Wie setzt man KYC und AML bei einem tokenisierten Produkt im DACH-Raum sauber auf?

Was bedeutet KYC und AML im DACH-Tokenisierungskontext genau?

KYC verifiziert die Identität beim Onboarding. AML überwacht das Verhalten über den gesamten Anlegerlebenszyklus, inklusive Sanktionslistenabgleich, PEP-Prüfung und Transaktionsmonitoring. Im DACH-Raum laufen beide Pflichten über ein verbundenes System: eine Offchain-Identitätsschicht für Dokumenten-, Biometrie- und Sanktionsprüfung, eine verschlüsselte Datenschicht, die personenbezogene Daten DSGVO-konform speichert, und eine On-Chain-Identitätsschicht, die jeden verifizierten Anleger an einen permissionierten Tokenvertrag bindet. Das Tokensmart-Contract prüft die Compliance bei jedem Transfer, bevor die Transaktion ausgeführt wird.

Was erlebt der Anleger beim KYC-Prozess eines regulierten Tokens?

Ein moderner Flow hat sechs Schritte. Der Anleger registriert sich mit Name, E-Mail und Wohnsitzland, lädt einen amtlichen Ausweis hoch, führt eine Selfie- oder Liveness-Prüfung durch, durchläuft ein automatisches AML- und Sanktionsscreening, weist gegebenenfalls den Status als professioneller Anleger nach und sieht am Ende, wie sein Wallet im Compliance-Vertrag des Tokens registriert wird.

Für Privatanleger laufen die ersten vier Schritte auf einem Mobilgerät in unter fünf Minuten. Komplexe Strukturen wie Stiftungen, Family Offices oder Holdings dauern mehrere Werktage, weil jeder wirtschaftliche Berechtigte sein eigenes KYC durchlaufen muss. Architektonisch ist entscheidend, ob jeder UBO einen individuell gescopten, zeitlich begrenzten Verifizierungslink erhält oder ob die Unternehmensvertretung Dokumente einreicht. Nur die erste Variante skaliert.

Welche drei Architekturschichten tragen die Compliance-Last?

Intern bezeichnen wir dieses Modell als den ONINO Drei-Schichten-KYC-Stack. Jede Schicht versagt für sich allein.

Die Offchain-Verifikation übernimmt ein regulierter KYC-Dienstleister. Dokumentenprüfung, Biometrieabgleich, Sanktions- und PEP-Screening laufen dort. Ergebnisse kommen über signierte Webhooks zurück, eine HMAC-Signaturprüfung bei jedem Callback ist nicht verhandelbar. Polling-basierte Integrationen erzeugen Race Conditions bei hochvolumigen Primärplatzierungen und sind operativ riskant.

Die verschlüsselte PII-Schicht arbeitet mit Envelope-Verschlüsselung: Ein Key-Management-Service generiert einen Datenschlüssel, die Plattform verschlüsselt die personenbezogene Nutzlast vor dem Datenbankzugriff, und entschlüsselt wird ausschließlich serverseitig, wenn ein konkreter fachlicher Bedarf besteht. Ein Datenleck offenbart Chiffretext, keine nutzbaren Identitätsdaten. Unter DSGVO ist das keine Empfehlung, sondern Voraussetzung für eine zulässige Verarbeitung. Wichtig: Eine Löschanforderung trifft den verschlüsselten Datensatz, nicht den On-Chain-Identitätsvertrag, der ohnehin keine personenbezogenen Daten enthält.

Die On-Chain-Identitätsschicht bindet jeden verifizierten Anleger an einen ausgerollten Identitätsvertrag mit signierten Compliance-Claims. Der Tokenvertrag prüft diese Claims bei jeder Transferanfrage. Offchain-Verifikation ohne On-Chain-Durchsetzung macht Compliance zur reinen Empfehlung. Umgekehrt ist On-Chain-Durchsetzung ohne saubere Offchain-Basis Signatur-Theater.

Wie verbindet ERC-3643 die Offchain-Verifikation mit der On-Chain-Durchsetzung?

ERC-3643, auch bekannt als T-REX-Standard und entwickelt von der luxemburgischen Tokeny Solutions, ist der am weitesten verbreitete permissionierte Tokenstandard für regulierte Wertpapiere. Bis Ende 2025 wurden über 28 Milliarden US-Dollar an Vermögenswerten unter diesem Standard emittiert.

Die Brücke besteht aus drei Komponenten. Jeder verifizierte Anleger erhält eine ONCHAINID, einen Smart Contract, der kryptografische Claims zur Verifizierungslage speichert, aber keine personenbezogenen Daten. Der vertrauenswürdige Issuer der Plattform signiert einen KYC-Claim, hängt ihn an die ONCHAINID und registriert die Wallet samt Länderkennzeichen im Identity Registry des Tokens. Ab diesem Punkt führt jede Transferfunktion zwei Prüfungen aus: Das Identity Registry bestätigt gültige Claims auf Sender- und Empfängerseite, und das modulare Compliance-Modul wertet Regeln wie Länderbeschränkungen, Halterobergrenzen oder Sperrfristen aus. Schlägt eine Prüfung fehl, wird die Transaktion zurückgewiesen.

Praktisch bedeutet das: Ein gestohlener Private Key kann keinen Wertpapiertoken auf eine unverifizierte Wallet bewegen. Der Vermögenswert ist an die regulatorische Whitelist gebunden, nicht nur an den kryptografischen Schlüssel. Forced Transfers, Token-Freezing und Recovery-Funktionen sind Pflicht, weil Wertpapieraufsichtsrecht sie verlangt. Vollständig permissionlose Designs erfüllen diese Anforderungen nicht.

