KYC-Ablauf gestalten: Wie wird Online-Identifizierung leichter?

Kurz gesagt

KYC steht für „know your customer“, also „Kenne deinen Kunden“. Die Variante aus der Ferne heißt e-KYC. Für den Nutzer bedeutet das, bei der Kontoeröffnung Ausweis und Gesicht in die Kamera zu halten und manchmal per Video mit einer Mitarbeiterin oder einem Mitarbeiter zu sprechen.

Die Schwierigkeit dieser UX: Der Nutzer hat das Produkt noch nie benutzt, gibt aber genau jetzt seine sensibelsten Daten preis. Ein einziger schlechter Fehlerscreen kann das Vertrauen schon am ersten Tag zerstören.

Im Ratgeber zur Fintech-UX beschreibe ich KYC mit einer kurzen Liste. Diese Seite öffnet die Liste Schritt für Schritt: Wo bricht jeder Schritt, und was sollte dann auf dem Screen stehen?

Die vier Schritte eines KYC-Ablaufs

Nicht jedes Produkt nutzt alle vier Schritte. Im Banking kommen sie aber oft zusammen. Jeder Schritt bricht an einer anderen Stelle.

1. Foto des Ausweises

Der Nutzer fotografiert Vorder- und Rückseite seines Ausweises. Probleme sind meist Unschärfe, Spiegelungen oder ein Ausweis, der über den Rahmen hinausragt.

Überlassen Sie die Aufnahme nicht dem Nutzer. Sitzt der Ausweis im Rahmen, löst die Kamera selbst aus. Ein Druck auf den Auslöser wackelt genau in diesem Moment.

2. Chip auslesen per NFC

Der deutsche Personalausweis hat einen Chip. Für die Online-Ausweisfunktion nennt die AusweisApp diese Voraussetzungen: aktivierte Online-Ausweisfunktion, sechsstellige PIN, installierte AusweisApp und ein NFC-fähiges Smartphone oder ein Kartenlesegerät. Für den Nutzer ist das der fremdeste Schritt, weil auf dem Screen nichts zu sehen ist.

Zeigen Sie mit einer Zeichnung, wo der Ausweis ans Handy gehalten wird. Die Lage der Antenne hängt vom Modell ab. Ein Fortschrittsbalken und der Hinweis „nicht bewegen“ verhindern, dass der Ausweis zu früh weggenommen wird. Und sagen Sie vor dem Start, dass die PIN gebraucht wird, damit niemand mittendrin seine Unterlagen sucht.

3. Lebenderkennung

Die Lebenderkennung prüft, ob ein echter Mensch vor der Kamera ist. Sie verhindert, dass ein Foto oder Video in die Kamera gehalten wird. Der Nutzer soll etwa den Kopf drehen oder blinzeln.

Geben Sie die Anweisungen einzeln und bestätigen Sie jede sofort. Nach „Drehen Sie den Kopf nach rechts“ zeigen Sie ein Zeichen, sobald die Bewegung erkannt ist. Sieht der Nutzer nicht, was geklappt hat, übertreibt er die Bewegung oder hält inne.

4. Videogespräch

In manchen Abläufen ist der letzte Schritt ein Videogespräch mit einer Mitarbeiterin oder einem Mitarbeiter. Ausweis und Gesicht werden live geprüft, dazu kommen ein paar Fragen.

Das UX-Problem dieses Schritts ist das Warten. Zeigen Sie, an welcher Stelle der Warteschlange der Nutzer steht und wie lange es ungefähr dauert. Erinnern Sie vor dem Gespräch daran, den Ausweis bereitzuhalten.

Wo Nutzer aufgeben

Wenn ich KYC-Abläufe prüfe, stoße ich immer wieder auf dieselben Abbruchpunkte. Dahinter steckt meist etwas, das der Screen nicht sagt.

