KYC-Remediation mit temporären Spezialisten planen: Personalbedarf, Team und Ablauf

Kurzantwort: Eine KYC-Remediation planen Banken und Finanzinstitute in vier Schritten: Bestand segmentieren, mit einem Pilot die tatsächliche Bearbeitungszeit messen, den Personalbedarf berechnen und das Team gestaffelt hochfahren. Die Zahl der Analysten ergibt sich aus Fallzahl je Kategorie mal gemessener Bearbeitungszeit, plus Qualitätssicherung und Nacharbeit, geteilt durch die produktiven Stunden im verfügbaren Zeitraum. Rechtlicher Rahmen sind in der Schweiz Art. 7 Abs. 1bis GwG und die GwV-FINMA, in Deutschland § 10 Abs. 1 Nr. 5 GwG.

Dieser Ratgeber richtet sich an Heads of Compliance, Geldwäschereiverantwortliche und Projektleitungen in Banken, Vermögensverwaltern und Zahlungsinstituten in der Schweiz und in Deutschland. Er zeigt, wie Sie eine KYC-Remediation mit temporären Spezialisten planen, den Personalbedarf belastbar schätzen, Rollen, Zugänge und Reporting vor dem Start klären und die periodische Überprüfung in Schweizer Banken danach im Normalbetrieb halten.

Die vier Planungsschritte und der rechtliche Rahmen

Eine KYC-Remediation ist planbar, wenn vier Schritte in dieser Reihenfolge ablaufen:

1. Segmentieren: Den Bestand nach Risiko, Alter, Fristen und Datenlücken aufteilen.
2. Pilotieren: An einer repräsentativen Stichprobe Bearbeitungszeit, Rückfragen und Nacharbeit messen.
3. Rechnen: Aus Fallzahlen und Pilotwerten den Personalbedarf ableiten.
4. Staffeln: Das Team in Wellen hochfahren und die Annahmen monatlich anpassen.

Der rechtliche Auslöser ist meist die Pflicht, Kundendaten aktuell zu halten. In der Schweiz überprüft der Finanzintermediär seit dem 1. Januar 2023 die erforderlichen Belege periodisch auf ihre Aktualität; Periodizität, Umfang und Art richten sich nach dem Risiko der Vertragspartei (Art. 7 Abs. 1bis GwG). Die internen Weisungen müssen die Aktualisierung von Kundenbelegen regeln (Art. 26 Abs. 2 lit. l GwV-FINMA). In Deutschland verlangt § 10 Abs. 1 Nr. 5 GwG eine kontinuierliche Überwachung und eine risikoabhängige Aktualisierung „im angemessenen zeitlichen Abstand“. Ab dem 10. Juli 2027 gilt in der EU die AMLR: Kundeninformationen sind dann spätestens nach einem Jahr (erhöhtes Risiko) bzw. fünf Jahren (übrige Kunden) zu aktualisieren (Art. 26 Abs. 2 VO (EU) 2024/1624).

Bestand segmentieren: Risiko, Alter, Fristen, Datenlücken

Die Segmentierung bestimmt, welche Fälle zuerst bearbeitet werden und wie viel Zeit ein Fall braucht. Ohne sie wird jede Kapazitätsschätzung zum Durchschnitt über sehr unterschiedliche Dossiers.

• Risiko: Beziehungen mit erhöhten Risiken sind nach Art. 13 Abs. 6 GwV-FINMA intern zu ermitteln und zu kennzeichnen. Diese Kennzeichnung ist die erste Achse.
• Alter der Dokumentation: Datum der letzten Überprüfung, fehlende oder abgelaufene Ausweise, veraltete Angaben zur wirtschaftlich berechtigten Person.
• Fristen: interne Fristen, Zusagen an Prüfgesellschaft oder Aufsicht, Termine aus einem Massnahmenplan.
• Kundentyp und Komplexität: Privatkunden, operative Unternehmen, Sitzgesellschaften, Trusts und Stiftungen, mehrstufige Strukturen.
• Datenlage: Welche Angaben liegen strukturiert im Kernbankensystem, welche nur in gescannten Dokumenten, welche fehlen ganz?
• Sprache der Dokumente: Welche Sprachen brauchen die Analysten, um Dokumente zu lesen und Rückfragen zu formulieren? Das zeigt der Pilot.

