Was sich geändert hat
- Die HKMA verlangt klare Bildschirminformationen während der Gesichtserkennung bei der Fernkontoeröffnung und schreibt In-App-Authentifizierung gegenüber SMS-OTPs vor.
- Die Regierung bestätigt, dass Cap. 106AI den Zugriff von Banken auf Echtzeit-Registrierungsdaten von SIM-Karten verbietet, und es bestehen keine Pläne, die Zugriffsrechte zu ändern.
- Die Tests zur Integration der Step-up-Authentifizierung von "iAM Smart" und der Deepfake-Erkennung der HKMA im Rahmen von "e-Banking Security ABCD" in die Fernkontoeröffnung haben begonnen.
### Hintergrund
In einer Sitzung des Legislativrates am 21. Oktober 2026 reichte Professor the Hon Alex Fan eine parlamentarische Anfrage zu Massnahmen zur Verbesserung der Sicherheit bei der Online-Bankkontoeröffnung und zur Verhinderung der Erstellung von Strohmann-Konten aus der Ferne in der SVR Hongkong ein. Die Anfrage befasste sich mit Betrugsmaschen, bei denen Täter Identitätskarten und personenbezogene Daten von Opfern beschaffen — häufig abgesehen auf schutzbedürftige Gruppen wie ausländische Haushaltshilfen und ältere Menschen —, um ohne das Wissen der Opfer über mobile Anwendungen aus der Ferne Bankkonten zu eröffnen. Bei diesen Maschen geben Kriminelle persönliche Daten in mobile Banken-Apps ein, verknüpfen die Anwendungen mit vorab vereinbarten Mobiltelefonnummern und verleiten die Opfer dazu, die Gesichtserkennungsprüfung über Bildschirmanweisungen zu bestehen, die keine klaren Hinweise enthalten. Nach der Eröffnung werden diese Strohmann-Konten sofort dazu verwendet, Straftaterträge unter Verwendung von Einmalpasswörtern (OTPs), die an die verknüpften Nummern gesendet werden, entgegenzunehmen, zu überweisen oder zu waschen.
In seiner Antwort erläuterte der Stellvertretende Minister für Finanzdienstleistungen und Schatzanweisungen, Herr Joseph Chan, nach Konsultation des Būros für Handel und wirtschaftliche Entwicklung sowie der Währungsbehörde von Hongkong (HKMA) den bestehenden regulatorischen Rahmen, die von der HKMA festgelegten Aufsichtsanforderungen, die gesetzlichen Beschränkungen bezüglich der SIM-Karten-Registrierungsdaten und die laufenden technischen Gegenmassnahmen, die in allen Regierungsstellen und im Bankensektor umgesetzt werden.
### Regulatorische Leitlinien und Sicherheitsanforderungen
Unter dem bestehenden regulatorischen Rahmen der SVR Hongkong sind regulierte Finanzinstitute, einschliesslich zugelassener Banken, verpflichtet, wirksame Kontrollen zur Bekämpfung von Geldwäscherei (AML) und Terrorismusfinanzierung (CFT) einzurichten. Diese Kontrollen umfassen die Sorgfaltspflicht gegenüber Kunden, die kontinuierliche Transaktionsüberwachung und die Meldung verdächtiger Transaktionen an die Strafverfolgungsbehörden.
Um den Risiken der Fernkontoeröffnung zu begegnen, setzt die HKMA mehrstufige Kontrollen durch. Banken müssen die Kundenidentität mithilfe technologischer Lösungen überprüfen, welche die Echtheit der Identitätskarte kontrollieren, und Gesichtserkennungstechnologie einsetzen, um zu bestätigen, dass der Antragsteller mit dem Ausweisdokument übereinstimmt. Im Jahr 2023 erliess die HKMA spezifische Leitlinien, die Banken verpflichten, während der Fernkontoeröffnung klare Hinweise auf dem Bildschirm anzuzeigen. Diese Aufforderungen müssen die Antragsteller ausdrücklich darüber informieren, dass erfasste Selfies oder Lebendigkeitsprüfungen speziell zum Zweck der Kontoeröffnung durchgeführt werden, um sicherzustellen, dass sich die Antragsteller des Kontexts vollkommen bewusst sind.
Um Risiken im Zusammenhang mit dem Abfangen von SMS-Einmalpasswörtern (OTPs) durch Betrüger zu minimieren, haben die Banken gemäss den Anforderungen der HKMA eine "In-App-Authentifizierung" eingeführt. Kunden, die die mobile Anwendung einer Bank installieren, müssen sich über die App authentifizieren, wenn sie sich beim Internet-Banking anmelden oder risikoreiche Handlungen vornehmen, wie das Hinzufügen neuer Zahlungsempfänger, das Erhöhen von Überweisungslimits oder das Ändern von Telefonnummern für Bankmitteilungen. Darüber hinaus erfordert die Bindung von Internet-Banking-Konten an mobile Geräte den Abschluss einer Gesichtserkennungsprüfung, wodurch die Abhängigkeit von SMS-OTPs verringert wird.
Bezüglich des Zugriffs auf Telekommunikationsdaten stellte die Regierung klar, dass der Zugriff auf Echtzeit-Registrierungsdaten von SIM-Karten durch die Artikel 12 und 13 der Verordnung über die Telekommunikation (Registrierung von SIM-Karten) (Cap. 106AI) strikt beschränkt ist. Gemäss dieser Verordnung sind Telekommunikationsanbieter nur dazu ermächtigt, Nutzerdaten ausschliesslich Strafverfolgungsbeamten benannter Behörden zur Ermittlung oder Verhinderung von Straftaten zur Verfügung zu stellen. Die Verordnung ermächtigt Banken oder andere Organisationen nicht zum Zugriff auf Nutzerregistrierungsdaten. Da die Banken die Abhängigkeit von SMS-OTPs schrittweise reduzieren, bestätigte die Regierung, dass sie keine Pläne hat, Banken den Zugriff auf SIM-Karten-Registrierungsdaten zu gestatten.
