Das Problem: KYC ist teuer. Sehr teuer.

Vor knapp einem Jahr hatten wir bei Enjyn ein wiederkehrendes Muster: Für mehrere unserer Kundenprojekte brauchten wir eine zuverlässige Identitätsprüfung — mal für Altersverifikation, mal für eine Community-Plattform, mal für einen Marktplatz mit Verkäufer-KYC.

Wir haben uns die üblichen Verdächtigen angeschaut:

Bei einem unserer Projekte mit erwarteten 1.500 Verifikationen im Monat wären das 2.250 – 7.500 € monatlich gewesen. Für ein Tool, das vor allem im Hintergrund läuft und „nur" prüft, ob ein Personalausweis echt ist.

Die ehrliche Erkenntnis: Wir wollten das nicht zahlen. Und unsere Kunden auch nicht.

Die Frage: Können wir das selbst bauen?

Ein paar Wochenenden Recherche später war klar: Ja, können wir. Die Bestandteile sind technisch alle vorhanden:

• Dokumenten-OCR für Ausweisdaten (Name, Geburtsdatum, MRZ-Zone)
• Dokumenten-Authentizitätsprüfung (Hologramme, Sicherheitsmerkmale, MRZ-Checksums)
• Datenabgleich zwischen Nutzer-Eingabe und Ausweisdaten
• Auto-Datenextraktion aus Vorder- und Rückseite

Was wir nicht wollten:

• Daten in die USA schicken (DSGVO-Albträume mit Schrems II)
• Cloud-Lösungen mit Per-Call-Pricing (genau das Problem, das wir lösen wollten)
• Black-Box-Modelle, deren Funktion wir nicht erklären können

Also haben wir uns hingesetzt und unsere eigene KI/ML-Pipeline gebaut. Komplett in-house, auf eigenen Servern in Deutschland.

Der Stack — grob umrissen

Aus naheliegenden Gründen veröffentlichen wir nicht jedes Detail (Anti-Fraud-Schutz), aber das große Bild:

Bildverarbeitung: Ausweis-Bilder werden zuerst normalisiert, entzerrt und auf Qualität geprüft. Zu unscharf, zu schräg oder Bildschirm-Fotografie → automatische Ablehnung.

OCR & MRZ-Parsing: Die Maschinenlesbare Zone (MRZ) deutscher Ausweise und Reisepässe wird ausgelesen, validiert (Prüfsummen) und mit den OCR-Daten aus dem visuellen Bereich abgeglichen.

Datenabgleich: Die vom Anwender vorab angegebenen Daten (Vorname, Nachname, Geburtsdatum) werden mit den extrahierten Ausweisdaten verglichen. Diskrepanzen → Status failed.

Auto-Löschung: Hochgeladene Bilder werden nach 10 Minuten gelöscht, Satus-Daten nach 30 Tagen. Mehr nicht.

Wie die API aussieht

Wir nutzen einen einfachen, dreistufigen Flow — bewusst minimalistisch gehalten:

1. Verifikations-Session erstellen

curl -X POST https://api.verify.enjyn.de/api/v1/verify \
  -H "Content-Type: application/json" \
  -H "X-API-Key: YOUR_API_KEY" \
  -d '{
    "vorname": "Max",
    "nachname": "Mustermann",
    "geburtsdatum": "01.01.1990",
    "return_url": "https://ihre-website.de/callback.html"
  }'

Response:

{
  "success": true,
  "session_id": "uuid",
  "token": "secure-token",
  "verify_url": "https://api.verify.enjyn.de/verify/token",
  "qr_url": "https://api.verify.enjyn.de/api/v1/qr-code/token"
}

Du leitest den Nutzer auf die verify_url weiter — oder zeigst den QR-Code an, damit er die Verifikation auf dem Smartphone fortsetzt. Der Nutzer lädt dort Vorder- und Rückseite seines Ausweises hoch, der Rest passiert automatisch.

