FINMA-Bericht: Digitale Betrugsrisiken und Handlungsbedarf im Schweizer Banking

Digitaler Betrug ist für Banken und Finanzinstitute schon lange kein Nischenrisiko mehr. Insbesondere im Zusammenhang mit der Eröffnung, dem Zugriff und der Verwaltung von Kundenbeziehungen im Internet hat er sich zu einer strukturellen Herausforderung für digitale Finanzdienstleistungen entwickelt.

Mit der “FINMA-Aufsichtsmitteilung 02/2026: Digitale Betrugsrisiken bei Banken und Personen nach Art. 1b BankG”, hat die Eidgenössische Finanzmarktaufsicht das Thema digitaler Betrug für Banken und Fintech-Unternehmen in der Schweiz ganz oben auf die Tagesordnung gesetzt.

Die Leitlinien führen keinen völlig neuen Rechtsrahmen ein. Vielmehr wird erläutert, wie Risiken im Zusammenhang mit digitalem Betrug im Rahmen der bestehenden Verpflichtungen in den Bereichen operationelles Risikomanagement, Geldwäschebekämpfung, Online-Identifikation und Corporate Governance zu verstehen sind.

Darüber hinaus sendet sie ein klares Signal, dass sich die Bedrohungslage verändert hat. Betrüger nutzen Automatisierung, gestohlene Identitäten, gefälschte Dokumente, Phishing, manipulierte Videos sowie zunehmend auch Deepfake-Technologien, um digitale Finanzdienste anzugreifen.

Die Frage, ob Institutionen digitale Mechanismen zum Schutz vor Betrug benötigen, ist daher hinfällig. Vielmehr stellt sich die Frage, ob ihre bestehenden Mechanismen weiterhin robust genug sind.

FINMA-Aufsichtsmitteilung 02/2026: Worum es geht

Seit Ende 2022 hat die FINMA einen stetigen Anstieg von Fällen digitalen Betrugs bei Banken festgestellt. Die Aufsichtsmitteilung konzentriert sich auf drei zentrale Bereiche:

Erstens: das operative Risikomanagement. Banken und Institute im Sinne von § 1b des Bankengesetzes müssen über geeignete Strukturen, Prozesse und Kontrollmechanismen verfügen, um Risiken im Zusammenhang mit digitalem Betrug zu erkennen, zu bewerten, zu steuern und zu überwachen.

Zweitens befasst sich der Bericht mit der betrügerischen Nutzung von online eröffneten Konten. Die FINMA weist auf die mit gefälschten Ausweisdokumenten, Identitätsdiebstahl, manipulierten Videos und Deepfakes verbundenen Risiken hin. Ebenso werden Konten thematisiert, die zwar rechtmäßig eröffnet, später jedoch an Kriminelle weitergegeben werden.

Drittens geht es um die Bekämpfung der Geldwäsche. Betrügerisch eröffnete oder missbräuchlich genutzte Konten können dazu dienen, illegale Gelder zu transferieren. Digitaler Betrug ist somit von unmittelbarer Bedeutung für Systeme zur Geldwäschebekämpfung, die auf Transaktionsüberwachung und die Meldung verdächtiger Aktivitäten setzen.

Diese Leitlinien stützen sich einerseits auf die Aufsichtstätigkeit der FINMA und andererseits auf eine im Jahr 2025 durchgeführte Umfrage unter 19 Banken verschiedener Aufsichtskategorien. Obwohl sich das Dokument auf die Schweiz konzentriert, sind die darin beschriebenen Risiken nicht auf den Schweizer Markt beschränkt.

Ergebnisse der FINMA-Umfrage:

Die Umfrage der FINMA deutet darauf hin, dass die Bereitschaft zur Bekämpfung von digitalem Betrug im Schweizer Finanzsektor nach wie vor ungleichmässig verteilt ist. Zwar sind sich viele Institute der Risiken bewusst, doch dieses Bewusstsein führt nicht immer zu klaren Zuständigkeiten, Echtzeit-Erkennungsmöglichkeiten oder der Fähigkeit, proaktiv zu reagieren.

• 12 der 19 befragten Institutionen gaben an, über nachhaltige Governance-Strukturen für den Umgang mit digitalem Betrug zu verfügen. Die Zuständigkeiten sind jedoch häufig auf Personen verteilt, die mehrere Funktionen ausüben. In der Praxis kann dies die Koordination der Betrugsbekämpfungsmassnahmen zwischen den Teams für Compliance, IT-Sicherheit, Geldwäschebekämpfung, Operations und dem Customer Onboarding behindern.
  
