PostIdent und VideoIdent: welche Ausweisdaten wirklich übertragen werden
Warum Sie hier ausnahmsweise nicht schwärzen sollten — und wo trotzdem Vorsicht angebracht ist.
Kurze Antwort
- Nicht schwärzen. Im geldwäscherechtlichen Verfahren ist die vollständige Erfassung Pflicht, nicht Übergriff.
- Sie starten das Verfahren, nie eine SMS oder E-Mail, die Ihnen einen Link schickt.
- Die eID-Variante überträgt am wenigsten: nur die Datenfelder, die die Stelle abfragen darf — kein Bild des Dokuments.
- Die Kopie ist nach § 8 Abs. 4 GwG fünf Jahre aufzubewahren und danach unverzüglich zu vernichten.
Fast alle Ratgeber auf dieser Seite laufen auf denselben Rat hinaus: schwärzen, bevor Sie etwas herausgeben. Dieser hier ist die Ausnahme — und es lohnt sich zu verstehen, warum, damit Sie nicht ausgerechnet dort vorsichtig sind, wo Vorsicht Ihnen das Konto kostet.
Was bei den drei Verfahren tatsächlich passiert
Wer in Deutschland ein Konto eröffnet, einen Kredit aufnimmt, eine Versicherung abschließt oder sich bei einer Kryptobörse anmeldet, durchläuft eine gesetzlich vorgeschriebene Identifizierung. In der Praxis gibt es drei Wege:
| Verfahren | Wie es abläuft | Was übertragen wird |
|---|---|---|
| PostIdent in der Filiale | Sie legen den Ausweis in einer Postfiliale vor | Vollständige Erfassung des Dokuments, Abgleich mit Ihrem Gesicht |
| VideoIdent | Videogespräch mit einer geschulten Person | Live-Bilder des Dokuments von beiden Seiten, Sicherheitsmerkmale, MRZ, Ihr Gesicht |
| eID / Online-Ausweisfunktion | Ausweis ans Handy halten, PIN eingeben | Nur die Datenfelder, für die die Stelle berechtigt ist — kein Bild des Dokuments |
Bei den ersten beiden entsteht eine vollständige Kopie. Das ist kein Übergriff, sondern die Erfüllung von § 8 Abs. 2 Geldwäschegesetz, der von Verpflichteten ausdrücklich verlangt, das vorgelegte Dokument vollständig zu kopieren oder vollständig digital zu erfassen. Details zu den Sorgfaltspflichten dahinter stehen in § 11 und § 12 GwG.
Deshalb wäre Schwärzen hier ein Fehler
Die Prüfsysteme lesen die maschinenlesbare Zone automatisch aus, gleichen die Prüfziffern ab und vergleichen die aufgedruckten Angaben mit dem, was Sie im Antrag eingetragen haben. Ein verdecktes Feld bedeutet nicht „vorsichtiger Kunde“, sondern „Prüfung nicht bestanden“ — und danach dürfen Sie den Termin wiederholen. Dieselbe Logik gilt für die App oder das Upload-Portal Ihrer Bank; mehr dazu in Welche Ausweiskopie braucht die Bank wirklich?.
Beim VideoIdent kommt hinzu, dass die geschulte Person Sicherheitsmerkmale prüft: Sie werden gebeten, den Ausweis zu kippen, damit Hologramme und Kippbilder sichtbar werden. Auch das setzt ein unverändertes Dokument voraus.
Die eID-Variante ist die datensparsamste
Wenn Sie die Wahl haben, ist die Online-Ausweisfunktion die Variante, die am wenigsten preisgibt. Es entsteht kein Bild Ihres Ausweises; übertragen werden nur die Datenfelder, für die die abfragende Stelle ein Berechtigungszertifikat besitzt, und Sie bestätigen die Übertragung mit Ihrer PIN. Für die Dokumentenkopie, die sonst fünf Jahre in einem Archiv liegt, gibt es dann schlicht keine Datei.
Praktisch heißt das auch: Die Zugangsnummer (CAN) auf der Vorderseite Ihres Ausweises gehört zu dieser Funktion. Sie ist einer der Gründe, warum sie auf jeder Kopie verdeckt gehört — siehe Personalausweis oder Reisepass: was jeweils zu schwärzen ist.