Das Ergebnis ist eine Matrix mit drei bis sechs Kategorien, zum Beispiel „Standard, niedriges Risiko“, „Unternehmen mit einfacher Struktur“ und „erhöhtes Risiko oder komplexe Struktur“. Jede Kategorie bekommt eine eigene Bearbeitungszeit und eine eigene Qualitätssicherung.

Pilot mit repräsentativer Stichprobe

Ein Pilot ersetzt Schätzungen durch gemessene Werte. Er sollte jede Kategorie abdecken und mit den Systemen, Checklisten und Freigabewegen laufen, die auch im Hauptprojekt gelten.

Was der Pilot messen sollte

• Bearbeitungszeit je Fall und Kategorie, getrennt nach erster Prüfung und Nacharbeit
• Anteil der Fälle mit Rückfragen an Kundenberatung oder Kunden und deren Wartezeit
• Fehlerquote in der Qualitätssicherung und häufigste Fehlerarten
• Anteil der Fälle, die eskaliert werden müssen
• Systemzeiten: Ladezeiten, fehlende Rechte, Medienbrüche

Am Ende des Pilots stehen eine verbindliche Prüfanweisung, ein Fallregister und realistische Zeitwerte. Erst dann lohnt sich der Hochlauf.

Kapazitätsformel mit Rechenbeispiel

Der Personalbedarf für Analysten lässt sich mit einer einfachen Formel schätzen: Summe aus Fallzahl je Kategorie mal Bearbeitungszeit, plus Zuschlag für Nacharbeit, geteilt durch produktive Stunden pro Person und Monat mal Projektmonate. Qualitätssicherung, Teamleitung und Fachexperten plant man zusätzlich.

Das folgende Rechenbeispiel ist ein Muster. Alle Werte sind Annahmen und ersetzen keine Pilotmessung.

Bei angenommenen 120 produktiven Stunden pro Person und Monat ergibt das rund 82 Personenmonate. Für eine Laufzeit von zwölf Monaten braucht es also etwa sieben Analysten. Dazu kommen nach der Rollenplanung unten ein bis zwei Personen für die Qualitätssicherung, eine Teamleitung und ein Fachexperte in Teilzeit. Wer die Laufzeit halbiert, verdoppelt nicht einfach das Team: Einarbeitung, Rückfragen und Freigaben wachsen mit, und interne Freigabestellen werden zum Engpass.

Rollenmodell: Analyst, Senior Analyst/QC, Team Lead, Subject Matter Expert

Ein KYC-Team trennt Bearbeitung, Qualitätssicherung und Steuerung. So bleibt nachvollziehbar, wer einen Fall geprüft und wer ihn freigegeben hat.

Die Verhältnisse sind Planungswerte, keine Vorgaben. Bei vielen Fällen mit erhöhtem Risiko braucht es mehr Qualitätssicherung. Wie ein solches Team hochgefahren und gesteuert wird, beschreibt der Ratgeber Taskforce für Legal- und Compliance-Projekte.

Alpinum Solutions stellt Analysten, Senior Analysts, Team Leads und Fachexperten für AML- und KYC-Remediation über Staff Leasing und Freelancing bereit, in Teilzeit oder Vollzeit. Im Staff Leasing liegt das fachliche Weisungsrecht beim Institut und die Fachkräfte arbeiten in dessen Systemen und Prozessen. Im Freelancing arbeiten Fachkräfte eigenverantwortlich im Rahmen des vereinbarten Mandats.

