Deepfakes gegen KYC 2026: der Identitäts-Wettlauf bei Krypto

Der Angriff mit Aquarellfarbe

Im August 2022 brauchte ein Sicherheitsforscher des Chaos Computer Club keine künstliche Intelligenz, um das damals beliebteste deutsche Verfahren zur Online-Identifizierung auszuhebeln. Er brauchte einen Fernseher, die quelloffene Bildbibliothek OpenCV und, für den Prägestempel auf dem gefälschten Dokument, etwas rote Aquarellfarbe. Martin Tschirsich fotografierte einen echten Ausweis aus mehreren Winkeln, baute daraus eine digitale Kopie mit ausgetauschtem Namen, Foto und Adresse und hielt während des Video-Anrufs einfach die Smartphone-Kamera auf einen Bildschirm, der das manipulierte Video abspielte. Die Prüfer am anderen Ende bemerkten nichts. Sechs verschiedene Video-Ident-Verfahren fielen auf diese Weise, wie der Club damals öffentlich vorführte.

Der Chaos Computer Club, dessen Forscher den Angriff durchführte, bilanzierte trocken: „Während sich alle Welt vor ausgefeilten Deep Fakes fürchtet, gelang hier der Angriff mit Uralt-Technik und einfachen Mitteln.“ Genau dieser Satz beschreibt das Problem, das die Kryptobranche 2026 einholt, nur mit umgekehrtem Vorzeichen. Vier Jahre später ist die Aquarellfarbe überflüssig. Was 2022 noch Bastelei war, liefert heute ein KI-Generator für rund 13 Euro, in Sekunden, ohne Fernseher und ohne handwerkliches Geschick.

Damit verläuft die eigentliche Front der Geldwäscheaufsicht nicht mehr im Regelbuch, das so dick ist wie nie, sondern an einer viel banaleren Stelle: an der Frage, ob die Person am anderen Ende einer Anmeldung wirklich die ist, die sie vorgibt zu sein. Dieser Text handelt von diesem Wettlauf. Von den Werkzeugen, die ihn befeuern, von der deutschen und europäischen Regulierung, die hinterherläuft, und von den zwei Reparaturansätzen, die gerade in Frankfurt, Berlin und Brüssel entstehen.

Das Paradox: mehr Regeln, schwächere Prüfung

KYC und AML werden oft in einem Atemzug genannt, meinen aber Verschiedenes. AML, die Geldwäschebekämpfung, ist der Oberbegriff für das gesamte Regime aus Gesetzen, Meldepflichten und Kontrollen. KYC (Know Your Customer) ist der Identitätsbaustein darin: die Pflicht, den Vertragspartner zu identifizieren und zu überprüfen, bevor eine Geschäftsbeziehung beginnt. In Deutschland steht das im Geldwäschegesetz (GwG). Die BaFin trägt dabei zwei Hüte, sie lizenziert Kryptodienstleister und beaufsichtigt zugleich deren Geldwäscheprävention.

Ein verbreiteter Irrtum lohnt die Klarstellung: MiCA regelt Geldwäsche nicht. Die europäische Kryptoverordnung deckt Zulassung, Wohlverhalten und Anlegerschutz ab, die AML-Aufsicht sitzt getrennt davon in der Geldwäscheverordnung (AMLR), der Geldtransferverordnung (TFR) und bei der neuen EU-Behörde AMLA in Frankfurt. Wer die Mechanik dieser Regeln im Detail nachlesen will, findet sie im Begleitstück zu BaFin, AMLA und den Sorgfaltspflichten; hier geht es um die Stelle, an der diese Regeln auf eine kaputte Prüfung treffen.

