Compliance-Theater: Warum alle eine KYC-Akte über Sie führen

Ich arbeite beruflich im Compliance-Bereich. Eesti Firma ist ein lizenzierter Trust- und Company-Service-Provider und damit ein Verpflichteter: eines der Unternehmen, die nach den in der gesamten EU weitgehend gleich angewandten Vorschriften zur Bekämpfung der Geldwäsche (AML) ihre Kunden prüfen und Verdächtiges melden müssen. Jeder Kunde, der über uns ein Unternehmen gründet, wird identifiziert, überprüft und nach der Herkunft des Geldes gefragt; und ich bin überzeugt, dass dies sorgfältig erfolgen muss. Die Identifizierung eines unkomplizierten Gründers und seine Prüfung anhand von Sanktions- und Listen politisch exponierter Personen dauert für eine geschulte Person etwa 15 bis 20 Minuten. Der Rest des Onboardings besteht aus Unterlagen rund um diese Viertelstunde, und dieselben Unterlagen werden anschließend von jedem weiteren Verpflichteten, dem der Kunde begegnet, von Grund auf neu erstellt.

Dies ist kein Argument gegen Know-your-Customer-Prüfungen (KYC). Es geht darum, was daraus geworden ist. Jeder in der Kette erledigt die Arbeit sorgfältig, weil jeder die Folgen fürchtet, wenn er es nicht tut, und irgendwann wurde diese Angst zum Zweck. Ich bin zu der Auffassung gelangt, dass die Akte weniger der Verhinderung von Geldwäsche dient als dem Nachweis gegenüber dem Prüfer, dass die Organisation, die sie führt, die richtigen Fragen gestellt hat.

Ein Kunde, drei oder vier Prüfrunden

So sehen die ersten Monate für einen typischen Kunden von uns aus: einen Gründer aus Deutschland, Spanien oder der Türkei, der eine estnische Gesellschaft mit beschränkter Haftung (OÜ) und ein funktionsfähiges Konto möchte. Die Abfolge wäre in Dublin oder Lissabon ähnlich, da die Regeln aus denselben EU-Richtlinien stammen; Estland ergänzt für e-residents einen eigenen Schritt.

1. Der Staat, für e-residents. Ein Gründer, der Estlands digitale ID nutzen möchte, beantragt e-Residency, und das Police and Border Guard Board führt vor Ausstellung der Karte eine Hintergrundprüfung durch. Dies ist rechtlich keine AML-Prüfung, sondern eine Überprüfung nach einem anderen Gesetz, doch sie verlangt denselben Reisepass und dieselbe Zweckangabe, und der Antragsteller zahlt dafür eine staatliche Gebühr.
2. Der Dienstleister. Wir prüfen die Identität des Gründers, stellen den wirtschaftlich Berechtigten fest, gleichen ihn mit Sanktions- und PEP-Listen ab (eine PEP ist eine politisch exponierte Person, deren öffentliches Amt Bestechung zu einem Risiko macht), fragen, was das Unternehmen tun wird und woher das Startkapital stammt, und weisen eine Risikostufe zu. Dazu gehören ein Fragebogen, ein Satz von Unterlagen und üblicherweise ein Videoanruf.
3. Der Notar. Ein Gründer ohne estnische digitale ID gründet das Unternehmen stattdessen über einen Notar; dieser ist ein eigenständiger Verpflichteter mit denselben Pflichten. Unsere Akte hat in dessen Büro kein Gewicht; dort werden Kunde und Eigentümer selbst identifiziert und geprüft.
4. Die Bank oder das Zahlungsinstitut. Wer auch immer das Konto eröffnet – Bank oder Fintech –, führt ein eigenes Formular, eine eigene Unterlagenliste und ein eigenes Gespräch durch: Geschäftsplan, erwartete Volumina, wichtigste Gegenparteien und Herkunft der Mittel, erneut. Ein zweites Konto, das viele unserer Kunden benötigen, bedeutet dieselbe Runde noch einmal.

