KYC- und AML-Compliance für Banken: Sorgfaltsprüfung im großen Maßstab automatisieren

Kein Finanzintermediär trägt eine schwerere KYC- und AML-Last als eine Bank. Eine Privat- oder Universalbank onboardet und überwacht Zehntausende von Beziehungen, die Privatpersonen, operative Gesellschaften, Holdingstrukturen, Trusts und Stiftungen umfassen — viele grenzüberschreitend, viele mit Bezug zu politisch exponierten Personen (PEP), alle betrieben auf Kernbankensystemen, die nie für das Tempo und die Granularität moderner Sorgfaltsprüfung konzipiert wurden. Da sich die aufsichtsrechtlichen Erwartungen von dokumentierten Verfahren zur nachweisbaren Wirksamkeit verschieben, wird die Lücke zwischen dem, was die Regulatoren erwarten, und dem, was manuelle Prozesse leisten können, immer größer.

Dieser Artikel betrachtet, warum die Last für Banken strukturell am schwersten ist, was die regulatorische Verschärfung 2026 tatsächlich verlangt, warum die Beziehung zu unabhängigen Vermögensverwaltern eine Datenteilungspflicht nach dem revidierten Art. 37 GwV-FINMA schafft und wo Automatisierung den messbarsten Ertrag über Onboarding, Screening und laufende Überwachung liefert.

1. Warum Banken die schwerste KYC/AML-Last tragen

Der Umfang der Pflicht einer Bank ist keine Frage des Grades — es ist ein Unterschied in der Art. Volumen, Komplexität der Entitäten und Altsysteme verstärken sich gegenseitig.

Volumen und Komplexität der Entitäten

Eine mittelgroße Schweizer Bank kann 20.000 bis 100.000 aktive Beziehungen halten, von denen jede Identifizierung, Feststellung des wirtschaftlich Berechtigten, ein dokumentiertes Risikoprofil, laufende Überwachung und periodische Überprüfung erfordert. Ein großer Teil dieser Beziehungen sind keine natürlichen Personen, sondern juristische Personen: operative Gesellschaften mit verschachtelten Aktionärsstrukturen, Holdingstrukturen über mehrere Jurisdiktionen hinweg, Trusts und Stiftungen, deren wirtschaftlich Berechtigte in keinem einzelnen Register sichtbar sind. Den letztlichen wirtschaftlich Berechtigten hinter einer fünfstufigen grenzüberschreitenden Struktur festzustellen, ist keine Formularübung; manuell ausgeführt verbraucht es zwei bis vier Stunden pro Dossier und hängt von der Fähigkeit des Analysten ab, Registerauszüge über Sprachen und Rechtssysteme hinweg zu lesen.

Korrespondenzbeziehungen, PEP und grenzüberschreitendes Risiko

Banken tragen zudem ein Risiko, das kleinere Intermediäre nicht haben. Korrespondenzbankbeziehungen erfordern Sorgfaltsprüfung des respondierenden Instituts und indirekt seiner Kunden. Ein einziger internationaler Kundenstamm vervielfacht das Sanktions- und PEP-Risiko über Dutzende täglich aktualisierter Beobachtungslisten. Und jede grenzüberschreitende Beziehung legt ein zweites Regulierungsregime über das schweizerische. Das Ergebnis ist ein Screening-Problem, das nicht in Hunderten von Alarmen, sondern in Zehntausenden pro Monat gemessen wird — mit einer False-Positive-Rate, die auf regelbasierten Systemen zwischen 90 % und 99 % liegt.

Altsysteme im Kern

Der letzte erschwerende Faktor ist die Infrastruktur. KYC-Daten liegen typischerweise in einer Kernbankenplattform, einem oder mehreren CRM-Systemen, einem Dokumentenarchiv und einem eigenständigen Screening-Tool — von denen keines dafür gebaut wurde, einen einzigen, aktuellen Kundendatensatz zu teilen. Analysten geben dieselben Daten über Systeme hinweg neu ein, gleichen widersprüchliche Versionen ab und stellen Überprüfungsdossiers von Hand zusammen. Die Last ist nicht nur die Arbeit selbst; es ist die Arbeit, Informationen zwischen Systemen zu bewegen, die nicht miteinander sprechen.

