Was nach KYC mit Ihrem Ausweis passiert: die Datenleck-Bilanz 2026

Jeder andere Guide auf dieser Seite beantwortet das Wie: wie man Bitcoin kauft, wie man Monero kauft, wie man es ausgibt und wie man es verkauft, jeweils ohne einen Pass vorzuzeigen. Dieser Artikel beantwortet die Frage, die all dem zugrunde liegt, und es ist die Frage, die uns am häufigsten gestellt wird: was mit den Identitätsdokumenten tatsächlich geschieht, wenn Sie sie doch aus der Hand geben.

Die kurze Antwort lautet: KYC ist keine Prüfung, die man besteht. Es ist eine Kopie, die angefertigt wird — von Ihrem Pass, Ihrem Gesicht, Ihrer Adresse, Ihren Bankdaten —, dann an Verarbeiter weitergereicht, von denen Ihnen nie erzählt wurde, gesetzlich für Jahre über die Kontoschließung hinaus aufbewahrt, und irgendwann offengelegt. Manchmal durch ein Datenleck. Manchmal durch ein Insolvenzgericht. Manchmal durch einen Support-Mitarbeiter, dem Bargeld angeboten wurde. 2026 ist das Jahr, in dem das aufhörte, ein Argument zu sein, und zu einer Bilanz wurde — und diese Bilanz ist, was dieser Artikel liefert.

KYC ist keine Prüfung, sondern eine Kopie mit tickender Aufbewahrungsfrist

Das mentale Modell, das die meisten Menschen im Kopf haben, ist eine Einlasskontrolle: Sie zeigen den Ausweis, der Türsteher schaut, Sie kommen rein. So läuft es nicht. Das Dokument wird fotografiert, das Selfie gespeichert, die Adresse abgelegt, und die entstehende Akte wird aufbewahrt.

Aufbewahrt wird sie, weil sie aufbewahrt werden muss. Nach den FATF-Empfehlungen müssen Staaten regulierte Institutionen dazu verpflichten, Sorgfaltsprüfungsunterlagen zu Kunden mindestens fünf Jahre nach Ende der Geschäftsbeziehung aufzubewahren. Die Anti-Geldwäsche-Verordnung der EU schreibt dieselbe Zahl in eine einzige verbindliche Regel: Article 77 AMLR legt eine einheitliche fünfjährige Aufbewahrungsfrist fest und verpflichtet die Institution anschließend, die personenbezogenen Daten nach deren Ablauf zu löschen — die Verordnung gilt allgemein ab dem 10. Juli 2027. Mehrere Mitgliedstaaten liegen bereits am oberen Rand der zulässigen Spanne: Spanien und Luxemburg verlangen zehn Jahre, während Frankreich und die Niederlande fünf anwenden.

Liest man das von der Nutzerseite aus, ergeben sich zwei Konsequenzen, beide kontraintuitiv.

Erstens: Das Schließen Ihres Kontos setzt keine Löschung in Gang, sondern eine Uhr. Die fünf Jahre laufen ab dem Ende der Geschäftsbeziehung, nicht ab dem Tag, an dem Sie das Dokument hochgeladen haben. Die App zu löschen, ändert daran nichts.

Zweitens: Das Recht auf Löschung gilt hierfür nicht. Artikel 17 der DSGVO tritt zurück, wo die Verarbeitung zur Erfüllung einer gesetzlichen Pflicht erforderlich ist, und genau das ist die AML-Aufbewahrungspflicht. Sie können eine Börse bitten, Ihr Marketing-Profil zu löschen. Sie können nicht verlangen, dass sie die KYC-Akte löscht, und selbst wenn Sie es verlangen, kann sie dem nicht nachkommen. Das ist keine Verweigerungshaltung der Börse — das ist die Konstruktion.

Die ehrliche Zusammenfassung jeder Verifizierung, die Sie je durchlaufen haben, lautet also: Eine Kopie Ihrer Identitätsdokumente existiert, in mindestens einer Datenbank, für mindestens fünf Jahre nach Ihrer letzten Nutzung des Dienstes — und Sie haben keine Möglichkeit, sie zurückzuziehen. Alles, was folgt, handelt davon, wer diese Kopie sonst noch in Händen hält.

