Krypto-KYC 2026: einmal prüfen, überall beweisen

Wer heute in Deutschland Krypto kaufen will, kennt die Prozedur. Ausweis vor die Kamera halten, Kopf nach links, Kopf nach rechts, eine Zahl ablesen, warten. Bei der nächsten Börse das Gleiche. Bei der dritten wieder. Jede Plattform verlangt denselben Nachweis, speichert dieselben Daten und wird damit selbst zum Ziel. Bitcoin notiert an diesem 14. Oktober bei rund 74.700 Euro (CoinGecko), doch das größte Risiko liegt für viele Nutzer nicht im Kurs, sondern in der Ausweiskopie, die auf einem Börsenserver schlummert.

Das ist der zentrale Widerspruch der Krypto-Identität im Jahr 2026. Die Regeln waren nie strenger, und der Nachweis, auf dem sie beruhen, war nie angreifbarer. Eine geprüfte Identität lässt sich mit Deepfakes fälschen, und jede gespeicherte Kopie ist ein Honeypot. Im Mai 2025 kopierten bestochene Support-Dienstleister bei Coinbase die Daten von rund 69.461 Kunden (CoinDesk), genau die Ausweisfotos und Adressen, die KYC einsammelt.

Es gibt ein anderes Modell, und es rückt näher. Statt jeder Plattform eine vollständige Kopie zu überlassen, prüft eine vertrauenswürdige Stelle die Identität einmal und stellt einen Nachweis aus, den der Nutzer in der eigenen Wallet behält. Vor jeder weiteren Plattform legt er nur noch einen Beweis vor, oft nur ein Ja oder Nein: über 18, nicht auf einer Sanktionsliste, KYC bestanden. Einmal prüfen, überall beweisen. Deutschland und die EU bauen die Infrastruktur dafür gerade, mit der EUDI-Wallet, und die Krypto-Branche experimentiert mit zk-Nachweisen. Dieser Text erklärt, wie das funktioniert, was schon real ist und wo das Geldwäscherecht noch nicht mitzieht.

KYC und AML: was wirklich gemeint ist

Zwei Begriffe, die oft synonym fallen, meinen Verschiedenes. AML (Anti Money Laundering) ist der Oberbegriff: das ganze Regelwerk gegen Geldwäsche und Terrorismusfinanzierung, von Gesetzen über Meldepflichten bis zu Sanktionslisten. KYC (Know Your Customer) ist nur ein Baustein davon, nämlich die Identifizierung des Kunden und die laufende Kenntnis seiner Geschäftsbeziehung. Man kann KYC sauber erledigen und trotzdem gegen AML verstoßen, etwa wenn verdächtige Transaktionen nie gemeldet werden.

Zum AML-Gerüst gehören traditionell fünf Säulen: ein Geldwäschebeauftragter, interne Sicherungsmaßnahmen, Schulungen, eine unabhängige Prüfung und die risikobasierte Sorgfalt gegenüber dem Kunden. KYC ist die Eingangstür dieser letzten Säule. Geldwäsche selbst läuft klassisch in drei Phasen ab, Einspeisung, Verschleierung und Integration; Krypto ist vor allem in der Verschleierungsphase attraktiv, wenn Spuren über viele Adressen und Ketten verwischt werden. Die Identitätsprüfung soll genau am Eingang ansetzen, bevor überhaupt etwas zu verschleiern ist.

In Deutschland steht das im Geldwäschegesetz (GwG). Krypto-Dienstleister, im EU-Recht Anbieter von Krypto-Dienstleistungen (CASP), sind Verpflichtete nach dem GwG und müssen Kunden identifizieren (Paragrafen 10 ff.); die Mittel und Verfahren der Überprüfung regeln die Paragrafen 12 und 13, darunter eID und Video-Ident. Die Aufsicht über diese Pflichten führt die BaFin, die ihre Erwartungen an Krypto-Dienstleister in einem eigenen Merkblatt gebündelt hat (BaFin). Verdachtsmeldungen gehen an die Financial Intelligence Unit (FIU), die bei der Generalzolldirektion sitzt, nicht an eine Wertpapieraufsicht.

