Der Gründer-Guide zu KYC AML Compliance im Fintech-MVP

Frag einen Fintech-Gründer, was ihn vor dem Launch wachhält, und KYC AML Compliance fällt fast so oft wie die Runway. Das ist keine Paranoia: Eine Payment-App, ein Lending-Produkt oder eine Neobank, die echtes Geld bewegt, muss einem Bankpartner, einem Kartennetzwerk oder einer Aufsichtsbehörde beweisen, dass sie ihre Kunden kennt und erkennt, wenn Geld dorthin fließt, wo es nicht hingehört. Der beruhigende Teil: Was ein Fintech-MVP in dieser Phase braucht, ist enger gefasst, als die meisten Gründer annehmen. Du brauchst keine eigene Compliance-Abteilung, nur ein klares Bild davon, was KYC und AML verlangen, was dein Bankpartner erwartet und wo du kaufst, statt selbst zu bauen. Dieser Guide behandelt beides, plus die Stellen, an denen KI beim Thema Fraud wirklich hilft. Für die Kartendaten-Seite lies unsere PCI DSS Checkliste für Startups.

KYC steht für Know Your Customer: die Prüfung, dass eine Person oder ein Unternehmen wirklich ist, wer sie zu sein behaupten, bevor du sie ein Konto eröffnen oder Geld bewegen lässt. In der Praxis heißt das: einen amtlichen Ausweis einsammeln, ihn gegen die eingegebenen Daten prüfen und oft ein Selfie oder einen Liveness-Check fahren, um zu bestätigen, dass ein echter Mensch den Antrag gestellt hat und kein Foto oder Bot. AML steht für Anti-Money Laundering, das größere Programm, in dem KYC steckt. Wo KYC die Frage beantwortet, ob diese Person echt ist, stellt AML eine dauerhafte Frage: Sieht die Aktivität dieses Kontos weiterhin legitim aus? Dazu gehören Sanktions- und PEP-Screening beim Onboarding, kontinuierliches Transaction Monitoring danach und das Einreichen einer Meldung (in den USA ein Suspicious Activity Report, SAR; in vielen anderen Ländern ein STR), wenn etwas nicht zusammenpasst. KYC passiert überwiegend am Anfang und danach periodisch. AML läuft kontinuierlich, so lange das Konto existiert.

Compliance prägt Entscheidungen, die du in Woche eins triffst: wie das Onboarding aufgebaut ist, welche Daten du speichern darfst, welche Länder du bedienen kannst und welcher Bankpartner deinen Anruf überhaupt annimmt. Die meisten frühen Fintechs halten keine eigene Money-Transmitter- oder Banklizenz. Sie arbeiten über einen Banking-as-a-Service-Partner (BaaS) oder eine Sponsor-Bank, und dieser Partner setzt die Untergrenze für dein KYC-AML-Programm, oft strenger, als du allein wählen würdest. Eine Sponsor-Bank, die ihre Charter schützt, verlangt typischerweise eine bestimmte Verifizierungsstufe und Audit-Rechte über deinen Prozess, bevor sie auch nur einen Dollar über ihre Rails laufen lässt. Das ist ein Grund, warum Timelines in der Fintech-Softwareentwicklung länger laufen als bei einem Standard-MVP: Der Review-Zyklus der Partnerbank ist meist der langsamste Teil.

Die meisten Fintechs launchen mit gestuftem KYC: eine leichtere Prüfung für Konten mit niedrigen Limits, vollständige Verifizierung, sobald ein Kunde größere Beträge bewegen will. Niemand erwartet von einem Erstgründer den schwersten denkbaren Verifizierungs-Flow, und ihn zu bauen bremst meist nur dein eigenes Onboarding. Ein typischer Ablauf: Der Kunde reicht einen amtlichen Ausweis und ein Selfie ein, ein automatisierter Dienst prüft das Dokument auf Manipulation, matcht das Selfie mit dem Foto und screent den Namen gegen Sanktions- und PEP-Listen. Wenn alles sauber zusammenpasst, ist das oft in Minuten erledigt. Wenn es das nicht tut, wandert der Fall in die manuelle Prüfung, die Stunden bis ein paar Werktage dauert, länger bei risikoreicheren Antragstellern oder unklaren Dokumenten. Bau das auf der API eines Anbieters auf statt auf einem eigenen Modell; Dokumentenabdeckung und False-Positive-Raten brauchen Jahre Feintuning. Krypto-Börsen sitzen am strengen Ende dieses Spektrums; unser Guide zum Bau einer Krypto-Börsen-App wie Coinbase behandelt diese Variante, während eine normale Lending-App oder Neobank meist mit einer leichteren Stufe auskommt.

AML-Compliance ist das Programm um alles, was nach dem Onboarding passiert: Transaktionen auf Muster beobachten, die zu legitimer Nutzung nicht passen, Namen laufend gegen Sanktionslisten screenen statt einmal beim Signup, und Aufzeichnungen führen, die standhalten, wenn eine Behörde sie sehen will. Das meiste Monitoring beginnt mit Regeln: große Transaktionen markieren, schnelle Geldbewegungen markieren, Überweisungen knapp unter einer Meldeschwelle markieren, ein Muster namens Structuring, weil Leute Meldepflichten umgehen, indem sie eine große Überweisung in mehrere kleinere zerlegen. In den USA liegt diese Schwelle nach dem Bank Secrecy Act bei 10.000 Dollar; andere Jurisdiktionen setzen eigene, also prüf, was dort gilt, wo du lizenziert bist. Eine ausgelöste Regel schiebt den Fall in eine Queue für einen Menschen, oft deinen Compliance Officer oder das Team deines BaaS-Partners, der beurteilt, ob eine formale Meldung nötig ist. Die meisten Flags stellen sich als harmlos heraus; der Job des Programms ist, die wenigen zu erwischen, die es nicht sind.