Die Kette ist viel länger als die Börse

Hier liegt der Teil, den fast niemand richtig durchdenkt. Wenn Sie sich bei einer Börse verifizieren, vertrauen Sie nicht einem einzigen Unternehmen. Sie vertrauen dem Identitätsprüfungs-Dienstleister, an den die Prüfung ausgelagert wurde, der Ticketing-Plattform, die das Support-Team nutzt, dem Analytics-Tool, das das Growth-Team an die Kundentabelle angeschlossen hat, und dem Fulfilment- oder Zahlungsdienstleister, der Ihre Bestellungen abwickelt. Jeder davon ist ein eigenständiges Unternehmen mit eigener Sicherheitslage, und Ihnen wurde diese Liste nie gezeigt.

2026 lieferte auf genau dieser Ebene eine ganze Serie von Belegen. Ein öffentlicher Tracker für Vorfälle bei Identitätsprüfungs-Dienstleistern verzeichnet mehrere davon in kurzer Folge.

Sumsub, einer der größten Identitätsprüfungs-Dienstleister für Krypto-Plattformen, legte am 4. Februar 2026 einen Einbruch offen, der bis Juli 2024 zurückreicht — entdeckt erst im Januar 2026, also rund achtzehn Monate lang unentdeckt. Einfallstor war ein bösartiger Anhang, eingereicht über eine Support-Ticketing-Plattform eines Drittanbieters. Das Unternehmen erklärt, Identitätsdokumente und biometrische Daten seien nicht abgerufen worden, und die Offenlegung betreffe Namen sowie einen Teil der E-Mail-Adressen und Telefonnummern. Nimmt man das für bare Münze, bleibt der strukturelle Punkt trotzdem bestehen: Die betroffenen Nutzer hatten eine Beziehung zu einer Börse, nicht zu Sumsub, und hatten keine Möglichkeit zu wissen, dass dieser Dienstleister überhaupt existierte.

IDmerit soll laut Berichten vom November 2025 eine ungesicherte, passwortlose MongoDB-Instanz offengelassen haben, die rund eine Milliarde personenbezogene Datensätze aus 26 Ländern offenlegte — vollständige Namen, Adressen, Postleitzahlen, Geburtsdaten, nationale Identifikationsnummern, Telefonnummern und E-Mail-Adressen. IDmerit bestreitet, dass es sich um eigene Daten handelte, und dieser Streit ist ungeklärt; der Fall wird hier so aufgeführt, wie er berichtet wurde, nicht als gesicherte Tatsache. Selbst mit Abschlägen betrachtet ist ein Datensatz dieser Größenordnung genau das Fehlerbild, das eine gebündelte KYC-Branche als Versagen hervorbringt.

Bei AU10TIX lagen Administrator-Zugangsdaten über ein Jahr lang offen im Netz — kompromittiert im Dezember 2022, entdeckt im Juni 2024 —, betroffen waren Identitätsdokumente, Namen, Geburtsdaten, Staatsangehörigkeiten und Identifikationsnummern. Veriff meldete einen unautorisierten Zugriff um den 18. November 2025, entdeckt am 10. Dezember, der Bilder amtlicher Ausweisdokumente, Postadressen und Geburtsdaten von rund 8.583 Kunden eines einzelnen nachgelagerten Geschäftskunden offenlegte. Persona ließ im Februar 2026 Dashboard-Quellcode auf einem öffentlichen Cloud-Bucket liegen — keine Nutzerdaten, aber die Verifizierungslogik selbst.

Die unbequeme Rechnung lautet: Die Zahl der Parteien, die eine Kopie Ihres Dokuments halten, ist nicht eins. Es ist eins plus so viele Dienstleister, wie die erste Partei eingesetzt hat, plus so viele, wie diese wiederum eingesetzt haben. Der ersten haben Sie zugestimmt. Nach dem Rest wurden Sie nie gefragt.

2026: das Jahr, in dem die Lecks Versanddatenbanken waren

Die kryptospezifischen Vorfälle von 2026 teilen ein Merkmal, das sie schlimmer macht als einen Passwort-Dump, und die Branche brauchte eine Weile, um das offen auszusprechen.

5. Januar 2026 — Ledger, über Global-e. Ledger bestätigte, dass Kundendaten über Global-e offengelegt wurden, den Merchant-of-Record-Drittanbieter, der die internationalen Bestellungen abwickelt. Offengelegt: vollständige Namen, Lieferadressen, E-Mail-Adressen, Telefonnummern und Bestelldetails. Nicht offengelegt: Zahlungsdaten, Recovery-Phrasen, Private Keys, PINs. Ledgers eigene Systeme wurden nicht kompromittiert — zum zweiten Mal wurde das Unternehmen über einen Partner kompromittiert, nicht über sein Produkt.

