Customer Due Diligence vs. Enhanced Due Diligence

Customer Due Diligence (CDD), auf Deutsch die allgemeinen Sorgfaltspflichten gegenüber Kunden, bezeichnet die Standardprüfungen, die ein reguliertes Unternehmen bei jedem Kunden durchführt: feststellen, wer er ist, ermitteln, wer ihn letztlich besitzt oder kontrolliert, verstehen, welchem Zweck die Geschäftsbeziehung dient, und sie fortlaufend überwachen. Enhanced Due Diligence (EDD), die verstärkten Sorgfaltspflichten, ist die umfangreichere Variante bei höherem Risiko, etwa bei politisch exponierten Personen, Kunden mit Bezug zu Hochrisikoländern oder ungewöhnlich hohen Transaktionen. Hinzu kommen Prüfungen der Mittelherkunft und der Vermögensherkunft, eine Freigabe durch die Geschäftsleitung und eine engere Überwachung.

Zwischen beiden liegen die vereinfachten Sorgfaltspflichten (SDD, Simplified Due Diligence) für Fälle mit geringem Risiko. Dieser Leitfaden erklärt alle drei Stufen, was EDD auslöst und wie die Regeln für Kryptobörsen gelten, für Compliance-Teams ebenso wie für Nutzer, die sich fragen, warum eine Börse weitere Unterlagen verlangt hat.

Was ist Customer Due Diligence?

CDD ist der rechtliche Kern von „Know Your Customer“. Die EU-Geldwäscheverordnung, Verordnung (EU) 2024/1624 (die AMLR), die ab dem 10. Juli 2027 gilt (Artikel 90), liefert die klarste moderne Aufzählung. Nach Artikel 20 Absatz 1 umfasst CDD:

• die Identifizierung des Kunden und die Überprüfung seiner Identität;
• die Identifizierung der wirtschaftlichen Eigentümer und angemessene Maßnahmen zu ihrer Überprüfung, damit das Unternehmen die Eigentums- und Kontrollstruktur versteht;
• das Verständnis von Zweck und angestrebter Art der Geschäftsbeziehung;
• die Prüfung, ob der Kunde oder seine wirtschaftlichen Eigentümer gezielten finanziellen Sanktionen unterliegen;
• das Verständnis der Geschäftstätigkeit oder des Berufs des Kunden;
• die kontinuierliche Überwachung, einschließlich der Prüfung von Transaktionen und, falls erforderlich, der Mittelherkunft;
• die Feststellung, ob der Kunde oder wirtschaftliche Eigentümer eine politisch exponierte Person (PEP), ein Familienmitglied oder eine bekanntermaßen nahestehende Person ist;
• die Überprüfung aller Personen, die im Namen des Kunden handeln.

Artikel 19 legt fest, wann CDD anzuwenden ist: bei Begründung einer Geschäftsbeziehung, bei gelegentlichen Transaktionen ab 10.000 EUR, bei jedem Verdacht auf Geldwäsche oder Terrorismusfinanzierung und wenn das Unternehmen Zweifel an den bereits vorliegenden Daten hat. Für Krypto-Asset-Dienstleister (CASPs) gelten strengere Schwellenwerte, die weiter unten behandelt werden.

Bei Privatpersonen entspricht die Identifizierung dem bekannten KYC-Ablauf. Bei Unternehmen leistet der Schritt zum wirtschaftlichen Eigentümer die meiste Arbeit; unser Leitfaden zum wirtschaftlich Berechtigten (UBO) erklärt, wie diese Prüfung funktioniert.

SDD, CDD und EDD im Überblick

Nach Artikel 20 Absatz 2 AMLR legen Unternehmen den Umfang ihrer Prüfungen auf Grundlage einer individuellen Risikoanalyse fest: Bei erhöhtem Risiko müssen sie EDD anwenden, bei geringerem Risiko dürfen sie SDD anwenden.

Vereinfachte Sorgfaltspflichten: leichter, aber nie null

SDD ist keine Befreiung. Nach Artikel 33 AMLR darf ein Unternehmen bei einer tatsächlich risikoarmen Geschäftsbeziehung:

• Kunde und wirtschaftlichen Eigentümer nach Begründung der Geschäftsbeziehung überprüfen, jedoch spätestens nach 60 Tagen;
• Kundeninformationen seltener aktualisieren;
• weniger Informationen über den Zweck der Geschäftsbeziehung erheben oder ihn ableiten;
• Transaktionen seltener oder weniger eingehend prüfen.