Denn das ist das Paradox von 2026. Das Regelwerk war nie umfangreicher, die Bußgelder nie höher, die Meldepflichten nie enger. Und doch wird der Baustein, auf dem alles ruht, die Prüfung, ob ein Ausweis echt und der Mensch davor real ist, zeitgleich mit Werkzeugen ausgehebelt, die jeder im Netz kaufen kann. Man kann das Dach beliebig verstärken; wenn das Fundament bröckelt, hilft es wenig. Dieselbe Aufsicht, die den Marktmissbrauch unter MiCA verfolgt, muss sich darauf verlassen können, dass die Namen in den Kundendatenbanken echt sind.

Was eine KYC-Prüfung 2026 wirklich leistet

Wenn ein Kunde sich bei einer Kryptobörse oder einer Bank anmeldet, läuft im Hintergrund eine Kette von Prüfungen ab, die meist ein spezialisierter Dienstleister übernimmt. In Deutschland sind das etwa der Münchner Anbieter IDnow oder die Berliner WebID Solutions, international Sumsub, Jumio oder Onfido. Der Ablauf zerfällt in fünf Schritte, und jeder einzelne hat inzwischen seine eigene Angriffsfläche. Was früher ein Blick des geschulten Auges war, ist heute ein Stapel aus Bilderkennung, Biometrie und Listenabgleich, und jede dieser Ebenen lässt sich mit KI gezielt attackieren.

Nach dem GwG staffelt sich die Intensität dieser Prüfung nach Risiko. Für den Normalfall gelten die allgemeinen Sorgfaltspflichten (Paragraf 10 GwG), bei geringem Risiko dürfen sie vereinfacht werden (Paragraf 14), bei erhöhtem Risiko, etwa bei politisch exponierten Personen oder undurchsichtigen Firmenkonstruktionen, greifen die verstärkten Sorgfaltspflichten (Paragraf 15) mit zusätzlichen Nachweisen und einer Prüfung der Mittelherkunft. Genau an dieser Risikostaffel setzt der Betrug an: Wer die billige, automatisierte Standardprüfung überlistet, kommt gar nicht erst in die teure, verstärkte Kontrolle. Der Angreifer sucht die Naht, nicht die Wand.

Gute Anbieter kontern das mit gestaffelten, sich ergänzenden Signalen: Sie prüfen nicht nur das Dokument, sondern auch die Metadaten des Uploads, das Verhalten des Geräts, die IP-Adresse und ob dieselbe Selfie-Vorlage schon einmal aufgetaucht ist. Fällt eines dieser Signale auf, wird die Anmeldung zur Step-up-Verifizierung eskaliert, etwa zu einem zusätzlichen eID-Nachweis. Doch jede zusätzliche Hürde kostet Konversion: Ehrliche Kunden brechen ab, wenn die Anmeldung zu lang wird. Zwischen Sicherheit und Nutzerfreundlichkeit liegt ein ständiger Zielkonflikt, und der Betrüger profitiert genau von der Bequemlichkeit, die sich eine Plattform im Wettbewerb leisten muss.

Das 13-Euro-Problem

Der Name, der die Debatte 2024 auslöste, war OnlyFake. Die Untergrund-Seite verkaufte KI-generierte Ausweise und Führerscheine aus 26 Ländern, bezahlbar in Kryptowährungen, ab 15 US-Dollar, umgerechnet keine 13 Euro. Reporter des Magazins 404 Media erzeugten damit einen täuschend echten kalifornischen Führerschein mit frei wählbarem Namen und Foto und kamen damit durch die Verifizierung der Börse OKX. In einem begleitenden Telegram-Kanal meldeten Nutzer erfolgreiche Anmeldungen bei weiteren Handelsplätzen. Der pseudonyme Betreiber, der sich John Wick nannte, warb offen damit, dass seine Dokumente die KYC-Prüfungen großer Börsen bestünden.

