Multi-Acquirer-Payment-Orchestrierung & KYC

Kontext

MillionBridges ist ein regulierter grenzüberschreitender Remittance-Dienst, über den Menschen Geld in den Libanon senden und über ein wohltätiges Modell die Marge der Plattform an Partnerorganisationen weiterleiten. Der Dienst unterliegt echter regulatorischer Aufsicht, registriert bei der Bank von Spanien, autorisiert durch die Banque du Liban und tätig im Rahmen der Europäischen Bankenaufsichtsbehörde (EBA), was die Anforderungen an KYC, Nachvollziehbarkeit und Zahlungszuverlässigkeit deutlich erhöht.

Die Plattform integriert ein neues Konten- und Ledger-System, das selbst weder Identitätsprüfung noch Card-Acquiring bereitstellt. Damit blieben zwei Fähigkeiten zu konzipieren und zu verantworten: eine KYC-Schicht und eine Kartenzahlungsschicht, jeweils von externen Spezialisten bereitgestellt und jeweils sauber in MillionBridges als Orchestrierungs-Engine einzubinden.

Die Auszahlungsseite war ebenso wichtig wie die Einzahlungsseite. Die Gelder erreichen einen Empfänger im Libanon, der nach bestandener lokaler Identitätsprüfung wählt, wie er sie erhält: als Bargeld (USD-Scheine) oder als Aufladung seiner bestehenden E-Wallet, abgewickelt über ein reguliertes Auszahlungsnetzwerk. Ein besonderes „BridgeAccount"-Modell erlaubt Sendern außerdem, Guthaben sicher in Europa zu halten und in Teilbeträgen abzurufen, statt dass jede Überweisung alles-oder-nichts ist.

Die Herausforderung

• Kartenzahlungen in vielen Währungen akzeptieren, obwohl kein einzelner Acquirer alle abdeckt, ohne diese Komplexität an den Sender weiterzugeben.
• Zahlungen auch bei einem Ausfall eines Anbieters weiterlaufen lassen, statt die Transaktion vollständig scheitern zu lassen.
• Regulierte Identitätsprüfung (KYC) so integrieren, dass sie nicht an einen einzelnen Anbieter gebunden ist und Audit-Anforderungen erfüllt.
• Dem Sender transparente, korrekte Preise anzeigen, obwohl Gebühren und Wechselkurse je nach ausführendem Anbieter unterschiedlich sind.
• Dem Empfänger bei der Auszahlung eine echte Wahl geben, Bargeld oder Wallet, bei gleichzeitiger Durchsetzung lokaler Identitätsprüfungen und Auszahlungslimits.
• Innerhalb einer harten regulatorischen Rahmenbedingung arbeiten: Jeder Dritte in der Kette musste für die spanische Aufsicht akzeptabel sein, sodass die Lieferung um externe Genehmigungen herum sequenziert werden musste, die das Projekt nicht kontrollierte.

Meine Rolle

Als Product Manager und Product Owner lag die Produktdefinition für diese Features hier in der Verantwortung, in Zusammenarbeit mit dem Business Owner des Kunden, den Payment- und Identitätsanbietern sowie dem Entwicklungsteam. Die Aufgaben reichten von der Discovery über das Verfassen der funktionalen Spezifikationen (FSDs) mit ausführlichen Akzeptanzkriterien und die Priorisierung und Sequenzierung des Backlogs über Sprints hinweg bis zur Durchführung der Abnahmetests. Als zentrale Ansprechperson bestand die Rolle darin, regulatorische Vorgaben, das Verhalten der Anbieter-APIs und kommerzielle Regeln in Anforderungen zu übersetzen, die das Team umsetzen konnte, während kommerzielle und Anbieterentscheidungen beim Business Owner blieben.