Zugänge, Tools und Datenschutz

Zugänge und Vertraulichkeit entscheiden oft über den Starttermin, nicht die Personalsuche. Klären Sie deshalb vor dem Hochlauf:

• Rechte nach dem Need-to-know-Prinzip: Lesezugriff auf die Dossiers der zugewiesenen Kategorie, Schreibrechte nur im Remediation-Tool.
• Arbeitsort: vor Ort, über gesicherte Remote-Umgebung oder hybrid, abhängig von den Sicherheitsvorgaben und dem Bankkundengeheimnis.
• Geräte und Konten: Bereitstellung durch das Institut, Vorlaufzeit für Konten, Tokens und Schulungen.
• Vertraulichkeit: Geheimhaltungserklärungen, Datenschutzinstruktion, Regeln für Ablage und Kommunikation.
• Beizug Dritter: Wer externe Personen mit Identifizierung oder zusätzlichen Abklärungen beauftragt, braucht in der Schweiz eine schriftliche Vereinbarung und muss sie sorgfältig auswählen, instruieren und kontrollieren; die aufsichtsrechtliche Verantwortung bleibt beim Institut (Art. 28, 29 GwV-FINMA). In Deutschland ist die Übertragung interner Sicherungsmassnahmen auf Dritte vorab anzuzeigen (§ 6 Abs. 7 GwG). Im Staff Leasing arbeiten die Fachkräfte dagegen eingegliedert und nach Weisung des Instituts. Das FINMA-RS 2018/3 setzt für eine Auslagerung voraus, dass ein Dienstleister eine Funktion selbständig erfüllt. Ob ein Einsatz im Einzelfall dennoch als Beizug Dritter oder anzeigepflichtige Auslagerung gilt, entscheidet und dokumentiert das Institut (BaFin-AuA, Ziff. 3.10).

Mehr dazu im Ratgeber Vertraulichkeit und Zugriffe bei temporärer Unterstützung.

Reporting an Geschäftsleitung und Aufsicht

Ein gutes Reporting zeigt Fortschritt, Qualität und Restrisiko, nicht nur erledigte Fälle. Bewährt haben sich wenige Kennzahlen, die jede Woche gleich berechnet werden:

• Offene, bearbeitete und von der Qualitätssicherung akzeptierte Fälle je Kategorie
• Nacharbeitsquote und häufigste Fehlerarten
• Offene Rückfragen und deren Alter
• Eskalationen und Entscheide über die Weiterführung von Beziehungen
• Prognose des Restbestands gegenüber dem Zielplan

Entscheide über Beziehungen mit erhöhten Risiken bleiben beim Institut: Bei bestimmten Kategorien, etwa Beziehungen mit politisch exponierten Personen, entscheidet das oberste Geschäftsführungsorgan oder eines seiner Mitglieder über die Aufnahme und jährlich über die Weiterführung (Art. 19 GwV-FINMA). Geht die Remediation auf eine Prüfungsfeststellung zurück, gehören Zwischenstände an Prüfgesellschaft oder Aufsicht in den Projektplan. Wie Sie Massnahmen aus Feststellungen planen und nachweisen, zeigt der Ratgeber Compliance-Remediation nach Prüfungsfeststellungen.

Schweiz: periodische Überprüfung von Kundenbeziehungen nach der Remediation

Nach der Remediation beginnt die periodische Überprüfung: Schweizer Banken prüfen die Belege ihrer Kundenbeziehungen seit dem 1. Januar 2023 periodisch auf ihre Aktualität und aktualisieren sie bei Bedarf (Art. 7 Abs. 1bis GwG). Ein festes gesetzliches Intervall gibt es nicht. Die Bank legt Periodizität, Umfang und Art risikobasiert selbst fest, muss sie aber aus ihrer Risikoanalyse begründen und in Weisungen verankern.

