{"id":850,"date":"2026-10-30T04:29:17","date_gmt":"2026-10-30T04:29:17","guid":{"rendered":"https:\/\/hoge.gg\/de\/proof-of-human-kein-kyc-krypto-biometrie-2026\/"},"modified":"2026-10-30T04:29:17","modified_gmt":"2026-10-30T04:29:17","slug":"proof-of-human-kein-kyc-krypto-biometrie-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/de\/proof-of-human-kein-kyc-krypto-biometrie-2026\/","title":{"rendered":"Proof of Human ist kein KYC: Krypto-Biometrie 2026"},"content":{"rendered":"

Am 18. Oktober 2026 hat World, das Iris-Scan-Projekt rund um OpenAI-Chef Sam Altman und die Firma Tools for Humanity, ein Produkt vorgestellt, das mitten in die Welt der Banken und Krypto-B\u00f6rsen zielt: World ID for banking and finance. Es b\u00fcndelt die World-ID-App, eine Deepfake-Pr\u00fcfung f\u00fcr Zoom-Anrufe und ein Werkzeug f\u00fcr KI-Agenten, und es verspricht etwas, das in Zeiten synthetischer Stimmen und gef\u00e4lschter Videos knapp wird: die Gewissheit, dass am anderen Ende ein echter Mensch sitzt. Als Designpartner nennt das Unternehmen unter anderem Bain Capital, VanEck Funds, OpenExchange und Outtake; mehr als 18 Millionen Menschen tragen nach eigenen Angaben bereits einen Proof of Human, wie The Block<\/a> berichtet.<\/p>

Der Zeitpunkt ist kein Zufall. Die Beratungsgesellschaft Deloitte sch\u00e4tzt, dass KI-gest\u00fctzter Betrug allein in den USA bis 2027 Sch\u00e4den von rund 40 Milliarden Dollar anrichten k\u00f6nnte, nach etwa 12,3 Milliarden im Jahr 2023. World selbst argumentiert, automatisierter Datenverkehr habe im Netz in diesem Jahr erstmals den menschlichen \u00fcberholt, wie Biometric Update<\/a> festh\u00e4lt. Wenn Bots und Deepfakes die Oberhand gewinnen, so die Erz\u00e4hlung, dann braucht jede Transaktion einen Menschen-Beweis.<\/p>

Und doch steckt in diesem Versprechen ein Denkfehler, der den Krypto-Sektor teuer zu stehen kommen kann. Der Beweis, dass jemand ein einzigartiger Mensch ist, ist noch lange kein Ausweis. Das deutsche Geldw\u00e4schegesetz will keinen anonymen Menschen, es will einen Namen, ein Geburtsdatum, eine Anschrift und einen Abgleich gegen Sanktionslisten. Proof of Human liefert davon, schon vom Design her, nichts. Bitcoin notierte an diesem nerv\u00f6sen Monatsende, kurz nach der j\u00fcngsten US-Zinsentscheidung, bei rund 69.500 Euro, laut CoinGecko<\/a>. Der Satz, um den es in diesem Text geht, ist k\u00fcrzer als jeder Kurs: Proof of Human ist kein KYC.<\/p>

Was World zu den Banken bringt<\/h2>

Das neue Angebot ist kein einzelnes Werkzeug, sondern ein B\u00fcndel aus drei bereits bestehenden Bausteinen, erstmals auf Banken und Finanzdienstleister zugeschnitten. Da ist die World-ID-App, die kryptografische Nachweise (World nennt sie Proofs) auf dem Smartphone verwahrt. Da ist World ID for Zoom, eine Lebenderkennung f\u00fcr Videocalls, die jetzt allgemein verf\u00fcgbar ist und Deepfake-Teilnehmer entlarven soll. Und da ist World ID for Agents, ein Baukasten namens AgentKit, mit dem Menschen ihre Nachweise an KI-Agenten delegieren k\u00f6nnen, sodass ein Bank-Bot belegen kann, in wessen Auftrag er handelt. Wer per Orb verifiziert ist, tr\u00e4gt k\u00fcnftig ein kleines blaues Abzeichen.<\/p>

Sandro Herbig, Pr\u00e4sident von Tools for Humanity, umrei\u00dft den Pitch so: Da KI immer tiefer in den Alltag vordringe, verlangten Unternehmen zunehmend, dass Einzelne Proofs \u00fcber sich selbst vorlegen, um Betrug einzud\u00e4mmen und Vertrauen zu schaffen; World ID for banking and finance biete daf\u00fcr einen Werkzeugkasten, der eine KI-sichere Vertrauensschicht \u00fcber interne und externe Systeme lege, so Herbig<\/a>. World-Mitgr\u00fcnder und Chef Alex Blania formuliert es noch grunds\u00e4tzlicher: Man brauche einen Menschen-Beweis, und eine solche Technologie werde sich als Tor f\u00fcr nahezu jede Transaktion im Internet erweisen, sagte er<\/a>. F\u00fcr eine Branche, in der die Frage „echter Mensch oder Bot?“ \u00fcber Airdrops, Governance-Stimmen und Kontoer\u00f6ffnungen entscheidet, ist das ein k\u00fchnes Angebot.<\/p>

