Inhaltsverzeichnis
- Ausgangspunkt: Zwei rechtlich zulässige Wege zur Identitätsprüfung
- Änderung 1: eID und qualifizierte Vertrauensdienste sind in allen Kanälen zulässig
- Änderung 2: Die dokumentenbasierte Remote Verifizierung ist eine eng gefasste Ausnahme
- Änderung 3: Fehlende Attribute müssen ergänzt werden
- Weitere Änderungen
- Timeline
- Handlungsempfehlungen
- Wie IDnow helfen kann
- Häufig gestellte Fragen
Lernen Sie IDnow kennen
Gesichter in vertrauenswürdige Identitäten verwandeln.
Am 30. September 2026 hat die AMLA der Europäischen Kommission den endgültigen Entwurf ihrer technischen Regulierungsstandards (RTS) zur Customer Due Diligence (CDD) vorgelegt. Nach zwei Konsultationsrunden und Hunderten von Stellungnahmen aus der Branche wurde der Text verabschiedet. Auch wenn er noch nicht in Kraft getreten ist, ist die Richtung klar. Er enthält drei Änderungen, die für das Kunden-Onboarding von Bedeutung sind.
Die RTS sind noch nicht in Kraft, da sie zunächst von der Kommission angenommen werden müssen, gefolgt von einer Einspruchsfrist für Parlament und Rat. Bis zur Veröffentlichung im Amtsblatt werden jedoch allenfalls noch redaktionelle Anpassungen erwartet. Die Anti-Money-Laundering Regulation (AMLR) selbst ist hingegen bereits geltendes Recht und gilt ab dem 10. Juli 2027; die RTS konkretisieren lediglich bestehende Pflichten.
Drei Änderungen im finalen Entwurf sind für das Kunden-Onboarding besonders relevant:
- eID und qualifizierte Vertrauensdienste können künftig in allen Kanälen eingesetzt werden – sowohl remote als auch vor Ort.
- Die Remote-Verifizierung von Dokumenten ist eine eng gefasste Ausnahme, deren Anwendung im Einzelfall begründet werden muss.
- eID und Vertrauensdienste sind mit einem definierten Attributsatz verknüpft, der klar vorgibt, welche Daten ein rechtskonformer Prozess liefern muss.
Ausgangspunkt: Zwei rechtlich zulässige Wege zur Identitätsprüfung
Gemäß Artikel 22 Absatz 6 der AMLR muss ein verpflichtetes Unternehmen die Identität einer natürlichen Person auf einem der beiden folgenden Wege überprüfen: anhand eines Ausweisdokuments, eines Reisepasses oder eines gleichwertigen Dokuments oder anhand eines elektronischen Identifikationsmittels gemäß eIDAS mit der Sicherheitsstufe „substantiell“ oder „hoch“ oder eines entsprechenden qualifizierten Vertrauensdienstes.
Die Verordnung behandelt diese beiden Wege gleich. Keiner wird dem anderen vorgezogen. Der endgültige Entwurf der RTS stellt klar, in welchen Fällen die einzelnen Wege genutzt werden können.
Änderung 1: eID und qualifizierte Vertrauensdienste sind in allen Kanälen zulässig
Bislang galt die verbreitete Annahme, dass eID und Vertrauensdienste Methoden für die Remote-Verifizierung sind, während Dokumente in Filialen zum Einsatz kommen. Artikel 6 Absatz 4 der RTS hebt diese Unterscheidung auf: eID und einschlägige qualifizierte Vertrauensdienste können künftig auch zur Identitätsprüfung im persönlichen Kontakt verwendet werden.
Für Banken und Kreditgeber, die bislang getrennte Kontrollrahmen für Filial- und digitales Onboarding betreiben, ist dies eine wesentliche praktische Änderung. Ein einziger Verifizierungsprozess, ein einheitliches Nachweisformat und ein gemeinsamer Audit-Trail können künftig für die App, die Filiale, den Außendienst und den Point of Sale gelten.
Ein weiterer wichtiger Aspekt: Die RTS bestätigen, dass eine eID nicht nach eIDAS notifiziert sein muss, um als zulässig zu gelten. Entscheidend ist das Sicherheitsniveau – „substantiell“ oder „hoch“ – nicht die Notifizierung.
Änderung 2: Die dokumentenbasierte Remote-Verifizierung ist eine eng gefasste Ausnahme
Gemäß Artikel 7 der RTS bleibt sie als „alternative Verifizierungsmaßnahme“ möglich. Im Vergleich zur Konsultationsfassung hat der finale Entwurf die Voraussetzungen jedoch verschärft.
Für den jeweiligen Kunden müssen zwei Bedingungen erfüllt sein: Die Person kann vernünftigerweise nicht erwartet werden, ihr Dokument persönlich vorzulegen, und sie hat keinen Zugang zu einer eID oder einem qualifizierten Vertrauensdienst. Zudem muss sie ein gültiges Identitätsdokument besitzen, da Artikel 7 auf dieses Dokument zur Identitätsprüfung abstellt.