2. FINMA-Aufsicht und die regulatorische Verschärfung 2026

Drei zusammenlaufende Entwicklungen machen 2026 zum Jahr, in dem das manuelle Modell für Banken nicht mehr vertretbar ist.

Die revidierte GwV-FINMA

In ihrer Teilrevision der Geldwäschereiverordnung-FINMA — in der Vernehmlassung zwischen dem 12. Mai und dem 9. Juni 2026 — hat die Aufsichtsbehörde mehrere Sorgfaltserwartungen verschärft, darunter die Behandlung von Durchlaufkonten (in Abschnitt 3 erörtert). Die Richtung ist konsistent: granularere Überprüfung des wirtschaftlich Berechtigten, strengere Dokumentation der Begründung hinter Risikoklassifizierungen und weniger Toleranz für Dossiers, die formell vollständig, aber inhaltlich veraltet sind.

Das TJPG-Register der wirtschaftlich Berechtigten

Ab dem 1. Oktober 2026 führt das Bundesgesetz über die Transparenz juristischer Personen (TJPG) neben dem revidierten Geldwäschereigesetz ein eidgenössisches Register der wirtschaftlich Berechtigten ein und verpflichtet Intermediäre, die natürliche Person zu identifizieren, die eine juristische Person letztlich kontrolliert — unabhängig davon, wie viele verschachtelte oder Offshore-Strukturen dazwischenliegen — mit gesenkten Schwellenwerten und erweiterter Erfassung. Für eine Bank mit Zehntausenden von Unternehmensbeziehungen ist das Neu-Feststellen und Abgleichen des wirtschaftlich Berechtigten gegen ein neues Register ein Projekt, das manuelle Teams weder ohne Rückstau noch ohne Personalaufbau absorbieren können.

Vom Häkchen zur nachweisbaren Wirksamkeit

Die tiefste Verschiebung ist kein einzelner Artikel. Es ist der aufsichtsrechtliche Übergang von der Frage, ob Kontrollen existieren, zu der Frage, ob sie funktionieren. Die Erwartung für 2026 lautet nachweisbare Wirksamkeit: nachvollziehbare, zeitnahe, evidenzbasierte Entscheidungen, die konsistent über den gesamten Bestand angewandt werden. Eine Bank kann Konsistenz über 50.000 Beziehungen hinweg, die von Dutzenden von Analysten mit Urteilsvermögen und Tabellenkalkulationen überprüft werden, nicht nachweisen. Sie kann sie mit einem einzigen Datensatz pro Kunde, einer vollständigen Prüfspur und einer Überwachungs-Engine nachweisen, die jedes Mal dieselbe Logik anwendet.

3. Die GFI-Dimension: eine Datenteilungspflicht nach Art. 37 GwV-FINMA

Banken onboarden nicht nur ihre eigenen Direktkunden. Sie bedienen unabhängige Vermögensverwalter (GFI) — unabhängige Portfoliomanager, die die Vermögenswerte ihrer Kunden bei der Bank verwahren und Transaktionen im Namen dieser Kunden anweisen. Diese Beziehung steht im Zentrum des revidierten Art. 37 GwV-FINMA zu Durchlaufkonten.

Das Datenteilungsproblem

Nach dem revidierten Art. 37 darf eine Bank Zahlungen für die Kunden einer Gegenpartei nur dann ausführen, wenn diese die erforderlichen Sorgfaltspflichtinformationen bereitstellt, einschließlich des KYC-Profils der Endkunden. In der Praxis bedeutet dies, dass eine Bank, die unabhängige Vermögensverwalter bedient, die zugrunde liegende Sorgfaltsprüfung für Kunden, die sie nicht selbst onboardet, beschaffen, halten und nachweisen können muss. Die Information existiert — sie liegt in den Akten des GFI — aber im Format des GFI, nach dem Zeitplan des GFI. Die Bank benötigt sie in ihrem eigenen Format, aktuell und prüfbereit.

Dies verwandelt eine weiche Erwartung in eine harte Schranke. Kann der GFI kein vollständiges, aktuelles Dossier übergeben, muss die Bank die Beziehung verweigern oder einschränken oder das Dossier selbst neu aufbauen — und Wochen damit verbringen, einen Kunden neu zu dokumentieren, den der GFI bereits kennt. Über jeden GFI, den eine Bank bedient, multipliziert, ist dies eine strukturelle Belastung der Onboarding-Kapazität und ein wiederkehrendes Prüfrisiko. Eine gemeinsame Compliance-Ebene, bei der der GFI einen maßgeblichen Datensatz pflegt und ihn in der von der Bank geforderten Form teilt, ist genau das, was Art. 37 operativ notwendig macht — eine Dynamik, die in unserem Begleitartikel zu KYC/AML für GFI im Detail untersucht wird.

