Aufdeckung von Briefkastenfirmen bei KYC: Was die FATF von der webbasierten Sorgfaltspflicht erwartet

Banken, die die Sorgfaltspflicht gegenüber Kunden (Customer Due Diligence, CDD) über automatisierte, webbasierte Prozesse durchführen, stehen vor einem strukturellen Widerspruch: Die FATF-Empfehlung 24 (überarbeitet im März 2022) verlangt genaue und aktuelle Informationen über die wirtschaftlichen Eigentümer, doch die meisten kommerziellen KYC-Plattformen stützen sich auf Registerdaten, die naturgemäß veraltet, je nach Rechtsordnung unvollständig und in grenzüberschreitenden Durchsetzungsszenarien rechtlich nicht bindend sind. In der Kluft zwischen regulatorischen Erwartungen und technischer Realität verbirgt sich das Risiko von Briefkastenfirmen.

Was die FATF-Empfehlung 24 tatsächlich verlangt

Die überarbeitete R.24 wechselt ausdrücklich von einem auf Registerdaten basierenden Modell zu einem Modell der Überprüfung aus mehreren Quellen. Absatz 10(b) verlangt, dass die zuständigen Behörden Informationen über die wirtschaftlichen Eigentümer über „mindestens einen“ der folgenden Mechanismen einholen können: ein zentrales Register, unternehmensinterne Aufzeichnungen oder Aufzeichnungen von Finanzinstituten. Das entscheidende Wort ist „einholen“ – nicht bloß „heranziehen“. Für Banken bedeutet dies eine Verpflichtung gemäß ihrer nationalen Geldwäschegesetzgebung (z. B. § 15 GwG in Deutschland, Vorschrift 5 der britischen MLR 2017), UBO-Erklärungen nicht nur zu erfassen, sondern auch zu überprüfen.

Die FATF-Leitlinien zur wirtschaftlichen Eigentümerschaft juristischer Personen (März 2023) stellen weiter klar, dass Nominee-Vereinbarungen, mehrschichtige Holdingstrukturen und Inhaberaktien eine verstärkte Prüfung erfordern, die durch keinen einzelnen API-Aufruf an das Companies House oder das Transparenzregister erfüllt werden kann. Webbasierte KYC-Tools, die Registerabfragen als Verifizierung behandeln – anstatt als einen Datenpunkt, der einer Bestätigung bedarf –, entsprechen nicht der Absicht von R.24.

Die technische Architektur webbasierter KYC-Lösungen und ihre Schwachstellen

Die meisten KYC-Plattformen für Unternehmen arbeiten über REST-API-Orchestrierung: Sie fragen kommerzielle Datenaggregatoren (Dun & Bradstreet, Bureau van Dijk Orbis, LexisNexis RiskNarrative) ab, die ihrerseits Registerdaten zwischenspeichern. Die Verzögerung zwischen einer Registeraktualisierung und deren Erscheinen in der Datenbank eines Aggregators beträgt üblicherweise 30–180 Tage. Während dieses Zeitfensters bleibt eine frisch umstrukturierte Mantelgesellschaft mit einem neu eingesetzten Nominee-Direktor für die automatisierte Prüfung unsichtbar.

Drei spezifische technische blinde Flecken verdienen besondere Beachtung:

1. WHOIS/DNS-Korrelation für den digitalen Fußabdruck von Unternehmen: Eine vor sechs Wochen gegründete Mantelgesellschaft weist typischerweise eine zeitgleich registrierte Domain auf, bei der WHOIS-Datenschutz aktiviert ist, NS-Einträge auf datenschutzkonforme Registrare wie Njalla verweisen und keine MX-Einträge auf aktive Geschäftstätigkeiten hindeuten. Der Abgleich von RDAP (Registration Data Access Protocol, der Nachfolger von WHOIS) mit den Unternehmensregistrierungsdaten ist ein kostengünstiges Signal, das von den meisten KYC-Plattformen völlig ignoriert wird.
2. TLS-Zertifikat-Transparenz-Protokolle: Zertifikat-Transparenz-Protokolle (CT) gemäß RFC 6962 sind über crt.sh öffentlich durchsuchbar. Ein Unternehmen, das eine 10-jährige Geschäftstätigkeit mit einem TLS-Zertifikat angibt, das erst vor 60 Tagen erstmals protokolliert wurde, weist eine unmittelbare Unstimmigkeit auf. Automatisierte CT-Protokollabfragen sollten ein standardmäßiger Anreicherungsschritt in jeder webbasierten Due-Diligence-Pipeline sein.
3. Analyse von HTTP-Antwort-Headern: Seriös operierende Unternehmen hinterlassen spezifische serverseitige Fingerabdrücke. Eine Unternehmenswebsite, die Server: cloudflare einen cf-ray Header, aber keine Set-Cookie oder Sitzungsverwaltungs-Header deutet auf eine statische Fassade hin – was mit der Strategie einer Shell-Firma für minimale Webpräsenz übereinstimmt. Dies ist zwar nicht schlüssig, trägt aber zu einer probabilistischen Risikobewertung bei.

