Warum KYC keine Lösung, sondern eine Gefahr ist

[d5000]

Sehr guter Beitrag, danke Hab ihn erst jetzt gelesen ...

Am interessantesten finde ich bei solchen Diskussionen eigentlich immer die Lösungsvorschläge, in diesem Fall für das KYC-Problem. Bei Coin/Coin-Trades gibt es ja mit Atomic Swaps eine Alternative, aber das KYC-lose, unproblematische Tauschen von BTC in Fiat ist weiterhin eine Herausforderung, wenn man sich nicht neuen Risiken aussetzen will.

Bekannt sind mir folgende Methoden:
- Persönliche Treffen (oft organisiert oft über P2P Exchange). Problem: oft hoher Zeitaufwand, eventuell Fahrtkosten, Risiko eines Diebstahls/Raubes.
- P2P-Handel über Bankkonten (egal ob über Bisq, Localbitcoins und Co. oder z.B. hier im Forum). Probleme/Risiken: Kontonummer wird offengelegt, eventuell betreibt Gegenüber Geldwäsche was zu rechtlichen Risiken führt.
- P2P-Handel über PayPal und ähnliche Dienste. Extrem hohes Risiko eines Chargeback Frauds, daher nur bei Vertrauen zu empfehlen.
- KYC-loser Geldautomat. Ist eigentlich eine fast "optimale" Methode, leider sind diese in vielen Regionen sehr selten oder per Regulierung verboten, oft auch bei den Gebühren teuer.
- KYC-lose zentrale Exchange. Erstens besteht das gleiche Problem wie beim P2P-Bankkontenhandel ("Shit-Exchanges" können selber Geldwäsche betreiben), zweitens besteht wie bereits erwähnt das Risiko, dass "plötzlich" KYC eingeführt wird und Funds eingefroren werden.
- Handel von BTC online gegen "geldähnliche" Dinge wie Gutscheincodes. Problem: Weiterer Schritt ausgehend von/hin zu Fiat nötig.

Denkbar wären noch exotische Methoden wie ein Austausch per Post mit Escrow, was aber auch eher riskant erscheint. Alle Methoden haben jedenfalls Schwächen, zentrale, große KYC-Exchanges sind bei weitem am bequemsten und auf den ersten Blick "risikolosesten".

Kennt jemand mehr bzw. kommt zu einer anderen Einschätzung, welche Methoden würdet ihr empfehlen?

[1713944527]

1713944527

[1miau]

Kennt jemand mehr bzw. kommt zu einer anderen Einschätzung, welche Methoden würdet ihr empfehlen?

Finde insbesondere die Amazon-Codes interessant um an BTC zu kommen, sollte kein ATM in der Nähe sein.
Als andere Idee hätte ich noch Bitcoin-Gutscheinkarten - wenn das über Amazon-Karten geht, sollte das auch direkt gehen. Aber ich kenne keine Anbieter und auch im Netz findet man kaum Treffer. Habe das hierzu gefunden:


https://www.risewallet.com/

Hat da wer Erfahrungen?

Wäre generell eine schöne Marktlücke und ich fände es super, wenn man das in jedem Supermarkt neben PlayStore / iTunes / Amazon etc. Gutscheinen kaufen könnte.
Also an alle, die eine Marktlücke suchen und ein Unternehmen gründen wollen: bringt Bitcoin-Gutscheine auf den Markt!
Die Frage wäre nur, wie wird das an der Kasse abgerechnet, wenn z.B. 0,001 BTC fix auf der Karte sind? Dann kostet sie mal so viel und später wieder anders? 

[d5000]

Also an alle, die eine Marktlücke suchen und ein Unternehmen gründen wollen: bringt Bitcoin-Gutscheine auf den Markt!
Die Frage wäre nur, wie wird das an der Kasse abgerechnet, wenn z.B. 0,001 BTC fix auf der Karte sind? Dann kostet sie mal so viel und später wieder anders?  

Über die Frage habe ich mir auch schon den Kopf zerbrochen. Wenn es eine Karte mit einem festen Wert in Fiat (also z.B. Euro) ist,  dann braucht man zwingend eine Exchange oder einen "Kryptoverwahrdienst" als Mittelsmann, und dann können wieder KYC-Pflichten entstehen ...

