Zusammenfassung
Die Kapitalmarktbehörde (SPK) hat wesentliche Änderungen an den Prozessen zur Fernidentifizierung vorgenommen. Die neue Mitteilung regelt das digitale Onboarding ausländischer natürlicher Personen. Gleichzeitig legt sie die Regeln für die Fernidentifizierung von im Handelsregister eingetragenen juristischen Personen fest. Für Ausländer wird die Verwendung von Reisepässen mit Nahfeldkommunikation (NFC) zum Standard. Die Mitteilung schreibt Kontrollen über das zentrale Register MERSİS für juristische Personen vor. Die Mitteilung macht die Ermittlung des wirtschaftlich Berechtigten (UBO) zu einem integralen Bestandteil des Onboarding-Prozesses für juristische Personen. Diese Änderungen schaffen neue Risikoszenarien in den KYC-Prozessen. Zudem entstehen dadurch neue periodische Meldepflichten für Compliance-Teams. Transaktionen von digital herangeführten Kunden müssen nun strengere Filter zur Transaktionsüberwachung durchlaufen.
Was sich ändert
Die Mitteilung erweitert den Kreis der Personen und Institutionen, für die eine Fernidentifizierung durchgeführt werden kann. Natürliche Personen ohne türkische Staatsangehörigkeit können nun per Fernidentifizierung Kunden werden. Hierfür nutzen die Personen Reisepässe, die dem Standard 9303 der Internationalen Zivilluftfahrtorganisation (ICAO) entsprechen. Die Mitteilung schreibt die Nutzung der NFC-Funktion (Nahfeldkommunikation) des Reisepasses vor. Die Institute verifizieren mittels NFC, ob die Daten auf dem Pass-Chip mit den Angaben auf dem Reisepass übereinstimmen. Können die Institute diese Verifizierung nicht durchführen, darf keine Geschäftsbeziehung im Wege der Fernidentifizierung begründet werden.
Institute stufen Kunden, deren Fernidentifizierung mittels Reisepass erfolgt ist, automatisch in die hohe Risikokategorie ein. Die Mitteilung sieht strenge Beschränkungen für Geldtransfers auf diese Konten vor. Geldeingänge dürfen ausschließlich von eigenen Bankkonten der Kunden im Ausland erfolgen. Auch ausgehende Zahlungen dürfen die Institute nur auf das eigene Bankkonto der betreffenden Person überweisen. Die Mitteilung schreibt vor, dass diese Überweisungen ausschließlich über das SWIFT-System abzuwickeln sind. Die Institute prüfen, ob die Informationen in den SWIFT-Nachrichten mit den vom Kunden erfassten Daten übereinstimmen. Diese Prüfung schließen die Institute ab, bevor andere Transaktionen auf dem Kundenkonto zugelassen werden.
Die Mitteilung regelt die Überprüfung der Vertretungsmacht bei der Fernidentifizierung von juristischen Personen. Die Institute bestätigen die Vertretungsberechtigung über MERSİS oder das Handelsregisterblatt (Ticaret Sicili Gazetesi). Die Mitteilung verpflichtet zur Ermittlung des wirtschaftlich Berechtigten der juristischen Person. Können die Institute den wirtschaftlich Berechtigten nicht ermitteln, brechen sie den Prozess unverzüglich ab. Die Institute beenden den Prozess auch dann, wenn Unstimmigkeiten zwischen den vorgelegten Informationen festgestellt werden. Bei Verdachtsmomenten brechen die Institute das Fernidentifizierungsverfahren ab.
Hat der Vertreter bereits ein Konto bei dem Institut, vereinfacht sich der Prozess. Diese Person kann über das Online-Banking eine Anfrage für die von ihr vertretene juristische Person stellen. Auch über die mobile App kann die Begründung einer dauerhaften Geschäftsbeziehung beantragt werden. In diesem Fall führen die Institute den Identifizierungsprozess der juristischen Person nahtlos fort.
Lebendigkeitserkennung (Liveness-Test) und Fotoabgleich sind im Fernidentifizierungsprozess von zentraler Bedeutung. Die Mitteilung erlaubt den Einsatz von KI-basierten Anwendungen in diesem Prozess. Dies entbindet jedoch nicht von der Pflicht zur Durchführung eines Video-Telefonats durch speziell geschultes Personal. Das Personal fertigt während des Video-Telefonats klare Aufnahmen an, die die Person und die Daten auf dem Reisepass zeigen. Die Institute protokollieren zudem technische Daten aus der elektronischen Umgebung, in der der Kunde die Transaktion durchführt. Die Systeme erfassen Daten wie IP-Adresse, Port-Informationen, Geräte-ID und geografischen Standort. Auch Browser-Informationen werden von den Instituten in diesem Rahmen ausgewertet. Die Institute analysieren all diese technischen Daten und die Passinformationen im Rahmen eines risikobasierten Ansatzes.
Bei der Identifizierung des Vertreters einer juristischen Person verifizieren die Institute zweifelsfrei dessen Vertretungsmacht. Es kann mehrere gemeinschaftlich vertretungsberechtigte Personen für die juristische Person geben. In diesem Fall können die Institute die Identifizierung aller Bevollmächtigten in derselben Sitzung durchführen. Alternativ können die Institute den Prozess auch in separaten Sitzungen zu unterschiedlichen Zeiten abschließen. Bei Bedarf können die Institute eine Kopie der Unterschriftenliste (imza sirküleri) vom Vertreter anfordern. Das Personal fertigt Fotos oder Screenshots an, die die Informationen auf der Unterschriftenliste zeigen. Das Personal vergleicht die Unterschriftenprobe auf der Unterschriftenliste mit der Unterschrift auf dem Ausweisdokument. Das Personal bezieht auch die in MERSİS hinterlegte Unterschriftenprobe in diesen Vergleich ein. Das Personal prüft, ob die Unterschriftenliste notariell beglaubigt ist. Das Personal verifiziert die Echtheit des Dokuments anhand des Datums und der Journalnummer. Zudem gleicht das Personal die aktuellen Daten durch eine Abfrage in der Datenbank der türkischen Einnahmenverwaltung (Gelir İdaresi Başkanlığı) ab.