Die Botschaft an die Compliance-Abteilungen ist dabei verf\u00fchrerisch einfach: Pr\u00fcft einmal, dass hier ein echter Mensch ist, und nutzt diesen Nachweis \u00fcberall wieder. Genau an dieser Stelle lohnt es sich, kurz innezuhalten und zu sortieren, was die Aufsicht eigentlich verlangt, bevor man einen Iris-Scan mit einer Geldw\u00e4sche-Pr\u00fcfung verwechselt.<\/p>

KYC, AML und wer in Deutschland pr\u00fcft<\/h2>

Die beiden K\u00fcrzel werden oft in einem Atemzug genannt, meinen aber Verschiedenes. KYC (Know Your Customer) ist der Einlass: die Identifizierung eines Kunden, die \u00dcberpr\u00fcfung dieser Angaben anhand verl\u00e4sslicher Quellen und die laufende Beobachtung der Gesch\u00e4ftsbeziehung. AML (Anti-Money-Laundering) ist das ganze Geb\u00e4ude dahinter: Risikoanalyse, Transaktionsmonitoring, Verdachtsmeldungen, Sanktionsabgleich und Aufbewahrungspflichten. KYC ist also die T\u00fcr, AML das Haus. Ein Mensch-Beweis betrifft, wenn \u00fcberhaupt, nur die T\u00fcrklinke.<\/p>

In Deutschland steht all das im Geldw\u00e4schegesetz (GwG). Die BaFin tr\u00e4gt dabei zwei H\u00fcte: Sie lizenziert Kryptodienstleister nach der EU-Verordnung MiCAR, und sie beaufsichtigt dieselben Unternehmen als geldw\u00e4scherechtlich Verpflichtete nach dem GwG. Dazu kommt die Financial Intelligence Unit (FIU) bei der Generalzolldirektion, die Verdachtsmeldungen entgegennimmt; seit M\u00e4rz 2026 m\u00fcssen diese \u00fcber das System goAML elektronisch eingereicht werden. Wichtig f\u00fcr die Einordnung: Die Geldw\u00e4scheaufsicht ist nicht die Marktaufsicht. MiCA regelt, wer Kryptodienste anbieten darf und wie; die Pflicht, Kunden zu identifizieren und Verdachtsf\u00e4lle zu melden, stammt aus dem GwG und bald aus dem EU-Regelwerk AMLR. Wer beides verwechselt, h\u00e4lt eine MiCA-Lizenz f\u00fcr einen AML-Freibrief, was sie nicht ist. Die BaFin<\/a> beschreibt diese Doppelrolle in ihrem Merkblatt zu Kryptowerte-Dienstleistungen.<\/p>

Praktisch hei\u00dft das: Eine deutsche Krypto-B\u00f6rse muss ihre Kunden identifizieren, das Risiko jedes Kunden bewerten (der risikobasierte Ansatz), Transaktionen laufend \u00fcberwachen und bei Verdacht eine Meldung an die FIU absetzen, ohne den Betroffenen zu warnen. Je h\u00f6her das Risiko, desto strenger die Pr\u00fcfung, bis hin zu verst\u00e4rkten Sorgfaltspflichten. In diesem Gef\u00fcge ist die Identit\u00e4t kein Selbstzweck, sondern die Voraussetzung daf\u00fcr, dass die \u00fcbrigen Pflichten \u00fcberhaupt greifen. Ohne zurechenbaren Namen l\u00e4sst sich weder ein Risiko sinnvoll bewerten noch eine Verdachtsmeldung erstatten.<\/p>

Was das Geldw\u00e4schegesetz verlangt, und was der Orb liefert<\/h2>

Das Herzst\u00fcck der Kundenpr\u00fcfung steht in den Paragrafen 10 bis 12 GwG. Paragraf 10 verlangt allgemeine Sorgfaltspflichten; Paragraf 11 schreibt vor, welche Angaben bei einer nat\u00fcrlichen Person zu erheben sind. Der Wortlaut ist unmissverst\u00e4ndlich: Vorname und Nachname, Geburtsort, Geburtsdatum, Staatsangeh\u00f6rigkeit und eine Wohnanschrift, wie der Gesetzestext bei Gesetze im Internet<\/a> nachzulesen ist. Paragraf 12 verlangt, dass diese Angaben \u00fcberpr\u00fcft werden, etwa anhand eines Ausweisdokuments oder eines elektronischen Identit\u00e4tsnachweises. Hinzu kommen der Abgleich gegen Sanktions- und PEP-Listen sowie, bei juristischen Personen, die Ermittlung des wirtschaftlich Berechtigten.<\/p>

Der Zweck dieser Liste ist Zuordenbarkeit. Taucht eine verd\u00e4chtige Transaktion auf, muss ein Verpflichteter sagen k\u00f6nnen, welcher namentlich bekannten, \u00fcberpr\u00fcften Person sie geh\u00f6rt. Proof of Human ist f\u00fcr das genaue Gegenteil gebaut. Er best\u00e4tigt, dass hinter einem Konto ein einzigartiger Mensch steht, und zwar mit Absicht, ohne zu verraten, welcher. Die folgende Gegen\u00fcberstellung zeigt die L\u00fccke.<\/p>

