Perpetuelles KYC (pKYC): Kontinuierliche Kundenüberwachung 2026

Perpetuelles KYC (pKYC) bezeichnet einen grundlegenden Wandel in der Art und Weise, wie verpflichtete Unternehmen die Sorgfaltspflichten gegenüber ihren Kunden erfüllen. Statt die Identität eines Kunden einmalig bei der Geschäftsanbahnung zu überprüfen und anschließend in festgelegten Intervallen periodische Überprüfungen durchzuführen, beinhaltet pKYC eine kontinuierliche Überwachung des Risikoprofils des Kunden über die gesamte Dauer der Geschäftsbeziehung. Dieser Ansatz entspricht direkt den Anforderungen der Richtlinie (EU) 2024/1640 (AMLD6) und der AMLR-Verordnung (2024/1624), die eine permanente Wachsamkeit gegenüber Geschäftsbeziehungen verlangen.

Dieser Artikel dient ausschließlich der Information und stellt keine Rechts- oder Regulierungsberatung dar. Die regulatorischen Referenzen entsprechen dem Rechtsstand vom 24. Mai 2026. Bitte wenden Sie sich für eine auf Ihre Situation zugeschnittene Analyse an einen qualifizierten Fachmann.

Warum periodische KYC-Überprüfungen nicht mehr ausreichen

Das periodische KYC-Modell — jährliche Überprüfung für Hochrisikokunden, alle drei Jahre für Standardkunden — weist eine strukturelle Schwachstelle auf: Zwischen zwei Überprüfungen kann sich die Situation eines Kunden grundlegend verändern, ohne dass das Unternehmen davon Kenntnis erhält. Ein Kunde, der bei der Erstprüfung unauffällig war, kann am folgenden Tag auf eine Sanktionsliste gesetzt werden, seine wirtschaftlich Berechtigten ändern oder risikoreiche Aktivitäten aufnehmen.

Die FATF-Empfehlungen (überarbeitet 2023) sind eindeutig: Empfehlung 10 verlangt eine kontinuierliche Sorgfaltspflicht während der gesamten Dauer der Geschäftsbeziehung — nicht nur bei der Erstaufnahme. Der Begriff „kontinuierlich" hat eine präzise technische Bedeutung, die durch periodische Überprüfungen allein nicht erfüllt wird.

Das Geldwäschegesetz (GwG) schreibt in § 10 Abs. 1 Nr. 5 bereits die kontinuierliche Überwachung der Geschäftsbeziehung und die Sicherstellung, dass die erhobenen Daten aktuell gehalten werden, als Bestandteil der allgemeinen Sorgfaltspflichten vor. Die BaFin hat in ihren Auslegungshinweisen klargestellt, dass periodische Überprüfungen ohne ergänzende ereignisgesteuerte Überwachung diesen Anforderungen nicht genügen.

Nach dem ACFE-Bericht 2024 Report to the Nations entdecken manuelle periodische Kontrollen durchschnittlich nur 37 % der Betrugsfälle, mit einer mittleren Entdeckungsverzögerung von 87 Tagen. pKYC verkürzt diese Verzögerung strukturell, indem es Auffälligkeiten unmittelbar beim Auftreten der jeweiligen Ereignisse erfasst.

Vergleich: Periodisches KYC vs. perpetuelles KYC

Regulatorischer Rahmen: AMLD6, AMLR und BaFin-Anforderungen

Artikel 21 der AMLR (2024/1624), ab Juli 2027 direkt in allen EU-Mitgliedstaaten anwendbar, verpflichtet zur kontinuierlichen Überwachung aller Geschäftsbeziehungen — nicht als Option, sondern als bindende Verpflichtung. (EUR-Lex AMLR)

In Deutschland verpflichtet das GwG § 10 verpflichtete Unternehmen bereits zur kontinuierlichen Überwachung von Geschäftsbeziehungen einschließlich der dabei durchgeführten Transaktionen. Die BaFin erwartet bei ihren Prüfungen den Nachweis eines robusten, risikobasierten Überwachungssystems mit folgenden Elementen:

• Automatisches Screening gegen Sanktionslisten (UN, EU, nationale Listen) in Echtzeit oder nahezu in Echtzeit.
• Transaktionsmonitoring, das Abweichungen vom erwarteten Profil erkennt.
• Ereignisgesteuerte Auslöser, die eine Überprüfung aktivieren, wenn sich die Kundensituation wesentlich ändert.

Pflichtauslöser für eine Überprüfung außerhalb des periodischen Zyklus:

• Aufnahme des Kunden in eine neue Sanktionsliste (UN, EU, OFAC, nationale Listen).
• Änderung der wirtschaftlich Berechtigten im Transparenzregister.
• Transaktionen, die erheblich vom deklarierten Profil abweichen.
• Negative Medienberichterstattung mit Relevanz für das Geldwäscherisiko.
• Identifizierung von Verbindungen zu politisch exponierten Personen (PEP).