Ich vermute, wenn man Gutscheine mit fixen BTC-Beiträgen verkaufen möchte (und z.B. gleich den Private Key bekommt), bräuchte man ein Point-of-Sale-System, das den Bitcoinpreis verfolgen müsste. Wäre sicher machbar, aber ob es das schon auf dem Markt gibt? Ein solches System bräuchte ja eine gewisse Verbreitung. Falls dies nicht möglich ist: Die Preisschilder könnten täglich aktualisiert werden und der Verkäufer übernimmt das Restrisiko und kassiert dafür einen Aufpreis. Würde bei hohem Volumen vielleicht funktionieren, wäre aber nichts für ein kleines Startup, denn dann ist beim ersten Crash gleich eventuell die Insolvenz nahe ...

Eine Krücke wäre natürlich das Verkaufen von Stablecoin-Gutscheinen (z.B. Tether oder Dai). Vielleicht könnte das Gutschein-Unternehmen auch selbst einen Private Key für ein eigenes Token verkaufen (z.B. auf Omni oder ETH) und per Atomic Swap (da dann kein KYC nötig ist) die Umtauschbarkeit des Tokens in BTC garantieren. (Man müsste dem Gutscheinunternehmen dann aber natürlich vertrauen können, dass es dies tut.)

Für eine "integrale Lösung" wäre aber auch der umgekehrte Weg (Bitcoin -> Fiat) nötig. Da bliebe nur der private Verkauf solcher Gutscheine über eine Kleinanzeigenplattform oder ähnliches, und dann hätte man wieder das gleiche Problem wie beim "Person-to-Person-Handel".

PS: Ich meine, dass ich diese Bitcoin-Gutscheine schon mal gesehen habe, vermutlich sogar in Deutschland, bin mir aber nicht sicher.

[Lakai01]

PS: Ich meine, dass ich diese Bitcoin-Gutscheine schon mal gesehen habe, vermutlich sogar in Deutschland, bin mir aber nicht sicher.

Der Vollständigkeit halber: In Österreich werden solche Gutscheincodes bei jeder Post-Filiale angeboten, die Stückelung ist 50, 100 oder 500€.
Bekommt man natürlich anonym, nur der große Haken ist, dass diese nur bei Bitpanda eingelöst werden können, Bitpanda verlangt seit Anfang Jänner jetzt jedoch zwingend KYC. Hinzu kommt, dass hier ein extra Aufschlag von 3% fällig wird sobald die Codes eingelöst werden.

Ist also eine Möglichkeit um Fiat Richtung Börse zu bringen, von Anonymität ist aber spätestens beim Tausch in CC aber keine Spur mehr.

Wer mehr über die Codes erfahren möchte: https://www.bitpanda.com/en/togo

[d5000]

@Lakai01: Ja, genau das meinte ich - das hat also meine Vermutung bestätigt.

Zu Bitcoin-aware PoS-Systeme (im Sinn von Point of Sale): Ich habe mal etwas gegoogelt, natürlich gibt es die (sonst könnten ja Geschäfte nur mit technischer Expertise Bitcoin annehmen), aber das sind Payment-Prozessoren im Bitpay-Stil. Das heißt, ihr Geschäftsmodell beruht, wenn ich das richtig verstehe, darauf, dass sie selbst Mittelsmänner sind, also den Exchange-Vorgang übernehmen und dann auf den Bitcoinkurs eine Gebühr aufschlagen.

Diese könnten natürlich auch ein "umgekehrtes System" (also für Fiat->BTC Zahlungen) in ihre Software einbauen, aber dadurch würde sich ihr Geschäftsmodell ändern. Normalerweise greifen sie ja die Gebühren von der Bitcoin-Zahlung ab, aber bei Fiat-to-BTC müssten sie selbst einen Fiat-Zahlungskanal aufbauen nur für die Gebühr (ohne Gebühr würden sie's ja sicher nicht tun). Wäre natürlich möglich aber mit etwas Aufwand für den Anbieter verbunden. Ich sehe gerade, dass Coingate einen Fiat->BTC-Kauf über Kreditkarten anzubieten scheint, aber eine Anbindung von Supermärkten wäre dann wohl doch nochmal eine andere Hausnummer.