Der Kern des Problems ist nicht ein einzelner Anbieter, der abgeschaltet wird und unter neuem Namen wieder auftaucht. Der Kern ist, dass die Grenzkosten einer überzeugenden Fälschung gegen null gehen. Ein physischer Ausweis kostete Zeit, Material und handwerkliches Können; eine digitale, generierte Vorlage kostet einen Klick. Und da die meisten Prüfungen längst nicht mehr am Schalter, sondern per Kamera und Datei-Upload stattfinden, ist die digitale Fälschung genau das Format, das ankommt. Die Ökonomie hat sich umgedreht: Der Verteidiger muss jede einzelne Fälschung erkennen, der Angreifer nur eine von tausend durchbekommen.

Deepfakes gegen die Lebenderkennung

Die zweite Verteidigungslinie nach dem Dokument ist die Lebenderkennung: der Nachweis, dass da ein echter, lebendiger Mensch vor der Kamera sitzt und nicht ein Foto oder ein Video. Angreifer haben dafür zwei Wege. Beim Präsentationsangriff hält jemand ein Bild oder eine Maske vor die Linse, so wie der CCC 2022 einen Bildschirm abfilmte. Beim viel gefährlicheren Injection-Angriff wird die Kamera komplett umgangen und ein manipulierter Videostrom direkt in die App oder den Browser eingespeist, ein Deepfake, der auf Zuruf blinzelt, nickt und den Kopf dreht. Für die Prüfsoftware sieht das aus wie eine echte Kamera.

Genau diese Injection-Angriffe explodieren. Der Biometrie-Spezialist iProov meldet in seinem Threat-Intelligence-Report 2026 für das Jahr 2025 einen Anstieg der Injection-Angriffe auf iOS-Geräte um 741 Prozent; im zweiten Halbjahr allein lag der Zuwachs gegenüber dem Vorjahreszeitraum bei 1.151 Prozent. „Identität wird zum neuen Schlachtfeld der Cybersicherheit“, sagt Dr. Andrew Newell, Chief Scientific Officer bei iProov. Parallel wandern Deepfakes aus der reinen Identitätsprüfung in den Arbeitsalltag, etwa in Videokonferenzen, in denen ein gefälschter Vorgesetzter eine Überweisung anordnet.

Auch die internationale Aufseherrunde hat das Thema erreicht. Die Financial Action Task Force (FATF) benannte in ihrem Horizon Scan zu KI und Deepfakes vom Dezember 2025 synthetische Medien ausdrücklich als Werkzeug, das Geldwäschekontrollen, Sorgfaltspflichten und digitale Identitätsprüfung beim Onboarding aushebeln kann, und forderte einen einheitlichen, risikobasierten Umgang damit. Für ein Video-Ident-Verfahren, dessen Kern ein Live-Videoanruf ist, ist das die denkbar unbequemste Diagnose: Der Angriffsvektor sitzt genau dort, wo das Verfahren seine Stärke vermutete.

Der Betrug in Zahlen

Wie groß der Wettlauf ist, lässt sich an den Zahlen der Prüfdienstleister ablesen, die täglich Millionen Verifizierungen sehen. Der Anbieter Sumsub wertete für seinen Identity Fraud Report 2025/2026 mehr als vier Millionen Betrugsversuche aus. Das Bild ist zwiespältig: Die reine Betrugsquote sank leicht, doch die Raffinesse der Angriffe stieg drastisch. Nicht die Menge ist das Problem, sondern die Qualität.

Bemerkenswert ist die Verschiebung von einzelnen Tricks hin zu koordinierten Ketten: eine synthetische Identität plus Social Engineering plus manipulierte Geräte-Signale in einem Angriff. Sumsub warnt zudem, dass 2026 die nächste Stufe zünde, nämlich Betrug durch autonome KI-Agenten, die Anmeldungen selbstständig durchspielen. Wie fragil solche Agenten mit eigener Wallet im Kryptokontext sind, zeigt der Blick auf das Eliza-Framework und seine Sicherheitsfragen. Der Betrüger von morgen ist womöglich selbst eine Software.