Wichtig für das Verständnis: AML ist nicht MiCA. Die europäische Krypto-Verordnung MiCA regelt Zulassung und Wohlverhalten der Dienstleister, die Geldwäsche-Pflichten stehen separat in der Geldwäsche-Verordnung (AMLR) und der Geldtransfer-Verordnung (TFR). Wer am Jahresende seine Kryptogewinne meldet, hat es wiederum mit dem Finanzamt und dem automatischen Datenaustausch unter DAC8 zu tun (DAC8 und die Krypto-Steuer), einer dritten Datenspur neben Aufsicht und Geldwäsche. Drei Regelkreise, drei Datensammlungen, und in der Mitte steht jedes Mal derselbe Ausweis.

Wie eine KYC-Prüfung heute abläuft

Eine Onboarding-Prüfung besteht meist aus vier Schritten. Erstens die Dokumentenprüfung: Der Nutzer fotografiert Ausweis oder Reisepass, Software prüft Sicherheitsmerkmale und liest die Daten aus. Zweitens der Lebendnachweis (Liveness): ein Selfie oder kurzes Video, das belegen soll, dass eine echte, anwesende Person vor der Kamera sitzt und kein Foto, keine Maske, kein Deepfake. Drittens der Abgleich gegen Sanktions-, PEP- und Negativlisten. Viertens die laufende Überwachung der Transaktionen, denn KYC endet nicht am Tag der Anmeldung.

In Deutschland erledigen das spezialisierte Anbieter wie IDnow und WebID, international Sumsub, Onfido oder Jumio. Die klassische deutsche Variante ist das Video-Ident-Verfahren, das die BaFin im Rundschreiben 3/2017 (GW) geregelt hat (BaFin); daneben steht die eID-gestützte Prüfung mit dem Online-Ausweis. Beide Verfahren sind für sich genommen solide.

Zwei Dinge geraten dabei unter Druck. Zum einen der Lebendnachweis: Hochwertige Deepfakes und in das Kamerasignal eingespeiste Fälschungen (sogenannte Injection-Angriffe) setzen genau jene Liveness-Prüfung unter Stress, die eine echte Person belegen soll. Zum anderen die Aufbewahrung: Das Geldwäschegesetz verlangt, die Identifizierungsunterlagen fünf Jahre lang zu speichern, sodass selbst bei einer sauberen Prüfung ein wachsender Datenberg entsteht, der bewacht werden will. Jede zusätzliche Kopie ist ein zusätzliches Versprechen, sie nie zu verlieren.

Das Problem ist nicht ein einzelner Schritt, sondern die Wiederholung. Jede Börse, jeder Broker, jede regulierte DeFi-Tür führt die Prüfung von Null durch und legt eine eigene Kopie der Ausweisdaten an. Für den Nutzer bedeutet das Reibung; für die Branche bedeutet es Dutzende Kopien desselben Dokuments auf Dutzenden Servern. Und wo KYC am härtesten beißt, ist meist nicht der Einstieg, sondern der Ausstieg, der Moment, in dem Spiel- oder Kryptoguthaben zu echtem, ausgabefähigem Geld werden soll (KYC bei Krypto-Gaming).

Drei Schwachstellen des heutigen Modells

Fasst man die Kritik zusammen, hat das verteilte Modell drei Schwachstellen, die sich gegenseitig verstärken.

• Wiederholung und Reibung. Dieselbe Prüfung an jeder Plattform kostet Zeit, treibt Abbruchquoten hoch und erzeugt verstreute Kopien desselben Ausweises.
• Honeypot. Jede gespeicherte Ausweissammlung ist ein Ziel. Der Coinbase-Diebstahl von 2025 traf rund 69.461 Kunden; das Unternehmen bezifferte die Folgekosten später auf 180 bis 400 Millionen Dollar und lehnte eine Lösegeldforderung über 20 Millionen Dollar ab.
• Geringer Nutzen im Verhältnis zum Aufwand. Laut dem Chainalysis-Bericht 2026 flossen 2025 mindestens 154 Milliarden Dollar an illegale Adressen, ein Plus von 162 Prozent, aber immer noch weniger als 1 Prozent des gesamten On-Chain-Volumens.

Peter Van Valkenburgh vom Think Tank Coin Center bringt diese Kritik auf den Punkt: Das bestehende AML/KYC-System leiste „remarkably little“ gegen Finanzkriminalität und erzeuge enorme Kosten und Datenschutzlasten für einen zu geringen Nutzen (Coin Center). Die US-Compliance-Kosten allein beziffert der Report auf über 26 Milliarden Dollar pro Jahr, während nach einer oft zitierten UN-Schätzung nur etwa 0,2 Prozent krimineller Gelder je eingefroren oder beschlagnahmt werden. Hinzu kommt ein vierter, subtiler Effekt: Weil Haftung droht, sammeln Plattformen im Zweifel mehr Daten als nötig, nicht weniger.

