Proof of Human ist kein KYC: Krypto-Biometrie 2026

Am 18. Oktober 2026 hat World, das Iris-Scan-Projekt rund um OpenAI-Chef Sam Altman und die Firma Tools for Humanity, ein Produkt vorgestellt, das mitten in die Welt der Banken und Krypto-Börsen zielt: World ID for banking and finance. Es bündelt die World-ID-App, eine Deepfake-Prüfung für Zoom-Anrufe und ein Werkzeug für KI-Agenten, und es verspricht etwas, das in Zeiten synthetischer Stimmen und gefälschter Videos knapp wird: die Gewissheit, dass am anderen Ende ein echter Mensch sitzt. Als Designpartner nennt das Unternehmen unter anderem Bain Capital, VanEck Funds, OpenExchange und Outtake; mehr als 18 Millionen Menschen tragen nach eigenen Angaben bereits einen Proof of Human, wie The Block berichtet.

Der Zeitpunkt ist kein Zufall. Die Beratungsgesellschaft Deloitte schätzt, dass KI-gestützter Betrug allein in den USA bis 2027 Schäden von rund 40 Milliarden Dollar anrichten könnte, nach etwa 12,3 Milliarden im Jahr 2023. World selbst argumentiert, automatisierter Datenverkehr habe im Netz in diesem Jahr erstmals den menschlichen überholt, wie Biometric Update festhält. Wenn Bots und Deepfakes die Oberhand gewinnen, so die Erzählung, dann braucht jede Transaktion einen Menschen-Beweis.

Und doch steckt in diesem Versprechen ein Denkfehler, der den Krypto-Sektor teuer zu stehen kommen kann. Der Beweis, dass jemand ein einzigartiger Mensch ist, ist noch lange kein Ausweis. Das deutsche Geldwäschegesetz will keinen anonymen Menschen, es will einen Namen, ein Geburtsdatum, eine Anschrift und einen Abgleich gegen Sanktionslisten. Proof of Human liefert davon, schon vom Design her, nichts. Bitcoin notierte an diesem nervösen Monatsende, kurz nach der jüngsten US-Zinsentscheidung, bei rund 69.500 Euro, laut CoinGecko. Der Satz, um den es in diesem Text geht, ist kürzer als jeder Kurs: Proof of Human ist kein KYC.

Was World zu den Banken bringt

Das neue Angebot ist kein einzelnes Werkzeug, sondern ein Bündel aus drei bereits bestehenden Bausteinen, erstmals auf Banken und Finanzdienstleister zugeschnitten. Da ist die World-ID-App, die kryptografische Nachweise (World nennt sie Proofs) auf dem Smartphone verwahrt. Da ist World ID for Zoom, eine Lebenderkennung für Videocalls, die jetzt allgemein verfügbar ist und Deepfake-Teilnehmer entlarven soll. Und da ist World ID for Agents, ein Baukasten namens AgentKit, mit dem Menschen ihre Nachweise an KI-Agenten delegieren können, sodass ein Bank-Bot belegen kann, in wessen Auftrag er handelt. Wer per Orb verifiziert ist, trägt künftig ein kleines blaues Abzeichen.

Sandro Herbig, Präsident von Tools for Humanity, umreißt den Pitch so: Da KI immer tiefer in den Alltag vordringe, verlangten Unternehmen zunehmend, dass Einzelne Proofs über sich selbst vorlegen, um Betrug einzudämmen und Vertrauen zu schaffen; World ID for banking and finance biete dafür einen Werkzeugkasten, der eine KI-sichere Vertrauensschicht über interne und externe Systeme lege, so Herbig. World-Mitgründer und Chef Alex Blania formuliert es noch grundsätzlicher: Man brauche einen Menschen-Beweis, und eine solche Technologie werde sich als Tor für nahezu jede Transaktion im Internet erweisen, sagte er. Für eine Branche, in der die Frage „echter Mensch oder Bot?“ über Airdrops, Governance-Stimmen und Kontoeröffnungen entscheidet, ist das ein kühnes Angebot.