Anforderung<\/th>GwG-Sorgfaltspflicht<\/th>Proof of Human<\/th><\/tr><\/thead>
Voller Name<\/td>Vorname und Nachname (\u00a7 11)<\/td>nein, anonym per Design<\/td><\/tr>
Geburtsdatum und -ort<\/td>erforderlich (\u00a7 11)<\/td>nein<\/td><\/tr>
Wohnanschrift<\/td>erforderlich (\u00a7 11)<\/td>nein<\/td><\/tr>
Staatsangeh\u00f6rigkeit<\/td>erforderlich (\u00a7 11)<\/td>nur \u00fcber Proof of Attributes, aus einem Ausweis<\/td><\/tr>
\u00dcberpr\u00fcfung der Angaben<\/td>Ausweis oder eID (\u00a7 12)<\/td>Iris belegt Einzigartigkeit, keinen Ausweis<\/td><\/tr>
Sanktions- und PEP-Abgleich<\/td>Pflicht<\/td>ohne Namen nicht m\u00f6glich<\/td><\/tr>
Zuordnung zu einer Person<\/td>Pflicht<\/td>bewusst ausgeschlossen (Zero-Knowledge)<\/td><\/tr><\/tbody><\/table><\/figure>

Die rechte Spalte ist nicht halb leer, weil World schlecht gearbeitet h\u00e4tte, sondern weil Anonymit\u00e4t das erkl\u00e4rte Ziel ist. Genau deshalb kann ein Mensch-Beweis die Sorgfaltspflicht nicht erf\u00fcllen: Er beantwortet schlicht eine andere Frage.<\/p>

Wie der Orb funktioniert und warum er anonym bleiben soll<\/h2>

Um zu verstehen, warum der Mensch-Beweis so hartn\u00e4ckig anonym bleibt, hilft ein Blick in die Technik. Der Orb, eine gl\u00e4nzende Kugel von der Gr\u00f6\u00dfe einer Bowlingkugel, macht hochaufl\u00f6sende Aufnahmen von Iris und Gesicht. Daraus berechnet das Ger\u00e4t einen eindeutigen Zahlencode, den IrisCode. Dieser Code wird in zuf\u00e4llige Fragmente zerlegt (das Verfahren hei\u00dft Multi-Party Computation) und zusammen mit den Bildern auf das Smartphone der Person \u00fcbertragen; danach l\u00f6scht der Orb Bilder und Fragmente, wie World in seiner eigenen Dokumentation<\/a> beschreibt. Was bleibt, liegt beim Nutzer, nicht auf einem Server von World.<\/p>

Will eine App sp\u00e4ter wissen, ob ein echter, bislang nicht registrierter Mensch vor ihr steht, nutzt World einen Zero-Knowledge-Proof auf Basis des Open-Source-Protokolls Semaphore. Dieser Beweis belegt die Einzigartigkeit, ohne den IrisCode oder eine Identit\u00e4t offenzulegen. Nach eigener Darstellung verlangt World f\u00fcr den Grundnachweis weder Namen noch E-Mail-Adresse noch Telefonnummer. Dieselbe Klasse von Mathematik, die hinter datenschutzfreundlichen Bitcoin-Rollups steckt (wie HOGE Wire am Beispiel von Citrea<\/a> gezeigt hat), sorgt hier daf\u00fcr, dass das System seine Nutzer nicht kennt.<\/p>

F\u00fcr den Datenschutz ist das elegant. F\u00fcr die Geldw\u00e4scheaufsicht ist es ein Widerspruch in sich. Ein Verpflichteter, der gesetzlich einen Namen erheben und \u00fcberpr\u00fcfen muss, kann mit einem Beweis, der jede Namensnennung vermeidet, wenig anfangen. Die St\u00e4rke des Orb, nichts zu wissen, ist f\u00fcr KYC seine Schw\u00e4che.<\/p>

Worlds drei Nachweise, und der Haken beim dritten<\/h2>

World bewirbt drei Arten von Nachweisen, und ihre Reihenfolge erz\u00e4hlt die ganze Geschichte. Proof of Human best\u00e4tigt \u00fcber einen einmaligen Orb-Besuch, dass jemand ein echter, einzigartiger Mensch ist. Proof of Presence pr\u00fcft \u00fcber eine Selfie-Lebenderkennung am Smartphone, dass gerade eine lebende Person agiert und kein aufgezeichnetes Video. Proof of Attributes schlie\u00dflich best\u00e4tigt konkrete Eigenschaften wie Alter oder Staatsangeh\u00f6rigkeit, und zwar, wie Biometric Update<\/a> berichtet, ausgelesen aus einem staatlichen Ausweisdokument.<\/p>

Dieser dritte Nachweis ist der eigentliche Knackpunkt. Sobald World eine \u00fcberpr\u00fcfbare Aussage \u00fcber die reale Welt treffen will, etwa die Staatsangeh\u00f6rigkeit, greift es nicht mehr zur Iris, sondern zum Pass. Damit r\u00e4umt das System selbst ein, was die Aufsicht die ganze Zeit sagt: Eigenschaften einer Person, und erst recht ein Name, kommen aus einer staatlich beglaubigten Quelle, nicht aus einem biometrischen Einzigartigkeitsbeweis. Die Iris trennt Menschen von Bots; den Ausweis ersetzt sie nicht.<\/p>