16. August 2026 — drei auf einmal, zwei davon durch denselben Bug. Berichte über diese Häufung liefern die Details:

• Trezor, über den Fulfilment-Anbieter ShipMonk — 13.689 Kunden (11.742 mit vollständiger Offenlegung, 1.947 teilweise), Namen, E-Mail-Adressen, Telefonnummern und Lieferadressen, betroffen waren Sendungen zwischen dem 10. Mai und dem 8. August 2026. Grundursache: CVE-2026-72898, eine SQL-Injection-Schwachstelle in Metabase.
• SafePal — 39.798 Kunden, Namen, E-Mail-Adressen, Telefonnummern, Lieferadressen und Kaufdetails, betroffen waren Bestellungen vom 2. März 2025 bis zum 11. April 2026. Grundursache: eine Autorisierungslücke in einem Bestellverfolgungs-Plugin eines Drittanbieters.
• Bits of Gold, Israels größter regulierter Krypto-Broker — rund 200.000 Kunden, und die schlimmste Nutzlast der drei: Namen, israelische Personalausweisnummern, E-Mail-Adressen, Telefonnummern, IP-Adressen, Bankverbindungen und öffentliche Wallet-Adressen. Dieselbe CVE, dieselbe Metabase-Schwachstelle, offengelegt innerhalb weniger Tage nach Entdeckung. Das Unternehmen erklärt, es seien keine Gelder, Private Keys, Passwörter oder gescannten Ausweisdokumente offengelegt worden.

253.487 Kunden an einem einzigen Tag, über drei Unternehmen hinweg, größtenteils durch ein einziges ungepatchtes Analytics-Tool. Keines der drei Unternehmen wurde in seinem Kernprodukt kompromittiert. Alle drei wurden über etwas kompromittiert, das daran angeflanscht war.

Stellen wir die Nutzlasten nun nebeneinander. Ein geleaktes Börsenpasswort ist ein Ärgernis, das sich durch Ändern beheben lässt. Eine geleakte Lieferadresse, verknüpft mit dem Kauf einer Hardware-Wallet, ist eine dauerhafte Aussage, dass eine bestimmte Person an einer bestimmten Straßenadresse selbstverwahrte Kryptowerte besitzt. Ihr Zuhause können Sie nicht ändern. Und eine geleakte Wallet-Adresse, verknüpft mit einem bürgerlichen Namen und einem Bankkonto — die Bits-of-Gold-Nutzlast — hebt in einer einzigen Datei die Trennung zwischen einem öffentlichen Ledger und einer privaten Identität auf.

Mai 2025 — Coinbase, und der Insider-Weg. Es lohnt sich, diesen Fall aufzunehmen, weil er das klarste Beispiel für das Fehlerbild ist, das sich durch keine noch so gute Technik verhindern lässt. Überseeische Support-Mitarbeiter, denen Bargeld angeboten wurde, begannen am 26. Dezember 2024 damit, Daten zu kopieren. Entdeckt wurde es am 11. Mai 2025 — am selben Tag, an dem die Erpresser-E-Mail eintraf und 20 Millionen Dollar forderte. Coinbase weigerte sich zu zahlen und bot stattdessen ein Kopfgeld in gleicher Höhe von 20 Millionen Dollar an — die richtige Entscheidung, die den Menschen, deren Akten bereits kopiert waren, aber nichts mehr nützt. Die bei der Generalstaatsanwaltschaft von Maine eingereichte Datenleck-Meldung beziffert die Zahl auf 69.461 Personen. Die offengelegten Daten: Namen, Adressen, Telefonnummern, E-Mail-Adressen, maskierte Sozialversicherungsnummern, maskierte Bankkontonummern, einige Bankkonto-Kennungen, Kontodaten und Bilder amtlicher Ausweisdokumente. Unternehmensschätzungen für die Schadensbehebung lagen zwischen 180 und 400 Millionen Dollar.

Diese letzte Zahl ist die, an die man sich erinnern sollte. Coinbase ist ein börsennotiertes US-Unternehmen mit einem Sicherheitsbudget, das größer ist als der Umsatz der meisten Konkurrenten, und es liegt in derselben verpflichtenden KYC-Stufe wie die beiden Vergleichsbasen, die wir zum Abgleich indexieren, Kraken und Binance. Die Variable war, dass die Daten in einem Support-Tool existierten, das sich ein Mensch gegen Bezahlung öffnen ließ.

