Wenn der Diebstahl von mehr als 153 Millionen US-amerikanischen und kanadischen Führerscheinen in diesem Monat etwas beweist, dann Folgendes: Der sicherste Ort, um eine Kopie des eigenen Führerscheins aufzubewahren, ist nirgendwo.

Die geleakten Ausweise, die offenbar von einem Identitätsverifizierungsanbieter stammten, tauchten auf Nexus auf, einem Darknet-Identitätsdienst, neben Millionen weiterer gestohlener Identitäts- und Reisedokumente. Das FBI erklärte, es untersuche die Offenlegung, wie ein Reuters-Bericht darlegt.

Die Gefahr wurde in dieser Woche besonders greifbar, als das Fintech-Unternehmen Revolut offenlegte, dass ein Hacker es dazu gebracht hatte, große Mengen sensibler Kundendaten herauszugeben, darunter Kopien von Pässen und Verifizierungs-Selfies. Der Angreifer veröffentlicht die Ausweisdokumente von 680 Kunden derzeit schrittweise im Netz, um ein Lösegeld von 3 Millionen US-Dollar in Monero zu erpressen, wie Cointelegraph berichtete.

Die Ironie ist unverkennbar. Know-Your-Customer-Prozesse (KYC) existieren, um Finanzsysteme sicherer zu machen, indem sie feststellen, wer die Kunden sind, und sicherstellen, dass diese sich nicht am Unrecht beteiligen. Die übliche Umsetzung von KYC verlangt jedoch, dass Unternehmen riesige Mengen sensibler Informationen speichern – und schafft damit wertvolle Honeypots für Kriminelle.

Das Problem lässt sichehmend schwerer ignorieren. Allein in der ersten Jahreshälfte 2026 betrafen Datenpannen in den Vereinigten Staaten mindestens 343 Millionen Menschen, wie die Privacy Rights Clearinghouse berichtet. Umso frustrierender ist, dass es mit Zero-Knowledge-Proofs bereits möglich ist, die Identität einer Person zu verifizieren, ohne ihre Dokumente zu speichern.

Efrat Fenigson, Moderatorin des Podcasts You're The Voice, die ausführlich über Datenschutz und KYC schreibt und spricht, sagte gegenüber Cointelegraph Magazine:

„Wenn Aufsichtsbehörden weiterhin ein Modell vorschreiben, das dieses Ergebnis garantiert – obwohl die Technologie zur Verifizierung ohne Speicherung bereits existiert –, wirft das ein rotes Licht auf. Das deutet auf einen Mangel an rationalem Denken und echtem Willen hin, Probleme zu lösen.“

Die Frage ist, wie viele weitere Lecks es braucht, bis dieser Wille sich zu beugen beginnt.

KYC wurde gebaut, um Identität zu sammeln – nicht nur zu verifizieren

Die heutigen KYC-Systeme sind weitgehend um die Annahme herum entstanden, dass Institutionen den Pass oder Führerschein eines Kunden einsehen, die relevanten Informationen erfassen und anschließend den Nachweis der Prüfung speichern sollten.

Dieser Ansatz hat einen offensichtlichen Fehler: Er hat ein weitläufiges Ökosystem aus Identitätsanbietern, Datenbanken, Anbietern und Compliance-Systemen hervorgebracht, die jeweils einen eigenen Schatz individueller KYC-Daten hüten. Jede zusätzliche Kopie der Daten einer Person ist ein weiterer potenzieller Angriffspunkt – und Hacker werden zunehmend kreativer darin, Wege hinein zu finden.