Keine dieser Schwachstellen ist ein Argument gegen Geldwäschebekämpfung an sich. Sie sind ein Argument gegen die Art, wie der Nachweis heute organisiert ist: zu oft erhoben, zu breit gespeichert, zu leicht zu fälschen. Die eigentliche Frage ist deshalb nicht, ob geprüft wird, sondern wie wenig Daten dabei anfallen müssen, ohne dass die Prüfung an Aussagekraft verliert. Genau hier setzt der Gegenentwurf an.

Alt gegen neu: zwei Modelle der Identitätsprüfung

Der Gegenentwurf dreht die Logik um. Heute liegt die Identität bei der Plattform; künftig soll sie beim Nutzer liegen. Die folgende Tabelle stellt beide Modelle gegenüber.

Der letzte Punkt ist entscheidend und wird oft übersehen: Auch im neuen Modell bleibt die regulierte Plattform verantwortlich. Sie lagert die Prüfung aus, nicht die Haftung. Genau daran entscheidet sich, ob die Technik rechtlich tragfähig ist oder bloß elegant.

Einmal prüfen, überall beweisen: Aussteller, Inhaber, Prüfer

Hinter dem Schlagwort steht ein einfaches Dreieck aus drei Rollen. Der Aussteller (Issuer) prüft die Identität einmal gründlich, etwa eine Bank, ein staatliches Register oder ein spezialisierter KYC-Anbieter, und stellt einen signierten Nachweis aus. Der Inhaber (Holder) ist der Nutzer; er speichert den Nachweis in seiner Wallet. Der Prüfer (Verifier) ist die Börse oder App, die den Nachweis entgegennimmt und die Signatur des Ausstellers verifiziert, ohne die Rohdaten erneut einzusammeln.

Ein Beispiel macht es greifbar. Eine Nutzerin lässt sich einmal von einer Bank oder einem lizenzierten KYC-Anbieter prüfen und erhält einen Nachweis in ihre Wallet. Öffnet sie danach Konten bei drei verschiedenen Börsen, legt sie jedes Mal nur diesen Nachweis vor; keine Plattform sieht mehr den Pass, jede sieht nur die bestätigte Aussage und die gültige Signatur des Ausstellers. Aus drei vollständigen Prüfungen wird eine, aus drei Ausweiskopien werden im Idealfall null.

Der ökonomische Reiz ist handfest. Wiederverwendbares KYC gilt als einer der wichtigsten Anwendungsfälle digitaler Nachweise, und Branchenschätzungen sehen die Onboarding-Kosten um 30 bis 50 Prozent sinken (Start with Identity), weil die teure Erstprüfung nicht bei jedem Anbieter wiederholt werden muss. Für den Nutzer verschwindet die Kamerarunde bei Anbieter Nummer zwei, drei und vier.

Drei Bausteine machen das Dreieck praktisch tauglich: ein Datenformat für den Nachweis (Verifiable Credentials), eine Methode, nur das Nötige preiszugeben (zero knowledge), und ein Ort, an dem der Nachweis vorgezeigt wird, sei es on-chain oder in einer staatlichen EUDI-Wallet. Die nächsten Abschnitte nehmen diese Bausteine der Reihe nach auseinander.

Verifiable Credentials: der Ausweis, der dir gehört

Ein Verifiable Credential (VC) ist, vereinfacht gesagt, eine digitale, fälschungssichere Bescheinigung. Der Aussteller signiert eine Aussage kryptografisch („Diese Person ist über 18“ oder „Diese Person hat KYC bestanden“), der Inhaber trägt sie bei sich, der Prüfer kann die Signatur jederzeit gegenprüfen. Das Standardwerk dahinter stammt vom World Wide Web Consortium: Die Verifiable-Credentials-Familie in Version 2.0 ist seit dem 15. Mai 2025 offizielle W3C-Empfehlung (W3C), zusammen mit den Decentralized Identifiers (DIDs) als Adressierungsschicht.