Warum die Kryptobranche besonders im Visier steht

Nicht jede Branche spürt den Identitäts-Wettlauf gleich stark. Die Betrugsquote im Kryptosektor liegt laut Sumsub mit 2,2 Prozent zwar unter der von Online-Dating oder Teilen des Finanzsektors, doch die Angreifer sind hier besonders motiviert. Ein erfolgreich unter falscher Identität eröffnetes Börsenkonto lässt sich sofort in liquide, weltweit transferierbare Werte umwandeln; die Auszahlung erfolgt in Sekunden und nicht in Werktagen. Für organisierte Geldwäsche ist das die attraktivste Kombination aus Tempo, Reichweite und Endgültigkeit.

Gegen solche Konten helfen zwar die Analysefirmen Chainalysis, Elliptic und TRM Labs, die verdächtige Adressen mit Risikobewertungen versehen. Doch ihre Scores sind Wahrscheinlichkeiten, kein Beweis, und Datenschutz-Coins oder frische Adressen entziehen sich dem Clustering. Die Blockchain-Analyse setzt zudem erst an, wenn die Transaktion bereits läuft; sie ersetzt die Identitätsprüfung am Eingang nicht, sie ergänzt sie nur. Fällt das KYC, verschiebt sich die gesamte Last auf eine nachgelagerte, unsichere Wahrscheinlichkeitsrechnung. Deshalb ist die Prüfung am Onboarding kein Formalismus, sondern der einzige Punkt, an dem ein regulierter Anbieter überhaupt noch eine harte Identität erzwingen kann.

Video-Ident in Deutschland: die ausgehöhlte Brückentechnologie

Deutschland hat mit dem Video-Ident-Verfahren früh auf digitale Identifizierung gesetzt. Rechtsgrundlage ist das BaFin-Rundschreiben 3/2017 (GW), das geschulte Mitarbeiter, Bild- und Tonaufzeichnung sowie technische Mindestanforderungen vorschreibt. Millionen Deutsche haben so ein Bankkonto, eine SIM-Karte oder ein Krypto-Depot eröffnet. Als der Chaos Computer Club 2022 vorführte, wie leicht sich das aushebeln ließ, geriet das Verfahren unter Druck: Die gematik untersagte Video-Ident als Identifizierungstechnik für die elektronische Patientenakte, und die Finanzaufsicht musste ihre Anforderungen nachschärfen.

Die Antwort der Regulierung ist ein Nebeneinander aus Nachbesserung und Alternative. Zum einen wurden die technischen Vorgaben für Video-Ident verschärft und in einen Entwurf für eine eigene Geldwäsche-Videoidentifizierungsverordnung gegossen. Zum anderen soll die eID, die Online-Ausweisfunktion des Personalausweises, das schwächere Videoverfahren zunehmend ersetzen, weil sie kryptografisch abgesichert ist und nicht am menschlichen Auge eines Prüfers hängt, das ein gutes Deepfake ohnehin nicht mehr erkennt. Das Muster ist typisch: Die Bedrohung entwickelt sich schneller als die Verordnung, und die Aufsicht schließt eine Lücke, während sich die nächste bereits öffnet.

Wenn die KYC-Datenbank zur Waffe wird

Die unbequeme Kehrseite strengerer Identitätsprüfung: Je mehr Ausweisdaten eine Plattform sammelt, desto wertvoller wird sie als Ziel. Im Mai 2025 machte Coinbase öffentlich, dass bestochene externe Support-Mitarbeiter über Monate Kundendaten kopiert hatten, darunter Namen, Adressen, teilweise Ausweisfotos und Teile von Sozialversicherungsnummern. Betroffen waren nach Angaben der Börse rund 69.461 Kunden. Die Erpresser forderten 20 Millionen Dollar Lösegeld; Vorstandschef Brian Armstrong lehnte ab und setzte stattdessen ein Kopfgeld in gleicher Höhe aus. Die Kosten der Aufarbeitung bezifferte Coinbase auf 180 bis 400 Millionen Dollar, wie CoinDesk berichtete.

