Kurz erklärt: KYC (Know Your Customer) bezeichnet die Pflicht, Vertragspartner zu identifizieren, ihre Identität zu überprüfen und die Geschäftsbeziehung fortlaufend zu überwachen. Rechtsgrundlage in Deutschland sind die Sorgfaltspflichten nach § 10 GwG. Für Kryptowerte-Dienstleister ist KYC der Punkt, an dem die pseudonyme Blockchain auf eine reale Identität trifft — und damit der wichtigste Ansatzpunkt jeder späteren Ermittlung.
Rechtsgrundlage und Umfang
KYC ist kein Branchenjargon ohne rechtliche Grundlage, sondern die verkürzte Bezeichnung für die allgemeinen Sorgfaltspflichten nach § 10 GwG. Diese umfassen vier Elemente: die Identifizierung des Vertragspartners, die Abklärung des wirtschaftlich Berechtigten, die Einholung von Informationen über Zweck und angestrebte Art der Geschäftsbeziehung sowie deren kontinuierliche Überwachung.
Ausgelöst werden die Pflichten bei Begründung einer Geschäftsbeziehung, bei Gelegenheitstransaktionen ab bestimmten Schwellenwerten, bei Verdacht auf Geldwäsche oder Terrorismusfinanzierung unabhängig von jeder Schwelle sowie bei Zweifeln an zuvor erhobenen Angaben.
Anbieter von Kryptowerte-Dienstleistungen gehören nach § 2 GwG zu den Verpflichteten. Mit dem MiCA-Regime ist der Kreis der zugelassenen und damit erfassten Anbieter gewachsen; die aufsichtsrechtliche Zulassung und die geldwäscherechtlichen Pflichten bestehen nebeneinander.
Können die Pflichten nicht erfüllt werden, darf die Geschäftsbeziehung nicht begründet und die Transaktion nicht ausgeführt werden; eine bestehende Beziehung ist zu beenden. Diese Rechtsfolge ist zwingend.
Identifizierung und Verifizierung
Zu unterscheiden sind zwei Schritte, die häufig vermengt werden. Die Identifizierung ist die Erhebung der Angaben, die Verifizierung deren Überprüfung anhand geeigneter Nachweise.
Bei natürlichen Personen sind Name, Geburtsort, Geburtsdatum, Staatsangehörigkeit und Anschrift zu erheben und anhand eines gültigen amtlichen Ausweises zu überprüfen. Bei juristischen Personen treten Firma, Rechtsform, Registernummer, Sitz und die Vertretungsverhältnisse hinzu, überprüft anhand von Registerauszügen.
Für die Überprüfung ohne persönliche Anwesenheit haben sich videobasierte Verfahren, die elektronische Identifizierung über den Personalausweis und qualifizierte elektronische Signaturen etabliert. Welche Verfahren zulässig sind und welche Anforderungen an ihre Durchführung gestellt werden, ergibt sich aus den Vorgaben der Aufsicht und ändert sich mit dem Stand der Technik.
Ein wiederkehrender Prüfungsmangel ist die fehlende Aktualisierung. Die Angaben sind in angemessenen Abständen zu überprüfen, insbesondere bei erkennbarer Veränderung des Kundenprofils. Eine Identifizierung aus dem Jahr der Kontoeröffnung genügt bei einer langjährigen Geschäftsbeziehung nicht.
Die Besonderheit bei Kryptowerten
Im klassischen Bankgeschäft ist die Zuordnung eindeutig: Der identifizierte Kunde verfügt über sein Konto. Bei Kryptowerten gilt das nicht.
Die Identifizierung des Kunden sagt nichts darüber aus, wer über die Adressen verfügt, von denen oder zu denen transferiert wird. Ein ordnungsgemäß identifizierter Kunde kann Mittel für einen Dritten bewegen — genau das ist das Geschäftsmodell des Finanzagenten.
Die Travel Rule adressiert diese Lücke für Transfers zwischen regulierten Dienstleistern, indem Identitätsangaben mitgesendet werden. Bei selbstverwahrten Wallets bleibt die Zuordnung eine eigenständige Prüfaufgabe: Oberhalb eines Schwellenwerts muss der Anbieter feststellen, ob die Adresse seinem Kunden gehört, etwa über eine Signatur mit dem privaten Schlüssel.
