VideoIdent-Verfahren: die Regeln hinter dem Videoanruf

Das Geldwäschegesetz, kurz GwG, verpflichtet Banken, Zahlungsinstitute und Kryptodienstleister, vor Beginn der Geschäftsbeziehung festzustellen, wer ihr Vertragspartner ist. Die Identifizierung ist der engste Teil dieser Pflicht: Name, Geburtsdatum und Geburtsort, Adresse und Staatsangehörigkeit erheben und anschließend gegen ein Dokument prüfen, das das Gesetz zulässt. Daneben stehen die weiteren Sorgfaltspflichten, der Zweck der Geschäftsbeziehung und die laufende Überwachung, die KYC in Deutschland und Geldwäscheprävention in Deutschland behandeln.

In der Filiale heißt Prüfen, dass jemand den Pass in der Hand hält. Das GwG lässt auch Verfahren ohne körperliche Anwesenheit zu, und daraus ist das VideoIdent-Verfahren entstanden. Die Pflicht bleibt in beiden Fällen dieselbe. Die Aufsicht fragt bei einem Fernverfahren deshalb nur, ob es ein Sicherheitsniveau erreicht, das dem Schalter entspricht.

Das Regelwerk ist das BaFin-Rundschreiben 3/2017 (GW) vom 10. April 2017, in Kraft seit dem 15. Juni 2017, das das frühere Rundschreiben 1/2014 (GW) ersetzt hat. Es gilt für alle Verpflichteten nach dem GwG, die die BaFin beaufsichtigt, und liest sich als Liste von Bedingungen, nicht als Erlaubnisschein.

Die Sitzung darf nur geschultes Personal des Verpflichteten führen oder ein Dritter, an den die Pflicht ausgelagert wurde, und dieses Personal sitzt in abgetrennten Räumen mit Zutrittskontrolle. Der Videochat muss Ende zu Ende verschlüsselt sein, die Identifizierung läuft in Echtzeit und ohne Unterbrechung. Ein aufgezeichnetes Video genügt dem GwG nicht. Der Mitarbeiter prüft die Sicherheitsmerkmale des Dokuments aus den Kategorien, die das Rundschreiben nennt, darunter beugungsoptisch wirksame Merkmale wie Hologramme, die Personalisierungstechnik, das Material und der Sicherheitsdruck. Während der Übertragung gibt die Person eine Zahlenfolge ein, eine TAN, die zentral für genau diese Sitzung erzeugt und per E-Mail oder SMS zugestellt wurde. Dieser Code ist der Grund, warum eine Sitzung nicht aus Einzelteilen zusammengesetzt werden kann: Er bindet den laufenden Anruf an einen Kanal, über den der Anbieter die Person schon erreicht.

Ein Rundschreiben beschreibt eine Aufsichtspraxis. Das Bundesministerium der Finanzen hat einen Entwurf vorgelegt, der denselben Inhalt in Recht gießt: die Verordnung zur geldwäscherechtlichen Identifizierung durch Videoidentifizierung, kurz GwVideoIdentV, deren Referentenentwurf in die Anhörung ging und die das GwG und die Abgabenordnung ändert. Der Eintrag im Lobbyregister nennt das Ministerium als federführend und hält die Stellungnahmen der Verbände öffentlich fest.

Für eine Compliance-Abteilung heißt das: Das Verfahren bleibt, und seine Bedingungen landen in einem Text, der schwerer zu ändern ist als ein Rundschreiben. Wer heute eine Onboarding-Spezifikation schreibt, wird in der Prüfung weiter am Rundschreiben gemessen und erkennt am Entwurf, wohin sich die Bedingungen bewegen.

Der zweite Fernweg nutzt den Chip im deutschen Personalausweis. Der Inhaber aktiviert die Online-Ausweisfunktion, hält die Karte an ein Smartphone und gibt eine sechsstellige PIN ein. Chip und Terminal des Anbieters weisen sich gegenseitig aus, bevor Daten fließen, sodass der Anbieter Angaben erhält, für die die Karte selbst bürgt. Die technischen Richtlinien für Chip und Lesegeräte schreibt das BSI.

Über die Produktfrage entscheidet das Vertrauensniveau. Die Online-Ausweisfunktion ist unter eIDAS auf dem Niveau „hoch" notifiziert, während eine Videositzung auch bei bester Durchführung auf einem menschlichen Urteil über ein Dokument im Kamerabild beruht. Dieser Abstand erklärt, warum manche Produkte Video akzeptieren und andere auf der Karte bestehen. Die andere Seite des Tauschs ist der Aufwand: Ein Videoanruf braucht kein Lesegerät und keine freigeschaltete PIN, weshalb er einen großen Teil der deutschen Kontoeröffnungen trägt.

