4. August 2026
Die neuen EU-Vorschriften zur Bekämpfung der Geldwäsche treten am 10. Juli 2027 in Kraft und werden die Vorgehensweise von Finanzinstituten, Krypto-Unternehmen und anderen Akteuren in den Bereichen Kundenaufnahme, Compliance und Risikomanagement grundlegend verändern. Das Maßnahmenpaket zielt darauf ab, die Uneinheitlichkeit zwischen den Mitgliedstaaten zu verringern, den Verwaltungsaufwand zu senken und die Sicherheit sowie die Benutzererfahrung durch elektronische Identitätsprüfung zu verbessern.
Kernstück des neuen Regulierungspakets sind die technischen Regulierungsstandards (RTS), die derzeit ausgearbeitet werden. Die RTS werden die Anforderungen festlegen, nach denen in der Europäischen Union tätige Finanzinstitute die Sorgfaltspflicht gegenüber Kunden, die Risikobewertung und die digitale Kundenanmeldung durchführen müssen.
In diesem Blogbeitrag werden die Hintergründe der regulatorischen Änderungen beleuchtet, erläutert, was die neuen Anforderungen für Unternehmen in der EU bedeuten, und aufgezeigt, welche Maßnahmen Unternehmen bereits jetzt ergreifen können, um das Risiko einer Nichteinhaltung der Vorschriften in naher Zukunft zu vermeiden.
Gründe für strengere Maßnahmen zur Bekämpfung der Geldwäsche
Die Änderungen sind eine Reaktion auf die zunehmende Raffinesse der Geldwäsche und der Terrorismusfinanzierung in der EU und darüber hinaus. Mit Hilfe von generativer KI, Deepfake-Tools und „Crime-as-a-Service“-Netzwerken umgehen Kriminelle herkömmliche Identitätskontrollen und eröffnen betrügerische Konten.
Betrügerische Identitäten innerhalb des KYC-Rahmens können für Geldwäsche, Terrorismusfinanzierung und die Umgehung von Sanktionen genutzt werden. Kriminelle können dies in großem Umfang ausnutzen – eine einzelne Person kann unter Verwendung verschiedener gestohlener oder synthetischer Identitäten zahlreiche Konten eröffnen.
Die Schwachstellen einer unzureichenden Identitätsprüfung traten Anfang 2026 zutage, als ein einzelner Angreifer 46 Bankkonten bei ABM AMRO eröffnete und dabei gestohlene Identitätsdaten sowie Deepfakes nutzte, um die Identitätsprüfungen „ID + Selfie“ zu umgehen.
Die Umstellung auf ein eIDAS-konformes Onboarding
Die Aufsichtsbehörden reagieren darauf mit der Vorgabe strengerer Identitätsprüfungen bei der Neukundenanmeldung, die sich an der eIDAS-Richtlinie orientieren. Der Entwurf der RTS legt die elektronische Identitätsprüfung (eID) als Standardverfahren zur Überprüfung der Nutzeridentität fest und stuft physische Dokumente sowie die Identitätsprüfung per Videoanruf als Ausweichmöglichkeit herab – eine Option, deren Einsatz die Institute gegenüber ihren Aufsichtsbehörden jeweils begründen müssen.
Die Verordnung über elektronische Identifizierung, Authentifizierung und Vertrauensdienste (eIDAS) legt den Rahmen für die Verwendung elektronischer Identitäten (eIDs) beim Fern-Onboarding fest. Ihre Sicherheitsstufen (Levels of Assurance, LoA) bewerten den Grad des Vertrauens in eine angegebene Identität – AMLR akzeptiert eIDs der Sicherheitsstufen „Substantial“ und „High“. „High“ ist der strengste Standard zur Identitätsprüfung in der EU.
Angesichts der bevorstehenden Frist im Juli 2027 stehen EU-Unternehmen unter Druck, ihre Identitätslösungen zu modernisieren, um die Anforderungen zu erfüllen. Da Zertifizierungszyklen Monate dauern, birgt die Einführung von Identitätslösungen, die noch nicht gemäß den eIDAS-Sicherheitsstufen zertifiziert sind, das Risiko einer Nichteinhaltung der Vorschriften und der daraus resultierenden Strafen, wenn die Frist abläuft.
Die Zusammenarbeit mit einem Identitätsanbieter, der bereits für die Zertifizierungsstufen „High“ und „Substantial“ zertifiziert ist, beseitigt nicht nur dieses Risiko, sondern ermöglicht es Ihnen auch, das Sicherheitsniveau an das jeweilige Risiko der Transaktion, der Identität oder der kontextbezogenen Faktoren anzupassen – und so ein Gleichgewicht zwischen Geschwindigkeit, Benutzererfahrung und Sicherheit herzustellen.
