Kundenrisiko-Scoring und der risikobasierte Ansatz: das Playbook 2026

Jede KYC-Entscheidung, die ein Institut trifft, ergibt sich aus einer einzigen Frage: Wie risikoreich ist dieser Kunde? Wie viel Dokumentation zu verlangen ist, ob zur verstärkten Sorgfaltspflicht eskaliert wird, wie oft eine Beziehung überprüft wird — alles hängt davon ab. Im Jahr 2026 akzeptieren Aufsichtsbehörden keine intuitive oder rein kategorische Antwort mehr. Sie erwarten einen dokumentierten, reproduzierbaren Kundenrisikoscore, der über das gesamte Portfolio hinweg konsistent angewendet und nachweisbar aktuell gehalten wird.

Dieser Artikel richtet sich an Chief Compliance Officers und KYC-Leiter, die ein Scoring-Modell aufbauen oder verteidigen müssen, das der aufsichtsrechtlichen Prüfung standhält. Wir behandeln die Grundlagen des risikobasierten Ansatzes (RBA), die Faktoren, die einen Score bestimmen, warum die jährliche Neuberechnung nicht mehr ausreicht, wie sich ein Score in verhältnismässiges Handeln übersetzen lässt und den Governance-Standard, der ein belastbares Programm von einer Blackbox unterscheidet.

1. Der risikobasierte Ansatz: verpflichtend, nicht optional

Der risikobasierte Ansatz ist das Ordnungsprinzip der modernen Geldwäscherei-Aufsicht. Statt für jeden Kunden identische Kontrollen anzuwenden, verteilt ein Institut seinen Sorgfaltsaufwand proportional zum tatsächlichen Geldwäscherei- und Terrorismusfinanzierungsrisiko jeder Beziehung. Beziehungen mit geringem Risiko erhalten eine vereinfachte Behandlung; Beziehungen mit hohem Risiko eine verstärkte Prüfung. Der Score macht diese Zuteilung objektiv und prüfbar.

Dies ist keine blosse Empfehlung guter Praxis. Die FATF stellt den RBA seit über einem Jahrzehnt ins Zentrum ihrer Empfehlungen, und die nationalen Regime haben ihn in verbindliches Recht übertragen. In der Schweiz verlangen das GwG und die GwV-FINMA von den Intermediären, Geschäftsbeziehungen und Transaktionen nach Risiko zu klassifizieren und ihre Kontrollen entsprechend zu kalibrieren. In der EU treiben die neue AMLA-Behörde und das einheitliche Regelwerk dieselbe Logik hin zu harmonisierten, beaufsichtigbaren Erwartungen. Unser Überblick über die Schweizer AML-Änderungen 2026 legt dar, wie die TJPG-Transparenzreform, die am 1. Oktober 2026 in Kraft tritt, die Anforderungen an die Qualität der Daten zu wirtschaftlich Berechtigten, die in diese Scores einfliessen, weiter erhöht.

Die aufsichtsrechtliche Konsequenz ist unmittelbar: Wenn ein Prüfer eine Akte durchsieht, fragt er nicht nur, ob Sie eine Sorgfaltsprüfung durchgeführt haben. Er fragt, ob das Niveau der Sorgfaltsprüfung dem Risiko entsprach und ob Sie die Begründung darlegen können. Ein Programm, das keinen kohärenten Score erzeugen und nicht erklären kann, wie dieser jede Entscheidung gesteuert hat, ist exponiert — unabhängig davon, wie viel Arbeit die Analysten tatsächlich geleistet haben. Deshalb steht das Risiko-Scoring vor nahezu jeder anderen Kontrolle, die auf unserer Plattform Wecan Comply beschrieben ist.

2. Die Risikofaktoren, die einen Score bestimmen

Ein belastbarer Score baut auf einer definierten Reihe gewichteter Faktoren auf, jeder mit dokumentierter Begründung. Die genauen Gewichte unterscheiden sich je nach Institut und Geschäftsmodell, doch die Faktorfamilien sind gut etabliert. Die folgende Tabelle zeigt ein repräsentatives Modell mit indikativen Gewichtungen.

2.1 Das Kern-Risikofaktormodell

2.2 Warum Gewichtung und Wechselwirkungen zählen

Ein häufiger Fehler ist, Faktoren als additive Checkliste zu behandeln. In der Praxis interagieren die Faktoren: Eine PEP mit einfachem inländischem Profil und transparentem Vermögen stellt nicht dasselbe Risiko dar wie eine PEP hinter einer vierstufigen Offshore-Struktur mit Aktivität in einem sanktionierten Korridor. Ein glaubwürdiges Modell kombiniert daher einen gewichteten Basisscore mit Eskalationsregeln — bestimmte Kombinationen erzwingen eine Mindeststufe unabhängig von der Arithmetik. Diese Wechselwirkungsregeln zu dokumentieren ist ebenso wichtig wie die Gewichte selbst zu dokumentieren, denn genau dort prüfen die Aufseher am härtesten.