Das Bedrohungsmodell ist vom Bankkonto zur Haustür gewandert

Ein Jahrzehnt lang lautete die Standardantwort auf die Frage „na und, wenn meine KYC-Daten leaken" Identitätsdiebstahl und Phishing — lästig, versicherbar, überlebbar. 2026 reichte diese Antwort nicht mehr aus.

CertiKs Wrench-Attack-Bericht für H1 2026 — „Wrench Attack" ist der Fachbegriff für das Erpressen von Schlüsseln von einer Person durch physische Nötigung statt von einem System durch einen Exploit — dokumentiert 52 verifizierte Vorfälle im ersten Halbjahr 2026, gegenüber 39 in H1 2025, ein Anstieg um 33 %. Die erfasste finanzielle Schadenssumme stieg von 10,5 Millionen Dollar auf 124,1 Millionen — nahezu eine Verzwölffachung.

Die taktische Aufschlüsselung ist es, die das für einen Artikel über Datenlecks relevant macht:

• Hausüberfälle stiegen von einem Vorfall in H1 2025 auf zwanzig in H1 2026, rund 41 % aller Fälle.
• Entführungen stiegen von 12 auf 16. Folter blieb bei 4, Mord bei 1.
• Europa entfiel auf 39 der 52 Vorfälle, Frankreich allein auf 33 — 63,5 % des weltweiten Gesamtaufkommens.

Ein Hausüberfall erfordert eine Heimadresse. Zwanzig davon, in sechs Monaten, in einer Kategorie, die im Jahr zuvor genau einen zählte.

Die Verbindung zwischen geleakten Commerce-Daten und physischem Risiko ist nicht neu, und der Musterfall ist gut dokumentiert. Ledgers E-Commerce-Datenleck vom Juli 2020 legte etwa 1 Million E-Mail-Adressen und 272.000 Datensätze mit Namen, Telefonnummern und Heimadressen offen — ein Datensatz, der bis heute öffentlich katalogisiert ist. Was folgte, war kein Kreditkartenbetrug. Es waren Erpresser-E-Mails, die 700 bis 1.000 Dollar in Bitcoin forderten und dem Zuhause des Empfängers explizit drohten, und 2021 physisch manipulierte „Ersatz"-Geräte, verschickt an Adressen aus dem Datensatz, eingeschweißt und begleitet von gefälschtem Briefkopf, der das Opfer anwies, seine Recovery-Phrase in das veränderte Gerät einzugeben.

Das ist der Mechanismus, und 2026 lieferte frische Eingabedaten. Eine Versanddatenbank für Hardware-Wallets ist ihrer Natur nach eine Liste von Menschen, die selbst verwahren, gefiltert auf jene, denen es wichtig genug war, ein eigenes Gerät zu kaufen, samt angehängter Lieferadresse. Eine effizientere Zielliste gibt es in dieser Branche nicht, und drei davon leakten in diesem Jahr.

Die verhältnismäßige Einordnung zählt hier, und wir werden sie nicht aufblasen: 52 Vorfälle weltweit sind eine kleine Zahl gegenüber zig Millionen Haltern, und die realistische Gefährdung für den durchschnittlichen Leser ist Erpressungsspam, kein Hausüberfall. Aber die Trendlinie zeigt in die falsche Richtung, die Konzentration auf ein einziges Land ist eklatant, und die Eingabedaten sind genau die Datenkategorie, die immer weiter leakt.

Insolvenz veröffentlicht, was kein Hacker stehlen musste

Es gibt einen Offenlegungsweg, bei dem überhaupt kein Angreifer vorkommt, und fast niemand plant dafür.

Als Celsius am 5. Oktober 2022 seine Finanzoffenlegung einreichte, gelangte das 14.500-seitige Dokument in die öffentlichen Gerichtsakten — mit Kundennamen neben Art, Höhe und Datum ihrer Transaktionen —, und betraf laut damaligen Presseangaben mehr als 600.000 Nutzer. Heimadressen wurden geschwärzt. Namen nicht. Celsius bat das Gericht, sie unter Verschluss zu halten, doch das Gericht lehnte wiederholt ab, aus dem denkbar gewöhnlichen Grund, dass Gläubigeridentitäten in einem Insolvenzverfahren öffentlich sind.