Für BTC->Fiat wäre ein "Bitcoin-aware" PoS-System allerdings durchaus eine Option, beispielsweise über eine "Bargeld-an-der-Supermarktkasse" Funktion (wie heißt sowas eigentlich richtig auf Deutsch?). Diese sollte einfach nachzurüsten sein. Allerdings würde dann der Supermarkt als Exchange fungieren, was wieder zu KYC führen könnte, zumindest bei hohen Beträgen ...

Bisher gefällt mir jedenfalls das Modell mit dem Omni/Counterparty/whatever Token am besten, ich glaube das ist am sichersten, was KYC-Pflichten angeht. Es müsste natürlich erörtert werden welche Pflichten für einen derartigen Tokenbetreiber entstehen, oder ob sie besser auf ein "externes" Token wie Dai zurückgreifen.

[allyouracid]

Kurzer Hinweis – hoffe, er war so noch nicht da; im OP stand so dazu jedenfalls noch nichts: es sind nicht nur die Verbrecher, die die Daten verkaufen können, sondern die KYC-Unternehmen tun (Update: AGB weisen nicht auf Derartiges hin, siehe Ende des Posts) es offensichtlich auch selbst.

D.h. der ganze KYC-Bullshit ist von vorne bis hinten nur ein Vorwand, um Daten von entweder ahnungslosen Trotteln oder von Leuten, die unter Zwang stehen zu sammeln und zu verkaufen.

Ich finde, dass die Crypto-Unternehmen, die 3rd party KYC implementieren, hier auch in der Verantwortung stehen und zumindest solche Unternehmen, die mit den Daten grob fahrlässig (laut AGB) umgehen, kategorisch ausschließen sollten. In diesem Beispiel wird veriff dot me von Bitcasino genutzt.

.edit:
Hier finde ich allerdings nichts dergleichen.

Veriff shall not use the User’s personal data for any purpose unrelated to performance of Contract (including direct marketing).

Werde mal schauen, ob es irgendwo noch genauere Terms gibt...

[1miau]

@allyouracid, guter Punkt, das werde ich bei Zeit noch in den Beitrag einarbeiten.

Bekannt dazu wurde vor allem die Kritik an Coinbase, über deren Dienstleister Nutzerdaten verkauft wurden (Coinbase: Former provider sold user data to third parties prompting neutrino acquisition), was im Zuge der Ankündigung einer Zusammenarbeit mit Neutrino, einem ebenfalls in der Kritik stehendem Blockchain-Auswertungsunternehmen öffentlich wurde. Was genau verkauft wurde und in welchem Umfang ist allerdings umstritten.

Hier auf Deutsch: Analyse der #DeleteCoinbase-Kontroverse: Verkauft Coinbase Nutzerdaten?
 

Es war wichtig, uns von unseren derzeitigen Anbietern zu lösen… Sie verkauften Kundendaten an externe Quellen, und es war zwingend für uns, die Kontrolle darüber zu erlangen und über eine proprietäre Technologie zu verfügen, die wir nutzen können, um die Daten zu sichern und unsere Kunden zu schützen.

Christine Sandler, Direktorin für den institutionellen Vertrieb bei Coinbase

[bct_ail]

Wie schaffen es die Betrüger überhaupt, auf fremden Namen Konten und Co. zu eröffnen? Die meisten Anbieter verlangen doch einen Chat mit Webcam (Schauen sie nach oben, halten sie das Dokument X in die Kamera, schauen sie bitte nach links..). Orientieren sich die Betrüger dann eher auf Seiten, wo eine Verifzierung keine Webcam benötigt oder schaffen die es mittlerweile sogar, die Webcam mit einem gefakten Video auszutricksen?

[Bitze]

Wie schaffen es die Betrüger überhaupt, auf fremden Namen Konten und Co. zu eröffnen? Die meisten Anbieter verlangen doch einen Chat mit Webcam (Schauen sie nach oben, halten sie das Dokument X in die Kamera, schauen sie bitte nach links..). Orientieren sich die Betrüger dann eher auf Seiten, wo eine Verifzierung keine Webcam benötigt oder schaffen die es mittlerweile sogar, die Webcam mit einem gefakten Video auszutricksen?

