Die 15 Fragen, die Sie einem KYC/KYB-Anbieter vor der Unterschrift stellen sollten

Kurz gesagt: Eine KYC/KYB-Ausschreibung wird über die Fragen entschieden, die vor der Unterschrift gestellt werden, nicht über die Hochglanzbroschüre. Fünfzehn Fragen genügen, um Anbieter voneinander zu unterscheiden, verteilt auf sechs Themen: Daten, Betrugserkennung, Compliance, KI, Sicherheit und Hosting, Geschäftsmodell. Für jede gibt es eine gute Antwort und Antworten, die Sie alarmieren sollten.

‍

Ob Sie ein vollständiges RFP formalisieren oder nur eine Demo vorbereiten: Diese Checkliste verwandelt eine Verkaufspräsentation in überprüfbare Zusagen. Sie ergänzt unsere Leitfäden zur Auswahl einer KYB-Lösung und zur Auswahl einer KYC-Lösung, Kriterium für Kriterium.

‍

Die Daten (Fragen 1 bis 3)

‍

1. Welche Quellen fragen Sie auf meinem Hauptmarkt ab, und mit welcher historischen Tiefe? Die gute Antwort ist präzise: namentlich genannte offizielle Register, bezifferte historische Tiefe (zum Beispiel der Abgleich der Jahresabschlüsse mit der Offenlegungshistorie im Bundesanzeiger). Misstrauen ist angebracht, wenn die Antwort eine Länderanzahl ist.

‍

2. Werden die Daten in Echtzeit oder im Batch abgefragt? Drei Monate alte Unternehmensdaten können einen kürzlichen Wechsel der Geschäftsführung verdecken, genau das Signal, das zählt.

‍

3. Was passiert, wenn eine Quelle nicht verfügbar ist? Was Sie suchen: kontrollierte und gekennzeichnete Degradierung, niemals ein stillschweigend unvollständiger Score.

‍

Die Betrugserkennung (Fragen 4 bis 6)

‍

4. Zeigen Sie mir Ihre Auswertung zu einer reaktivierten Briefkastenfirma. Der entscheidende Test im KYB: im Schnellverfahren hinterlegte Jahresabschlüsse, kürzlicher Wechsel der Geschäftsführung, Massendomizilierung. Ein Tool, das eine solche Gesellschaft als gesundes Unternehmen bewertet, scheitert am Wesentlichen.

‍

5. Erkennen Sie Mehrfachanfragen über Ihre Kunden hinweg, und teilen Sie bestätigte Betrugsfälle untereinander? Der Netzwerkeffekt ist ein wesentliches Unterscheidungsmerkmal: Ein bei einem Akteur blockierter Betrüger versucht es noch im selben Monat woanders.

‍

6. Wie hoch ist Ihre gemessene False-Positive-Rate in einem Portfolio, das mit meinem vergleichbar ist? Verlangen Sie eine Zahl und eine Referenz, kein Adjektiv. Jeder abgelehnte gute Kunde ist entgangener Umsatz.

‍

Die Compliance (Fragen 7 und 8)

‍

7. Wie decken Sie die Anforderungen des AML6-Pakets ab, das ab Juli 2027 gilt? Erwarten Sie Konkretes: kontinuierliche Identifizierung der wirtschaftlich Berechtigten (UBO), Sanktions- und PEP-Screening, exportierbarer Audit-Trail. Zeitplan und Pflichten sind in unserem Artikel zur AML6-Regulierung im Detail beschrieben.

‍

8. Was kann ich bei einer Prüfung durch die Aufsichtsbehörde zu einem zwei Jahre alten Vorgang vorlegen? Die gute Antwort: die gesamte Entscheidung (abgefragte Daten, Modellversion, Gründe, Zeitstempel) in wenigen Klicks.

‍

Die KI (Fragen 9 und 10)

‍

9. Geben Sie mir für diesen Score die exakte Liste der Signale, die ihn erklären. Eine erklärbare KI legt ihre Gründe offen, Entscheidung für Entscheidung. Eine Blackbox ist im Audit ebenso wenig zu verteidigen wie gegenüber dem Kunden, und der AI Act macht dies beim Scoring zur Pflicht.