• Vor dem Start. Weiß der Nutzer nicht, was er braucht, sucht er seinen Ausweis und kommt nicht zurück. Schreiben Sie auf den ersten Screen, dass Ausweis, gegebenenfalls PIN und ein heller Ort nötig sind. Sagen Sie auch, wie viele Minuten es dauert.
• Bei der Kamerafreigabe. Öffnen Sie den Systemdialog nicht, ohne zu sagen, warum Sie die Freigabe brauchen. Lehnt der Nutzer ab, steht ein Screen bereit, der zeigt, wie er die Freigabe in den Einstellungen erteilt.
• Beim Chip. Weil der Nutzer nicht sieht, was er tun soll, gibt er nach ein paar Versuchen auf. Gibt es einen Weg ohne Chip, verstecken Sie ihn nicht.
• Bei wiederholten Fehlern. Kam derselbe Fehler zweimal hintereinander, lassen Sie den Nutzer nicht ein drittes Mal dasselbe tun. Wechseln Sie nach dem zweiten Fehler die Methode oder bieten Sie Hilfe an.
• In der Warteschlange. Unklares Warten bringt Nutzer dazu, die App zu schließen. Tut er das, muss er bei der Rückkehr dort weitermachen können, wo er war.

Der letzte Punkt ist der teuerste. Speichert der Ablauf den Fortschritt nicht, wirft jede abgebrochene Verbindung den Nutzer an den Anfang. Wer das erlebt, versucht es kein zweites Mal.

Fehlerbehandlung: schlechter und guter Screen

Fehler sind bei KYC unvermeidlich. Weder das Licht im Raum noch die Internetverbindung des Nutzers können Sie wählen. Die eigentliche Frage ist, was der Screen nach dem Fehler sagt.

Der Leitfaden von NN/g zu Fehlermeldungen ist hier ein guter Maßstab. Tim Neusesser und Evan Sunwall empfehlen 2023:

• Die Meldung spricht die Sprache des Nutzers statt Fachjargon. Ein Fehlercode dient nur der technischen Diagnose.
• Sie schlägt vor, wie sich das Problem lösen lässt.
• Der Nutzer kann seine erste Eingabe korrigieren, ohne von vorn zu beginnen.
• Sie gibt dem Nutzer keine Schuld. Wörter wie „ungültig“ oder „falsch“ werden vermieden.

Kriterium 3.3.3 der WCAG 2.2 (AA) verlangt etwas Ähnliches. Erkennt das System einen Fehler automatisch und kennt es die Korrektur, muss es diesen Vorschlag zeigen. Ausgenommen ist der Fall, in dem der Vorschlag die Sicherheit oder den Zweck des Inhalts gefährden würde.

Bei KYC ist diese Ausnahme wichtig. Ein System, das ein gefälschtes Dokument erkennt, erklärt dem Nutzer nicht im Detail, warum. Den Grund für ein unscharfes Foto zu nennen, gefährdet dagegen niemanden.

In der Simulation unten können Sie in jedem der vier Schritte einen Fehler auslösen. Bei jedem Fehler öffnen sich eine schlechte und eine gute Fehlerbehandlung nebeneinander.

Simulation eines KYC-Ablaufs

Die vier Schritte stehen untereinander. Bei jedem Schritt stehen eine schlechte und eine gute Fehlerbehandlung für denselben Fehler nebeneinander.

Schritt 1 / 4 · Foto des Ausweises

Personalausweis · Vorderseite1 / 4

Legen Sie die Vorderseite des Ausweises in den Rahmen. Die Aufnahme startet von selbst.

Schlechte Fehlerbehandlung

Verifizierung fehlgeschlagen (E-104).

Bitte versuchen Sie es erneut.

Erneut versuchen

Die Meldung sagt nicht, was schiefging und was sich ändern muss. Der Nutzer macht dasselbe Foto im selben Licht noch einmal.

Gute Fehlerbehandlung

Das Foto ist unscharf, die Schrift auf dem Ausweis ist nicht lesbar.