Die eIDAS-Verordnung ordnet elektronische Identifizierungssysteme drei Vertrauensniveaus zu, niedrig, substanziell und hoch, je nachdem, wie sicher das System eine Person als diejenige ausweist, die sie zu sein behauptet. Das Niveau ist eine Eigenschaft des Systems, kein Etikett, das ein Anbieter sich selbst verleiht, und ein Mitgliedstaat notifiziert ein System auf einem Niveau für die grenzüberschreitende Anerkennung.

Lesen Sie es als Einkaufsfrage. Ein Produkt mit geringem Risiko kommt mit einem niedrigeren Niveau aus und behält die Kunden, die an einem härteren Ablauf abbrechen. Ein Produkt, das große Summen für eine juristische Person bewegt, kann das nicht. Dieselbe Leiter taucht in der Arbeit von NIST unter anderen Namen auf, weshalb Identitätsteams in deutschen Instituten oft in zwei Vokabularen gleichzeitig argumentieren.

Weniger, als viele annehmen. MiCA regelt Zulassung, Organisation und Verhalten eines Kryptodienstleisters und bringt kein eigenes Identifizierungsverfahren mit: Die Pflicht kommt aus dem Geldwäscherecht, demselben, dem eine Bank folgt. Ein Anbieter in der CASP-Zulassung baut deshalb denselben Video- oder eID-Ablauf wie ein Zahlungsinstitut, und Krypto-AML behandelt die Pflichten auf der Transferseite.

Unterschiedlich ist die Aufmerksamkeit. Die deutsche Aufsicht schaut beim Fern-Onboarding von Kryptoanbietern genau hin, und MiCA in Deutschland beschreibt, wie die BaFin die Zulassung handhabt. Wer einen Weg sucht, der die Identifizierung auslässt, ist hier falsch: Die Regeln verlangen sie, und ein Anbieter, der ein Konto ohne sie anbietet, sagt damit etwas über sich.

Die Bedingungen des Rundschreibens entstanden in einer Welt, in der ein Gesicht im Videostream ein Beweis für eine Person im Raum war. Erzeugte Videos und eingespeiste Kamerasignale brechen diese Annahme, und der Angriff muss einen Menschen nicht lange täuschen: Er muss eine Sitzung überleben. Deepfake-Angriffe auf das Fern-Onboarding zeigt, welchen Teil der Prüfung jede Angriffsklasse aushebelt und warum eine Erkennung, die nur Pixel ansieht, die Frage nicht klärt.

Das ist der ehrliche Grund, warum der eID-Weg und die qualifizierte elektronische Signatur in deutschen Identitätsdebatten immer wieder auftauchen. Beide verschieben den Beweis von einem Urteil über ein Bild zu einer kryptografischen Operation eines Chips, die ein Angreifer nicht durch überzeugendes Rendern nachstellen kann.

Ja. Das BaFin-Rundschreiben 3/2017 (GW) bleibt die Aufsichtsregel für das Verfahren, und der Verordnungsentwurf des Bundesfinanzministeriums ist darauf angelegt, das Verfahren zu erhalten. Verschärft haben sich über die Jahre die Bedingungen der Sitzung, nicht die Verfügbarkeit des Wegs.

Eine Sitzung, die glattläuft, dauert Minuten, denn der Mitarbeiter muss nur das Dokument sehen, die Person sehen und den Code zurückerhalten. Die Zeit verlieren Kunden davor und danach: beim Warten auf einen freien Mitarbeiter zur Stoßzeit und beim Wiederholen des Ganzen, weil Licht, Kamera oder Verbindung für die Dokumentenprüfung nicht ausreichten.

Weil der Code die laufende Sitzung an einen Kanal bindet, der schon zur Person gehört. Das Rundschreiben 3/2017 (GW) verlangt eine zentral für diese eine Identifizierung erzeugte Zahlenfolge, zugestellt per E-Mail oder SMS, die die Person während der Übertragung eingibt. Ohne sie würde eine Sitzung nur belegen, dass irgendwer ein Dokument in eine Kamera gehalten hat.

Ja, mit einem Pass oder einem nationalen Ausweis, den das Verfahren des Anbieters annimmt. Das ist der übliche Weg für Kunden, die in Deutschland ohne deutsche Staatsangehörigkeit leben. Vom deutschen Ausweis hängt nur der eID-Weg ab, weil er den Chip dieser Karte liest. Jeder Anbieter legt fest, welche Dokumente sein Videoverfahren verarbeitet, weshalb sich die Liste zwischen Instituten unterscheidet, obwohl die GwG-Pflicht dahinter dieselbe bleibt.