Warum KYC keine Lösung, sondern eine Gefahr ist

[bct_ail]

Na, das ist doch mal eine Ansage. Da schmeißt doch tatsächlich jemand KYC raus  Mit nachvollziehbaren Argumenten.
https://cointelegraph.com/news/crypto-exchange-digitex-removes-kyc-to-protect-user-data
 

[1713991855]

1713991855

[1713991855]

1713991855

[1miau]

Na, das ist doch mal eine Ansage. Da schmeißt doch tatsächlich jemand KYC raus  Mit nachvollziehbaren Argumenten.
https://cointelegraph.com/news/crypto-exchange-digitex-removes-kyc-to-protect-user-data
 

Hehe. ^^
Es wäre sogar garnicht mal so unwahrscheinlich, dass das mit dem digitalen KYC irgendwann verbreitet stark in Verruf kommt. Was man auch an den vermehrt erscheinenden fundiert KYC-kritischen Berichten merkt.
Prinzipiell braucht es da hierzulande nur einen größeren Skandal und schon kommt die Debatte auf. Und wenn man das dann rational betrachtet, wird man feststellen, dass es eine sehr blöde Idee ist. ^^

Stellenweise ist die Argumentation des CEOs aus dem Artikel aber noch nicht ganz fundiert, da hätte er sich mal meinen Artikel durchlesen sollen. 

[Lakai01]

Na, das ist doch mal eine Ansage.
Es wäre sogar garnicht mal so unwahrscheinlich, dass das mit dem digitalen KYC irgendwann verbreitet stark in Verruf kommt. Was man auch an den vermehrt erscheinenden fundiert KYC-kritischen Berichten merkt.

Und dann Blockchain-basierten ID Verifications Tür und Tor geöffnet wird, dann schließt sich der Kreis auch wieder zu meinem Post und alle sind glücklich

Spaß beiseite, sowas geht denke ich nur weil der Exchange:
a) auf den Seychellen sitzt
b) Keine FIAT Transaktionen erlaubt
c) noch nichtmal ein Mainnet und Tradingpairs abseits deren Shitcoin hat

Das Ganze ist wohl eher als Marketingmaßnahe zu sehen, sollten sie jemals FIAT Transaktionen anbieten wollen kommen sie um KYC nicht mehr herum denke ich. Ohne KYC traden kann man bspw auch auf Bitfinex ... solange man die FIAT Pairs nicht benötigt:

Do I need to verify my account to start trading?

No, you do not need to verify your account to start trading on most listed currencies on Bitfinex. Verification is only required for users wishing to deposit/withdraw fiat currencies (e.g. USD) [...]
Quelle

[SiNeReiNZzz]

Gefahr durch KYC: Identitätsdiebstahl

Wirklich ein vorbildlich ausgearbeiteter Artikel! 
Eine echte Bereicherung, hätte ich Merit übrig, würde ich sie dir sofort schicken...

Nein ernsthaft, es ist gut das es solche Beiträge gibt, damit die "Neuen" nicht in diesselben "Fallen" tappen, aus denen der ein oder andere von uns schon gelernt hat.
Bzw. eben auch, wie hier in diesem Fall, eventuelle Blauäugigkeit und angewöhnte Verhaltensweisen mancher Individuen in Frage zu stellen und ihnen damit vielleicht sogar zum nachdenken zu verhelfen!

DANKE dafür

[erwinbit]

Ein neuer Personalausweis kostet knapp 30€. Man kann also regelmäßig wechseln (zB. nach jedem KYC) und so das Missbrauchsrisiko verringern.

[qwk]

Ein neuer Personalausweis kostet knapp 30€. Man kann also regelmäßig wechseln (zB. nach jedem KYC) und so das Missbrauchsrisiko verringern.

Abgesehen davon, dass es sicherlich kaum praktikabel (und im Sinne des Gesetzgebers) wäre, seinen Personalausweis nach jedem Handy-Vertrag, Internet-Anschluss, Kontowechsel, Anmeldung bei Paypal, Kreditkarten-Antrag, etc. pp. (praktisch alles, wo man der SCHUFA "erlaubt", willkürlich Daten über einen zu sammeln) zu tauschen, und ich überdies nicht ganz einsehe, wieso ich jedesmal 30 EUR bezahlen soll, weil die entsprechenden Firmen nicht sorgfältig mit meinen Daten umgehen, kann ich auch nicht ganz erkennen, wie der Wechsel des Personalausweises geeignet sein sollte, das Missbrauchsrisiko zu verringern

[1miau]

Und zack, wieder was gehackt... 