Die Revolut-Panne veranschaulicht das Problem. Der Hacker sandte E-Mails zur Anforderung der KYC-Daten von einer legitimen italienischen Strafverfolgungsadresse. Lyudmyla Kozlovska, Präsidentin von Open Dialogue, sagte auf X, dass das EU-Recht Revolut keine andere Wahl ließ, als zu kooperieren:

„Das EU-Geldwäscherecht legt der Bank keine Prüfpflicht auf und bietet keinen sinnvollen Mechanismus, um zu überprüfen, wer wirklich hinter einer authentifizierten behördlichen Anfrage steht. Eine Weigerung zu antworten wird mit Strafen in Millionenhöhe geahndet. In der Praxis ist eine Überprüfung unmöglich.“

Susie Violet Ward, Direktorin und Mitbegründerin von Bitcoin Policy UK, warnt, dass das eigentliche Problem in der unnötigen Speicherung von Identitätsdaten liegt: „Wir müssen aufhören, Identitätsverifizierung und die Preisgabe der eigenen Identität so zu behandeln, als wären sie dasselbe.“

Wenn ein Unternehmen nur wissen muss, dass jemand über 18 ist, sollte es nach Argumentation nicht automatisch zusätzliche Angaben wie vollständigen Namen, Adresse, exaktes Geburtsdatum und eine dauerhafte Kopie des entsprechenden Dokuments verlangen. „Die Ironie ist, dass KYC darauf ausgelegt ist, Systeme sicherer zu machen, aber die Art, wie wir es derzeit umsetzen, kann ein völlig anderes Sicherheitsproblem schaffen. Ein Passwort kann man nach einer Panne zurücksetzen, seine Identität nicht“, sagte sie.

Die Technologie gegen die ID-Hortung existiert bereits

Für Krypto-Befürworter ist die offensichtliche Lösung Zero-Knowledge-Proofs – mathematische Nachweise, dass etwas wahr ist, ohne die zugrunde liegenden Details preiszugeben. Eine Smartphone-App könnte beispielsweise einen Beweis erzeugen, der bestätigt, dass ein Führerschein besagt, dass sein Inhaber über 18 ist – ohne das Geburtsdatum oder ein Bild des Führerscheins selbst zu übermitteln.

Zcash-Gründer Zooko Wilcox erklärt die Technologie verständlich in einem Video-Interview mit Crypto Fireside.

Evin McMullen, CEO und Mitbegründerin von Billions Network, das datenschutzfreundliche digitale Identitäts- und Zero-Knowledge-Lösungen entwickelt, sagte gegenüber Cointelegraph Magazine: „Die Technologie funktioniert und ist heute im Einsatz, über Tausende von Anwendungen und regulierte Institutionen hinweg. Was sie ausbremst, ist, dass der gesamte Compliance-Stack um das Sammeln und Speichern von Dokumentenkopien herum gebaut wurde.“

Das Hindernis sei „nie die Technologie“ gewesen, so McMullen, sondern die Regeln, Anreize und die Infrastruktur, die um sie herum gebaut wurden: „Das ist ein Governance- und Standardisierungsproblem im Technologie-Kostüm.“

Wenn die Technologie funktioniert, was hält sie dann auf?

Die Europäische Union integriert die Zero-Knowledge-Technologie bereits in den Entwurf ihrer Systeme für digitale Identität und Altersverifizierung und entwickelt eine datenschutzfreundliche Altersverifizierung, mit der Nutzer ihr Alter nachweisen können, ohne ihre vollständige Identität oder ihr genaues Geburtsdatum preiszugeben. Der Digital Identity Wallet der EU unterstützt zudem „selektive Offenlegung“, sodass Nutzer nur die Informationen preisgeben, die für eine bestimmte Transaktion erforderlich sind.

Warum wird das also nicht breiter für das finanzielle KYC eingesetzt? McMullen nennt „Regulierung und Verständnis“ als größte Hindernisse für die Einführung: „Der häufigste Blocker ist, dass Compliance-Teams ‚wir haben den Ausweis gesehen‘ mit ‚wir müssen den Ausweis behalten‘ gleichsetzen, also sammeln sie zu viel, um auf der sicheren Seite zu sein.“

Die Interoperabilität ist ein weiteres Stolpernstein. Kryptografische Nachweise sind nur dann nützlich, wie sie anmer, „wenn die Partei, die sich darauf verlässt, sie überprüfen kann, ohne beim Aussteller zurückrufen zu müssen“. Das erfordert gemeinsame Standards – leichter gesagt als getan.