Für einen umfassenden Überblick über die KYC-Pflichten in Deutschland, siehe unseren vollständigen KYC-Leitfaden 2026 und unseren AMLD6-Compliance-Leitfaden für Verpflichtete.

Die vier Säulen eines effektiven pKYC-Programms

1. Ereignisgesteuertes Auslöser-Management

Der Kern des pKYC besteht darin, den Kalender durch Ereignisse zu ersetzen. Wenn sich etwas Wesentliches ändert — in den Kundendaten, in externen Registern, in Sanktionsdatenbanken oder im Transaktionsverhalten — löst das System eine gezielte Überprüfung aus. Typische Auslöser sind: neue Sanktionserfassung, Änderung der wirtschaftlich Berechtigten im Transparenzregister, Negativmeldung in der Presse, ungewöhnliche Transaktion, die durch das Überwachungssystem erkannt wurde, und das Ablaufen wichtiger Verifizierungsdokumente.

2. Kontinuierliches Screening von Sanktionen und PEPs

Sanktionslisten werden mehrmals pro Woche aktualisiert. Das Screening gegen die konsolidierten Listen der UN, der EU und nationaler Listen muss kontinuierlich erfolgen. Die Leitlinien der Europäischen Bankaufsichtsbehörde (EBA) zum Geldwäscherisikomanagement verlangen, dass das Screening nicht nur den direkten Kunden, sondern auch dessen wirtschaftlich Berechtigte, Bevollmächtigte und wesentliche Gegenparteien umfasst.

Für politisch exponierte Personen verlangt AMLD6 eine Risikoüberprüfung mindestens alle sechs Monate sowie eine sofortige Aktualisierung bei jeder Änderung der politischen Exposition des Kunden.

3. Transaktionsmonitoring und Verhaltensanalyse

Transaktionsmonitoring erkennt die Lücke zwischen dem erwarteten und dem tatsächlichen Kundenverhalten. Moderne pKYC-Systeme integrieren Transaktionsmonitoring als Datenquelle für die Gesamtrisikobewertung. Transaktionshinweise lösen automatisch Profilüberprüfungen für den betroffenen Kunden aus.

4. Intelligente Dokumentenorchestrierung

Wenn ein Ereignis eine Pflichtaktualisierung auslöst, fordert das pKYC-System ausschließlich die konkret erforderlichen Dokumente an — keine vollständige Neuverifizierung. Die CheckFile-Plattform deckt über 3.200 Dokumenttypen in 32 Jurisdiktionen ab und ermöglicht damit kontinuierliche Verifizierung in komplexen grenzüberschreitenden Kontexten. Für technische Integrationsdetails, siehe unseren Dokumentenprüfungs-API-Leitfaden.

Implementierung: vom periodischen KYC zum pKYC

Schritt 1: Segmentierung des Kundenportfolios nach Risikoebene

Klassifizieren Sie Ihr Portfolio, bevor Sie eine kontinuierliche Überwachung einführen: Hochrisiko (PEPs, Kunden in Hochrisikoländern, komplexe Unternehmensstrukturen), Standardrisiko und vereinfachte Sorgfalt, wo anwendbar. Überwachungsintensität, Auslöseschwellen und verbleibende Überprüfungsfrequenz variieren je nach Ebene.

Schritt 2: Anbindung externer Datenquellen

Ein pKYC-System ist nur so gut wie seine Dateneingaben. Verbinden Sie: Sanktionsdatenbanken, das Transparenzregister, Negativpressequellen und das interne Transaktionsüberwachungssystem. Die Automatisierung dieser Verbindungen eliminiert manuelle Stapelverarbeitungsprozesse und liefert die nahezu echtzeitnahe Sichtbarkeit, die Aufsichtsbehörden erwarten.

Schritt 3: Eskalations- und Dokumentationsstandards festlegen

Jede generierte Warnung, jede getroffene Entscheidung und jede Dokumentenaktualisierung muss mit Zeitstempel und Begründung protokolliert werden. Die BaFin erwartet bei Prüfungen, dass Unternehmen nachweisen können, dass ihre kontinuierliche Überwachung systematisch, risikoproportional und vollständig nachprüfbar ist.

Mindestüberprüfungsfrequenzen nach Risikoprofil

FIU Deutschland und Meldepflichten nach § 43 GwG

pKYC ist untrennbar mit den Meldepflichten nach § 43 GwG verknüpft. Wenn das System einen Sachverhalt erkennt, der Anhaltspunkte für Geldwäsche, Terrorismusfinanzierung oder eine der in § 43 Abs. 1 GwG genannten Vortaten liefert, muss das verpflichtete Unternehmen unverzüglich der Zentralstelle für Finanztransaktionsuntersuchungen (FIU) Meldung erstatten. Die FIU wird vom Zollkriminalamt betrieben und empfängt Verdachtsmeldungen über das System goAML. Ein gut konzipiertes pKYC-System erzeugt automatisch die strukturierten Daten, die für eine vollständige und fristgerechte Verdachtsmeldung erforderlich sind.

