Retail-Banking-KYC: Deepfake-Selfies und synthetische Identitäten erkennen

Dieser Artikel dient ausschließlich zu Informationszwecken und stellt keine rechtliche, finanzielle oder regulatorische Beratung dar. Regulatorische Verweise sind zum Veröffentlichungsdatum korrekt. Wenden Sie sich an einen qualifizierten Fachmann für situationsspezifische Beratung.

Um diesen Risikobereich im CheckFile-Angebot einzuordnen, siehe unseren Ansatz zur KI- und Deepfake-Erkennung.

Im Jahr 2026 sieht sich das Retail-Banking mit einer strukturellen Bedrohung beim Kunden-Onboarding konfrontiert: Deepfake-Selfies und synthetische Identitäten, die gezielt darauf ausgelegt sind, digitale KYC-Kontrollen zu umgehen. Ein Betrüger mit einem Budget von 150 Euro kann heute einen fotorealistischen Personalausweis generieren, ein passendes Deepfake-Selfie produzieren, das grundlegende Lebendigkeitserkennung besteht, und ein Konto mit einer erfundenen Kredithistorie eröffnen — ohne als echte Person zu existieren.

Deepfake-Angriffe bei Identitätsverifikationen sind seit 2024 um über 700 Prozent gestiegen, so der Bericht «The Battle Against AI-Driven Identity Fraud» von Signicat. In Deutschland legt der regulatorische Rahmen klare Pflichten fest: Das Geldwäschegesetz (GwG) und die Auslegungs- und Anwendungshinweise der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) verpflichten Kreditinstitute zu risikobasierten Sorgfaltspflichten gegenüber Kunden, einschließlich einer robusten Identitätsverifizierung.

Die BaFin hat ihre Überwachung digitaler Onboarding-Prozesse intensiviert. Institute, die noch Erstgenerationskontrollen einsetzen — ohne Update seit der Verbreitung generativer KI-Werkzeuge — arbeiten mit Mechanismen, die für eine Bedrohungslage konzipiert wurden, die nicht mehr existiert.

Warum Retail-Banking-Onboarding ein bevorzugtes Angriffsziel ist

Das Retail-Banking-Onboarding konzentriert mehrere Faktoren, die es zu einem bevorzugten Ziel für kriminelle Organisationen machen. Der finanzielle Nutzen ist erheblich: Ein erfolgreich eröffnetes Konto öffnet den Zugang zu Kreditlinien, Überziehungsrahmen und Zahlungsverkehr. Die Volumina sind massiv. Der Wettbewerbsdruck zwingt zur Reduzierung von Reibungsverlusten, was häufig bedeutet, dass Identitätsprüfungen abgeschwächt werden.

Synthetischer Identitätsbetrug ist für Retailbanken besonders schädlich durch das Muster des Konto-«Kultivierens»: Der Betrüger eröffnet ein Konto mit einer gefälschten Identität, baut über sechs bis achtzehn Monate eine bescheidene Kredithistorie auf, und führt dann großangelegten Betrug durch — Kreditlinien ausschöpfen, betrügerische Überweisungen durchführen — bevor er verschwindet. Wenn das Institut den Betrug identifiziert, hat das Konto eine saubere Historie aufgebaut, die die kriminelle Absicht zunächst verschleiert.

Die digitale Umgebung verstärkt die Anfälligkeit. Eine persönliche Verifizierung umfasst menschlichen Kontakt und physische Dokumente. Eine vollständig digitale Verifizierung — Foto des Personalausweises und Selfie zur Lebendigkeitskontrolle — kann vollständig mit Werkzeugen simuliert werden, die für weniger als 100 Euro verfügbar sind.

Deepfake-Selfie-Angriffe auf KYC-Prozesse

Drei dokumentierte Angriffsvektoren in 2026

Virtuelle Kamera-Injektion. Der Angreifer ersetzt den Videostream der physischen Kamera des Geräts durch ein generiertes oder voraufgezeichnetes Video, das über einen Software-Treiber injiziert wird. Das Video reproduziert die von Lebendigkeitskontrollen geforderten Bewegungen — Blinzeln, Kopfdrehungen, Lächeln — die für das Bestehen der biometrischen Verifizierung erforderlich sind. Kommerzielle Werkzeuge hierfür sind auf Untergrundmärkten für unter 100 Euro erhältlich und erfordern keine technischen Kenntnisse.

