Japan beendet am 1. April 2027 das fotobasierte eKYC: Das Onboarding auf den IC-Chip umstellen

Ab dem 1. April 2027 darf ein Unternehmen, das unter Japans Gesetz zur Verhinderung der Übertragung von Erträgen aus Straftaten (犯罪収益移転防止法, kurz 犯収法) fällt, kein Konto mehr online anhand eines Fotos eines Ausweises und eines Selfies eröffnen. Die Nationale Polizeibehörde (NPA) hat es am 23. Juli 2026 in einem Satz zusammengefasst: Ab diesem Datum verlangen Identitätsprüfungen für Kontoeröffnungen und ähnliche Geschäfte das Auslesen des IC-Chips einer My Number Card oder eines vergleichbaren Dokuments (Mitteilung der JAFIC).

Das Online-Onboarding muss den Chip einer My Number Card, eines Führerscheins oder eines anderen Ausweises mit Chip auslesen oder eine elektronische JPKI-Signatur der My Number Card einholen. Das Gesetz erfasst unter anderem Banken, Versicherer, Wertpapierfirmen, Kryptobörsen, Kreditgeber, Betreiber von Geldtransfers und Kartenaussteller. Mobilfunkanbieter stehen am selben Tag nach ihrem eigenen Gesetz vor einer entsprechenden Änderung.

Dieser Artikel richtet sich an die Produkt- und Compliance-Verantwortlichen, die bei diesen Unternehmen das Onboarding verantworten, einschließlich ausländischer Unternehmen, die in Japan tätig sind.

Was die Verordnung ändert

Die Änderung betrifft die Durchführungsverordnung zum Gesetz (犯罪による収益の移転防止に関する法律施行規則), verkündet am 24. Juni 2025 und in Kraft ab dem 1. April 2027. Das Ergebnis der öffentlichen Konsultation nennt die Begründung: Jedes Verfahren, das auf dem Empfang von Bildern eines Ausweisdokuments beruht, birgt ein hohes Risiko des Identitätsbetrugs mit gefälschten oder veränderten Dokumenten. In den Stellungnahmen wurde sowohl ein früherer als auch ein späterer Termin gefordert; die Behörden blieben beim 1. April 2027, um den Unternehmen Zeit für Systemänderungen zu geben.

Das Folgende beruht auf der konsolidierten Fassung, wie sie am 1. April 2027 lauten wird, veröffentlicht auf e-Gov. Sie betrifft Privatkunden mit Wohnsitz in Japan.

Was endet

• Selfie plus Foto des Ausweises. Das Verfahren, das die Branche ホ方式 nennt: Der Kunde fotografiert über Ihre App sein Gesicht und seinen Lichtbildausweis. Vollständig abgeschafft.
• Foto des Ausweises plus Bankverknüpfung. Heute lässt sich ein Foto des Ausweises mit einem Abgleich gegen den Prüfdatensatz eines anderen regulierten Unternehmens oder mit einer Einzahlung auf das bestehende Bankkonto des Kunden kombinieren. Die Variante mit dem Foto entfällt; nur die Variante mit dem Chip bleibt.
• Der Ausweis oder ein Foto davon plus Einschreiben. Einen Ausweis oder sein Bild einzusenden und die Kontounterlagen dann per Einschreiben ohne Nachsendung (転送不要郵便) zu schicken, ist vorbei. Ein Papierweg bleibt: das Original einer amtlichen Bescheinigung wie eines Auszugs aus dem Melderegister (住民票の写し) oder einer Bescheinigung über ein registriertes Siegel per Post zu schicken.
• Kopien zweier Dokumente plus Einschreiben. Nur noch für Personen außerhalb des japanischen Melderegisters möglich: Gebietsfremde und Personen, die ins Ausland gezogen sind. Enge Ausnahmen bleiben bestehen, etwa bestimmte Gehaltskonten, die über einen Arbeitgeber eröffnet werden.

Was für das Online-Onboarding bleibt

• JPKI-Signatur. Der Kunde signiert mit dem Signaturzertifikat auf seiner My Number Card, und Sie erhalten das Zertifikat und die signierten Daten.
• Selfie plus Chip. Ihre Software erfasst das Gesicht des Kunden und liest den Chip eines Lichtbildausweises aus, der Name, Adresse, Geburtsdatum und Foto speichert.
• Chip plus Bankverknüpfung. Ihre Software liest den Chip aus, dann bestätigen Sie entweder, dass ein anderes reguliertes Unternehmen den Kunden bereits geprüft hat, oder Sie zahlen Geld auf sein bestehendes Bankkonto ein und erhalten eine Kopie des Sparbucheintrags.
• Chip plus Einschreiben. Zuerst die Chipdaten, dann die Kontounterlagen per Einschreiben ohne Nachsendung an die Adresse auf dem Chip.
• Die My Number Card auf dem Smartphone. Die Attribute der Karte werden vom Telefon des Kunden über ein nach dem My-Number-Gesetz zertifiziertes Programm gesendet.
• Elektronische Zertifikate von akkreditierten oder zertifizierten Zertifizierungsdiensten, mit den signierten Daten.