Zu den zusätzlichen technischen Gegenmassnahmen gehört die Initiative "e-Banking Security ABCD" der HKMA vom August 2025, mit der Best Practices zur "Deepfake-Erkennung" für Gesichtserkennungsprozesse bei der Fernkontoeröffnung und bei risikoreichen Online-Transaktionen eingeführt wurden. Darüber hinaus arbeitet die HKMA mit dem Digital Policy Office und dem Bankensektor zusammen, um die Step-up-Authentifizierungsfunktion von "iAM Smart" in kritische Abläufe zu integrieren. Die Nutzung der Gesichtserkennung in Kombination mit dem Auslesen des Identitätskarten-Chips soll verhindern, dass Betrüger gestohlene oder gefälschte Ausweisdokumente verwenden. Die erste Testphase für die Fernkontoeröffnung ist bereits im Gange.
### Praktische Auswirkungen
Für in der SVR Hongkong tätige Banken verlangen die regulatorischen Erwartungen kontinuierliche Verbesserungen der Fern-Onboarding-Schnittstellen, einschliesslich obligatorischer klarer Kontexthinweise während der Lebendigkeitsprüfungen und fortschrittlicher Gesichtserkennungsabwehrmassnahmen gegen Deepfakes. Banken müssen ausserdem den Übergang weg von der SMS-OTP-Abhängigkeit hin zur In-App-Authentifizierung und biometrischen Gerätebindung fortsetzen.
Für die allgemeine Öffentlichkeit werden Kontoeröffnungsabläufe zunehmend explizite Kontexthinweise bei biometrischen Prüfungen sowie eine mögliche Integration mit der Identitätsprüfung von "iAM Smart" aufweisen, wodurch die Chip-Authentifizierung der physischen Karte mit dem Gesichtsscanning kombiniert wird.
### Häufig gestellte Fragen
**Frage 1: Ist es Banken in der SVR Hongkong gestattet, auf die Echtnamens-Registrierungsdatenbank für SIM-Karten zuzugreifen, um Kontoantragsteller zu überprüfen?**
Antwort: Nein. Gemäss den Artikeln 12 und 13 der Verordnung über die Telekommunikation (Registrierung von SIM-Karten) (Cap. 106AI) sind Telekommunikationsanbieter nur befugt, Nutzerregistrierungsdaten an Strafverfolgungsbeamte benannter Behörden zur Ermittlung oder Verhinderung von Straftaten offenzulegen. Banken sind nicht berechtigt, auf diese Daten zuzugreifen, und die Regierung hat derzeit keine Pläne, ihnen diesen Zugriff zu gewähren.
**Frage 2: Welche Massnahmen hat die HKMA im Jahr 2023 bezüglich der Bildschirme bei der Fernkontoeröffnung eingeführt?**
Antwort: Im Jahr 2023 erliess die HKMA Leitlinien, die Banken daran erinnerten, angemessene Massnahmen bei der Fernkontoeröffnung zu ergreifen, einschliesslich der Anzeige klarer Bildschirmnachrichten, die Antragsteller darüber informieren, dass Selfies oder Lebendigkeitsprüfungen speziell für Zwecke der Kontoeröffnung durchgeführt werden.
**Frage 3: Wie nutzt die Regierung "iAM Smart", um die Sicherheit bei der Fernkontoeröffnung von Banken zu erhöhen?**
Antwort: Die HKMA arbeitet mit dem Digital Policy Office und dem Bankensektor zusammen, um die Step-up-Authentifizierungsfunktion von "iAM Smart" in die Fernkontoeröffnung zu integrieren. Diese Funktion nutzt Gesichtserkennung und das Auslesen des Identitätskarten-Chips, um die Verwendung gefälschter oder gestohlener Ausweisdokumente zu verhindern. Die erste Testphase hat begonnen.
**Frage 4: Was ist das von der HKMA angekündigte "e-Banking Security ABCD"?**
Antwort: Das im August 2025 angekündigte "e-Banking Security ABCD" ist ein von der HKMA eingeführtes Massnahmenpaket zur Erhöhung der Sicherheit im Internet-Banking. Es enthält Leitlinien zur "Deepfake-Erkennung", um bewährte Verfahren zur Abwehr von Deepfake-Angriffen während der Gesichtserkennungsprozesse mit den Banken zu teilen.
Wer betroffen sein kann
Zugelassene Banken, Internet-Banking-Kunden, Fintech-Antragsteller und Telekommunikationsanbieter in der SVR Hongkong.
Grenzüberschreitender Kontext
Gilt für Finanzinstitute, die innerhalb der Sonderverwaltungsregion Hongkong tätig sind, sowie für Privatpersonen, die eine Remote-Kontoeröffnung in dieser Rechtsordnung versuchen.
Was als Nächstes zu prüfen ist
- Fortschritt und Ergebnis der Tests zur Step-up-Authentifizierung mit «iAM Smart» für die Remote-Kontoeröffnung.
- HKMA-Rundschreiben und Leitfäden zu «e-Banking Security ABCD» und Kontrollen bei der Remote-Kontoeröffnung.
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Ziehen Sie den offiziellen Text zu Rate und holen Sie bei Bedarf eine auf Ihre Situation abgestimmte Beratung ein.