Das ist die Datenschutz-Bruchlinie der ganzen Debatte. KYC verlangt, dass ehrliche Nutzer ihre sensibelsten Dokumente bei einem Dritten hinterlegen, um Kriminelle abzuhalten, die genau diese Dokumente ohnehin fälschen. Jede zusätzliche Pflicht zur Datensammlung schafft einen größeren Honeypot, und ein einziges Leck versorgt die Betrüger mit echten Vorlagen für ihre nächsten synthetischen Identitäten. Die europäische AMLR verbietet anonyme Konten und konzentriert damit echte Identitätsdaten an immer weniger, immer attraktiveren Orten. Sicherheit und Datensparsamkeit ziehen hier in entgegengesetzte Richtungen.

Der Schaden endet zudem nicht mit dem Datenabfluss. Nach großen Lecks folgt regelmäßig eine zweite Welle: gezieltes Phishing, bei dem sich Betrüger als Support der betroffenen Plattform ausgeben und, ausgestattet mit echten Namen und Kontodaten, zur angeblichen Verifizierung auffordern. Aus einem KYC-Datensatz wird so das Werkzeug für den nächsten Angriff. Der Datenberg, den die Regulierung im Namen der Sicherheit anlegt, wird damit selbst zur Angriffsfläche, und die Rechnung zahlt am Ende der Kunde, dessen Ausweis nun im Umlauf ist.

Bringt der Wettlauf überhaupt etwas?

Angesichts von Aufwand und Kosten lohnt die Frage, was die Eskalation eigentlich bringt. Die Antwort ist unbequem. Nach dem Krypto-Crime-Report 2026 von Chainalysis flossen 2025 mehr als 154 Milliarden US-Dollar an Adressen, die mit illegaler Aktivität verknüpft sind, ein Anstieg um 162 Prozent, getrieben vor allem von Sanktionsumgehung. Zugleich blieb dieser Betrag weniger als ein Prozent des gesamten On-Chain-Volumens, und rund 84 Prozent des illegalen Transaktionswerts liefen inzwischen über Stablecoins, nicht über Bitcoin, der Ende August 2026 um die 68.000 Euro notierte (CoinGecko), nachdem er zuvor die Marke von 80.000 Dollar überschritten hatte.

Kritiker ziehen daraus einen scharfen Schluss: Ein Regime, das Milliarden kostet und Millionen ehrlicher Nutzer durch immer aufwendigere Anmeldungen schleust, fängt den professionellen Geldwäscher kaum, der für 13 Euro einen passenden Ausweis kauft und den Rest über Stablecoins und Mittelsmänner schichtet. Der Wettlauf trifft am härtesten diejenigen, die er am wenigsten meint. Das ist kein Argument gegen jede Kontrolle, aber ein starkes Argument dafür, die Prüfung selbst zu reparieren, statt nur ihre Frequenz zu erhöhen. Mehr Kontrollpunkte helfen wenig, wenn jeder einzelne mit demselben Trick fällt.

Der Grund, warum die Identitätsprüfung so zentral ist, liegt in der Mechanik der Geldwäsche selbst. Sie verläuft klassisch in drei Phasen: Platzierung (das Geld kommt ins System), Verschleierung (es wird durch viele Transaktionen verschichtet) und Integration (es kehrt scheinbar sauber zurück). Krypto ist vor allem in der Verschleierungsphase stark, weil sich Werte schnell, grenzüberschreitend und über viele Adressen bewegen lassen. Die einzige Stelle, an der ein echter Name zwingend fällt, ist das Onboarding bei einem regulierten Dienstleister. Wird genau dort ein gefälschter Ausweis akzeptiert, ist die gesamte spätere Kette bereits vergiftet, so ausgefeilt die Transaktionsüberwachung danach auch arbeiten mag.