Je nach Weg durchläuft ein Gründer drei oder vier dieser Schritte, und die Prüfung endet dort nicht. Wenn der Kunde unsere Rechnung bezahlt, kann unsere eigene Bank uns fragen, wer der Zahler ist und wofür das Geld bestimmt ist. Auch ein Buchhalter, der das Unternehmen später übernimmt, ist Verpflichteter. Und jede dieser Organisationen muss ihre Akte mindestens fünf Jahre nach Ende der Geschäftsbeziehung aufbewahren, aktuell halten, als personenbezogene Daten schützen und daran messen, weil jede für das, was sie hält, gesondert haftet.

Jede Runde wird separat bezahlt. Ein Anbieter wie wir beschäftigt Menschen, die Fragebögen lesen, Unterlagen nachfordern, Namen prüfen, eine Risikobewertung dokumentieren und die Akte dann jahrelang pflegen; diese Arbeit wird durch die Gebühr gedeckt. Der Notar rechnet Zeit ab. Banken geben mit Abstand am meisten aus; eine Branchenumfrage bezifferte die Kosten der Finanzkriminalitäts-Compliance im weltweiten Finanzsektor 2022 auf über $270 Milliarden. Niemand summiert diese Beträge, weil jeder in einem anderen Budget steht, doch der Kunde zahlt sie alle – über Gebühren und staatliche Gebühren –, und die Compliance-Mitarbeiter an jeder Station sehen nie, was die vorherige Station festgestellt hat. Und wie der Rest des EU-Regelwerks sind sie Fixkosten: Eine Bank kann sie auffangen, ein Anbieter mit einem Dutzend Mitarbeitern spürt sie voll.

Wie aus einem Formular ein Dossier wurde

Vor zehn Jahren gab es die Prüfungen bereits, doch sie bestanden aus einem Formular, nicht aus einem Dossier. Für die Kontoeröffnung brauchte es einen Reisepass, eine Unterschrift und einige Fragen, und ein Anbieter wie wir führte eine dünne Akte. Dann kamen die Skandale. Die EU schrieb ihre Richtlinie zur Bekämpfung der Geldwäsche 2015 und erneut 2018 neu und fügte jedes Mal Verpflichtete und Pflichten hinzu. Estland erhielt 2017 ein neues nationales Gesetz, und 2018 bezifferte der Danske-Bank-Bericht die nichtansässigen Gelder, die über eine Filiale in Tallinn geflossen waren, auf rund €200 Milliarden; vieles davon wurde später als verdächtig eingestuft. Ein kleines Land wurde zum Synonym für Geldwäsche.

Bei Danske fehlten nicht Formulare. Die Bank hatte Akten über ihre nichtansässigen Kunden und ignorierte, was ihre eigene Überwachung zeigte; die Aufsichtsbehörden prüften ein Institut nicht gründlich genug. Die Reaktion waren dennoch mehr Formulare für alle. Jede Bank und jede Aufsicht tat nach öffentlicher Demütigung, was jede Organisation tut: Sie fragte mehr, bewahrte mehr auf und vertraute niemandem. Meiner Erfahrung nach läuft dieser Kreislauf nur in eine Richtung. Einer Aufsicht wird der Skandal vorgeworfen, den sie nicht verhindert hat, nicht der Fragebogen, den sie zehntausend ehrliche Kunden ausfüllen ließ. Ein Verpflichteter wird für das leer gelassene Feld bestraft, nicht für das hinzugefügte. Vereinfachungsprogramme gibt es in Brüssel und Tallinn, doch keine Prüfung hängt von ihnen ab; daher häufen sich Fragen schneller an, als sie verschwinden.

Das Gesetz erlaubt Austausch. In der Praxis teilt niemand

Die Identität wird fairerweise bereits geteilt. Wenn sich ein e-resident oder ein estnischer Einwohner mit einer digitalen ID anmeldet, verlässt sich jede Bank und jeder Anbieter auf eine staatlich verifizierte Identität. Nicht geteilt wird alles andere in der Akte: wer der Eigentümer ist, was das Unternehmen tut, woher das Geld stammt. Auch das erlaubt das Gesetz. Sowohl die aktuelle EU-Richtlinie als auch die neue EU Anti-Money Laundering Regulation, die ab Juli 2027 gilt, erlauben es einem Verpflichteten, sich auf Kundenprüfungen zu verlassen, die bereits von einem anderen Verpflichteten durchgeführt wurden; die neue EU-Behörde AMLA soll Leitlinien dazu herausgeben. Warum verlangt die Bank dann von unserem Kunden, bei null anzufangen?

