Zwölf Monate sind für Compliance- und Technologieprojekte in regulierten Finanzinstituten erfahrungsgemäß knapp. Erschwerend kommt hinzu, dass die bisherige Infrastruktur für digitales Onboarding nie wirklich gut funktioniert hat. Sie war lediglich das, was regulatorisch zur Verfügung stand. Banken hatten dabei selten die Wahl zwischen guten Lösungen.
Dieser Artikel richtet sich ausschließlich an professionelle Investoren. Bitte melden Sie sich daher einmal kurz an und machen einige berufliche Angaben. Geht ganz schnell und ist selbstverständlich kostenlos.
Zwölf Monate sind für Compliance- und Technologieprojekte in regulierten Finanzinstituten erfahrungsgemäß knapp. Erschwerend kommt hinzu, dass die bisherige Infrastruktur für digitales Onboarding nie wirklich gut funktioniert hat. Sie war lediglich das, was regulatorisch zur Verfügung stand. Banken hatten dabei selten die Wahl zwischen guten Lösungen.
Das neue EU-Regelwerk Anti-Money Laundering Regulation (AMLR) zwingt nun dazu, diese Infrastruktur grundlegend zu ersetzen. Im Kern steht die Frage, welche Identifizierungsverfahren künftig noch zulässig sind und welche Architektur langfristig trägt.
Was sich konkret ändert
Das AMLR der EU schafft erstmals einen einheitlichen Rechtsrahmen für die Geldwäscheprävention in allen Mitgliedstaaten. Bislang galt in Europa ein Flickenteppich nationaler Umsetzungen der vierten und fünften Geldwäscherichtlinie mit erheblichen regulatorischen Unterschieden zwischen den Mitgliedstaaten. Mit der neuen AMLR gilt unmittelbar anwendbares EU-Recht, das keiner nationalen Umsetzung mehr bedarf.
Die EU-Anti-Geldwäschebehörde AMLA (Anti-Money Laundering Authority) mit Sitz in Frankfurt entwickelt derzeit technische Regulierungsstandards für die Customer Due Diligence. Identitätsprüfungen müssen künftig einem einheitlich definierten Sicherheitsniveau entsprechen, dabei vollständig dokumentiert und gegenüber Aufsichtsbehörden rekonstruierbar sein.
Videoident scheidet hierdurch als primäres Verfahren aus. Die Regulatory Technical Standards der AMLR lassen agent-gestützte Videoidentifikation nur noch als Fallback für eng definierte Ausnahmefälle zu. Ab 2027 sind grundsätzlich drei Verfahrenskategorien anerkannt: notifizierte eID-Systeme, EU Digital Identity Wallets und qualifizierte elektronische Signaturen (QES). Welche davon sich in der Praxis durchsetzt, ist die entscheidende offene Frage.
Kurzfristig ist zu erwarten, dass die etablierten Anbieter versuchen werden, Videoident als Identifizierungsschritt vor eine qualifizierte elektronische Signatur zu schalten. Für den Nutzer ändert sich dabei kaum etwas. Für die Bank hingegen schon: neue API-Logik, angepasste DSGVO-Einwilligungen, faktisch ein anderes Produkt. Dauerhaft trägt das allerdings nicht, weil die meisten gängigen QES-Implementierungen günstigere Verfahren wie AutoIdent bereits integriert haben. Videoident verliert damit in diesem Kontext mittelfristig seinen Platz.
Was eIDAS und qualifizierte Vertrauensdienste damit zu tun haben
Die eIDAS-Verordnung, seit 2016 in Kraft und durch eIDAS 2.0 weiterentwickelt, definiert qualifizierte elektronische Signaturen und qualifizierte Vertrauensdienste als höchste Vertrauensstufe im europäischen Rechtsraum. Qualifizierte Vertrauensdiensteanbieter, sogenannte QTSPs, unterliegen strenger Aufsicht und werden regelmäßig auditiert.
Ihre Dienste gelten rechtlich als gleichwertig mit physischen Unterschriften und Identifizierungen vor Ort. Die neuen AML-Anforderungen für die Fernidentifizierung bauen auf genau diesem Vertrauensniveau auf und rücken so QTSPs ins Zentrum der künftigen Marktinfrastruktur.
Der Markt ist in Bewegung. Notifizierte eID-Systeme existieren, sind aber in Adoption und Nutzerfreundlichkeit unterschiedlich weit entwickelt. EU Digital Identity Wallets befinden sich im Aufbau – mit über 100 angekündigten Anbietern, aber noch zu etablierender Marktstruktur und bislang nicht erreichter Nutzeradoption. Das Henne-Ei-Problem ist real: Ohne Nutzer kein Anreiz für Relying Parties, ohne Anwendungsfälle kein Anreiz für Nutzer.
Märkte wie Belgien oder Skandinavien, die heute als Referenz gelten, haben für vergleichbare Systeme fünf bis zehn Jahre gebraucht – und innerhalb zentralisierter Konsortien mit klarer politischer Rückendeckung. Der europäische Wallet-Markt startet unter anderen Vorzeichen. Technisch leisten bestehende Verfahren bereits vieles, was Wallets künftig abdecken sollen.