Staat und Unternehmen sammeln heute übermäßig viele Daten über Menschen: staatliche Register, KYC-Datenbanken, E-Rechnungen, eKasa (das slowakische Pflicht-Online-Kassensystem). Früher oder später wird eine dieser Datenbanken geleakt. Genau das ist Ende September 2026 in Polen passiert. Angreifer verschafften sich Zugang zu den Servern des beliebten Rechnungsdienstes Fakturownia, über den Unternehmen ihre Rechnungen auch an das staatliche System der E-Rechnungspflicht KSeF übermitteln. Nach Angaben des Unternehmens selbst betrifft der Vorfall jedes Konto. Abgeflossen sein könnten Namen, Steuernummern und Adressen der Unternehmen und ihrer Kunden, Rechnungsbeträge, Zahlungen samt Kontonummern sowie API-Schlüssel.

Wenn eine Datenbank geleakt wird, tragen das Risiko die Menschen, deren Daten im Darknet gelandet sind. Die Behörde schickt ihnen ein Informationsschreiben, das Unternehmen eine Entschuldigungs-E-Mail, und eine Entschädigung bekommt so gut wie niemand.

Ich kenne persönlich jemanden, dessen KYC-Daten geleakt wurden. Betrüger haben sich mit seinen Daten bei Kryptobörsen registriert und in seinem Namen immer wieder Betrügereien in verschiedenen Ländern begangen. Obwohl er neue Ausweisdokumente beantragt hat, ist er völlig verzweifelt, denn sein Vor- und Nachname steht inzwischen bei unzähligen Diensten auf der schwarzen Liste. Nichts davon hätte passieren müssen, wäre er nicht gezwungen gewesen, ein KYC-Verfahren zu durchlaufen, das für das, was er erledigen wollte, überhaupt nicht nötig war.

Frankreich: vom Datenleck zu Entführungen

Laut einer Analyse von Chainalysis vom August 2026 gab es in Frankreich vor 2025 nur einige wenige bekannte gewaltsame Angriffe auf Kryptobesitzer. 2025 waren es 19, allein im ersten Halbjahr 2026 bereits 30. Der französische Innenminister Laurent Nuñez sprach Ende Juni 2026 von mehr als 70 dokumentierten Fällen. In mehr als 40 % der französischen Fälle hatten es die Täter nicht auf den Kryptobesitzer selbst abgesehen, sondern auf seine Angehörigen.

Als wahrscheinlichste Ursache nennt Chainalysis ein Datenleck. Ein Mitarbeiter der Finanzverwaltung im Großraum Paris soll 2024 Akten wohlhabender Kryptobesitzer gestohlen und an Kriminelle verkauft haben: Namen, Adressen, Telefonnummern, Vermögen und Steuerunterlagen.

Die Medien schildern in diesem Zusammenhang den Fall einer ehemaligen Mitarbeiterin des Finanzamts in Bobigny, die laut den Ermittlern im Steuersystem nach Krypto-Investoren gesucht hat, aber auch nach der Adresse eines Gefängniswärters, der im September 2024 bei sich zu Hause brutal überfallen wurde. Sie gab zu, die Informationen weitergegeben zu haben; die Ermittler stießen bei ihr auf Bareinzahlungen und Überweisungen über Western Union.

Im Sommer 2026 haben Angreifer mit gestohlenen Zugangsdaten außerdem aus der französischen Finanzverwaltung DGFiP Daten über 678.000 Personen und Unternehmen abgezogen. Der Staat sammelt die Daten und kann sie nicht schützen.

Die Hardcore-Lösung: Knast für jedes Leck

Eine strafrechtliche Haftung für jedes Datenleck einführen.

Ein Staatsbeamter würde tatsächlich in den Knast wandern, wenn jemand die staatliche Bürgerdatenbank hackt, für die er verantwortlich ist. Dasselbe würde für den Betreiber einer KYC-Datenbank, des E-Rechnungssystems (auf Englisch) oder anderer Systeme gelten, die noch vor ein paar Jahren niemand brauchte und die heute nur der flächendeckenden Bespitzelung der Bevölkerung dienen.

Das hätte folgende Wirkung:

1. Die Sicherheit aller Systeme, die irgendwelche personenbezogenen Daten sammeln, würde deutlich steigen (schließlich drohte dafür der Knast).
2. Da Sicherheit teuer ist und niemand in den Knast will, entstünde starker Druck, alle Schnüffelmechanismen abzuschaffen, die für den Betrieb des Dienstes nicht unbedingt nötig sind.