  
• Tatsächlich verfügen 8 der 19 befragten Institutionen (42 %) über keine eigene Richtlinie zum digitalen Betrug. Stattdessen wird dieser häufig indirekt durch andere Richtlinien, beispielsweise zur Informationssicherheit oder zur Bekämpfung von Geldwäsche, abgedeckt. Dies kann im Falle eines Betrugsverdachts zu fragmentierten Prozessen und einer verlangsamten Entscheidungsfindung führen.
  
  
• Nur 12 der 19 (63,2 %) Banken setzen Echtzeit-Betrugserkennung ein. Sieben analysieren laufende Betrugsangriffe überhaupt nicht oder tun dies nur manuell – was die Mustererkennung erschwert. Darüber hinaus sind viele Institute nicht in der Lage, Erkennungsregeln zeitnah zu aktualisieren, da sie auf Drittanbieter angewiesen sind, was ihre Reaktionsfähigkeit beeinträchtigt.
  
  
• Drei der befragten Institute setzen keine technischen Kontrollmaßnahmen wie Geoblocking, IP-Risikobewertung oder Device Fingerprinting zur Authentifizierung ihrer Kunden ein. Bei rund 20 % fehlen entweder wichtige Kontrollmaßnahmen oder es findet keine regelmäßige Überprüfung ihrer Wirksamkeit statt.
  
  

Die Ergebnisse zeigen insgesamt, dass das allgemeine Bewusstsein für die Prävention von digitalem Betrug nicht ausreicht. Finanzinstitute benötigen klare Zuständigkeiten, spezielle Richtlinien, eine kontinuierliche Überwachung und technische Kontrollmaßnahmen, die regelmäßig getestet und aktualisiert werden.

Warum das Online-Onboarding zu einem Einstiegspunkt mit hohem Risiko wird

Die FINMA weist ausdrücklich auf den betrügerischen Missbrauch von Online-Konten hin. Kriminelle Organisationen versuchen immer häufiger, mithilfe ausgefeilter technischer Methoden Konten zu eröffnen. Diese können dann zur Weiterleitung unrechtmässiger Gelder genutzt werden.

In den Leitlinien werden mehrere Risikofaktoren genannt. Dazu zählen unter anderem gefälschte Ausweisdokumente, Identitätsdiebstahl, manipulierte Videos, Deepfake-Technologien, Phishing-basierte Kontoübernahmen, Aktivitäten von Finanzagenten sowie Personen, die dazu verleitet werden, nach der Kontoeröffnung den Zugriff auf ihre Konten preiszugeben.

Dieser letzte Punkt ist besonders wichtig. Nicht jedes problematische Konto wird unter Angabe einer falschen Identität eröffnet. Oft werden die Konten unter Vorlage gültiger Ausweisdokumente und unter Einhaltung der geltenden Sorgfaltspflichten eröffnet. Der eigentliche Betrug kann erst zu einem späteren Zeitpunkt stattfinden, wenn ein Dritter die Kontrolle über das Konto erlangt.

Dies verdeutlicht, warum die digitale Betrugsbekämpfung nicht mit dem Onboarding enden darf. Zwar ist die Identitätsprüfung unerlässlich, sie muss jedoch Teil einer umfassenderen Strategie zur Betrugsbekämpfung sein, die auch den Kontozugang, Verhaltensmuster, die Transaktionsüberwachung und AML-Signale berücksichtigt.

Deepfakes verändern das Risikomodell

Deepfakes sind mehr als nur eine weitere Form des Betrugs. Sie stellen eines der Grundprinzipien der Fernidentifizierung infrage: die Annahme, dass die Person im Video oder Selfie echt, physisch anwesend ist und in Echtzeit agiert.

Die FINMA weist explizit darauf hin, dass sich die Risiken bei der betrügerischen Online-Kontoeröffnung durch künstliche Intelligenz, Videomanipulationssoftware und Deepfake-Technologien verschärfen. Manipulierte Videos und gefälschte Identitätsdokumente sind im Zuge der Online-Kontoeröffnung immer schwieriger zu erkennen.

Aus diesem Grund reichen herkömmliche Kontrollen allein nicht mehr aus. Die Lebenderkennung, Dokumentenprüfung und manuelle Überprüfung bleiben weiterhin wichtig, müssen jedoch durch gezielte Systeme zur Erkennung von Deepfakes und Injektionsangriffe, Geräteintelligenz und eine kontinuierliche Risikoanalyse ergänzt werden.

Die entscheidende Frage ist nicht, ob eine einzelne Sicherheitsschicht funktioniert. Vielmehr geht es darum, ob der gesamte Verifizierungsprozess einer koordinierten Manipulation über mehrere Schichten hinweg standhalten kann.