Die Botschaft an die Compliance-Abteilungen ist dabei verführerisch einfach: Prüft einmal, dass hier ein echter Mensch ist, und nutzt diesen Nachweis überall wieder. Genau an dieser Stelle lohnt es sich, kurz innezuhalten und zu sortieren, was die Aufsicht eigentlich verlangt, bevor man einen Iris-Scan mit einer Geldwäsche-Prüfung verwechselt.

KYC, AML und wer in Deutschland prüft

Die beiden Kürzel werden oft in einem Atemzug genannt, meinen aber Verschiedenes. KYC (Know Your Customer) ist der Einlass: die Identifizierung eines Kunden, die Überprüfung dieser Angaben anhand verlässlicher Quellen und die laufende Beobachtung der Geschäftsbeziehung. AML (Anti-Money-Laundering) ist das ganze Gebäude dahinter: Risikoanalyse, Transaktionsmonitoring, Verdachtsmeldungen, Sanktionsabgleich und Aufbewahrungspflichten. KYC ist also die Tür, AML das Haus. Ein Mensch-Beweis betrifft, wenn überhaupt, nur die Türklinke.

In Deutschland steht all das im Geldwäschegesetz (GwG). Die BaFin trägt dabei zwei Hüte: Sie lizenziert Kryptodienstleister nach der EU-Verordnung MiCAR, und sie beaufsichtigt dieselben Unternehmen als geldwäscherechtlich Verpflichtete nach dem GwG. Dazu kommt die Financial Intelligence Unit (FIU) bei der Generalzolldirektion, die Verdachtsmeldungen entgegennimmt; seit März 2026 müssen diese über das System goAML elektronisch eingereicht werden. Wichtig für die Einordnung: Die Geldwäscheaufsicht ist nicht die Marktaufsicht. MiCA regelt, wer Kryptodienste anbieten darf und wie; die Pflicht, Kunden zu identifizieren und Verdachtsfälle zu melden, stammt aus dem GwG und bald aus dem EU-Regelwerk AMLR. Wer beides verwechselt, hält eine MiCA-Lizenz für einen AML-Freibrief, was sie nicht ist. Die BaFin beschreibt diese Doppelrolle in ihrem Merkblatt zu Kryptowerte-Dienstleistungen.

Praktisch heißt das: Eine deutsche Krypto-Börse muss ihre Kunden identifizieren, das Risiko jedes Kunden bewerten (der risikobasierte Ansatz), Transaktionen laufend überwachen und bei Verdacht eine Meldung an die FIU absetzen, ohne den Betroffenen zu warnen. Je höher das Risiko, desto strenger die Prüfung, bis hin zu verstärkten Sorgfaltspflichten. In diesem Gefüge ist die Identität kein Selbstzweck, sondern die Voraussetzung dafür, dass die übrigen Pflichten überhaupt greifen. Ohne zurechenbaren Namen lässt sich weder ein Risiko sinnvoll bewerten noch eine Verdachtsmeldung erstatten.

Was das Geldwäschegesetz verlangt, und was der Orb liefert

Das Herzstück der Kundenprüfung steht in den Paragrafen 10 bis 12 GwG. Paragraf 10 verlangt allgemeine Sorgfaltspflichten; Paragraf 11 schreibt vor, welche Angaben bei einer natürlichen Person zu erheben sind. Der Wortlaut ist unmissverständlich: Vorname und Nachname, Geburtsort, Geburtsdatum, Staatsangehörigkeit und eine Wohnanschrift, wie der Gesetzestext bei Gesetze im Internet nachzulesen ist. Paragraf 12 verlangt, dass diese Angaben überprüft werden, etwa anhand eines Ausweisdokuments oder eines elektronischen Identitätsnachweises. Hinzu kommen der Abgleich gegen Sanktions- und PEP-Listen sowie, bei juristischen Personen, die Ermittlung des wirtschaftlich Berechtigten.