Wo trotzdem Betrug lauert
Gerade weil diese Verfahren legitim und bekannt sind, werden sie nachgeahmt. Das Muster ist immer dasselbe: Sie erhalten unaufgefordert eine SMS oder E-Mail mit einem Ident-Link — angeblich von Ihrer Bank, einem Zustelldienst oder einer Behörde —, oft mit Zeitdruck. Wer dem folgt, identifiziert sich nicht für seinen eigenen Antrag, sondern für einen fremden: Am Ende steht eine Kontoeröffnung oder ein Kredit auf Ihren Namen.
Die Unterscheidung ist einfach und trägt in allen Fällen:
- Echt: Sie haben das Verfahren selbst gestartet, aus einem Antrag oder Konto heraus, in dem Sie angemeldet sind.
- Unecht: Das Verfahren kam zu Ihnen, als Nachricht, mit einem Link und einer Frist.
Die Polizeiliche Kriminalprävention beschreibt diese Masche auf polizei-beratung.de, und das BSI führt sie in seinen Verbraucherhinweisen. Die verwandte Variante — „schicken Sie ein Selfie mit dem Ausweis“ — steht in Selfie mit dem Ausweis in der Hand.
Deutsche Post beschreibt die offiziellen Abläufe unter deutschepost.de/postident; im Zweifel gehen Sie dorthin oder in Ihr Bankkonto, statt einen zugesandten Link zu öffnen.
Was danach mit den Daten geschieht
Die Aufzeichnungen sind nach § 8 Abs. 4 GwG fünf Jahre aufzubewahren und danach unverzüglich zu vernichten. Sie können nach Art. 15 DSGVO Auskunft verlangen, welche Daten zu Ihnen gespeichert sind, und nach Ablauf der Frist die Löschung anmahnen. Wie eine solche Anfrage formuliert wird, steht in Darf eine Firma die Ausweiskopie speichern?.
Und für alles andere
Sobald Sie den regulierten Bereich verlassen — Vermieter, Hotel, Onlinehändler, Marktplatz —, kippt die Empfehlung wieder ins Gegenteil: schwärzen, kennzeichnen, wenig herausgeben. Anonymize my ID bereitet diese Kopie in etwa einer Minute auf Ihrem Handy vor, ohne Konto und ohne Upload. Welche Felder, steht in Ausweis oder Reisepass schwärzen.
Häufige Fragen
Warum darf bei PostIdent der vollständige Ausweis erfasst werden?
Weil § 8 Abs. 2 Geldwäschegesetz es verlangt. Verpflichtete — Banken, Versicherungen, Kryptodienstleister — müssen das zur Identifizierung vorgelegte Dokument vollständig kopieren oder vollständig digital erfassen. Anders als bei einem Hotel oder einem Vermieter gibt es hier eine ausdrückliche gesetzliche Pflicht.
Soll ich vor einem VideoIdent-Termin Felder abkleben?
Nein. Das Verfahren prüft Sicherheitsmerkmale, die maschinenlesbare Zone und die Übereinstimmung mit Ihrem Gesicht. Ein abgeklebtes Feld führt fast immer zum Abbruch — und danach müssen Sie es ohnehin wiederholen.
Welche Variante gibt am wenigsten preis?
Die eID-Variante mit der Online-Ausweisfunktion. Dabei wird kein Bild des Dokuments übertragen, sondern nur die Datenfelder, für die die abfragende Stelle ein Berechtigungszertifikat besitzt. Sie bestätigen die Übertragung mit Ihrer sechsstelligen PIN.
Wie erkenne ich ein gefälschtes Ident-Verfahren?
Am Startpunkt. Ein echtes Verfahren beginnt in Ihrem Antrag oder Ihrem Konto beim Anbieter, und Sie klicken sich von dort weiter. Eine unaufgeforderte SMS oder E-Mail mit einem Ident-Link, besonders unter Zeitdruck, ist das klassische Muster: Am Ende steht dann eine Kontoeröffnung auf Ihren Namen, nicht Ihr eigener Antrag.
Was passiert nach der Identifizierung mit meinen Daten?
Die Aufzeichnungen sind nach § 8 Abs. 4 GwG fünf Jahre aufzubewahren und danach unverzüglich zu vernichten. Die Frist läuft ab dem Ende des Kalenderjahres, in dem die Geschäftsbeziehung endete. Sie können nach Art. 15 DSGVO Auskunft verlangen, welche Daten gespeichert sind.