Weil die Verantwortung bei demjenigen bleibt, der sich darauf stützt. Erweist sich unsere Akte als falsch, erhält die Bank die Geldbuße, und ihre Aufsicht wird die Bank, nicht uns, fragen, warum sie einer Firma vertraut hat, die sie nicht kontrolliert. Die Verfahren eines anderen Unternehmens zu bewerten, kostet mehr als dem Kunden ein neues Formular zu schicken; daher trifft jedes Institut dieselbe rationale Entscheidung. Das Gesetz erlaubt das Vertrauen auf dem Papier und bestraft es in der Praxis, und die Summe all dieser vernünftigen Einzelentscheidungen ist das Theater des Titels. Die Akte ist kein Werkzeug mehr, sondern ein Produkt: Ihre Aufgabe ist es, zu existieren, vollständig zu sein und auf Verlangen vorgelegt werden zu können, damit derjenige, der sie hält, abgesichert ist.

Unternehmensgründung ist mein Beispiel, weil es meine Arbeit ist, doch das Muster durchzieht die Wirtschaft. Eine in einer beliebigen EU-Stadt verkaufte Wohnung erzeugt eine Akte beim Immobilienmakler, eine weitere beim Notar, eine dritte bei der kreditgebenden Bank und manchmal eine vierte bei der Bank, die die Ersparnisse des Käufers überweist: vier Akten über dieselben zwei Personen für eine Transaktion, ohne dass eine auf die vorherige zurückgreift. Wechseln Sie bei einer estnischen Wechselstube mehr als €1.000 in bar, werden Sie identifiziert und erfasst, und die Wechselstube bewahrt diesen Eintrag jahrelang neben Tausenden ähnlicher auf. Buchhalter, Wirtschaftsprüfer, Anwälte und Händler hochwertiger Güter führen Akten derselben Art.

Was in der Akte Risiken reduziert

Die Standardakte, die Banken und Anbieter am Markt von einem neuen Unternehmen einholen, zerfällt nach meiner Lesart in drei Gruppen: den Teil, der den Missbrauch eines Unternehmens erschwert, den Teil, der hauptsächlich besteht, damit der Inhaber einen Prüfer zufriedenstellen kann, und den Teil, der reines Ritual ist. Die Tabelle ist meine eigene, keine rechtliche Einordnung; der Test in jeder Zeile ist einfach: Handelt jemals jemand aufgrund dieser Information?

Aus der Tabelle folgen zwei Dinge. Erstens lohnt sich die Akte nur dort, wo anschließend jemand daran misst; in der obigen Kette bedeutet das die Bank und nur die Bank. Zweitens entsteht der Umfang durch die mittlere Gruppe. Ein Prüfer kann nicht sehen, ob wir den Kunden verstanden haben, aber ob Feld 14 ausgefüllt war; daher werden Felder hinzugefügt und selten entfernt.

Was die Zahlen aussagen

Ich verwende estnische Zahlen, weil ich sie am besten kenne und weil die Financial Intelligence Unit ein Jahrbuch veröffentlicht. 2024 erhielt die Einheit 14.185 Meldungen von Verpflichteten. Sie übermittelte 133 analysierte Vorgänge an Ermittler sowie rund 1.700 weitere Informationsweitergaben; die Ermittler beschlagnahmten Vermögenswerte im Wert von 5,7 Mio. €, die die Einheit eingefroren hatte. Laut der nationalen Risikobewertung führten die analysierten Übermittlungen der Einheit 2024 zu zehn neuen Strafverfahren, und in den fünf Jahren bis 2024 erließen estnische Gerichte 32 Urteile in Geldwäschefällen.