Hinzu kommt eine Möglichkeit, die es im klassischen Geschäft nicht gibt: Die Vorgeschichte einer Adresse ist öffentlich einsehbar. Eine Exposure-Analyse zeigt, welcher Anteil eingehender Mittel aus problematischen Kategorien stammt. Wo diese Prüfung möglich ist, verschiebt sich der Maßstab dessen, was als sorgfältig gilt — KYC bei Kryptowerten umfasst faktisch auch ein „Know Your Transaction“.
Typische Umgehungswege
KYC wirkt, aber es wird gezielt unterlaufen. Die verbreiteten Muster sollten Verpflichtete wie Ermittler kennen.
Gekaufte und gemietete Konten. Vollständig verifizierte Konten werden gehandelt. Der eingetragene Inhaber existiert und wurde ordnungsgemäß identifiziert — verfügt aber nicht über das Konto. Auffällig wird das erst über das Transaktionsverhalten, nicht über die Identifizierung.
Finanzagenten. Personen stellen ihr Konto gegen Provision zur Verfügung, häufig angeworben über vermeintliche Heimarbeitsangebote. Sie verwirklichen dabei regelmäßig selbst den Tatbestand der Geldwäsche.
Gefälschte Dokumente. Manipulierte Ausweisbilder und synthetische Identitäten aus echten Teildaten. Gegen die zweite Variante helfen Dokumentenprüfungen nur begrenzt.
Anbieter ohne Prüfung. Plattformen in Jurisdiktionen ohne wirksame Aufsicht sowie Nested Exchanges, die ihre Geschäfte über Konten bei einer größeren Börse abwickeln und dabei die dortige Prüfung faktisch aushebeln.
Für die Bewertung folgt daraus: Ein KYC-geprüfter Endpunkt ist ein guter Ansatzpunkt, aber kein Beweis dafür, wer tatsächlich gehandelt hat.
Bedeutung für Ermittlungen und Geschädigte
KYC ist der Grund, warum Blockchain-Forensik überhaupt zu Personen führen kann. Die Blockchain enthält keine Identitäten; jede Zuordnung zu einem Menschen stammt aus einer Off-Chain-Quelle, und die wichtigste dieser Quellen sind die Kundendaten regulierter Anbieter.
Für die Fallbearbeitung heißt das: Das Ziel der Spurverfolgung ist nicht der vollständige Transaktionsgraph, sondern der erste Endpunkt mit Identifizierungspflicht. Ab dort ist ein rechtliches Auskunftsverlangen möglich.
Für Geschädigte ergibt sich daraus eine praktische Empfehlung. Wurde über eine regulierte Plattform eingezahlt, existiert dort ein dokumentierter Vorgang mit der Empfängeradresse — der Ausgangspunkt jeder Verfolgung. Diese Transaktionshistorie sollte unmittelbar exportiert und gesichert werden.
Zugleich ist eine Erwartung zu dämpfen: Ein Auskunftsverlangen setzt ein Verfahren voraus. Plattformen geben Kundendaten nicht auf Anfrage von Privatpersonen heraus. Der Weg führt über Strafanzeige oder gerichtlich durchgesetzten Auskunftsanspruch.
Datenschutz und Aufbewahrung
KYC-Daten sind personenbezogene Daten mit erheblichem Schutzbedarf. Ihre Erhebung ist gesetzlich vorgeschrieben, ihre Verwendung dadurch aber nicht unbegrenzt zulässig.
Die Aufbewahrung ist gesetzlich befristet: Die erhobenen Angaben und Nachweise sind für einen bestimmten Zeitraum nach Ende der Geschäftsbeziehung aufzubewahren und danach zu löschen. Sowohl eine zu kurze als auch eine zu lange Speicherung ist sanktioniert — die eine geldwäscherechtlich, die andere datenschutzrechtlich.
Für Ermittlungen ist die Frist praktisch bedeutsam: Nach ihrem Ablauf sind Kundendaten regelmäßig gelöscht. Das ist neben dem Abzug der Mittel der zweite Grund, warum Zeit gegen die Aufklärung arbeitet.
Ein eigenständiges Risiko ist die Konzentration. Kryptobörsen halten Ausweiskopien, Anschriften und vollständige Transaktionshistorien ihrer Kunden. Datenabflüsse bei solchen Anbietern haben in der Vergangenheit zu gezielten Angriffen auf einzelne Nutzer geführt — von Phishing bis zu physischer Nötigung. Wer eine Plattform wählt, sollte deren Sicherheitsverhalten in diese Entscheidung einbeziehen.
