KYC/AML-Software (Know Your Customer / Anti-Money Laundering) ist das System, mit dem ein Finanzdienstleister seine Kunden aus der Ferne oder persönlich identifiziert, den wirtschaftlich Berechtigten ermittelt, das Kundenrisiko bewertet, gegen Sanktions- und PEP-Listen prüft, Transaktionen laufend überwacht und verdächtige Sachverhalte in einem revisionssicheren Fallmanagement an den Geldwäschebeauftragten übergibt. 360 Soft Marketing Yazılım ve Danışmanlık aus Istanbul integriert diese Funktionen in Ihr bestehendes Kernbanken-, Zahlungs-, Wallet- oder Börsensystem oder entwickelt sie bei Bedarf neu. Auf dieser Seite erfahren Sie, wer verpflichtet ist, was die Regulierung von der Software erwartet, welche Module üblich sind, wie Architektur und Einführung aussehen, welche Faktoren den Aufwand bestimmen und welche Fragen Sie einem Anbieter stellen sollten.
Warum KYC/AML-Software? Der Kern des Problems
Für ein Finanzinstitut bedeutet Compliance den Fortbestand der Lizenz. Sobald der Kundenbestand einige hundert Datensätze übersteigt, werden Excel-Tabellen, E-Mail-Freigaben und manuelle Listenabgleiche langsam und sind in einer Prüfung kaum noch zu verteidigen. Typische Schwachstellen sind:
- Fehlender Prüfpfad: Es lässt sich nicht belegen, welcher Kunde wann, gegen welche Liste, von wem und mit welcher Begründung geprüft wurde.
- Langsames Onboarding: Dokumentenprüfung und manuelle Kontrolle dauern Tage, digitale Interessenten brechen den Antrag ab.
- Uneinheitliche Risikobewertung: Zwei gleichartige Kunden erhalten je nach Bearbeiter unterschiedliche Risikostufen.
- Alarmmüdigkeit: Grobe Regeln erzeugen viele Fehlalarme, echte Verdachtsfälle gehen im Rauschen unter.
- Veraltete Listen: Nach Aktualisierungen von Sanktions- und Einfrierungslisten wird der Bestand nicht erneut gescreent.
- Berichtsaufwand: Verdachtsmeldungen, Innenrevision und Managementberichte werden jedes Mal von Hand zusammengestellt.
Wer ist verpflichtet? Typische Anwender
| Verpflichtete Gruppe | Typischer Compliance-Bedarf | Wichtige Module |
|---|---|---|
| Banken und Beteiligungsbanken | Transaktionsmonitoring mit hohem Volumen, Fern-Onboarding, Korrespondenzbeziehungen | Monitoring, Fernidentifizierung, Fallmanagement, Listen-Screening |
| Zahlungs- und E-Geld-Institute | Schnelles digitales Onboarding, Überwachung von Wallet- und Kartentransaktionen | e-KYC, Risikoscoring, Echtzeitkontrollen |
| Kryptowerte-Dienstleister | Risiko von Blockchain-Adressen, Transferinformationen, Kontakt zu Hochrisikoländern und -plattformen | Anbindung von Chain-Analytics, Transferkontrolle, verstärkte Sorgfaltspflichten |
| Wertpapierfirmen und Vermögensverwalter | Geeignetheit, Herkunft der Mittel, Überwachung von Marktgeschäften | Risikoscoring, wirtschaftlich Berechtigter, periodische Überprüfung |
| Versicherer, Leasing, Factoring, Finanzierung | Vertragsbezogene Kundenidentifizierung, Szenarien wie Frühstorno und Rückerstattung | Onboarding-Workflow, Listen-Screening, szenariobasiertes Monitoring |
| Edelmetallhandel, Immobilien, Glücksspiel (je nach Rechtsordnung) | Bargeldnahe Geschäfte, Schwellenwerte, Identifizierung bei Einzeltransaktionen | Schwellenwertprüfung, einfache Identifizierung, Meldewesen |
Regulatorischer Hintergrund: Was die Software unterstützen muss
Unser Team arbeitet in der Türkei, daher ist der türkische Rahmen – Gesetz Nr. 5549 zur Verhinderung der Geldwäsche, die zugehörigen Verordnungen und die Vorgaben der Finanzermittlungsbehörde MASAK – unsere tägliche Referenz. Für Institute in Deutschland, Österreich und der Schweiz gelten zusätzlich bzw. vorrangig die lokalen Regeln, etwa das Geldwäschegesetz (GwG), das österreichische FM-GwG, das Schweizer GwG mit den FINMA-Vorgaben sowie das EU-AML-Paket mit AMLR und der neuen Behörde AMLA. Die Software wird so konfiguriert, dass sie die jeweils anwendbaren Pflichten abbildet; die rechtliche Auslegung bleibt bei Ihrer Compliance-Funktion.