Der Effekt zweiter Ordnung ist der, der einen Krypto-Halter beunruhigen sollte. Ein Name, veröffentlicht neben einem datierten Transaktionsbetrag, ist ein Abgleichsschlüssel. Wer bereit ist, die Arbeit zu investieren, kann diese datierten Beträge mit der On-Chain-Aktivität abgleichen und einen bürgerlichen Namen an Wallets heften, die nie zuvor mit einem verknüpft waren. Die Insolvenz einer custodial Plattform deanonymisierte die Chain-Historie ihrer Nutzer, dauerhaft, durch die Haustür, in einer Einreichung, die eigentlich Routine sein sollte.

Kein Exploit. Keine Lösegeldforderung. Kein Dienstleister, der versagt hätte. Nur ein Unternehmen, das Identitätsdaten hielt und dem dann das Geld ausging — das mit Abstand häufigste Ereignis in der Geschichte dieser Branche.

Was das belegt, und was nicht

Es belegt nicht, dass Börsen nachlässig sind. Sehen Sie sich die Fälle noch einmal an: Coinbase weigerte sich zu zahlen und legte öffentlich offen. Bits of Gold und Trezor legten innerhalb weniger Tage nach Entdeckung offen. Ledgers eigene Infrastruktur wurde weder 2020 noch 2026 kompromittiert, in beiden Fällen war es die eines Partners. Das sind größtenteils kompetente Organisationen mit echten Sicherheitsteams, und die Daten leakten trotzdem.

Es belegt nicht, dass KYC keinen Zweck hat, und es belegt nicht, dass es Sie von irgendetwas befreit, wenn Sie es vermeiden. Steuerpflichten sind ein eigenständiges Rechtsregime, das unabhängig davon gilt — ein Punkt, den wir im Verkaufs-Guide machen und hier wiederholen.

Was es belegt, ist enger gefasst und, wie wir meinen, schwer zu bestreiten. Die einzige Variable, die ein Nutzer kontrolliert, ist, ob die Akte überhaupt erst entstand. Existiert sie einmal, liegt ihr Schicksal außerhalb Ihrer Hände: Sie kann beim Anbieter geleakt werden, bei einem Dienstleister, von dem Sie nie gehört haben, von einem bestochenen Mitarbeiter kopiert, von einem Insolvenzgericht veröffentlicht werden, oder schlicht fünf bis zehn Jahre lang aufbewahrt werden — genug Zeit, damit jedes dieser Dinge geschehen kann. Daten, die nie erhoben wurden, kennen keines dieser Fehlerbilder. Das ist kein Privacy-Slogan, das ist die gesamte Argumentation, und jeder Vorfall oben ist ein Beispiel dafür.

Wie „keine erhobenen Daten" in der Praxis aussieht

Hier wird aus der Abstraktion eine Liste. Von den 28 Diensten in unserem Index kommen 13 völlig ohne Anmeldung aus und 11 benötigen eine E-Mail-Adresse — und der Unterschied zwischen diesen beiden Spalten ist genau der Unterschied zwischen einem Unternehmen, das Ihre Identität leaken kann, und einem, das nichts zu leaken hat.

Aufschlussreich ist das Design der Zugangsdaten, denn mehrere dieser Dienste haben ein Problem gelöst, das der Mainstream für unlösbar hält: Wie betreibt man ein Kontosystem, in dem keine Identität steckt?

ServPrivate, der im Index am höchsten bewertete Eintrag mit 9,7/10, stellt bei der ersten Zahlung ein 16-stelliges Token aus, und dieses Token ist für die gesamte Lebensdauer des Kontos die einzige Zugangsberechtigung — kein Name, keine E-Mail, kein Telefon, keine Adresse für einen Passwort-Reset. Die Konsequenz ist struktureller Natur, kein bloßes Versprechen: Es gibt keinen Ausweich-Identifikator, zu dessen Herausgabe ein Betreiber gezwungen werden könnte, weil nie einer geschaffen wurde.

Mullvad mit 9,4/10 macht dasselbe mit einer 16-stelligen Kontonummer und sonst nichts, und sein No-Logs-Versprechen gehört zu der sehr kurzen Liste jener, die tatsächlich getestet statt nur behauptet wurden — eine Razzia der schwedischen Polizei 2023 förderte keine Kundendaten zutage, die sich hätten beschlagnahmen lassen. IVPN mit 9,3/10 ist der nahezu eineiige Zwilling aus Gibraltar, mit sechs aufeinanderfolgenden jährlichen Cure53-No-Logs-Audits, vollständig veröffentlicht; der Vergleich behandelt die Unterschiede.

