KYC

Anna möchte zum ersten Mal Bitcoin kaufen. Sie wählt eine Börse, eröffnet ein Konto und sieht statt einer Kaufen-Schaltfläche zunächst die Aufforderung, ihre Identität zu bestätigen. Dafür können ein Ausweis, eine Gesichtsprüfung oder Fragen zur geplanten Kontonutzung nötig sein. Das ist KYC. Der Dienst möchte wissen, mit wem er eine Geschäftsbeziehung eingeht, und seine Pflichten erfüllen. KYC gehört zu AML/CFT, also Maßnahmen gegen Geldwäsche und Terrorismusfinanzierung. Der Ausweischeck ist nur ein Teil davon: Auch Risikobewertung, Aufbewahrung von Unterlagen und Meldungen verdächtiger Vorgänge gehören dazu. Das Bitcoin-Netzwerk verlangt diese Prüfung nicht. Sie ist auch kein Beleg dafür, dass Anna etwas falsch gemacht hat. [1]

Würde Anna Bitcoin direkt in ihrer eigenen Wallet empfangen, würden die Netzwerkknoten ihren Ausweis nicht prüfen. Ein Full Node ist ein Computer mit Software, die Bitcoin-Transaktionen und Blöcke selbstständig anhand der Netzwerkregeln prüft. Eine Börse oder ein Unternehmen, das Kundengelder verwahrt, handelt dagegen als eigener Anbieter mit gesetzlichen Pflichten. Internationale Dokumente bezeichnen bestimmte Dienstleister für virtuelle Vermögenswerte als VASP. Allein dadurch, dass Anna ihre eigenen Schlüssel hält, wird sie nicht zu einem solchen Anbieter. Ein privater Schlüssel ist eine geheime Information, mit der die Wallet eine digitale Signatur zur Freigabe einer Zahlung erzeugt. Self-custody, also die eigene Verwaltung der Schlüssel, entbindet eine Börse aber nicht von ihren Pflichten bei einer Auszahlung an diese Wallet. Deshalb kann sie fragen, wem die Zieladresse gehört, obwohl Anna die Wallet selbst kontrolliert. [2] [10]

Der Dienst gleicht Kundendaten mit verlässlichen, unabhängigen Quellen ab. Bei einem Unternehmen reicht der Firmenname nicht: Wichtig sind auch die natürlichen Personen, denen es letztlich gehört oder die es kontrollieren. Sie heißen wirtschaftlich Berechtigte. Außerdem klärt der Anbieter den Zweck der Geschäftsbeziehung. Ein erfolgreich geprüfter Ausweis belegt jedoch weder die Herkunft jedes Euros noch, wer gerade den privaten Schlüssel einer Bitcoin-Adresse hält. Anna könnte die Adresse einer anderen Person angegeben haben. Kundenidentität, Kontrolle über eine Adresse und Herkunft des Geldes hängen zusammen, sind aber unterschiedliche Fragen. [1] [5]

Bei einem Dienst ist Anna nach einer kurzen Prüfung fertig, bei einem anderen folgen weitere Fragen. Das kann am geltenden Recht, Produkt, Land, Betrag oder eingeschätzten Risiko liegen. Ein höheres Risiko kann eine genauere Prüfung erfordern; bei geringerem Risiko ist unter bestimmten Voraussetzungen ein einfacheres Verfahren möglich. Eine weltweit einheitliche Dokumentenliste gibt es nicht. Die FATF, das internationale Gremium für Standards zur Bekämpfung der Geldwäsche, setzt einen Rahmen, den Staaten in ihre eigenen Regeln übertragen. Eine FATF-Empfehlung ist selbst kein Gesetz, das jedem Bitcoin-Nutzer dasselbe Formular vorschreibt. Ein Dienst sollte verständlich erklären können, welche Angaben er verlangt und wofür. [1]

Später verkauft Anna ihr Auto und möchte einen Teil des Erlöses in Bitcoin anlegen. Die Börse kann eine Erklärung für die ungewöhnlich hohe Einzahlung verlangen. Source of funds bezeichnet die Herkunft des Geldes für einen konkreten Vorgang, hier also den Autoverkauf. Source of wealth fragt dagegen danach, wie jemand sein Vermögen insgesamt aufgebaut hat. Das ist nicht dasselbe. Ein Anbieter kann auch bereits erhobene Angaben aktualisieren und Geschäfte mit der erwarteten Kontonutzung abgleichen. Eine konkrete Anfrage sollte zur Situation und zum rechtlichen Rahmen passen. Das bedeutet nicht, dass jeder Kunde bei jedem Kauf seine gesamte Lebensgeschichte belegen muss. [1]