Hacker haben Passdaten von Hunderttausenden Menschen ins Netz gestellt. Darunter sind 12.000 Deutsche. Die Daten stammen von der Einwanderungsbehörde Argentiniens. Es droht Identitätsdiebstahl.

Verbraucherschützer warnen vor Identitätsdiebstahl

Oliver Buttler von der Verbraucherzentrale Baden-Württemberg warnt, Kriminelle könnten die Daten für einen Identitätsdiebstahl nutzen und im Namen der Geschädigten zum Beispiel Konten bei Onlinebanken zu eröffnen. Dabei können große Schadenssummen zusammenkommen oder die Reputation der Betroffenen geschädigt werden: "Insbesondere wenn man ungewollt Teil eines späteren Ermittlungsverfahrens wird und man mit Straftaten konfrontiert wird, die man gar nicht begangen hat."

Quelle: Nach Cyberangriff: Passdaten von 12.000 Deutschen im Netz

Aber hey, manche KYC-Freunde behaupten ja immer noch, IHRE Systeme seien sicher...

[SiNeReiNZzz]

Und zack, wieder was gehackt...  

Hacker haben Passdaten von Hunderttausenden Menschen ins Netz gestellt. Darunter sind 12.000 Deutsche. Die Daten stammen von der Einwanderungsbehörde Argentiniens. Es droht Identitätsdiebstahl.

Verbraucherschützer warnen vor Identitätsdiebstahl

Oliver Buttler von der Verbraucherzentrale Baden-Württemberg warnt, Kriminelle könnten die Daten für einen Identitätsdiebstahl nutzen und im Namen der Geschädigten zum Beispiel Konten bei Onlinebanken zu eröffnen. Dabei können große Schadenssummen zusammenkommen oder die Reputation der Betroffenen geschädigt werden: "Insbesondere wenn man ungewollt Teil eines späteren Ermittlungsverfahrens wird und man mit Straftaten konfrontiert wird, die man gar nicht begangen hat."

Quelle: Nach Cyberangriff: Passdaten von 12.000 Deutschen im Netz

Aber hey, manche KYC-Freunde behaupten ja immer noch, IHRE Systeme seien sicher...

Autsch, das tut schon beim lesen weh!
Nun ja, und da wohl anscheinend auch einige hochrangige Diplomaten betroffen sind, ist natürlich auch das öffentliche Interesse geweckt.

Aber ob es was daran ändert, dass viele Menschen immer noch mit ihren Daten umherwerfen, als wären es Bonbons zu Karneval...

[Leuchtturmwaerter]

Sehr guter und richtiger Artikel, ich vermeide KYC auch, soweit es mir möglich ist.

Ich bin schon Opfer von gestohlenen Ausweisdaten gewesen, es wurde z.B. mal auf meinem Namen ein Konto bei N26 angelegt, die Daten stammten von einem Hack bei einem Carsharing anbieter. Die hatten alles: Foto Perso, Photo Führerschein, alle Daten, Adresse und gescannte Unterschrift. 

Dazu war ich in der Ledgerdatenbank und habe bisher ca. 25 Spammails, diverse krasse Phisingversuche (legder statt ledger in der langen URL) und acht Briefe per Post mit Drohungen und Lösegeldforderungen erhalten, dafür, dass keiner Vorbei kommt.

Mir reicht es! 

[1miau]

Sehr guter und richtiger Artikel, ich vermeide KYC auch, soweit es mir möglich ist.

Genau, völlig richtig. Was man nicht weggibt, kann auch nicht abhanden kommen und missbraucht werden.  

Dazu war ich in der Ledgerdatenbank und habe bisher ca. 25 Spammails, diverse krasse Phisingversuche (legder statt ledger in der langen URL) und acht Briefe per Post mit Drohungen und Lösegeldforderungen erhalten, dafür, dass keiner Vorbei kommt.

Briefe per Post? Also da ist den Verbrechern ja kein Aufwand zu viel. 
Die Briefmarken haben sie immerhin umsonst gezahlt.  
Kann mir aber gut vorstellen, dass doch einige bei Briefen überweisen werden.  

Aber gut, dass du es hier sagst und man sollte immer wieder die Gefahr des KYC und anderen personenbezogenen Angaben im Internet betonen. Das lässt einerseits darauf hoffen, dass der Datenschutz einen höheren Stellenwert bekommt und andererseits Nutzer vorsichtig mit ihren Daten umgehen.

