Dossier: Behördliche Auskunftsersuchen und Datenlecks

Stand in drei Sätzen

Banken, Zahlungsdienste und Krypto-Dienstleister müssen ihre Kunden identifizieren und Ausweiskopien, Verifizierungsbilder und Transaktionsdaten über Jahre aufbewahren; Finanzbehörden erhalten zusätzlich Meldungen über Kryptowerte (DAC8). In den Jahren 2025 und 2026 sind solche Bestände mehrfach abgeflossen – durch gefälschte Behördenanfragen (Revolut, September 2026), bestochene Kundendienst-Mitarbeiter (Coinbase, 2025) und Zugriffe auf Behördensysteme (französische Finanzverwaltung und Berliner Verwaltung, Sommer 2026). Gleichzeitig steigt in Frankreich die Zahl von Entführungen und Erpressungen, die auf Besitzer von Kryptowerten zielen; die Debatte dreht sich deshalb nicht nur um Datenschutz, sondern um die körperliche Sicherheit der Betroffenen.

Chronik

Datum	Was geschah
23.09.2026	SEC-Kommissarin Hester Peirce kritisiert in einer Rede wachsende KYC-Datenbestände als Sicherheitsrisiko und schlägt Zero-Knowledge-Nachweise sowie die Wiederverwendung bereits erfolgter Identitätsprüfungen vor. Sie spricht ausdrücklich für sich, nicht für die US-Börsenaufsicht; ein Regelungsvorhaben ist damit nicht verbunden.
12.09.2026	Revolut bestätigt, Kundendaten auf gefälschte Auskunftsersuchen hin herausgegeben zu haben. Die Anfragen kamen über die echte E-Mail-Domain einer Behörde von einem unbefugt genutzten Konto. Betroffen waren nach Unternehmensangaben eine begrenzte, nicht bezifferte Zahl von Kunden; herausgegeben wurden unter anderem Kontaktdaten und Ausweisdokumente, möglicherweise auch Verifizierungsbilder, Kontoauszüge und Transaktionshistorien.
11.09.2026	Die französische Staatsanwaltschaft gegen organisierte Kriminalität zählt mehr als 70 Entführungen und Freiheitsberaubungen mit Bezug zu Kryptowerten seit Jahresbeginn – nach 67 im ganzen Jahr 2025 und 20 im Jahr 2024.
14.08.2026	Die französische Finanzverwaltung (DGFiP) meldet unbefugte Zugriffe auf ihr Informationssystem im Juni und Juli 2026 mit missbrauchten Zugangsdaten; betroffen sind Steuer- und Katasterdaten von rund 678.000 Personen und Unternehmen.
06.08.2026	Die Analysefirma Chainalysis zählt bis Ende Juni 2026 weltweit 46 dokumentierte gewaltsame Übergriffe auf Besitzer von Kryptowerten, nach 40 im gleichen Zeitraum 2025. Die Beute schätzt sie für das erste Halbjahr 2026 auf mehr als 30 Millionen US-Dollar, für das ganze Jahr 2025 auf 58 Millionen.
07.–12.08.2026	Angriff auf Netze der Berliner Verwaltung; Daten werden kopiert und veröffentlicht. Laut der Berliner Datenschutzbeauftragten (Stand 11.09.2026) möglicherweise auch Bankdaten von Bürgern; der Umfang wird noch geprüft.
01.01.2026	Beginn der DAC8-Meldepflicht: Krypto-Dienstleister erfassen Daten ihrer Kunden für die Finanzbehörden.
Mai 2025	Coinbase meldet, dass Kriminelle Mitarbeiter externer Kundendienste bestochen und Daten von 69.461 Kunden erlangt haben, darunter Ausweisbilder.

Wie Daten abfließen

• Gefälschte Behördenanfragen: Unternehmen müssen berechtigte Auskunftsersuchen beantworten. Kommt eine Anfrage von einer echten Behördenadresse, gilt sie leicht als echt – auch wenn das Postfach übernommen wurde. Die gängigen E-Mail-Prüfverfahren bestätigen nur die Domain, nicht die Berechtigung der Person.
• Innentäter: Wer Zugriff hat, kann Daten verkaufen – beim Unternehmen, bei Dienstleistern im Auftrag oder in einer Behörde.
• Angriffe auf Behördennetze: Auch staatliche Systeme werden erfolgreich angegriffen; Berlin und die französische Finanzverwaltung sind Beispiele aus demselben Sommer.

Warum Kryptowerte das Risiko verschärfen

• Dauerhafte Verknüpfung: Ein Ausweis lässt sich neu ausstellen, eine öffentliche Blockchain nicht ändern. Wer einmal mit seinen Adressen und Transaktionen verknüpft wurde, bleibt es.
• Zielauswahl: Ein Datensatz aus Name, Anschrift und Vermögen ist für Erpresser wertvoll. Ein Zusammenhang einzelner Taten mit den genannten Lecks ist öffentlich nicht belegt.
• Wachsende Bestände: Mit DAC8 (seit 2026), den Aufbewahrungspflichten der Geldwäscheregeln und der ab Juli 2027 geltenden EU-Geldwäscheverordnung wächst die Menge der vorgehaltenen Daten weiter.

Einordnung für Abgeordnete

Zwei Fragen auseinanderhalten. Die eine: Sind die Wege abgesichert, über die Behörden auf Daten zugreifen und auf denen Daten gespeichert werden? Die andere: Müssen so viele Daten so lange vorgehalten werden? Beide sind legitim; die erste lässt sich unabhängig von der zweiten beantworten. Zur zweiten hat sich im September 2026 eine amtierende Finanzaufseherin geäußert: SEC-Kommissarin Hester Peirce hielt fest, jedes zusätzliche Feld persönlicher Daten, das der Staat erhebt und aufbewahrt, erhöhe die Wahrscheinlichkeit, dass der Staat oder ein Privater versehentlich oder absichtlich damit Missbrauch treibt (übersetzt). Als Ausweg nannte sie Nachweise, die nur bestätigen, dass eine Person eine Anforderung erfüllt, ohne Name, Einkommen oder Anschrift offenzulegen. Die Rede bezieht sich auf US-Recht – das Argument ist übertragbar, die Regeln sind es nicht.

Vieles ist national. Die Identifizierungspflichten selbst sind weitgehend EU-Recht. Wie Behörden Ersuchen übermitteln, wie Finanz- und Steuersysteme gesichert werden und wann Betroffene informiert werden, entscheiden Bund und Länder.

Wo Rückfragen ansetzen:

1. Wie werden Auskunftsersuchen deutscher Behörden an Banken und Krypto-Dienstleister übermittelt, und können die Empfänger die Berechtigung der anfragenden Person prüfen?
2. Wer hat Zugriff auf die DAC8-Meldedaten, und wird jeder Zugriff protokolliert?
3. Wann und wie werden Bürger informiert, wenn ihre Finanzdaten herausgegeben wurden oder abgeflossen sind?
4. Gibt es eine Meldestelle für Unternehmen, die ein gefälschtes Behördenersuchen vermuten?
5. Setzt sich die Bundesregierung bei den EU-Geldwäscheregeln dafür ein, dass sich Kunden gegenüber Finanzdienstleistern ohne erneute Ausweiskopie identifizieren können – etwa über Nachweise, die nur bestätigen, dass eine Anforderung erfüllt ist, oder über eine bereits erfolgte Prüfung bei einem anderen Institut?

Politische Einordnung, keine Rechtsberatung.