Know Your Customer

Die Verifizierung existiert, weil das Bankrecht eine Kryptobörse als Finanzinstitut behandelt, nicht weil die Börse neugierig auf Sie ist. 21 der 24 auf dieser Website bewerteten Kryptobörsen verlangen vor Ihrem ersten Kauf Identitätsdokumente. Die praktische Folge ist, dass ein Foto Ihres Reisepasses nun in einer Datenbank liegt, die Sie nicht steuern, was ebenso eine Sicherheitsfrage wie eine Datenschutzfrage ist.

So funktioniert es

Die Identitätsprüfung von Kunden läuft in drei Stufen ab, und nur die erste ist für Sie sichtbar.

Bei der Registrierung werden die Nachweise erhoben. Ein amtlicher Lichtbildausweis, ein Live-Selfie oder ein kurzes Video, das belegt, dass das Dokument der Person gehört, die es vorlegt, ein Geburtsdatum, eine Wohnadresse und meist ein Steuerwohnsitz. Die meisten Plattformen erledigen das nicht selbst: spezialisierte Anbieter übernehmen die Dokumentenforensik und den Gesichtsabgleich in Sekunden, und ein Mensch prüft nur die Ausnahmen.

Die Risikoeinstufung erfolgt unmittelbar danach und still. Die Plattform bewertet Sie nach Land, erwartetem Volumen, Herkunft der Mittel und danach, ob Sie auf einer Sanktionsliste oder einer Liste politisch exponierter Personen erscheinen. Diese Bewertung entscheidet über Ihre Limits, darüber, wie oft Sie erneut überprüft werden, und darüber, wie schnell eine künftige Auszahlung zur Prüfung zurückgehalten wird. Paxful ist ein klares Beispiel für die daraus resultierende Staffelung, bei der die Verifizierungsstufe begrenzt, wie viel Sie handeln können.

Die laufende Überwachung endet nie. Höhere Stufen verlangen einen Einkommensnachweis, einen Kontoauszug oder eine Erklärung, woher eine große Einzahlung stammt. Eine erneute Verifizierung wird durch ein abgelaufenes Dokument, eine Adressänderung oder einfach durch Zeitablauf ausgelöst.

Dann ist da die Aufbewahrung, über die die Menschen selten nachdenken. Das europäische Geldwäscherecht verlangt, dass Aufzeichnungen fünf Jahre nach dem Ende einer Geschäftsbeziehung aufbewahrt werden, sodass die Schließung Ihres Kontos Ihre Akte nicht beseitigt. Die Dokumente überdauern die Beziehung konstruktionsbedingt.

Warum das beim Bitcoin-Kauf wichtig ist

Die Verifizierung ist nicht nur der Preis der Privatsphäre. Sie schafft einen Vermögenswert mit Ihrem Namen darauf, gehalten von einem Unternehmen, dessen Sicherheit nicht Ihre Entscheidung ist.

Das deutlichste Beispiel ist Coinbase. Kriminelle bezahlten Support-Auftragnehmer im Ausland dafür, Kundendaten mit Werkzeugen zu kopieren, die sie nutzen durften, und zwar etwa ab dem 26. Dezember 2024, bis am 11. Mai 2025 eine Erpresser-E-Mail eintraf, die 20 Millionen Dollar forderte. Coinbase weigerte sich zu zahlen, legte den Vorfall in einer behördlichen Einreichung vom 14. Mai 2025 offen und schätzte die Kosten auf 180 Millionen bis 400 Millionen Dollar. Die gestohlenen Daten betrafen weniger als ein Prozent der monatlich aktiven Nutzer, die Transaktionen durchführen und umfassten Namen, Adressen, Telefonnummern, maskierte Kontokennungen, Momentaufnahmen der Bestände und Abbildungen amtlicher Identitätsdokumente.

Diese Kombination, ein echter Name plus eine echte Adresse plus ein echter Bestand, macht Börsendaten einzigartig gefährlich. Sie speist Phishing-Anrufe, die Ihre korrekten Bestände nennen, und in einer kleinen Zahl von Fällen ist ihr ein physischer Raubüberfall auf Personen vorausgegangen, von denen bekannt war, dass sie Bitcoin halten.

Vier Gewohnheiten verringern die Gefährdung, ohne gegen Regeln zu verstoßen. Verwenden Sie für jede Börse eine eigene E-Mail-Adresse, damit eine Preisgabe nachvollziehbar ist und nichts anderes entsperrt. Aktivieren Sie einen Hardware-Sicherheitsschlüssel statt SMS-Codes. Legen Sie eine Auszahlungs-Whitelist an, damit eine gestohlene Sitzung keine Coins an eine neue Adresse senden kann. Und bewahren Sie die Coins vollständig außerhalb der Plattform auf, denn ein Vorfall bei einem Konto ohne Bestand ist eine Unannehmlichkeit und kein Verlust.

