Liveness Detection ist Pflicht im Schweizer Onboarding. Genügt das?

Ab dem 1. November 2026 müssen von der FINMA beaufsichtigte Schweizer Finanzintermediäre bei jeder Online-Identifizierung eine Liveness Detection einsetzen, auch beim neuen Weg über die E-ID ¹². Liveness Detection beantwortet eine Frage: Ist bei der Aufnahme eine reale Person anwesend? Ob der Videostrom selbst manipuliert wurde, beantwortet sie nicht. Das Rundschreiben ist technologieneutral und nennt dieses zweite Risiko nicht. Ob die Liveness Detection tatsächlich schützt, hängt daher von einem Gestaltungsentscheid ab, den jedes Institut selbst trifft. Die Geschäftsleitung sollte wissen, welcher Entscheid gefallen ist.

Was die FINMA am 8. Oktober geändert hat

Am 8. Oktober 2026 hat die FINMA die Teilrevision des Rundschreibens 2016/7 «Video- und Online-Identifizierung» verabschiedet. Es legt die Sorgfaltspflichten bei der digitalen Kundenaufnahme fest und tritt am 1. November 2026 in Kraft ¹.

Die Revision bewirkt vier Dinge. Sie lässt die Schweizer E-ID als Identifizierungsdokument für die Online-Identifizierung zu, sobald das E-ID-Gesetz in Kraft ist, was die FINMA für 2027 erwartet ³. Sie behandelt Ausweise mit QR-Code, etwa den Schweizer Führerausweis, wie Ausweise mit maschinenlesbarer Zone ¹³. Sie ergänzt die Liveness Detection beim Weg über die elektronische Ausweiskopie, die qualifizierte elektronische Signatur und die E-ID ². Und sie erlaubt digitale Verfahren, die die Vertragspartei oder deren Infrastruktur zuverlässig einem Wohnsitz zuordnen ²³.

Die Erläuterungen der FINMA begründen dies mit dem steigenden Betrugsrisiko durch künstliche Intelligenz, Videomanipulation und Deepfake-Technologien. Manipulierte Videos und gefälschte Ausweise seien immer schwerer zu erkennen ³. Die Liveness Detection definiert sie als technische Verfahren, die prüfen, ob die Vertragspartei tatsächlich physisch anwesend und lebendig ist und nicht eine Manipulation mittels Fotos, Videos oder anderer Täuschungsmittel vorliegt ³. Institute, die den Weg über die qualifizierte Signatur nutzen, erhalten ab Inkrafttreten ein Jahr Zeit für die Anpassung von Wohnsitzprüfung und Liveness Detection ².

Vier Fragen hinter einer Kontrolle

«Wir haben Liveness Detection» ist eine Aussage über eine einzelne Kontrolle. Die Online-Identifizierung beruht auf vier getrennten Zusicherungen, und die Revision berührt jede anders. Das Modell ist unsere eigene Darstellung, nicht jene der FINMA.

Die Schwachstelle liegt in der dritten Zeile. Ein Presentation Attack hält eine Fälschung vor eine echte Kamera, zum Beispiel ein gedrucktes Foto oder ein abgespieltes Video. Ein Injection Attack umgeht die Kamera und speist manipulierte Daten in die Aufnahmekette ein. Die europäische technische Spezifikation CEN/TS 18099 behandelt beide getrennt: Sie umfasst die Erkennung von Injection-Attack-Instrumenten, die Risikominderung und Testpläne. Das Testen von Presentation Attacks überlässt sie ISO/IEC 30107, hält aber fest, dass Presentation Attack Detection als ein Schutz dienen kann ⁴.