Wie PXL Vision eine vorschriftsmässige und betrugssichere Identitätsprüfung unterstützt

Die Herausforderung für Finanzinstitute besteht darin, regulatorische Compliance, Betrugsprävention und Konversionsraten miteinander in Einklang zu bringen. Strengere Sicherheitsmaßnahmen dürfen für legitime Kunden keine unnötigen Hürden oder eine schlechtere Benutzererfahrung bedeuten. Gleichzeitig darf ein reibungsloser Onboarding-Prozess nicht zu einer unzureichenden Identitätsprüfung führen.

PXL Vision unterstützt Banken, Fintech-Unternehmen und andere regulierte Institutionen mit automatisierten, browserbasierten Lösungen zur Identitätsprüfung und elektronischen Signatur. Diese wurden speziell für komplexe regulatorische Rahmenbedingungen entwickelt.

Die PXL Vision-Plattform unterstützt Unternehmen bei der Umsetzung digitaler Onboarding-Prozesse, die den Schweizer GwG-Anforderungen, den Erwartungen der FINMA hinsichtlich der Video- und Online-Identifizierung sowie anderen relevanten rechtlichen Rahmenbedingungen wie ZertES und eIDAS entsprechen.

PXL Vision investiert seit Jahren in die Forschung zu den Themen Deepfakes und Betrugsbekämpfung. In Zusammenarbeit mit dem Idiap Research Institute haben wir uns frühzeitig der Entwicklung führender Technologien zur Deepfake-Erkennung gewidmet. Diese Technologien sind neben weiteren Sicherheitsmaßnahmen nahtlos in unsere GwG-konformen Lösungen für das Onboarding, die Identitätsprüfung und die qualifizierte elektronische Signatur (QES) integriert.

Angesichts der expliziten Leitlinien der FINMA zu den Risiken von manipulierten Videos, gefälschten Ausweisdokumente, Deepfakes und unzureichenden technischen Kontrollen bei der Online-Kontoeröffnung ist dies besonders relevant.

Ein mehrschichtiger Sicherheitsansatz für die Identitätsprüfung

Moderner Identitätsbetrug ist selten eindimensional. Betrüger nutzen häufig eine Kombination aus gestohlenen personenbezogenen Daten, gefälschten Dokumenten, synthetischen Medien, manipulierten Kamerabildern, verdächtigen Geräten sowie Social Engineering.

Aus diesem Grund verfolgt PXL Vision einen mehrschichtigen Sicherheitsansatz. Betrugssignale werden über mehrere unabhängige Ebenen hinweg analysiert, darunter:

• Passive Lebendigkeitserkennung
• Deepfake-Erkennung
• Erkennung von Injection- und Bildschirm-Angriffen
• Dokumentenprüfung und Dokumentenforensik
• NFC-Verifizierung
• Anomalieerkennung und Geräteintelligenz
• Gerätebezogene und verhaltensbezogene Risikosignale, einschliesslich Mechanismen wie Device Fingerprinting

Dieses mehrschichtige Modell entspricht der in den Leitlinien der FINMA vorgegebenen Richtung. Die Prävention von digitalem Betrug sollte sich nicht auf eine einzelne Kontrollmaßnahme stützen. Vielmehr sollten organisatorische Strukturen, technische Maßnahmen, Erkennungsmöglichkeiten, Reaktionsprozesse und die Integration von GwG-Maßnahmen miteinander verbunden werden.

Warum das jetzt wichtig ist

In der FINMA-Aufsichtsmitteilung 02/2026 wird deutlich, dass digitaler Betrug inzwischen ein Thema für den Verwaltungsrat und die Compliance-Teams ist. Er hat Auswirkungen auf die operative Widerstandsfähigkeit, das rechtliche Risiko, die Wirksamkeit von Massnahmen zur Bekämpfung der Geldwäscherei, das Vertrauen der Kunden und den Ruf der Institution. Die übergeordnete Botschaft ist jedoch noch bedeutender: Die Betrugsbekämpfung muss sich mit derselben Geschwindigkeit weiterentwickeln wie der Betrug selbst.

Da KI-generierte Manipulationen immer leichter zugänglich werden, benötigen Institutionen Abwehrmechanismen, die nicht nur gefälschte Dokumente oder Gesichter erkennen, sondern auch verdächtige Muster im gesamten Prozess der Identitätsprüfung aufdecken können.

Für regulierte Finanzinstitute bedeutet dies, bei der Kundenaufnahme von einem rein abhakbaren Ansatz zu einem risikobasierten, mehrstufigen Verfahren überzugehen. Eine solide Identitätsprüfung umfasst mehr als nur die Bestätigung der Identität eines Kunden zu Beginn der Geschäftsbeziehung. Es geht darum, eine sichere und vertrauenswürdige Grundlage für den gesamten digitalen Kundenlebenszyklus zu schaffen.

Quelle: FINMA-Aufsichtsmitteilung 02/2026: Digitale Betrugsrisiken bei Banken und Personen nach Art. 1b BankG