Know Your Employee (KYE) bezeichnet die systematische Prüfung der eigenen Mitarbeiter nach denselben Grundprinzipien, die bei der Kundenprüfung (Know Your Customer, KYC) längst Standard sind: risikobasiert, anlassbezogen und dokumentiert. Rechtlich ist KYE für GwG-Verpflichtete keine Option, sondern in § 6 Abs. 2 Nr. 5 GwG als interne Sicherungsmaßnahme gleichrangig neben den Kundenpflichten verankert. In der Praxis klafft dennoch eine Lücke: Während in KYC-Prozesse erheblich investiert wird, reduziert sich die Mitarbeiterprüfung vielerorts auf ein Führungszeugnis bei Einstellung.
KYC und KYE: gleiche Logik, ungleiche Umsetzung
Die Kundenprüfung folgt einer etablierten Systematik: Identifizierung, Risikoklassifizierung, vertiefte Prüfung bei erhöhtem Risiko, laufende Überwachung, lückenlose Dokumentation. Für die Belegschaft schreibt das Gesetz denselben Gedanken vor — § 6 Abs. 2 Nr. 5 GwG verlangt die Überprüfung der Zuverlässigkeit der Mitarbeiter durch geeignete Maßnahmen, und § 1 Abs. 20 GwG definiert, was Zuverlässigkeit bedeutet: die Gewähr, dass die Person geldwäscherechtliche Pflichten beachtet, Verdachtsmomente meldet und sich nicht selbst an zweifelhaften Transaktionen beteiligt. Die Einzelheiten dieser Pflicht behandelt unser Beitrag zur Zuverlässigkeitsprüfung nach § 6 GwG.
Für Kreditinstitute kommt § 25h Abs. 1 KWG hinzu: Institute müssen über angemessene interne Sicherungsmaßnahmen verfügen, die auch strafbaren Handlungen zulasten des Instituts vorbeugen. Personalbezogene Vorkehrungen sind ein selbstverständlicher Teil dieses Sicherungssystems — denn Sicherungssysteme werden von Menschen betrieben.
Warum der blinde Fleck teuer werden kann
Interne Täter unterscheiden sich strukturell von externen: Sie kennen die Kontrollen, die Externe erst überwinden müssten, und handeln mit legitimen Zugriffsrechten. Ein KYC-Prozess, der jeden Kunden durchleuchtet, hilft wenig, wenn die Person, die ihn bedient, nie über ein Basisdokument hinaus geprüft wurde. Ausführlicher dazu: Insider-Risiken in Banken.
Das in der Praxis übliche Führungszeugnis ändert daran wenig: Es ist ein Registerauszug mit begrenztem Inhalt — es zeigt weder verfälschte Lebenslaufstationen noch wirtschaftliche Verflechtungen, weder ausländische Sachverhalte noch aktuelle Medienberichterstattung. Als alleinige „geeignete Maßnahme“ im Sinne des § 6 Abs. 2 Nr. 5 GwG wird es der Bandbreite der Legaldefinition in § 1 Abs. 20 GwG daher regelmäßig nicht gerecht, insbesondere bei Positionen mit erhöhtem Risiko.
Hinzu kommt die Nachweisdimension: Gegenüber Revision und Aufsicht zählt nicht die Behauptung, man prüfe seine Mitarbeiter, sondern die Dokumentation, wer wann mit welchem Umfang und welchem Ergebnis geprüft wurde. Genau diese Dokumentationsdisziplin ist im KYC-Bereich selbstverständlich — und fehlt auf der Mitarbeiterseite häufig vollständig.
Die KYC-Systematik auf die Belegschaft gespiegelt
Wer KYE ernsthaft aufsetzen will, kann die vertraute KYC-Logik nahezu eins zu eins übertragen:
- Risikoklassifizierung: Positionen statt Kunden einstufen — Zahlungsverkehr, Handel, IT-Administration und Führungsfunktionen tragen ein anderes Risiko als Rollen ohne Zugriff auf Geldflüsse oder Kundendaten.
- Abgestufte Prüftiefe: Basisprüfung für die Breite, vertiefte Recherche über mehrere Kategorien (Registerdaten, Sanktionslisten, Adverse Media, Interessenkonflikte) für sensible Funktionen.
- Anlassbezogene Prüfung: Nicht nur bei Einstellung, sondern auch bei Wechseln in risikorelevante Rollen und bei konkreten Hinweisen.
- Laufende Komponente: Zuverlässigkeit ist eine Momentaufnahme; angemessene Wiederholungszyklen schließen die Lücke zwischen zwei Prüfungen.
- Dokumentation: Jedes Ergebnis prüffest festhalten — mit Quellen und Datum, nicht als formloser Vermerk.
Handlungsempfehlung
Beginnen Sie mit einer ehrlichen Bestandsaufnahme: Vergleichen Sie den dokumentierten Aufwand Ihrer Kunden-Due-Diligence mit dem Ihrer Mitarbeiterprüfung. Fällt die Antwort deutlich asymmetrisch aus, priorisieren Sie zunächst die Positionen mit dem größten Schadenpotenzial und definieren Sie dort Prüfumfang, Turnus und Dokumentationsformat. Nutzen Sie dabei die Strukturen, die ohnehin existieren: Die Risikoanalyse, die Ihrer Kundenklassifizierung zugrunde liegt, lässt sich mit überschaubarem Aufwand um eine Positionsdimension erweitern, und die Dokumentationsstandards des KYC-Bereichs geben das Format für die Mitarbeiterseite bereits vor. Ein kategorienbasierter Software-Report mit datierten Quellen und menschlicher Letztprüfung (Art. 22 DSGVO) bildet diesen Prozess prüffest ab; Details zur branchenspezifischen Umsetzung finden Sie unter Branchen, zentrale Begriffe im Glossar.
Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.