Wer betroffen ist
Diese Änderungen betreffen direkt drei Haupttypen von Institutionen, die am Kapitalmarkt tätig sind:
- Wertpapierfirmen
- Portfolioverwaltungsgesellschaften
- Krypto-Dienstleister
Pflichten und Fristen
Die Mitteilung wurde am 3. September 2026 veröffentlicht und trat am selben Tag in Kraft. Die von den Instituten zu ergreifenden Maßnahmen und Fristen stellen sich wie folgt dar:
| Verpflichteter | Pflicht | Frist |
|---|---|---|
| Wertpapierfirmen, Portfolioverwaltungsgesellschaften, Krypto-Dienstleister | Meldung der Daten von per Fernidentifizierung gewonnenen Kunden an MASAK. | Der letzte Monat jedes Quartals basierend auf dem Kalenderjahr |
| Wertpapierfirmen, Portfolioverwaltungsgesellschaften, Krypto-Dienstleister | Erfassung und Verifizierung der Adressdaten der mittels Reisepass identifizierten Person. | Spätestens innerhalb von drei Monaten ab dem Transaktionsdatum |
| Wertpapierfirmen, Portfolioverwaltungsgesellschaften, Krypto-Dienstleister | Keine Freigabe von Geld- und Kryptowertetransfers vor erfolgter Adressbestätigung. | Während und nach der Begründung einer dauerhaften Geschäftsbeziehung |
| Wertpapierfirmen, Portfolioverwaltungsgesellschaften, Krypto-Dienstleister | Ermittlung des wirtschaftlich Berechtigten im Rahmen der Identifizierung des Vertreters der juristischen Person. | Während der Begründung einer dauerhaften Geschäftsbeziehung |
Schritte zur Compliance
Die konkreten Schritte, die ein Compliance-Officer zur Einhaltung dieser Mitteilung ergreifen sollte, sind:
- Aktualisieren Sie Ihre digitalen Onboarding-Prozesse. Richten Sie die Infrastruktur zum NFC-basierten Auslesen von Reisepässen für ausländische Staatsangehörige ein.
- Überarbeiten Sie Ihr Risikobewertungsmodell. Definieren Sie eine Regel, die Kunden, die per Fernidentifizierung mittels Reisepass erfasst wurden, der hohen Risikokategorie zuordnet.
- Verschärfen Sie die Kontrollen für Geldtransfers. Richten Sie einen Kontrollmechanismus ein, der sicherstellt, dass eingehende Transfers auf diese Hochrisikokonten ausschließlich über SWIFT erfolgen.
- Integrieren Sie den Prozess der Adressbestätigung in das System. Implementieren Sie systemseitige Sperren, die Transaktionen ausländischer Kunden verhindern, solange die Adressbestätigung aussteht.
- Planen Sie die MASAK-Meldeprozesse. Bereiten Sie Datenabfragen vor, um die Daten der per Fernidentifizierung gewonnenen Kunden vierteljährlich zu melden.
- Strukturieren Sie den Onboarding-Prozess für juristische Personen. Stellen Sie die Integrationen mit MERSİS und dem Handelsregisterblatt sicher.
- Aktualisieren Sie Ihre Szenarien zur Ermittlung des wirtschaftlich Berechtigten. Erstellen Sie Geschäftsregeln, die den Prozess automatisch stoppen, wenn der wirtschaftlich Berechtigte nicht ermittelt werden kann.
- Schulen Sie die Szenarien für Video-Telefonate. Bieten Sie den Kundenberatern spezielle Schulungen zur Fernidentifizierung mittels Reisepass an.
- Aktualisieren Sie die Bildschirme der Kundenberater. Gestalten Sie Benutzeroberflächen, über die das Personal die Unterschriftenliste hochladen und mit den MERSİS-Daten abgleichen kann.
- Überarbeiten Sie Ihren internen Auditplan. Testen Sie, ob die durch die neue Mitteilung eingeführten Einschränkungen wie Adressbestätigung und SWIFT-Kontrolle im System ordnungsgemäß funktionieren.
- Verbessern Sie die Kommunikationsprozesse mit Kunden. Richten Sie einen Workflow ein, der automatische Erinnerungsnachrichten an ausländische Kunden mit ausstehender Adressbestätigung sendet.
Truvali-Hinweis
Truvali ist eine Compliance-Software, die Geldwäschebekämpfung (AML), KYC und Transaktionsüberwachung auf einer einzigen Plattform vereint. Teams in der Türkei, die diese drei Bereiche derzeit von drei verschiedenen Anbietern beziehen, müssen zwischen verschiedenen Anwendungen wechseln, um einen einzigen Kunden zu bewerten. Truvali führt diesen Workflow an einem Ort zusammen; auch Risikobewertung und Fallmanagement sind Teil derselben Plattform.
Quellen
- https://www.resmigazete.gov.tr/eskiler/2026/09/20260903-3.htm
Haftungsausschluss
Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar. Der Umfang Ihrer Pflichten hängt von der Betriebserlaubnis und dem Geschäftsmodell Ihres Instituts ab; für eine verbindliche Bewertung wenden Sie sich bitte an den aktuellen Text der Gesetzgebung und Ihren Rechtsberater.