Das Unternehmen muss dennoch so weit überwachen, dass verdächtige Aktivitäten auffallen, und muss SDD beenden, wenn es Zweifel an den Informationen hat, die risikoarmen Faktoren entfallen oder es Geldwäsche oder Sanktionsumgehung vermutet.

Wann verstärkte Sorgfaltspflichten ausgelöst werden

Artikel 34 Absatz 1 AMLR verlangt EDD in den von der Verordnung ausdrücklich genannten Fällen sowie in allen anderen Fällen mit höherem Risiko, die das Unternehmen selbst feststellt. Die wichtigsten Auslöser sind:

Drittländer mit hohem Risiko

Die Financial Action Task Force (FATF) veröffentlicht nach jeder ihrer Plenarsitzungen im Februar, Juni und Oktober zwei Listen: „High-risk jurisdictions subject to a call for action“, für die die FATF verstärkte Sorgfaltspflichten und in den schwersten Fällen Gegenmaßnahmen fordert, sowie „Jurisdictions under increased monitoring“. Die jüngsten Erklärungen auf der FATF-Seite zu Hochrisikoländern stammen vom 19. Juni 2026; mit dem Juni-Update kamen Bosnien und Herzegowina sowie der Irak auf die Liste der verstärkt überwachten Länder. Die EU führt eine eigene Liste in der Delegierten Verordnung (EU) 2016/1675, die laut Europäischer Kommission zuletzt im Januar 2026 geändert wurde. Nach Artikel 29 Absatz 4 AMLR erfordern Geschäftsbeziehungen oder gelegentliche Transaktionen mit Personen aus einem gelisteten Land EDD.

Politisch exponierte Personen

PEPs bekleiden oder bekleideten herausgehobene öffentliche Ämter, etwa Staatsoberhäupter, Minister, Parlamentsabgeordnete, Richter oberster Gerichte, Mitglieder der Leitungsorgane von Zentralbanken und Vorstandsmitglieder staatlich kontrollierter Unternehmen (Artikel 2 Absatz 1 Nummer 34 AMLR). Die FATF behandelt sie in den Empfehlungen 12 und 22. Nach Artikel 42 AMLR muss ein Unternehmen, das mit einer PEP zu tun hat, die Zustimmung der Geschäftsleitung einholen, angemessene Maßnahmen zur Feststellung von Vermögens- und Mittelherkunft ergreifen und eine verstärkte kontinuierliche Überwachung anwenden. Dasselbe gilt für Familienmitglieder und bekanntermaßen nahestehende Personen (Artikel 46). PEP zu sein ist eine Risikokategorie, kein Vorwurf, und die zusätzlichen Prüfungen laufen nach dem Ausscheiden aus dem Amt mindestens 12 Monate weiter (Artikel 45). Unser Leitfaden zum Watchlist- und PEP-Screening erklärt, wie Unternehmen PEPs erkennen.

Ungewöhnliche Transaktionen

Artikel 34 Absatz 2 verpflichtet Unternehmen, Herkunft, Ziel und Zweck jeder Transaktion zu untersuchen, die komplex oder ungewöhnlich hoch ist, einem ungewöhnlichen Muster folgt oder keinen erkennbaren wirtschaftlichen oder rechtmäßigen Zweck hat. Diesem Auslöser begegnen private Krypto-Nutzer am häufigsten: einer Einzahlung, die weit über allem liegt, was es auf dem Konto bisher gab.

Weitere Fälle mit höherem Risiko

Für grenzüberschreitende Korrespondenzbeziehungen gelten eigene EDD-Regeln, auch für CASPs, die mit Kryptounternehmen außerhalb der EU zusammenarbeiten (Artikel 37). Und die Liste ist nicht abschließend: Anhang III der AMLR nennt weitere Faktoren für ein höheres Risiko, etwa komplexe Eigentümerstrukturen, nominelle Anteilseigner, bargeldintensive Geschäfte und Produkte, die Anonymität begünstigen.

Was verstärkte Sorgfaltspflichten erheben

Artikel 34 Absatz 4 listet die Maßnahmen auf, die ein Unternehmen risikoangemessen anwenden kann, darunter:

1. Zusätzliche Informationen über Kunden und wirtschaftliche Eigentümer sowie über die angestrebte Art der Geschäftsbeziehung.
2. Mittelherkunft und Vermögensherkunft des Kunden und der wirtschaftlichen Eigentümer. Die Mittelherkunft beschreibt, woher das Geld für diese Transaktion stammt. Die Vermögensherkunft beschreibt, wie die Person ihr Gesamtvermögen aufgebaut hat. Unser Leitfaden Mittelherkunft vs. Vermögensherkunft listet die üblicherweise akzeptierten Nachweise auf.
3. Gründe für bestimmte Transaktionen und ob sie zur Geschäftsbeziehung passen.
4. Zustimmung der Geschäftsleitung zur Aufnahme oder Fortführung der Geschäftsbeziehung.
5. Verstärkte Überwachung: häufigere Kontrollen und genauere Prüfung der Transaktionsmuster.