SMSBurner mit 9,6/10 geht noch weiter: Der Server erzeugt eine 16-stellige Seed-Phrase, und die Seed-Phrase ist das Konto — keine E-Mail, kein Passwort, kein Benutzername und kein Wiederherstellungsverfahren, ein realer Preis, ehrlich ausgezeichnet. MoneroSMS mit 6,9/10 ist die Monero-primäre Alternative mit Onion-Mirror. Beide zählen aus demselben Grund: Eine Telefonnummer, die an Ihren Mobilfunkanschluss gebunden ist, ist der Identifikator, der jede andere Vorsichtsmaßnahme überlebt — und es ist derjenige, der per SIM-Swap gekapert wird.

GrabMail mit 6,9/10 hat überhaupt kein Konto — keine E-Mail, kein Passwort, keine Zahlung, kein Cookie — und löscht jede Nachricht nach fünf Tagen. Der Dienst ist offen, was den Kompromiss angeht: Auf einer geteilten Domain ist die Adresse das einzige Geheimnis, weshalb er sich hervorragend als Rohrleitung für einen Verifizierungscode eignet und denkbar schlecht für alles, was ein Fremder nicht mitlesen sollte. SimpleLogin mit 7,5/10 geht den entgegengesetzten Kompromiss ein — es benötigt eine Konto-E-Mail, weshalb es bei diskret (L2) liegt —, ist aber auf jeder Ebene Open Source, 2022 von Securitum auditiert, und gibt Ihnen einen Alias pro Anbieter.

Und ganz unten auf der Leiter sind Bisq mit 8,7/10 und BasicSwap mit 9,1/10 die einzigen beiden Einträge mit Einstufung vertrauenslos (L0) im Index — kein Unternehmen hält Gelder, kein Unternehmen führt ein Konto, und folglich gibt es keine Kundentabelle, die geleakt, per Vorladung herausverlangt oder in einer Liquidation verkauft werden könnte. Genau das misst die Spitze unserer KYC-Leiter, und dieser Artikel ist der Grund, warum die Leiter so geformt ist, wie sie ist: L0 hat nichts zu leaken, L1 hat eine Policy, L5 hat eine Akte.

Eine ehrliche Grenze, weil es genau die Grenze ist, die die Datenlecks von 2026 ausnutzten. Kein Signup bedeutet keine Spur — außer wenn ein physisches Objekt zugestellt werden muss. Der Versand einer Hardware-Wallet erzeugt eine Adresse, und genau diese Adresse ist es, die bei Ledger, Trezor und SafePal leakte — nicht ihr KYC, das sie größtenteils gar nicht erheben. Unser Ausgabe-Guide behandelt das Zustellungsproblem ausführlicher; kurz gesagt sind die stärksten No-KYC-Kategorien jene, bei denen es nichts zu versenden gibt.

Was zu tun ist, wenn Sie sich bereits verifiziert haben

Die meisten Leser haben das. Die realistische Frage ist nicht, wie man es rückgängig macht — das können Sie nicht —, sondern was danach noch etwas bewirkt.