Häufige Fragen
Warum verlangen Kryptobörsen meinen Ausweis?
Weil sie Verpflichtete nach dem Geldwäschegesetz sind. § 10 GwG schreibt die Identifizierung des Vertragspartners und die Überprüfung seiner Identität vor. Ohne erfüllbare Sorgfaltspflichten darf die Geschäftsbeziehung nicht begründet werden.
Was ist der Unterschied zwischen Identifizierung und Verifizierung?
Die Identifizierung ist die Erhebung der Angaben, die Verifizierung deren Überprüfung anhand geeigneter Nachweise — bei natürlichen Personen typischerweise ein gültiger amtlicher Ausweis, bei juristischen Personen ein Registerauszug.
Beweist ein KYC-geprüftes Konto, wer die Transaktion ausgeführt hat?
Nein. Verifizierte Konten werden gehandelt oder von Finanzagenten zur Verfügung gestellt. Der eingetragene Inhaber wurde ordnungsgemäß identifiziert, verfügt aber möglicherweise nicht über das Konto. Auffällig wird das über das Transaktionsverhalten, nicht über die Identifizierung.
Muss eine Börse prüfen, wem eine Auszahlungsadresse gehört?
Oberhalb eines Schwellenwerts ja. Nach der Travel Rule muss der Anbieter bei Transfers zu selbstverwahrten Adressen feststellen, ob diese seinem Kunden gehört — etwa über eine Signatur mit dem privaten Schlüssel oder eine Kleinstüberweisung mit vorgegebenem Merkmal.
Kann ich als Geschädigter Kundendaten von einer Börse verlangen?
Nicht direkt. Plattformen geben Kundendaten nicht auf Anfrage von Privatpersonen heraus. Der Weg führt über eine Strafanzeige mit anschließendem behördlichem Auskunftsverlangen oder über einen gerichtlich durchgesetzten Auskunftsanspruch.
Wie lange werden KYC-Daten gespeichert?
Für einen gesetzlich bestimmten Zeitraum nach Ende der Geschäftsbeziehung; danach sind sie zu löschen. Für Ermittlungen ist das bedeutsam: Nach Fristablauf sind Kundendaten regelmäßig nicht mehr verfügbar — ein zweiter Grund, warum Zeit gegen die Aufklärung arbeitet.
Gibt es Kryptobörsen ohne KYC?
Anbieter in Jurisdiktionen ohne wirksame Aufsicht verzichten teilweise darauf. Für Nutzer ist das riskant: Bei solchen Anbietern bestehen weder Einlagensicherung noch durchsetzbare Ansprüche, und eingezahlte Mittel können ohne Rechtsschutz verloren gehen.
Zusammenfassung
KYC ist die verkürzte Bezeichnung für die Sorgfaltspflichten nach § 10 GwG: Identifizierung, Abklärung des wirtschaftlich Berechtigten, Zweckermittlung und laufende Überwachung. Bei Kryptowerten besteht die Besonderheit, dass die Identifizierung des Kunden nichts darüber aussagt, wer über die beteiligten Adressen verfügt — die Travel Rule schließt diese Lücke nur zwischen regulierten Anbietern. KYC ist zugleich der Punkt, an dem die pseudonyme Blockchain auf eine reale Identität trifft, und damit der wichtigste Ansatzpunkt jeder Ermittlung. Umgehungswege wie gekaufte Konten und Finanzagenten begrenzen die Aussagekraft.
Weiterführende Quellen
- Geldwäschegesetz (GwG), Gesetze im Internet: www.gesetze-im-internet.de
- § 2 GwG — Verpflichtete, Gesetze im Internet: www.gesetze-im-internet.de
- § 10 GwG — Allgemeine Sorgfaltspflichten, Gesetze im Internet: www.gesetze-im-internet.de
- § 15 GwG — Verstärkte Sorgfaltspflichten, Gesetze im Internet: www.gesetze-im-internet.de
- Verordnung (EU) 2023/1113 über die Übermittlung von Angaben bei Geldtransfers (TFR), EUR-Lex: eur-lex.europa.eu
- Verordnung (EU) 2023/1114 über Märkte für Kryptowerte (MiCA), EUR-Lex: eur-lex.europa.eu
- BaFin — Merkblatt Kryptowerte-Dienstleistungen nach MiCAR: www.bafin.de