Vorgehen

• Orchestrierung statt Einzelintegration. Die Spezifikation legte MillionBridges als Orchestrierungsschicht zwischen zwei Card-Acquirern, einem spezialisierten KYC-Anbieter, einem Wallet-Anbieter und dem Konten- und Ledger-System an, mit einem modularen Integrationsmodell, das die spätere Anbindung weiterer Anbieter ohne Neuarchitektur erlaubt.
• Währungsbasiertes Acquirer-Routing. Das Design definierte ein automatisches Routing, das die Transaktionswährung erkennt und jede Zahlung an den zugeordneten Acquirer sendet, dessen Gebühren und Wechselkurse dynamisch angewendet werden, für den Sender vollständig transparent. (Die konkreten Routing-Regeln bleiben hier bewusst unveröffentlicht, da sie kommerziell sensibel sind.)
• Failover mit Health-Checks. Die Spezifikation führte einen Health-Check vor der Transaktion ein: Ist der primäre Acquirer nicht verfügbar, werden geeignete Zahlungen automatisch an einen Backup-Acquirer umgeleitet; wo es keinen Backup gibt, erhält der Sender eine klare, ehrliche Meldung „Bitte später erneut versuchen" statt eines stillen Fehlers. Das Routing kehrt automatisch zurück, sobald der Anbieter wieder verfügbar ist.
• Anbieterunabhängiges KYC. Die Identitätsprüfungsschicht wurde so spezifiziert, dass das Datenmodell unabhängig von einem einzelnen KYC-Anbieter bleibt: ein mehrstufiger Verifizierungsablauf mit Videoerfassung, asynchronen Statusaktualisierungen über Webhooks, Speicherung der Verifizierungsmedien zur Prüfung abgelehnter Fälle, admin-konfigurierbarer Ländersperre und vollständigen Audit-Feldern.
• Transparente Preisgestaltung. Die Spezifikation definierte, wie die App eine klare Aufschlüsselung anzeigt: was der Sender zahlt, was der Empfänger erhält und, im wohltätigen Modell dieser Plattform, was die Partnerorganisation erreicht, korrekt berechnet unabhängig vom ausführenden Acquirer.
• Kartenhandling und wiederkehrende Zahlungen. Die Spezifikation umfasste eine sichere, pro Acquirer getrennte Kartentokenisierung, 3-D Secure dort, wo die Regulierung es verlangt, sowie Mandate für wiederkehrende Zahlungen, damit wiederkehrende Sender ein schnelleres, konformes Erlebnis erhalten.
• Empfänger-Auszahlung: Bargeld oder Wallet. Die Auszahlungsseite wurde so spezifiziert, dass der Empfänger nach lokalem KYC zwischen der Abholung von Bargeld (USD-Scheine) und der Aufladung seiner E-Wallet wählt, integriert mit einem regulierten Auszahlungsnetzwerk, mit Guthabenkontrollen, die jede Auszahlung oder Aufladung autorisieren und Teilabhebungen unterstützen.
• Transparente, aufgeschlüsselte Preise. Das Design definierte eine vollständige Kostenaufschlüsselung, die der Sender zu jeder Transaktion öffnen kann: den angewandten Wechselkurs, die Kosten des Kartenschemas, den Anteil der Bank, den Anteil des Auszahlungsanbieters, was die Plattform behält und, im wohltätigen Modell, den an die Wohltätigkeitsorganisation gelieferten Betrag, wobei ein Admin diese Parameter konfigurieren kann.
• Nachvollziehbarkeit von Spenden. Ein Folgeprozess wurde spezifiziert, der dem Sender den Nachweis sendet, dass sein Beitrag die Partnerorganisation erreicht hat, und so den Kreis des Transparenzversprechens der Plattform schließt.

Ergebnisse

Entscheidungen & Erkenntnisse

• Auf einen unvorhersehbaren Anbieterwechsel hin gestalten. Die Anbieterauswahl lag beim Kunden, wie es sein sollte, es ist eine kommerzielle und regulatorische Entscheidung, keine Produktentscheidung. Die Produktaufgabe bestand darin, die Architektur dagegen widerstandsfähig zu machen. Die KYC-Schicht anbieterunabhängig zu spezifizieren, erwies sich als die wichtigste Entscheidung: Als der KYC-Anbieter während des Projekts ausgetauscht wurde, konnte das Team wechseln, ohne die Integration oder das Datenmodell neu aufzubauen.
• Parallelisierung entlang des Genehmigungs-Gates. Da jeder Anbieter vor dem Go-live eine regulatorische Genehmigung durchlaufen musste, lief die Integrationsvorbereitung parallel zum Genehmigungsprozess, statt darauf zu warten, sodass ein Anbieter nach der Genehmigung schnell live gehen konnte, wobei sichergestellt wurde, dass nichts vor der Freigabe in Produktion ging. Ein Beispiel dafür, eine Roadmap um nicht kontrollierbare Rahmenbedingungen herum zu steuern, statt sich von ihnen aufhalten zu lassen.

Neben dieser Payment- und KYC-Arbeit durchlief die Plattform auch einen vollständigen Rebrand, ein App-Redesign und ein neues mobiles biometrisches Sicherheits-Framework, behandelt in der nächsten Case Study.