4. Wo Automatisierung Banken am meisten liefert

Automatisierung ersetzt nicht das Urteilsvermögen des Compliance-Verantwortlichen; sie beseitigt die manuelle Arbeit, die es umgibt. Für eine Bank sind die ertragreichsten Ziele die volumenstärksten, repetitivsten Aufgaben.

Onboarding und UBO-Auflösung

Digitale Onboarding-Abläufe erfassen und beglaubigen Kundendokumente einmal; OCR und NLP extrahieren und strukturieren die Daten; Ketten wirtschaftlich Berechtigter werden automatisch aus Registerdaten rekonstruiert. Ein Standard-Onboarding, das manuell 15 bis 21 Tage dauert — und bei komplexen Unternehmensstrukturen bis zu sechs Wochen — komprimiert sich auf zwei bis drei Stunden. Die UBO-Identifizierung sinkt von zwei bis vier Stunden auf Minuten.

Sanktions- und PEP-Screening und Triage

Der größte einzelne Effizienzhebel für eine Bank ist die Reduktion von False Positives. Kontextbezogenes, KI-gestütztes Scoring liest den vollständigen Entitätskontext, statt Zeichenketten abzugleichen, und senkt die False-Positive-Rate von 90–99 % auf 20–25 %. Da jeder False Positive 30 bis 60 Minuten Analystenzeit verbraucht und Banken die höchsten Alarmvolumina aller Intermediäre erzeugen, gewinnt allein diese Reduktion einen erheblichen Teil der Kapazität des Compliance-Teams zurück — wie in unserer Notiz zur Reduktion von Sanktions- und PEP-False-Positives dargelegt.

Perpetual KYC und periodische Überprüfungen

Die transformativste Verschiebung ist der Übergang von geplanten Überprüfungen zu Perpetual KYC (pKYC): kontinuierliche, ereignisgesteuerte Sorgfaltsprüfung, die das Dossier aktualisiert, wenn sich Umstände ändern, statt nach Kalender. Frühe Anwender beseitigen 70 bis 90 % der manuellen periodischen Überprüfungsarbeit, weil Dossiers nie veralten dürfen und Überprüfungen ausnahmegetrieben statt erschöpfend werden.

5. Die Integrationsrealität und das Change-Management

Für eine Bank ist die harte Frage nie, ob Automatisierung abstrakt funktioniert — sondern, ob sie in den bestehenden Bestand passt, ohne ein zweijähriges Ersatzprogramm.

Neben Kernbanken- und CRM-System stehen

Eine praktikable Compliance-Ebene integriert sich in die Kernbankenplattform, das CRM und bestehende Screening-Tools, statt sie zu ersetzen. Sie liest Kundendaten dort, wo sie liegen, schreibt strukturierte Sorgfaltsdatensätze und Entscheidungen zurück und wird zur einzigen Quelle der Wahrheit für KYC, ohne einen Rip-and-Replace von Systemen zu erzwingen, die die Bank jahrelang konfiguriert hat. Sicherheit und Datenresidenz sind Schwellenanforderungen, keine Funktionen — Schweizer Hosting, granulare Zugriffskontrolle und eine vollständige Prüfspur sind Voraussetzungen für jeden regulierten Einsatz.

Das Change-Management

Das größere Risiko ist organisatorisch. Analysten, die darauf geschult sind, Dossiers von Hand zu erstellen, müssen lernen, ein System zu überwachen, das sie automatisch erstellt — indem sie Ausnahmen und Grenzfälle prüfen statt jedes Feld. Der Übergang gelingt am besten, wenn Automatisierung Funktion für Funktion eingeführt wird: zuerst die False-Positive-Triage, wo der Gewinn unmittelbar und unstrittig ist, dann das Onboarding, dann der Übergang zur laufenden Überwachung. Die Governance muss explizit machen, welche Entscheidungen beim Menschen bleiben und welche an das System delegiert werden, damit die Prüfspur echte Aufsicht statt bloßen Abnickens widerspiegelt.