• Legen Sie den Ausweis auf eine glatte, dunkle Fläche.
• Halten Sie das Handy ruhig über den Ausweis, die Aufnahme startet von selbst.
• Spiegelt eine Lampe auf dem Ausweis, kippen Sie das Handy leicht.
• Das Foto der Rückseite ist gespeichert. Wir nehmen nur die Vorderseite neu auf.

Schritt 2 / 4 · Chip auslesen (NFC)

Personalausweis · Chip2 / 4

Halten Sie den Ausweis an die Rückseite des Handys

Bewegen Sie Ausweis und Handy nicht, bis das Auslesen fertig ist.

Schlechte Fehlerbehandlung

NFC-Fehler. Vorgang beendet.

Sie werden zur Startseite weitergeleitet.

OK

Die Meldung nutzt einen Fachbegriff und wirft den Nutzer aus dem Ablauf. Alles geht verloren, auch das Foto des Ausweises.

Gute Fehlerbehandlung

Der Chip konnte nicht gelesen werden. Vielleicht wurde der Ausweis zu früh vom Handy genommen.

• Nehmen Sie die Handyhülle ab.
• Halten Sie den Ausweis an die markierte Stelle und warten Sie ein paar Sekunden.
• Ist NFC auf Ihrem Handy aus, schalten Sie es in den Einstellungen ein.
• Hat Ihr Handy kein NFC, können Sie per Videoident weitermachen. Wie das abläuft, steht auf dem nächsten Screen.

Schritt 3 / 4 · Lebenderkennung

Gesichtsprüfung3 / 4

Bringen Sie Ihr Gesicht in das Oval und drehen Sie den Kopf langsam nach rechts.

Schlechte Fehlerbehandlung

Lebenderkennung fehlgeschlagen.

Sie haben noch 2 Versuche.

Erneut versuchen

Die Meldung zählt die Versuche, nennt aber keinen Grund. Der Nutzer läuft auf seinen letzten Versuch zu, ohne zu wissen, was er tun soll.

Gute Fehlerbehandlung

Wir konnten Ihr Gesicht nicht deutlich sehen. Das Licht hinter Ihnen lässt Ihr Gesicht im Dunkeln.

• Nehmen Sie das Licht vor sich, nicht hinter sich.
• Spiegelt Ihre Brille, nehmen Sie sie ab.
• Halten Sie das Handy auf Augenhöhe.
• Wenn Sie diesen Schritt nicht schaffen, können Sie ihn im Videogespräch mit einer Mitarbeiterin oder einem Mitarbeiter machen.

Schritt 4 / 4 · Videogespräch

Videoident4 / 4

Sie werden verbunden

Suchen Sie einen ruhigen, hellen Ort. Halten Sie Ihren Ausweis bereit.

Schlechte Fehlerbehandlung

Verbindung getrennt.

Bitte starten Sie Ihren Antrag von vorn.

Von vorn beginnen

Der Nutzer muss drei Schritte wiederholen. Dieser Screen ist der leichteste Moment, die App zu schließen.

Gute Fehlerbehandlung

Die Verbindung ist abgebrochen. Ihre Schritte Ausweis, Chip und Gesicht sind gespeichert.

• Das Gespräch muss ohne Unterbrechung laufen. Deshalb starten wir nur das Gespräch neu.
• Wechseln Sie wenn möglich ins WLAN.
• Ihr Platz in der Warteschlange bleibt erhalten.

Screens und Fehlercodes sind erfunden und stammen aus keiner echten App. Wählen Sie einen Schritt, lösen Sie einen Fehler aus und vergleichen Sie die beiden Screens. Der Button im guten Screen schließt den Schritt ab.

Die schlechten Screens laden den Fehler beim Nutzer ab. Der gute Screen nennt den Grund und behält die erledigten Schritte. Der Nutzer wiederholt nur das Teil, das kaputtging.