Länderspezifische Lücken in Registern, die die automatisierte CDD untergraben

Die 5. und 6. Geldwäscherichtlinie der EU (5AMLD Art. 30, 6AMLD) schrieben über das Business Registers Interconnection System (BRIS) vernetzte UBO-Register vor. Das Urteil des EuGH in den verbundenen Rechtssachen C-37/20 und C-601/20 (WM und Sovim SA gegen die luxemburgischen Handelsregister, November 2022) erklärte jedoch die Anforderung des öffentlichen Zugangs zu UBO-Registern für unvereinbar mit den Art. 7 und 8 der EU-Grundrechtecharta und damit für ungültig. Mehrere Mitgliedstaaten – darunter Luxemburg, Deutschland (§ 23a GwG) und die Niederlande – schränkten daraufhin den öffentlichen Zugang zu den Registern ein.

Dies führt zu einem direkten Compliance-Paradoxon: Banken müssen bei Kunden mit hohem Risiko (Art. 18 4AMLD, nun über nationales Recht umgesetzt) eine verstärkte Sorgfaltsprüfung durchführen und dabei UBO-Daten verwenden, deren Nutzung durch die Register gesetzlich eingeschränkt ist. In der Praxis bedeutet dies, dass Zugangsanfragen aus berechtigtem Interesse an nationale UBO-Register nun für jede Kundenakte mit hohem Risiko verfahrenstechnisch dokumentiert werden müssen – ein manueller Schritt, den automatisierte KYC-Pipelines nicht ersetzen können.

Signale zur Erkennung von Scheinfirmen jenseits von Registerdaten

Der FATF-Bericht vom Juni 2023 über die Verschleierung der wirtschaftlichen Eigentumsverhältnisse identifiziert sieben strukturelle Warnsignale, die webbasierte Tools mit vorhandenen Datenquellen operationalisieren können:

• Konzentration von registrierten Vertretern: Wenn die registrierte Adresse auf einen bekannten Massenregistrierungsagenten verweist (Querverweis mit der ICIJ Offshore Leaks-Datenbank über API), sollte die Risikostufe automatisch angehoben werden.
• Analyse des Netzwerks von Geschäftsführern: Eine graphbasierte Analyse von Überschneidungen bei Geschäftsführern – verfügbar über die OpenCorporates-API – kann Personen identifizieren, die in statistisch ungewöhnlich vielen Unternehmen über mehrere Rechtsordnungen hinweg als Geschäftsführer tätig sind.
• Geschwindigkeit von der Gründung bis zur Transaktion: Ein Unternehmen, das weniger als 180 Tage vor der Einleitung einer bedeutenden Transaktion gegründet wurde, rechtfertigt eine automatische erweiterte Sorgfaltsprüfung (Enhanced Due Diligence, EDD) im Rahmen jedes risikobasierten Ansatzes, der mit der FATF-Methodik, Absatz 10.3, im Einklang steht.
• Unplausibilität des SIC/NACE-Codes: Ein als Florist registriertes Unternehmen, das versucht, Transaktionen im Bereich der Rohstoffhandelsfinanzierung abzuwickeln, verursacht eine Diskrepanz zwischen Geschäftszweck und Registrierung, die unabhängig vom einwandfreien Registrierungsstatus eine Bewertung als verdächtige Transaktion (SAR) auslösen sollte.