Echtzeit-Deepfake-Überlagerung. Generative Adversarial Network (GAN)-Modelle legen das Gesicht einer gestohlenen Identität in Echtzeit über das echte Gesicht des Angreifers während einer Videoselfie-Sitzung. Im Jahr 2026 erreichen Produktionsmodelle eine visuelle Wiedergabetreue, die ausreicht, um Erstgenerations-Lebendigkeitserkennungssysteme zu täuschen.

Statisches synthetisches Selfie. Bei Nur-Foto-Verifizierungsabläufen — häufig beim mobilen Onboarding — generieren Angreifer ein synthetisches Gesichtsbild, das auf die Merkmale des beigefügten gefälschten Ausweisdokuments kalibriert ist. Beide Dateien werden gemeinsam durch denselben Generierungsprozess erstellt, um die visuelle Konsistenz zwischen ihnen zu maximieren.

Warum manuelle Überprüfung und Basis-OCR versagen

Die Association of Certified Fraud Examiners (ACFE) stellt in ihrem Bericht 2024 fest, dass die manuelle Betrugserkennung über alle Kategorien hinweg nicht mehr als 37 Prozent beträgt. Gegenüber KI-generiertem Inhalt — bei dem die klassischen visuellen Artefakte der Dokumentenmanipulation vollständig fehlen — sinkt diese Rate noch weiter. Ein synthetisches Ausweisdokument enthält keine Schriftart-Inkonsistenzen oder Bearbeitungsspuren: Es wurde als kohärentes Ganzes vom selben Generierungsmodell erschaffen.

Synthetischer Identitätsbetrug: eine systemische Bedrohung für Retailbanken

Was synthetische Identität im deutschen Bankenkontext bedeutet

Synthetischer Identitätsbetrug erschafft ein Profil ohne reale Entsprechung. Im Unterschied zum klassischen Identitätsdiebstahl — bei dem ein echtes Opfer den Missbrauch meldet — erzeugt synthetischer Identitätsbetrug kein externes Signal eines geschädigten Dritten. Die Erkennung hängt vollständig von den internen Kontrollen des Instituts ab, was ihn zu einem der schwierigsten aufzudeckenden Betrugstypen macht.

Das häufigste Muster: Eine echte Steueridentifikationsnummer aus einem Datenleck, kombiniert mit einem erfundenen Namen, Geburtsdatum und Adresse. Die Identität wird mehrere Monate lang sparsam genutzt, um eine glaubwürdige Kredithistorie aufzubauen, bevor der Hauptbetrug durchgeführt wird.

Die Eskalation der Bedrohung im Jahr 2026

Laut dem Entrust Cybersecurity Institute 2025 Identity Fraud Report sind KI-generierte Ausweisdokumente zwischen 2024 und 2025 um 281 Prozent gestiegen. Digitale Fälschungen machen nun 57,46 Prozent aller erkannten Dokumentenfälschungen aus — erstmals mehr als physische Fälschungen. Die Europäische Bankenaufsichtsbehörde (EBA) hat in ihren Risikoberichten eine signifikante Zunahme von Identitätsbetrug im digitalen Bankensektor verzeichnet.

Erkennungsmethoden: vergleichende Übersicht der Ansätze

Die Cross-Dokument-Validierung bietet den robustesten Schutz gegen synthetische Identitäten, weil sie die schwierigste Herausforderung für Betrüger angreift: innere Konsistenz über eine gesamte Akte. Einen überzeugenden gefälschten Personalausweis zu generieren ist machbar. Einen Personalausweis, eine Gehaltsabrechnung, einen Adressnachweis und einen Kontoauszug zu generieren, die auf Dutzenden Datenpunkten — Namen, Adressen, Arbeitgeberdaten, Finanzzahlen, IBAN-Formate — vollständig konsistent sind, ist exponentiell schwieriger.

Regulatorischer Rahmen in Deutschland: BaFin und GwG-Anforderungen

Sorgfaltspflichten nach dem Geldwäschegesetz (GwG)

Das Geldwäschegesetz (GwG) verpflichtet Kreditinstitute zur Durchführung von Sorgfaltspflichten gegenüber Kunden vor Begründung der Geschäftsbeziehung. Gemäß § 10 GwG umfasst dies die Identifizierung und Verifizierung der Identität des Kunden auf Grundlage von «Dokumenten, Daten oder Informationen, die von einer verlässlichen und unabhängigen Quelle stammen».