Tipps zu Licht und Kamera

Lichtprobleme sind bei Kameraschritten am leichtesten vorab zu verhindern. Geben Sie die Tipps, bevor sich die Kamera öffnet, nicht erst nach einem Fehler.

• Das Licht kommt von vorn. Ein Fenster im Rücken lässt das Gesicht im Dunkeln.
• Der Ausweis liegt auf einer dunklen, glatten Fläche. Auf hellem Untergrund verschwindet seine Kante.
• Bei Spiegelungen soll der Nutzer das Handy leicht kippen. Eine Deckenlampe hinterlässt einen hellen Fleck auf dem Kunststoff.
• Geben Sie Live-Rückmeldung: „Etwas näher“, „Zu wenig Licht“, „Ruhig halten“.
• Für den Ausweis öffnet sich die Rückkamera, für das Gesicht die Frontkamera. Lassen Sie den Nutzer nicht selbst umschalten.

Live-Rückmeldung ist besser als ein Fehlerscreen danach. Der Nutzer behebt das Problem im Moment und landet gar nicht erst im Fehler.

Im Videoident ist Licht außerdem eine Pflichtfrage. Das BaFin-Rundschreiben zum Videoidentifizierungsverfahren nennt schlechte Lichtverhältnisse ausdrücklich als Grund, die Identifizierung abzubrechen.

Barrierefreiheit

Ein Ablauf, der auf Kamera und Bewegung baut, kann manche Nutzer von vornherein ausschließen. Wer blind ist, tut sich schwer, den Ausweis in den Rahmen zu bringen, und wer zittert, hält das Handy nur mühsam ruhig.

• Statusmeldungen werden vorgelesen. Live-Meldungen wie „Ausweis erkannt“ müssen beim Screenreader ankommen. Kriterium 4.1.3 der WCAG 2.2 (AA) verlangt, dass Statusmeldungen ohne Fokuswechsel an Hilfstechnologien gemeldet werden können.
• Anweisungen gibt es auch akustisch. Befehle wie „Ausweis etwas nach links schieben“ dürfen nicht nur über die Rahmenfarbe kommen.
• Kein Zeitdruck. Kriterium 2.2.1 der WCAG 2.2 (A) verlangt einen Weg, eine Zeitbegrenzung abzuschalten, anzupassen oder zu verlängern. Für die Verlängerung wird der Nutzer vorher gewarnt und bekommt mindestens 20 Sekunden. Ist die Zeit ein notwendiger Teil eines Echtzeitereignisses und gibt es keine Alternative, gilt die Regel nicht.
• Keine Codes abtippen lassen. Nach Kriterium 3.3.8 der WCAG 2.2 (AA) darf eine Authentifizierung nicht auf einem kognitiven Test ohne Alternative beruhen. Sich ein Passwort merken ist ein Beispiel dafür. Laut W3C muss ein Bestätigungscode mindestens eingefügt werden können. Im Videoident verlangt das BaFin-Rundschreiben eine TAN, die per E-Mail oder SMS kommt und online eingegeben wird. Auch dieses Feld sollte Einfügen erlauben. Mehr dazu im Ratgeber zur Fintech-UX.
• Der Weg zum Menschen ist nicht versteckt. Für jemanden, der die Kamera nicht nutzen kann, braucht es einen anderen Weg, etwa ein Videogespräch mit Unterstützung oder die Filiale. Dieser Weg steht auf dem ersten Screen, nicht erst nach drei Fehlern.

Die übrigen Prüfungen für mobile Apps habe ich im Ratgeber zur Barrierefreiheit mobiler Apps gesammelt.

Vertrauen schaffen

Im KYC-Schritt fragt sich der Nutzer, wohin sein Gesicht und seine Ausweisdaten gehen. Warten Sie nicht auf die Frage, beantworten Sie sie auf dem Screen.

