-Transkripte ergänzen die Dokumenten-CDD um Hinweise auf inoffizielle Eigentümer, problematische Vertriebspartner, schwache AML-Prozesse oder die real gelebte Know Your Customer Praxis beim Zielunternehmen.

Praktische Checkliste: Customer Due Diligence für Ihr nächstes Projekt

Dieser Abschnitt dient als pragmatischer Guide für Transaktionen, neue Kundenbeziehungen oder Fintech-Produktstarts.

Kernpunkte für Ihre CDD-Checkliste:

1. Klare CDD-Policy und Risikomatrix mit definierten Stufen für niedrig, mittel und hoch

2. Definierte Datenfelder für KYC/KYB (Name, Geburtsdatum, Anschrift, Company Number, Handelsregister)

3. Geprüfte Datenquellen zur Verifizierung (Ausweise, Register, elektronische ID)

4. Strukturierter UBO-Prozess mit einem Schwellenwert von 25 % für die Identifizierungspflicht

5. Sanktions-, PEP- und Adverse-Media-Screening mit dokumentierten Ergebnissen

6. Definierte Monitoring-Zyklen nach Risikoklasse

7. Dokumentations- und Aufbewahrungsregeln (z.B. 5 Jahre nach Ende der Geschäftsbeziehung)

Bei Hochrisikolagen kommen EDD-Zusatzpunkte hinzu: Prüfung der Mittelherkunft, Management-Freigaben, vertiefte OSINT-Recherchen und häufigere Überprüfungen.

An folgenden Stellen sind externe Partner sinnvoll: OSINT-Recherchen bei komplexen Eigentümerstrukturen, Sanktions-Screening über spezialisierte Anbieter und Experteninterviews zur Validierung Ihrer CDD-Ergebnisse. Gerade bei komplexen Aktivitäten und undurchsichtigen Strukturen reichen reine Datenbankabfragen nicht aus.

Nächster Schritt: Sehen Sie, ob FieldSignal Ihre CDD- und EDD-Fragen beantwortet

Regulatorisch saubere CDD-Prozesse sind Pflicht. Qualitative Einsichten machen den Unterschied bei der Risikobewertung und der Deal-Entscheidung.

Wenn Sie vor einer Investition, einem Zukauf oder einer neuen Geschäftsbeziehung stehen und über klassische CDD hinaus Kontext brauchen, planen Sie ein schlankes Expertenprojekt.

Prüfen Sie, ob FieldSignal zu Ihrem Projekt passt: Gespräch anfragen