KYC-Daten bleiben ein Ziel für Hacker, sagt Coin Center
Coin Center warnt, dass verpflichtendes KYC noch mehr sensible ID-Daten zentralisiert. Die Debatte betrifft auch Zero-Knowledge-Verifizierung, DeFi und strengere Compliance-Anforderungen in Europa.
Wichtigste Erkenntnisse
- Coin Center warnt, dass verpflichtende KYC-Identifizierung sensible Daten zentralisiert und damit ein attraktives Ziel für Hacker darstellt.
- Ein möglicher Datenleck bei IDScan.net zeigt laut der Organisation, wie verwundbar Identitätsprüfungen sind; das FBI untersucht den Fall.
- Coin Center plädiert für datenschutzfreundliche Verifizierung, die nur die nötigen Informationen nachweist, ohne vollständige ID-Daten zu speichern.
Ein neues mögliches Datenleck rund um IDScan.net zeigt laut Coin Center, wie verwundbar verpflichtende Identitätskontrollen sind. Auf einem Dark-Web-Dienst sollen mehr als 153 Millionen amerikanische und kanadische Führerscheindaten zum Verkauf angeboten werden, während das FBI den mutmaßlichen Vorfall untersucht. Der Kern des Problems ist laut der Organisation, dass KYC-Prozesse oft genau die sensiblen Daten erfassen, die Kriminelle haben wollen.
Warum KYC so verwundbar ist
Laz Pieper von Coin Center sagt, dass Unternehmen und Aufsichtsbehörden mit Identitätskontrollen Betrug verhindern wollen, gleichzeitig aber ein großes Risiko schaffen. Wenn Namen, Adressen und ID-Nachweise zentral gespeichert werden, entsteht ein attraktives Ziel für Hacker. Das gilt nicht nur für Banken, sondern auch für Anbieter wie Hotels, Autovermieter, Casinos und Händler, die IDScan-Technologie nutzen.
Der Text verweist dabei auf frühere große Vorfälle, etwa den Equifax-Hack von 2017, bei dem fast 148 Millionen Amerikaner betroffen waren. Pieper nennt auch, dass temporäre Codes per SMS oder E-Mail oft missbrauchbar sind und biometrische Prüfungen durch schnelle KI-Entwicklungen unter Druck stehen. Das Bild, das sich daraus ergibt, ist, dass viele heutige Kontrollen zwar Daten sammeln, aber nicht immer genug Schutz bieten.
Datenschutzfreundliche Verifizierung
Coin Center plädiert deshalb für Systeme, bei denen jemand nur das nachweist, was nötig ist, statt eine vollständige Kopie eines Ausweises abzugeben. Denk dabei an den Nachweis des Alters, des Zugriffs auf ein Konto oder einer Berechtigung, ohne dass die zugrunde liegenden Daten direkt bei einem Unternehmen landen. Solche datenschutzfreundlichen Verifizierungen sind noch in Entwicklung, passen aber zu breiteren Experimenten in der Branche, etwa Zero-Knowledge-Altersverifizierung und anderen Formen dezentraler Identität.
Für europäische Krypto-Leser ist das relevant, weil Identitätskontrollen auch außerhalb der USA immer weiter ausgeweitet werden, unter anderem in Richtung Altersverifizierung und strengere Compliance-Anforderungen. Gleichzeitig wächst das Interesse an Lösungen, die Datenschutz und Verifizierung besser verbinden, auch innerhalb von DeFi und grenzüberschreitenden Zahlungen. Das macht die Debatte über Datensparsamkeit nicht nur rechtlich, sondern auch praktisch wichtig für Krypto- und Fintech-Unternehmen.
Auch innerhalb der Branche selbst bleibt Datensparsamkeit ein wiederkehrendes Thema. Bei einem früheren Datenleck bei einem Krypto-Broker zeigte sich zum Beispiel, wie schnell Identitätsdaten, Kontaktinformationen und Wallet-Daten gemeinsam in falsche Hände geraten können.
Mehr Druck auf Regeln
Pieper warnt außerdem davor, dass Gesetzgeber in Washington und auf Bundesstaatsebene keine zusätzlichen Verifizierungspflichten an Orten einführen sollten, wo sie nicht nötig sind. Seiner Ansicht nach erhöhen solche Regeln die Menge an sensiblen Daten, die gespeichert werden, ohne Betrug wirklich zu lösen. Sein Fazit ist einfach: Wenn ein Dienst keine vollständige Identifizierung braucht, dann sollten diese Daten auch nicht gesammelt werden.