Widerstandsfähigkeit gegenüber Identitätsbedrohungen ist von entscheidender Bedeutung
Zwar sieht der Entwurf der RTS vor, dass die Identitätsprüfung den Anforderungen der eIDAS-Richtlinie entsprechen muss, doch enthält er bislang keine konkreten Vorgaben hinsichtlich der Schutzmaßnahmen gegen Identitätsbetrug. Das Fehlen einer Sicherheitsgrundlage birgt das Risiko, dass Finanzinstitute Lösungen einsetzen, die den derzeit größten Bedrohungen für die Identitätssicherheit nicht gewachsen sind. Angriffe auf Systeme zur Fernidentifizierung treten in zwei Formen auf:
- Präsentationsangriff: Der Angreifer kauft, stiehlt oder fälscht ein physisches Ausweisdokument, um die Dokumentenprüfung zu täuschen, und hält dann einen Ausdruck, eine Maske oder ein auf einem Bildschirm abgespieltes Deepfake vor die Kamera.
- Injection-Angriff: Der Angreifer umgeht die Kamera vollständig und fügt gefälschte Dokumentbilder und ein synthetisches Gesicht direkt in den Datenstrom ein, in der Regel mithilfe einer virtuellen Kamera oder einer virtualisierten Umgebung.
Zwar gibt es nach wie vor zahlreiche Präsentationsangriffe, doch sind diese gut erforscht, in ihrem Ausmaß begrenzt, und es gibt zahlreiche bewährte Lösungen zur Erkennung von Präsentationsangriffen (PAD). Im Gegensatz dazu nehmen Injektionsangriffe rasant zu und entwickeln sich in einer Weise weiter, die bisherige Abwehrmaßnahmen aushebt. Im Jahr 2026 meldete iProov Threat Intelligence einen Anstieg der Injektionsangriffe auf iOS-Systeme um 1.151 % – eine Plattform, die zuvor aufgrund des geschlossenen Ökosystems von Apple als sicher galt.
In Kombination mit KI-generierten Deepfakes und synthetischen Identitäten erweisen sich Injektionsangriffe als die wichtigste Methode, mit der Angreifer Identitätsschutzmaßnahmen – von denen viele auf grundlegenden PAD-Verfahren beruhen – umgehen und betrügerische Konten eröffnen, wodurch die AML-Kontrollen untergraben werden.
Erkennung von Injektionsangriffen
Identitätslösungen können ihre Fähigkeiten zur Erkennung von Injektionsangriffen (IAD) durch unabhängige, normkonforme Tests und Validierungen unter Beweis stellen. CEN TS 18099 ist die aktuelle technische Norm für die Erkennung von Injektionsangriffen, die IAD in die Stufen „Substantial“ und „High“ unterteilt. Das Testlabor Ingenium geht noch einen Schritt weiter und definiert fünf IAD-Stufen, wobei Stufe 2 der CEN-Stufe „High“ entspricht.
Auch wenn die AMLR-RTS die Erkennung von Injektionsangriffen bislang noch nicht als Anforderung festgelegt hat, ist der Übergang zu nachweisbarer IAD die Richtung, in die sich die weltweite Identitäts-Compliance entwickelt. Die im Jahr 2025 fertiggestellte NIST SP 800-63-4 schreibt ausdrücklich vor, dass Systeme zur Fernidentitätsprüfung Kontrollmaßnahmen gegen KI-generierte Inhalte und Injektionsangriffe implementieren müssen.
Auch wenn die Identitätsauthentifizierung (IAD) bislang noch keine ausdrückliche Anforderung der Geldwäschebekämpfungsvorschriften ist, können Finanzinstitute bei der Einhaltung der Vorschriften einen Vorsprung erzielen, indem sie mit Identitätsanbietern zusammenarbeiten, die sowohl die Identitätsauthentifizierung (IAD) als auch die Kundenidentifizierung (PAD) gemäß anerkannten Standards nachweisen können.
So kann iProov Ihnen helfen, sich auf das bevorstehende AML-Paket vorzubereiten
iProov verfügt über eine modulare eIDAS-Zertifizierung auf den Sicherheitsstufen „High“ (iProov Dynamic Liveness) und „Substantial“ (iProov Express Liveness). „Dynamic Liveness“ wurde gemäß Ingenium Level 4 (CEN TS 18099) validiert, dem zum Zeitpunkt der Erstellung dieses Artikels höchsten unabhängig validierten IAD-Niveau aller Anbieter biometrischer Lösungen.
Vereinbaren Sie eine Vorführung, um zu erfahren, wie wir Ihnen helfen können.