Die meisten Dienste kommen ohne KYC aus. Börsen, Onlineshops und Mobilfunkanbieter können technisch auch im anonymen oder pseudonymen Modus laufen. Dass MiCA und die AML-Vorschriften das den Börsen in der EU heute verbieten, ist nur die Folge davon, dass für ein Leck personenbezogener Daten niemand zahlen muss und ihre flächendeckende Sammlung deshalb billig ist. Und schließlich entspricht der anonyme Modus genau dem Grundsatz der Datenminimierung aus der DSGVO: Nach Art. 5 Abs. 1 Buchst. c DSGVO müssen personenbezogene Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein“.

Das Ergebnis wäre deutlich mehr Privatsphäre für alle Bürger. Es gäbe weniger Krypto-Entführungen und weniger Geschäftemacherei mit gesammelten Daten, und auf Darknet-Marktplätzen ließen sich viel weniger geleakte Datenbanken kaufen.

Wer KYC und flächendeckende Bespitzelung will, soll sie ruhig einführen. Er soll aber zugleich konkrete Personen benennen, die dafür strafrechtlich verantwortlich sind und im Knast landen, wenn jemand die betreffende Datenbank hackt und missbraucht.

Nur wird das nie passieren, denn der Staat will Sie unter allen Umständen ausspionieren (auf Englisch), selbst um den Preis, Ihre Privatsphäre maximal zu gefährden. Die französischen Opfer der Krypto-Entführungen, über die wir oben schreiben, können ein Lied davon singen. Und der Staat will selbstverständlich für nichts die Verantwortung tragen und wird es auch nie tun.

Die fairere Lösung: ein Preisschild für jeden Datensatz

Knast allein dafür, dass man gehackt wird, wäre allerdings nicht fair. Ein unhackbares System gibt es nicht, und niemand sollte für eine 0-Day-Schwachstelle sitzen, die jemand anderes gegen ihn eingesetzt hat. Eine fairere und zugleich wirksamere Variante sieht so aus:

• Eine feste Entschädigung für jeden geleakten Datensatz, direkt an die Betroffenen ausgezahlt. Automatisch, ohne Gerichte und ohne Schadensnachweis. Zum Beispiel 500 € pro Datensatz mit sensiblen Daten wie Geburtsnummer (rodné číslo, die slowakische Personenkennziffer), Ausweisnummer oder Unterschrift. Das Leck einer Datenbank mit einer Million Menschen würde also 500 Millionen € kosten.
• Strafrechtliche Haftung nur bei grober Fahrlässigkeit und beim Vertuschen eines Lecks. Unter grober Fahrlässigkeit verstehe ich zum Beispiel ein seit Jahren nicht aktualisiertes System, in lesbarer Form (Klartext) gespeicherte Passwörter oder das Sammeln von Daten, die der Dienst überhaupt nicht braucht.
• Wenn der Staat die Erhebung anordnet, zahlt der Staat die Entschädigung. Ja, das bezahlen wir alle über unsere Steuern. Umso sichtbarer wird aber, was uns die flächendeckende Bespitzelung tatsächlich kostet. Jedes neue Register wie die E-Rechnung oder das verpflichtende KYC hätte im Haushalt ein klares Preisschild.

Der Effekt: Versicherer würden anfangen, jeden gespeicherten Datensatz zu bepreisen. Die billigste Sicherheit wäre, die Daten gar nicht erst zu sammeln. Wie viele Daten es sich lohnt aufzubewahren, würde dann nicht ein Beamter entscheiden, sondern der Markt.

Wenn Sie irgendwelche Informationen sammeln wollen, bitte sehr, aber Sie müssen sich dagegen versichern, und das wird teuer. Sie haben also einen klaren wirtschaftlichen Anreiz, dafür zu sorgen, dass Entwicklung und Erbringung Ihres Dienstes ohne das Sammeln personenbezogener Daten auskommen.

Und die Menschen, deren Daten geleakt wurden, bekämen endlich eine Entschädigung. Nicht nur eine E-Mail à la „Ihre Daten könnten kompromittiert worden sein, wir empfehlen Ihnen, Ihr Passwort zu ändern“.