• Art. 6 Abs. 1 GwG: Auch die Periodizität von Kontrollen und die Hierarchiestufe für den Entscheid über die Weiterführung einer Beziehung richten sich nach dem Risiko.
• Art. 13 GwV-FINMA: Die Bank entwickelt Kriterien für Beziehungen mit erhöhten Risiken, ermittelt diese Beziehungen und kennzeichnet sie intern. Beziehungen mit ausländischen politisch exponierten Personen (PEP) gelten in jedem Fall als risikoerhöht.
• Art. 19 GwV-FINMA: Das oberste Geschäftsführungsorgan oder eines seiner Mitglieder entscheidet jährlich über die Weiterführung bestimmter PEP-Beziehungen und ordnet regelmässige Kontrollen aller Beziehungen mit erhöhten Risiken an.
• Art. 26 Abs. 2 lit. l GwV-FINMA: Die internen Weisungen regeln die Aktualisierung von Kundenbelegen.
• Standesregeln der Banken: Für die Identifizierung der Vertragspartei und die Feststellung der Kontrollinhaber und der wirtschaftlich berechtigten Person verweist Art. 35 GwV-FINMA heute auf die Vereinbarung über die Standesregeln zur Sorgfaltspflicht der Banken vom 13. Juni 2018 (VSB 20). Die Schweizerische Bankiervereinigung hat am 30. Oktober 2026 die Neufassung VSB 27 veröffentlicht; sie tritt am 1. Januar 2027 in Kraft, ersetzt die VSB 20 und sieht eine Übergangsfrist von vier Monaten vor (SBVg, 30.10.2026). Die Anpassung des Verweises in Art. 35 ist Teil der laufenden Teilrevision der GwV-FINMA. Die VSB bestimmt, welche Belege eine Akte enthalten muss.

Was die Geldwäschereirevision 2026 ändert

Seit dem 1. Oktober 2026 sind das revidierte GwG, das Transparenzgesetz (TJPG) und die Ausführungsverordnungen in Kraft; das Transparenzregister ist in Betrieb. Juristische Personen melden ihre wirtschaftlich berechtigten Personen gestaffelt, Aktiengesellschaften mit ordentlicher Revision innert drei Monaten, übrige juristische Personen innert sechs Monaten (Art. 51 TJPG). Ab dem 1. April 2027 melden Finanzintermediäre Abweichungen zwischen ihren Angaben und dem Register (Art. 30, 54 TJPG). Der Registerabgleich gehört deshalb als fester Schritt in die Überprüfung von Unternehmenskunden. Zudem hat die FINMA am 12. Mai 2026 eine Anhörung zur Teilrevision der GwV-FINMA eröffnet, unter anderem mit der Pflicht, Eigentums- und Kontrollstrukturen zu verstehen. Nach der FINMA-Übersicht der Regulierungsprojekte sind die Verabschiedung im vierten Quartal 2026 und das Inkrafttreten im ersten Quartal 2027 geplant (Stand Oktober 2026). Details behandelt der Ratgeber Geldwäschereirevision und Transparenzregister in der Schweiz.

Aufwand im Normalbetrieb planen

Der jährliche Aufwand ergibt sich aus der Zahl fälliger Beziehungen je Kategorie mal der Bearbeitungszeit aus dem Pilot. Drei Effekte erzeugen Spitzen: Beziehungen, die in derselben Remediation geprüft wurden, werden im selben Jahr wieder fällig; jede Höherstufung verkürzt das Intervall; und Registerabgleich sowie Eigentumsstrukturen verlängern ab 2027 die Bearbeitung von Unternehmenskunden. Eine Fälligkeitsliste für die nächsten drei Jahre zeigt, ob das Stammteam reicht oder ob Spitzen temporär abgefangen werden.

Beispiel: 8 FTE, 10 Monate, File Reviews und Alert Handling

Ein Finanzinstitut in der Schweiz setzte 2025 eine Taskforce mit 8 FTE ein: Compliance Officers einschliesslich Team Lead, alle zu 100 % im Staff Leasing. Das Team bearbeitete KYC-Remediation, KYC File Reviews, Transaction Monitoring und Alert Handling und dokumentierte die Ergebnisse. Der Team Lead berichtete an die interne Compliance. Ausgewählte Profile lagen innerhalb von 48 Stunden vor; das Team startete rund zwei Wochen nach Auftrag. Das Projekt wurde in 10 Monaten abgeschlossen. Details in der Fallstudie KYC-Taskforce. Wie man parallel einen Alert-Rückstand abbaut, zeigt der Ratgeber Transaction-Monitoring-Alerts.