Kundenidentifizierung und wirtschaftlich Berechtigter
Erfassung und Prüfung der Identitätsdaten natürlicher und juristischer Personen, Abbildung von Beteiligungsketten bis zum wirtschaftlich Berechtigten und Speicherung der Nachweise mit Zeitstempel.
Risikobasierter Ansatz
Ein nachvollziehbares Scoring aus Faktoren wie Land, Branche, Produkt, Kanal, Transaktionsverhalten und PEP-Status. Hohe Risiken lösen verstärkte Sorgfaltspflichten und eine Freigabe im Vier-Augen-Prinzip aus.
Fernidentifizierung und Video-Ident
Dokumentenprüfung, NFC-Chip-Auslesen, Lebenderkennung und Gesichtsabgleich (siehe NFC-Identitätsprüfung) sowie Video-Ident-Sitzungen mit Aufzeichnung – jeweils nach den Vorgaben der zuständigen Aufsicht.
Sanktionen, Einfrieren von Vermögenswerten und PEP
Screening bei Aufnahme und fortlaufend bei jeder Listenänderung, gegen nationale Listen, UN-, EU- und OFAC-Listen sowie PEP- und Adverse-Media-Quellen, mit Fuzzy-Matching für Transliterationen.
Verdachtsmeldung und Vertraulichkeit
Vorbereitung der meldungsrelevanten Daten, Fristenüberwachung und streng begrenzte Zugriffsrechte, damit das Verbot der Informationsweitergabe (Tipping-off) eingehalten wird. In der Türkei sind Verdachtsmeldungen an MASAK grundsätzlich innerhalb von zehn Werktagen zu erstatten, bei Gefahr im Verzug sofort.
Aufbewahrung und Auskunftspflichten
Unveränderbare Ablage von Dokumenten und Entscheidungen über die gesetzlichen Fristen (in der Türkei acht Jahre, in der EU in der Regel fünf Jahre oder länger) und schneller Export bei Behördenanfragen.
Kryptowerte-Dienstleister
In der Türkei unterliegen Kryptoplattformen seit dem Gesetz Nr. 7518 der Kapitalmarktaufsicht SPK; in der EU gelten MiCA und die Geldtransferverordnung (Travel Rule). Details finden Sie auf unserer Seite zur Krypto-Compliance.
