Identitäts- und Dokumentenprüfung

1) Ziele und Platz im Compliance-Loop

Die Verifizierung der Identität bestätigt, dass der Benutzer real, volljährig und geo/jurisdiktional ist und das Dokument authentisch und aktuell ist. Bei iGaming ist es eine Säule für KYC/AML/Sanktionen, Zahlungen und Responsible Gaming (Alter/Grenzen).

• Bestätigen Sie Identität, Alter und Wohnsitz.
• Erkennen Sie Fälschungen/Reversionen von Dokumenten und Spoofing des Gesichts.
• Stimmen Sie den Inhaber des Zahlungsinstruments mit dem Profil ab.
• Reduzieren Sie die Reibung im Onboarding, ohne die Qualität zu beeinträchtigen.

2) Dokumenttypen und Kanäle

Dokumente: Reisepass, Personalausweis, Führerschein, Aufenthaltserlaubnis (falls zutreffend), Reisepass.
Eingabekanäle: mobiles SDK (vorzugsweise), Webcam, Foto-Upload (Fallback), NFC (wenn es einen Chip gibt), „dünne“ staatliche Überprüfungen (Open-Banking/Kreditdateien/Telko KYC - nach Region).

• Allen voran das mobile SDK (Kameraqualität, Gyroskop/Fokus).
• Schritt-für-Schritt-Tipps (Winkel, Licht, Rahmen) und Auto-Frame-Capture, um Ausschuss zu reduzieren.
• Validierung der Gültigkeitsdauer und der marktspezifischen zulässigen Länder/Formate.

3) Verfahrenstechnik: Woraus besteht die Prüfung

1. Dock Scan (OCR): Feldextraktion (Name/DR/Nummer/Nationalität/Adresse), Strukturkontrolle, Vergleich mit zusätzlichen Quellen.
2. MRZ (falls vorhanden): Checksummenprüfung, Abgleich mit OCR.
3. NFC (ePassport/eID): Lesen Sie den Chip (DG1/DG2), vergleichen Sie Porträts und Timing.
4. Selfie-liveness: passiv/aktiv, Anti-Spoof (replay/mask/paper/screen).
5. Face-Match: Vergleich von Selfies mit einem Porträt auf einem Dokument (oder von NFC), Übereinstimmungsschwellen.
6. Qualität: Schärfe/Blendung/Beschneidung/Artefakte, Manipulationsdetektor.
7. Sanktionen/PEP/Adverse Media (parallel).
8. Adresse: „soft“ (Basen/Telko/Bank-Match) oder „Hard“ (Utility Bill ≤3 Monat) nach Level.
9. Lösung: Auto-Approach, Auto-Feil nach Kriterien oder manuelles Clearing (L2/MLRO).

4) Liveness und Face-Match: Schwellen und Anti-Spoof

• Passiv schneller und besser für UX; aktiv ist nützlich als Fallback in strittigen Fällen.
• Anti-Spoof: Details von Masken/Bildschirm/Druck, Analyse von Blendung und Mikrobewegungen der Augen, Frequenzmerkmale.

• ≥ 0. 90 - Hohes Vertrauen: Auto-Approach mit sauberen anderen Signalen.

0. 82–0. 89 - Überprüfung: manuelle Überprüfung; Fordern Sie ein zweites Selfie/Dock-Foto an.

🚨 0. 82 - Auto-Fail: bei Vorliegen anderer negativer Anzeichen (Qualitätsehe, Feldinkonsistenzen).

5) Qualitätskontrolle des Dokuments

• Geometrie und Ränder: Kanten/Rahmen, Proportionen, MRZ/Barcode-Bereich.
• Licht und Schärfe: kein Clipping/Overlight; Auto-Hinweise für den Benutzer.
• Manipulationen: Bearbeitungsspuren, Neuzusammenstellung von Ebenen, Inkonsistenz von Schriftarten/Guillochen.
• Gültigkeit und Art des Dokuments: gültig? Gehört es zu den zulässigen Typen?
• OCR ↔ MRZ ↔ NFC Fotos von NFC ↔ Selfies.