Für vollständig digitale Onboarding-Kanäle — eine Risikoklasse mit erhöhtem inhärenten Risiko — verlangt die BaFin verstärkte Sorgfaltspflichten (Enhanced Due Diligence, EDD), die aktive biometrische Verifizierung und automatisierte forensische Dokumentenanalyse einschließen müssen. Institute, die für diesen Kanal ausschließlich manuelle Prüfungen einsetzen, müssen alternative Maßnahmen mit gleichwertigem Risikoniveau dokumentieren.

BaFin-Aufsicht über digitale KYC-Prozesse

Die BaFin beaufsichtigt die Geldwäschepräventionssysteme der deutschen Kreditinstitute. Ihre Auslegungs- und Anwendungshinweise zum GwG identifizieren das digitale Onboarding als Kanal mit erhöhtem Risikoprofil und verlangen proportionale Kontrollmaßnahmen. Institute mit hohen Volumina im digitalen Onboarding, die keine aktiven technologischen Kontrollen zur Erkennung von Dokumentenbetrug verfügen, können Gegenstand von Aufsichtsmaßnahmen werden.

Zusätzlich hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) Leitlinien zur Erkennung von KI-generiertem Inhalt veröffentlicht, die Finanzinstitute als Grundlage für die technologische Aktualisierung ihrer Erkennungssysteme nutzen sollten.

Die AMLD6-Umsetzungsfrist 2027

Die Richtlinie (EU) 2024/1640 (AMLD6) muss von den Mitgliedstaaten bis zum 10. Juli 2027 umgesetzt werden. Die Richtlinie stärkt die Sorgfaltspflichten gegenüber Kunden und erkennt explizit das technologische Risiko bei Fernverifizierungsprozessen an. Deutsche Retailbanken sollten diese Umsetzung antizipieren, indem sie ihre Systeme bereits 2026 aktualisieren.

Verdachtsmeldungen an die FIU Deutschland

Wenn ein Institut Anhaltspunkte für die Verwendung synthetischer Identitäten oder Deepfake-Dokumenten entdeckt, ist es nach § 43 GwG verpflichtet, eine Verdachtsmeldung bei der Financial Intelligence Unit Deutschland (FIU) zu erstatten. Die Dokumentation der von automatisierten Systemen erkannten Anomalien bildet die sachliche Grundlage für diese Meldung. Das Tippverbot nach § 47 GwG gilt: Der Kunde darf nicht über die Meldung informiert werden.

CheckFile-Ansatz: mehrschichtige Erkennung für Retail-Banking-KYC

CheckFile setzt eine mehrschichtige Erkennungsarchitektur ein, die speziell auf die Anforderungen des Retail-Banking-Onboardings ausgerichtet ist: kurze Bearbeitungszeiten, hohe Volumina und regulatorische Anforderungen an eine dokumentierte Verifizierung.

Forensische Dokumentenanalyse. Erkennung von Anomalien in der internen Dateistruktur von Dokumenten — PDF-Objekthierarchie, Schriftart-Einbettungsmuster, Bildkompressionssignaturen — die KI-generierte Dokumente von authentischen unterscheiden, selbst wenn Oberflächenmetadaten gefälscht wurden. Ein von einem spezialisierten Werkzeug erstellter synthetischer Personalausweis trägt strukturelle Merkmale, die sich von Dokumenten unterscheiden, die von amtlichen Drucksystemen hergestellt wurden.

Cross-Dokument-Konsistenzvalidierung. Automatisierte Überprüfung der Kohärenz über alle eingereichten Dokumente: Name-und-Geburtsdatum-Abgleich, Adresskonsistenz, Plausibilität von Finanzangaben, zeitliche Logikprüfungen und Verifikation der Unternehmensexistenz. Dutzende simultaner Cross-Checks, die synthetische Dokumentengeneratoren nicht verlässlich im großen Maßstab überwinden können.

Verifikation gegen offizielle Register. Kreuzreferenzierung extrahierter Daten mit maßgeblichen Quellen — Handelsregister, IBAN-Validierungsdienste, Steueridentifikationsnummern-Prüfung, Berufsregisterdaten — um zu bestätigen, dass in eingereichten Dokumenten genannte Entitäten tatsächlich in amtlichen Aufzeichnungen existieren.

