Kommissarin der US-Börsenaufsicht fordert weniger Datensammlung

Am 23. September 2026 – in ihrer vorletzten Woche als SEC-Kommissarin – hat Pierce in einer Rede auf der SIFMA Digital Assets Conference noch einmal ihre persönlichen Ansichten zum Datenschutz dargelegt und sich für ein grundlegendes Umdenken bei den bestehenden KYC- und Geldwäschevorschriften ausgesprochen. Es handelt sich dabei jedoch nicht um einen konkreten Regelungsentwurf der SEC, sondern lediglich um die persönliche Meinung von Peirce.

Sie verglich das Erfassen der Daten wie Namen, Geburtsdaten, Adressen und Identifikationsnummern gesetzestreuer Bürger sowie die Überwachung und Meldung ihrer Finanzaktivitäten mit einem ständig wachsenden Heuhaufen. Dieser erschwere nicht nur das Finden der „Nadeln“ – also der Kriminellen –, sondern gefährde durch die zunehmende Ansammlung sensibler Informationen auch die betroffenen Bürger.

Jede zusätzliche personenbezogene oder vertrauliche geschäftliche Information, die der Staat erhebt und speichert, erhöht das Risiko, dass staatliche Stellen oder private Akteure diese Daten versehentlich oder absichtlich missbrauchen.
^{Hester Peirce}

Da mehr Daten nicht automatisch eine bessere Strafverfolgung ermöglichen würden, wünscht sich Pierce, dass die Notwendigkeit der Erhebung bestimmter Informationen stärker hinterfragt wird.

Peirce möchte die Identitätsprüfung nicht komplett abschaffen, sondern stärker zwischen den zugrundeliegenden persönlichen Informationen und der tatsächlich zu überprüfenden Eigenschaft unterscheiden, sofern dies technisch möglich ist. Sie spricht sich für einen Wechsel von vorgeschriebenen Datensammlungen hin zur datensparsamen Überprüfung einzelner regulatorisch relevanter Eigenschaften eines Nutzers mittels digitaler Nachweise und kryptografischer Verfahren wie Zero-Knowledge-Proofs aus.

Dabei könnte eine Gegenpartei eine bestimmte Eigenschaft eines Nutzers digital beziehungsweise kryptografisch verifizieren, ohne dafür die zugrundeliegenden Daten erfahren zu müssen.

So könnte zum Beispiel bestätigt werden, dass ein Nutzer ein bestimmtes Alter erreicht hat, Bürger eines bestimmten Landes ist, die Voraussetzungen eines akkreditierten Investors erfüllt oder nicht auf einer Sanktionsliste steht – ohne dass der Nutzer dafür sein Geburtsdatum, sein Einkommen oder seine Adresse preisgeben muss.

Darüber hinaus schlug Peirce vor, es Finanzdienstleistern zu erleichtern, sich auf die Identitätsprüfung eines Kunden durch ein anderes vertrauenswürdiges reguliertes Unternehmen zu verlassen.

Dadurch müsste eine Person ihre Daten nicht ständig erneut hinterlegen und es würden weniger Kopien derselben Daten erzeugt. So ließe sich die Zahl der Datensammelstellen – und damit der potenziellen Angriffspunkte –, bei denen dieselben sensiblen Kundendaten gespeichert werden, reduzieren.

Pierce weist dabei auch darauf hin, dass weniger KYC-Daten nicht zwangsläufig weniger Transparenz für Ermittler bedeuten. Öffentliche Blockchains erzeugten dauerhafte, öffentliche und überprüfbare Transaktionshistorien, die Strafverfolger mit zunehmend leistungsfähigen Blockchain-Analyse-Werkzeugen untersuchen könnten.

Somit hinterfragt Pierce das bestehende KYC-/AML-Prinzip der möglichst umfassenden, routinemäßigen Datensammlung und verweist auf die Möglichkeiten neuer Technologien, regulatorische Eigenschaften auch datensparsam nachzuweisen. Statt immer größere Datenbestände aufzubauen, sollten Behörden und Unternehmen hinterfragen, welche Informationen sie tatsächlich benötigen – und ob sich regulatorische Anforderungen nicht erfüllen lassen, ohne dafür die persönlichen Daten von Millionen unbescholtener Nutzer zu speichern.

Aufgrund der derzeitigen KYC-Pflicht werden zahlreiche sensible Daten gesammelt, die durch Hacks, Lecks und Insider-Missbrauch in falsche Hände geraten können. Gerade bei Bitcoin und Kryptowährungen kann ein solcher Datenabfluss besonders problematisch sein, wenn Informationen über Identität, Wohnort und Vermögen miteinander verknüpft werden können.