2. Status nach Callback abrufen

Nach Abschluss leiten wir den Nutzer auf deine return_url weiter. Wichtig: Der status-Parameter in der URL ist nicht vertrauenswürdig (kann manipuliert werden). Den echten Status holst du dir per API:

curl https://api.verify.enjyn.de/api/v1/get-result/{session_id} \
  -H "X-API-Key: YOUR_API_KEY"

Response bei Erfolg:

{
  "success": true,
  "status": "verified",
  "vorname": "Max",
  "nachname": "Mustermann",
  "geburtsdatum": "01.01.1990",
  "verified_at": "2026-05-21T23:42:18Z"
}

3. Vollständige JavaScript-Integration

// 1. Session erstellen
const response = await fetch('https://api.verify.enjyn.de/api/v1/verify', {
    method: 'POST',
    headers: {
        'Content-Type': 'application/json',
        'X-API-Key': 'YOUR_API_KEY'
    },
    body: JSON.stringify({
        vorname: 'Max',
        nachname: 'Mustermann',
        geburtsdatum: '01.01.1990',
        return_url: 'https://ihre-website.de/callback.html'
    })
});

const { verify_url, session_id } = await response.json();

// Session-ID lokal merken für späteren Abruf
sessionStorage.setItem('kyc_session', session_id);

// 2. Nutzer zur Verifikation weiterleiten
window.location.href = verify_url;

// 3. Auf der Callback-Seite: Status SICHER validieren
const sessionId = sessionStorage.getItem('kyc_session');
const result = await fetch(
    `https://api.verify.enjyn.de/api/v1/get-result/${sessionId}`,
    { headers: { 'X-API-Key': 'YOUR_API_KEY' } }
);
const verification = await result.json();

if (verification.status === 'verified') {
    console.log('✓ Verifiziert:', verification.vorname);
}

Status-Werte

Was wir bewusst NICHT machen

Keine internationalen Ausweise (noch nicht). Wir prüfen aktuell deutsche Personalausweise und Reisepässe. Das deckt unseren Use Case ab. Internationale Dokumente erfordern Trainingsdaten und Validierung, die wir bisher nicht haben.

Kein BaFin-Level KYC. Für Banken und Finanzdienstleister gibt es regulatorische Anforderungen (qualifizierte elektronische Signatur, Video-Ident mit Schulungsanforderungen), die wir nicht abdecken. Wenn du als Bank KYC brauchst: nimm IDnow oder PostIdent. Wir sind die richtige Wahl für E-Commerce, Communities, SaaS, Events und Marktplätze.

Kein Speichern der Originaldaten über Wochen. Manche Anbieter behalten Dokumente monatelang für „Audit-Zwecke". Wir nicht. Bilder weg nach 10min, Session (anonymisiert) weg nach 30 Tagen.

Warum wir es kostenlos rausgeben

Faire Frage. Antwort in drei Teilen:

Erstens — Eigeninteresse. Wir nutzen es selbst in mehreren Projekten. Es kostenlos verfügbar zu machen, kostet uns kaum mehr als es nur intern zu nutzen. Die Infrastruktur läuft sowieso.

Zweitens — Marktposition. Wir sind eine Software-Agentur. Kunden, die unser KYC-API ausprobieren und damit zufrieden sind, fragen uns irgendwann auch für andere Dinge an. Hosting, Custom-Entwicklung, SEO. Das funktioniert.

Drittens — wir können Volumen-Preise später noch differenzieren. Aktuell ist es bis zu 150 Verifys (nur erfolgreich) Monatlich kostenlos.

Aktuelle Nutzung

Wir haben aktuell 8 aktive Partner, die zusammen 60–150 Verifikationen pro Monat durchführen. Klein, aber stetig wachsend. Wir wollten erst sicher sein, dass die Pipeline robust läuft, bevor wir lauter werden.

Das hier ist der Anfang davon, lauter zu werden.

Wenn du es probieren willst

• Demo: enjyn.de/kyc — du kannst dich live durchprüfen lassen
• API-Docs: enjyn.de/apis?kyc
• API-Key anfordern: Kurze Nachricht über enjyn.de/kontakt mit deinem Use Case. Wir machen das aktuell noch manuell, um Missbrauch zu verhindern. Antwortzeit meist unter 6h.