AML-Monitoring und Fraud Prevention überlappen sich genug, dass Gründer sie für dasselbe System halten. Sie sind verwandt und beantworten trotzdem verschiedene Fragen. AML fragt, ob Geldbewegungen nach Geldwäsche aussehen. Fraud Prevention fragt, ob die Transaktion selbst legitim ist: eine gestohlene Karte, ein gekaperter Login, eine synthetische Identität oder ein Bot, der Kartennummern in Cent-Schritten durchprobiert. Eine Fraud-Engine schichtet typischerweise Signale: Device Fingerprinting, Geolocation-Checks, Verhaltensmuster und Velocity-Checks darauf, wie oft eine Karte in kurzer Zeit Transaktionen versucht. Keines davon beweist allein Betrug; zusammen ergeben sie einen Risiko-Score, der bestimmt, ob eine Transaktion durchgeht, eine Step-up-Challenge bekommt oder blockiert wird. Manche KYC-AML-Anbieter bündeln Fraud-Scoring mit; andere erwarten einen separaten Vendor. So oder so: Plane beides von Anfang an ein, bevor ein Card-Testing-Bot deinen Checkout findet.

Compliance-Tooling ist einer der klarsten Kauf-Fälle in einem Fintech-MVP und einer der Bereiche, in denen Selberbauen neben den Zusatzkosten echtes Risiko trägt.

Identitätsprüfung

Anbieter wie Persona, Onfido, Sumsub und Trulioo übernehmen Dokumentenprüfung, Liveness Detection und Sanktions-Screening über eine API, die du in Tagen integrierst. Sie pflegen Dokumentvorlagen für Dutzende Länder und trainieren ihre Modelle mit weit mehr Daten, als ein einzelnes Fintech je erzeugt.

Transaction Monitoring

ComplyAdvantage, Alloy und ähnliche Tools übernehmen regelbasiertes und ML-basiertes Monitoring samt Case Management. Manche BaaS-Partner verlangen ein Tool von einer freigegebenen Liste, also klär das, bevor du einen Vendor-Vertrag unterschreibst.

Wann Inhouse-Bau Sinn ergibt

Die Rechnung kippt, sobald Compliance ein echter Differenzierer ist: proprietäres Risk Scoring auf einem großen Bestandsdatensatz, oder eine Firma, deren Produkt selbst Compliance-Tooling ist. Bei einem ersten Fintech-MVP bist du selten schon an diesem Punkt.

Regelbasiertes Monitoring erwischt die Muster, für die du Regeln schreiben konntest. Machine-Learning-Modelle erwischen einen Teil der Muster, an die du nie gedacht hast, indem sie Transaktionen gegen Muster aus historischen Daten scoren statt gegen eine feste Liste. Das ist das ehrliche Verkaufsargument für KI in der Fraud Detection: Die meisten modernen Tools mischen inzwischen beide Ansätze, weil Regeln allein entweder zu viel markieren und gute Kunden frustrieren oder zu wenig markieren und neue Muster verpassen. Ein gut getuntes Modell reduziert False Positives, was mehr zählt, als es klingt; jede markierte Transaktion, die sich als legitim herausstellt, kostet einen Review-Zyklus und oft einen frustrierten Kunden, der in einer Verifizierungsschleife feststeckt. Was bei aller KI bleibt: Ein Mensch zeichnet weiterhin jede Verdachtsmeldung ab, bevor sie eingereicht wird, und eine Behörde erwartet, dass du erklären kannst, warum ein Modell einen Fall markiert hat oder eben nicht. Behandle KI-Scoring als Methode, die Queue zu priorisieren; ein vollständiges Compliance-Programm ersetzt es nicht. Die meisten KYC-AML-Anbieter bauen das inzwischen ein, du erbst es also eher, als dass du es selbst baust.

Bevor du ein Fintech-MVP live schaltest, geh diese Liste mit der Person durch, die Compliance verantwortet, auch wenn das ein Fractional Advisor oder das Team deines BaaS-Partners ist:

• Klär deinen Lizenzpfad. Sponsor-Bank-Charter, Zahlungslizenz oder eigene Money-Transmitter-Registrierung? Davon hängt fast alles Weitere hier ab.
• Wähl eine KYC-Stufenstruktur, die ein 50-Dollar-Konto anders behandelt als ein 5.000-Dollar-Konto, bevor dein Onboarding-Designer mit Wireframes beginnt.
• Wähl deine Vendors für Identitätsprüfung und Transaction Monitoring und bestätige, dass sie auf jeder freigegebenen Liste stehen, die dein Bankpartner verlangt.
• Schreib einen Eskalationsprozess auf: Wer prüft einen markierten Fall, wie schnell, und wer darf eine Meldung einreichen oder ein Konto schließen.
• Setz eine Aufbewahrungsrichtlinie. Die meisten AML-Frameworks erwarten, dass Aufzeichnungen nach Kontoschließung Jahre statt Monate aufbewahrt werden.
• Benenn eine verantwortliche Person, auch in einem kleinen Team, deren Job Compliance auf dem Papier einschließt.

Nichts davon ersetzt Rechtsberatung für deine Jurisdiktion. Betrachte es als die operative Hälfte dieses Gesprächs. Sobald die Compliance-Form deines MVPs steht, folgt der Build einem ziemlich standardisierten Pfad, beschrieben in unserem Guide wie du eine Fintech-App baust.