EDPB-Beschränkungen bei der grenzüberschreitenden Datenanreicherung

Eine webbasierte Sorgfaltsprüfung beinhaltet zwangsläufig die Übermittlung personenbezogener Daten (Namen der wirtschaftlich Berechtigten, Adressen, Ausweisscans) an Datenverarbeiter in Drittländern – typischerweise an KYC-Anbieter mit Sitz in den USA. Nach dem Urteil in der Rechtssache Schrems II (C-311/18) erfordert dies entweder die Inanspruchnahme des EU-US-Datenschutzrahmens (Angemessenheitsbeschluss vom Juli 2023, der bereits von noyb rechtlich angefochten wird) oder Standardvertragsklauseln (SCCs, Beschluss 2021/914 der Kommission), ergänzt durch eine dokumentierte Folgenabschätzung zur Datenübermittlung (TIA).

Die EDPB-Leitlinien 05/2021 zu SCCs legen fest, dass TIAs den rechtlichen Rahmen des Empfängerlandes, einschließlich der Überwachungsgesetze, bewerten müssen. Banken, die US-amerikanische KYC-Anbieter nutzen, müssen in ihrer TIA-Schlussfolgerung dokumentieren, dass der Zugriff gemäß FISA Section 702 die SCC-Schutzmaßnahmen nicht untergräbt – eine Schlussfolgerung, die angesichts des dokumentierten Umfangs des PRISM-Programms rechtlich schwer aufrechtzuerhalten ist. Datenschutzbeauftragte sollten sicherstellen, dass Verträge mit KYC-Anbietern Artikel-28-DSGVO-konforme Bestimmungen zur Datenverarbeitungsvereinbarung (DPA), explizite Listen von Unterauftragsverarbeitern mit Benachrichtigungspflichten sowie Klauseln zur Datenminimierung enthalten, die den Umfang der Datenanreicherung auf für AML-Zwecke relevante Felder beschränken.

Umsetzbare Empfehlungen

1. Implementierung einer UBO-Überprüfung aus mehreren Quellen: Registerdaten plus CT-Log-Prüfung plus RDAP-Abfrage plus Analyse des Netzwerks der Geschäftsführer – alle vier als Pflichtfelder behandeln, bevor die CDD als abgeschlossen markiert wird, nicht als optionale Anreicherung.
2. Verfahren für den Zugriff aufgrund berechtigter Interessen festlegen: Für Hochrisikokunden nach WM und Sovim eine standardisierte Vorlage für Zugriffsanfragen aufgrund berechtigter Interessen für das UBO-Register jedes relevanten Mitgliedstaats erstellen und diese in der Kundenakte dokumentieren.
3. Integrieren Sie die Rückverfolgbarkeit gemäß FATF R.24 in Ihre KYC-Plattform: Jeder Datenpunkt, der zur Ermittlung des wirtschaftlich Berechtigten herangezogen wird, sollte mit einem Zeitstempel und einer Quellenangabe versehen sein. Aufsichtsbehörden (BaFin, FCA, DNB) verlangen zunehmend Prüfpfade, die belegen, dass die wirtschaftlichen Eigentumsverhältnisse überprüft und nicht nur angegeben wurden.
4. Überprüfen Sie die TIAs Ihrer KYC-Anbieter jährlich neu: Angesichts der anstehenden rechtlichen Herausforderungen im Zusammenhang mit dem DPF und der sich weiterentwickelnden Leitlinien des EDPB sollten TIAs als lebende Dokumente behandelt werden und nicht als einmalige Abnahmen. Richten Sie einen Kalender-Trigger für die Überprüfung ein, sobald eine Stellungnahme des EDPB zur Stabilität des DPF vorliegt.
5. Integrieren Sie ICIJ- und OpenCorporates-APIs direkt: Anstatt sich auf Aggregatoren zu verlassen, um negative Medienberichte aufzudecken, sollten Sie offene strukturierte Datensätze direkt abfragen, um die Latenz von Aggregatoren zu vermeiden und eine unabhängige Verifizierungskette aufrechtzuerhalten.

Die regulatorische Ausrichtung ist eindeutig: Die Methodik der 4. Runde der gegenseitigen Bewertung der FATF bewertet Länder – und damit auch deren beaufsichtigte Institute – hinsichtlich der Wirksamkeit der Überprüfung der wirtschaftlichen Eigentumsverhältnisse und nicht nur hinsichtlich der bloßen technischen Einhaltung von Erhebungspflichten. Banken, deren webbasierte KYC-Pipelines keine Bestätigung von Angaben zu wirtschaftlichen Eigentümern aus mehreren Quellen nachweisen können, werden sowohl bei aufsichtsrechtlichen Prüfungen als auch bei Entscheidungen zur Risikominderung im Korrespondenzbankgeschäft zunehmend Beanstandungen ausgesetzt sein.