KYC und Source-of-Funds: warum Giropay und Co. nicht das einzige Sicherheitsthema waren

Wenn ich mit Spielern über Casino-Sicherheit spreche, höre ich oft Sätze wie „Giropay war ja sicher, also brauchte ich keinen Personalausweis hochzuladen“. Diese Annahme ist falsch und doppelt gefährlich. Falsch, weil Giropay nie eine Identitäts-Verifizierung leistete. Gefährlich, weil sie Spieler in eine falsche Sicherheit wiegt. KYC — Know Your Customer — ist eine eigenständige Schutzschicht, die parallel zur Zahlungsmethode läuft und mit ihr nicht überlappt. Wer das versteht, versteht auch, warum die Casino-Verifizierung 2026 ausgefeilter und umfangreicher ist als noch vor fünf Jahren.

KYC-Grundlagen im iGaming

Eine Erinnerung aus 2019: ein Casino-Manager erklärte mir damals, dass die KYC-Pflicht für Online-Casinos zwei voneinander unabhängige rechtliche Quellen habe — die Geldwäschegesetze einerseits und das Glücksspielrecht andererseits. Beide verlangen Identitätsprüfung, aber aus unterschiedlichen Gründen und mit teilweise unterschiedlicher Tiefe. Diese Überlagerung erklärt die Komplexität der heutigen Prozesse.

Das deutsche Geldwäschegesetz verlangt von jedem Glücksspielanbieter die Identifizierung des Spielers vor der ersten Transaktion über einen bestimmten Schwellenwert. Diese Pflicht ist Teil der EU-weiten Anti-Geldwäsche-Architektur und entspricht den Vorgaben der Sechsten Geldwäscherichtlinie (AMLD6). Der Schwellenwert liegt im Online-Glücksspiel niedrig — die meisten lizenzierten DE-Anbieter verifizieren bereits bei der Registrierung, also vor der ersten Einzahlung.

Parallel verlangt das Glücksspielrecht die Identifizierung, um den Anschluss an das LUGAS-System und an OASIS zu gewährleisten. Beide Systeme arbeiten mit verifizierten Spielerdaten — ohne KYC wäre keine Anbindung möglich. Diese doppelte Quelle macht die KYC-Pflicht im deutschen lizenzierten Casino besonders verbindlich. Ein Anbieter, der KYC umgeht, verstößt gegen mindestens zwei voneinander unabhängige Rechtsquellen.

VideoIdent, PostIdent und BankIdent im Vergleich

Hier wird die Praxis konkret. Es gibt drei etablierte Verfahren der Identitätsprüfung in deutschen Online-Casinos, und jedes hat seine Stärken und Schwächen.

VideoIdent ist das schnellste Verfahren. Der Spieler stellt eine Videoverbindung zu einem geschulten Mitarbeiter her, zeigt seinen Ausweis in die Kamera, beantwortet einige Sicherheitsfragen und wird in 10 bis 20 Minuten verifiziert. Die Rechtsgrundlage ist die Vorgabe der BaFin zur Online-Identifizierung im Zahlungsverkehr, die das Verfahren als gleichwertig zur persönlichen Identifizierung anerkennt. Vorteil: schnell. Nachteil: erfordert eine stabile Internetverbindung und die Bereitschaft des Spielers, sich in einem kurzen Live-Interview verifizieren zu lassen.

PostIdent ist das traditionelle Verfahren. Der Spieler druckt einen Identifizierungs-Coupon aus, geht in eine Postfiliale, lässt sich dort vom Postmitarbeiter prüfen und sendet die Daten zurück. Die Bearbeitung dauert mehrere Werktage — typischerweise drei bis fünf. Vorteil: keine Technik erforderlich. Nachteil: extrem langsam im Vergleich zu modernen Verfahren.

BankIdent ist das neueste Verfahren und basiert auf der bereits erfolgten KYC-Prüfung der Hausbank. Bei einer Casino-Einzahlung über SEPA Instant oder Trustly wird die Identität des Spielers indirekt durch die Bank bestätigt — der Spieler hat sich bei der Kontoeröffnung bereits identifiziert. Manche lizenzierte Casinos akzeptieren das als Zweitprüfung, manche nicht. Die Rechtssicherheit dieses Verfahrens wächst, aber es ersetzt in der Regel nicht die initiale Hauptverifizierung.

Eine vierte Variante hat sich in den letzten Jahren etabliert: AutoIdent über Künstliche-Intelligenz-Module. Der Spieler scannt mit seiner Smartphone-Kamera das Ausweisdokument, das System analysiert die Hologramme, das Geburtsdatum und die maschinenlesbare Zone automatisch und bestätigt die Identität in Sekunden. Die regulatorische Anerkennung dieses Verfahrens in Deutschland ist eingeschränkt, weil die deutsche Aufsicht der KI-Verifizierung skeptischer gegenübersteht als andere EU-Länder. In lizenzierten DE-Casinos kommt AutoIdent deshalb meist nur in Kombination mit einem zweiten manuellen Schritt zum Einsatz.