Module und Funktionen
| Modul | Funktionen | Nutzen |
|---|---|---|
| Kunden-Onboarding (e-KYC) | Dokumenten-OCR, NFC-Chipprüfung, Lebenderkennung, Video-Ident, Unternehmenskunden-Workflow | Schnelle, nachweisbare Identifizierung |
| Risikoscoring | Konfigurierbare Faktoren und Gewichte, automatische Neubewertung, Begründung je Score | Einheitliche, erklärbare Risikoentscheidungen |
| Listen-Screening | Sanktions-, Einfrierungs-, PEP- und Adverse-Media-Abgleich, Fuzzy-Matching, Bestandsrescreening | Keine Lücke bei Listenänderungen |
| Transaktionsmonitoring | Regelbasierte Szenarien, Schwellen- und Geschwindigkeitsprüfung, Erkennung von Stückelung, Profilabweichung, Echtzeit und Tagesende | Rechtzeitige Erkennung verdächtiger Vorgänge |
| Fallmanagement | Bündelung von Alarmen, Aufgabenzuweisung, Vier-Augen-Freigabe, Notizen und Anlagen, Fristen, Entscheidungsbegründung | Beleg, wer was warum entschieden hat |
| Meldewesen | Zusammenstellung der Meldedaten, eingeschränkter Zugriff, Vertraulichkeitskontrollen, Fristwarnungen | Fristgerechte und vertrauliche Meldung |
| Periodische Überprüfung | KYC-Aktualisierung nach Risikostufe, Ablauf von Ausweisen, automatische Kundenanfragen | Aktuelle Kundendaten |
| Reporting und Audit | Management-Dashboards, Revisionsberichte, Regelperformance, Export, unveränderbarer Prüfpfad | Schnelle Nachweise bei Prüfungen |
Regelwerk: Beispiele für Monitoring-Szenarien
- Viele Einzahlungen knapp unter einem Meldeschwellenwert innerhalb kurzer Zeit (Structuring).
- Plötzlicher Anstieg von Volumen oder Frequenz im Vergleich zum eigenen Kundenprofil.
- Durchlaufkonten: Eingänge werden binnen Stunden vollständig weitergeleitet.
- Transaktionen mit Hochrisikoländern oder Gegenparteien mit Listentreffer.
- Viele Konten mit identischem Gerät, identischer IP-Adresse oder Anschrift.
- Bei Kryptowerten: Transfers von oder zu Mixern, Darknet-Märkten oder sanktionierten Adressen.
Schwellenwerte und Änderungen werden versioniert und mit historischen Daten kalibriert.
Architektur und Integrationen
- Anbindung: REST-APIs, Message Queues oder Batch-Schnittstellen zu Kernbanken-, Zahlungs-, Wallet-, CRM- und Börsensystemen.
- Externe Dienste: Listenanbieter, Identitätsprüfung, Handelsregister, Chain-Analytics – über austauschbare Adapter.
- Datenhaltung: On-Premises, Private Cloud oder gemanagter Betrieb; Mandantentrennung und Verschlüsselung im Ruhezustand und bei der Übertragung.
- Sicherheit: Rollen- und Rechtekonzept, SSO und MFA, Protokollierung jedes Zugriffs, Trennung von Test- und Produktivdaten.
- Skalierung: Echtzeitprüfungen für den Zahlungsfluss und Batch-Läufe für Bestandsrescreening.
Einführung: Schritte und typische Dauer
| Schritt | Inhalt | Typische Dauer |
|---|---|---|
| 1. Analyse | Compliance-Richtlinie, Risikoanalyse, bestehende Prozesse und Datenquellen; Anforderungen gemeinsam mit dem Geldwäschebeauftragten | 2–4 Wochen |
| 2. Lösungsdesign | Datenmodell, Integrationspunkte, Scoring-Parameter, Regelkatalog, Rollen- und Rechtematrix | 2–3 Wochen |
| 3. Entwicklung und Integration | Aufbau der Module, Anbindung an Kernsystem und Kanäle, Listen- und Prüfdienste | 6–16 Wochen |
| 4. Regelkalibrierung | Szenarien mit historischen Daten testen, Schwellen anpassen, Fehlalarme analysieren | 2–4 Wochen |
| 5. Test und Parallelbetrieb | Funktions-, Last- und Sicherheitstests; Parallelbetrieb zum bisherigen Prozess | 3–6 Wochen |
| 6. Go-live und Schulung | Stufenweiser Übergang, Anwenderschulungen, Verfahrensdokumentation | 1–2 Wochen |
| 7. Optimierung | Regelperformance beobachten, neue Szenarien, regulatorische Änderungen umsetzen | Laufend |
Die Dauern sind Richtwerte; sie hängen vor allem von der Zahl der Schnittstellen und vom Anteil kundenspezifischer Entwicklung ab. Ein Entwicklungsteam kann bei 360 Soft typischerweise innerhalb von 1–2 Wochen starten.