Nachweis<\/th>Was er belegt<\/th>Wie<\/th>Datenquelle<\/th>Erf\u00fcllt KYC nach GwG?<\/th><\/tr><\/thead>
Proof of Human<\/td>einzigartiger, echter Mensch<\/td>einmaliger Orb-Besuch (Iris)<\/td>Biometrie, anonym<\/td>nein<\/td><\/tr>
Proof of Presence<\/td>lebende Person in Echtzeit<\/td>Selfie-Lebenderkennung am Handy<\/td>Biometrie, anonym<\/td>nein<\/td><\/tr>
Proof of Attributes<\/td>Eigenschaft wie Alter oder Staatsangeh\u00f6rigkeit<\/td>selektive Offenlegung<\/td>staatlicher Ausweis<\/td>teils, da die Daten vom Staat stammen<\/td><\/tr><\/tbody><\/table><\/figure>

Nur die dritte Zeile ber\u00fchrt \u00fcberhaupt die KYC-Welt, und sie tut es, indem sie sich auf den Staat st\u00fctzt. Das ist kein Makel der Technik, sondern ihre ehrlichste Eigenschaft.<\/p>

Proof of Personhood ist nicht Identit\u00e4t<\/h2>

Dass Einzigartigkeit und Identit\u00e4t zwei verschiedene Dinge sind, hat niemand klarer beschrieben als Vitalik Buterin. In einem vielzitierten Essay von 2023 definiert der Ethereum-Mitgr\u00fcnder Proof of Personhood als den Nachweis, dass ein registriertes Konto von einem echten und von jedem anderen Konto verschiedenen Menschen kontrolliert wird, idealerweise ohne zu verraten, welcher reale Mensch das ist. Identit\u00e4t dagegen verr\u00e4t genau das: wer man ist. Der Mensch-Beweis kl\u00e4rt also das Ob, nicht das Wer.<\/p>

Buterin warnt zugleich vor den Grenzen jeder Methode. Es gebe, schreibt er, keine ideale Form von Proof of Personhood („There is no ideal form of proof of personhood“), sondern mindestens drei Ans\u00e4tze (biometrisch, \u00fcber soziale Graphen, \u00fcber Spezialhardware), die einander erg\u00e4nzen sollten, wie in seinem Essay<\/a> nachzulesen ist. Die Risiken, die er aufz\u00e4hlt, lesen sich wie eine M\u00e4ngelliste f\u00fcr den KYC-Einsatz: Zwang (ein Staat l\u00e4sst scannen, w\u00e4hrend ein fremder Schl\u00fcssel angezeigt wird), gef\u00e4lschte Menschen (Deepfakes, 3D-gedruckte Attrappen), Datenschutzlecks (ein Iris-Scan kann medizinische Hinweise verraten) sowie der Verkauf oder die Vermietung verifizierter Identit\u00e4ten.<\/p>

F\u00fcr die Geldw\u00e4scheaufsicht ist die Schlussfolgerung unbequem schlicht. Eine Beh\u00f6rde, die einen Namen braucht, kann einen Einzigartigkeitsbeweis nicht akzeptieren, so elegant er auch sein mag. Proof of Personhood geh\u00f6rt in eine andere Schicht des Systems, unterhalb der Identit\u00e4t.<\/p>

Warum der Mensch-Beweis trotzdem z\u00e4hlt: Deepfakes, Bots und KI-Agenten<\/h2>

Dass Proof of Human kein KYC ist, hei\u00dft nicht, dass er wertlos w\u00e4re. Im Gegenteil: In einer Schicht des Systems, die unterhalb der Identit\u00e4t liegt, k\u00f6nnte er zum entscheidenden Werkzeug werden. Diese Schicht ist die Lebenderkennung, der Nachweis, dass ein echter, lebender Mensch in Echtzeit vor der Kamera sitzt. Und genau sie steht unter Beschuss. Der Biometrie-Anbieter iProov meldet f\u00fcr das zweite Halbjahr 2025 einen Anstieg sogenannter Injection-Angriffe gegen iOS-Ger\u00e4te um 1.151 Prozent und \u00fcber das Jahr um 741 Prozent; Identit\u00e4t, so iProov-Wissenschaftschef Andrew Newell, werde zum neuen Schlachtfeld der Cybersicherheit, hei\u00dft es im Jahresbericht<\/a> des Unternehmens.<\/p>

Die Pr\u00fcfdienstleister sehen denselben Trend. Laut dem Betrugsreport<\/a> von Sumsub z\u00e4hlen Deepfakes und synthetische Identit\u00e4ten zu den am schnellsten wachsenden Angriffsmustern; synthetische Ausweisdokumente geh\u00f6ren inzwischen zu den h\u00e4ufigsten Methoden beim Erstbetrug. F\u00fcr die klassische Video-Identifizierung, auf der ein Gro\u00dfteil der deutschen Krypto-Onboardings beruht, ist das existenziell: L\u00e4sst sich ein \u00fcberzeugender Deepfake vor die Kamera schieben, verliert die Selfie-Lebenderkennung ihren Wert.<\/p>