[bct_ail]

Mir reicht es! 

Au Backe. Das ist aber so richtig scheiße. Wie kommst du damit zurecht?

Das lässt einerseits darauf hoffen, dass der Datenschutz einen höheren Stellenwert bekommt und andererseits Nutzer vorsichtig mit ihren Daten umgehen.

Hoffnung ist nie verkehrt Seehofer will Personalausweis-Pflicht für E-Mail und Messenger einführen  

[Real-Duke]

Briefe per Post? Also da ist den Verbrechern ja kein Aufwand zu viel. 
Die Briefmarken haben sie immerhin umsonst gezahlt.  

Solange noch Briefmarken drauf sind, braucht man sich vielleicht keine allzu großen Sorgen machen. Erst wenn sie ohne kommen, also direkt eingesteckt, würde mir auch mulmig in der Magengegend werden

Hoffnung ist nie verkehrt Seehofer will Personalausweis-Pflicht für E-Mail und Messenger einführen 

Zukünftig kauft man also Handy und PCs direkt nur noch mit Identverfahren und unsere Daten liegen dann bestimmt gut gesichert irgendwo in einer Behördencloud

[qwk]

Briefe per Post? Also da ist den Verbrechern ja kein Aufwand zu viel.
Die Briefmarken haben sie immerhin umsonst gezahlt.

Sofern sie sie gezahlt haben.
Ich mutmaße da zwar nur, aber ich gehe davon aus, dass sich diverse Online-Brief-Anbieter durchaus "missbrauchen" lassen, ggf. mithilfe gephishter Kontoverbindungen, und dann kosten die Briefe halt nix.

[Tenger]

Vielen Dank für deinen Beitrag. Ich habe zwar geahnt, dass KYC nichts besonders gutes ist aber dass es si kritisch werden kann hatte ich auch nicht auf dem Schirm

[1miau]

Vielen Dank für deinen Beitrag. Ich habe zwar geahnt, dass KYC nichts besonders gutes ist aber dass es si kritisch werden kann hatte ich auch nicht auf dem Schirm

Genau, Privatsphäre im Netz ist immer sehr wichtig, egal ob es um KYC oder andere Dinge geht, von denen Betrüger profitieren könnten, wie dem großen Ledger Hack.
Dabei sollte man auch bedenken, dass es noch einen Unterschied im Risiko gibt, wenn man z.B. das etablierte Postident mit einem KYC bei einer unseriösen Hinterhofklitsche (z.B. BigONE oder YoBit etc. ) vergleicht.

Kryptowährungen sind schon riskant genug. ^^

Und sorry, dass der Beitrag hier schon übersetzt war und du ihn dadurch umsonst übersetzt hattest, weil er im internationalen Teil nicht verlinkt war (ist jetzt erledigt). Daher zur Entschädigung ein bisschen Merit. 

[bullrun2024bro]

Um den Thread nach einer ganzen Weile mal wieder ins Gedächtnis zu rufen:

Auf X gehen gerade mehrere Screenshots eines Journalisten/Nutzers herum, der sich innerhalb von ein paar Minuten mittels KI einen Fake-Passport erstellt hat und mit diesen dann problemlos den KYC einer großen Kryptobörse (OKX) durchlaufen hat. Ich weiß nicht inwiefern man die Screenshots und den Thread hier im Forum teilen darf, auch wenn es sich nur um ein zu Testzwecken gefälschtes Dokument handelt.

Das Ganze wird aber aktuell häuft geteilt, sodass es in ein paar Tagen wohl auch den ein oder anderen Artikel zu diesem Thema geben wird, den wir dann hier verlinken können.

Dennoch zeigt das ganze wieder einmal wie anfällig das KYC System ist und welche Gefahren hiervon ausgehen. Passt auf euch auf und gebt eure wertvollen Daten nicht jeder Schrottbörse!

[d5000]

Ja, das Thema wird eigentlich immer aktueller, auch "dank" MiCa und Co. ... daher danke für den Bump.

Wenn man jetzt komplette Fake-Identitäten schaffen kann, ist das vielleicht sogar ganz gut. Erstens wird dadurch der Druck auf Kriminelle, "echte" Daten zu beschaffen, geringer - vielleicht geht dann der Identitätsdiebstahl zurück. Und zweitens könnten die Dienste ihre bisherige KYC-Strategie überdenken. Vielleicht könnte der einige oder andere auch zu dem Schluss kommen, dass die Umstellung des Geschäftsmodells so, dass kein KYC mehr nötig ist, oder der Umzug in ein privacy-freundlicheres Land eine gute Option darstellen könnte ...