Das europäische Regelwerk zieht an

Parallel zum technischen Wettlauf zieht Brüssel die Regeln an. Die Geldwäscheverordnung (AMLR, Verordnung 2024/1624) gilt in ihren Kernteilen ab dem 10. Juli 2027 und bringt einen einheitlichen europäischen Rahmen. Sie verbietet anonyme Krypto-Konten ebenso wie Anonymisierungsdienste, was Datenschutz-Coins wie Monero faktisch aus dem regulierten Angebot drängt, deckelt Barzahlungen EU-weit bei 10.000 Euro und verlangt bei bestimmten Transfers zwischen selbst verwahrten und gehosteten Wallets zusätzliche Nachweise. Die Details stehen in der Fassung im EU-Amtsblatt.

Durchgesetzt wird das künftig auch zentral. Die neue EU-Behörde AMLA hat ihren Sitz in Frankfurt am Main, nahm 2025 die Arbeit auf und wird ab 2028 eine Gruppe der risikoreichsten Finanzunternehmen, darunter große Kryptodienstleister, direkt beaufsichtigen. Ergänzt wird das durch die Geldtransferverordnung (TFR), den europäischen Ableger der FATF-Travel-Rule, die seit Ende 2024 gilt und anders als der FATF-Standard keine Bagatellgrenze kennt: Auch Kleinstbeträge müssen mit Absender- und Empfängerdaten reisen. Wo die Grenzen dieses Regelwerks liegen, etwa bei DeFi und Staking, zeigt die Debatte um MiCA 2.0 und die Lücken im Regelwerk. Die Vorschriften werden dichter, doch die Identitätsprüfung, auf der sie beruhen, bleibt der wunde Punkt.

National bleibt die Durchsetzung zweigeteilt. Die BaFin beaufsichtigt die Geldwäscheprävention der Institute, während verdächtige Vorgänge bei der Financial Intelligence Unit (FIU) der Generalzolldirektion gemeldet werden. Jede Verdachtsmeldung nach Paragraf 43 GwG muss vertraulich bleiben; wer den Betroffenen warnt, macht sich strafbar. Kryptodienstleister sind damit zu Meldern in eigener Sache geworden, und die Qualität der ersten Identifizierung entscheidet darüber, ob eine spätere Meldung überhaupt einen echten Namen trägt oder nur eine synthetische Hülle.

Reparatur eins: wiederverwendbare Identität und die EUDI-Wallet

Wenn die wiederholte Selfie-und-Ausweis-Prozedur das eigentliche Einfallstor ist, liegt eine Reparatur nahe: die Identität einmal sauber prüfen und danach wiederverwendbar machen. Genau das ist die Idee der europäischen Digital-Identity-Wallet (EUDI-Wallet) aus der eIDAS-2.0-Verordnung (Verordnung 2024/1183). Bürgerinnen und Bürger bekommen eine digitale Brieftasche, in der überprüfte Nachweise liegen; gegenüber einer Börse beweisen sie dann nur noch, dass ein staatlich bestätigter Nachweis vorliegt, ohne bei jeder Anmeldung erneut Ausweisfoto und Video hochzuladen. Ein Deepfake nützt wenig, wenn gar keine Live-Kamera mehr überzeugt werden muss.

Deutschland baut daran sichtbar. Die Bundesagentur SPRIND eröffnete Anfang 2026 eine EUDI-Wallet-Sandbox, in der über hundert Organisationen Anwendungsfälle testeten; im Mai 2026 folgte der Entwurf des Digitale-Identitäten-Gesetzes (DIdG), der die europäische Vorgabe in deutsches Recht überführt. Die staatliche Wallet soll zum 2. Januar 2027 starten, ausgelegt auf bis zu 80 Millionen Nutzer auf dem höchsten Vertrauensniveau, wie Analysen des Rollout-Fahrplans festhalten. Technisch stützt sich das auf überprüfbare Nachweise (Verifiable Credentials) nach dem W3C-Standard, mit dem Dreieck aus Aussteller, Inhaber und Prüfer.