Wo verlieren die meisten Plattformen ihre Anleger im Onboarding?

Die Abbruchpunkte sind über Emissionen hinweg erstaunlich konstant. Ein desktopzentrierter Flow zwingt Mobile-User zum PDF-Upload. Das erste Formular fragt zu viel auf einmal ab. Anleger, die bei einer Schwesteremission bereits verifiziert wurden, müssen erneut durch denselben Prozess. Und ein leerer Wartebildschirm ohne Statusanzeige zerstört das Vertrauen, das die Marketingseite eben aufgebaut hat.

Fünf Eingriffe senken die Abbruchquote nachhaltig:

• Mobile-First-Erfassung über die Kamera, ohne PDF-Zwischenschritt.

• Minimum-Viable-Felder pro Stufe, nicht alle Felder auf der ersten Seite.

• Wiederverwendbare KYC-Profile über mehrere Emissionen hinweg.

• Echtzeit-Statusanzeige im Anleger-Dashboard.

• Progressive Verifikation, also Basisprüfung jetzt, erweiterte Sorgfaltspflichten erst beim Zeichnungsbetrag.

Der architektonische Hebel hinter wiederverwendbarem KYC ist der On-Chain-Identitätsvertrag selbst. Sobald eine ONCHAINID besteht, kann ein zweiter Emittent bestehende Claims anerkennen, statt den gesamten Prozess neu zu starten. Plattformen mit gemeinsamer Identitätsschicht schlagen Plattformen, die bei jeder Emission von vorne beginnen.

Welche Regelwerke gelten 2026 in Deutschland, Österreich und der Schweiz?

Der DACH-Raum besteht aus drei eigenständigen Rechtsordnungen, die jeweils eigene Genehmigungspfade kennen.

In Deutschland regelt das eWpG seit Juni 2021 die elektronische Begebung von Wertpapieren, ergänzt um das Kryptowertpapierregister. Die MiCAR gilt EU-weit ab 1. Juli 2026 ohne weitere Übergangsfrist. CASPs benötigen eine formelle BaFin-Zulassung mit gestaffeltem Mindestkapital von 50.000 Euro für Ausführung und Beratung, 125.000 Euro für Tausch und Verwahrung und 150.000 Euro für den Betrieb einer Handelsplattform.

In Österreich trat das MiCA-Vollzugsgesetz am 20. Juli 2024 in Kraft. Die FMA ist zuständige Behörde. Fällt ein Token unter MiCAR, treten KMG 2019 und AltFG zurück. Klassische Finanzinstrumente und Einlagen bleiben in den Spezialregimen WAG 2018 und BWG.

In der Schweiz schafft das DLT-Gesetz vom 1. August 2021 die Grundlage für Registerwertrechte und einen DLT-Handelssystem-Lizenztyp bei der FINMA. Die FINMA unterscheidet vier Token-Kategorien: Zahlungs-, Nutzungs-, Anlage- und Hybridtoken. Anlagetokens unterliegen FIDLEG und FinfraG, was Prospektpflichten, Verhaltenspflichten und Geldwäschebestimmungen nach GwG mit einschließt.

"Kryptowertpapiere müssen in einem Kryptowertpapierregister registriert werden. Diese Registrierungspflicht ist mit erheblichem zusätzlichen Aufwand für den Emittenten verbunden, in der Praxis wird daher meist ein spezialisierter Dienstleister mit der Registerführung beauftragt."

Dr. Lutz Auffenberg, LL.M., Gründer FIN LAW, Kryptowertpapier vs. Security Token, 5. Juli 2021.

Wie setzt ONINO die volle Pipeline um?

Offchain laufen individuelles KYC und ein eigenes KYB-Verfahren für institutionelle Anleger mit UBO-spezifischen, zeitlich begrenzten Verifizierungslinks. Webhook-Synchronisation ist signiert, die personenbezogenen Daten liegen Envelope-verschlüsselt im verwalteten Key-Service, und Video-Identifizierung wird dort aktiviert, wo BaFin oder vergleichbare Aufsichtsbehörden sie verlangen.

On-Chain rollt die ONINO Plattform den vollständigen ERC-3643-Stack je Asset aus: ONCHAINID-Verträge, signierte KYC-Claims aus einer vertrauenswürdigen Issuer-Identität und Identity-Registry-Registrierungen mit Länderkennzeichen. Die Emissions-Pipeline prüft Eignung, deployt oder lädt Identitätsverträge, signiert Claims und stellt die Batch-Mint-Transaktion bereit, bevor der Emittent unterschreibt. Das Whitelabel-Setup erlaubt mehreren Emittenten, unabhängige Compliance-Konfigurationen auf einer geteilten Infrastruktur zu betreiben. Das ist besonders relevant für Banken, Asset Manager und Genossenschaften mit parallelen Angeboten.

Was bedeutet das für Emittenten im DACH-Raum?

Behandeln Sie Ihre KYC-Architektur wie eine Checkout-Strecke, die zusätzlich einer Aufsichtsprüfung standhalten muss. Messen Sie Abbruchraten auf jeder Stufe. Bauen Sie eine wiederverwendbare Identitätsschicht statt einer Checkliste pro Emission. Und akzeptieren Sie, dass Compliance auf Protokollebene für regulierte Tokens keine Kür mehr ist, sondern die wertvollste Eigenschaft des Assets.

Sie wollen das auf Ihre Emission anwenden? Buchen Sie eine Demo oder lesen Sie unseren Begleitbeitrag zu Tokenisierungs-Infrastruktur für Private Markets.