Kundenrisikobewertung

Der Kundenrisikowert ist der Punkt, an dem der risikobasierte Ansatz nicht länger nur eine Richtlinie ist, sondern zu einer Entscheidung über eine Person oder ein Unternehmen wird. Er bestimmt, wer vereinfachte, standardmäßige oder verstärkte Sorgfaltspflichten durchläuft, wie oft eine Akte überprüft wird und welche Überwachungsschwellen gelten. Ein Wert, den niemand erklären kann oder der fast alle als geringes Risiko einstuft, wird weder den Aufsichtsbehörden noch dem Unternehmen gerecht.

Von der unternehmensweiten Bewertung zum Kunden

Die unternehmensweite Risikobewertung (siehe die Lektion Der risikobasierte Ansatz) ermittelt die Risiken des Unternehmens nach Kundentyp, Produkt, Geografie, Kanal und Technologie. Die Kundenrisikoeinstufung wendet dieselben Faktoren auf jede Geschäftsbeziehung an. INR.10 ordnet Risikofaktoren drei Kategorien zu: Kunde, Land oder Geografie sowie Produkt, Dienstleistung, Transaktion oder Vertriebskanal. Ein Kryptounternehmen ergänzt eine vierte Kategorie, die es direkt messen kann: das On-Chain-Verhalten.

Das Ergebnis ist in der Regel eine Stufe (gering, mittel, hoch, manchmal unzulässig), die Folgendes bestimmt:

• den Umfang der Sorgfaltspflichten (siehe die Lektion Verstärkte und vereinfachte Sorgfaltspflichten);
• den Turnus regelmäßiger Überprüfungen;
• Überwachungsschwellen und -limits;
• wer die Geschäftsbeziehung genehmigen muss.

Auswahl von Faktoren und Gewichtungen

Faktoren erfüllen zwei unterschiedliche Funktionen. Bewertete Faktoren erhalten jeweils einen Wert, üblicherweise auf einer Skala von 1 bis 5, sowie eine Gewichtung; die gewichteten Werte werden addiert. Override-Faktoren legen unabhängig von der Summe eine Unter- oder Obergrenze fest: Ein bestätigter Sanktionslistentreffer macht die Geschäftsbeziehung unzulässig, und eine ausländische PEP wird nie niedriger als hoch eingestuft. Overrides sind notwendig, weil additive Modelle starke Risiken abschwächen: Ein schwerwiegender Faktor, gemittelt mit mehreren unbedenklichen, ergibt eine beruhigend wirkende mittlere Einstufung.

Die Gewichtungen sollten sich aus der unternehmensweiten Bewertung und dem Expertenurteil ableiten, samt Begründung schriftlich festgehalten und anschließend anhand der Ergebnisse getestet werden (siehe den Abschnitt zur Governance weiter unten). Die FATF schreibt keine Formel vor. Sie erwartet, dass die Methode dokumentiert und verhältnismäßig ist und einheitlich angewendet wird.

Durchgerechnetes Beispiel

Frau K, eine fiktive selbstständige Softwareentwicklerin mit Wohnsitz in Land B, beantragt über die App ein Konto, besteht die Fernverifizierung auf dem standardmäßigen Sicherheitsniveau des Unternehmens und gibt an, erwartungsgemäß etwa 20.000 USD pro Monat von ihrer bestehenden selbstverwahrten Wallet und ihrem Bankkonto einzuzahlen. Bevor Kryptoeinzahlungen freigeschaltet werden, überprüft das Unternehmen die beiden Adressen, von denen sie nach eigener Aussage einzahlen wird. Eine weist eine indirekte Risikoexposition von 8 % gegenüber Online-Glücksspieldiensten auf, über vier Zwischenstationen; keine der beiden Adressen weist eine Sanktionsrisikoexposition auf.

Bei einer Einstufung unter 2,00 als gering, von 2,00 bis 3,20 als mittel und über 3,20 als hoch wird Frau K als mittleres Risiko eingestuft: standardmäßige Sorgfaltspflichten, ein Überprüfungszyklus von zwei bis drei Jahren und die standardmäßigen Überwachungsschwellen des Unternehmens.