Ein Selbstläufer ist das nicht. Wiederverwendbare Identität verlagert das Vertrauen auf die erste, einmalige Prüfung, und die muss makellos sein, sonst wird eine gefälschte Identität nur bequemer wiederverwendbar. Zudem nützt die beste Wallet wenig, solange kaum eine Börse sie akzeptiert: Der Engpass liegt weniger bei den Bürgern als bei den Prüfstellen, die den neuen Nachweis erst technisch anbinden müssen. Genau das zeigte die SPRIND-Sandbox, in der die Anbindung der akzeptierenden Stellen als eigentliche Hürde galt. Die EUDI-Wallet ist also eine Chance, kein Automatismus.

Reparatur zwei: Proof of Personhood und der Datenschutz-Konflikt

Die zweite Reparatur setzt an einer anderen Frage an: nicht wer jemand ist, sondern nur, dass er ein einmaliger, echter Mensch ist. Proof of Personhood soll Bots und Massenkonten aussperren, ohne den Klarnamen preiszugeben. Das prominenteste Projekt, World (früher Worldcoin), scannt dafür die Iris und stellt eine World ID aus; nach eigenen Angaben zählte das Netzwerk im April 2026 rund 18 Millionen verifizierte Menschen in mehr als 160 Ländern (World). Der Nachweis lässt sich per Zero-Knowledge-Beweis führen, also ohne die biometrische Vorlage selbst zu zeigen.

In Europa stößt dieser Ansatz allerdings auf die härteste Datenschutzaufsicht der Welt. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) ordnete im Dezember 2024 an, dass World bestimmte ohne ausreichende Rechtsgrundlage erhobene Daten löschen muss und den Nutzern ein wirksames Löschverfahren für ihre Iris-Daten bereitzustellen hat. BayLDA-Präsident Michael Will erklärte, alle Nutzer, die World ihre Iris-Daten überlassen hätten, könnten künftig uneingeschränkt ihr Recht auf Löschung geltend machen, wie BTC-Echo dokumentierte. Das Unternehmen legte Widerspruch ein und verwies auf inzwischen überholte Technik.

Der Konflikt zeigt die europäische Pointe: Selbst die eleganteste biometrische Lösung muss sich an der Datenschutz-Grundverordnung messen lassen, und die verlangt Datensparsamkeit statt globaler Iris-Datenbanken. Die staatlich verankerte EUDI-Wallet und der privatwirtschaftliche Iris-Scan sind zwei Antworten auf dieselbe Frage, doch nur eine von beiden ist in Europa politisch anschlussfähig. Wer Menschlichkeit beweisen will, ohne einen zentralen Datenschatz zu schaffen, muss die Biometrie auf dem Gerät lassen, nicht in der Cloud.

Was Anleger und Plattformen jetzt tun sollten

Für Anlegerinnen und Anleger heißt der Wettlauf vor allem: mit strengeren, aber auch klügeren Prüfungen rechnen und die eigenen Daten wie ein Wertgegenstand behandeln.

• Bei höheren Beträgen oder ungewöhnlichen Mustern sind verstärkte Nachfragen (Mittelherkunft, Wohnsitznachweis) normal und keine Schikane; wer sie vorbereitet, spart Zeit.
• Transfers zwischen Börse und selbst verwahrter Wallet können ab bestimmten Schwellen einen Nachweis der Verfügungsgewalt auslösen; das ist die TFR, nicht Willkür.
• Niemals denselben, womöglich schon geleakten Ausweis-Scan an dubiose Dienste hochladen; genau daraus entstehen synthetische Identitäten.
• Vorsicht bei angeblichem KYC-Support per Mail oder Anruf: Nach Datenlecks folgen gezielte Phishing-Wellen, die den echten Anbieter täuschend imitieren.