Gute Frage denn wenn ich daran denke wie aufwändig so etwas bisher immer war bei mir frage ich mich das auch.
Mit genug Geld und anderen Möglichkeiten wäre es vielleicht sogar möglich Verantwortliche mit einzubeziehen und daher einfacher an Konten oder Accounts zu kommen. Das kann ich mir schon gut vorstellen. Oder es wird die Identität mit einem Trick für mehrere Leute verwendbar gemacht. Es gab das Thema Morphing erst im TV: https://www.faz.net/aktuell/wissen/computer-mathematik/morphing-ein-pass-fuer-zwei-16588552.html
Bankkonten sind sicher mit eines der schwierigsten Dinge. Handyverträge oder Amazon Abbucher sind da um Einiges einfacher und reichen auch schon aus um dem echten Menschen Probleme zu bereiten.

[hodlcoins]

Ich hab schon vor ewigen Zeiten (bestimmt 1-2 Jahre, wenn nicht mehr) ein Experiment eines CCC-Nahen Hackers gesehen, bei dem sein Ausweis für das KYC-Webcamchatdings eine Karte mit Pixeln war, und ein Programm auf dem PC hat das Bild live und 3-dimensional mit einem gefrickelten Ausweis ersetzt, inklusive der reflektierenden Teile, die dann je nach Winkel "aufleuchten".
Mit Daumen drauf oder auch nicht, in alle Richtungen drehen und schwenken, und glaubwürdigen Beleuchtungseffekten.
Das war zwar noch nicht 100%, speziell an den Kanten konnte man es teilweise erkennen, aber ein bissel Antialiasing und es wäre durch.
War sogar in HD, augmented Reality vom feinsten.

[mole0815]

augmented Reality

das war das richtige stichwort dafür
mit etwas recherche habe ich das angesprochene video gefunden. faszinierend

Video identification is the process of establishing the identity of a person via video chat. The person to be identified has to show his face as well as her official ID card to the camera. This lecture gives a step-by-step tutorial on how such video streams can be augmented with computer-generated official ID cards, including all visible watermarks.

To be specific, we will use a credit-card printed with markers, which will be detected using the Aruco library shipping with OpenCV.
The resulting position and orientation will then be used to render a 3D representation of an official ID card with arbitrary information.
The 3D representation will be rendered using OpenGL. A shader will compose its look using several layered textures.
Additionally, skin detection will be used to create a skin mask in the area of the card to avoid rendering over fingers held in front of it.
Finally, the input image, the known position and orientation of the card, the rendered fake card and the skin mask will be composed to a convincing output image - ready to be presented to the call center agent.

link zum video und quelle vom zitat: https://media.ccc.de/v/35c3-9616-circumventing_video_identification_using_augmented_reality#t=1554

was es alles gibt!

//edit: hatte mich noch garnicht geäußert zu dem thema. danke für den mega post 1miau!
zu beginn bin ich vom gefühl her auch viel zu unvorsichtig mit meinen daten umgegangen. Ende 2017 im ICO/FOMO hype habe ich meinen reisepass inkl. anderer daten schon ein paar mal weitergegeben... hoffe da ging nie was schief in letzter zeit bin ich aber umso vorsichtiger und neue user sollten von beginn an auf die gefahren hingewiesen werden. daher können die potentiellen gefahren durch KYC/AML nicht oft genug erwähnt werden

wir hatten selbst schon mal einen kreditkartenbetrug in der familie und das ist nicht so witzig. wenn einem die komplette identität gestohlen wird ist das natürlich nochmal ein ordentliches stück schlimmer

[hodlcoins]

mit etwas recherche habe ich das angesprochene video gefunden. faszinierend

Ich habs versucht, kam aber nicht mehr drauf.
Danke für deinen Link!

[1miau]

link zum video und quelle vom zitat: https://media.ccc.de/v/35c3-9616-circumventing_video_identification_using_augmented_reality#t=1554

Der Link zur Vorstellung ist im ersten Beitrag ebenfals verknüpft. 