Oder eben ein besseres, weniger invasives und trotzdem (vergleichsweise) sichereres KYC-Verfahren. Ich habe vor einiger Zeit im englischen Forum mal einen Thread erstellt, bei dem KYC-Methoden gesammelt werden sollen, bei denen ein geringeres (im Idealfall kein) Risiko für Identitätsdiebstahl besteht. Ein Beispiel wäre das deutsche Postident - das würde sich auch durch "die KI" noch bei weitem nicht austricksen lassen.

Wichtig wäre mir als Appell für Dienste: Wenn ihr KYC braucht, weil gesetzlich vorgeschrieben, verzichtet bitte auf die Bedingung, E-Mail-Adresse oder gar Telefonnummern bei der Anmeldung bereitzustellen! Das hört sich auf den ersten Blick komisch an, denn irgendwie muss man ja mit dem Nutzer kommunizieren, etwa bei Passwortverlust. Aber da bieten sich andere Dienste wie Nostr oder zur Not auch Mastodon an. Dort kann man sich eine Identität speziell für die Kommunikation mit dem Dienst erstellen.

Konten solcher Dienste sollte man zumindest als Alternative bereitstellen. Denn: Wird die E-Mail/Telefonnummer in den Datensatz eingepflegt, ist es viel einfacher für Kriminelle, verschiedene Datensätze miteinander zu verbinden, weil ja oft die gleiche E-Mail-Adresse für mehrere Dienste verwendet wird. Wegwerf-Mails sind zwar auch eine Lösung, aber die werden oft nicht akzeptiert, zudem ist dann die Kommunikation mit dem Dienst z.B. bei Passwortverlust komplizierter.

Vielleicht kennt jemand weitere "Best Practices"? (gibts da eigentlich ein deutsches Wort dafür?)

Nur damit keine Zweifel aufkommen: Der Idealfall ist weiterhin für mich, dass kein KYC angewendet wird. Es ist aber manchmal schwierig, solche Dienste zu finden - oder die Dienste gesetzeskonform zu betreiben, für diese Fälle ist dieser Post bzw. der Faden im englischen Forum gedacht.

Und auch ist klar, dass diesen Beitrag hier weniger Diensteanbieter lesen werden, aber dafür Nutzer, die ja durch ein Feature Request die Dienstebetreiber auf solche Möglichkeiten aufmerksam machen können

[Lakai01]

Auf X gehen gerade mehrere Screenshots eines Journalisten/Nutzers herum, der sich innerhalb von ein paar Minuten mittels KI einen Fake-Passport erstellt hat und mit diesen dann problemlos den KYC einer großen Kryptobörse (OKX) durchlaufen hat. Ich weiß nicht inwiefern man die Screenshots und den Thread hier im Forum teilen darf, auch wenn es sich nur um ein zu Testzwecken gefälschtes Dokument handelt.

Habe die Bilder gestern auch gesehen, Wahnsinn eigentlich mit wie wenig Aufwand das Ganze funktioniert.
Dass der KYC-Check - zumindest der Level 1-Check - damit absolviert werden kann wundert mich aber tatsächlich nicht. Dort werden in der Regel ja nur die Dokumente gescanned und geprüft, ob so Dinge wie Passnummer und der Name klar ersichtlich sind. Auch ein allfälliger "Liveness-Check" lässt sich mit einem gefälschten Pass problemlos umgehen ... sofern man den gefälschten Pass auch drucken lässt. Das große "Problem" an der Sache: Ein Abgleich mit einer Datenbank findet nicht statt um die Daten nochmals gegenzuprüfen. Hier müssen sich sicherlich die KYC-Anbieter besser aufstellen und KI-resistente Systeme entwickeln.

Aber zeigt wie immer sehr schön: Es ist ein Wettlauf zwischen Leuten, die das System umgehen wollen und Leuten, die das System möglichst sicher gestalten wollen.

Wichtig wäre mir als Appell für Dienste: Wenn ihr KYC braucht, weil gesetzlich vorgeschrieben, verzichtet bitte auf die Bedingung, E-Mail-Adresse oder gar Telefonnummern bei der Anmeldung bereitzustellen! Das hört sich auf den ersten Blick komisch an, denn irgendwie muss man ja mit dem Nutzer kommunizieren, etwa bei Passwortverlust. Aber da bieten sich andere Dienste wie Nostr oder zur Not auch Mastodon an. Dort kann man sich eine Identität speziell für die Kommunikation mit dem Dienst erstellen.