6) Geos, Alphabete und Transliterationen

Unterstützung für kyrillische/lateinische/diakritische Schrift; Tokenisierung des Namens (Vorname/Nachname/Vatersname).
Normalisierung von „de/van/bin/ibn“, Doppelnamen, arabischen und indischen Formaten.
Vergleich alternativer Transliterationen zu einer einheitlichen kanonischen Darstellung (für Sanktionen/RER und Zahlungen).

7) Fehlerursachen (Rückrufcodes) und Aktionen

• DQ-01: Schlechte Bildqualität/Unschärfe/Blendung.
• DQ-02: Unvergleichbarkeit der OCR↔MRZ/NFC.
• DQ-03: Das Dokument ist abgelaufen.
• DQ-04: liveness fail/Verdacht auf Abstieg.
• DQ-05: niedriges Face-Match.
• DQ-06: Nichtübereinstimmung DR/Name Profil/Zahlungsdaten.
• DQ-07: nicht unterstütztes Dokument/Gerichtsbarkeit.

• Neuladen (guided retake) mit Hinweisen.
• Umschalten auf einen alternativen Kanal (NFC/Webcam).
• Eskalation zum manuellen Clearing mit „vier Augen“.
• Anforderung zusätzlicher Dokumente (Adresse/SOF) oder Video Call.

8) Manuelles Clearing (Operational Playbook)

Abstimmung von Feldern und Fotos, Vergleich von Personen nach Kontrollpunkten.
Checkliste der Manipulationen (Farbe/Textur/Mikrodruck), Abgleich mit Dokumentreferenzen.
Quellenprüfung (Register, falls vorhanden), Cross-Check mit Zahlungsdaten.
4-Augen-Prinzip: Bei strittigen Fällen ist eine Zweitmeinung Pflicht.
Komplette Entscheidungsmotivation im Fall + Artefakte (Screenshots, Dateiversionen).

9) Architektur und Integration

Mobile/Web SDK Verifikation + Opchestrator (Lösungen und Vollbecks).
Matching Engine: Normalisierung von Namen, Face-Match-Schwellenwerte, Regeln.
Feature Store: Qualitäts-/Risikomerkmale (online/offline vereinbart).
Case-System: Warteschlangen, SLAs, E-Mail-Vorlagen, „reason codes“.
Sanktionen/EVR: synchrones oder asynchrones Screening; Rescrining für Zahlungen.
Sicherheit: Verschlüsselung im Transit/Ruhezustand, Secret-Storage, Tokenisierung von Bildern, DLP.
Zuverlässigkeit: Quorum der Anbieter, Retrays/Timeouts, Degradierung zu „L0/L1 only“.

10) UX und Verfügbarkeit

Schritt-für-Schritt-Assistent mit „Fortschrittsleiste“, Rahmenvorschau und Auto-Capture.
Foto-Hinweise (Beispiel „wie soll es aussehen“) und „live hints“ (kippen/annähern).
Unterstützung für schwaches Licht (Nachtmodus), Offline-Entwurf, Anpassung an eine Hand.
Zugänglichkeit: Kontrast, Sprachausgabe, große Knöpfe, Sprache/Lokalität.
Möglichkeit, „zu speichern und später fortzufahren“.

11) Metriken und SLOs

TTV (Time-to-Verify): Median/95. Perzentil.
FPY (First Pass Yield) durch Dokumente und Selfies.
Auto-pass / Manual-review rate, Auto-fail rate.
Liveness Pass-Rate, Face-Match-Verteilung über Locations/Geräte.
Repeat-attempt Rate und Anteil von „guided retake“ erfolgreich.
Vendor SLA: Aptime, durchschnittliche Latenz, Häufigkeit von Vorfällen.

