Die Kryptobörse verlangt Ausweis und Selfie
Eine zugelassene Börse muss die vollständige Prüfung durchführen. Die Frage, die Ihre Zeit verdient, ist eine andere: ist sie überhaupt zugelassen?
Kurze Antwort
- Schwärzen Sie nichts, was an eine zugelassene Börse geht. Das Geldwäschegesetz verlangt die vollständige Kopie — ein verdecktes Feld ist eine gescheiterte Prüfung, kein Schutz.
- Prüfen Sie das Register, bevor Sie die Felder prüfen. Seit MiCAR braucht jeder Kryptowerte-Dienstleister eine Zulassung, und die steht in einem öffentlichen Verzeichnis.
- Außerhalb eines beaufsichtigten Unternehmens hat niemand Anspruch darauf. Der gefälschte Airdrop, die Nachricht „Auszahlung freischalten“ und die P2P-Gegenseite wollen dasselbe Paket ohne jede Pflicht.
- Die Kopie hat eine Frist. § 8 Abs. 4 GwG setzt fünf Jahre, und das Löschrecht der DSGVO sticht eine gesetzliche Aufbewahrungspflicht nicht aus.
Fast jede andere Seite hier rät Ihnen, Felder zu verdecken, bevor Sie ein Dokument verschicken. Diese rät zum Gegenteil, und das gehört deutlich gesagt: wenn die Börse zugelassen ist, schicken Sie das vollständige Dokument — ungeschwärzt und ohne Wasserzeichen.
Warum eine zugelassene Börse das ganze Dokument braucht
Eine Kryptobörse in der EU ist kein unbeaufsichtigtes Geschäft mehr. Die Verordnung (EU) 2023/1114 — MiCAR — verlangt für Kryptowerte-Dienstleistungen nach Artikel 59 eine Zulassung durch die zuständige nationale Behörde, in Deutschland die BaFin. Mit der Zulassung wird das Unternehmen zum Verpflichteten nach dem Geldwäschegesetz, genau wie eine Bank.
Damit greifen die allgemeinen Sorgfaltspflichten des § 10 GwG und die Identifizierungspflicht des § 11 GwG, die vor Begründung der Geschäftsbeziehung zu erfüllen ist. Wie weit das geht, steht in § 8 Abs. 2 GwG: der Verpflichtete hat das Recht und die Pflicht, vollständige Kopien der vorgelegten Dokumente anzufertigen oder sie vollständig optisch digitalisiert zu erfassen. Auf europäischer Ebene löst die Verordnung (EU) 2024/1624 das Ganze ab 10. Juli 2027 durch unmittelbar geltendes Recht ab.
Die Pflicht liegt beim Unternehmen, nicht bei Ihnen, und sie ist eine Pflicht zum Erfassen, nicht zum Ansehen. Das System liest Name, Geburtsdatum, Dokumentennummer, Gültigkeit und meist die maschinenlesbare Zone und gleicht das Lichtbild mit einer Live-Aufnahme ab. Ein schwarzer Balken darüber ist ein fehlendes Feld.
Und Scheitern ist nicht folgenlos. Mehrere abgelehnte Verifizierungsversuche wirken nicht vorsichtig, sondern auffällig; die übliche Folge ist eine Prüfung mit eingeschränktem Konto — unangenehm, wenn eine Auszahlung offen ist. Dieselbe Grenze beschreibt Wann Schwärzen nicht funktioniert, ausführlicher für Banken Für die Bank können Sie den Ausweis nicht schwärzen.
Die Prüfung, die Ihr Misstrauen verdient
Die Entscheidung lautet nicht welche Felder verdecke ich, sondern ist das überhaupt ein beaufsichtigtes Unternehmen. Denn ein Anbieter ohne Zulassung sammelt exakt dasselbe Dokumentenpaket in derselben Reihenfolge ein — ohne Löschfristen, ohne Sicherheitspflichten und ohne jemanden, bei dem man sich beschweren könnte.
Diese Frage lässt sich in einer Minute beantworten:
- Deutschland. Die BaFin führt die öffentliche Unternehmensdatenbank der beaufsichtigten Institute und erklärt die Aufsicht über Kryptowerte-Dienstleister auf ihren Seiten zu Kryptoinstituten. Wichtig für 2026: Deutschland hat die MiCAR-Übergangsfrist über § 50 Abs. 2 Nr. 3 KMAG auf den Ablauf des 31. Dezember 2025 verkürzt. Wer hier heute ohne Zulassung anbietet, befindet sich nicht in einer Übergangsphase.
- EU-weit. Die ESMA veröffentlicht das MiCAR-Register der zugelassenen Kryptowerte-Dienstleister und an derselben Stelle eine Liste der als nicht konform gemeldeten Anbieter. Eine Zulassung gilt über den Europäischen Pass in der gesamten EU, Ihre Börse darf also im irischen oder maltesischen Register stehen — in irgendeinem muss sie stehen.