Ich vermute aber, dass es sich aktuell noch mehr lohnt, bereits verifizierte Konten zu hacken / kaufen anstatt welche mit solch aufwändigen Methoden zu verifizieren.

[mole0815]

link zum video und quelle vom zitat: https://media.ccc.de/v/35c3-9616-circumventing_video_identification_using_augmented_reality#t=1554

Der Link zur Vorstellung ist im ersten Beitrag ebenfals verknüpft. 

Ich vermute aber, dass es sich aktuell noch mehr lohnt, bereits verifizierte Konten zu hacken / kaufen anstatt welche mit solch aufwändigen Methoden zu verifizieren.

Hatte ich nicht gesehen sorry! War nur hoch motiviert das Video aufzustöbern nach dem Beitrag von hodlcoins
Wenn man es sich aussuchen kann hast du natürlich recht mit den bestehenden Konten. Zeigt aber trotzdem was mit Daten heutzutage angestellt werden kann... Aber da die Videoident Anbieter auch nicht von gestern sind steigen da auch die Möglichkeiten sowas zu aufzudecken.

[c_lab]

Wenn sich jemand unbedingt per KYC verifizieren will, dann können unsichtbare Wasserzeichen in den hochgeladenen Dokumenten hilfreich sein. Natürlich einzeln pro Börse signiert. Zumindest im Fall der Fälle, kann damit  wenigstens der Missbrauch evtl. zugeordnet werden.

[bct_ail]

Wenn sich jemand unbedingt per KYC verifizieren will,

Von einen freiwilligen wollen kann mittlerweile keine Rede mehr sein.

dann können unsichtbare Wasserzeichen in den hochgeladenen Dokumenten hilfreich sein. Natürlich einzeln pro Börse signiert. Zumindest im Fall der Fälle, kann damit  wenigstens der Missbrauch evtl. zugeordnet werden.

Das Stichwort hierfür ist Steganographie. Sollte sich wirklich jeder mit befassen. Ist generell sinnvoll für jede Art von wichtigen Dokumenten die man digital weitergeben muss.
Aber auch bei ausgedruckten wichtigen Dokumenten sollte immer ein sichtbares Wasserzeichen mit Datum und Zweckbestimmung rauf.
Das ergibt zwar keinen 100%-igen Schutz vor unberechtigter Datenweitergabe, aber ein weiterer Schritt zur Nachweisbarkeit.

[qwk]

[ Augmented Reality Webcam-KYC ]

Ich vermute aber, dass es sich aktuell noch mehr lohnt, bereits verifizierte Konten zu hacken / kaufen anstatt welche mit solch aufwändigen Methoden zu verifizieren.

Da geht es natürlich zunächst einmal um die Grenzen des technisch machbaren.
Natürlich sind simplere SCAMS heute deutlich profitabler.
Andererseits ist es natürlich nur eine Frage der Zeit, bis solche Methoden massenhaft, billig und einfach quasi als App (vergleichbar Deepfake) zur Verfügung stehen, und dann zeigt sich eben, wofür Webcam-Face-ID in der Realität wirklich taugt: für die Mülltonne.

Das wussten natürlich alle Security-Experten bereits vor Jahren/Jahrzehnten, und haben auch eindringlich davor gewarnt, so einen Schrott einzusetzen, die Industrie konnte aber wie gewohnt ihre Kostenoptimierung mit dem Argument durchsetzen "bisher hat's noch keiner gehackt".

<rant>
So in etwa ist das jedesmal mit den Segnungen vermeintlicher "Sicherheitsfeatures", sei es die CVC-Prüfsumme auf der Kreditkarte, die Biometrie, oder irgendeine andere Sau, die gerade durch's Dorf getrieben wird.

In gewisser Weise ähnelt die stetig wechselnde Abfolge immer neuer "Security-Hypes", die dem gewöhnlich gut informierten Security-Experten stets nur ein Augenrollen bescheren, doch arg der Shitcoin- und Tokenisierungs-Welle.