Ökonomen nennen das eine negative Externalität. Heute ist ein Datenleck wie ein verschmutzter Fluss: Den Gewinn aus dem Sammeln streicht der Betreiber ein, den Schaden tragen andere. Die feste Entschädigung ist nichts anderes als das alte Verursacherprinzip („Wer verschmutzt, zahlt“), angewandt auf Daten. Bruce Schneier hat das schon 2016 in seinem Essay Data Is a Toxic Asset auf den Punkt gebracht: Daten sind ein toxischer Vermögenswert, und sie zu speichern ist gefährlich.

Warum gerade 500 €?

Das ist ein Richtwert für sensible Daten. Der Satz sollte umso höher sein, je mehr ein Leck einem Menschen schaden kann:

• E-Mail-Adresse oder Telefonnummer: im einstelligen Eurobereich,
• Name mit Adresse: im zweistelligen Eurobereich,
• Geburtsnummer, Ausweisnummer, Unterschrift, Gesundheits- oder Vermögensdaten: im dreistelligen Eurobereich,
• Adresse zusammen mit Vermögen, also genau das, was den Entführern in Frankreich als Zielliste diente: noch mehr.

Genau so würde ein Versicherer rechnen. Und ein Unternehmen würde sehr schnell merken, dass es die Geburtsnummer seines Kunden für die Erbringung der Leistung gar nicht braucht.

Ein Beispiel aus der Slowakei

Seit dem 17. August 2026 macht das slowakische Handelsregister von Gesetzes wegen die Geburtsnummern, Meldeadressen, Personalausweisnummern und Unterschriftsproben (auf Englisch) der Geschäftsführer und Gesellschafter von rund einer halben Million Unternehmen öffentlich zugänglich. Betroffen sind Hunderttausende Menschen. Eine Veröffentlichung ist schlimmer als ein Leck, weil sie dauerhaft und für jedermann einsehbar ist, und sollte deshalb genauso berechnet werden. Bei 500 € pro Datensatz würde der Staat für diese eine gesetzgeberische Entscheidung Hunderte Millionen Euro zahlen. Ich glaube, bei einem solchen Preisschild würde sich das Parlament die Sache noch einmal überlegen.

Heute läuft es umgekehrt

Zwar gibt die DSGVO in Art. 82 jedem, dem durch einen Verstoß ein Schaden entstanden ist, einen Anspruch auf Schadenersatz, aber den muss er einklagen und den Schaden nachweisen. Ein bloßer Verstoß gegen die DSGVO reicht für eine Entschädigung nicht aus, wie der Gerichtshof der EU (EuGH) 2023 im Urteil C-300/21 (Österreichische Post) bestätigt hat. Und die Bußgelder der Aufsichtsbehörden fließen in den Staatshaushalt, nicht an die Menschen, deren Daten geleakt wurden.

Was die DSGVO dazu sagt: Am besten gar nicht erst sammeln

Das ist nichts Exotisches. Die DSGVO empfiehlt genau das schon heute, nur haben die Opfer nichts davon:

• Gar nicht erst sammeln. Nach Art. 25 Abs. 2 DSGVO muss durch Voreinstellung sichergestellt sein, dass „nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden“. Das betrifft die Menge der Daten, den Umfang der Verarbeitung, die Speicherdauer und auch die Frage, wer darauf Zugriff hat.
• Anonymisieren. Auf anonyme Daten findet die DSGVO laut Erwägungsgrund 26 überhaupt keine Anwendung, und wirklich anonyme Daten gefährden niemanden, selbst wenn sie geleakt werden. Echte Anonymisierung ist allerdings schwieriger, als es aussieht. Schon im Jahr 2000 zeigte Latanya Sweeney, dass Postleitzahl, Geburtsdatum und Geschlecht ausreichen, um 87 % der US-Bevölkerung eindeutig zu identifizieren. Den Namen aus der Datenbank zu löschen, reicht nicht.
• Pseudonymisieren. Wenn es ohne personenbezogene Daten wirklich nicht geht, nennen Art. 25 Abs. 1 und Art. 32 Abs. 1 Buchst. a Pseudonymisierung und Verschlüsselung als grundlegende Schutzmaßnahmen. Wie das in der Praxis aussieht, beschreibt der Europäische Datenschutzausschuss in seinen Leitlinien 01/2025 zur Pseudonymisierung und in den Leitlinien 4/2019 zum Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen.

Eine feste Entschädigung für jeden geleakten Datensatz würde aus diesen Empfehlungen harte wirtschaftliche Realität machen.