Seien Sie wählerisch, wem Sie Ihre Dokumente geben. Changelly wurde im Juli 2024 in die Warnliste der britischen Financial Conduct Authority aufgenommen, und einen Reisepass auf einer Plattform mit dieser Vorgeschichte hochzuladen ist eine schlechtere Entscheidung als ihn auf einer zugelassenen hochzuladen. Die Anforderungen unterscheiden sich auch zwischen den 231 Länderratgebern hier: Yellow Card und Luno verlangen in verschiedenen Märkten unterschiedliche Dokumente, mehrere Länder fordern eine lokale Steuernummer, und in einigen können die zugelassenen Plattformen ansässige Personen gar nicht verifizieren.

Schließlich verläuft die Entwicklung in nur eine Richtung. Die europäische Geldwäscheverordnung verbietet anonyme Krypto-Konten bei zugelassenen Anbietern, wenn sie ab dem 10. Juli 2027 gilt, und Zulassungsregime anderswo nähern sich derselben Regel an.

Was ein verifiziertes Konto tatsächlich verlangt

Die Verifizierung ist berechenbarer, als die Angst um sie vermuten lässt, und die Reihenfolge zu kennen hilft.

Sie erstellen das Konto mit einer E-Mail-Adresse und einem Passwort und aktivieren dann vor allem anderen die Zwei-Faktor-Authentifizierung. Sie fotografieren ein Identitätsdokument, beide Seiten, flach und ohne Blendung, und zeichnen eine kurze Lebendigkeitsprüfung auf. Sie geben eine Adresse an, und wenn die Plattform einen Nachweis verlangt, muss es meist ein Bankauszug oder eine Rechnung eines Versorgungsunternehmens mit einem Datum aus den letzten drei Monaten sein. Sie beantworten einen kurzen Fragebogen zu Beschäftigung, Herkunft der Mittel und erwartetem monatlichem Volumen, und ehrlich zu antworten kostet nichts, während eine unsinnige Antwort eine Unstimmigkeit erzeugt, die später auftaucht.

Die Genehmigung dauert an einem guten Tag Minuten und mehrere Tage, wenn ein Dokument ungewöhnlich ist oder ein Name anders transliteriert wird als im Konto. Ablehnungen sind normal und meist mechanisch: ein abgelaufenes Dokument, eine nicht übereinstimmende Adresse oder eine Staatsangehörigkeit, die die Plattform nicht bedient.

Die Prüfungen kehren später auch zurück. Eine erste große Einzahlung, eine Überweisung, die von einem fremden Bankkonto stammt, oder eine eingehende Zahlung, den Analysesoftware mit einer riskanten Quelle verbindet, lösen jeweils eine neue Anforderung aus, und das Konto ist meist eingeschränkt, solange sie offen ist.

Know Your Customer vs. Geldwäscheprävention

Know Your Customer ist eine Komponente einer viel größeren Pflicht. Das Geldwäscheregime verlangt von einem Unternehmen, seine Risiken zu bewerten, Transaktionen fortlaufend zu überwachen, Verdacht einer Zentralstelle für Finanztransaktionsuntersuchungen (FIU) zu melden, gegen Sanktionen zu prüfen, Aufzeichnungen zu führen, Personal zu schulen und sich einer Prüfung zu unterziehen. Die Identitätsprüfung von Kunden ist einfach der Teil dieser Maschine, den Sie sehen können, der Teil, der Sie bei der Registrierung berührt. Eine Plattform kann jeden Kunden einwandfrei verifizieren und trotzdem ihre Pflichten zur Geldwäscheprävention verletzen, was die meisten Durchsetzungsmaßnahmen gegen Kryptobörsen tatsächlich behaupten.

Know Your Customer vs. Sanktionslistenprüfung

Die Verifizierung stellt fest, wer Sie sind; die Sanktionslistenprüfung gleicht diese Identität mit Listen von Personen und Orten ab, denen ein Unternehmen nicht dienen darf, etwa der Liste der specially designated nationals des US-Finanzministeriums oder der konsolidierten Liste der EU. Beides geschieht in derselben Minute bei der Registrierung, beantwortet aber unterschiedliche Fragen und hat unterschiedliche Folgen. Ein Verifizierungsfehler bedeutet, dass die Plattform Sie nicht bestätigen kann und bessere Dokumente verlangt. Ein Sanktionstreffer bedeutet, dass es der Plattform rechtlich verboten ist fortzufahren, und falsche Treffer bei häufigen Namen klärt ein Compliance-Team statt des Hochladens eines weiteren Fotos.