Ich handhabe das ähnlich, zumindest bei der Mailadresse. Telefon wird da schon schwieriger, da bräuchte man tatsächlich Wegwerfnummern ... sollte dann aber niemals in die Verlegenheit kommen, die Mobiladresse für eine Rücksetzung eines Passworts o.ä. zu benötigen.

Vielen Dank für die Verlinkung auf Nostr, kannte ich so noch nicht!

[1miau]

Heftig, was mit KI mittlerweile alles gefälscht werden kann und das wird in Zukunft sicher nicht besser.
Die Dienste wie OKX wollen gerade bei solchen Dingen wie Sicherheit sparen, was im Bezug auf KYC höchst problematisch ist.

Vielleicht sehen wir ja als Resultat der neuesten Entwicklungen irgendwann:
- dass das gefährliche Videoident-Verfahren endlich verboten wird. Ist ja nicht das erste mal, dass es negativ auffällt, abgesehen von den ganzen dubiosen Firmen, die dadurch hochsensible Daten in die Hände bekommen.
- mehr auf die sicheren Verfahren gesetzt wird, die d5000 oben erwähnt, insbesondere PostIdent.
- es eine Option ist, Geldwäsche dadurch vorzubeugen, dass kleine Beträge ohne KYC getauscht werden können. Geldwäsche lohnt sich mit solchen Kleckerbeträgen einfach nicht und legitime Kunden müssen nicht für gelegentliche, geringe Bitcoin-Käufe / Bitcoin-Verkäufe Identitätsdiebstahl riskieren.

Mit fortgeschrittener KI sind die einzigen, ausreichend fälschungssicheren Verfahren ausschließlich physischer Natur, denn früher oder später wird sich für alles KI finden, um Dinge täuschend echt zu manipulieren.
Verifizierung der zu verifizierenden Person wird dann nur physisch, ggf. sogar von geschulten Experten, möglich sein.
Was ja auch wünschenswert ist, um viele im Eingangsbeitrag genannte Risiken des Identitätsdiebstahls zu vermeiden.
Und ein KYC, welches in signifikantem Ausmaß von Betrügern unterlaufen wird, ist halt auch komplett nutzlos. 

[d5000]

Mit fortgeschrittener KI sind die einzigen, ausreichend fälschungssicheren Verfahren ausschließlich physischer Natur, denn früher oder später wird sich für alles KI finden, um Dinge täuschend echt zu manipulieren.
Verifizierung der zu verifizierenden Person wird dann nur physisch, ggf. sogar von geschulten Experten, möglich sein.

Ich könnte mir noch vorstellen, dass die Online-Verifizierung mit elektronisch auslesbaren Dokumenten und Lesegerät als Alternative weiterbestünde. Das dürfte jedoch für den Diensteanbieter aufwändiger sein.
Aber dennoch, Postident und Co. dürften eher einen Aufschwung erleben in der Zukunft, zu Ungunsten von Videoident. Wenn kein Marktversagen besteht ... (etwa durch "digital ist cooler")
Postident scheint es ja inzwischen auch mit Videochat zu geben, aber das hätte ja die selben Probleme wie Videoident. Mit einer relativ einfachen Fälschung des Dokuments dürfte dies auszutricksen sein.

Stimme übrigens natürlich zu, dass Kleinbeträge immer KYC-frei umgetauscht werden dürfen sollten. Ich vermute auch, dass dies eigentlich in den meisten Staaten möglich sein sollte, aber aus "vorausschauendem Gehorsam" von den Börsen anders gehandhabt wird. Natürlich steht immer der Kauf/Verkauf von Sachwerten, Gutscheinen und ähnlichem (Bitrefill usw.) und P2P zur Verfügung, aber das kann manchmal unpraktisch sein.

Was ich mir immer mal wieder als Alternative vorgestellt hatte, wenn es mal "dick auf dick" kommen sollte und z.B. auch bei Bitrefill KYC gefordert wird, wäre der Umtausch von Speicherplatz oder Rechenleistung, also rein digital handelbaren Produkten die von vielen Menschen bereitgestellt aber auch nachgefragt werden können, in Kryptowerte. Ich könnte also z.B. eine zusätzliche Festplatte mit Fiat kaufen und gegen BTC den Speicherplatz vermieten, oder eben umgekehrt. Mit Siacoin gibt es ja schon länger so was ähnliches, es dürfte aber auch mit Bitcoin möglich sein.