Zwei Eigenschaften machen VCs für KYC interessant. Erstens die selektive Offenlegung (selective disclosure): Der Nutzer kann aus einem Nachweis nur einzelne Attribute zeigen, etwa das Geburtsjahr statt des vollen Geburtsdatums oder allein die Aussage, dass er volljährig ist. Zweitens die Widerrufbarkeit über Status-Listen: Ein Aussteller kann einen Nachweis für ungültig erklären, wenn sich etwas ändert, ohne dass der Prüfer die Person kontaktieren muss. Beides zusammen macht aus einem statischen Scan einen lebenden, sparsamen Nachweis.

In der Praxis konkurrieren mehrere Formate um diesen Nachweis, etwa SD-JWT für selektiv offenlegbare Angaben und das mobile Ausweisformat nach ISO 18013-5, auf das auch die EUDI-Wallet setzt. Für den Nutzer ist die Formatfrage zweitrangig; entscheidend ist, dass ein Prüfer die Signatur des Ausstellers verlässlich zuordnen kann und dass ein widerrufener Nachweis sofort als ungültig erkennbar ist. Ohne verlässliche Aussteller und funktionierende Sperrlisten ist der schönste Standard wertlos.

Damit ist das Datenformat geklärt. Es sagt aber noch nichts darüber, wie wenig man tatsächlich preisgeben kann. Dafür braucht es eine weitere Zutat.

zk-Nachweise: beweisen, ohne zu zeigen

Zero-Knowledge-Beweise (zk) erlauben es, eine Aussage zu belegen, ohne die zugrunde liegenden Daten zu zeigen. Der Nutzer beweist „über 18“, „auf keiner Sanktionsliste“ oder „KYC bestanden“, ohne Geburtsdatum, Name oder Ausweisnummer zu übermitteln. Es ist dieselbe Klasse von Kryptografie, die anderswo KI-Berechnungen überprüfbar macht, ohne die Daten offenzulegen (zk-ML und Datenschutz), oder Modellergebnisse on-chain beweisbar verankert (verifizierbare KI); hier dient sie der Identität statt der Rechenleistung.

In der Praxis haben sich mehrere Protokolle herausgebildet. Privado ID (hervorgegangen aus Polygon ID) setzt auf zk-SNARKs und BBS+-Signaturen und gilt als führend beim wiederverwendbaren zk-KYC; die Deutsche Bank erprobte die Technik 2025 in einem Pilotprojekt für tokenisierte Vermögenswerte (FinanceFeeds). zkMe wirbt als erste vollständig dezentrale, an den FATF-Standards ausgerichtete On-Chain-KYC-Lösung: Die Dokumentenprüfung läuft lokal auf dem Gerät des Nutzers, on-chain landet nur der Beweis, dass die Person die Prüfung bestanden hat. Weitere Namen im Feld sind zkPass, Blockpass und Human Passport.

Konkret kann das so aussehen: Ein regulierter DeFi-Pool, der nur geprüften Nutzern offenstehen darf, verlangt vor der ersten Einzahlung einen zk-Beweis, dass die Adresse zu einer Person mit bestandenem KYC gehört und dass diese Person in keinem gesperrten Land ansässig ist. Der Pool erfährt weder Name noch Wohnort, nur die beiden geprüften Ja-Antworten. Für die Aufsicht zählt dabei, dass ein identifizierender Aussteller dahintersteht und sich der Nachweis im Ernstfall wieder einer Person zuordnen lässt.

Der Reiz für Europa ist offensichtlich: Datenminimierung ist hier kein Marketingversprechen, sondern Rechtsprinzip. Aber ein eleganter Beweis allein macht noch keine regelkonforme Prüfung, solange die Aufsicht ihn nicht als vollwertig anerkennt. Dazu kommen wir weiter unten.

On-chain-Attestierungen: der Nachweis an der Wallet

Ein dritter Weg führt nicht über eine App, sondern über die Blockchain selbst. On-chain-Attestierungen hängen einen Nachweis direkt an eine Wallet-Adresse. Das bekannteste Beispiel ist Coinbase Verifications: Die Börse stellt über den Ethereum Attestation Service (EAS) Bescheinigungen aus, etwa für ein verifiziertes Coinbase-Konto oder das verifizierte Wohnsitzland (Coinbase). Die Attestierung ist an eine selbstverwahrte EVM-Wallet gebunden, nicht übertragbar und wird on-chain auf Base verankert.