Ändern wir nun eine Tatsache: Ihre zweite Adresse hat direkt Gelder von einem Darknet-Marktplatz erhalten. Der On-Chain-Wert steigt auf 5, und der Gesamtwert beträgt nun 3,15 – weiterhin mittleres Risiko. Genau darin liegt das Problem der Abschwächung. Die Override-Tabelle des Unternehmens besagt, dass eine direkte Risikoexposition gegenüber einem Darknet-Marktplatz oder einem anderen illegalen Dienst oberhalb eines festgelegten Anteils der Zuflüsse mindestens eine hohe Einstufung erzwingt und verstärkte Sorgfaltspflichten hinsichtlich der Herkunft der Gelder auslöst. Das Override, nicht die Summe, führt zum richtigen Ergebnis.

Das Unternehmen speichert den Wert als Datensatz, den jede Person nachvollziehen kann:

{
  "customer_id": "C-31877",
  "model_version": "crr-2.4",
  "scored_at": "2026-10-02T08:15:00Z",
  "stage": "onboarding",
  "factors": [
    {"group": "customer", "weight": 0.35, "score": 2, "reason": "Einzelperson, keine PEP, keine negativen Medienberichte"},
    {"group": "geography", "weight": 0.25, "score": 3, "reason": "Wohnsitz als mittleres Risiko eingestuft"},
    {"group": "product_channel", "weight": 0.15, "score": 3, "reason": "Fiat-Zahlungsweg, Auszahlungen auf selbstverwahrte Wallets"},
    {"group": "on_chain", "weight": 0.25, "score": 3, "reason": "8 % indirekte Risikoexposition gegenüber Glücksspiel"}
  ],
  "weighted_total": 2.65,
  "overrides_applied": [],
  "band": "medium",
  "next_review_due": "2028-10-02",
  "manual_adjustment": null
}

Jeder Faktor enthält seine Gewichtung, seinen Wert und eine verständliche Begründung. Die Modellversion ist festgehalten, und Overrides sowie manuelle Anpassungen haben eigene Felder. So kann eine prüfende Person nachvollziehen, was die Einstufung verändert hat und warum.

Blockchain-Analysen beim Onboarding

Ein Kryptounternehmen kann die Angaben eines Kunden auf eine Weise überprüfen, die einer Bank selten möglich ist: indem es die Wallets betrachtet, die der Kunde angibt. Praktische Einsatzmöglichkeiten beim Onboarding:

• die vom Kunden angegebenen Adressen sowie alle Adressen, von denen die ersten Einzahlungen stammen, auf direkte und indirekte Risikoexposition gegenüber sanktionierten, illegalen und Hochrisikokategorien überprüfen;
• Alter und Verlauf der Wallet mit der angegebenen Herkunft der Gelder vergleichen: Eine Wallet, die angeblich „seit 2017 gehalten“ wird, aber erstmals im letzten Monat finanziert wurde, bedarf einer Erklärung;
• das Ergebnis in den On-Chain-Faktor und die Override-Tabelle einfließen lassen, statt es unmittelbar für eine automatische Ablehnung zu verwenden.

Eine einfache Entscheidungstabelle sorgt für einheitliches Vorgehen unter den Analysten:

Eine geringe indirekte Risikoexposition ist üblich, da die meisten aktiven Gelder innerhalb weniger Zwischenstationen an etwas Riskantem vorbeifließen, und Analysekennzeichnungen falsch oder veraltet sein können. Die Lektion Blockchain-Analysen zur Compliance behandelt Maße für die Risikoexposition und ihre Grenzen; der IDFE-BA-Kurs behandelt Clustering und Attribution ausführlich. Der Nachweis, dass der Kunde eine angegebene Adresse kontrolliert, wird in der Lektion Nicht gehostete Wallets und selbstverwahrte Transfers behandelt.

Onboarding- und laufende Bewertungen

Die Onboarding-Bewertung stützt sich weitgehend auf die Angaben des Kunden. Sobald das Konto aktiv ist, beobachtet das Unternehmen, was der Kunde tatsächlich tut. Daher sollte die laufende Bewertung die angegebenen Werte durch beobachtete Werte ersetzen: tatsächliche Volumina im Vergleich zu erwarteten Volumina, tatsächliche Gegenparteien und Risikoexposition, Warnmeldungsverlauf sowie Änderungen bei Geografie oder Geräten. Viele Unternehmen behandeln die Onboarding-Bewertung als vorläufig und nehmen nach den ersten 30 bis 90 Tagen Aktivität automatisch eine neue Bewertung vor.

