KYC Levels und Wallet Limits

1) Warum die Brieftasche KYC-Levels und Limits benötigt

• Einhaltung von AML/CFT, Sanktionen, Altersnormen;
• Begrenzung der Verluste durch Frod/Chargeback/Fehler;
• sicheres LTV-Wachstum durch „Entsperren“ von Funktionen beim KYC-Upgrade.

Das Prinzip: Je höher der KYC-Level, desto höher die Limits (Top-up/Spend/Payout/Balance), breiter die Geografie und die verfügbaren Schienen (A2A, Karten, Gutscheine), niedriger die Barrieren für Re-Operationen und beschleunigte Auszahlungen.

2) Typische KYC-Leiter (ungefährer Inhalt der Ebenen)

Stufe 0 - Gast/Anonym (Lite/Nicht verifiziert)

Daten: E-Mail/Telefon, Basisland/IP/Gerät.
Zugang: eingeschränktes Browsen, manchmal Mikrozahlungen/Empfangen von Übersetzungen.
Limits: minimal (niedrig per-txn und Tag), keine Auszahlungen/Auszahlungen.
Risikokontrollen: starre Velocity/Geo, Anti-Multiaccount.

Ebene 1 - Vereinfacht (Basic/Simplified Due Diligence)

Daten: Name, Geburtsdatum, Adresse/Land, Telefon-/Postüberprüfung.
Dokumente: manchmal nicht erforderlich, oder Auto-checks auf der Basis (liveness/ID-guess).
Zugang: Top-up in kleinen Beträgen, P2P innerhalb des Schemas, begrenzt auf Pay-in.
Limits: niedrig per-txn/24h/7d/30d; payout ist begrenzt.

Stufe 2 - Standard (Full KYC/ID & Adresse)

Daten: Identitätsdokument (Reisepass/ID), Selfie-Liveness, Adressnachweis (Bankbrief/Dienstprogramm).
Zugang: alle grundlegenden Pay-in, P2P, Cash-out auf Bank/Karte, wo erlaubt.
Limits: mittel/hoch per-txn und periodisch; über Balance-Cap.

Stufe 3 - Erweiterte Due Diligence (EDD)

Dop. Daten: Proof of Funds/Quelle des Vermögens, Arbeits-/Geschäftsstatus, Begünstigte (für Geschäftskonten).
Zugang: große Umsätze, beschleunigte Auszahlungen, Mehrwährungskonten, vorrangige Verarbeitung.
Limits: hoch oder individuell; benutzerdefinierte Schwellenwerte für Pay-In/Pay-Out/Balance/FX.

Stufe VIP/High-Net-Worth/Enterprise

Individuelle Konditionen, Manager, weiße Listen der Empfänger/Länder, vereinbarte SLA-Zahlungen.
Grenzen und Kontrollen sind vertraglich, mit erhöhter Überwachung von Anomalien.

3) Arten von Grenzen (welche Parameter zu entwerfen)

Per-Transaction (MAX_TXN) ist die Obergrenze einer Operation.
Daily / 7d / 30d (ROLLOVER caps) - die gleitenden Fenster nach top-ap/raschodam/wywodam/ob'emu P2P.
Balance Cap - maximale Mittel auf der Brieftasche.
Kanalkappen - separate Schwellenwerte für Karten/A2A/Gutscheine/Crypto-on-Ramp (falls zutreffend).
Recipient/Counterparty caps - für neue/nicht verifizierte Empfänger, Limits für die erste Auszahlung.
Velocity - Anzahl der Versuche/Ausfälle, Häufigkeit des Geräte-/Methodenwechsels.
Geofencing - Erlaubte Länder/Währungen/Schienen (Allow/Deny-Listen).
Risiko-Tier-Multiplikatoren - Limitfaktoren für die Kunden/Session-Risikomarke.
Merchant/vertical caps - Profile für sensible MCCs (iGaming/Quasi-Cache/digitale Codes).

