FINMA verschärft Regeln: KI-Risiken bei digitaler Kontoeröffnung

Der Weckruf aus Bern: FINMA reagiert auf Deepfake-Gefahr

In einer Zeit, in der KI-generierte Videos und Bilder kaum mehr von der Realität zu unterscheiden sind, hat die Eidgenössische Finanzmarktaufsicht FINMA ein klares Zeichen gesetzt. Am 8. Oktober 2026 gab die Behörde eine Teilrevision ihres Rundschreibens 2016/7 zur Video- und Online-Identifizierung bekannt. Die wichtigste Neuerung, die bereits am 1. November 2026 in Kraft tritt, ist eine direkte Reaktion auf die rasanten Fortschritte im Bereich der Künstlichen Intelligenz: Die Einführung einer obligatorischen "Liveness Detection" als zusätzliche Sicherheitsmassnahme.

Diese Anpassung ist keine theoretische Übung. Sie ist eine konkrete Antwort auf die wachsende Gefahr von Betrug durch KI-Technologien wie Deepfakes. Für Schweizer Banken, Versicherer und Fintechs bedeutet dies: Die digitalen Prozesse zur Kundenidentifikation müssen umgehend auf den Prüfstand.

Was genau hat die FINMA beschlossen?

Das revidierte Rundschreiben zielt darauf ab, die Sorgfaltspflichten bei der digitalen Aufnahme von Kundenbeziehungen gemäss dem Geldwäschereigesetz (GwG) zu präzisieren. Die FINMA stellt fest, dass die technologische Entwicklung neue Risiken birgt, und adressiert diese explizit.

Die zentralen Punkte der Revision sind:

• Verpflichtende Liveness Detection: Bei der Online-Identifizierung muss neu ein Prozess zur Lebenderkennung eingesetzt werden. Damit soll sichergestellt werden, dass es sich um eine reale Person handelt und nicht um eine Aufzeichnung oder eine KI-generierte Manipulation. Die FINMA will damit Betrugsversuche mittels Deepfakes oder statischen Bildern verhindern.
• Gleichstellung von QR-Codes: Identitätsdokumente mit einem QR-Code, wie zum Beispiel der Schweizer Führerausweis, werden neu jenen mit einer maschinenlesbaren Zone (MRZ) gleichgestellt.
• Digitale Wohnsitzprüfung: Für die Überprüfung des Wohnsitzes sind neu digitale Prozesse zulässig, die eine zuverlässige Verknüpfung zwischen Vertragspartei, ihrer Infrastruktur und einem Wohnsitz herstellen können.

Die Verschärfung bei der Lebenderkennung ist die strategisch wichtigste Änderung. Sie zeigt, dass die FINMA nicht mehr nur die Digitalisierung als solche reguliert, sondern gezielt auf die Risiken einzelner Technologien wie KI eingeht.

Warum das für Ihr Unternehmen jetzt relevant ist

Die kurze Frist bis zum Inkrafttreten am 1. November 2026 setzt viele Finanzdienstleister unter Druck. Werden die neuen Anforderungen nicht erfüllt, drohen nicht nur Compliance-Verstösse, sondern auch handfeste finanzielle Schäden und Reputationsrisiken. Ein erfolgreicher Betrugsversuch mittels Deepfake kann im Geldwäschereikontext verheerende Folgen haben.

Für Schweizer Fach- und Führungskräfte im Finanz- und Controlling-Bereich bedeutet dies konkret:

1. Compliance-Risiko: Bestehende digitale Onboarding-Prozesse sind möglicherweise ab November nicht mehr konform. Eine interne Prüfung ist unumgänglich.
2. Technologie-Anforderung: Die eingesetzte Software zur Identifizierung muss eine robuste, nachweisbare Liveness Detection beinhalten. Einfache Video-Chats oder das blosse Abfotografieren eines Ausweises reichen nicht mehr aus.
3. Anbieter-Management: Die Verantwortung liegt beim Finanzinstitut, nicht beim Software-Anbieter. Sie müssen sicherstellen, dass Ihre Dienstleister die neuen FINMA-Anforderungen erfüllen und dies vertraglich zusichern.

Diese regulatorische Anpassung ist ein Vorbote. Es ist davon auszugehen, dass die FINMA und andere Behörden in Zukunft weitere KI-spezifische Risiken in anderen Bereichen, etwa bei der Kreditvergabe oder im algorithmischen Handel, genauer unter die Lupe nehmen werden.

Ihre konkrete Handlungsempfehlung

Die Zeit drängt. Wir empfehlen Ihnen ein Vorgehen in drei Schritten, um die neuen Anforderungen fristgerecht zu erfüllen und Ihr Unternehmen abzusichern:

• Schritt 1: Sofortige Gap-Analyse (bis Ende Oktober): Ihre Compliance- und Risikoabteilungen müssen umgehend prüfen, an welchen Stellen Ihre aktuellen Onboarding-Prozesse von den neuen Regeln abweichen. Dokumentieren Sie die Lücken und bewerten Sie das damit verbundene Risiko.

• Schritt 2: Dialog mit Technologiepartnern (sofort): Kontaktieren Sie die Anbieter Ihrer Identifikationslösungen. Fordern Sie eine schriftliche Bestätigung, dass deren Systeme die Anforderungen des revidierten Rundschreibens 2016/7, insbesondere die robuste Liveness Detection gegen KI-Angriffe, erfüllen. Fragen Sie nach Testresultaten und Zertifizierungen.

• Schritt 3: Umsetzungsplan erstellen (bis Anfang November): Basierend auf der Analyse und dem Feedback Ihrer Partner, erstellen Sie einen klaren Plan zur Schliessung der identifizierten Lücken. Dies kann ein Software-Update, ein Anbieterwechsel oder eine Anpassung der internen Prozesse und Kontrollen sein. Planen Sie die notwendigen Ressourcen und definieren Sie klare Verantwortlichkeiten.

Die neue Wegleitung der FINMA ist mehr als eine technische Vorschrift. Sie ist ein strategischer Hinweis darauf, dass das Management von KI-Risiken zur Kernaufgabe für jeden Schweizer Finanzdienstleister wird. Wer jetzt proaktiv handelt, sichert nicht nur seine Compliance, sondern stärkt auch das Vertrauen seiner Kunden in die digitalen Prozesse.