Nun die andere Seite. Jährlich werden in Estland mehr als 25.000 neue Gesellschaften mit beschränkter Haftung eingetragen, das Register führt rund 370.000 juristische Personen aller Arten, und das e-Residency-Programm zählt über 134.000 e-residents. Jedes neue Unternehmen, jedes Konto und jede digitale ID bedeutet mindestens eine vollständige KYC-Akte, meist mehrere. Meine grobe Schätzung, und ich betone, dass sie von mir stammt, lautet: Verpflichtete in Estland erstellen weit über hunderttausend KYC-Akten pro Jahr, und das gesamte System macht daraus zehn Strafverfahren und einige Millionen Euro an beschlagnahmten Vermögenswerten. Nehmen wir an, einer von zehntausend Kunden hat kriminelle Absichten. Die anderen 9.999 durchlaufen drei oder vier Prüfrunden, damit er gefunden werden kann, und die obigen Zahlen zeigen, dass er es gewöhnlich nicht wird.

Es gibt zwei berechtigte Einwände, und ich möchte sie darlegen. Einer betrifft die Abschreckung: Kriminelle, die sich gar nicht erst bewerben, weil sie wissen, dass sie gefragt werden, erscheinen in keiner Statistik. Das stimmt, und deshalb musste es auch noch niemand beweisen. Der andere betrifft den Umfang: Ein Geldwäschesystem kann mehr Geld bewegen, als tausend ehrliche Unternehmen verdienen, und hätten die Akten Danske aufgehalten, hätten sie sich vielfach bezahlt gemacht. Doch die Akten hielten Danske nicht auf, und die Verurteilungen, die die FIU in ihrem Jahrbuch beschreibt, begannen mit Meldungen verdächtiger Transaktionen, nicht mit Fragebögen. Für die Onboarding-Akte wird das Geld ausgegeben; die Ergebnisse kommen aus der Überwachung. Die internationale Evidenz weist in dieselbe Richtung. Europol schätzte 2016, dass in der EU nur etwa 1 % der kriminellen Erträge jemals eingezogen werden, und der Forscher Ronald Pol, der versuchte, Kosten und Rückflüsse gegenüberzustellen, kam zu dem Schluss, dass die Compliance-Kosten die eingezogenen Mittel um mehr als das Hundertfache übersteigen. Keine Aufsichtsbehörde in Estland hat einen Vergleich dieser Art für das von ihr betriebene System veröffentlicht.

Ich erwarte nicht, dass sich das Verhältnis verbessert. Das neue EU-Regelwerk ergänzt eine europäische Aufsicht, eine EU-weite Obergrenze von €10.000 für Barzahlungen und mehrere neue Kategorien Verpflichteter, von Crowdfunding-Plattformen bis zu Fußballvereinen. Jede neue Kategorie bedeutet eine weitere Schublade. Jeder künftige Skandal wird Felder hinzufügen, weil das Hinzufügen von Feldern zeigt, dass eine Institution gelernt hat. Und ein einheitliches europäisches Regelwerk erschwert jeden Rückbau, da eine in einer Verordnung festgeschriebene Frage nicht von einem nationalen Parlament entfernt werden kann, das ihre Nutzlosigkeit erkennt.

Warum niemand dies offen ausspricht

Es ist nicht angesagt, dies abzuwägen. Öffentlich ist die einzig sichere Position zur Geldwäsche: mehr – mehr Prüfungen, mehr Meldungen, mehr Eifer. Wer fragt, ob die letzte Runde von Regeln etwas bewirkt hat, riskiert, als jemand verstanden zu werden, der weniger Regeln für Kriminelle will. Daher behalten Compliance-Beauftragte und Anwälte, die meiner Erfahrung nach viele dieser Zweifel privat teilen, sie für sich. Die Bekämpfung der Geldwäsche ist mehr zu einer Sache als zu einer Politik geworden, und bei Sachen werden selten Kosten-Nutzen-Zahlen verlangt.

Das sollte klar gesagt werden, denn es ist wichtig, wohin der Weg führt, wenn niemand abwägt. Ein Europa, das das weltweit strengste Datenschutzrecht geschrieben hat, hat zugleich Millionen privater Unternehmen verpflichtet, jahrelang Dossiers über ihre Kunden zu führen, sie bei Verdacht dem Staat zu melden und dafür einzustehen, wenn das Dossier dünn ist. Jede dieser Akten wurde in gutem Glauben eröffnet, um eine Straftat zu verhindern. Zusammengenommen ergeben sie eine fortlaufende Aufzeichnung darüber, wem was gehört und wer wem gezahlt hat, verwahrt in Schubladen, die zuerst einem Prüfer antworten. Ich glaube nicht, dass dies jemand geplant hat. Ich glaube auch nicht, dass es weiter wachsen sollte, ohne dass jemand fragt, wozu es dient.