AMLD6 und Source-of-Funds

Hier wird der KYC-Prozess zur größeren regulatorischen Schicht. Mit der Sechsten Geldwäscherichtlinie der EU — AMLD6, in Deutschland im Geldwäschegesetz umgesetzt — kommt eine zusätzliche Anforderung ins Spiel, die Spieler oft erst spät bemerken: der Source-of-Funds-Nachweis.

Source-of-Funds bedeutet, dass der Spieler bei höheren Einzahlungen oder bei verdächtigen Mustern erklären muss, woher das Geld stammt, mit dem er spielt. Typische Belege sind Gehaltsabrechnungen, Steuerbescheide, Notar-Urkunden bei Erbschaften oder Immobilienverkäufen, Rechnungen bei Selbstständigen. Die Pflicht greift ab Schwellenwerten, die je nach Anbieter und Risikoprofil zwischen 2 500 und 10 000 Euro pro Monat oder pro Jahr liegen.

Hier liegt der eigentliche Unterschied zum Schwarzmarkt. Wie es Ronald Benter, Vorstand der GGL, im September 2025 in einer Pressemitteilung formulierte: „Illegale Plattformen bieten keine wirksamen Spielerschutzmechanismen. Wer dort spielt, geht ein erhebliches Risiko ein, eine Glücksspielsucht zu entwickeln.“ Was Benter über Spielerschutz sagt, gilt analog für KYC und Source-of-Funds. Schwarzmarkt-Anbieter haben keine Anbindung an LUGAS, keine Source-of-Funds-Prüfung, keine OASIS-Abfrage. Was sich für Spieler bequem anfühlt, ist die Abwesenheit einer Schutzschicht.

Im Jahr 2024 wurden in Deutschland 231 Untersagungsverfahren gegen illegale Online-Glücksspielanbieter geführt. Diese Zahl ist nicht nur ein Indikator für regulatorische Aktivität, sondern auch für das Volumen, das die GGL identifiziert hat — und genau in diesem Volumen fehlt die KYC-Schicht systematisch.

Im Hintergrund läuft eine zunehmende Datenvernetzung. Die GGL arbeitet mit den Finanzaufsichten und mit den Banken zusammen, um auffällige Geldflüsse aus Casino-Quellen zu identifizieren. Eine Überweisung von einer lizenzierten Glücksspielmarke an einen anderen lizenzierten Anbieter ist regulatorisch unauffällig. Eine Überweisung an einen offshore-Anbieter dagegen kann zu einer Source-of-Funds-Anfrage führen, die der Spieler oft nicht erwartet — und die schwer zu beantworten ist, wenn die ursprüngliche Quelle des Geldes selbst nicht sauber dokumentiert ist.

Method-Matching bei der Auszahlung

Eine konkrete Auswirkung der KYC-Architektur, die viele Spieler erst beim ersten Auszahlungswunsch bemerken: Method-Matching. Die Auszahlung muss in der Regel auf dem Konto erfolgen, von dem auch eingezahlt wurde. Diese Regel ist nicht willkürliche Casino-Bürokratie, sondern direkte Konsequenz der Anti-Geldwäsche-Pflichten.

Konkret heißt das: wer mit Konto A eingezahlt hat, kann nicht spontan eine Auszahlung auf Konto B beantragen, ohne dass eine zusätzliche Verifizierung des neuen Kontos erfolgt. Der Grund liegt im Geldwäsche-Szenario der sogenannten Smurfing-Operationen, bei denen Einzahlung und Auszahlung über unterschiedliche Konten verschiedener Personen erfolgen, um Geldströme zu verschleiern.

Method-Matching greift auch innerhalb der gleichen Bank. Wer mit Konto X bei Bank A eingezahlt hat und auf Konto Y bei derselben Bank A auszahlen will, durchläuft trotzdem eine Zweitverifizierung. Diese Strenge wirkt aus Spielersicht oft übertrieben — regulatorisch ist sie aber zwingend. Laut Glücksspielsurvey 2025 erfüllen 2,2 Prozent der 18- bis 70-Jährigen in Deutschland die DSM-5-Kriterien einer Glücksspielstörung. Method-Matching ist Teil der Schutzarchitektur für die anderen 97,8 Prozent — und für die 2,2 Prozent eine zusätzliche Reflexionsschwelle.

Was am Ende bleibt, ist eine wichtige Erkenntnis: KYC ist keine Bürokratie, sondern eine Sicherheitsschicht mit konkretem Schutzwert. Wer sich darüber ärgert, dass das Casino seine Ausweiskopie verlangt, sieht nur die kurzfristige Friktion. Wer den langfristigen Schutz versteht — gegen Identitätsdiebstahl, Geldwäsche-Verstrickung und unbewusstes Mitspielen in problematischen Strukturen —, akzeptiert die Verifizierung als das, was sie ist: die Eingangstür zu einem regulierten Markt. Ein zugehöriger Aspekt, der sich vertieft mit den Rechtsfolgen einer fehlerhaften Transaktion befasst, ist der Bereich Chargeback und Rückforderung.