Grenzen und Risiken

• Die Verantwortung für Sorgfaltspflichten, Risikoeinstufung und Meldungen bleibt beim Institut. Externe Fachkräfte bereiten vor und dokumentieren; vorbehaltene Entscheide trifft das Institut.
• Eine Fallleistung pro Tag ohne Pilot ist keine belastbare Planungsgrundlage. Datenqualität und Rückfragen bestimmen das Tempo.
• Zu schneller Hochlauf überlastet Qualitätssicherung und interne Freigabestellen. Staffeln Sie in Wellen.
• Alpinum ist keine Kanzlei und erbringt keine Rechtsberatung. Die Auslegung von GwG und GwV-FINMA im Einzelfall bleibt beim Institut und seinen Beratern.

Häufige Fragen zur KYC-Remediation

Wie lange dauert eine KYC-Remediation?

Die Dauer hängt von Fallzahl, Komplexität, Datenlage und Teamgrösse ab. Das Rechenbeispiel oben kommt mit sieben Analysten auf rund zwölf Monate. Die anonymisierte Taskforce mit 8 FTE schloss ihr Projekt in zehn Monaten ab. Belastbar wird die Dauer erst nach dem Pilot, wenn gemessene Bearbeitungszeiten vorliegen und die Rückfragequote bekannt ist.

Wie oft müssen Kundenbeziehungen in der Schweiz überprüft werden?

Das Gesetz nennt kein festes Intervall. Nach Art. 7 Abs. 1bis GwG richten sich Periodizität, Umfang und Art der Überprüfung nach dem Risiko der Vertragspartei; die Bank legt die Intervalle in internen Weisungen fest und begründet sie mit ihrer Risikoanalyse. Für bestimmte PEP-Beziehungen entscheidet die Geschäftsführung jährlich über die Weiterführung (Art. 19 GwV-FINMA).

Gilt in der EU ein festes Prüfintervall?

Ab dem 10. Juli 2027 ja. Die AMLR verlangt, Kundeninformationen spätestens nach einem Jahr bei erhöhtem Risiko und nach fünf Jahren bei allen übrigen Kunden zu aktualisieren (Art. 26 Abs. 2 VO (EU) 2024/1624). Für Schweizer Banken gilt die AMLR nicht direkt, für ihre Gesellschaften in der EU aber schon. Gruppen sollten ihre Intervalle deshalb abstimmen.

Können KYC-Reviews remote erfolgen?

Ja, wenn das Institut eine gesicherte Remote-Umgebung bereitstellt und die Sicherheitsvorgaben es erlauben. Viele Teams arbeiten hybrid: Einarbeitung und Kalibrierung vor Ort, die Bearbeitung danach teilweise remote. Für Grenzgänger sind zusätzlich sozialversicherungs- und steuerrechtliche Fragen der Telearbeit zu prüfen, bevor das Remote-Pensum festgelegt wird.

Was bleibt in der Verantwortung der Bank?

Die Bank bleibt für die Erfüllung der Sorgfaltspflichten verantwortlich, auch wenn sie Dritte beizieht (Art. 29 Abs. 1 GwV-FINMA). Sie entscheidet über Risikoeinstufungen, die Weiterführung oder Beendigung von Beziehungen und Meldungen an die Meldestelle. Externe Fachkräfte prüfen Dossiers, dokumentieren Ergebnisse und bereiten diese Entscheide vor.

Staff Leasing oder Freelancing für ein KYC-Team?

Staff Leasing passt, wenn die Fachkräfte in Systeme, Prozesse und Berichtslinien des Instituts eingebunden werden und das Institut fachlich anleitet. Freelancing passt für klar abgegrenzte Aufgaben, die eigenverantwortlich erbracht werden, etwa als Fachexperte für komplexe Strukturen. Viele Projekte kombinieren beide Modelle, zum Beispiel ein geleastes Analystenteam und einen Senior-Experten im Freelancing.

Nächster Schritt

Beschreiben Sie uns Bestand, Kategorien und Zielzeitraum. Ausgewählte Profile liegen in der Regel innerhalb von 48 Stunden vor; den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab.

• AML-, KYC- und Financial-Crime-Compliance
• Transaction-Monitoring-Alerts: Backlog abbauen
• Interim-Geldwäschebeauftragter oder AML-Projektteam
• Staff Leasing für Legal und Compliance
• Bedarf besprechen

Stand: 31. Oktober 2026.