4) Niveauverbesserungsregeln (Progression)

Auslöser: Erreichen des 70-90% -Fensterlimits, Auszahlungsversuch, Einstieg in die sensible Vertikale, Aufforderung zur Bilanzerhöhung.
Schritte: Checkliste der Dokumente anzeigen, ETA, Prüfstatus, Alternativen (z.B. A2A statt Karten).
Automatisierung: Automatische Anpassung von Daten von staatlichen/Kreditbüros (wo legal), erneute Überprüfung der Adresse/des Alters.
Level Degradation: Bei verdächtiger Aktivität → ein vorübergehendes Downgrade von Limits, Hold-Auszahlungen, EDD.

5) Betrugsbekämpfung/AML und Kommunikation mit Grenzen

PEP/Sanctions-Screening: beim Onboarding und im Zeitplan, beim Datenwechsel, vor großen Auszahlungen.
Adverse Medien und Blacklists von Geräten/Karten/IBAN/BIN.
STR/SAR-Szenarien: automatische Warnungen und manuelle Überprüfungen bei Anomalien (Strukturierung, zyklische P2Ps, „Mullahs“).
Behavioral & device: Fingerabdruck, Emulatoren, Proxy/VPN, Bündel von Konten.
SCA/Step-Up: bei Überschreitung von Soft-Schwellenwerten - zusätzliche Authentifizierung, Ausgabeverzögerung, PoF/SoW-Anforderung.
Age-gating und RG (für iGaming): Altersüberprüfung, Selbstausschluss, Grenzen des verantwortungsvollen Spielens.

6) Die Architektur der „Limit Engine“ (Policy Engine)

Designziele: Konfigurierbarkeit, Erklärbarkeit von Entscheidungen, Idempotenz und Audit.

1. Katalogservice: KYC-Level, Länder, Währungen, Kanäle, MCC-Profile, Sanktionslisten/PER (Cache mit TTL).

2. Policy Engine: deklarative Regeln (z.B. CEL/JSON/YAML), Prioritäten, Regelversion, AB-Tests.

3. Rate-Limit/Windowing: Zählerspeicher (Redis/Scylla), Schiebefenster, Atomarität.

4. Risikobewertung: Geräte-/Verhaltens-/Kanalfeatures, Modell (Score), Mupping score→multiplikatory Limits.

5. Decision API: 'canTopUp/pay/payout?' → Antwort mit Gründen ('reason _ code', 'next _ required _ action').

6. Erklärbarkeit: Log der Regeln, welche Schwelle funktioniert hat, welches Dokument benötigt wird.

7. Admin-Benutzeroberfläche: Bearbeiten von Schwellenwerten/Regeln mit Versionierung und zweistufigem Appruval.

8. Audit/Trail: unveränderliches Entscheidungsprotokoll (Hash-Chain), Speicherung von Regelversionen.

• Idempotenz auf der Ebene von Aufträgen und Limitanforderungen.
• Zuverlässigkeit: Quorum/Replikat, Degradierung durch „Safe Failure“ (besser Failure als Limit überspringen).
• Beobachtbarkeit: Hit-Rate-Metriken nach Regeln, Step-up-Anteil, durchschnittliche Lösungszeit.

7) UX-Muster (transparente Limits = weniger Tickets)

Level-Label im Profil und an der Kasse: „Basic/Verified/Pro“.
Restlimit: „Kann heute noch bis X aufgefüllt werden“ + Fenster-Reset-Datum.
Grund für die Ablehnung: „Tageslimit Level 1 überschritten“ → Schaltfläche „Upgrade“.
On-page KYC: Herunterladen von Dokumenten ohne Checkout, Schritt-für-Schritt-Tipps, Beispielfoto.
Soft Lock: Beim ersten Ausfall - alternative Methoden (A2A/lokale Wallets), Teilzahlung, Split.
Payout-Sicherheit: Warnungen bei der ersten Auszahlung auf ein neues Konto, halten Sie, bevor Sie EDD passieren.