Die Integration des Transparenzregisters in das pKYC-System ist ein kritischer Bestandteil der deutschen Compliance-Anforderungen nach GwG. Änderungen bei den wirtschaftlich Berechtigten — neue Anteilseigner, geänderte Beteiligungsquoten, Wechsel der Geschäftsführung oder der Kontrollstruktur — sind obligatorische Auslöser für eine aktualisierte Risikoanalyse. Das System muss diese Änderungen automatisch verarbeiten und eine Profilüberprüfung einleiten, ohne auf manuelle Abfragen angewiesen zu sein. Unternehmen, die Transparenzregister-Änderungen ausschließlich manuell überprüfen, riskieren, wesentliche Änderungen erst bei der nächsten periodischen Überprüfung zu entdecken — ein Muster, das die BaFin in ihren Auslegungshinweisen explizit als unzureichend eingestuft hat.

Mit dem Inkrafttreten der AMLR ab Juli 2027 und der Errichtung der Europäischen Anti-Geldwäsche-Behörde (AMLA) wird ein zentralisierter EU-weiter Zugang zu Transparenzregisterdaten ermöglicht, was die grenzüberschreitende pKYC-Überwachung für deutsche Institute mit internationalen Kundenbeziehungen erheblich vereinfachen wird.

Operative Vorteile jenseits der Compliance

pKYC bietet erhebliche operative Vorteile. Laut einer Analyse des Capgemini Research Institute aus dem Jahr 2025 berichten Unternehmen, die ein ausgereiftes pKYC-Rahmenwerk implementiert haben, von einer Kostenreduzierung von 35 bis 40 % bei den KYC-Überprüfungskosten bei vergleichbarem Portfolio.

Die Reduzierung der Kundenreibung ist ebenfalls messbar: Anstatt den Kunden alle 12 oder 36 Monate um die erneute Einreichung aller Dokumente zu bitten, kontaktiert pKYC ihn nur dann, wenn ein Ereignis eine Aktualisierung tatsächlich rechtfertigt. Für die Optimierung Ihres Kunden-Onboarding-Prozesses, nutzen Sie die CheckFile-Plattform zur automatisierten Dokumentenprüfung.

Häufig gestellte Fragen

Was ist der Unterschied zwischen perpetuellem KYC und Transaktionsmonitoring?

Transaktionsmonitoring analysiert die Transaktionen, die ein Kunde durchführt — auf der Suche nach ungewöhnlichen Volumina, Mustern oder Gegenparteien. Perpetuelles KYC überwacht die Identität des Kunden, seine wirtschaftlich Berechtigten und seinen Sanktionsstatus, unabhängig von konkreten Transaktionen. Beide sind gemäß GwG verpflichtend und ergänzen sich gegenseitig.

Ersetzt pKYC periodische Überprüfungen vollständig?

Nein. Die Mindestfrequenzen für periodische Überprüfungen bleiben in Kraft — jährlich für Hochrisikokunden, alle drei Jahre für Standardrisiko gemäß AMLR. pKYC fügt eine ereignisgesteuerte Schicht über diese Minima hinzu, sodass Kunden überprüft werden, wenn wesentliche Änderungen eintreten, ohne auf die nächste geplante Überprüfung warten zu müssen.

Welche Sanktionen kann die BaFin bei einem unzureichenden pKYC-Programm verhängen?

Die BaFin kann nach § 56 GwG Bußgelder von bis zu 5 Millionen Euro oder 10 % des Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist. Bei schwerwiegenden Verstößen sind zusätzlich die öffentliche Bekanntmachung der Maßnahme und der Entzug der Zulassung möglich.

Welche Nachweise erwartet die BaFin von einem pKYC-Programm?

Dokumentierte risikobasierte Richtlinien, die erläutern, wie Auslöseereignisse definiert und eskaliert werden; vollständige Auditprotokolle von Warnungen, Überprüfungen und Entscheidungen; Nachweis, dass Warnungen innerhalb definierter Fristen bearbeitet werden; und Schulungsunterlagen, die zeigen, dass das Compliance-Team das Programm versteht.

---

Für den Aufbau eines vollständigen Compliance-Programms, lesen Sie unseren Leitfaden zur Dokumenten-Compliance. Besuchen Sie CheckFile, erkunden Sie unsere Sicherheitsarchitektur oder prüfen Sie unsere Preispläne.