Betriebsunterstützung: KYC/AML-Operations als Outsourcing
Software allein löst die Warteschlange nicht. Wenn Ihnen Analysten fehlen, übernimmt ein Team aus Istanbul Dokumentenprüfung, Alarmbearbeitung und Screening-Treffer in Ihren Systemen – remote, vor Ort oder hybrid, auf Wunsch im 24/7-Schichtbetrieb. Die Entscheidungen bleiben bei Ihrem Geldwäschebeauftragten. Mehr dazu unter KYC/AML-Betrieb auslagern und Fraud-Monitoring.
Faktoren, die den Aufwand bestimmen
| Faktor | Wirkung auf den Aufwand |
|---|---|
| Modulumfang | Nur Screening oder vollständige Plattform mit Onboarding, Monitoring und Fallmanagement |
| Zahl der Integrationen | Jede Anbindung an Kernsystem, Kanal oder externen Dienst erhöht Entwicklungs- und Testaufwand |
| Transaktionsvolumen und Echtzeitbedarf | Bestimmt Architektur, Infrastruktur und Performance-Tests |
| Externe Daten- und Prüfdienste | Listen-, Identitäts- und Chain-Analytics-Anbieter werden meist separat lizenziert |
| Betriebsmodell | On-Premises, Private Cloud oder gemanagter Dienst verändern Hardware-, Lizenz- und Betriebskosten |
| Individualisierung | Institutsspezifische Szenarien, Masken und Berichte erfordern Eigenentwicklung |
| Betriebsunterstützung | Ausgelagerte Alarmbearbeitung oder Dokumentenprüfung kommt als laufende Dienstleistung hinzu |
| Wartung und regulatorische Updates | Anpassung von Regeln und Workflows an Rechtsänderungen im Rahmen eines Supportvertrags |
Konkrete Preise nennen wir erst nach der Analyse, weil sie von diesen Faktoren abhängen.
Vergleich: Excel, Standard-SaaS oder individuelle Software
| Kriterium | Excel / manueller Prozess | Standard-SaaS | Individuelle / integrierte Software (360 Soft) |
|---|---|---|---|
| Startgeschwindigkeit | Sofort | Schnell, Standardabläufe vorhanden | Analyse- und Entwicklungszeit nötig |
| Prüfpfad und Revision | Schwach, Dateien veränderbar | Meist stark | Stark, auf Ihre Prüfungsanforderungen zugeschnitten |
| Lokale Regeln und Sprachen | Abhängig vom Wissen des Teams | Je nach Anbieter, lokale Anpassung teils begrenzt | Türkische und lokale Anforderungen gezielt abbildbar |
| Integration in Kernsysteme | Keine | Über Standard-APIs, Grenzen bei Altsystemen | Tiefe Integration, auch mit Altsystemen |
| Datenstandort | Unkontrolliert | Rechenzentrum des Anbieters | Frei wählbar, auch On-Premises |
| Kosten über die Zeit | Hohe versteckte Personalkosten | Laufende Lizenz pro Kunde oder Prüfung | Höhere Anfangsinvestition, planbare Folgekosten |
Erfolg messen: KPI-Tabelle
| Kennzahl | Was sie zeigt |
|---|---|
| Onboarding-Dauer | Zeit vom Antrag bis zur Freigabe des Kunden |
| Abbruchquote im Onboarding | Anteil der Interessenten, die den Prozess nicht beenden |
| Automatisierungsgrad | Anteil der Fälle ohne manuelle Prüfung |
| Fehlalarmquote | Anteil der Alarme, die ohne Befund geschlossen werden |
| Bearbeitungszeit je Alarm | Durchschnittliche Dauer bis zur Entscheidung |
| Fristeinhaltung | Anteil der Meldungen und Überprüfungen innerhalb der Frist |
| Rescreening-Abdeckung | Anteil des Bestands, der nach Listenänderungen geprüft wurde |
| Prüfungsfeststellungen | Anzahl der Feststellungen aus Revision und Aufsicht |
Die Zielwerte legen wir gemeinsam mit Ihnen fest; sie hängen von Kundenmix, Produkten und Risikoappetit ab.