In der Praxis enthalten EDD-Akten meist auch ein Adverse-Media-Screening und eine schriftliche Begründung der Entscheidung. Für Screening und Überwachung setzen Unternehmen häufig spezialisierte Tools ein. Das AML-Screening von iDenfy beispielsweise gleicht Kunden mit Sanktions-, PEP- und Watchlist-Daten ab und prüft sie fortlaufend erneut.

Laufende Überwachung: Sorgfaltspflichten enden nicht beim Onboarding

Artikel 26 AMLR verpflichtet Unternehmen, Transaktionen mit ihrem Wissen über den Kunden abzugleichen und Kundeninformationen aktuell zu halten, bei Kunden unter EDD mindestens jährlich und bei allen anderen alle fünf Jahre, bei veränderten Umständen auch früher.

Deshalb kann eine Börse Jahre nach der Registrierung noch Unterlagen anfordern: Ein neuer PEP-Treffer, ein neu gelistetes Land oder eine veränderte Kontonutzung kann einen Kunden von CDD zu EDD verschieben. Unser Leitfaden zum AML-Transaktionsmonitoring bei Krypto erklärt die Funktionsweise, und AML-Warnsignale bei Krypto listet die Muster auf, die typischerweise Prüfungen auslösen.

Kann ein Unternehmen die Sorgfaltspflichten nicht erfüllen, darf es nach Artikel 21 die Transaktion nicht ausführen und die Geschäftsbeziehung nicht begründen, muss eine bestehende beenden und die Abgabe einer Verdachtsmeldung prüfen. Deshalb werden Konten eingeschränkt, wenn angeforderte Unterlagen nie eintreffen.

Wie CDD und EDD für Kryptounternehmen gelten

CASPs sind Verpflichtete im Sinne der AMLR, und mehrere Regeln sind speziell für sie formuliert:

• Niedrigere Schwellenwerte. Nach Artikel 19 Absatz 3 müssen CASPs bei gelegentlichen Transaktionen ab 1.000 EUR die vollständige CDD anwenden und unterhalb dieses Betrags den Kunden zumindest identifizieren und überprüfen. Für andere Unternehmen gelten 10.000 EUR.
• Selbstverwahrte Wallets. Artikel 40 verpflichtet CASPs, das Risiko von Transfers an und von selbstverwahrten Adressen zu bewerten und risikomindernde Maßnahmen anzuwenden. Dazu kann gehören, die Person hinter dem Transfer zu identifizieren, nach Herkunft und Ziel der Kryptowerte zu fragen oder eine verstärkte Überwachung.
• Die Travel Rule. Die EU-Geldtransferverordnung gilt seit dem 30. Dezember 2024. Sie verlangt, dass Angaben zu Auftraggeber und Begünstigtem Kryptotransfers zwischen Anbietern begleiten. Siehe die Krypto-Travel-Rule erklärt.
• On-Chain-Risiko. Börsen prüfen die Wallets, von denen Kunden einzahlen und an die sie auszahlen; eine Einzahlung, die auf einen Mixer oder eine sanktionierte Adresse zurückgeführt wird, kann einen gewöhnlichen Kunden in die EDD bringen. Unser Leitfaden zur Blockchain-Analyse erklärt, wie diese Rückverfolgung funktioniert.

Zum Zeitplan: Die AMLR gilt ab dem 10. Juli 2027. Bis dahin folgen EU-Unternehmen den nationalen Gesetzen zur Umsetzung der aktuellen Geldwäscherichtlinien, die dieselbe dreistufige Struktur verwenden. Die AMLR verpflichtete außerdem die neue EU-Behörde zur Bekämpfung der Geldwäsche (AMLA), bis zum 10. Juli 2026 technische Standards dazu zu entwerfen, welche Informationen auf jeder Stufe zu erheben sind (Artikel 28), die die Kommission annehmen soll. Laut ihrer eigenen Website hat die AMLA im Sommer 2025 in Frankfurt ihre Arbeit aufgenommen und will 2028 mit der direkten Aufsicht über ausgewählte Unternehmen beginnen. Zur Zulassungsseite der EU-Kryptoregeln siehe Was ist MiCA.

