KYC: Erkennt Ihr Onboarding-Prozess Deepfakes wirklich?

Erkennt Ihr KYC-Prozess Deepfakes wirklich?

Einleitung

Ein Kunde eröffnet über sein Smartphone ein Online-Konto. Er lädt ein Ausweisdokument, einen Adressnachweis hoch und nimmt ein kurzes Video auf, um seine Identität zu bestätigen. Alles wirkt korrekt. Die Dokumente sind klar, die Angaben stimmig, und das Verifikationstool genehmigt den Vorgang. Doch nur wenige Stunden später wird dieses Konto bereits genutzt, um betrügerische Gelder zu transferieren. Die Dokumente waren gefälscht — erzeugt durch künstliche Intelligenz.

Das tatsächliche Ausmaß des Dokumentenbetrugs in KYC-Prozessen

KI-gestützter Dokumentenbetrug nimmt im Finanzsektor rasant zu.

Synthetische Inhalte, sogenannte deepfakeBild, Video oder Dokument, das durch KI-Software erstellt oder verändert wurde und für ein ungeübtes Auge authentisch wirkt., ermöglichen es heute, gefälschte Ausweisdokumente, falsche Gesichter oder gefälschte Adressnachweise mit einem Realismusgrad zu erstellen, der schwer zu erkennen ist.

Laut mehreren Analysen aus dem Finanzsektor zielen diese Angriffe direkt auf die Schritte der Kundenidentifizierung.

Die Zahl der Deepfake-bezogenen Vorfälle im europäischen Finanzdienstleistungssektor stieg 2023 um 780 % an. [Clifford Chance — Financial services face up to deepfake risks (2024)]

Diese gefälschten Inhalte können zentrale Schritte wie die Verifizierung KYCKnow Your Customer: regulatorisches Verfahren, das Finanzinstitute verpflichtet, die Identität ihrer Kunden zu prüfen, bevor eine Geschäftsbeziehung eingegangen wird. oder Kontrollen zur Geldwäscheprävention schwächen.

Deepfakes zählen heute zu den besorgniserregendsten Bedrohungen für die Identitätsprüfung im Finanzsektor. [RegTech Analyst — How deepfake-proof ID checks protect against financial crime (2023)]

In einigen Fällen nutzen Betrüger KI, um in wenigen Sekunden überzeugende Bank- oder Verwaltungsdokumente zu erstellen und diese dann zu verwenden, um AMLAnti-Money Laundering: Gesamtheit der Verfahren, die Finanzinstitute einsetzen, um Geldwäsche und Terrorismusfinanzierung zu erkennen und zu verhindern. Kontrollen zu umgehen.

Klassische Verifikationssysteme, die dafür entwickelt wurden, einfache Fälschungen zu erkennen, sind nicht immer in der Lage, diese raffinierteren Manipulationen zu identifizieren. [ComplianceHub — FinCEN Deepfake Alert (2024)]

Warum Banken und Fintechs besonders im Visier stehen

Weitgehend automatisierte Kontoeröffnungsprozesse

Die meisten Kontoeröffnungen basieren heute auf vollständig digitalen Customer Journeys. Dokumente werden automatisch verarbeitet, um die Kontoaktivierung zu beschleunigen. Diese Automatisierung verkürzt die Zeiten für legitime Kunden, eröffnet aber auch Betrügern, die generative KI-Tools nutzen, neue Chancen.

Kontrollen, die bei neuen Bedrohungen an ihre Grenzen stoßen

Viele Systeme setzen noch immer auf Technologien wie OCROptische Zeichenerkennung: Technologie, die Text aus einem gescannten Dokument oder Foto automatisch extrahiert, ohne dessen visuelle Struktur zu analysieren oder Manipulationen zu erkennen.. Diese Tools lesen den Text eines Dokuments, prüfen jedoch weder dessen visuelle Struktur noch mögliche Veränderungen. Ein Dokument kann daher perfekt lesbar sein und trotzdem vollständig gefälscht sein.

Zunehmender regulatorischer Druck

Compliance-Teams müssen Onboarding-Geschwindigkeit und strenge regulatorische Anforderungen in Einklang bringen. Jede Schwäche bei der Identifizierung eines Kunden kann das Institut erheblichen rechtlichen Konsequenzen aussetzen.

Warum aktuelle Abwehrmaßnahmen unter Druck geraten können

KYC-Prozesse stützen sich weiterhin weitgehend auf zwei Arten von Kontrollen.

Die erste ist menschlich: Ein Mitarbeiter prüft ein Dokument kurz am Bildschirm. Deepfakes sind jedoch genau darauf ausgelegt, das menschliche Auge zu täuschen.

Die zweite ist automatisiert: Diese Systeme prüfen Bildqualität oder Lesbarkeit des Textes, sind aber in der Regel nicht dafür ausgelegt, fortgeschrittene Manipulationen wie einen face-swapTechnik, bei der das Gesicht einer Person in einem Bild oder Video mithilfe von KI-Software durch das einer anderen ersetzt wird. oder ein vollständig KI-generiertes Dokument zu erkennen.

Ergebnis: Ein visuell glaubwürdiges Dokument kann alle Kontrollschritte passieren, ohne auffällig zu werden.

Rechtlicher und Compliance-Rahmen: worauf es ankommt

Die rechtlichen Folgen eines gefälschten Dokuments hängen stets von den konkreten Umständen, dem betroffenen Sektor, der rechtlichen Einordnung und der zuständigen Gerichtsbarkeit ab. In der Praxis ist für Organisationen vor allem entscheidend, einen verhältnismäßigen, nachvollziehbaren und dokumentierten Prüfprozess nachweisen zu können, mit menschlicher Überprüfung immer dann, wenn eine Entscheidung erhebliche Auswirkungen haben kann.

Die hier beschriebenen Kontrollen sind deshalb als Maßnahmen des Risikomanagements, der Compliance und der Beweissicherung zu verstehen. Jede endgültige Sperrung, Meldung, vertragliche Sanktion oder gerichtliche Maßnahme sollte weiterhin von den zuständigen Rechts- oder Compliance-Teams validiert werden.

Was Compliance-Teams konkret gewinnen

• Frühere Erkennung von Dokumenten, die in Onboarding-Strecken Anomalien aufweisen
• Vollständige Nachvollziehbarkeit der durchgeführten Dokumentenprüfungen
• Technische Elemente, die für interne Audits und regulatorische Untersuchungen archiviert werden können
• Geringere Exposition gegenüber Risiken durch Identitätsbetrug

Fazit

Deepfakes machen Dokumentenbetrug zu einer Bedrohung, die sich allein mit traditionellen Tools schwieriger erkennen lässt. Finanzinstitute sehen sich gefälschten Inhalten gegenüber, die Kontrollen umgehen können, die nicht für dieses Maß an Sophistizierung ausgelegt waren.

Gleichzeitig verschärfen europäische Regelwerke — NIS2, DORA, AI Act — die Anforderungen an Cybersicherheit, Nachvollziehbarkeit und Dokumentation der in KYC-Prozessen eingesetzten Systeme.

DeepForgery integriert sich in diese Prozesse, über API oder on-premise, um eine zusätzliche Analyseebene für kritische Dokumente bereitzustellen — und Compliance-Teams die technischen Nachweise zu liefern, die sie benötigen, um ihre Kontrollen zu dokumentieren und Entscheidungen zu begründen.