Der Zweck dieser Liste ist Zuordenbarkeit. Taucht eine verdächtige Transaktion auf, muss ein Verpflichteter sagen können, welcher namentlich bekannten, überprüften Person sie gehört. Proof of Human ist für das genaue Gegenteil gebaut. Er bestätigt, dass hinter einem Konto ein einzigartiger Mensch steht, und zwar mit Absicht, ohne zu verraten, welcher. Die folgende Gegenüberstellung zeigt die Lücke.

Die rechte Spalte ist nicht halb leer, weil World schlecht gearbeitet hätte, sondern weil Anonymität das erklärte Ziel ist. Genau deshalb kann ein Mensch-Beweis die Sorgfaltspflicht nicht erfüllen: Er beantwortet schlicht eine andere Frage.

Wie der Orb funktioniert und warum er anonym bleiben soll

Um zu verstehen, warum der Mensch-Beweis so hartnäckig anonym bleibt, hilft ein Blick in die Technik. Der Orb, eine glänzende Kugel von der Größe einer Bowlingkugel, macht hochauflösende Aufnahmen von Iris und Gesicht. Daraus berechnet das Gerät einen eindeutigen Zahlencode, den IrisCode. Dieser Code wird in zufällige Fragmente zerlegt (das Verfahren heißt Multi-Party Computation) und zusammen mit den Bildern auf das Smartphone der Person übertragen; danach löscht der Orb Bilder und Fragmente, wie World in seiner eigenen Dokumentation beschreibt. Was bleibt, liegt beim Nutzer, nicht auf einem Server von World.

Will eine App später wissen, ob ein echter, bislang nicht registrierter Mensch vor ihr steht, nutzt World einen Zero-Knowledge-Proof auf Basis des Open-Source-Protokolls Semaphore. Dieser Beweis belegt die Einzigartigkeit, ohne den IrisCode oder eine Identität offenzulegen. Nach eigener Darstellung verlangt World für den Grundnachweis weder Namen noch E-Mail-Adresse noch Telefonnummer. Dieselbe Klasse von Mathematik, die hinter datenschutzfreundlichen Bitcoin-Rollups steckt (wie HOGE Wire am Beispiel von Citrea gezeigt hat), sorgt hier dafür, dass das System seine Nutzer nicht kennt.

Für den Datenschutz ist das elegant. Für die Geldwäscheaufsicht ist es ein Widerspruch in sich. Ein Verpflichteter, der gesetzlich einen Namen erheben und überprüfen muss, kann mit einem Beweis, der jede Namensnennung vermeidet, wenig anfangen. Die Stärke des Orb, nichts zu wissen, ist für KYC seine Schwäche.

Worlds drei Nachweise, und der Haken beim dritten

World bewirbt drei Arten von Nachweisen, und ihre Reihenfolge erzählt die ganze Geschichte. Proof of Human bestätigt über einen einmaligen Orb-Besuch, dass jemand ein echter, einzigartiger Mensch ist. Proof of Presence prüft über eine Selfie-Lebenderkennung am Smartphone, dass gerade eine lebende Person agiert und kein aufgezeichnetes Video. Proof of Attributes schließlich bestätigt konkrete Eigenschaften wie Alter oder Staatsangehörigkeit, und zwar, wie Biometric Update berichtet, ausgelesen aus einem staatlichen Ausweisdokument.

Dieser dritte Nachweis ist der eigentliche Knackpunkt. Sobald World eine überprüfbare Aussage über die reale Welt treffen will, etwa die Staatsangehörigkeit, greift es nicht mehr zur Iris, sondern zum Pass. Damit räumt das System selbst ein, was die Aufsicht die ganze Zeit sagt: Eigenschaften einer Person, und erst recht ein Name, kommen aus einer staatlich beglaubigten Quelle, nicht aus einem biometrischen Einzigartigkeitsbeweis. Die Iris trennt Menschen von Bots; den Ausweis ersetzt sie nicht.