Einwände

„KYC ist im Kampf gegen Geldwäsche unverzichtbar.“ Die Belege für seine Wirksamkeit sind sehr dünn. Laut einer Analyse von Ronald Pol (2020) erfassen die Vorschriften gegen Geldwäsche weniger als 0,1 % der Erträge aus Straftaten. Den Preis dafür zahlen alle Kunden, deren Daten gesammelt werden, und bei einem Leck zusätzlich mit ihrer Privatsphäre.

„Das würde die Firmen ruinieren.“ Diejenigen, die viel mehr sammeln, als sie brauchen, ja. Genau darum geht es. Ein Unternehmen, das nur die nötigsten Daten speichert, zahlt für die Versicherung wenig.

„Wie soll man feststellen, aus welcher Datenbank ein Leck stammt?“ Geleakte Datenbanken lassen sich meist anhand ihrer Struktur und ihres Inhalts zuordnen. Ein ehrlicher Betreiber kann außerdem Kontrolldatensätze (Canary Records) in seine Datenbank einfügen: Tauchen sie in den geleakten Daten nicht auf, kann er leicht beweisen, dass das Leck nicht von ihm stammt. Auch deshalb muss das Vertuschen eines Lecks strafbar sein.

Was das für uns als Unternehmen bedeuten würde

Als Firmeninhaber kann ich mir die Lösung mit fester Entschädigung auch gegenüber unseren eigenen Kunden vorstellen, über die wir Informationen sammeln. Und ich finde sie fair.

Als Unternehmen können wir allerdings nicht einfach gar nichts über unsere Kunden sammeln. Eine Rechnung muss nach § 74 des slowakischen Umsatzsteuergesetzes Namen, Adresse und USt-IdNr. des Kunden enthalten, und nach § 76 müssen wir sie 10 Jahre lang aufbewahren.

So gern wir unsere Leistungen anonym und gegen anonyme Kryptowährungen anbieten würden, das geht leider nicht. Sie können bei uns zwar auch mit Stablecoins und 4 % Rabatt (auf Slowakisch) bezahlen, eine Rechnung mit Namen und Adresse müssen wir aber trotzdem ausstellen. Der Staat zwingt uns, personenbezogene Daten unserer Kunden zu sammeln und sie anschließend auch zu schützen.

Ähnlich geht es den Mobilfunkanbietern. In Tschechien können Sie eine Prepaid-SIM nach wie vor ohne Identifizierung kaufen. Ein slowakischer Anbieter muss dagegen nach § 86 Abs. 2 Buchst. b des slowakischen Gesetzes über elektronische Kommunikation auch bei Kunden mit Prepaid-Karte Daten erheben und speichern, und zwar im Umfang von § 110 Abs. 2 Buchst. a: Name, Meldeadresse, Geburtsnummer, Personalausweisnummer und Staatsangehörigkeit.

Der Druck, die Opfer zu entschädigen, würde meiner Meinung nach auch diese Gesetzgebung in Bewegung bringen. Eine Versicherung gegen Datenlecks wäre für einen slowakischen Anbieter, der die Geburtsnummern seiner Prepaid-Kunden speichern muss, teurer als für einen tschechischen, der das nicht muss.

Wie man der Pflicht zur SIM-Registrierung zumindest teilweise entgehen kann, haben wir im Artikel Wie Sie beim mobilen Internetzugang maximale Anonymität erreichen (auf Englisch) beschrieben.

Wirtschaftliche Anreize würden dazu führen, dass in der Gesellschaft nur noch Informationen gesammelt werden, die für die Erbringung oder Ausführung einer Leistung wirklich nötig sind. Nicht die übermäßige Sammelwut, die daher rührt, dass der Staat und seine Beamten die maximale Kontrolle über die Bevölkerung haben wollen: KYC, eKasa (auf Slowakisch), E-Rechnung (auf Englisch) usw.

Zum Schluss

Daten, die Sie nicht sammeln, können nicht leaken, lassen sich nicht verkaufen, und niemand klopft ihretwegen an die Tür Ihrer Familie.

Solange der Betreiber die Opfer nicht entschädigen muss, ist es für ihn billiger, eine Datenbank leaken zu lassen, als sie abzusichern – und Staat wie Unternehmen werden alles sammeln.

Es genügt, jedem Datensatz einen Preis zu geben. Um den Rest kümmert sich der Markt.