- Österreich. Zuständig ist die FMA; die MiCAR-Übergangsfrist lief dort bis zum 1. Juli 2026. Prüfen lässt sich das ebenfalls im ESMA-Register.
- Schweiz. Die Schweiz liegt außerhalb von MiCAR und hat ein eigenes Regime: Anbieter brauchen eine FINMA-Bewilligung oder den Anschluss an eine Selbstregulierungsorganisation nach dem Geldwäschereigesetz. Die FINMA führt dazu ein Verzeichnis der bewilligten Institute und Personen. Mehr dazu in Ausweiskopie in Österreich und der Schweiz.
- Firmierung statt Marke. Börsen werben unter einem Namen und werden unter einem anderen zugelassen. Wenn Register, Impressum und AGB nicht dieselbe Gesellschaft nennen, haben Sie nichts geprüft.
Ein Eintrag im Register ist übrigens keine Aussage über Solvenz oder Sicherheit. Er bedeutet: beaufsichtigt, mit Pflichten — auch gegenüber Ihrem Dokument.
Wer fragt, ist es legitim, und was schicken Sie?
| Wer fragt | Legitim? | Was Sie schicken |
|---|---|---|
| Eine Börse aus dem Register, in ihrer eigenen App, in einem von Ihnen gestarteten Vorgang | Ja — echte gesetzliche Pflicht | Das vollständige Dokument, ungeschwärzt, plus den Live-Schritt |
| Eine Börse, die in keinem Register steht | Nein | Nichts. Kein Konto eröffnen |
| E-Mail oder DM vom „Support“: Auszahlung wegen KYC gesperrt | Nein | Nichts. Selbst einloggen und nach offenen Aufgaben sehen |
| Eine Seite, auf der ein Airdrop oder Bonus erst „freigeschaltet“ werden muss | Nein | Nichts |
| Ein Rückholdienst für bereits verlorene Kryptowerte | Nein | Nichts — das zielt auf bereits Geschädigte |
| Ihre Gegenseite bei einem P2P-Handel | Nein | Nichts. Es prüft die Plattform, nie der Handelspartner |
| Eine zugelassene Börse, die den Ausweis per E-Mail-Anhang möchte | Nein — richtiges Haus, falscher Kanal | Nichts. In der App erledigen |
Die letzten beiden Zeilen sind die wichtigsten. Eine P2P-Gegenseite, die den Ausweis will, macht keine abgespeckte KYC-Prüfung: Das ist eine fremde Person, die ein Dokument möchte, und gehört zu Bei Kleinanzeigen will jemand den Ausweis sehen — dort ist eine geschwärzte Kopie die richtige Antwort, falls Sie das Geschäft überhaupt weiterführen wollen. Und eine seriöse Börse, die Ihnen eine E-Mail mit der Bitte um einen Anhang schickt, ist mit hoher Wahrscheinlichkeit nicht Ihre Börse: den Verifizierungsschritt nachzuahmen ist einer der ertragreichsten Wege zu vollständigen Ausweiskopien.
Was nach der bestandenen Prüfung mit der Kopie passiert
Sie bleibt weder für immer liegen, noch lässt sie sich auf Zuruf löschen.
Die Frist steht im Gesetz. Nach § 8 Abs. 4 GwG sind die Aufzeichnungen fünf Jahre aufzubewahren und danach unverzüglich zu vernichten, spätestens nach Ablauf von zehn Jahren. Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem die Geschäftsbeziehung endete. Ab 2027 setzt die EU-Geldwäscheverordnung fünf Jahre als harmonisierte Regel.
Das Löschrecht hat eine Lücke, und zwar die richtige. Artikel 17 Abs. 3 Buchst. b DSGVO nimmt das Recht auf Löschung aus, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Eine Börse, die während der geldwäscherechtlichen Frist nicht löscht, blockt Sie nicht ab — sie tut, was das Gesetz verlangt. Läuft die Frist ab, dreht sich die Pflicht um: dann müssen die Daten weg.
Fragen Sie nach der zweiten Kopie. Die wenigsten Börsen bauen die Identitätsprüfung selbst; sie kaufen sie ein. Ihr Dokument und Ihr Gesicht wurden also von einem benannten externen Dienstleister verarbeitet, per Vertrag, womöglich in einem anderen Land. Eine Auskunft nach Artikel 15 DSGVO nennt ihn. Das ist die nützlichste Frage überhaupt, weil „wer hat meine Ausweiskopie“ selten nur eine Antwort hat — die Mechanik steht in Darf eine Firma die Ausweiskopie speichern?.
Immer der Weg über die App. Nicht per E-Mail, nicht per Messenger, nicht über einen Upload zu einem allgemeinen Filehoster. Was im Verifizierungsprozess landet, fällt unter die oben beschriebene Aufbewahrungsregel. Was als E-Mail-Anhang verschickt wird, liegt in einem Postfach ganz ohne Frist.