Nur die dritte Zeile berührt überhaupt die KYC-Welt, und sie tut es, indem sie sich auf den Staat stützt. Das ist kein Makel der Technik, sondern ihre ehrlichste Eigenschaft.

Proof of Personhood ist nicht Identität

Dass Einzigartigkeit und Identität zwei verschiedene Dinge sind, hat niemand klarer beschrieben als Vitalik Buterin. In einem vielzitierten Essay von 2023 definiert der Ethereum-Mitgründer Proof of Personhood als den Nachweis, dass ein registriertes Konto von einem echten und von jedem anderen Konto verschiedenen Menschen kontrolliert wird, idealerweise ohne zu verraten, welcher reale Mensch das ist. Identität dagegen verrät genau das: wer man ist. Der Mensch-Beweis klärt also das Ob, nicht das Wer.

Buterin warnt zugleich vor den Grenzen jeder Methode. Es gebe, schreibt er, keine ideale Form von Proof of Personhood („There is no ideal form of proof of personhood“), sondern mindestens drei Ansätze (biometrisch, über soziale Graphen, über Spezialhardware), die einander ergänzen sollten, wie in seinem Essay nachzulesen ist. Die Risiken, die er aufzählt, lesen sich wie eine Mängelliste für den KYC-Einsatz: Zwang (ein Staat lässt scannen, während ein fremder Schlüssel angezeigt wird), gefälschte Menschen (Deepfakes, 3D-gedruckte Attrappen), Datenschutzlecks (ein Iris-Scan kann medizinische Hinweise verraten) sowie der Verkauf oder die Vermietung verifizierter Identitäten.

Für die Geldwäscheaufsicht ist die Schlussfolgerung unbequem schlicht. Eine Behörde, die einen Namen braucht, kann einen Einzigartigkeitsbeweis nicht akzeptieren, so elegant er auch sein mag. Proof of Personhood gehört in eine andere Schicht des Systems, unterhalb der Identität.

Warum der Mensch-Beweis trotzdem zählt: Deepfakes, Bots und KI-Agenten

Dass Proof of Human kein KYC ist, heißt nicht, dass er wertlos wäre. Im Gegenteil: In einer Schicht des Systems, die unterhalb der Identität liegt, könnte er zum entscheidenden Werkzeug werden. Diese Schicht ist die Lebenderkennung, der Nachweis, dass ein echter, lebender Mensch in Echtzeit vor der Kamera sitzt. Und genau sie steht unter Beschuss. Der Biometrie-Anbieter iProov meldet für das zweite Halbjahr 2025 einen Anstieg sogenannter Injection-Angriffe gegen iOS-Geräte um 1.151 Prozent und über das Jahr um 741 Prozent; Identität, so iProov-Wissenschaftschef Andrew Newell, werde zum neuen Schlachtfeld der Cybersicherheit, heißt es im Jahresbericht des Unternehmens.

Die Prüfdienstleister sehen denselben Trend. Laut dem Betrugsreport von Sumsub zählen Deepfakes und synthetische Identitäten zu den am schnellsten wachsenden Angriffsmustern; synthetische Ausweisdokumente gehören inzwischen zu den häufigsten Methoden beim Erstbetrug. Für die klassische Video-Identifizierung, auf der ein Großteil der deutschen Krypto-Onboardings beruht, ist das existenziell: Lässt sich ein überzeugender Deepfake vor die Kamera schieben, verliert die Selfie-Lebenderkennung ihren Wert.

Wie verwundbar die Fernprüfung ist, führte der Chaos Computer Club schon 2022 vor: Der Sicherheitsforscher Martin Tschirsich überwand mehrere marktübliche Video-Ident-Verfahren mit vergleichsweise einfachen Mitteln und frei verfügbaren Werkzeugen, lange bevor überzeugende Deepfakes zur Hand waren, wie der CCC dokumentierte. Genau dieses Muster, Gesicht plus Ausweis vor einer Kamera, steht heute zusätzlich unter KI-Druck. Ein physischer Orb-Besuch entzieht sich diesem Angriff, weil er sich nicht aus der Ferne vortäuschen lässt.