Wie verwundbar die Fernpr\u00fcfung ist, f\u00fchrte der Chaos Computer Club schon 2022 vor: Der Sicherheitsforscher Martin Tschirsich \u00fcberwand mehrere markt\u00fcbliche Video-Ident-Verfahren mit vergleichsweise einfachen Mitteln und frei verf\u00fcgbaren Werkzeugen, lange bevor \u00fcberzeugende Deepfakes zur Hand waren, wie der CCC<\/a> dokumentierte. Genau dieses Muster, Gesicht plus Ausweis vor einer Kamera, steht heute zus\u00e4tzlich unter KI-Druck. Ein physischer Orb-Besuch entzieht sich diesem Angriff, weil er sich nicht aus der Ferne vort\u00e4uschen l\u00e4sst.<\/p>

Hier hat ein einmaliger, physischer Orb-Besuch einen echten Vorteil gegen\u00fcber einem ferngesteuerten Selfie: Er ist schwerer zu f\u00e4lschen, und er liefert zugleich Sybil-Resistenz, also Schutz davor, dass eine Person tausend Konten anlegt. Das z\u00e4hlt bei Airdrops, bei Governance-Abstimmungen und \u00fcberall dort, wo Bots und KI-Agenten den Menschen verdr\u00e4ngen. Dass autonome Software zum eigenst\u00e4ndigen Akteur wird, ist l\u00e4ngst kein Randthema mehr; HOGE Wire hat am Beispiel von ElizaOS<\/a> gezeigt, wie Agenten-Frameworks on-chain weiterlaufen, auch wenn ihr Token stirbt. World ID for Zoom und World ID for Agents setzen genau an dieser Naht an. Der Mensch-Beweis hat also seinen Platz, nur einen anderen als die Kundenpr\u00fcfung.<\/p>

Die Honeypot-Frage: jede Identit\u00e4tsdatenbank ist ein Ziel<\/h2>

Es gibt einen zweiten Grund, warum anonyme Nachweise verlockend wirken: Jede Pflicht, Ausweise zu sammeln, baut einen Honeypot. Im Mai 2025 stahlen Angreifer bei Coinbase die Daten von 69.461 Kunden, forderten 20 Millionen Dollar L\u00f6segeld (die B\u00f6rse zahlte nicht) und verursachten nach Sch\u00e4tzungen Kosten von 180 bis 400 Millionen Dollar, wie CoinDesk<\/a> dokumentierte. Jede Plattform, die eine Kopie Ihres Passes speichert, wird damit selbst zum Angriffsziel.<\/p>

Genau dagegen richtet sich Worlds Versprechen: Menschlichkeit beweisen, ohne Dokumente abzugeben, verkleinert die Angriffsfl\u00e4che. Nur ist das Argument zweischneidig. Ein weltweites Register von Iris-Codes ist selbst ein Datenschatz, dessen Missbrauch man sich nicht ausmalen m\u00f6chte, und genau deshalb hat World die Multi-Party-Computation und das sofortige L\u00f6schen der Bilder eingebaut. Dass Aufsichtsbeh\u00f6rden von Bayern bis Bangkok trotzdem nicht \u00fcberzeugt sind, zeigt, wie heikel das Sammeln biometrischer Daten bleibt, selbst wenn es technisch sparsam gestaltet ist.<\/p>

Bayern gegen World: der Streit um die Iris<\/h2>

In Europa ist das Bayerische Landesamt f\u00fcr Datenschutzaufsicht (BayLDA) die federf\u00fchrende Beh\u00f6rde f\u00fcr World. Am 19. Dezember 2024 zog es ein hartes Fazit: Das Projekt habe biometrische Daten ohne ausreichende Rechtsgrundlage verarbeitet und dies unzureichend dokumentiert. Die Beh\u00f6rde ordnete an, rechtswidrig verarbeitete Daten zu l\u00f6schen, ein datenschutzkonformes L\u00f6schverfahren einzurichten und f\u00fcr bestimmte Verarbeitungsschritte k\u00fcnftig eine ausdr\u00fcckliche Einwilligung einzuholen. BayLDA-Pr\u00e4sident Michael Will erkl\u00e4rte, alle Nutzer, die Worldcoin ihre Iris-Daten \u00fcberlassen h\u00e4tten, sollten k\u00fcnftig uneingeschr\u00e4nkt die M\u00f6glichkeit haben, ihr Recht auf L\u00f6schung durchzusetzen, wie die Beh\u00f6rde in ihrer Mitteilung<\/a> festhielt. World legte Rechtsmittel ein und argumentierte, die Beanstandungen betr\u00e4fen \u00fcberwiegend \u00e4ltere Verfahren, die 2024 abgel\u00f6st worden seien.<\/p>

Rechtlich sitzt die Beh\u00f6rde am l\u00e4ngeren Hebel. Nach Artikel 9 der Datenschutz-Grundverordnung geh\u00f6ren biometrische Daten zur eindeutigen Identifizierung einer Person zu den besonderen Kategorien personenbezogener Daten; ihre Verarbeitung ist grunds\u00e4tzlich untersagt, sofern kein enger Ausnahmetatbestand greift, etwa eine ausdr\u00fcckliche Einwilligung, wie der Gesetzestext<\/a> festlegt. Ob eine Einwilligung, die mit kostenlosen Token belohnt wird, wirklich freiwillig ist, bezweifeln europ\u00e4ische Aufseher seit Langem. Bayern ist dabei kein Einzelfall, sondern Teil eines Musters, das von Madrid bis Bangkok reicht und das unter anderem Cointelegraph<\/a> zusammengetragen hat.<\/p>