• Akzeptieren Sie, dass die Kopie vorerst dauerhaft ist. Die AML-Aufbewahrungsuhr läuft fünf Jahre nach Ihrer letzten Transaktion, in manchen Rechtsordnungen zehn, und kein Löschantrag setzt das außer Kraft. Planen Sie mit der Existenz der Akte, nicht mit ihrer Beseitigung.
• Hören Sie auf, einen Identifikator über mehrere Anbieter hinweg wiederzuverwenden. Eine einzige E-Mail-Adresse über zehn Plattformen hinweg bedeutet, dass ein Leak genügt, um alle zehn zu korrelieren. Ein Alias pro Anbieter macht jeden Leak auf seine Quelle zurückführbar und einzeln widerrufbar — die günstigste strukturelle Verbesserung auf dieser Liste.
• Nehmen Sie Ihre Mobilfunknummer aus dem Spiel. Sie ist der Identifikator, der SIM-Swap-Angriffe verankert und jede andere Änderung überlebt; genau dafür gibt es die SMS-Kategorie.
• Verschicken Sie nie etwas Kryptobezogenes an Ihre Heimadresse, wenn Sie eine Alternative haben. Das ist die konkrete, belegte Lehre aus 2026, keine allgemeine Empfehlung. Eine Paketstation oder ein Abholpunkt kostet nichts und entfernt Ihre Adresse aus der nächsten Bestelldatenbank, die leakt.
• Bestätigen Sie Ihre Bestände nirgends dort, wo sie mit einer Adresse gepaart werden. Support-Tickets, Garantieregistrierungen, Gewinnspielformulare und Forumsprofile sind allesamt Orte, an denen Menschen freiwillig genau die Kombination preisgeben, die ein Datenleck sonst erst zusammensetzen müsste.
• Führen Sie kein KYC-verknüpftes Guthaben mit einem privaten zusammen. Eine Transaktion, die mehrere Inputs gleichzeitig ausgibt, erklärt, dass eine einzige Instanz alle kontrolliert hat, dauerhaft und öffentlich — eine verifizierte Historie in einen unverifizierten Bestand einzuschmelzen ist unumkehrbar, wir behandeln es im Kauf-Guide.
• Behandeln Sie Erpresser-Post als Massen-Spam. E-Mails nach einem Datenleck, die genaue Kenntnis Ihrer Bestände behaupten, werden überwältigend oft als Massenversand aus einer geleakten Liste verschickt. Der Besitz Ihrer Adresse ist nicht der Besitz Ihrer Schlüssel.
• Verbessern Sie den nächsten Schritt, nicht den letzten. Sie können sich nicht ent-verifizieren. Sie können aber dafür sorgen, dass der nächste Dienst, bei dem Sie sich anmelden, einer ist, der nie danach fragt — was, den Belegen oben zufolge, der einzige Schritt ist, der strukturell etwas ändert.

Häufige Fragen

Kann ich eine Börse dazu bringen, meine KYC-Daten zu löschen?

In der Regel nein, und nicht, weil die Börse sich weigert. Die AML-Aufbewahrungspflicht ist eine gesetzliche Verpflichtung, und das Recht auf Löschung nach der DSGVO tritt zurück, wo eine Verarbeitung zur Erfüllung einer solchen Pflicht erforderlich ist. Nach Article 77 AMLR beträgt die Aufbewahrungsfrist fünf Jahre ab Ende der Geschäftsbeziehung, danach wird die Löschung verpflichtend statt optional — aber während dieser Jahre hat der Antrag keine rechtliche Wirkung. Marketing- und Analytics-Profile lassen sich in der Regel löschen; die Identitätsakte ist eine andere Kategorie.

Ist mein Ausweis sicher, wenn die Börse selbst nie gehackt wird?

Die Bilanz von 2026 sagt: Das ist die falsche Frage. Ledger, Trezor, SafePal und Bits of Gold wurden allesamt über Drittanbieter kompromittiert — einen Merchant of Record, einen Fulfilment-Anbieter, ein Bestellverfolgungs-Plugin und ein Analytics-Tool. Coinbase wurde über Support-Mitarbeiter kompromittiert. In keinem dieser Fälle wurde das Kernprodukt des Unternehmens kompromittiert. Ihre Gefährdung ist die Vereinigung aller Dienstleister in der Kette, und diese Liste wird Ihnen nicht gezeigt.

Was ist riskanter, die Börse oder der Identitätsprüfungs-Dienstleister?

Der Dienstleister ist das Ziel mit der größeren Hebelwirkung, weil er bündelt. Ein Börsen-Leak legt die Nutzer dieser einen Börse offen; ein Leak beim Verifizierungsdienstleister betrifft potenziell jede Plattform, die die Prüfung an ihn ausgelagert hat. Das ist die strukturelle Sorge, die die Sumsub-Offenlegung im Februar 2026 aufwirft, unabhängig davon, wie begrenzt sich diese konkrete Offenlegung am Ende erweist, und es ist der Grund, warum ein gemeldeter Identitäts-Dump mit einer Milliarde Datensätzen plausibel ist, auf eine Weise, wie es eine Börse mit einer Milliarde Nutzern nie wäre.

Bringt ein KYC-Datenleck meine Coins in Gefahr?

Nicht direkt — geleakte Identitätsdaten bewegen keine Gelder, und keiner der Vorfälle von 2026 legte Private Keys oder Recovery-Phrasen offen. Das Risiko ist indirekt, aber real: gezieltes Phishing, das Ihren echten Namen und Ihre Kaufhistorie kennt, SIM-Swap-Versuche gegen eine bekannte Telefonnummer, manipulierte Hardware, verschickt an eine bekannte Adresse, und am extremen Ende die Kategorie physischer Nötigung, die laut CertiK im Jahresvergleich um 33 % zunahm.