Auch die Qualität der zugrunde liegenden Daten begrenzt die Qualität des Scores. Eine Scoring-Engine mit ungeprüften Daten zu wirtschaftlich Berechtigten oder veralteten geografischen Kennzeichen zu speisen, erzeugt eine selbstsichere Zahl, die auf Sand gebaut ist. Deshalb sind die Datenerfassung beim Onboarding und eine strukturierte UBO-Auflösung Voraussetzungen, keine nachträglichen Ergänzungen. Eine sinnvolle Disziplin besteht darin, neben jedem Faktor die Quelle und das Datum der zugrunde liegenden Daten festzuhalten; ein Score, dessen Inputs altern, ist selbst ein Signal, dass die Beziehung eine erneute Prüfung verdient — unabhängig von einem einzelnen Risikoereignis.

3. Statisches versus dynamisches Scoring: warum die jährliche Neuberechnung nicht mehr ausreicht

Historisch bewerteten die meisten Institute einen Kunden beim Onboarding und berechneten dann in einem festen Zyklus neu — jährlich für hohes Risiko, alle zwei oder drei Jahre für niedrigere Stufen. Das Problem ist strukturell: Das Risiko richtet sich nicht nach Ihrem Überprüfungskalender. Ein Kunde kann eine PEP-Rolle erlangen, auf einer Sanktionsliste erscheinen, sein Eigentum umstrukturieren oder sein Transaktionsmuster ändern — am Tag nach Abschluss seiner jährlichen Überprüfung. In einem rein periodischen Modell bleibt dieses erhöhte Risiko bis zu zwölf Monate unentdeckt.

3.1 Ereignisgesteuertes Re-Scoring

Der Standard 2026 ist kontinuierliches, ereignisgesteuertes Re-Scoring. Statt auf ein Kalenderdatum zu warten, berechnet sich der Score neu, sobald sich ein wesentlicher Input ändert: ein neuer Negativpresse-Treffer, eine Sanktionslisten-Aktualisierung, ein Wechsel von Verwaltungsräten im Handelsregister, eine schwellenüberschreitende Transaktion oder eine Aktualisierung des erklärten Kundenprofils. Die Überprüfung wird durch die Risikoänderung ausgelöst, nicht durch den Zeitablauf. Dies ist das Funktionsprinzip von Perpetual KYC, das die Überprüfung im festen Zyklus durch kontinuierliche Überwachung und ausnahmebasierte Analysteneingriffe ersetzt.

Der Unterschied ist nicht kosmetisch. Ein statisches Modell misst das Risiko an einzelnen Punkten und unterstellt Stabilität dazwischen; ein dynamisches Modell behandelt den Score als lebende Variable. Für einen Aufseher ist ein lebender Score auch der stärkere Kontrollnachweis — er zeigt, dass das Institut seine Kunden fortlaufend kennt, was die materielle Pflicht ist, statt sie nur einmal im Jahr erneut zu bestätigen.

4. Den Score in Handeln übersetzen: Kontrollen und Überprüfungshäufigkeit je Stufe

Ein Score ist nur nützlich, wenn er deterministisch bestimmt, was als Nächstes geschieht. Die Zuordnung von Stufe zu Kontrollen und Überprüfungshäufigkeit sollte in die Richtlinie geschrieben, automatisch angewendet und für jeden Kunden einer Stufe identisch sein — hier wird Konsistenz gewonnen oder verloren.

4.1 Risikostufe zu Kontrolle und Kadenz

4.2 EDD-Auslöser und Eskalation

Die verstärkte Sorgfaltspflicht sollte durch klare, dokumentierte Bedingungen ausgelöst werden, nicht allein durch das Ermessen des Analysten: eine Hochrisikostufe, ein PEP-Status, ein Bezug zu einer Hochrisikojurisdiktion, Durchlaufkonten oder das Auslösen einer Scoring-Eskalationsregel. Sobald ein Auslöser erfüllt ist, folgt die Akte einem definierten EDD-Pfad — zusätzlicher Nachweis der Vermögensherkunft, Genehmigung durch die Geschäftsleitung, engere laufende Schwellen — und die Gründe werden zum Score festgehalten. Das verwandelt die Eskalation von einer Ermessensentscheidung in einen wiederholbaren, prüfbaren Prozess und stellt sicher, dass zwei Analysten bei gleichen Fakten dasselbe Ergebnis erzielen. Die dadurch entstehende Überprüfungslast wird über die Prozesse für periodische Überprüfungen und den Kundenlebenszyklus bewältigt.

5. Modell-Governance und Erklärbarkeit: der Standard nachweisbarer Wirksamkeit 2026

Die grösste Verschiebung in der aufsichtsrechtlichen Erwartung ist, dass es nicht mehr ausreicht, ein Scoring-Modell zu haben; Sie müssen nachweisen können, dass es funktioniert, und erklären, wie es zu seinen Schlüssen gelangt. Dies ist der Standard nachweisbarer Wirksamkeit, und er hat unmittelbare Folgen dafür, wie ein Modell aufgebaut wird.