Der Charme liegt in der Brücke: Eine zentrale Börse, die ihren Kunden ohnehin geprüft hat, reicht ein minimales, nicht übertragbares Signal an die On-Chain-Welt weiter. Eine DeFi-App oder ein regulierter Pool kann dann prüfen, ob eine Adresse zu einem verifizierten Konto gehört, ohne je einen Ausweis zu sehen. Die Grenze ist ebenso klar: Was on-chain steht, ist pseudonym, aber dauerhaft sichtbar; die Verknüpfung von Adresse und Attestierung schafft neue Spuren, die es vorher nicht gab. Sparsamkeit und Verkettbarkeit stehen hier in Spannung zueinander.

Für die Praxis heißt das: On-chain-Attestierungen eignen sich gut als Eintrittskarte in regulierte DeFi-Anwendungen, taugen aber schlecht als alleiniger Identitätsnachweis gegenüber einer Behörde. Sie sind ein Signal, kein Pass. Am stärksten werden sie in Kombination, wenn ein zk-Beweis den sensiblen Teil abdeckt und die Attestierung nur die Verbindung zur geprüften Adresse herstellt.

Der Baukasten und sein Reifegrad

Bevor es um die staatliche Infrastruktur geht, lohnt ein Überblick, wie weit die einzelnen Werkzeuge 2026 sind. Keines ist Science-Fiction, aber die Reife unterscheidet sich stark.

Die Tabelle zeigt ein Muster: Die privaten, krypto-nativen Werkzeuge sind technisch weit, aber rechtlich ungesichert; das staatliche Werkzeug ist rechtlich verankert, aber noch jung. Genau in dieser Lücke entscheidet sich, was sich durchsetzt.

Die EUDI-Wallet: von Brüssel bis zu Deutschlands d-you

Das politisch gewichtigste Projekt ist staatlich. Mit der eIDAS-2.0-Verordnung (Verordnung (EU) 2024/1183) hat die EU jeden Mitgliedstaat verpflichtet, seinen Bürgern bis zum 24. Dezember 2026 mindestens eine kostenlose European Digital Identity Wallet (EUDI-Wallet) anzubieten (EUR-Lex). Ab dem 24. Dezember 2027 müssen regulierte Branchen wie Banken, Energie, Verkehr und Telekommunikation sowie sehr große Online-Plattformen die Wallet als Identifizierungsmittel akzeptieren.

Für Krypto ist der zweite Termin der wichtigere. Solange nur der Staat die Wallet ausstellt, sie aber kaum ein Unternehmen annimmt, bleibt sie ein leeres Versprechen; erst die Akzeptanzpflicht für regulierte Branchen macht sie zum Alltagswerkzeug. Neben dem reinen Ausweis sieht eIDAS 2.0 auch elektronische Attributbescheinigungen (EAA) vor, also signierte Zusatznachweise wie Alter, Wohnsitz oder eben ein bestandenes KYC, die Dritte ausstellen und in die Wallet legen können. Genau diese Bescheinigungen sind die eigentliche Brücke zum wiederverwendbaren KYC.

Technisch ist Datensparsamkeit eingebaut. Für eine Altersprüfung soll die Angabe, dass jemand über 18 ist, genügen, ohne das Geburtsdatum offenzulegen; Anbieter dürfen nur die wirklich nötigen Attribute abfragen und das Nutzerverhalten nicht nachverfolgen (netzpolitik.org). Zero-Knowledge-Verfahren nennen die Erwägungsgründe der Verordnung ausdrücklich, schreiben sie den Mitgliedstaaten aber nicht zwingend vor, ein Punkt, an dem sich Datenschützer reiben.

Deutschland setzt das mit einer eigenen Wallet namens „d-you“ um, verantwortet vom Bundesministerium für Digitales und Staatsmodernisierung (BMDS). Der Start ist für den 2. Januar 2027 geplant, zum Auftakt mit rund 40 Partnern aus Wirtschaft, Wissenschaft und Verwaltung; zunächst wandert vor allem die Online-Ausweisfunktion aufs Smartphone, erste Anwendungen sind etwa der Dresden-Pass und später der BAföG-Antrag, die elektronische Gesundheitskarte soll ab Dezember 2028 folgen.

Die rechtliche Grundlage hinkt dabei hinterher. Das deutsche Digitale-Identitäten-Gesetz (DIdG) durchlief am 23. September 2026 erst seine erste Lesung im Bundestag; die Bundesregierung argumentiert, der Januar-Start brauche das DIdG nicht in Kraft, weil Identifizierung und Nachweisvorlage auf bestehenden Grundlagen beruhten. Der Start läuft also in eine Gesetzeslücke hinein, was Fachleute unterschiedlich bewerten.