Hier hat ein einmaliger, physischer Orb-Besuch einen echten Vorteil gegenüber einem ferngesteuerten Selfie: Er ist schwerer zu fälschen, und er liefert zugleich Sybil-Resistenz, also Schutz davor, dass eine Person tausend Konten anlegt. Das zählt bei Airdrops, bei Governance-Abstimmungen und überall dort, wo Bots und KI-Agenten den Menschen verdrängen. Dass autonome Software zum eigenständigen Akteur wird, ist längst kein Randthema mehr; HOGE Wire hat am Beispiel von ElizaOS gezeigt, wie Agenten-Frameworks on-chain weiterlaufen, auch wenn ihr Token stirbt. World ID for Zoom und World ID for Agents setzen genau an dieser Naht an. Der Mensch-Beweis hat also seinen Platz, nur einen anderen als die Kundenprüfung.

Die Honeypot-Frage: jede Identitätsdatenbank ist ein Ziel

Es gibt einen zweiten Grund, warum anonyme Nachweise verlockend wirken: Jede Pflicht, Ausweise zu sammeln, baut einen Honeypot. Im Mai 2025 stahlen Angreifer bei Coinbase die Daten von 69.461 Kunden, forderten 20 Millionen Dollar Lösegeld (die Börse zahlte nicht) und verursachten nach Schätzungen Kosten von 180 bis 400 Millionen Dollar, wie CoinDesk dokumentierte. Jede Plattform, die eine Kopie Ihres Passes speichert, wird damit selbst zum Angriffsziel.

Genau dagegen richtet sich Worlds Versprechen: Menschlichkeit beweisen, ohne Dokumente abzugeben, verkleinert die Angriffsfläche. Nur ist das Argument zweischneidig. Ein weltweites Register von Iris-Codes ist selbst ein Datenschatz, dessen Missbrauch man sich nicht ausmalen möchte, und genau deshalb hat World die Multi-Party-Computation und das sofortige Löschen der Bilder eingebaut. Dass Aufsichtsbehörden von Bayern bis Bangkok trotzdem nicht überzeugt sind, zeigt, wie heikel das Sammeln biometrischer Daten bleibt, selbst wenn es technisch sparsam gestaltet ist.

Bayern gegen World: der Streit um die Iris

In Europa ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) die federführende Behörde für World. Am 19. Dezember 2024 zog es ein hartes Fazit: Das Projekt habe biometrische Daten ohne ausreichende Rechtsgrundlage verarbeitet und dies unzureichend dokumentiert. Die Behörde ordnete an, rechtswidrig verarbeitete Daten zu löschen, ein datenschutzkonformes Löschverfahren einzurichten und für bestimmte Verarbeitungsschritte künftig eine ausdrückliche Einwilligung einzuholen. BayLDA-Präsident Michael Will erklärte, alle Nutzer, die Worldcoin ihre Iris-Daten überlassen hätten, sollten künftig uneingeschränkt die Möglichkeit haben, ihr Recht auf Löschung durchzusetzen, wie die Behörde in ihrer Mitteilung festhielt. World legte Rechtsmittel ein und argumentierte, die Beanstandungen beträfen überwiegend ältere Verfahren, die 2024 abgelöst worden seien.

Rechtlich sitzt die Behörde am längeren Hebel. Nach Artikel 9 der Datenschutz-Grundverordnung gehören biometrische Daten zur eindeutigen Identifizierung einer Person zu den besonderen Kategorien personenbezogener Daten; ihre Verarbeitung ist grundsätzlich untersagt, sofern kein enger Ausnahmetatbestand greift, etwa eine ausdrückliche Einwilligung, wie der Gesetzestext festlegt. Ob eine Einwilligung, die mit kostenlosen Token belohnt wird, wirklich freiwillig ist, bezweifeln europäische Aufseher seit Langem. Bayern ist dabei kein Einzelfall, sondern Teil eines Musters, das von Madrid bis Bangkok reicht und das unter anderem Cointelegraph zusammengetragen hat.