Wer kommt realistischerweise in Betracht? Ein Drittstaatsangehöriger außerhalb der EU mit gültigem Reisepass, für den es in seinem Land keine Filiale gibt. Oder ein Aufenthaltserlaubnisinhaber in einem Mitgliedstaat, dessen eID-System ausschließlich an Staatsangehörige ausgestellt wird. Oder eine Person, deren Behinderung die Nutzung der verfügbaren eID-App verhindert. Die Regelung soll sicherstellen, dass diese Personen nicht vom Zugang zu Finanzdienstleistungen ausgeschlossen werden. Sie stellt keine kostengünstigere Onboarding-Alternative dar.
Die Nutzung dieses Weges ist mit zwei konkreten Verpflichtungen gemäß Artikel 7 Absatz 3 verbunden. Erstens müssen Sie für jeden Kunden begründen können, warum die Standardwege nicht genutzt werden konnten. Zweitens müssen Sie nachweisen, dass die alternative Lösung mit Artikel 7 im Einklang steht. Für die erste Anforderung reicht ein allgemeines Richtliniendokument nicht aus und für die zweite genügen keine einzelnen Fallakten. Die meisten Unternehmen verfügen noch nicht über eine Zulassungsregel und ein Verfahren zur Erfassung von Nachweisen in jedem Einzelfall.
Das alternative Verfahren umfasst zudem spezifische Sicherheitsvorkehrungen: Dazu gehören Kontrollen, um zu überprüfen, ob die Person, die das Dokument vorlegt, auch dessen Inhaber ist. Außerdem werden die Integrität und Vertraulichkeit der Kommunikation gewährleistet, eine lesbare Bildqualität sichergestellt, der Vorgang bei Zweifeln unterbrochen und die Unterlagen zur späteren Überprüfung sicher und mit einem Zeitstempel versehen aufbewahrt.
Änderung 3: Fehlende Attribute müssen ergänzt werden
Die RTS legen fest, welche Daten eine eID oder ein qualifizierter Vertrauensdienst enthalten muss – und was zu tun ist, wenn Angaben fehlen. Aufgeführt sind: alle Namen, Geburtsort und vollständiges Geburtsdatum, Staatsangehörigkeit, die persönliche Verwaltungsnummer sofern zutreffend, der gewöhnliche Aufenthaltsort sowie die Steueridentifikationsnummer, sofern verfügbar.
Daraus ergeben sich zwei praktische Konsequenzen.
Sind die Attribute vorhanden, dürfen keine weiteren Daten abgefragt werden. Die RTS stellen klar: Wird die Identität über eID oder einen qualifizierten Vertrauensdienst verifiziert, müssen keine zusätzlichen Datenpunkte erhoben werden.
Fehlt ein Attribut, muss es ergänzt werden. Adresse und Steuer-ID sind die häufigsten Lücken. Institute müssen diese über andere zulässige Mittel im Einklang mit Artikel 22 Absatz 6 einholen und verifizieren. Ein QEAA ist eine Möglichkeit, wenn der Kunde eine qualifizierte, wiederverwendbare Bescheinigung wünscht.
Bei Niedrigrisiko-Geschäftsbeziehungen sind geringere Anforderungen zulässig. Wurde eine Geschäftsbeziehung als risikoarm bewertet und dokumentiert, genügen zur Identifizierung einer Person Name, Geburtsort und -datum sowie Staatsangehörigkeit. Adresse und Steuer-ID sind nicht erforderlich. Die Identitätsprüfung bleibt dennoch Pflicht und ein niedriges Risiko muss bewertet und darf nicht vorausgesetzt werden.
Weitere Änderungen
Die Überprüfung auf Sanktionen und politisch exponierte Personen (PEP) muss zu Beginn der Geschäftsbeziehung sowie bei Änderungen der Sanktionslisten und der Due-Diligence-Daten von Kunden und wirtschaftlichen Eigentümern erfolgen. Dabei sind automatisierte Tools, manuelle Überprüfungen oder eine Kombination aus beidem zulässig, sofern sie wirksam sind und zum Unternehmen, dessen Größe und Risiko angemessen sind.
Auch die vereinfachte Sorgfaltspflicht wurde für keinen Sektor, kein Produkt und keine Kundenkategorie automatisiert. Die AMLA lehnte diese Anträge ab, da die Verordnung eine individuelle Risikobewertung vorschreibt.
Timeline
Ein für Ihre Planung relevanter Aspekt: Für bestehende Geschäftsbeziehungen beginnen die Ein- und Fünfjahresfristen zur Aktualisierung von Kundendaten ab dem Inkrafttreten der RTS – nicht ab dem Zeitpunkt des ursprünglichen Onboardings.
Handlungsempfehlungen
- Prüfen Sie Ihren Anwendungsbereich. Wenn Sie Verbraucherkredite, Privatfinanzierungen, Darlehen oder Hypothekenfinanzierungen anbieten, gelten Sie als verpflichtetes Unternehmen.
- Gleichen Sie Ihren aktuellen Verifizierungsprozess mit den beiden zulässigen Wegen ab. Wenn die dokumentenbasierte Remote-Verifizierung den Großteil Ihres Volumens ausmacht, klären Sie, wie Sie deren Einsatz gemäß Artikel 7 für jeden einzelnen Kunden begründen werden.