Entsprechend gemischt fiel die Sachverständigenanhörung im Bundestag aus. Torsten Lodderstedt von der Bundesagentur SPRIND, die an der Architektur mitarbeitet, warb für den schrittweisen Weg: „Es ist der Start der Skalierung, nicht das Ende unserer Entwicklung“ (Deutscher Bundestag). Thomas Lohninger von der Grundrechtsorganisation epicenter.works bewertete das Vorhaben dagegen kritisch und warnte, die Wallet drohe „zum Rohrkrepierer oder zum Geschenk für Big Tech“ zu werden. Dazwischen standen Sicherheitsbedenken, etwa zur Gefahr, dass Wallet-Daten von ungepatchten Smartphones ausgelesen werden könnten.

Darf das AML-Recht das überhaupt?

Die entscheidende Frage ist nicht, ob die Technik funktioniert, sondern ob die Aufsicht sie als KYC akzeptiert. Hier ist das Bild gemischt. Die FATF, die globale Standardsetzerin, hat bereits 2020 in ihrer Guidance on Digital Identity festgehalten, dass eine verlässliche, unabhängige digitale Identität für die Kundenprüfung (CDD) taugt und eine Prüfung ohne persönliche Anwesenheit je nach Ausgestaltung sogar als normales oder geringes Risiko gelten kann (FATF). Die Tür ist also offen.

Offen heißt aber nicht durchschritten. Weder die EU-Geldwäsche-Verordnung noch die FATF haben einen reinen zk-Beweis bisher als eigenständiges, vollwertiges KYC anerkannt; dafür fehlen technische Standards, an denen die Europäische Bankenaufsichtsbehörde (EBA) noch arbeitet. In der Praxis bedeutet das zweierlei. Erstens bleibt der Verpflichtete, also die Börse, für die Richtigkeit der Prüfung haftbar, auch wenn ein Dritter sie durchgeführt hat. Zweitens braucht es einen Notausgang: eine Möglichkeit, den Nachweis im begründeten Fall, etwa auf behördliche Anordnung, wieder einer Person zuzuordnen (break glass). Vollständige Anonymität ist mit AML-Pflichten nicht vereinbar, auch nicht mit der elegantesten Kryptografie.

Für Deutschland kommt eine Feinheit hinzu. Das GwG lässt die Identifizierung per eID und per notifiziertem elektronischem Identifizierungssystem ausdrücklich zu, und die EUDI-Wallet fällt in diese Kategorie. Eine erfolgreiche Identifizierung über die Wallet erfüllt aber nur den KYC-Schritt; die übrigen AML-Pflichten, von der Risikobewertung über die laufende Überwachung bis zur Verdachtsmeldung, bleiben davon unberührt. Die Wallet weist aus, sie entlastet nicht von der Geldwäsche-Aufsicht. Für rein private zk-Verfahren wiederum dürften erst technische Standards der EBA den Weg zur vollen Anerkennung ebnen; bis dahin bleiben sie eine Ergänzung, kein Ersatz.

Daraus ergibt sich eine klare Rangfolge. Die saubere rechtliche Brücke führt vorerst über die staatlich notifizierte EUDI-Wallet; ein Nachweis einer rein privaten zk-App muss sich einen vergleichbaren Status erst erarbeiten und bewegt sich bis dahin in einer Grauzone, technisch erlaubt, aber aufsichtlich noch nicht abgesegnet. Für Anbieter heißt das: Die Wahl des Ausstellers ist immer auch eine Haftungsentscheidung.

Proof of Personhood und der Datenschutz-Konflikt

Ein verwandtes, aber eigenständiges Problem ist die Einzigartigkeit: Wie stellt man sicher, dass hinter einem Nachweis genau ein Mensch steht und nicht tausend Bots oder ein Netz synthetischer Identitäten? Das Projekt World (früher Worldcoin) beantwortet das mit biometrischer Einzigartigkeit: Ein Gerät namens Orb scannt die Iris, erzeugt einen eindeutigen, kryptografisch geschützten Code und verwirft idealerweise das Rohbild. Nach eigenen Angaben haben sich bis 2026 rund 18 Millionen Menschen verifiziert (World).