‍

10. Kann der Analyst den Score übersteuern, und wird diese Entscheidung protokolliert? Der Score gibt die Richtung vor, der Mensch entscheidet in den Zweifelsfällen: Das ist zugleich gute operative Praxis und regulatorische Erwartung.

‍

Sicherheit und Hosting (Fragen 11 und 12)

‍

11. Wo werden die Daten gehostet und verarbeitet, und über welche Einheiten laufen sie? Bei KYC/KYB-Daten (personenbezogene Daten, Geschäftsführer, wirtschaftlich Berechtigte) vereinfacht ein Hosting in der EU ohne Transfer außerhalb der Union Ihre DSGVO-Konformität und wird in den meisten Ausschreibungen deutscher Banken zum K.-o.-Kriterium.

‍

12. Welche Sicherheitszertifizierungen, und welche Incident-Historie? ISO 27001 oder gleichwertig, und eine transparente Antwort zu vergangenen Vorfällen sind mehr wert als ein nicht überprüfbares „null Vorfälle“.

‍

Das Geschäftsmodell (Fragen 13 bis 15)

‍

13. Was deckt eine abgerechnete „Verifizierung“ genau ab, und berechnen Sie nicht abgeschlossene Prüfungen? Die Leistungsumfänge variieren um den Faktor vier. Prüfen Sie auch, ob das erneute Aufrufen eines Ergebnisses aus der Historie keine kostenpflichtige Analyse neu auslöst.

‍

14. Wie hoch ist Ihre gemessene Automatisierungsquote, und welches Volumen müssen meine Analysten bearbeiten? Der größte Kostenblock einer KYC/KYB-Lösung ist der menschliche: Die Automatisierungsquote bestimmt die realen Kosten, nicht der Stückpreis.

‍

15. Wenn ich morgen die IBAN-Prüfung oder das Bonitätsscoring hinzufüge, wie viele zusätzliche Verträge und Integrationen brauche ich? Die Antwort sagt alles über die Architektur: ein Baustein, der im selben Vertrag aktiviert wird, oder ein neues sechsmonatiges Beschaffungsprojekt.

‍

Wie Sie die Antworten lesen

‍

Drei übergreifende Warnsignale: Antworten in Länderanzahl statt in Datentiefe, „marktübliche“ Kennzahlen, die nie mit einer Kundenreferenz belegt werden, und die Unmöglichkeit, eine Demo mit Ihren eigenen Fällen durchzuführen. Umgekehrt hat ein Anbieter, der bereit ist, live eine Briefkastenfirma, ein gefälschtes Dokument und einen zweifelhaften Vorgang zu testen, in der Regel nichts zu verbergen.

‍

Der schnellste Weg, diese Checkliste abzuarbeiten, bleibt der Praxistest: Planen Sie eine Demo und bringen Sie Ihre kniffligsten Fälle mit.

‍

FAQ

‍

Was ist ein RFP für eine KYC/KYB-Lösung?

‍

Ein RFP (Request for Proposal) ist eine formalisierte Ausschreibung: Das Unternehmen beschreibt seinen Bedarf an Identitäts- und Unternehmensprüfung, und die Anbieter antworten Punkt für Punkt. Auch ohne formales RFP ermöglicht ein strukturierter Fragenkatalog einen objektiven Vergleich der Lösungen.

‍

Wie viel Zeit sollte man für die Auswahl einer KYC/KYB-Lösung einplanen?

‍

Vier bis zwölf Wochen, je nach Governance: Bedarfsdefinition, Demos mit echten Fällen, technischer Test (POC) mit einer Stichprobe von Vorgängen, Freigabe durch Compliance und Sicherheit, Verhandlung. Der POC mit Ihren eigenen Vorgängen ist der Schritt, der am besten differenziert.

‍

Sollte man die Lösung vor der Unterschrift testen?

‍

Ja, immer, und zwar mit Ihren echten Fällen: bekannte Betrugsvorgänge, Zweifelsfälle, gefälschte Dokumente. Ein Anbieter, der den Test unter realen Bedingungen ablehnt, ist für sich genommen bereits ein Warnsignal.