Auch am Schalter

Eine weitere Änderung, verkündet am 6. März 2026 und ebenfalls ab dem 1. April 2027 in Kraft, zieht die Prüfung vor Ort nach. Ein Lichtbildausweis mit Chip wird vorgelegt, und sein Chip wird auf einem Gerät ausgelesen, das die Daten auf einem Bildschirm anzeigt. Ein Ausweis ohne Chip funktioniert weiterhin, aber nur mit anschließendem Einschreiben ohne Nachsendung.

Das Merkblatt der NPA für Kunden ergänzt zwei Details für Ihr Support-Team: Zum Auslesen des Chips eines Führerscheins braucht man zwei PINs, und manche Finanzinstitute stellen womöglich schon vor dem 1. April 2027 um.

Wer die Arbeit hat

Wenn Sie das gehostete Onboarding oder SDK eines Anbieters nutzen, liegt ein großer Teil des Chipauslesens und der JPKI-Verarbeitung bei ihm. Fragen Sie, wann seine Abläufe mit Chip live gehen, welche der verbleibenden Verfahren er unterstützt und was er Ihnen für Ihre Aufzeichnungen zurückgibt. Ihre Aufgabe sind die Umstellung, die Ausweichwege und die Daten.

Wenn Sie die Fotoerfassung selbst gebaut haben oder die Bild-API eines Anbieters in eigene Oberflächen verpackt haben, landet die Änderung bei Ihrem Team: Erfassungsbildschirme, die um Dokumentbilder herum gebaute Prüfwarteschlange und das Format der Aufzeichnungen.

Die JPKI-Prüfung selbst bauen Sie nicht. Die JPKI-Seite der Digital Agency beschreibt zwei Wege. Ein Unternehmen kann eine ministerielle Zertifizierung erlangen und die Gültigkeit von Zertifikaten selbst bei J-LIS prüfen, was vom Erhalt der technischen Spezifikationen bis zur Zertifizierung „6か月から1年程度“ dauert (etwa sechs Monate bis ein Jahr). Oder es tritt als Dienstanbieter auf und überträgt die Prüfung einem zertifizierten Plattformbetreiber, dessen Gebühren unterschiedlich ausfallen. Wer im Oktober 2026 anfängt, schafft den Termin nur auf dem zweiten Weg.

Dieselbe Seite nennt Kontaktdaten von 25 Plattformbetreibern (nur von denen, die der Veröffentlichung zugestimmt haben; nicht alle bedienen andere Unternehmen) und zählt zum 31. August 2026 1.411 private Unternehmen, die JPKI nutzen.

Gebrauchtwarenhändler fallen als Händler von Edelmetallen und Edelsteinen unter das Gesetz. Die alltägliche Prüfung beim Ankauf gebrauchter Waren steht in den Durchführungsregeln zum Gesetz über den Handel mit Gebrauchtwaren (古物営業法施行規則), für die e-Gov bei unserer Prüfung im Oktober 2026 keine Änderung zum 1. April 2027 vorsah.

Was sich in der App ändert

Den Chip per NFC auslesen

Unter iOS liest Core NFC diese Karten als ISO-7816-Tags über eine NFCTagReaderSession. Die App braucht das Entitlement zum Lesen von NFC-Tags und muss die Application Identifiers, die sie auswählen wird, in der Info.plist auflisten; die Session sendet für jeden der Reihe nach ein SELECT. Unter Android liefert die Klasse IsoDep einen rohen transceive-Kanal und überlässt Ihnen das Protokoll darüber.

Die meisten Teams werden diese APDU-Schicht aus dem SDK eines Anbieters übernehmen, statt sie selbst zu schreiben. Die Bildschirme gehören in jedem Fall Ihnen: wo die Karte gehalten wird, wie lange und was passiert, wenn das Auslesen mittendrin abbricht. Testen Sie auf echten Telefonen mit echten Karten; die Position der Antenne unterscheidet sich von Modell zu Modell.

PINs und Passwörter

JPKI und das Auslesen von Führerscheinen hängen davon ab, dass sich der Kunde an eine PIN oder ein Passwort erinnert, und hier entscheidet sich die Abschlussquote. Laut J-LIS hat die PIN des Nutzerzertifikats der My Number Card vier Ziffern und sperrt nach drei Fehlversuchen. Das Passwort des Signaturzertifikats hat 6 bis 16 alphanumerische Zeichen und sperrt nach fünf. Ein Führerschein braucht zwei PINs.