Acht Länder, ein wiederkehrender Vorwurf: Die Erhebung biometrischer Daten sei zu eingriffsintensiv für das, was sie leisten soll. Das ist kein gutes Fundament, um ausgerechnet im streng regulierten Finanzsektor zur Identitätsinfrastruktur zu werden.

Der saubere Weg führt über den Staat: die EUDI-Wallet

Wenn weder ein Iris-Scan noch ein geliehener Selfie-Clip die Kundenprüfung tragen, woher soll dann die wiederverwendbare, fälschungssichere Identität kommen, nach der die Branche sucht? Die europäische Antwort heißt eIDAS 2.0. Die Verordnung (EU) 2024/1183 verpflichtet jeden Mitgliedstaat, bis zum 24. Dezember 2026 mindestens eine kostenlose EUDI-Wallet anzubieten; regulierte Sektoren wie Banken sowie sehr große Online-Plattformen müssen sie ab dem 24. Dezember 2027 akzeptieren. Eingebaut ist Datensparsamkeit: Man kann belegen, über 18 zu sein, ohne das Geburtsdatum zu zeigen, wie der Verordnungstext vorsieht.

Deutschlands Wallet trägt den Namen d-you. Der Bundestag hat das zugehörige Digitale-Identitäten-Gesetz beschlossen, der Start ist für den 2. Januar 2027 geplant, die Nutzung bleibt freiwillig und kostenlos, zunächst für Android und iOS, aufbauend auf dem Online-Ausweis, wie Beobachter wie netzpolitik.org berichten. Der entscheidende Unterschied zum Orb liegt nicht in der Kryptografie, sondern in der Quelle: d-you trägt einen staatlich überprüften Namen.

Damit kann eine EUDI-Wallet leisten, was Proof of Human nicht kann. Weil der Staat die Identifizierung bereits vorgenommen hat, lässt sich ein solcher Nachweis im Prinzip wiederverwenden, einmal geprüft, überall vorgezeigt, und er erfüllt dennoch die Angaben aus Paragraf 11 GwG. Die eigentliche Lösung für wiederverwendbares KYC in Europa führt also über die staatliche Brieftasche, nicht über die Iris. World mag die Lebenderkennung härten; den beglaubigten Namen liefert der Ausweis im Smartphone.

Wo die Regeln stehen: AMLR, TFR und die AMLA in Frankfurt

Der Trend der EU-Gesetzgebung läuft dem Gedanken der Anonymität frontal entgegen. Die neue Geldwäscheverordnung AMLR (Verordnung (EU) 2024/1624) gilt ab dem 10. Juli 2027 und verbietet anonyme Krypto-Konten ebenso wie Münzen mit eingebauter Anonymisierung (etwa Monero oder Zcash); zugleich kappt sie Bargeldzahlungen bei 10.000 Euro, wie der Verordnungstext zeigt. Die Geldtransfer-Verordnung TFR (Verordnung (EU) 2023/1113) hat die Travel Rule bereits seit dem 30. Dezember 2024 ohne Schwellenwert auf Krypto übertragen; Transfers von und zu selbstverwahrten Wallets über 1.000 Euro lösen zusätzliche Prüfungen aus, wie aus dem Text hervorgeht. Ein System, das anonyme Konten verbietet, verträgt sich schlecht mit einem Nachweis, der jede Zuordnung mit Absicht vermeidet.