In Deutschland ist das Projekt zum Lehrstück geworden, wie Identitätsreform scheitern kann. Ende 2024 ordnete das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) die Löschung rechtswidrig verarbeiteter Iris-Daten an und stellte die Freiwilligkeit der Einwilligung infrage, wenn am Ende eine Token-Belohnung lockt (BTC-Echo). World hat seine Verfahren seither mehrfach angepasst, doch der Fall zeigt die Grenze: Biometrie löst das Bot-Problem, schafft aber ein neues Datenschutzproblem, das in Deutschland besonders scharf bewertet wird.

Für die Krypto-KYC-Debatte ist die Lehre nüchtern: Einzigartigkeit (ein Mensch) und Identität (welcher Mensch) sind zwei verschiedene Nachweise. Proof of Personhood kann Sybil-Angriffe und Bot-Farmen bremsen, ersetzt aber keine rechtskonforme Kundenprüfung, und wer die Biometrie falsch aufsetzt, verliert in Europa schnell die gesellschaftliche Zustimmung zur Idee.

Die EUDI-Wallet geht den umgekehrten Weg: Einzigartigkeit entsteht hier nicht aus Biometrie, sondern aus dem staatlichen Melderegister, das ohnehin nur einen Eintrag pro Person kennt. Das ist aus Datenschutzsicht weniger heikel, verlagert das Vertrauen aber vollständig zum Staat. Zwischen der biometrischen Einzigartigkeit privater Anbieter und der registergestützten Einzigartigkeit des Staates liegt eine politische Grundsatzentscheidung, und sie ist in Deutschland noch längst nicht getroffen.

Warum die Reform jetzt drängt: AMLR, TFR, AMLA

Warum der Aufwand, wenn das heutige KYC doch irgendwie läuft? Weil die EU den Druck gerade massiv erhöht. Mit der Geldwäsche-Verordnung (AMLR, Verordnung (EU) 2024/1624) gilt ab dem 10. Juli 2027 ein harter Kurs: Anonyme Krypto-Konten werden verboten, ebenso Anonymisierungs-Dienste und Privacy Coins wie Monero für Verpflichtete, dazu kommt eine EU-weite Bargeldobergrenze von 10.000 Euro (EUR-Lex). Was anonym nicht mehr geht, muss identifiziert werden, und zwar sauber.

Parallel gilt seit dem 30. Dezember 2024 die Geldtransfer-Verordnung (TFR, Verordnung (EU) 2023/1113), die europäische Travel Rule: Bei Krypto-Transfers zwischen Dienstleistern gibt es keine Bagatellgrenze, jede Überweisung muss Absender- und Empfängerdaten mitführen; Transfers von oder zu selbstverwahrten Wallets über 1.000 Euro lösen zusätzliche Prüfungen aus (EUR-Lex). Und über allem wacht künftig die neue EU-Geldwäschebehörde AMLA in Frankfurt, geleitet von Bruna Szego, die ab 2028 die riskantesten Anbieter direkt beaufsichtigen soll (AMLA).

Dass scharfe Regeln die Kriminalität nicht einfach verschwinden lassen, zeigt die Verlagerung hin zu Stablecoins: Laut dem Chainalysis-Bericht 2026 entfielen 2025 rund 84 Prozent des illegalen Krypto-Volumens auf Stablecoins statt auf Bitcoin (Chainalysis). Genau deshalb konzentriert sich die Kontrolle auf die Schnittstellen zwischen Krypto und Bankgeld, die On- und Off-Ramps, an denen ohnehin identifiziert wird. Wer diesen Übergang sauber, sparsam und fälschungssicher gestalten will, landet zwangsläufig wieder bei der Frage, wie Identität nachgewiesen wird.

Die Rechnung ist einfach: Die Pflichten steigen, der klassische Nachweis bröckelt, und die Datensammlungen werden größer, wertvoller und damit gefährlicher. Ein Modell, das weniger Rohdaten speichert und trotzdem mehr beweist, ist in dieser Lage kein Luxus, sondern die naheliegende Antwort, vorausgesetzt, die Aufsicht erkennt es an.

Was das für Nutzer und Anbieter heißt

Für Nutzer ist die kurzfristige Lage ernüchternd und die mittelfristige vielversprechend. Kurzfristig führt an der Kamerarunde bei jeder neuen Plattform kein Weg vorbei, und jede Kopie bleibt ein Risiko; wer die eigene Angriffsfläche klein halten will, verteilt seine Bestände nicht über ein Dutzend halbseidener Börsen und bevorzugt Anbieter mit nachvollziehbarer Datenhaltung. Mittelfristig lohnt es sich, die EUDI-Wallet im Blick zu behalten: Ab Anfang 2027 wird die staatliche d-you-Wallet der sauberste Weg sein, sich auszuweisen, ohne jedes Mal den vollen Datensatz herzugeben.

