KYC-Leak: 1 Milliarde persönliche Daten offengelegt – Können wir Identitätsprüfungsdienstleistern noch vertrauen?
- Wie kam es zu den massiven Datenlecks bei KYC-Anbietern?
- Welche Länder waren vom IDMerit-Datenleck betroffen?
- Was verbirgt sich hinter Personas Altersverifikation für Discord?
- Können KYC-Anbieter überhaupt noch vertrauenswürdig sein?
- Was können Nutzer nach diesen Datenlecks tun?
- Fragen und Antworten zu den KYC-Datenlecks
In einer Woche voller Datenskandale wurden gleich zwei massive Sicherheitslücken bei KYC-Anbietern aufgedeckt. Während IDMerit ungeschützte Terabyte-Datenbanken mit sensiblen Nutzerinformationen im Internet liegen ließ, nutzte Persona hinter den Kulissen von Discord's Altersverifikation eine versteckte Überwachungsinfrastruktur. Diese Enthüllungen stellen grundlegende Fragen zur Vertrauenswürdigkeit eines der sensibelsten Bereiche der Finanztechnologie.
Wie kam es zu den massiven Datenlecks bei KYC-Anbietern?
Die Woche vom 17. Februar 2026 wird als Albtraumwoche für den Identitätsverifikationssektor in die Geschichte eingehen. Zwei unabhängige Vorfälle enthüllten erschreckende Sicherheitslücken bei Unternehmen, die eigentlich als vertrauenswürdige Hüter unserer sensibelsten Daten gelten sollten.
Bereits im November 2025 entdeckten Forscher von Cybernews eine komplett ungeschützte MongoDB-Datenbank des US-KYC-Anbieters IDMerit – frei zugänglich im Internet ohne jegliche Authentifizierung. Die jetzt veröffentlichten Details sind alarmierend: Fast ein Terabyte Daten mit etwa 3 Milliarden Datensätzen, darunter eine Milliarde hochsensible persönliche Informationen wie vollständige Namen, Adressen, Geburtsdaten, nationale Ausweisnummern, Telefonnummern, E-Mails und Social-Media-Profile.
Welche Länder waren vom IDMerit-Datenleck betroffen?
Die Datenpanne betrifft Nutzer in 26 Ländern weltweit, mit besonders schwerwiegenden Auswirkungen in mehreren Industrienationen:
- Vereinigte Staaten: 203 Millionen betroffene Datensätze
- Mexiko: 124 Millionen
- Philippinen: 72 Millionen
- Deutschland, Italien und Frankreich: jeweils über 50 Millionen
Besonders beunruhigend: Die Datenbank enthielt Kennungen, die zeigen, dass IDMerit geleakte Daten aus früheren Sicherheitsverletzungen mit ihren eigenen KYC-Daten abgeglichen hatte – eine Praxis, die ethische und rechtliche Fragen aufwirft.
Was verbirgt sich hinter Personas Altersverifikation für Discord?
Fast zeitgleich enthüllte eine Untersuchung der Altersverifikationssoftware von Persona, die Discord für sein neues Jugendschutzsystem einsetzen wollte, weitreichende Überwachungsfunktionen. Drei Sicherheitsforscher entdeckten im Code der Anwendung:
- 269 verschiedene Überprüfungen pro Nutzer
- Vergleich von Selfies mit Fahndungslisten
- Automatische Prüfung auf Kryptoaktivitäten via Chainalysis/TRM Labs
- Direkte Meldung verdächtiger Transaktionen an US- und kanadische Behörden
- Speicherung von IPs, Browser-Fingerprints und Ausweisnummern bis zu 3 Jahren
Nach öffentlichem Druck hat Discord den Einsatz von Persona mittlerweile gestoppt. Doch die Enthüllung zeigt, wie leicht Altersverifikation als Trojaner für weitreichendere Überwachung genutzt werden kann.
Können KYC-Anbieter überhaupt noch vertrauenswürdig sein?
Diese beiden Vorfälle werfen grundlegende Fragen auf: Wie können wir Unternehmen anvertrauen, die selbst so fahrlässig mit unseren Daten umgehen? Die KYC-Branche steht an einem Scheideweg – entweder sie führt striktere Sicherheitsstandards ein, oder Regulierer werden es für sie tun müssen.
Als jemand, der seit Jahren über Fintech und Kryptowährungen berichtet, frage ich mich: Wann werden endlich dezentrale Identitätslösungen Mainstream, die uns die Kontrolle über unsere eigenen Daten zurückgeben? Die aktuellen Vorfälle zeigen schmerzhaft, warum wir dringend Alternativen zu den zentralisierten Gatekeepern brauchen.
Was können Nutzer nach diesen Datenlecks tun?
Für Betroffene gibt es leider keine einfachen Lösungen, aber einige Schutzmaßnahmen:
- Regelmäßige Passwortwechsel und Zwei-Faktor-Authentifizierung
- Kontenüberwachung auf verdächtige Aktivitäten
- Einsatz von Kreditüberwachungsdiensten
- Vorsicht bei Phishing-Versuchen (geleakte Daten machen gezielte Angriffe leichter)
- Politisches Engagement für stärkeren Datenschutz
Die bittere Ironie? Ausgerechnet die Branche, die uns vor Betrug schützen soll, hat uns einem noch größeren Risiko ausgesetzt. Vielleicht ist es an der Zeit, dass wir als Nutzer beginnen, den Spieß umzudrehen und diese Unternehmen genauso gründlich zu überprüfen, wie sie es mit uns tun.
Fragen und Antworten zu den KYC-Datenlecks
Welche Daten waren im IDMerit-Leak enthalten?
Die offengelegten Daten umfassten vollständige Namen, Adressen, Geburtsdaten, nationale Ausweisnummern, Telefonnummern, E-Mail-Adressen und Social-Media-Profile von über einer Milliarde Nutzern weltweit.
Wie hat IDMerit auf das Datenleck reagiert?
Nachdem Cybernews das Unternehmen am Tag nach der Entdeckung informiert hatte, sicherte IDMerit die Datenbank. Allerdings dauerte es bis Februar 2026, bis die Öffentlichkeit über den Vorfall informiert wurde.
Warum hat Discord die Zusammenarbeit mit Persona beendet?
Discord zog sich zurück, nachdem bekannt wurde, dass Personas Software weit über die reine Altersverifikation hinausging und umfangreiche Überwachungsfunktionen enthielt, die nicht transparent kommuniziert worden waren.
Gibt es sichere Alternativen zu traditionellen KYC-Verfahren?
Emergierende Technologien wie selbstsouveräne Identitäten (SSI) und Zero-Knowledge-Beweise versprechen mehr Sicherheit und Privatsphäre, sind aber noch nicht weit verbreitet. Einige Krypto-Börsen wie BTCC experimentieren bereits mit solchen Lösungen.