Datensicherheit, DSGVO und KVKK
KYC-Daten gehören zu den sensibelsten Daten eines Instituts. Wir arbeiten mit Verschlüsselung, Datenminimierung, Löschkonzepten, rollenbasiertem Zugriff und vollständiger Protokollierung. Bei der Verarbeitung personenbezogener Daten aus dem EWR schließen wir einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO; da für die Türkei kein Angemessenheitsbeschluss der EU besteht, werden die EU-Standardvertragsklauseln (SCC) samt Transfer-Folgenabschätzung vereinbart. Für Verarbeitungen in der Türkei gilt zusätzlich das türkische Datenschutzgesetz KVKK. Der Datenstandort ist frei wählbar – auch so, dass Produktivdaten Ihr Rechenzentrum nie verlassen.
Vertragsrahmen
Softwareprojekte vereinbaren wir als Werkvertrag (definiertes Ergebnis) oder als Dienstvertrag (laufende Entwicklung, Wartung, Betrieb). Es handelt sich um eine Dienstleistung von 360 Soft – keine Arbeitnehmerüberlassung: Die Teammitglieder bleiben bei 360 Soft angestellt und arbeiten unter unserer Steuerung. Ob im Einzelfall Fragen des AÜG oder der Scheinselbständigkeit berührt sind, hängt von der tatsächlichen Durchführung ab; wir empfehlen eine kurze rechtliche Prüfung durch Ihre Berater. Geheimhaltungsvereinbarung (NDA) und die Übertragung der Rechte am entwickelten Code sind Standard.
Checkliste für die Anbieterauswahl
- Kann der Anbieter jede Entscheidung mit Benutzer, Zeitstempel und Begründung belegen?
- Lassen sich Regeln, Schwellen und Scoring-Gewichte ohne Programmierung ändern – mit Versionierung?
- Werden Bestandskunden bei jeder Listenänderung automatisch erneut gescreent?
- Welche Listen- und Identitätsanbieter werden unterstützt, und sind sie austauschbar?
- Wo werden die Daten gespeichert, und gibt es AVV, SCC und ein Löschkonzept?
- Wie wird die Regelkalibrierung mit Ihren historischen Daten durchgeführt?
- Gibt es eine Testumgebung und einen Parallelbetrieb vor dem Go-live?
- Wie schnell werden regulatorische Änderungen umgesetzt, und was deckt der Supportvertrag ab?
- Kann der Anbieter bei Bedarf auch den operativen Betrieb unterstützen?
Warum 360 Soft
Software und Betrieb aus einer Hand, Teams von 1 bis über 200 Personen (remote, vor Ort oder hybrid, 24/7 möglich), geregelter Ersatzprozess und Erfahrung mit 5549, MASAK und SPK.
Beispielszenario (illustrativ): Compliance-Infrastruktur für ein neues Zahlungsinstitut
Beispielszenario (illustrativ) – kein realer Kunde, keine erzielten Ergebnisse. Ein neu lizenziertes Zahlungsinstitut will innerhalb weniger Monate starten und rechnet mit schnell wachsendem Kundenbestand. Es fehlen ein digitales Onboarding, ein Screening mit Bestandsrescreening und ein Monitoring für Wallet-Transaktionen.
Mögliche Lösung: e-KYC mit NFC-Chipprüfung und Lebenderkennung in der App, Risikoscoring mit fünf Faktoren, Anbindung eines Listenanbieters, zwölf Startszenarien im Monitoring und ein Fallmanagement mit Vier-Augen-Freigabe. Gemessen würden im Projekt Onboarding-Dauer, Abbruchquote, Fehlalarmquote und Fristeinhaltung – die Zielwerte werden vorab gemeinsam festgelegt.