5.1 Dokumentierte Methodik und nachvollziehbare Inputs

Jeder Score muss rekonstruierbar sein. Das bedeutet eine schriftliche Methodik, die Faktoren, Gewichte, Wechselwirkungs- und Eskalationsregeln sowie deren Begründung darlegt; eine Versionskontrolle, damit gezeigt werden kann, welche Methodik für eine bestimmte Entscheidung galt; und volle Nachvollziehbarkeit vom endgültigen Score zurück zu den konkreten Dateninputs, die ihn erzeugt haben. Wenn ein Prüfer fragt „Warum ist dieser Kunde als mittel und nicht als hoch eingestuft?", muss die Antwort eine faktische Spur sein, nicht die Erinnerung eines Analysten.

5.2 Verzerrungen und das Blackbox-Problem vermeiden

Undurchsichtiges Scoring — ob aus einer undokumentierten Tabellenkalkulation oder einem nicht erklärbaren maschinellen Lernmodell — ist heute eine Belastung. Wenn Sie einen Score nicht erklären können, können Sie ihn weder verteidigen noch korrigieren noch nachweisen, dass er frei von unangemessener Verzerrung ist. Der Governance-Standard bevorzugt daher transparente, regelbasierte Modelle, deren Logik vollständig einsehbar ist, wobei jede statistische Komponente auf erklärbares, prüfbares Verhalten beschränkt bleibt. Eine periodische Modellvalidierung — Abgleich des Scores mit tatsächlichen Ergebnissen, Anpassung der Gewichte, Dokumentation der Änderungen — schliesst den Kreis und ist selbst eine prüfbare Kontrolle. Diese Governance-Anforderungen erklären, warum Kontrollen auf Plattformebene, beschrieben unter Wecan Comply Sicherheit, ebenso wichtig sind wie die Scoring-Logik.

6. Wo Automatisierung messbare Gewinne liefert

Manuelles Scoring versagt auf eine bestimmte und vorhersehbare Weise: Es driftet. Zwei Analysten gewichten dieselben Faktoren unterschiedlich, derselbe Analyst gewichtet sie an einem geschäftigen Nachmittag anders, und niemand bewertet das Portfolio in dem Moment neu, in dem neue Daten eintreffen. Die Automatisierung greift genau diese Schwächen an.

6.1 Konsistenz, Aktualität und Durchsatz

Automatisiertes Scoring wendet eine einzige Methodik auf jede Akte identisch an und beseitigt die Drift zwischen Analysten. Es bewertet sofort neu, sobald sich ein überwachter Input ändert, sodass das Portfolio stets aktuell ist statt aktuell-zum-letzten-Prüfzeitpunkt. Und es beseitigt die manuelle Neuberechnungslast, die kontinuierliches Scoring von Hand unmöglich macht. Die folgende Tabelle quantifiziert die typische Wirkung mit Bandbreiten, die mit unserer umfassenderen KYC/AML-ROI-Analyse übereinstimmen.

Die freigesetzte Kapazität verschwindet nicht; sie wird auf den kleinen Anteil wirklich risikoreicher Akten umgelenkt, in denen menschliches Urteil den grössten Wert schafft. Das ist die praktische Bedeutung des risikobasierten Ansatzes — Analystenzeit dort einzusetzen, wo sich das Risiko tatsächlich konzentriert.

7. Wie Wecan Comply Risiko-Scoring operationalisiert

Wecan Comply behandelt den Kundenrisikoscore als lebendes, kontrolliertes Objekt statt als einmalige Berechnung. Das Faktormodell, die Gewichte und die Eskalationsregeln werden auf die Methodik Ihres Instituts konfiguriert und über das gesamte Portfolio identisch angewendet, wodurch manuelle Drift entfällt. Die Scores berechnen sich automatisch neu, wenn sich überwachte Inputs ändern — Sanktions- und PEP-Aktualisierungen, Eigentumsänderungen, Negativpresse, Transaktionssignale — sodass jede Beziehung eine aktuelle statt einer veralteten Bewertung trägt.

Da jeder Score bis zu seinen Inputs und der Methodikversion, die ihn erzeugt hat, nachvollziehbar ist, ist das Modell konstruktionsbedingt erklärbar: Jede Bewertung kann rekonstruiert und vor einem Aufseher verteidigt werden. Stufenbasierte Kontrollen, EDD-Auslöser und Überprüfungskadenzen ergeben sich automatisch aus dem Score, und die daraus resultierende Überprüfungsarbeit wird über strukturierte Prozesse für periodische Überprüfung und Lebenszyklus orchestriert. Das Ergebnis ist ein risikobasierter Ansatz, der konsistent, aktuell und nachweisbar wirksam ist — der Standard, den die Aufsicht 2026 nun erwartet.