ZK löst KYC nicht magisch

Ein wichtiger Vorbehalt bleibt: Der Ersatz eines Ausweisdokuments durch einen Zero-Knowledge-Proof beseitigt nicht automatisch jedes Datenschutz- oder Sicherheitsproblem.

Fenigson weist darauf hin, dass es ebenso wichtig ist, woran ein ZK-Credential gebunden ist: „Die Anreize zeigen in Richtung Kontrolle, nicht Privatsphäre. Zero-Knowledge-Proofs ermöglichen es jemandem, eine Tatsache zu beweisen, etwa über 18 zu sein oder nicht auf einer Sanktionsliste zu stehen [...] Was fehlt, ist die Frage, woran dieser Beweis gebunden wird. Derzeit ist er meist an ein Konto in der Datenbank eines Dritten gebunden.“

Letztlich läuft es auf die Frage hinaus, wer die endgültige Kontrolle über das Credential hat. Wenn eine Person einen datenschutzfreundlichen Beweis erzeugt, dieser aber an ein Konto in der Datenbank eines anderen gebunden ist, bleibt sie von einem zentralisierten Intermediär abhängig.

Die Regeln sind nicht so eindeutig, wie man denkt

In vielen Fällen verlangen die Regeln die Speicherung von Identitätsdaten gar nicht – es ist eher eine Konvention, weil es schon immer so gemacht wurde.

Die Leitlinien der Financial Action Task Force betrachten ausdrücklich, wie digitale ID-Systeme für die Kundensorgfaltspflicht genutzt werden können, statt von Institutionen zu verlangen, sich auf physische Ausweisdokumente zu stützen. Die FATF-Empfehlungen funktionieren zudem als risikobasierter Rahmen und überlassen es den einzelnen Ländern, die Standards über ihre eigenen Rechts- und Regulierungssysteme umzusetzen.

„In vielen Rechtsordnungen lautet die Regel, dass man die Identität verifizieren und Aufzeichnungen dieser Verifizierung aufbewahren muss – nicht, dass man das Rohbild des Dokuments für immer aufbewahren muss“, sagte McMullen. Das bedeutet, dass eine kryptografisch verifizierbare Bescheinigung zusammen mit einer Aufzeichnung, die die durchgeführte Prüfung belegt, zur Erfüllung genügen könnte – ohne eine weitere dauerhafte Kopie eines Ausweises zu schaffen.

Da die Leitlinien jedoch „mehrdeutig“ sind, behalten Institutionen standardmäßig alles, weil ihre Compliance-Teams wissen, dass Prüfer und Aufsichtsbehörden das akzeptieren. Selbst wo die Regeln technisch einen anderen Ansatz zulassen, will niemand als Erster das Risikoehen. Wie Ward erklärte: „Es gibt in der Regulierung einen Instinkt, dass mehr Information mehr Kontrolle und damit mehr Sicherheit bedeutet.“

Für Institutionen, die einen anderen Ansatz erwägen, lauten die praktischen Fragen daher, ob ein Beweis nach den einschlägigen Regeln akzeptiert werden kann, ob er systemübergreifend unabhängig überprüft werden kann und ob das Credential unter der Kontrolle des Nutzers bleibt, statt an eine weitere zentralisierte Datenbank gebunden zu sein. Das sind Fragen der Governance und Umsetzung – nicht nur der Frage, ob die zugrunde liegende Kryptografie funktioniert.

Es ist schwer vorstellbar, dass sich das ändert, solange die Regeln nicht geändert werden, um Zero-Knowledge-Proofs ausdrücklich zu erlauben. Und obwohl kein System perfekt ist, erübrigt die ZK-Technologie zumindest die Notwendigkeit, so viele sensible Informationen zu sammeln und vorzuhalten. Wie McMullen es formulierte: „Man kann nicht verlieren, was man nie besessen hat.“