Was ich ändern würde

Das meiste davon braucht kein neues Gesetz, sondern nur andere Entscheidungen darüber, wie das bestehende angewandt wird. Der erste Punkt braucht es doch.

1. Eine verifizierte Akte, die der Kunde mitführt. Jemand überprüft die Person einmal und übernimmt die Haftung für diese Prüfung, abgesichert durch Lizenz, Versicherung und Audit, sodass nicht das Institut bestraft wird, das sich darauf stützt, falls sie falsch ist. Dieser Prüfer könnte eine Bank, ein Notar, ein lizenzierter Anbieter oder ein auf der digitalen ID beruhender staatlicher Dienst sein; entscheidend ist, wo die Haftung liegt. Die heutigen nationalen wie EU-Regeln legen sie demjenigen auf, der sich stützt, und deshalb stützt sich niemand darauf. Für eine Änderung braucht es Gesetzgeber, und die kommenden Leitlinien von AMLA zur Reliance sind der natürliche Ort, um die Diskussion zu beginnen.
2. Ergebnisse überwachen, nicht Formulare. Bei einer Prüfung sollte gefragt werden, was die Überwachung eines Unternehmens hervorgebracht hat und wohin seine Meldungen gingen, nicht ob jedes Feld jedes Formulars ausgefüllt war.
3. Formulare, die zum Unternehmen passen. Ein neues Unternehmen mit einem Gründer und ohne Umsatz benötigt zwei Seiten, nicht zwanzig. Die erweiterten Fragen, die tieferen Prüfungen, die das Gesetz Kunden mit höherem Risiko vorbehält, gehören an den Punkt, an dem die Tätigkeit beginnt und etwas zu prüfen ist.
4. Re-KYC bei Veränderungen, nicht nach Kalender. Ein neuer Eigentümer, ein neues Land oder eine neue Geschäftstätigkeit ist ein Grund, erneut hinzusehen. Der Ablauf von zwei Jahren ist es nicht.
5. Die Daten nutzen, die der Staat bereits hat. Für ein bestehendes Unternehmen enthält das estnische Handelsregister (Äriregister) die Eigentümer, die Geschäftsleitung und die Jahresabschlüsse. Ein Verpflichteter sollte sie aus dem Register abrufen, statt den Kunden zu bitten, sie erneut einzugeben. Estlands Oberstes Gericht wandte dieselbe Logik im Januar 2026 auf die Aufsicht selbst an, als es ein Urteil zur Rechtswidrigkeit eines Fragebogens mit 44 Fragen fällte, den die Financial Intelligence Unit an alle lizenzierten Dienstleister gesendet hatte, teilweise weil der Staat zuerst die Daten nutzen sollte, die er bereits besitzt.

Die Prüfungen ohne Theater bewältigen

Bei Eesti Firma fordern wir, was das Gesetz und unsere eigene Risikobewertung verlangen, und erklären, warum jedes Dokument wichtig ist. Wir helfen Kunden außerdem, zu Beginn einen Satz an Unterlagen und Antworten zu erstellen, der Bank und Zahlungsinstitut ohne Umschreiben gegeben werden kann, denn meiner Erfahrung nach hält nicht ein kürzerer Fragebogen das Onboarding kurz, sondern ein Geschäft, das allen Fragenden gleich beschrieben wird. Für Unternehmen, die selbst Verpflichtete werden, erstellen wir die Richtlinien und Verfahren, die das Gesetz verlangt; das ist, wie ich zugebe, Teil desselben Theaters. Unser Unterschied besteht darin, sie so zu formulieren, dass sie nutzbar und nicht nur vollständig sind. Wenn Sie ein Unternehmen gründen und den Compliance-Teil Personen überlassen möchten, die lesen, was Sie senden, helfen wir Ihnen bei der Unternehmensgründung und bei allem, was darauf folgt.

Anfrage senden