8) Beispiel einer Begrenzungsmatrix (vereinfachtes Muster)

9) Eigenschaften für iGaming und empfindliche Vertikale

Geo/Lizenzen: Wallet/Auszahlungen nur in den erlaubten Ländern/Staaten anzeigen.
Verantwortungsvolles Spielen: Die eigenen Limits des Spielers (Einzahlungen/Ausgaben/Zeit), Cooling-off, Selbstausschluss - mit den Wallet-Limits synchronisieren.
Bonus-Missbrauch: separate Schwellenwerte für neue Konten, Verbot der sofortigen Auszahlung von Bonusgeldern, Step-up für „Cash-Äquivalente“.
Payout-Kontrolle: verstärkte EDD für große Gewinne, Verschiebung von Auszahlungen bis zur Einstellung, Überprüfung der Geldquelle.

10) Metriken und Alerts

Approval rate by levels/channels/geo.
Decline-Bruch: Grenzen vs Risiko vs tech. Fehler.
Step-Up-Rate und KYC-Upgrade-Konvertierung (view→start→submit→pass).
Auszahlungszeit, Anteil der Eskalationen in EDD, teilen VIP.
SAR/STR Rate, Sanktionsauslösung/RER.
Complaint/ODR aus „Limit/Verification“ -Gründen.
Alerts: Anstieg der Fehler nach einer bestimmten Regel/Land/BIN/Gerät.

11) Checkliste Ausgabe in prod

1. Das Modell der Stufen und die Matrix der Grenzen im config-Service; Versionierung und Rollback.
2. Policy Engine mit Explain-Logs und Entscheidungsidempotenz.
3. KYC-Anbieter: ID-Verifizierung, Livness, Adresse, Sanktionen/RER, adverse media.
4. Risiko-Scoring und Velocity-Limits in Echtzeit (geringe Latenz).
5. UX: Transparente Limits, On-Page KYC, Opt-Out-Alternativen.
6. Payout-Gates: Holds/Step-up für neue Empfänger und große Beträge.
7. AML/Compliance: EDD-Verfahren, STR/SAR-Playbooks, Protokoll-/Beweisaufbewahrung.
8. Beobachtbarkeit: Dashboards zu Limits/CUS/Risk, Warnungen vor Fehlsynchronisierungen und Verschlechterung der Anbieter.
9. Testpaket: e2e für alle Stufen (Erfolg/Ausfall nach Limits), Eskalation in EDD, Dokumentenwechsel, Degradierung von KYC-Diensten, Aufwärmen von Fensterzählern.

12) Schnelle Antworten für sapport

Warum die Ablehnung? - Das Tageslimit von Level X wurde überschritten. Upgrade verfügbar: Dokument Y hochladen.
Wann wird das Limit zurückgesetzt? - Nach N Stunden (wir zeigen die genaue Zeit des Fensters an).
Warum nicht abheben? - Neuer Empfänger/Konto, benötigen Sie ein Step-up/Warten auf N Stunden.
Wie erhöhe ich die Stufe? - Schaltfläche „Erhöhen“, Dokumentenliste, ETA, Echtzeitprüfungsstatus.

Zusammenfassung

Bauen Sie Wallet-Limits als Konfiguration + Policy-Engine auf, die an KYC-Levels und Risikoscoring gebunden sind. Machen Sie die Gründe für die Ablehnung transparent, bieten Sie ein KYC-Upgrade und alternative Schienen an. Für iGaming - Implementieren Sie zusätzlich Grenzen für verantwortungsvolles Spielen, strenge Payout-Kontrollen und Sanktions-/Peer-Überwachung. Die starke Beobachtbarkeit (Metriken, Explain-Logs, Alerts) verwandelt die Grenzen von einer „Bremse“ in einen steuerbaren Hebel für Wachstum und Sicherheit.