Als "Experte" verliert man so langsam den Glauben, dass die Vernunft noch Leitfaden für die Einführung von neuen technologischen Errungenschaften ist
</rant>

[bct_ail]

Ich fange erst gerade an, mich näher mit dem E-Perso (eID) zu beschäfitgen. Aber auf dem ersten Blick finde ich das besser als das derzeitige Video-Ident, wo ich nichts schwärzen darf, ich irgendwelche Stromrechnung vorzeigen soll und nach dem Zufallsprinzip ausgewählte Verrenkungen vor der Webcam aufführen muss, damit die Gegenseite das Hologram auch erkennen kann.....

Mittels einer App erhält die Gegenseite nur die Daten, die notwendig sind. Angezeigt werden sollen die Daten auch (Transparenz gegeben).
Die App

zeigt an, welche Ausweis­daten die Webseite auslesen will (zum Beispiel Namen und Adresse)

https://www.heise.de/ct/artikel/Was-man-mit-dem-E-Perso-im-Netz-anfangen-kann-4647067.html

Ist die Frage, ob sie dann noch ein Livebild von mir benötigen, aber durch den persönlichen PIN sollte das ja eigentlich nicht erforderlich sein.

Was meinen die Profis?

[qwk]

Ich fange erst gerade an, mich näher mit dem E-Perso (eID) zu beschäfitgen.
[...]
Mittels einer App erhält die Gegenseite nur die Daten, die notwendig sind. Angezeigt werden sollen die Daten auch (Transparenz gegeben).

Der E-Perso ist an sich eine tolle Sache, das Missbrauchspotential allerdings IMHO auch deutlich zu hoch.
Ich mag mir kaum vorstellen, in wievielten Altersheimen in Zukunft die Personalausweise der Bewohner nebst PIN eingesammelt werden "um die gelegentlichen Behördengänge" zu bewerkstelligen. Und ob dann besonders sorgsam mit diesen hochsensiblen Daten umgegangen wird, sei mal dahingestellt. Ich wage jedenfalls, das zu bezweifeln.

Hier erinnere ich mich "gerne" an einen Fall vor ein paar Jahren, wo massenhaft Briefwahlunterlagen in einem Altersheim eingesammelt wurden, um letztlich Wahlbetrug zu begehen:
https://www.spiegel.de/panorama/justiz/wahlen-das-letzte-kreuz-a-568583.html

Man muss bei aller Liebe zum E-Government letzten Endes zu dem Ergebnis kommen, dass der gestiegene Komfort stets einhergeht mit reduzierter Sicherheit und einem gerüttelt Maß an Missbrauchspotential.
Aber auch das ist nur Ausdruck einer allgemeingültigeren Regel der IT-Sicherheit: mit gestiegenem Komfort reduziert sich die Sicherheit.

[1miau]

Andererseits ist es natürlich nur eine Frage der Zeit, bis solche Methoden massenhaft, billig und einfach quasi als App (vergleichbar Deepfake) zur Verfügung stehen, und dann zeigt sich eben, wofür Webcam-Face-ID in der Realität wirklich taugt: für die Mülltonne.

Prinzipiell braucht es dafür ja bloß wenige Spezialisten mit diesem Wissen und dem Willen dieses Wissen einzusetzen um damit einen "Service" anzubieten, der diese vermeintlich "verifizierten" Konten verkauft. Noch lange bevor der Hobby-Scammer aus Telegram selbst eine App dafür irgendwoher bekommt.
Damit wären die Verkäufer verifizierter Accounts die Schaufelverkäufer des KYC-Zeitalters für Scammer. Hört sich lukrativ an. ^^

<rant>
In gewisser Weise ähnelt die stetig wechselnde Abfolge immer neuer "Security-Hypes", die dem gewöhnlich gut informierten Security-Experten stets nur ein Augenrollen bescheren, doch arg der Shitcoin- und Tokenisierungs-Welle.

</rant>

Wobei man bei den Shitcoins die Wahlfreiheit hat und entscheiden kann, ob man mitmacht oder nicht (ok, Forks belegen das Gegenteil  ), während man beim Security-Salat automatisch mehr oder weniger betroffen ist, wenn etwas als innovativ angepriesen wird und es daher "Standard" werden MUSS. Wobei sich dass dann später oft als Trugschluss heraustellt und keiner will es als Standard eingeführt haben. ^^