Zeigen Sie die verbleibenden Versuche vor dem letzten Versuch an und verlinken Sie die Wege zum Zurücksetzen, die J-LIS beschreibt (eine Smartphone-App plus ein Terminal im Convenience Store oder das Gemeindeamt). Protokollieren oder speichern Sie nie, was eingetippt wird.

Der JPKI-Ablauf

Die App liest das Signaturzertifikat, der Kunde gibt das Passwort ein, und die Karte signiert Ihre Anwendungsdaten. Ihr Backend gibt Zertifikat und Signatur an den Plattformbetreiber weiter, der die Gültigkeit gegen die Sperrdaten von J-LIS prüft. Das Signaturzertifikat enthält Name, Adresse, Geburtsdatum und Geschlecht, Sie können das Formular also daraus vorausfüllen. Die Digital Agency merkt an, dass JPKI die zwölfstellige My Number selbst nicht verwendet.

Die Zertifikate gibt es auch auf Telefonen: unter Android seit Mai 2023 und auf dem iPhone seit dem 24. Juni 2025 für ein iPhone XS oder neuer mit iOS 18.5 oder höher, laut der Digital Agency. Die Behörde sagt, die Unterstützung unterscheide sich je nach Dienst, und rät Nutzern, die physische Karte zu behalten. Außerdem plant sie, den Dienst für Android um den Herbst 2026 herum zu ersetzen, testen Sie also gegen das, was im Februar live ist.

Selfie plus Chip, wo der Gesichtsabgleich bleibt

Wenn Sie eine Gesichtsprüfung behalten, ändert sich ihre Referenz. Das Selfie muss über Ihre eigene Software aufgenommen werden (ein Upload aus der Fotogalerie zählt nicht) und wird mit dem auf dem Chip gespeicherten Foto verglichen, nicht mit einem Bild einer gedruckten Karte. Lebenderkennung und Gesichtsabgleich können bleiben; die Erfassung von Dokumentbildern, die Erkennung von Spiegelungen und die Prüfung der Kartendicke nicht.

Ausweichwege

Planen Sie für den Kunden ohne NFC-fähiges Telefon, mit einem Ausweis ohne Chip oder mit einem gesperrten Passwort. Ohne NFC kann er das Original einer Meldebescheinigung per Post schicken und ein Einschreiben erhalten oder an einen Schalter gehen. Ein gesperrtes Passwort führt zum Weg für das Zurücksetzen oder zu einem anderen Verfahren, das Sie anbieten. Gebietsfremde behalten die Verfahren mit Bildern und Kopien, was für ausländische Unternehmen mit Kunden im Ausland wichtig ist. Leiten Sie jeden Fall irgendwohin weiter, statt die Sitzung zu beenden.

Backend und Aufzeichnungen

Die Aufzeichnungspflicht bleibt: Artikel 6 des Gesetzes verlangt, den Prüfdatensatz (確認記録) sieben Jahre aufzubewahren. Was hineingehört, ändert sich mit dem Verfahren. Nach den Artikeln 19 und 20 der geänderten Verordnung:

• Selfie plus Chip: Fügen Sie das Selfie und die Chipdaten (Name, Adresse, Geburtsdatum, Foto) bei und halten Sie fest, wann Sie beides erhalten haben.
• Chip plus Bankverknüpfung: Fügen Sie die Chipdaten bei und halten Sie fest, wann Sie sie erhalten und wann Sie den Bankabgleich oder die Einzahlung vorgenommen haben.
• Chip plus Einschreiben: Fügen Sie die Chipdaten oder die eingesandte Bescheinigung bei; halten Sie fest, wann Sie sie erhalten und die Unterlagen verschickt haben.
• JPKI und andere Zertifikate: Fügen Sie einen elektronischen Nachweis bei, dass die Prüfung auf diese Weise erfolgt ist. Bewahren Sie Zertifikat, signierte Daten und die Gültigkeitsantwort des Betreibers zusammen auf.
• Karte auf dem Smartphone: Fügen Sie den vom Telefon empfangenen elektronischen Datensatz bei.

Jeder Datensatz nennt das verwendete Verfahren: Speichern Sie es als Feld, statt es aus den Anhängen abzuleiten. Wenn sich Kundendaten ändern, ergänzen Sie den Datensatz und löschen nicht, was darin stand.

Wenn der Chip eine Adresse zeigt, die nicht mehr aktuell ist, können Sie die neue mit einem ergänzenden Dokument bestätigen, etwa einer Quittung eines Versorgers aus den letzten sechs Monaten. Bei Gebietsansässigen heißt das: das Original, kein Foto.