Land oder Region<\/th>Beh\u00f6rde<\/th>Ma\u00dfnahme<\/th>Zeitpunkt<\/th><\/tr><\/thead>
Spanien<\/td>AEPD<\/td>Stopp der Datenerhebung (erstes Land)<\/td>M\u00e4rz 2024<\/td><\/tr>
Portugal<\/td>CNPD<\/td>Aussetzung der Erfassung<\/td>M\u00e4rz 2024<\/td><\/tr>
Hongkong<\/td>PCPD<\/td>Erfassung unn\u00f6tig und exzessiv, Stopp<\/td>Mai 2024<\/td><\/tr>
Deutschland (Bayern)<\/td>BayLDA<\/td>L\u00f6schanordnung und Einwilligungspflicht<\/td>Dezember 2024<\/td><\/tr>
Brasilien<\/td>ANPD<\/td>Stopp, Verbot finanzieller Anreize<\/td>Januar 2025<\/td><\/tr>
Indonesien<\/td>Digitalministerium<\/td>Aussetzung wegen Genehmigungsverst\u00f6\u00dfen<\/td>Mai 2025<\/td><\/tr>
Philippinen<\/td>NPC<\/td>Verbot des Betriebs<\/td>Oktober 2025<\/td><\/tr>
Thailand<\/td>PDPC<\/td>Stopp und L\u00f6schung von \u00fcber 1 Mio. Datens\u00e4tzen<\/td>2025<\/td><\/tr><\/tbody><\/table><\/figure>

Acht L\u00e4nder, ein wiederkehrender Vorwurf: Die Erhebung biometrischer Daten sei zu eingriffsintensiv f\u00fcr das, was sie leisten soll. Das ist kein gutes Fundament, um ausgerechnet im streng regulierten Finanzsektor zur Identit\u00e4tsinfrastruktur zu werden.<\/p>

Der saubere Weg f\u00fchrt \u00fcber den Staat: die EUDI-Wallet<\/h2>

Wenn weder ein Iris-Scan noch ein geliehener Selfie-Clip die Kundenpr\u00fcfung tragen, woher soll dann die wiederverwendbare, f\u00e4lschungssichere Identit\u00e4t kommen, nach der die Branche sucht? Die europ\u00e4ische Antwort hei\u00dft eIDAS 2.0. Die Verordnung (EU) 2024\/1183 verpflichtet jeden Mitgliedstaat, bis zum 24. Dezember 2026 mindestens eine kostenlose EUDI-Wallet anzubieten; regulierte Sektoren wie Banken sowie sehr gro\u00dfe Online-Plattformen m\u00fcssen sie ab dem 24. Dezember 2027 akzeptieren. Eingebaut ist Datensparsamkeit: Man kann belegen, \u00fcber 18 zu sein, ohne das Geburtsdatum zu zeigen, wie der Verordnungstext<\/a> vorsieht.<\/p>

Deutschlands Wallet tr\u00e4gt den Namen d-you. Der Bundestag hat das zugeh\u00f6rige Digitale-Identit\u00e4ten-Gesetz beschlossen, der Start ist f\u00fcr den 2. Januar 2027 geplant, die Nutzung bleibt freiwillig und kostenlos, zun\u00e4chst f\u00fcr Android und iOS, aufbauend auf dem Online-Ausweis, wie Beobachter wie netzpolitik.org<\/a> berichten. Der entscheidende Unterschied zum Orb liegt nicht in der Kryptografie, sondern in der Quelle: d-you tr\u00e4gt einen staatlich \u00fcberpr\u00fcften Namen.<\/p>

Damit kann eine EUDI-Wallet leisten, was Proof of Human nicht kann. Weil der Staat die Identifizierung bereits vorgenommen hat, l\u00e4sst sich ein solcher Nachweis im Prinzip wiederverwenden, einmal gepr\u00fcft, \u00fcberall vorgezeigt, und er erf\u00fcllt dennoch die Angaben aus Paragraf 11 GwG. Die eigentliche L\u00f6sung f\u00fcr wiederverwendbares KYC in Europa f\u00fchrt also \u00fcber die staatliche Brieftasche, nicht \u00fcber die Iris. World mag die Lebenderkennung h\u00e4rten; den beglaubigten Namen liefert der Ausweis im Smartphone.<\/p>

Wo die Regeln stehen: AMLR, TFR und die AMLA in Frankfurt<\/h2>

Der Trend der EU-Gesetzgebung l\u00e4uft dem Gedanken der Anonymit\u00e4t frontal entgegen. Die neue Geldw\u00e4scheverordnung AMLR (Verordnung (EU) 2024\/1624) gilt ab dem 10. Juli 2027 und verbietet anonyme Krypto-Konten ebenso wie M\u00fcnzen mit eingebauter Anonymisierung (etwa Monero oder Zcash); zugleich kappt sie Bargeldzahlungen bei 10.000 Euro, wie der Verordnungstext<\/a> zeigt. Die Geldtransfer-Verordnung TFR (Verordnung (EU) 2023\/1113) hat die Travel Rule bereits seit dem 30. Dezember 2024 ohne Schwellenwert auf Krypto \u00fcbertragen; Transfers von und zu selbstverwahrten Wallets \u00fcber 1.000 Euro l\u00f6sen zus\u00e4tzliche Pr\u00fcfungen aus, wie aus dem Text<\/a> hervorgeht. Ein System, das anonyme Konten verbietet, vertr\u00e4gt sich schlecht mit einem Nachweis, der jede Zuordnung mit Absicht vermeidet.<\/p>

