Thought Leadership
Identitätsbetrug verlagert sich zunehmend auf bestehende Konten. Unternehmen müssen KYC-Prozesse über das Onboarding hinaus als Daueraufgabe etablieren.
In Deutschland unterliegen KYC-Prozesse (Know Your Customer) im Finanzsektor einer strikten Regulierung. Verfahren wie VideoIdent, bankbasierte Methoden oder eID-gestützte Systeme kommen standardmäßig beim digitalen Onboarding zum Einsatz. Allerdings verlagern sich kriminelle Aktivitäten zunehmend auf spätere Phasen der Kundenbeziehung, berichtet Signicat. Angreifer konzentrieren sich vermehrt auf die Übernahme bestehender Konten, die Manipulation von Nutzern durch Social Engineering sowie den Missbrauch von Recovery-Prozessen und die Änderung von Auszahlungsdaten.
Studien belegen Zunahme von Identitätsbetrug
Diese Entwicklung wird durch internationale Marktstudien gestützt. Der gemeinsame Report zu Zahlungsbetrug der Europäischen Bankenaufsichtsbehörde (EBA) und der Europäischen Zentralbank (EZB) aus dem Jahr 2025 stellt fest, dass Betrüger trotz starker Kundenauthentifizierung vermehrt auf die direkte Manipulation von Zahlenden setzen. Der Payments Threats and Fraud Trends Report des European Payments Council verweist ebenfalls auf KI-gestützte Angriffe, Phishing und Identitätsdiebstahl als Kernrisiken. Künstliche Intelligenz ermöglicht es dabei, betrügerische Nachrichten, Dokumente und Stimmen authentischer zu gestalten.
Laut einer Erhebung des Identitätsdienstleisters Signicat vom März 2025 unter 100 deutschen Verantwortlichen für Betrugsprävention verzeichneten 65 Prozent der Befragten einen Anstieg der Betrugsversuche innerhalb von zwölf Monaten. Zudem beobachteten 64 Prozent eine höhere Erfolgsquote bei den Angriffen. Dies verdeutlicht, dass statische Prüfungen bei der Kontoeröffnung allein nicht mehr ausreichen, um Plattformen langfristig abzusichern.
Risikosignale und kontextbezogene Authentifizierung
Um auf diese veränderte Bedrohungslage zu reagieren, rückt eine dynamische Überprüfung während des gesamten Kundenlebenszyklus in den Fokus. Hierbei werden Verhaltensmuster, Geräteinformationen und Datenvalidierungen verknüpft, um sensible Aktionen wie Log-ins, Passwort-Resets oder Änderungen von Kontodaten abzusichern. Weicht ein Zugriff vom normalen Nutzerverhalten ab, können automatisierte Folgemaßnahmen wie eine eID-basierte Verifizierung oder biometrische Abfragen ausgelöst werden. Philipp Wegmann, Country-Manager DACH bei Signicat, kommentiert die veränderte Lage:
„Identitätsbetrug ist kein punktuelles Risiko mehr, das sich mit einer einmaligen Prüfung beim Onboarding beherrschen lässt. Angriffe verlagern sich in die Nutzung bestehender Konten, in Transaktionen und in Recovery-Prozesse. Unternehmen brauchen deshalb ein Sicherheitsmodell, das digitale Identität über den gesamten Lebenszyklus hinweg prüft und schützt – risikobasiert, nutzerfreundlich und regulatorisch belastbar.“
Philipp Wegmann, Country-Manager DACH bei Signicat
Vorbereitung auf die europäische Anti-Geldwäscheverordnung
Neben der technologischen Abwehr müssen Unternehmen in Deutschland auch regulatorische Anpassungen einplanen. Ab dem 10. Juli 2027 tritt die neue europäische Anti-Geldwäscheverordnung (AMLR) in Kraft. Diese verpflichtet Organisationen dazu, ihre KYC- und AML-Prozesse zu verschärfen, wirtschaftlich Berechtigte lückenlos zu erfassen und Kundendaten über die gesamte Dauer der Geschäftsbeziehung hinweg kontinuierlich zu aktualisieren.
In diesem Kontext gewinnt auch der Einsatz von Systemen an Bedeutung, die KI zur Früherkennung von Betrugsmustern nutzen. Wegmann betont hierzu: „Ein mehrschichtiger Ansatz hat sich hierbei bewährt. Frühe Risikosignale, starke Identitätsprüfung, kontinuierliche Datenvalidierung, sichere Authentifizierung, KI-gestützte Betrugserkennung sowie die Sensibilisierung von Mitarbeitenden und Kunden müssen zusammen gedacht werden“
Durch die Einführung der EUDI-Wallet und des Online-Ausweises verändert sich der gesetzliche Rahmen für digitale Identitäten in Deutschland grundlegend. Eine nachhaltige Steigerung des Sicherheitsniveaus lässt sich jedoch nur erzielen, wenn diese digitalen Nachweise dauerhaft in alle nachgelagerten Geschäftsprozesse integrated werden.
(Signicat/red)