Die CheckFile-Plattform unterstützt über 3.200 Dokumenttypen für die KYC-Verifizierung im Bankensektor in 32 Rechtsgebieten. Die Bank-KYC-Lösung richtet die manuelle Überprüfung ausschließlich auf tatsächlich verdächtige Fälle aus, wodurch die Bearbeitungszeit für das Gesamtvolumen reduziert wird.

Für eine umfassende Analyse des synthetischen Identitätsbetrugs lesen Sie unsere Übersicht über synthetischen Identitätsbetrug und KI-gesteuerte KYC-Angriffe, und unseren detaillierten Leitfaden zur Lebendigkeitserkennung und Identitätsschutz.

Erkunden Sie unsere Preisoptionen oder kontaktieren Sie unser Team für eine Bewertung Ihrer aktuellen KYC-Kontrollen.

Beachten Sie auch unseren Branchenverifizierungsleitfaden für eine breitere sektorspezifische Perspektive.

Häufig gestellte Fragen

Was ist der Unterschied zwischen Identitätsdiebstahl und synthetischem Identitätsbetrug im Bankbereich?

Identitätsdiebstahl nutzt die vollständigen Daten einer bestehenden echten Person, die den Schaden direkt erleidet und ihn typischerweise innerhalb von Wochen meldet. Synthetischer Identitätsbetrug kombiniert Fragmente echter Daten mit erfundenen Informationen zu einem Profil ohne reale Entsprechung — was bedeutet, dass kein Opfer den Betrug meldet. Diese fehlenden externen Signale verlängern die Erkennungsfristen erheblich und erhöhen die Exponierung von Bankinstituten.

Sind Standard-Lebendigkeitserkennungssysteme im Jahr 2026 ausreichend, um Deepfake-Angriffe zu blockieren?

Nein. Erstgenerationssysteme auf Basis einfacher Bewegungsaufforderungen sind anfällig für virtuelle Kamera-Injektion und Echtzeit-Deepfake-Überlagerungen. Fortgeschrittene Systeme, die Verhaltensanomalieanalyse, KI-Generierungsartefakterkennung und kryptografische Challenge-Response-Protokolle einbeziehen, bieten deutlich bessere Widerstandsfähigkeit. Ihre Wirksamkeit steigt weiter, wenn sie mit forensischer Validierung eingereichter Dokumente kombiniert werden.

Was erfordert das GwG in Bezug auf digitale Onboarding-Kanäle?

Das GwG verlangt, dass Verifizierungsmaßnahmen für Fernidentifizierung auf «verlässlichen und unabhängigen Quellen» basieren und dem Risiko angemessen sind. Für digitale Kanäle mit hohem Risikoprofil interpretiert die BaFin dies als Notwendigkeit aktiver technologischer Kontrollen: biometrische Verifizierung mit fortgeschrittener Lebendigkeitserkennung und automatisierte forensische Dokumentenanalyse. Institute, die für diesen Kanal ausschließlich manuelle Überprüfungen einsetzen, müssen alternative Maßnahmen mit gleichwertigem Risikoniveau dokumentieren.

Wie sollten Betrugsindikatoren für eine Verdachtsmeldung an die FIU dokumentiert werden?

Die Verdachtsmeldung sollte die spezifischen Verdachtsindikatoren detaillieren: erkannte dokumentarische Inkonsistenzen, forensische Anomalien, fehlgeschlagene Verifizierungen gegen amtliche Register und Lebendigkeitserkennungsanomalien während biometrischer Prüfungen. Automatisierte Systeme wie CheckFile erstellen einen strukturierten Analysebericht, der Compliance-Teams bei der Erstellung der Meldung unterstützt. Das Tippverbot nach § 47 GwG ist zu beachten.

Welche Rolle spielt das BSI bei der Erkennung von KI-generierten Dokumenten?

Das BSI hat technische Richtlinien zur Erkennung von KI-generiertem Inhalt veröffentlicht, einschließlich spezifischer Empfehlungen für den Finanzsektor. Diese Richtlinien bilden die technologische Grundlage für die Aktualisierung von Erkennungssystemen in Banken. CheckFile orientiert sich an diesen BSI-Empfehlungen und kombiniert mehrschichtige Erkennungsansätze entsprechend den aktuellen technologischen Standards.