- Prüfen Sie die Daten, die Sie derzeit erheben, anhand von Anhang I und legen Sie fest, wie Sie fehlende Daten beschaffen und überprüfen werden.
- Überprüfen Sie Screening und Nachweisaufbewahrung. Das Screening muss beim Onboarding, bei Listenänderungen und bei Änderungen der Kundendaten erfolgen. Nachweise müssen für spätere Überprüfungen aufbewahrt werden.
- Planen Sie Maßnahmen für Bestandskunden. Der Umsetzungszeitraum beginnt mit Inkrafttreten der RTS, nicht vorher.
Das Abwarten der formellen Annahme ändert nichts daran, was Institute bereits jetzt vorbereiten sollten. Die AMLA hat den Text der EBA weitgehend übernommen und nur dort Anpassungen vorgenommen, wo diese sachlich begründet waren. Die inhaltlichen Anforderungen sind damit im Wesentlichen festgelegt, auch wenn das formelle Verfahren noch nicht abgeschlossen ist.
Wie IDnow helfen kann
Mit der IDnow Trust Platform werden alle genannten Verifizierungswege in einem einzigen Prozess gebündelt: notifizierte und nicht notifizierte eIDs, EUDI-Wallets, qualifizierte Vertrauensdienste eines zertifizierten QTSP sowie eine dokumentenbasierte Verifizierung mit den gemäß Artikel 7 erforderlichen Schutzmaßnahmen.
Fehlt einer eID oder einem Wallet ein Attribut, unterstützt die Plattform dabei, es über andere zulässige Mittel zu ergänzen oder ein QEAA auszustellen. Screening, Prüfprotokolle und die Aufbewahrung von Nachweisen sind ebenfalls integriert.
Sie können mit den heute genutzten Prozessen beginnen und bei Verfügbarkeit neue Methoden hinzufügen, ohne dass eine neue Integration erforderlich ist.
Möchten Sie prüfen, wie eine konforme Lösung für Ihr Setup aussieht?
Führen Sie unseren kostenlosen AMLR-Bereitschaftstest durch, um Ihre größten Lücken zu identifizieren.
Häufig gestellte Fragen
Sind die RTS bereits geltendes Recht?
Nein. Es handelt sich um einen finalen Entwurf, der bei der Europäischen Kommission eingereicht wurde. Er wird nach Annahme, Einspruchsfrist und Veröffentlichung im Amtsblatt rechtswirksam.
Ab wann gelten die RTS?
Sechs Monate nach ihrem Inkrafttreten, welches 20 Tage nach der Veröffentlichung im Amtsblatt eintritt. Die AMLR selbst gilt unabhängig davon ab dem 10. Juli 2027.
Können wir die dokumentenbasierte Remote-Verifizierung weiterhin nutzen?
Ja, sofern der jeweilige Kunde vernünftigerweise nicht erwartet werden kann, sein Dokument persönlich vorzulegen, und keinen Zugang zu einer eID oder einem qualifizierten Vertrauensdienst hat, wie in Artikel 7 festgelegt. Jeder Einzelfall muss begründet werden, und es sind die erforderlichen Schutzmaßnahmen sowie zeitgestempelte Nachweise vorzulegen.
Ist ein QEAA bei fehlenden Attributen verpflichtend?
Nein, es ist jedoch eine zulässige Möglichkeit, um fehlende Attribute einzuholen und zu verifizieren. Dies ist besonders geeignet, wenn der Kunde eine qualifizierte, wiederverwendbare Bescheinigung wünscht.
Müssen eID-Systeme notifiziert sein, um anerkannt zu werden?
Nein. Maßgeblich ist das Sicherheitsniveau – „substantiell“ oder „hoch“. Eine Notifizierung ist nicht erforderlich.
Schreiben die RTS eine manuelle Prüfung von Dokumentenkontrollen vor?
AMLR und RTS schreiben keine menschliche Beteiligung vor. ETSI TS 119 461 verlangt für Nicht-NFC-Hybridprozesse jedoch weiterhin einen Registrierungsbeauftragten und das nationale Geldwäscherecht kann zusätzliche Anforderungen einführen.
Möchten Sie mehr über AMLR lesen?
- QEAA für AMLR: Die fehlenden Fakten beim Onboarding von Finanzdienstleistungen
- Ein Gateway zu jedem AMLR-konformen Weg: warum eine einzige Integration besser ist als drei separate Schlüssel
- AMLR: Was Finanzdienstleister jetzt wissen müssen.
Nikita Rybová
Customer & Product Marketing Managerin bei IDnow
Nikita Rybova ist Customer & Product Marketing Managerin mit über 8 Jahren Erfahrung in den Bereichen Tech, SaaS und E-Commerce. Bei IDnow ist sie auf Kunden- und Produktmarketing spezialisiert und verwandelt die Komplexität der Identitätsverifizierung in überzeugende Narrative, die das Wachstum vorantreiben.