Durchgesetzt wird das zunehmend zentral. Die neue EU-Behörde AMLA sitzt in Frankfurt, wird von der Italienerin Bruna Szego geleitet und soll ab 2028 rund 40 besonders risikoreiche Institute direkt beaufsichtigen; den Kryptosektor hat sie zur unmittelbaren Priorität erklärt. Es sei entscheidend, so Szego, dass Europa angesichts eines neuen Regelwerks und des tiefgreifenden Wandels im Krypto-Sektor ausreichend vor den Risiken der Geldwäsche und Terrorismusfinanzierung geschützt sei, heißt es bei der AMLA. In den USA liegt die Zuständigkeit für AML dagegen bei FinCEN und der Sanktionsbehörde OFAC, nicht bei der Börsenaufsicht SEC, deren Kurs HOGE Wire in einer Bilanz des Kurswechsels nachgezeichnet hat; eine bundesweite digitale Identität gibt es dort nicht.

Was die FATF sagt, und was gerade in Paris passiert

Die internationale Standardsetzerin FATF ist dem Gedanken der digitalen Identität keineswegs abgeneigt. In ihrer Leitlinie zur digitalen Identität von 2020 hält sie fest, dass eine verlässliche, unabhängig geprüfte digitale ID für die Kundenprüfung taugt und eine Fernidentifizierung je nach Ausgestaltung sogar ein normales oder geringeres Risiko darstellen kann, wie aus dem Dokument hervorgeht. Der Schlüsselbegriff ist aber verlässlich und zurechenbar, nicht bloß menschlich.

Zugleich warnt die FATF vor der Kehrseite der KI. In einem Horizon Scan zu KI und Deepfakes von Ende 2025 beschreibt sie, wie synthetische Medien Onboarding, Biometrie und Lebenderkennung aushebeln, und empfiehlt mehrschichtige Prüfungen samt menschlicher Kontrolle, nachzulesen in der Veröffentlichung. Genau in diesem Spannungsfeld, Identität als Angriffsfläche, bewegt sich Worlds Pitch.

Während diese Zeilen entstehen, geht in Paris die erste FATF-Vollversammlung unter britischer Präsidentschaft (Giles Thomson) zu Ende; die Plenarsitzung lief vom 28. bis 30. Oktober, im Zentrum stand die Roadmap gegen Betrug, einen der größten Treiber krimineller Erlöse, wie die FATF ankündigte. Dass Betrug und synthetische Identitäten oben auf der Agenda stehen, ist kein Zufall: Es ist dieselbe Debatte, die World mit seinem Banken-Produkt bedienen will.

Funktioniert die Überwachung überhaupt?

Hinter dem Reiz anonymer Nachweise steht eine unbequeme Frage: Bringt die massenhafte Datensammlung eigentlich, was sie verspricht? Die Analysefirma Chainalysis beziffert die illegalen Krypto-Flüsse für 2025 auf rund 154 Milliarden Dollar, weniger als ein Prozent des gesamten On-Chain-Volumens, inzwischen zu etwa 84 Prozent über Stablecoins abgewickelt, wie aus ihrem Crime Report hervorgeht. Die Denkfabrik Coin Center kommt in ihrer Analyse Tear Down this Walled Garden zu einem harten Urteil: Das System leiste bemerkenswert wenig, nach UN-Schätzungen würden nur rund 0,2 Prozent krimineller Erlöse beschlagnahmt oder eingefroren.

Wenn mächtige Datensammlungen so wenig bewirken, wird das Argument für Datensparsamkeit stärker: lieber Menschlichkeit beweisen als Identität preisgeben. Nur ist das eine Entscheidung für den Gesetzgeber, nicht für eine einzelne Plattform. Solange die AMLR anonyme Konten verbietet, kann kein Anbieter die Sorgfaltspflicht einfach gegen einen Iris-Scan tauschen, so überzeugend die Effizienzkritik auch sein mag.

Was das für Nutzer, Plattformen und Entwickler heißt

Für Nutzerinnen und Nutzer lautet die wichtigste Botschaft: Ein World-ID-Nachweis ersetzt an einer MiCA-lizenzierten Börse in Deutschland nicht den Ausweis. Wer handelt, muss sich weiterhin nach Paragraf 11 GwG identifizieren. Ab Anfang 2027 dürfte die staatliche d-you-Wallet die bequemere und rechtlich tragfähige Abkürzung für wiederverwendbare Identität werden. Biometrische Daten sollte man ohnehin so sparsam hergeben wie möglich; sie lassen sich, anders als ein Passwort, nicht zurücksetzen.