Die Erläuterungen der FINMA nennen technische Möglichkeiten zur Erkennung von Deepfakes und manipulierten Videos als wichtige flankierende Elemente ³. Der Text des Rundschreibens verlangt jedoch nur, dass das Institut sicherstellt, dass die Anfrage von der Vertragspartei stammt ². Unsere Einschätzung: Eine Liveness-Prüfung auf einem kompromittierten Aufnahmekanal prüft, was die Angreifer zeigen wollen. Zwei Anbieter können beide Liveness Detection versprechen und sehr unterschiedlichen Schutz bieten. Das Versprechen sollte gegen die Angriffsarten geprüft werden, für die es gedacht ist.

Zwei weitere Punkte verschieben das Risiko:

• Die E-ID löst das Bindungsproblem nicht. Das Institut prüft, ob die E-ID gültig und auf die Vertragspartei ausgestellt ist, und prüft dennoch Wohnsitz und Liveness ². Der Bund betreibt die Vertrauensinfrastruktur und stellt den Nachweis aus ⁵. Die Dokumentensicherheit steigt, Bindung und Kanal bleiben beim Institut.
• Die Herkunftsprüfung ist weniger streng als angenommen. Die FINMA hat in der Aufsicht festgestellt, dass nicht alle Intermediäre prüfen, ob der überweisende Dienstleister eine Bank ist. Kreditkartenherausgeber, PayPal oder Twint gelten im Sinne des Rundschreibens nicht als Bank ³. Eine schwache Herkunftsprüfung beseitigt das Sicherheitsnetz, auf das sich Lücken bei der Liveness Detection verlassen.

Was das für Schweizer Institute bedeutet

Für Banken, Effektenhändler und andere von der FINMA beaufsichtigte Intermediäre ergeben sich drei Folgen.

Erstens bleibt die Verantwortung beim Institut. Die FINMA hält fest, dass die Intermediäre für die Einhaltung des Geldwäschereigesetzes verantwortlich sind und selbst entscheiden, welche Ausweise sie akzeptieren ³. Wer den Onboarding-Prozess an einen Anbieter auslagert, gibt diese Verantwortung nicht ab.

Zweitens ist der Geltungsbereich enger als bisher. Das Rundschreiben gilt nur noch für von der FINMA beaufsichtigte Intermediäre, nicht mehr für die übrigen Intermediäre, die der bisherige Verweis erfasste, etwa Spielbanken ³. Nicht beaufsichtigte Intermediäre sollten prüfen, welche Standards für sie gelten.

Drittens ist der Zeitplan knapp. Das Datum ist der 1. November 2026, für den Signaturweg ein Jahr später ¹². Der E-ID-Weg ist erst nutzbar, wenn die E-ID existiert: Die swiyu-Infrastruktur befindet sich für künftige Aussteller und Prüfer noch in einer Sandbox-Phase ⁵, und die Bundesseite nennt kein Startdatum. Institute können die Zeit nutzen, um die Anbindung als Verifier zu testen, sollten aber nicht mit einem Datum planen.

Über die Schweiz hinaus gilt dasselbe Muster überall, wo die Identifizierung auf Distanz reguliert ist. Eine im Regelwerk genannte Kontrolle ist ein Ausgangspunkt. Den Schutz liefert, wie sie spezifiziert, getestet und überwacht wird.

Fragen für die Geschäftsleitung

1. Welche der vier Zusicherungen deckt unser Onboarding ab, und welche nehmen wir nur an, weil der Anbieter sie abdecken soll?
2. Können wir belegen, wie unsere Liveness Detection gegen Injection Attacks abschneidet, nicht nur gegen Presentation Attacks, und wer hat das getestet?
3. Prüfen wir, ob die eingehende Überweisung wirklich von einer Bank stammt, die mit einer in der Schweiz bewilligten vergleichbar ist, und ist die Prüfung automatisiert?
4. Wenn ein Anbieter seine Aufnahmesoftware ändert, wer bemerkt, dass sich unser Sicherheitsniveau verändert hat?
5. Welche Betrugssignale aus neu eröffneten Konten erreichen den Risikoausschuss, und wie schnell?