• Begründen Sie jedes Dokument mit einem Satz: „Wir müssen Ihre Identität gesetzlich prüfen.“
• Sagen Sie, wenn aufgezeichnet wird. Im Videoident muss die Person laut BaFin-Rundschreiben zu Beginn ausdrücklich zustimmen, dass der ganze Vorgang sowie Fotos oder Screenshots von ihr und ihrem Ausweis aufgezeichnet werden. Machen Sie aus dieser Zustimmung einen klaren, eigenen Screen, nicht eine Zeile im Kleingedruckten.
• Geben Sie die Datenschutzinformation im Ablauf als kurze, lesbare Zusammenfassung. Der volle Text steht hinter einem Link.
• Schreiben Sie, wie lange es dauert und was am Ende passiert: „Nach der Prüfung wird Ihr Konto eröffnet, Sie bekommen eine Mitteilung.“
• Wird ein Antrag abgelehnt, nennen Sie den Grund, soweit Sie dürfen, und zeigen Sie den nächsten Schritt.

Vertrauenstexte müssen kurz sein. Ein langer Text auf dem Kamerascreen hält den Nutzer davon ab, in den Rahmen zu schauen. Lange Erklärungen gehören auf den Screen vor der Kamera.

Allgemeine Regeln für Fehlertexte finden Sie im Muster Fehlermeldungen, den Ablauf als Ganzes im Muster Onboarding.

Was die Regeln in Deutschland sagen

Das Geldwäschegesetz nennt in § 12 Abs. 1 GwG, womit natürliche Personen identifiziert werden können. Dazu gehören ein gültiger amtlicher Ausweis mit Lichtbild, der elektronische Identitätsnachweis nach § 18 des Personalausweisgesetzes, eine qualifizierte elektronische Signatur und ein notifiziertes elektronisches Identifizierungssystem.

Für das Videoident hat die BaFin im Rundschreiben 3/2017 (GW) Anforderungen festgelegt. Für das Design sind diese Punkte wichtig:

• Die Person stimmt zu Beginn ausdrücklich der Aufzeichnung zu (Abschnitt III).
• Die Videoidentifizierung läuft in Echtzeit und ohne Unterbrechung, nur über Ende-zu-Ende-verschlüsselte Videochats (Abschnitt IV).
• Ist die visuelle Prüfung etwa wegen schlechter Lichtverhältnisse oder schlechter Bildqualität nicht möglich, wird die Identifizierung abgebrochen. Sie kann dann mit einem anderen nach dem Geldwäschegesetz zulässigen Verfahren erfolgen (Abschnitt VIII).
• Während des Videos gibt die Person eine TAN ein, die sie per E-Mail oder SMS bekommen hat (Abschnitt IX).

Der Abbruch bei schlechtem Licht und die Pflicht, ohne Unterbrechung zu identifizieren, sind für mich die beiden wichtigsten Designaufgaben: Licht vorher prüfen und den Nutzer bei einem Abbruch nicht alle Schritte wiederholen lassen. Dieser Hinweis ist keine Rechtsberatung. Prüfen Sie den aktuellen Text gemeinsam mit Ihrem Compliance-Team.

Meine Notiz

Der häufigste Fehler, den ich in KYC-Abläufen sehe: Der Ablauf ist wie ein Sicherheitsformular gestaltet. Die Screens sprechen die Sprache des Compliance-Teams. Kein einziger Satz sagt dem Nutzer, was er tun soll.

Ich schaue mir zuerst die Fehlerscreens an. Das Szenario, in dem alles klappt, testet jeder. Eine abgebrochene Verbindung probiert fast niemand aus.

Wenn ich einen KYC-Ablauf prüfe, starte ich mit meinem eigenen Handy, in einem dämmrigen Raum, mit Hülle. Lässt mich der Ablauf selbst unter diesen Bedingungen dort weitermachen, wo ich war, steht er auf einem soliden Fundament.