12) Privatsphäre, Lagerung und Sicherheit

Minimierung: Speichern Sie nur die gewünschten Felder und Hashes der Biometrie (wo möglich).
Fristen: in der Regel ≥5 Jahre nach dem Ende der Beziehung (vor Ort klären).
Verschlüsselung: at-rest/in-transit; Zugang über RBAC/ABAC; Überwachung von Uploads.
WORM-Speicher für Fälle und Entscheidungen (regulatorisches Audit).
DPIA/DTIA beim Hinzufügen neuer Anbieter/Datentransfer ins Ausland.

13) Beispiel einer Entscheidungsmatrix

14) Checklisten

• Gültiges Dokument des unterstützten Typs/Landes.
• Selfie-liveness (Pass) und Face-Match ≥ Schwelle.
• OCR↔MRZ/NFC stimmen überein; DR ≥ Mindestalter.
• Sanctions/PEP primary screening.
• Adresse (soft), Geo/IP ohne Konflikte.

• Wiederholtes Face-Match (Selfie-Check) auf Risiko.
• Rescrining sanctions/RER.
• Übereinstimmung des Inhabers des Zahlungsinstruments.
• SOF, wenn der Schwellenwert überschritten wird.

• Dokument bei Ablauf/Änderung des Nachnamens/der Adresse aktualisieren.
• Abstimmung Geo/Geräte; wiederholte liveness bei Anomalien.
• Prüfung der Ablehnungs-/Einzelhandels-Historie.

15) Häufige Risiken und wie man sie schließt

Synthetische Persönlichkeiten → Multisignal: NFC + liveness + Gerätegraph.
Deepfake/Maske → passive liveness mit anti-spoof + aktiv wie fallback.
Schlechte Kameraqualität → Hyde-Retake, Auto-Belichtung, „rote Zonen“ in der Benutzeroberfläche.
Abweichungen von Name/Transliteration → Normalisierung/Aliasi, manuelles Clearing.
VPN/Proxy und Geo-Konflikt → Zeitlimits, wiederholter Selfie-Check, Überprüfung der BIN/Adresse.
Massenretake → Geräte-/Affiliate-Überwachung, Einschränkung der Versuche.

16) Vendor Management und Testplan

Vergleichen Sie Anbieter nach Passrate, Latenz, FP/TP nach Liveness/Face.
Benchmarks auf einer „schmutzigen“ Stichprobe (Schatten, Brille, verschiedene Hauttöne, Masken/Bildschirme).
Kanarienstart, Doppelschleife (primär/sekundär) und automatischer Failover.
Regelmäßige rote Team-Checks (Spoof-Sets, Papier/Bildschirm-Angriffe).

17) Umsetzung (Roadmap)

1. Identifizieren Sie unterstützte Dokumente/Länder und Face/Liveness-Schwellenwerte.
2. Bauen Sie das mobile SDK + NFC ein, bereiten Sie die Eingabeaufforderung und die Anleitung vor.
3. Führen Sie den Solution Orchestrator, das Case System und die Reason Codes aus.
4. Richten Sie Sanktionen/RER und Rescrining für Zahlungen ein.
5. Führen Sie einen Piloten durch, kalibrieren Sie die Schwellen nach Orten und Geräten.
6. Einführung regelmäßiger Audits, Kontrolle der Metriken und Schulung des Teams.

Ergebnis

Eine zuverlässige Identitätsverifizierung ist die Orchestrierung mehrerer Signale: ein hochwertiger Dock-Scan (OCR/MRZ/NFC), Liveness und Face-Match mit richtig gewählten Schwellenwerten sowie die Disziplin des manuellen Clearings und der Protokollierung von Entscheidungen. Fügen Sie starke UX, Privatsphäre und Metriken hinzu - und erhalten Sie einen skalierbaren Prozess, der gleichzeitig die Sicherheit erhöht, die regulatorischen Anforderungen erfüllt und die Konvertierung beibehält.