Die Gefahr beschränkt sich dabei längst nicht mehr auf Phishing-Angriffe und Erpressung. Auch physische Angriffe auf Krypto-Besitzer nehmen zu. Eine aktuelle Untersuchung von Chainalysis zeigt einen deutlichen Anstieg sogenannter „Wrench Attacks“, bei denen Besitzer von Kryptowährungen durch Einbrüche, Entführungen oder andere Formen körperlicher Gewalt zur Herausgabe ihrer Bestände gezwungen werden:

• Im Jahr 2025 erbeuteten Täter bei bekannten Angriffen Kryptowährungen im Wert von rund 58 Millionen US-Dollar – den höchsten bisher erfassten Jahreswert.
• Im Jahr 2026 dokumentierte Chainalysis bis Ende Juni weltweit 46 gewaltsame Vorfälle, bei denen insgesamt bereits mehr als 30 Millionen US-Dollar entwendet wurden.
• Eine umfangreiche Liste seit 2014 öffentlich bekannter Fälle führt zudem der Bitcoin-Entwickler und Sicherheitsexperte Jameson Lopp in seinem GitHub-Verzeichnis „Physical Bitcoin Attacks“.

Was passieren kann, wenn sensible Informationen tatsächlich in kriminelle Hände geraten, zeigt sich derzeit besonders deutlich in Frankreich. Dort gab es bis Mitte 2026 bereits 30 entsprechende Vorfälle. Chainalysis bringt den starken Anstieg unter anderem mit kompromittierten Daten der französischen Steuerverwaltung in Verbindung, durch die der Kreis potenzieller Opfer erheblich erweitert worden sei. Ein Mitarbeiter der Steuerverwaltung soll Informationen über vermögende Krypto-Investoren – einschließlich Namen, Adressen, Beständen, Telefonnummern und Steuerdaten – gestohlen und an Kriminelle verkauft haben. Hinzu kam Anfang 2026 ein Datenleck beim französischen Krypto-Steuerdienst Waltio, von dem rund 50.000 Nutzer betroffen waren.

Das Blockchain-Analyseunternehmen stellt somit einen Zusammenhang zwischen geleakten persönlichen Daten und dem starken Anstieg physischer Angriffe in Frankreich her. Die Angriffe richten sich dabei zunehmend auch gegen Familienmitglieder oder Bekannte der eigentlichen Krypto-Besitzer.

Im deutschsprachigem Raum zeigten zuletzt Sicherheitsvorfälle bei Bitcoin-Unternehmen wie Pocket Bitcoin und 21bitcoin, bei denen Nutzerdaten abgegriffen wurden, dass Kundendaten von Bitcoinern für Angreifer interessant sind.

Noch problematischer können zentralisierte staatliche Datensammlungen werden, wie zum Beispiel der Cyberangriff auf das liechtensteinische Transparenzregister, der Angriff der Ransomware-Gruppe Rhysida auf das Land Berlin oder das Revolut-Datenleck zeigen, bei dem sich Angreifer als staatliche Behörde ausgaben und Daten einforderten.

Ein weiterer umfangreicher Datenbestand über Krypto-Nutzer – und somit im Falle eines Hacks oder Insider-Angriffs eine potenzielle Grundlage für die gezielte Auswahl von Opfern – entsteht derzeit durch die seit 2026 geltende EU-Richtlinie DAC8: Krypto-Dienstleister müssen umfangreiche Identitäts- und Transaktionsinformationen ihrer Kunden erfassen, die anschließend an die zuständigen Steuerbehörden gemeldet und grenzüberschreitend ausgetauscht werden.

Der Bitcoin-Dienstleister Bull Bitcoin ist unter anderem aus diesem Grund bereits gerichtlich gegen die französische Umsetzung von DAC8 vorgegangen. Das Unternehmen warnt vor einem internationalen „financial-data honeypot“, der sensible Informationen über Krypto-Nutzer zentralisiert und dadurch neue Sicherheitsrisiken schafft.

Besonders drastisch brachte Bull-Bitcoin-CEO Francis Pouliot seine Kritik auf den Punkt: DAC8 mache aus „Know Your Customer“ „Kill Your Customer“.

Bull Bitcoin hat zudem angekündigt, künftig auch gegen das internationale Crypto-Asset Reporting Framework (CARF) vorgehen zu wollen. Das von der OECD entwickelte Regelwerk verfolgt ein ähnliches Ziel wie DAC8 und soll den automatischen Austausch steuerlich relevanter Informationen über Krypto-Assets auf internationaler Ebene ermöglichen.

Mit DAC8 und CARF entstehen somit weitere umfangreiche Datensammlungen, die für Bitcoin- und Krypto-Halter zu einem Sicherheitsrisiko werden könnten – während Hester Peirce in den USA gerade für eine Reduzierung unnötiger Datensammlungen wirbt.