6. Der ROI-Fall für eine Bank

Der Business Case für eine Bank ist eine Funktion des Volumens: Dieselben Gewinne pro Dossier, die für ein kleines Unternehmen zählen, kumulieren sich über Zehntausende von Beziehungen.

Betrachten wir eine Bank mit einem Compliance-Team von 20 KYC-Analysten, jeder mit 80.000–110.000 CHF pro Jahr an Vollkosten, die Onboarding und periodische Überprüfungen über einen großen Bestand abwickeln. Im manuellen Modell betreut jeder Analyst 15 bis 25 Kunden pro Monat; allein die False-Positive-Triage verbraucht einen erheblichen Teil der Arbeitswoche, und periodische Überprüfungen kommen in Kalenderwellen, die wiederkehrende Rückstände erzeugen. Die Rekrutierung eines zusätzlichen Analysten dauert 6 bis 12 Wochen und verursacht Fixkosten.

Automatisierung ändert die Arithmetik an drei Fronten zugleich. Der Durchsatz pro Analyst steigt von 15–25 auf 80–120 Kunden pro Monat — ein vier- bis fünffacher Gewinn — während False Positives um rund drei Viertel sinken und das Onboarding von Wochen auf Stunden komprimiert. Die Kosten pro onboardetem Dossier sinken von 300–800 CHF auf 50–150 CHF. Und der Übergang zu Perpetual KYC beseitigt 70 bis 90 % der periodischen Überprüfungsarbeit, dort, wo sich Rückstände anhäufen. Der kombinierte Effekt ist nicht marginal: Teams berichten typischerweise von einem ROI im ersten Jahr von rund 200–260 % mit einer Amortisationszeit von drei bis vier Monaten und — oft wertvoller als die Zahl — der Beseitigung des Überprüfungsrückstaus, der eine Bank aufsichtsrechtlicher Kritik aussetzt.

Die vollständige ROI-Methodik schlüsselt diese Treiber Dossier für Dossier auf, aber die Kernaussage ist einfach: Bei einem Bankvolumen aggregieren sich selbst bescheidene Einsparungen pro Dossier zu zurückgewonnener Kapazität im Wert mehrerer Vollzeitäquivalente — Kapazität, die auf echte Risikoarbeit statt auf Neu-Dokumentation umgelenkt werden kann.

7. Wie Wecan Comply Banken hilft

Wecan Comply ist für den Umfang und die Komplexität gebaut, denen eine Bank tatsächlich gegenübersteht. Es gibt einer Bank einen einzigen, maßgeblichen, kontinuierlich gepflegten Sorgfaltsdatensatz pro Kunde — einmal erfasst, automatisch strukturiert und mit kontextbezogenem Scoring gescreent, das False Positives niedrig genug hält, damit ein großes Team Ausnahmen bearbeitet, statt in Alarmen zu ertrinken. Es löst den wirtschaftlich Berechtigten aus Registerdaten auf, führt eine vollständige Prüfspur für jede Entscheidung und unterstützt den Übergang von kalendergestützten Überprüfungen zu laufender, ereignisgesteuerter Überwachung.

Entscheidend für Banken, die unabhängige Vermögensverwalter bedienen: Wecan sitzt zwischen dem Institut und den GFI, mit denen es zusammenarbeitet. Der GFI pflegt einen einzigen maßgeblichen Datensatz und teilt ihn mit der Bank in der von ihr benötigten Form, wodurch das Institut die Endkunden-Sorgfaltspflichtinformationen erhält, die es nun nach dem revidierten Art. 37 GwV-FINMA benötigt, bevor es im Auftrag des Kunden ausführt — und die wochenlange Neu-Dokumentation beseitigt, die Datenteilungslücken andernfalls erzeugen.

Für einen Chief Compliance Officer oder Head of KYC ist die Wahl 2026 nicht, ob automatisiert werden soll, sondern wo begonnen wird. Bei einem Bankvolumen skaliert das manuelle Modell nicht auf die Erwartungen nachweisbarer Wirksamkeit ohne untragbaren Personalaufbau. Eine gemeinsame, automatisierte Compliance-Ebene verwandelt die Sorgfaltsprüfung von einem wachsenden Rückstau in einen kontrollierten, belegten und verteidigbaren Prozess — in dem Umfang, den eine Bank verlangt.