Durchgesetzt wird das zunehmend zentral. Die neue EU-Beh\u00f6rde AMLA sitzt in Frankfurt, wird von der Italienerin Bruna Szego geleitet und soll ab 2028 rund 40 besonders risikoreiche Institute direkt beaufsichtigen; den Kryptosektor hat sie zur unmittelbaren Priorit\u00e4t erkl\u00e4rt. Es sei entscheidend, so Szego, dass Europa angesichts eines neuen Regelwerks und des tiefgreifenden Wandels im Krypto-Sektor ausreichend vor den Risiken der Geldw\u00e4sche und Terrorismusfinanzierung gesch\u00fctzt sei, hei\u00dft es bei der AMLA<\/a>. In den USA liegt die Zust\u00e4ndigkeit f\u00fcr AML dagegen bei FinCEN und der Sanktionsbeh\u00f6rde OFAC, nicht bei der B\u00f6rsenaufsicht SEC, deren Kurs HOGE Wire in einer Bilanz des Kurswechsels<\/a> nachgezeichnet hat; eine bundesweite digitale Identit\u00e4t gibt es dort nicht.<\/p>

Was die FATF sagt, und was gerade in Paris passiert<\/h2>

Die internationale Standardsetzerin FATF ist dem Gedanken der digitalen Identit\u00e4t keineswegs abgeneigt. In ihrer Leitlinie zur digitalen Identit\u00e4t von 2020 h\u00e4lt sie fest, dass eine verl\u00e4ssliche, unabh\u00e4ngig gepr\u00fcfte digitale ID f\u00fcr die Kundenpr\u00fcfung taugt und eine Fernidentifizierung je nach Ausgestaltung sogar ein normales oder geringeres Risiko darstellen kann, wie aus dem Dokument<\/a> hervorgeht. Der Schl\u00fcsselbegriff ist aber verl\u00e4sslich und zurechenbar, nicht blo\u00df menschlich.<\/p>

Zugleich warnt die FATF vor der Kehrseite der KI. In einem Horizon Scan zu KI und Deepfakes von Ende 2025 beschreibt sie, wie synthetische Medien Onboarding, Biometrie und Lebenderkennung aushebeln, und empfiehlt mehrschichtige Pr\u00fcfungen samt menschlicher Kontrolle, nachzulesen in der Ver\u00f6ffentlichung<\/a>. Genau in diesem Spannungsfeld, Identit\u00e4t als Angriffsfl\u00e4che, bewegt sich Worlds Pitch.<\/p>

W\u00e4hrend diese Zeilen entstehen, geht in Paris die erste FATF-Vollversammlung unter britischer Pr\u00e4sidentschaft (Giles Thomson) zu Ende; die Plenarsitzung lief vom 28. bis 30. Oktober, im Zentrum stand die Roadmap gegen Betrug, einen der gr\u00f6\u00dften Treiber krimineller Erl\u00f6se, wie die FATF<\/a> ank\u00fcndigte. Dass Betrug und synthetische Identit\u00e4ten oben auf der Agenda stehen, ist kein Zufall: Es ist dieselbe Debatte, die World mit seinem Banken-Produkt bedienen will.<\/p>

Funktioniert die \u00dcberwachung \u00fcberhaupt?<\/h2>

Hinter dem Reiz anonymer Nachweise steht eine unbequeme Frage: Bringt die massenhafte Datensammlung eigentlich, was sie verspricht? Die Analysefirma Chainalysis beziffert die illegalen Krypto-Fl\u00fcsse f\u00fcr 2025 auf rund 154 Milliarden Dollar, weniger als ein Prozent des gesamten On-Chain-Volumens, inzwischen zu etwa 84 Prozent \u00fcber Stablecoins abgewickelt, wie aus ihrem Crime Report<\/a> hervorgeht. Die Denkfabrik Coin Center kommt in ihrer Analyse Tear Down this Walled Garden<\/a> zu einem harten Urteil: Das System leiste bemerkenswert wenig, nach UN-Sch\u00e4tzungen w\u00fcrden nur rund 0,2 Prozent krimineller Erl\u00f6se beschlagnahmt oder eingefroren.<\/p>

Wenn m\u00e4chtige Datensammlungen so wenig bewirken, wird das Argument f\u00fcr Datensparsamkeit st\u00e4rker: lieber Menschlichkeit beweisen als Identit\u00e4t preisgeben. Nur ist das eine Entscheidung f\u00fcr den Gesetzgeber, nicht f\u00fcr eine einzelne Plattform. Solange die AMLR anonyme Konten verbietet, kann kein Anbieter die Sorgfaltspflicht einfach gegen einen Iris-Scan tauschen, so \u00fcberzeugend die Effizienzkritik auch sein mag.<\/p>