Für Plattformen und CASPs verschiebt sich die Verteidigung von der einzelnen Prüfung zur ganzen Kette:

• Lebenderkennung darf sich nicht auf den Bildschirm verlassen, sondern muss Injection-Angriffe erkennen (Herkunft des Signals, Geräteintegrität).
• Datensparsamkeit wird zur Sicherheitsstrategie: Was nicht gespeichert wird, kann nicht gestohlen werden.
• Wiederverwendbare Nachweise (EUDI-Wallet, eID) senken zugleich die Reibung für ehrliche Kunden und das Honeypot-Risiko.

Der Wettlauf zwischen Fälschung und Prüfung endet nicht 2026. Aber seine Richtung entscheidet sich jetzt: Wer nur die Frequenz der Kontrollen erhöht, füttert Honeypots und vertreibt ehrliche Nutzer, ohne den Profi zu fangen. Wer die Prüfung selbst repariert, mit wiederverwendbaren, kryptografisch signierten Nachweisen statt endloser Selfie-Uploads, hat die Chance, den 13-Euro-Ausweis wertlos zu machen. Die Aquarellfarbe von 2022 war eine Warnung. Ob Europa sie gehört hat, zeigt sich daran, ob die EUDI-Wallet 2027 hält, was sie verspricht.

Häufig gestellte Fragen (FAQ)

Was ist der Unterschied zwischen KYC und AML?

AML (Geldwäschebekämpfung) ist der Oberbegriff für das gesamte Regime aus Gesetzen, Meldepflichten und Kontrollen. KYC (Know Your Customer) ist der Identitätsbaustein darin: die Pflicht, den Kunden vor Beginn der Geschäftsbeziehung zu identifizieren und zu überprüfen. In Deutschland regelt das Geldwäschegesetz beides, beaufsichtigt von der BaFin.

Können Deepfakes die Video-Identifizierung austricksen?

Ja. Bereits 2022 umging der Chaos Computer Club sechs Video-Ident-Verfahren mit einfachen Mitteln. Seither sind KI-Werkzeuge deutlich besser geworden; iProov meldet für 2025 einen Anstieg der Injection-Angriffe auf iOS um 741 Prozent. Deshalb verlagert sich die Prüfung zunehmend auf die kryptografisch abgesicherte eID und künftig auf die EUDI-Wallet.

Ist mein Ausweis bei einer Krypto-Börse sicher?

Nicht garantiert. KYC-Datenbanken sind attraktive Ziele. Bei Coinbase kopierten 2025 bestochene Support-Mitarbeiter Daten von rund 69.461 Kunden. Wer kann, nutzt Anbieter mit strenger Datensparsamkeit und wiederverwendbaren Nachweisen und lädt sensible Dokumente niemals bei dubiosen Diensten hoch.

Verbietet die EU anonyme Krypto-Konten?

Ja. Die Geldwäscheverordnung (AMLR) verbietet ab dem 10. Juli 2027 anonyme Krypto-Konten und Anonymisierungsdienste, deckelt Barzahlungen bei 10.000 Euro und verlangt zusätzliche Nachweise bei bestimmten Wallet-Transfers. Durchgesetzt wird das auch von der neuen EU-Behörde AMLA in Frankfurt.

Was ist die EUDI-Wallet und wie verändert sie KYC?

Die EU Digital Identity Wallet (EUDI-Wallet) aus der eIDAS-2.0-Verordnung ist eine digitale Brieftasche für überprüfte Identitätsnachweise. Statt bei jeder Plattform erneut Ausweis und Selfie hochzuladen, weisen Nutzer nur das nötige Attribut nach. Deutschlands staatliche Wallet soll am 2. Januar 2027 starten.

Anneke de Vries ist Regulierungsredakteurin bei HOGE Wire und schreibt über Geldwäscheaufsicht, MiCA und die europäische Kryptoregulierung.