Für Plattformen und Kryptoverwahrer gilt: Ein Mensch-Beweis kann die Lebenderkennung härten, Deepfake-Onboarding erschweren und Sybil-Angriffe abwehren, doch er entbindet nicht von der Sorgfaltspflicht. Wer Proof of Human im Marketing als KYC verkauft, lädt sich ein regulatorisches Risiko auf; die Haftung bleibt beim Verpflichteten. Sinnvoll ist die Technik als Ergänzung: gegen Betrug und Bots vorgeschaltet, mit einer staatlich beglaubigten Identität dahinter.

Für Entwickler schließlich liegt der eigentliche Mehrwert dort, wo es nicht ums Geld geht: Sybil-Resistenz bei Airdrops und Governance, Bot-Abwehr in sozialen Anwendungen, Mensch-Nachweis für KI-Agenten. Dass solche Verteilungen oft an Token hängen (bei World an WLD) und ob ein Airdrop ein Wertpapier ist, bleibt eine eigene Baustelle, die HOGE Wire mit Blick auf den SEC-Streit beleuchtet hat. Für alles, was Geld bewegt, führt in Europa jedoch kein Weg an einem überprüften Namen vorbei. Proof of Human beweist, dass du ein Mensch bist. KYC will wissen, welcher. Das ist nicht dasselbe, und 2026 ist der Unterschied teuer.

Häufige Fragen

Ist Proof of Human dasselbe wie KYC?

Nein. Proof of Human belegt, dass hinter einem Konto ein einzigartiger, echter Mensch steht, und zwar anonym. KYC nach dem deutschen Geldwäschegesetz verlangt dagegen einen überprüften Namen samt Geburtsdatum, Anschrift und Sanktionsabgleich. Der eine Nachweis klärt das Ob, der andere das Wer.

Darf eine Krypto-Börse in Deutschland Proof of Human statt eines Ausweises akzeptieren?

Nein. Nach Paragraf 11 GwG müssen Verpflichtete Vorname, Nachname, Geburtsort, Geburtsdatum, Staatsangehörigkeit und Anschrift erheben und überprüfen. Ein anonymer Mensch-Beweis erfüllt diese Pflicht nicht; die Haftung bliebe bei der Börse.

Was unterscheidet Proof of Human, Proof of Presence und Proof of Attributes?

Proof of Human bestätigt über einen einmaligen Orb-Besuch einen einzigartigen Menschen, Proof of Presence prüft per Selfie-Lebenderkennung eine lebende Person in Echtzeit. Proof of Attributes bestätigt Eigenschaften wie Alter oder Staatsangehörigkeit, zieht diese aber aus einem staatlichen Ausweis. Nur der dritte berührt überhaupt die KYC-Welt.

Warum ist die bayerische Datenschutzbehörde gegen World vorgegangen?

Das BayLDA stellte am 19. Dezember 2024 fest, dass World biometrische Daten ohne ausreichende Rechtsgrundlage verarbeitet hatte, und ordnete Löschung, ein Löschverfahren und künftige ausdrückliche Einwilligungen an. Biometrische Daten gelten nach Artikel 9 DSGVO als besonders schützenswert. World legte gegen die Entscheidung Rechtsmittel ein.

Kann die EUDI-Wallet d-you das KYC bei Krypto ersetzen?

Sie kann es tragen, nicht ersetzen. Weil der Staat die Identität bereits überprüft, liefert die ab dem 2. Januar 2027 geplante d-you-Wallet einen beglaubigten Namen, der sich wiederverwenden lässt und die Angaben aus Paragraf 11 GwG abdeckt. Genau das leistet ein anonymer Iris-Nachweis nicht.

Anneke de Vries berichtet für HOGE Wire über Krypto-Regulierung in Europa.