Das Selfie und die Lebendprüfung
Das Selfie ist kein zusätzlicher Übergriff, sondern der Teil, der die Dokumentenprüfung überhaupt bedeutsam macht. Eine Kopie belegt, dass ein Dokument existiert; erst eine Live-Aufnahme bindet es an die Person, die gerade davorsitzt.
Deshalb sagt die Form der Anfrage so viel aus. Eine echte Prüfung schaltet die Kamera selbst ein, lässt Sie den Kopf drehen oder einem Punkt folgen und wählt ihre eigenen Einzelbilder — weil sie davon ausgeht, dass alles, was Sie einreichen, das Foto eines Fotos sein könnte. Die Aufforderung, selbst ein Standbild mit dem Ausweis in der Hand aufzunehmen, womöglich mit handschriftlichem Datum, ist das Gegenteil: Sie erzeugt eine weiterleitbare Datei für die manuelle Prüfung einer anderen Plattform. Die Erkennungsmerkmale stehen vollständig in Selfie mit dem Ausweis in der Hand.
Also: In der Live-Erfassung einer zugelassenen Börse lassen Sie alles unverändert laufen. Überall sonst ist das Foto das Produkt.
Nichts auf dieser Website hilft Ihnen, eine KYC-Prüfung zu bestehen, und Anonymize my ID bildet da keine Ausnahme: Es ist für die Anfragen gedacht, hinter denen keine Aufsicht steht — die Gegenseite eines Handels, der Gruppenchat, der Support einer Plattform. Bei einer beaufsichtigten Börse ist das Werkzeug das Register, nicht der Balken.
Häufige Fragen
Muss ich einer Kryptobörse wirklich meinen Ausweis schicken?
Wenn sie zugelassen ist: ja. Seit der MiCAR benötigt jedes Unternehmen, das in der EU Kryptowerte-Dienstleistungen erbringt, eine Zulassung, und damit gelten dieselben geldwäscherechtlichen Identifizierungspflichten wie bei einer Bank. Eine Variante der Prüfung mit einem unvollständigen Dokument gibt es nicht. Wer sich einem beaufsichtigten Unternehmen nicht ausweisen möchte, sollte nicht schwärzen, sondern das Konto nicht eröffnen.
Darf ich die Kopie für die Börse schwärzen oder mit einem Wasserzeichen versehen?
Nein. Das Onboarding-System liest die Felder des Dokuments und gleicht das Lichtbild meist mit einer Live-Aufnahme Ihres Gesichts ab. Ein schwarzer Balken ist damit ein fehlendes Feld, und ein Wasserzeichen quer über die Datenseite wird von manchen Systemen als Manipulationshinweis gewertet. Praktisch werden Sie erneut aufgefordert, mitunter mit eingeschränktem Konto, und schicken das vollständige Dokument am Ende ohnehin.
Wie prüfe ich, ob eine Kryptobörse zugelassen ist?
In einem Register, nicht auf der Website der Börse. Die BaFin führt eine öffentliche Unternehmensdatenbank der von ihr beaufsichtigten Institute, die ESMA veröffentlicht das EU-weite MiCAR-Register zusammen mit einer Liste als nicht konform gemeldeter Anbieter. Suchen Sie nach der exakten Firmierung aus dem Impressum und den AGB, nicht nach dem Markennamen aus der Werbung.
Eine Seite verlangt KYC, damit ein Airdrop oder eine Auszahlung freigegeben wird. Ist das echt?
So gut wie nie. Eine echte Prüfung erfolgt bei der Kontoeröffnung oder beim Überschreiten einer Schwelle, in der App und in einer Sitzung, die Sie selbst gestartet haben. Eine Aufforderung, die per Nachricht kommt, angeblich vorhandenes Geld blockiert und auf ein Formular unter einer unbekannten Domain führt, ist das Standardmuster zum Einsammeln vollständiger Ausweiskopien. Die Freischaltgebühr danach bestätigt es.
Meine Gegenseite bei einem P2P-Handel will ein Foto des Ausweises. Ist das üblich?
Nein. Wo eine P2P-Plattform Identifizierungspflichten hat, erfüllt sie diese selbst und delegiert sie nie an Ihren Handelspartner. Wer Sie direkt um das Dokument bittet, hat keine Aufbewahrungspflicht, keine Löschfrist und keine Aufsicht über sich. Das ist dieselbe Anfrage wie die eines Kleinanzeigen-Käufers, der vor der Zahlung eine „Verifizierung“ möchte — und dieselbe Antwort.
Wie lange speichert die Börse meinen Ausweis, und kann ich die Löschung verlangen?
Die Frist bestimmt das Gesetz, nicht das Unternehmen. Nach § 8 Abs. 4 GwG sind die Aufzeichnungen fünf Jahre aufzubewahren und danach unverzüglich zu vernichten, spätestens nach zehn Jahren. Artikel 17 Abs. 3 Buchst. b DSGVO nimmt das Löschrecht aus, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Sinnvoll ist stattdessen eine Auskunft: welcher externe Dienstleister hat die Prüfung durchgeführt?