In Deutschland sind KYC-Prozesse („Know your customer”) stark reguliert. Gerade im Finanzsektor gehören VideoIdent, dokumentenbasierte Prüfungen, bankbasierte Verfahren, qualifizierte Vertrauensdienste und zunehmend auch eID-gestützte Methoden zum digitalen Onboarding. Doch Kriminelle greifen mittlerweile entlang der gesamten Kundenbeziehung an: Sie übernehmen bestehende Accounts, manipulieren Nutzer durch Social Engineering, ändern Kontakt- oder Auszahlungsdaten, missbrauchen Recovery-Prozesse oder umgehen Identitätsprüfungen mit gefälschten, manipulierten oder synthetischen Identitäten.
Diese Entwicklung zeigt sich besonders im Zahlungsverkehr. Der gemeinsame „2025 Report on Payment Fraud“ von EBA und EZB bestätigt, dass zwar starke Kundenauthentifizierung wirksam bleibt, Betrüger ihre Methoden jedoch anpassen und zunehmend auf die Manipulation von Zahlenden setzen. Auch der „2025 Payments Threats and Fraud Trends Report“ des European Payments Council verweist auf Social Engineering, Phishing, Identitätsdiebstahl und KI-gestützte Angriffe als zentrale Risiken im Zahlungsumfeld. KI erleichtert dabei die Erstellung glaubwürdiger Nachrichten, gefälschter Dokumente, manipulierter Stimmen oder personalisierter Betrugsversuche.
Ein ähnliches Bild zeichnete bereits der Signicat-Deutschland-Report „The Battle in the Dark: Insights on identity fraud in Germany“. In der im März 2025 durchgeführten Befragung unter 100 Verantwortlichen für Betrugsprävention und -bekämpfung in Deutschland berichteten 65 Prozent von einer Zunahme der Betrugsversuche innerhalb der vorangegangenen zwölf Monate; 64 Prozent beobachteten zugleich einen Anstieg erfolgreicher Angriffe. Die Ergebnisse verdeutlichen einen zentralen Trend: Identitätsbetrug betrifft nicht nur das Onboarding, sondern auch spätere Phasen der Kundenbeziehung. Für Unternehmen bedeutet das: Compliance allein reicht nicht aus. Identitätsprüfung muss mit risikobasierten Signalen, Verhaltensmustern, Geräteinformationen, Datenvalidierung und kontextbezogener Authentifizierung verbunden werden.
„Identitätsbetrug ist kein punktuelles Risiko mehr, das sich mit einer einmaligen Prüfung beim Onboarding beherrschen lässt. Angriffe verlagern sich in die Nutzung bestehender Konten, in Transaktionen und in Recovery-Prozesse. Unternehmen brauchen deshalb ein Sicherheitsmodell, das digitale Identität über den gesamten Lebenszyklus hinweg prüft und schützt – risikobasiert, nutzerfreundlich und regulatorisch belastbar“, sagt Philipp Wegmann, Country-Manager DACH bei Signicat, einem europäischen Anbieter von Lösungen für digitale Identität und Betrugsprävention sowie qualifizierter Vertrauensdiensteanbieter nach eIDAS.
Ein solcher Ansatz greift besonders dort, wo Betrug häufig entsteht: beim Log-in, bei sensiblen Transaktionen, bei Änderungen persönlicher Daten, beim Hinzufügen neuer Zahlungs- oder Leistungsempfänger, bei Passwort-Resets oder im Kundensupport. Meldet sich ein Nutzer plötzlich von einem unbekannten Gerät an oder versucht, zentrale Kontodaten zu ändern, sollte das System nicht nur ein Passwort abfragen, sondern das Risiko der konkreten Situation bewerten. Je nach Kontext kann dann eine stärkere Prüfung ausgelöst werden – etwa eine eID-basierte Step-up-Verifizierung, die NFC-gestützte Überprüfung der Echtheit eines elektronischen Ausweisdokuments, eine erneute biometrische Prüfung oder die Bestätigung über eine vertrauenswürdige mobile Identität.
Entscheidend ist die Orchestrierung: Unternehmen müssen Identitäts- und Authentifizierungsmethoden so kombinieren können, dass sie zum jeweiligen Risiko, zur regulatorischen Anforderung und zur Nutzungssituation passen. Ein risikoarmer Log-in sollte reibungslos bleiben, während kritische Aktionen stärkere Kontrollen erfordern. So entsteht ein Modell, das Betrug erschwert, ohne legitime Nutzer bei jedem Schritt unnötig zu belasten.
„Ein mehrschichtiger Ansatz hat sich hierbei bewährt“, sagt Wegmann. „Frühe Risikosignale, starke Identitätsprüfung, kontinuierliche Datenvalidierung, sichere Authentifizierung, KI-gestützte Betrugserkennung sowie die Sensibilisierung von Mitarbeitenden und Kunden müssen zusammen gedacht werden“.
Unternehmen in Deutschland sollten deshalb nicht nur BaFin- und GwG-konforme Onboarding-Prozesse abbilden, sondern den gesamten Lebenszyklus digitaler Identitäten absichern, sowie ihre KYC- und AML-Prozesse bereits jetzt auf die ab dem 10. Juli 2027 geltende europäische Anti-Geldwäscheverordnung (AMLR) vorbereiten. Dazu gehört, Identifizierungs- und Prüfverfahren an die künftigen Kundensorgfaltspflichten anzupassen, wirtschaftlich Berechtigte zuverlässig zu erfassen, Risikobewertungen nachvollziehbar zu dokumentieren und Kundendaten während der gesamten Geschäftsbeziehung aktuell zu halten.
Auch KI spielt dabei eine zentrale Rolle. Signicat empfiehlt, sie als Bestandteil eines solchen mehrschichtigen Betrugspräventionsmodells zu nutzen, das Risikosignale erkennt, Muster bewertet und Angriffe möglichst früh stoppt.
Mit EUDI-Wallet, Online-Ausweis und neuen europäischen Vorgaben entsteht in Deutschland ein neuer Rahmen für vertrauenswürdige digitale Identitäten. Mehr Sicherheit entsteht jedoch erst, wenn digitale Nachweise, Identitätsprüfung und Authentifizierung konsequent in die Prozesse entlang des gesamten Identitätslebenszyklus integriert werden.
Über Signicat
Signicat ist ein führender europäischer Anbieter von Lösungen für digitale Identitäten, Identitätsprüfung, Authentifizierung, elektronische Signaturen und Betrugsprävention. Die Digital Identity Platform des Unternehmens unterstützt Organisationen dabei, digitale Identifizierung über den gesamten Lebenszyklus hinweg sicher und nutzerfreundlich abzubilden – von der Identitätsprüfung über sichere Anmeldung und Zustimmung bis hin zum Abschluss digitaler Geschäftsprozesse.