Warum wurden Käufer von Hardware-Wallets 2026 gezielt ins Visier genommen?

Weil eine Versanddatenbank für Hardware-Wallets die hochwertigste Zielliste der Branche ist. Jeder Eintrag ist eine Person, die selbst verwahrt, der es wichtig genug war, ein eigenes Gerät zu kaufen, mit einer verifizierten Lieferadresse. Die Ironie ist exakt: Der Kauf, der Ihre Coins aus dem Risiko eines Verwahrers herausnimmt, ist derselbe Kauf, der Ihre Adresse in der Datenbank eines Händlers landen lässt.

Ist das Vermeiden von KYC nur etwas für Leute, die etwas zu verbergen haben?

Die 52 Personen in CertiKs Zählung für H1 2026 verbargen nichts. Sie waren identifizierbar, und jemand wusste, wo sie wohnten. Das Argument für eine minimierte Akte ist dasselbe wie dafür, seinen Kontostand nicht zu veröffentlichen: keine Verheimlichung, sondern das ganz gewöhnliche Urteilsvermögen, dass Daten, die nicht erhoben wurden, weder geleakt noch per Vorladung herausverlangt, in einer Insolvenz verkauft, noch benutzt werden können, um Sie zu finden. Gesetzliche Pflichten — allen voran Steuern — bleiben davon unberührt.

Was ist die eine Änderung mit dem größten Nutzen?

Verschicken Sie keine Krypto-Hardware mehr an Ihre Heimadresse, und verwenden Sie pro Dienst einen eigenen E-Mail-Alias. Diese beiden Maßnahmen kosten nichts, erfordern keine technischen Fähigkeiten und adressieren genau die beiden Datenkategorien, die 2026 tatsächlich leakten. Alles andere auf der Liste ist Feinschliff.

Schützt mich ein VPN davor?

Es schützt die IP-Adresse, was ein echter Gewinn ist — der Leak von Bits of Gold umfasste IP-Adressen, und IVPN und Mullvad stehen genau deshalb im Index, weil sie von vornherein nichts erheben, was leaken könnte. Es ändert nichts an einem Dokument, das Sie bereits hochgeladen haben, oder einer Adresse, die Sie bereits einem Kurier gegeben haben. Beheben Sie zuerst die Erhebung; das VPN ist Hygiene, die obendrauf kommt.

Fazit

Das Nützlichste, was diese Bilanz zeigt, ist, dass der übliche Rat auf die falsche Ebene zielt. Eine seriöse Börse zu wählen, Hardware-Zwei-Faktor zu aktivieren und ein starkes Passwort zu verwenden, lohnt sich alles — und keine dieser Maßnahmen hätte auch nur einer einzigen Person in einem der obigen Vorfälle geholfen. Deren Daten leakten über einen Fulfilment-Anbieter, ein Analytics-Tool, einen bestochenen Mitarbeiter und eine Insolvenz-Einreichung.

Zwei Dinge verallgemeinern sich über jeden hier genannten Dienst hinaus. Die Zahl der Parteien, die Ihre Identitätsdokumente halten, ist Ihnen unbekannt, und sie ist nie eins — die Dienstleisterkette ist ihrer Natur nach unsichtbar, und genau dort geschahen die Datenlecks von 2026. Und Aufbewahrung bedeutet, dass das Expositionsfenster die Geschäftsbeziehung überdauert: Die Akte überlebt das Konto um mindestens fünf Jahre — reichlich Zeit dafür, dass ein Unternehmen übernommen, gehackt oder abgewickelt wird.

Dem gegenüber liegt die einzige dauerhafte Kontrolle allem vorgelagert. Eine Akte, die nie entstand, kann nicht von einem Dienstleister geleakt werden, von dem Ihnen nie erzählt wurde, kann nicht von einem bestochenen Mitarbeiter kopiert werden, und kann nicht von einem Unternehmen, dem das Geld ausgegangen ist, in einem Gerichtsverfahren veröffentlicht werden. Das ist die gesamte These dieser Seite, und dieses Jahr hat die Belege dafür geliefert.

Dies ist eine redaktionelle Analyse, keine Rechts-, Sicherheits- oder Finanzberatung.