Dann der Schnitt. Die Änderungsverordnung vom Juni 2025 hat eine einzeilige Zusatzbestimmung, die das Datum des Inkrafttretens festlegt, ohne Übergangsregel für laufende Anträge. Legen Sie die fotobasierten Wege hinter einen Schalter, den Sie am 1. April 2027 um 0 Uhr japanischer Zeit umlegen können, und fragen Sie die Compliance-Abteilung, wie Sitzungen zu behandeln sind, die über diesen Zeitpunkt hinweg laufen.

Mobilfunkanbieter laufen parallel

Mobilfunkanbieter prüfen Teilnehmer nach einem eigenen Gesetz über Mobilfunkverträge für Sprachdienste und der dazugehörigen Verordnung des Ministeriums für Inneres und Kommunikation. Laut e-Gov war das Verfahren Selfie plus Foto des Ausweises bereits zum 1. April 2026 aus dieser Verordnung verschwunden.

Der nächste Schritt ist die Verordnung Nr. 94 von 2026 (令和8年総務省令第94号), verkündet am 27. Juli 2026 und ab dem 1. April 2027 in Kraft. Sie betrifft den Ladenschalter: Ein Lichtbildausweis mit Chip wird vorgelegt und sein Chip ausgelesen. Bei einem Ausweis ohne Chip gehen SIM-Karte, Gerät oder Vertragsunterlagen per Einschreiben ohne Nachsendung hinaus. Online sind die Hauptwege ein Selfie plus Auslesen des Chips oder das Auslesen des Chips plus Zustellung per Einschreiben.

Für Mobilfunkanbieter und MVNOs liegt die Arbeit für April 2027 vor allem am Schalter: Auslesen von Chips in jedem Laden und Personal, das einen Kunden durch die PIN-Eingabe führen kann. Die Digital Agency veröffentlicht eine App für die Prüfung der My Number Card vor Ort (マイナンバーカード対面確認アプリ); fragen Sie die Compliance-Abteilung, ob sie zu Ihrem Ablauf passt, bevor Sie eine eigene bauen.

Ein Sechsmonatsplan

Rückwärts vom 1. April 2027:

1. Oktober 2026: Bestandsaufnahme. Listen Sie jeden Weg auf, auf dem ein Kunde geprüft wird (App, Web, Laden, Partner, Post), und ordnen Sie jeden den verbleibenden Verfahren zu. Alles, was auf einem Ausweisbild beruht, kommt auf die Streichliste.
2. Oktober bis November: Verfahren und Partner wählen. JPKI, Selfie plus Chip oder beides. Wählen Sie einen Plattformbetreiber oder bestätigen Sie die Termine Ihres Anbieters und verschaffen Sie sich früh Zugang zur Sandbox, denn die Vertragsverhandlung kann länger dauern als die Programmierung.
3. November: Entwurf. NFC-Bildschirme, Umgang mit PINs und Texte zur Sperrung, Ausweichwege, das Schema der Aufzeichnungen und der Schalter.
4. Dezember bis Januar: Umsetzung. NFC-Abläufe unter iOS und Android, die Backend-Integration mit dem Betreiber, die Speicherung der Aufzeichnungen und Ansichten für das Compliance-Team.
5. Februar: Test. Echte Karten auf echten Telefonen über Ihren gesamten Gerätebestand, Karten auf dem Smartphone auf beiden Plattformen, Wege für Sperrung und Zurücksetzen und der Ausweichweg per Post von Anfang bis Ende. Die Compliance-Abteilung gibt den Inhalt der Aufzeichnungen frei.
6. März: Start und Schnitt. Machen Sie die Verfahren mit Chip Anfang des Monats zum Standard und beobachten Sie die Abschlussquoten. Schulen Sie den Support zu PINs und zum Zurücksetzen. Schalten Sie die Wege mit Fotos am 1. April ab.

Wenn Ihre Bankpartner früher umstellen, wie es laut Merkblatt der NPA manche tun könnten, verschiebt sich auch der Plan.

Wo Sie Hilfe bekommen

Europa bewegt sich in dieselbe Richtung, von Dokumentbildern zu kryptografischer Identität; unser Leitfaden zur EU-Brieftasche für digitale Identität behandelt diese Seite.

Wir bauen die Teile auf Ihrer Seite der Linie: das Auslesen von Chips per NFC in iOS- und Android-Apps, den Onboarding-Ablauf und seine Ausweichwege, die Integration mit dem Plattformbetreiber Ihrer Wahl und die Aufzeichnungen, die Ihr Compliance-Team führen muss. Die JPKI-Prüfung selbst bleibt bei einem zertifizierten japanischen Plattformbetreiber. Wenn Sie für die nächsten sechs Monate Ingenieure brauchen, sehen Sie sich unsere Leistung zur Personalverstärkung an oder schreiben Sie an office@c9group.dev.