Spezialisierte Lösungen
- NFC-Identitätsprüfung und Fern-Onboarding – Chip auslesen, ICAO-9303-Validierung, Lebenderkennung
- Krypto-Compliance-Software – KYC/AML, Travel Rule, Verwahrung und Prüfpfad für Kryptoplattformen
Verwandte Seiten
- KYC/AML-Betrieb auslagern
- Fraud-Monitoring-Outsourcing
- Zahlungsverkehr-Betrieb
- Outsourcing für Banken
- Datenschutz-Compliance-Betrieb
- Softwareentwicklung in der Türkei
- IT-Outsourcing in der Türkei – Übersicht
- Türkçe
Häufig gestellte Fragen
Was ist der Unterschied zwischen KYC und AML?
KYC umfasst Identifizierung, wirtschaftlich Berechtigten und Risikoeinstufung des Kunden. AML ist der umfassendere Rahmen zur Verhinderung von Geldwäsche, inklusive Screening, Transaktionsmonitoring und Verdachtsmeldungen.
Welche Unternehmen brauchen KYC/AML-Software?
Alle Verpflichteten nach den Geldwäschegesetzen, etwa Banken, Zahlungs- und E-Geld-Institute, Kryptowerte-Dienstleister, Wertpapierfirmen, Versicherer sowie je nach Land weitere Branchen. Ab einem gewissen Volumen ist Software praktisch unverzichtbar.
Welche Regeln bildet die Software ab?
In der Türkei Gesetz Nr. 5549 und die MASAK-Vorgaben, im DACH-Raum zum Beispiel GwG, FM-GwG oder das Schweizer GwG sowie das EU-AML-Paket. Es gelten jeweils die Regeln im Land Ihres Instituts.
Wie funktioniert die Fernidentifizierung?
Der Kunde fotografiert seinen Ausweis, der Chip wird per NFC ausgelesen und kryptografisch geprüft, eine Lebenderkennung gleicht das Gesicht ab. Je nach Aufsicht kommt ein Video-Ident-Gespräch hinzu.
Welche Listen deckt das Screening ab?
Nationale Sanktions- und Einfrierungslisten, UN-, EU- und OFAC-Listen, PEP-Datenbanken und auf Wunsch Adverse-Media-Quellen – bei Aufnahme und bei jeder Listenänderung.
Wie lassen sich Fehlalarme reduzieren?
Durch Kalibrierung der Regeln mit historischen Daten, Segmentierung nach Kundenprofil, bessere Datenqualität und Fuzzy-Matching mit Whitelisting. Die Wirkung wird über die Fehlalarmquote gemessen.
Standardprodukt oder Individualentwicklung?
Beides ist möglich: Wir integrieren bestehende Komponenten und entwickeln nur dort individuell, wo Ihre Prozesse, Altsysteme oder Berichte es erfordern.
Wie lange dauert die Einführung?
Je nach Umfang meist einige Monate; die Tabelle oben zeigt die typische Dauer der einzelnen Schritte. Das Team kann in der Regel innerhalb von 1–2 Wochen starten.
Wo werden unsere Daten gespeichert?
Dort, wo Sie es festlegen: On-Premises, in Ihrer Private Cloud oder im gemanagten Betrieb. Für EWR-Daten schließen wir AVV und Standardvertragsklauseln.
Kann Ihr Team auch den operativen Betrieb übernehmen?
Ja. Analysten aus Istanbul bearbeiten Dokumente, Alarme und Screening-Treffer in Ihren Systemen; die Entscheidungen bleiben bei Ihrem Geldwäschebeauftragten. Eine Rechtsberatung leisten wir nicht.
KYC/AML-Infrastruktur gemeinsam planen
Sprechen Sie mit uns über Ihr Vorhaben: Telefon +90 850 335 10 87, E-Mail info@360-soft.com oder per WhatsApp. Alternativ nutzen Sie unser Kontaktformular – wir melden uns mit einem Vorschlag für die nächsten Schritte. 360 Soft Marketing Yazılım ve Danışmanlık Ltd. Şti., Nidakule Ataşehir Batı, Barbaros Mah. Begonya Sk. No:1 D:2, 34746 Ataşehir/İstanbul.