Für Anbieter, also Börsen, Broker und regulierte DeFi-Zugänge, ist die Botschaft doppelbödig. Wiederverwendbares KYC senkt Kosten und Abbruchquoten, aber die Haftung bleibt am eigenen Haus hängen. Wer auf zk-KYC oder Verifiable Credentials setzt, braucht einen Aussteller mit belastbarer Prüfung, einen dokumentierten Notausgang zur Re-Identifizierung und eine ehrliche Antwort auf die Frage, ob die eigene Aufsicht das Verfahren schon anerkennt. Für den europäischen Markt ist die EUDI-Wallet die risikoärmste Wette, weil sie staatlich notifiziert ist; private zk-Lösungen sind die wendigere, aber rechtlich noch nicht abgesicherte Option.

Unterm Strich verschiebt sich die Krypto-Identität von „jede Plattform weiß alles“ zu „jede Plattform erfährt genau das Nötige“. Das ist kein Freifahrtschein für Anonymität, im Gegenteil: Der Staat weiß am Ende tendenziell mehr, nicht weniger. Aber es ist ein Modell, das die größte verbleibende Schwäche des heutigen KYC angeht, die wuchernden Ausweiskopien, und das ist 2026 mehr, als die meisten Reformvorschläge von sich behaupten können.

Der Fahrplan für die nächsten Monate ist klar abgesteckt. Bis zum 24. Dezember 2026 müssen die EUDI-Wallets stehen, am 2. Januar 2027 startet Deutschlands d-you, zum 10. Juli 2027 greift der harte AMLR-Kurs, und ab 2028 beaufsichtigt die AMLA die größten Anbieter direkt. In diesem Fenster entscheidet sich, ob wiederverwendbare und zero-knowledge-basierte Nachweise den Sprung aus Pilotprojekten in den regulierten Alltag schaffen. Die Technik ist weitgehend bereit; es fehlen die aufsichtliche Anerkennung und die schlichte Gewohnheit, sie auch zu nutzen.

Häufige Fragen (FAQ)

Muss ich bei jeder Krypto-Börse erneut ein KYC durchlaufen?

Heute ja. Jeder Krypto-Dienstleister ist ein eigener Verpflichteter nach dem Geldwäschegesetz und prüft Sie von Null. Wiederverwendbares KYC und die EUDI-Wallet sollen das ändern, doch die aufnehmende Plattform bleibt haftbar und kann deshalb weiterhin eigene Prüfungen verlangen.

Was ist die EUDI-Wallet und wann kommt sie in Deutschland?

Die EUDI-Wallet ist die europäische digitale Identitäts-Wallet. Nach der eIDAS-2.0-Verordnung muss jeder EU-Staat bis zum 24. Dezember 2026 mindestens eine kostenlose Wallet anbieten; Deutschlands Variante d-you startet am 2. Januar 2027.

Kann ich mit einem zk-Nachweis anonym handeln?

Nein. Ein Zero-Knowledge-Nachweis belegt ein geprüftes Merkmal, etwa über 18 oder KYC bestanden, ohne das Dokument zu zeigen. Ein Aussteller hat Sie aber identifiziert, und ein Notausgang zur Re-Identifizierung auf behördliche Anordnung bleibt bestehen. Das ist Datensparsamkeit, nicht Anonymität.

Sind Privacy Coins wie Monero in der EU bald verboten?

Für regulierte Anbieter ja. Die Geldwäsche-Verordnung AMLR verbietet ab dem 10. Juli 2027 anonyme Krypto-Konten sowie Anonymisierungs-Dienste und Privacy Coins bei Verpflichteten. Selbst verwahren dürfen Sie weiter, aber zugelassene Börsen dürfen solche Coins nicht mehr führen.

Warum ist meine KYC-Kopie bei einer Börse ein Risiko?

Weil die gespeicherte Ausweissammlung ein lohnendes Angriffsziel ist. Beim Coinbase-Vorfall 2025 wurden die Daten von rund 69.461 Kunden gestohlen. Wiederverwendbare und zk-gestützte Modelle verringern, was jede Plattform überhaupt speichern muss.

Von Anneke de Vries, Regulierungsredaktion HOGE Wire.