Überprüfungen folgen zwei Zeitplänen:

• Regelmäßige Überprüfung, deren Häufigkeit sich nach der Einstufung richtet, zum Beispiel jährlich bei hohem Risiko und alle paar Jahre bei geringem Risiko; das Unternehmen legt den Turnus fest und begründet ihn.
• Anlassbezogene Überprüfung, sobald ein Ereignis darauf hindeutet, dass sich das Risiko verändert haben könnte: eine wesentliche Warnmeldung, ein Treffer auf einer Sanktions- oder PEP-Liste, negative Medienberichte, eine Änderung der Eigentumsverhältnisse oder des Wohnsitzes, die Nutzung eines neuen Produkts mit höherem Risiko oder die Reaktivierung eines ruhenden Kontos.

Eine Bewertung, die sich nur nach dem Kalender verändert, übersieht die wichtigsten Ereignisse.

Kalibrierung, Governance und Erklärbarkeit

Ein Bewertungsmodell ist ein Modell und benötigt die Kontrollen, die jedes Modell braucht.

• Kalibrierung: die Verteilung über die Einstufungen prüfen (wenn 97 % der Kunden ein geringes Risiko aufweisen, kann das Modell wahrscheinlich nicht ausreichend unterscheiden) und anhand von Ergebnissen wie eingereichten Verdachtsmeldungen, beendeten Geschäftsbeziehungen und bestätigtem Betrug rücktesten. Wurden die meisten dieser Kunden als geringes Risiko eingestuft, sind die Gewichtungen oder Faktoren falsch.
• Sensitivitätstests: jede Gewichtung innerhalb eines angemessenen Bereichs verändern und prüfen, wie viele Kunden dadurch in eine andere Einstufung wechseln. Große Veränderungen aufgrund kleiner Anpassungen bedeuten, dass die Einstufungsgrenzen falsch gesetzt sind.
• Datenqualität: Eine fehlende Angabe zu Beruf, Land oder erwartetem Volumen darf niemals standardmäßig zum niedrigsten Wert führen. Fehlende Werte sind als höheres Risiko zu behandeln oder das Onboarding ist bis zur Vervollständigung der Angaben zu sperren. Außerdem ist der Anteil der Bewertungen auszuweisen, die auf unvollständigen Daten beruhen.
• Governance: eine namentlich benannte Modellverantwortliche oder ein namentlich benannter Modellverantwortlicher, eine schriftliche Methodik, Versionskontrolle, Genehmigung von Änderungen durch die Geschäftsleitung oder den Compliance-Ausschuss sowie regelmäßige unabhängige Validierung durch eine Funktion, die das Modell nicht entwickelt hat.
• Overrides: Manuelle Änderungen benötigen einen Begründungscode und eine genehmigende Person; für Herabstufungen ist eine ranghöhere Genehmigung erforderlich als für Hochstufungen. Die Häufigkeit von Overrides je Analyst und Team ist zu überwachen.
• Erklärbarkeit: Jede Bewertung muss sich in für eine prüfende Person verständliche Faktorbeiträge aufschlüsseln lassen. Werden Machine-Learning-Modelle eingesetzt, muss das Unternehmen weiterhin zeigen können, welche Merkmale jedes Ergebnis beeinflusst haben, denn weder eine prüfende Person noch eine Kundenbeschwerde wird „Das hat das Modell so gesagt“ akzeptieren.

Prüfungsschwerpunkt: die Risikofaktorgruppen nach INR.10 und der On-Chain-Faktor, den ein Kryptounternehmen ergänzen kann; bewertete Faktoren im Vergleich zu Override-Faktoren und der Grund, weshalb additive Modelle schwerwiegende Risiken abschwächen; Berechnung eines gewichteten Werts und einer Einstufung anhand eines durchgerechneten Beispiels; Einsatz der Wallet-Überprüfung beim Onboarding als Faktor statt als automatische Ablehnung; vorläufige Onboarding-Bewertungen und laufende Bewertungen anhand beobachteter Daten; regelmäßige im Vergleich zu anlassbezogenen Überprüfungen; Kalibrierung, Rücktests und Sensitivitätstests; Governance von Overrides und Erklärbarkeit jeder Bewertung.