Was das f\u00fcr Nutzer, Plattformen und Entwickler hei\u00dft<\/h2>

F\u00fcr Nutzerinnen und Nutzer lautet die wichtigste Botschaft: Ein World-ID-Nachweis ersetzt an einer MiCA-lizenzierten B\u00f6rse in Deutschland nicht den Ausweis. Wer handelt, muss sich weiterhin nach Paragraf 11 GwG identifizieren. Ab Anfang 2027 d\u00fcrfte die staatliche d-you-Wallet die bequemere und rechtlich tragf\u00e4hige Abk\u00fcrzung f\u00fcr wiederverwendbare Identit\u00e4t werden. Biometrische Daten sollte man ohnehin so sparsam hergeben wie m\u00f6glich; sie lassen sich, anders als ein Passwort, nicht zur\u00fccksetzen.<\/p>

F\u00fcr Plattformen und Kryptoverwahrer gilt: Ein Mensch-Beweis kann die Lebenderkennung h\u00e4rten, Deepfake-Onboarding erschweren und Sybil-Angriffe abwehren, doch er entbindet nicht von der Sorgfaltspflicht. Wer Proof of Human im Marketing als KYC verkauft, l\u00e4dt sich ein regulatorisches Risiko auf; die Haftung bleibt beim Verpflichteten. Sinnvoll ist die Technik als Erg\u00e4nzung: gegen Betrug und Bots vorgeschaltet, mit einer staatlich beglaubigten Identit\u00e4t dahinter.<\/p>

F\u00fcr Entwickler schlie\u00dflich liegt der eigentliche Mehrwert dort, wo es nicht ums Geld geht: Sybil-Resistenz bei Airdrops und Governance, Bot-Abwehr in sozialen Anwendungen, Mensch-Nachweis f\u00fcr KI-Agenten. Dass solche Verteilungen oft an Token h\u00e4ngen (bei World an WLD) und ob ein Airdrop ein Wertpapier ist, bleibt eine eigene Baustelle, die HOGE Wire mit Blick auf den SEC-Streit<\/a> beleuchtet hat. F\u00fcr alles, was Geld bewegt, f\u00fchrt in Europa jedoch kein Weg an einem \u00fcberpr\u00fcften Namen vorbei. Proof of Human beweist, dass du ein Mensch bist. KYC will wissen, welcher. Das ist nicht dasselbe, und 2026 ist der Unterschied teuer.<\/p>

H\u00e4ufige Fragen<\/h2>

Ist Proof of Human dasselbe wie KYC?<\/h3>

Nein. Proof of Human belegt, dass hinter einem Konto ein einzigartiger, echter Mensch steht, und zwar anonym. KYC nach dem deutschen Geldw\u00e4schegesetz verlangt dagegen einen \u00fcberpr\u00fcften Namen samt Geburtsdatum, Anschrift und Sanktionsabgleich. Der eine Nachweis kl\u00e4rt das Ob, der andere das Wer.<\/p>

Darf eine Krypto-B\u00f6rse in Deutschland Proof of Human statt eines Ausweises akzeptieren?<\/h3>

Nein. Nach Paragraf 11 GwG m\u00fcssen Verpflichtete Vorname, Nachname, Geburtsort, Geburtsdatum, Staatsangeh\u00f6rigkeit und Anschrift erheben und \u00fcberpr\u00fcfen. Ein anonymer Mensch-Beweis erf\u00fcllt diese Pflicht nicht; die Haftung bliebe bei der B\u00f6rse.<\/p>

Was unterscheidet Proof of Human, Proof of Presence und Proof of Attributes?<\/h3>

Proof of Human best\u00e4tigt \u00fcber einen einmaligen Orb-Besuch einen einzigartigen Menschen, Proof of Presence pr\u00fcft per Selfie-Lebenderkennung eine lebende Person in Echtzeit. Proof of Attributes best\u00e4tigt Eigenschaften wie Alter oder Staatsangeh\u00f6rigkeit, zieht diese aber aus einem staatlichen Ausweis. Nur der dritte ber\u00fchrt \u00fcberhaupt die KYC-Welt.<\/p>

Warum ist die bayerische Datenschutzbeh\u00f6rde gegen World vorgegangen?<\/h3>

Das BayLDA stellte am 19. Dezember 2024 fest, dass World biometrische Daten ohne ausreichende Rechtsgrundlage verarbeitet hatte, und ordnete L\u00f6schung, ein L\u00f6schverfahren und k\u00fcnftige ausdr\u00fcckliche Einwilligungen an. Biometrische Daten gelten nach Artikel 9 DSGVO als besonders sch\u00fctzenswert. World legte gegen die Entscheidung Rechtsmittel ein.<\/p>

Kann die EUDI-Wallet d-you das KYC bei Krypto ersetzen?<\/h3>

Sie kann es tragen, nicht ersetzen. Weil der Staat die Identit\u00e4t bereits \u00fcberpr\u00fcft, liefert die ab dem 2. Januar 2027 geplante d-you-Wallet einen beglaubigten Namen, der sich wiederverwenden l\u00e4sst und die Angaben aus Paragraf 11 GwG abdeckt. Genau das leistet ein anonymer Iris-Nachweis nicht.<\/p>