In den Vereinigten Staaten folgen Banken, Broker-Dealer, Investmentfonds und Terminhandelsfirmen der Customer-Due-Diligence-Regel von FinCEN (31 CFR 1010.230), mit derselben risikobasierten Logik.

Für Nutzer: Warum die Börse mehr verlangt hat

Verlangt eine Börse Gehaltsabrechnungen, einen Kaufvertrag oder Steuererklärungen, hat Sie in der Regel einer der oben genannten Auslöser in die EDD gebracht, meist eine hohe oder ungewöhnliche Einzahlung. Vollständige und widerspruchsfreie Antworten sind der schnellste Weg hindurch. Unsere Tipps zur Identitätsprüfung behandeln die häufigsten Fehler.

Die Apps von JewelSwap sind nicht verwahrende DeFi-Software und führen selbst keine Customer Due Diligence durch. Unser Beitrag zu KYC in DeFi erklärt, warum.

Häufig gestellte Fragen

Was ist der Unterschied zwischen CDD und EDD?

CDD ist das Standardpaket an Prüfungen für jeden Kunden: Identität, wirtschaftliche Eigentümer, Zweck der Geschäftsbeziehung, Sanktions- und PEP-Status sowie laufende Überwachung. EDD ergänzt Maßnahmen für Fälle mit höherem Risiko, etwa Nachweise zur Mittel- und Vermögensherkunft, die Zustimmung der Geschäftsleitung und eine häufigere Überwachung.

Was löst verstärkte Sorgfaltspflichten aus?

Die wichtigsten Auslöser sind eine politisch exponierte Person, ein Familienmitglied oder eine ihr nahestehende Person, ein Bezug zu einem Drittland mit hohem Risiko, eine komplexe oder ungewöhnlich hohe Transaktion ohne klaren Zweck, bestimmte Korrespondenzbeziehungen und jedes andere höhere Risiko, das das Unternehmen in seiner eigenen Bewertung feststellt.

Was sind vereinfachte Sorgfaltspflichten?

SDD ist eine leichtere Variante der CDD für dokumentierte Fälle mit geringem Risiko. Nach der EU-AMLR darf ein Unternehmen die Überprüfung um bis zu 60 Tage aufschieben, Informationen seltener aktualisieren und weniger intensiv überwachen, aber es darf die Sorgfaltspflichten nie ganz auslassen.

Ist eine PEP automatisch ein hohes Risiko?

Eine PEP löst nach EU-Recht immer verstärkte Maßnahmen aus: Zustimmung der Geschäftsleitung, Prüfung von Vermögens- und Mittelherkunft und verstärkte Überwachung. Das ist eine Risikokategorie, kein Vorwurf, und die Maßnahmen laufen mindestens 12 Monate nach dem Ausscheiden der Person aus dem Amt weiter.

Wie oft müssen Kundeninformationen aktualisiert werden?

Nach der EU-AMLR, die ab dem 10. Juli 2027 gilt, müssen Aktualisierungen bei Kunden unter verstärkten Sorgfaltspflichten mindestens einmal jährlich und bei allen anderen Kunden mindestens alle fünf Jahre erfolgen, bei veränderten Umständen auch früher.

Wann müssen Kryptobörsen CDD anwenden?

Nach der EU-AMLR wenden Krypto-Asset-Dienstleister CDD bei Begründung einer Geschäftsbeziehung und bei gelegentlichen Transaktionen ab 1.000 EUR an. Unterhalb von 1.000 EUR müssen sie den Kunden dennoch identifizieren und überprüfen.

Weiterlesen

• Wirtschaftlich Berechtigter (UBO): Definition und Überprüfung
• Mittelherkunft vs. Vermögensherkunft
• Krypto-AML-Compliance-Leitfaden für Börsen und VASPs
• Watchlist- und PEP-Screening bei Krypto
• Was ist KYC bei Krypto?

Dieser Artikel dient der Information und ist keine Rechts- oder Finanzberatung. Rechtsverweise beziehen sich auf die Verordnung (EU) 2024/1624, die Verordnung (EU) 2023/1113 und 31 CFR 1010.230 in der veröffentlichten Fassung, geprüft am 8. Oktober 2026. Die Daten der FATF-Listen stammen von der FATF-Website, die Angaben zur EU-Liste von der Website der Europäischen Kommission, beide geprüft am 8. Oktober 2026. Regeln und Listen ändern sich; prüfen Sie die aktuellen Fassungen, bevor Sie sich darauf verlassen.