Wenn Anna Bitcoin zwischen Anbietern überträgt, können vorgeschriebene Angaben über Absender und Empfänger zusätzlich zur Transaktion übermittelt werden. Diesen Bereich betrifft die Travel Rule. Dafür müssen weder Namen noch Ausweiskopien in die öffentliche Blockchain geschrieben werden: Die Dienste tauschen diese Daten gesondert aus oder bewahren sie separat auf. In der EU regelt unter anderem die Verordnung 2023/1113 diesen Bereich. Sie unterscheidet Transfers mit Beteiligung eines Anbieters von direkten Transfers zwischen Personen ohne einen solchen Dienst. Dass Letztere nicht unter diese Verordnung fallen, befreit sie nicht pauschal von allen Gesetzen. Bei einer Übertragung zwischen eigener Wallet und Börse ist weiterhin ein Dienst beteiligt, der Prüfpflichten haben kann. [3] [4] [9]

Ein Anbieter kann neben Kundendaten auch Blockchain-Analysen nutzen. Diese Analyse verfolgt Adressen und die Verbindungen zwischen Transaktionen. Jeder Transaktionsausgang legt einen Betrag und die Bedingungen fest, unter denen er ausgegeben werden darf. Solange er nicht ausgegeben wurde, heißt er UTXO; eine spätere Transaktion kann mit einem Eingang auf ihn verweisen. Manche dieser Spuren lassen sich bekannten Diensten zuordnen. Manche Schlussfolgerungen beruhen auf Annahmen. Bei CoinJoin können beispielsweise mehrere Personen an einer Transaktion teilnehmen. Gemeinsam ausgegebene Eingänge müssen deshalb nicht einem einzigen Eigentümer gehören. Ein Risikowert allein beweist weder eine Identität noch die kriminelle Herkunft von Mitteln. Eine technische Spur darf nicht mit gesicherten Erkenntnissen über einen Menschen verwechselt werden. Bei Fehlern sind ergänzender Kontext und die Möglichkeit einer Überprüfung wichtig. [8] [10]

Anna übermittelt sensible Angaben, die sich mit ihrem Konto und ihren Auszahlungsadressen verbinden lassen. Ein Datenleck betrifft dann mehr als eine E-Mail-Liste: Jemand könnte Einblicke in die finanziellen Aktivitäten einer konkreten Person gewinnen. Deshalb lohnt es sich zu klären, wer die Daten verarbeitet, an wen sie weitergegeben werden, wie sie geschützt werden und wie lange sie gespeichert bleiben. In der EU gelten auch die Grundsätze der Datenschutz-Grundverordnung (DSGVO), darunter Zweckbindung und Datenminimierung. Gesetzliche Aufbewahrungspflichten können nach der Kontoschließung fortbestehen. Ein geschlossenes Konto bedeutet daher nicht automatisch, dass alle Ausweiskopien sofort gelöscht werden. Die konkreten Rechte und Fristen bestimmt das anwendbare Recht. [6] [1]

Kann ein Dienst die vorgeschriebenen Prüfungen nicht durchführen, kann er eine Kontoeröffnung oder Übertragung verzögern, ablehnen oder die Geschäftsbeziehung beenden. Je nach Umständen kann auch eine vertrauliche Meldung oder eine Beschränkung des Zugriffs auf Mittel vorgeschrieben sein. Das ist für sich genommen kein Schuldspruch. Umgekehrt lässt sich weder eine sofortige Bearbeitung jeder Auszahlung versprechen noch die Offenlegung aller Prüfungsdetails durch den Kundendienst. Für Anna sind daher die Bedingungen, das Beschwerdeverfahren und die zuständige Aufsicht wichtig. Regeln, Fristen und Möglichkeiten zur Abhilfe unterscheiden sich nach Land und Anbieter. [1]

Bevor Anna Unterlagen versendet, öffnet sie die bekannte App oder die offizielle Website des Dienstes und prüft, wer ihre Daten anfordert. Eine dringende Nachricht mit Börsenlogo ist noch keine vertrauenswürdige Anfrage. KYC ist niemals ein Grund, die Seed Phrase, also die Wiederherstellungswörter der Wallet, oder einen privaten Schlüssel weiterzugeben. Die Kontrolle über eine Adresse lässt sich anders prüfen. Vor einer Signatur muss klar sein, was das Gerät bestätigt. Bei Dokumenten hilft die Unterscheidung zwischen Pflichtangaben und freiwilligen Angaben sowie das Wissen um die Folgen einer Ablehnung. Weder abgeschlossenes KYC noch eine Lizenz garantieren für sich Zahlungsfähigkeit, Einlagensicherung, sichere Verwahrung oder einen guten Preis. KYC betrifft die Kundenprüfung, nicht die Risikofreiheit eines Dienstes. [7]