Warum finanzielle Privatsphäre zählt. Und was wir fordern.

Unsere Gründe

1. Privatsphäre heißt, selbst zu entscheiden

   Du entscheidest, wer was über dich weiß.

   Das ist Privatsphäre, und beim Bargeld ist sie selbstverständlich: An der Kassa fragt niemand nach deinem Namen.

   „Privatsphäre ist nicht Geheimhaltung“, schrieb Eric Hughes 1993 im Manifest der Cypherpunks, einer Bewegung von Programmierern, in deren Tradition Bitcoin steht. Privat ist, was man nicht der ganzen Welt mitteilen will, geheim, was niemand wissen soll. Privatsphäre ist die Macht, selbst zu entscheiden, was man von sich zeigt.

   Das deutsche Bundesverfassungsgericht sah es 1983 ebenso: Eine Rechtsordnung, „in der Bürger nicht mehr wissen können, wer was wann und bei welcher Gelegenheit über sie weiß“, wäre mit dem Recht auf informationelle Selbstbestimmung nicht vereinbar.

   In Österreich ist der Datenschutz ein Grundrecht im Verfassungsrang. Der Staat darf nur eingreifen, wo es nötig ist, und auch dann nur „in der gelindesten, zum Ziel führenden Art“.

   Quellen: Hughes 1993 · BVerfGE 65, 1 · § 1 DSG

2. Privatsphäre betrifft alle

   Niemand muss reich sein, um finanzielle Privatsphäre zu brauchen.

   Überträgst du Bitcoin über eine Börse, einen Broker oder eine App, wird dort gespeichert, wer an wen zahlt. Daraus kann hervorgehen, wem du spendest, wen du unterstützt und wo du Mitglied bist.

   Das verlangt die EU-Geldtransferverordnung: Namen und Wallet-Adressen von Absender und Empfänger, auch wenn das Ziel deine eigene Wallet ist. Aufbewahrt wird das bei allen Kunden, ohne Verdacht und über Jahre.

   Die europäischen Datenschutzbehörden warnen, dass schon einzelne Zahlungen viel verraten: Spenden etwa politische oder religiöse Überzeugungen, Arztrechnungen die Gesundheit. In der Jahresmeldung stehen davon nur Jahressummen, beim Anbieter liegt jede einzelne Zahlung.

   Wie schnell Zahlungswege und Finanzdaten gegen politische Anliegen eingesetzt werden, zeigen zwei bekannte Fälle. Im Dezember 2010 blockierten Visa, Mastercard und PayPal Spenden an WikiLeaks, ohne dazu gerichtlich verpflichtet zu sein. 2022 ließ Kanada während der Trucker-Proteste rund 280 Konten, Karten und Kreditlinien einfrieren, und Banken mussten Angaben über betroffene Kunden an die Polizei weitergeben. Kanadische Gerichte urteilten 2024 und 2026, noch nicht rechtskräftig, dass diese Weitergabe gegen den Schutz vor unangemessener Durchsuchung verstieß.

   Überwachung wirkt auch ohne Datenleck. Das Bundesverfassungsgericht schrieb 1983: „Wer unsicher ist, ob abweichende Verhaltensweisen jederzeit notiert und als Information dauerhaft gespeichert, verwendet oder weitergegeben werden, wird versuchen, nicht durch solche Verhaltensweisen aufzufallen.“

   Quellen: Verordnung (EU) 2023/1113 · § 21 FM-GwG · EDSA-Leitlinien 06/2020 · Bridy 2015 · Parlament Kanada · 2024 FC 42 · 2026 FCA 6 · BVerfGE 65, 1

3. Bitcoin ist digitales Bargeld

   Bitcoin in der eigenen Wallet ist wie Bargeld daheim.

   Bei der Selbstverwahrung hältst du die Schlüssel zu deinen Bitcoin selbst, in einer Wallet, also einer App oder einem Gerät. Wie beim Bargeld geht es niemanden etwas an, wie viel du hast; gefährlich wird es, wenn andere davon erfahren.

   Bitcoin wurde 2008 als elektronisches Bargeld entworfen, das ohne Bank von Person zu Person geht. Wer die Schlüssel hat, kann seine Bitcoin übertragen, ohne dass jemand zustimmen muss.

   Das macht dich unabhängig, zieht aber wie Bargeld Kriminelle an, aus der Ferne ebenso wie vor Ort. Darum solltest du selbst entscheiden, wem du zeigst, wie viel du besitzt. Gefährlich ist also nicht die eigene Wallet, sondern Daten darüber, wem sie gehört.

   Quellen: Nakamoto 2008

4. Gemeldet wird auch, was keine Steuer auslöst

   Stell dir vor, deine Bank meldet dem Finanzamt jedes Jahr, wie viel Bargeld du abgehoben hast.

   Bei Bitcoin verlangt DAC8 genau das: Hebst du Bitcoin von der Börse ab, um sie selbst zu verwahren, steht die Jahressumme in der Regel in der Meldung, obwohl das für sich genommen keine Steuer auslöst.

   Für dein Bankkonto im Inland gibt es keine solche Jahresmeldung: Den automatischen Austausch über Bankkonten gibt es nur für Kunden, die im Ausland steuerlich ansässig sind. Bei Krypto-Anbietern erfasst DAC8 auch Kunden im Inland.

   Die Wallet-Adresse, gleichsam die Kontonummer deiner Wallet, steht nicht in der Meldung, nur die Summe. Gelangt so eine Meldung in falsche Hände, zeigt sie trotzdem, wer vermutlich Erspartes selbst verwahrt.

   Quellen: Richtlinie (EU) 2023/2226 · GMSG

5. Privat, bis ein Datenleck Namen liefert

   Die Blockchain zeigt Zahlungen, aber keine Namen.

   Die Blockchain, das öffentliche Verzeichnis aller Bitcoin-Zahlungen, führt sie unter Wallet-Adressen, einer Art Kontonummer. Verrät ein Datenleck, welche davon dir gehören, lassen sich dir ihre Zahlungen zuordnen, frühere wie künftige.

   Schon das Bitcoin-Whitepaper warnt: Wird bekannt, wem ein Schlüssel gehört, können durch Verknüpfungen weitere Transaktionen derselben Person erkennbar werden. Und die Blockchain vergisst nichts. Beim Berliner Identifizierungsdienst Fractal ID lagen Ausweis, Wohnadresse und Wallet-Adresse in einem Datensatz, bis Angreifer ihn kopierten.

   Ist eine Wallet-Adresse einmal einem Namen zugeordnet, lassen ihre Zahlungen mit Angaben über die Empfänger Rückschlüsse auf Einkäufe, Spenden und Beziehungen zu.

   Ein Profil ist kein Beweis. Welche Wallet-Adressen zusammengehören, leiten Analysefirmen aus Annahmen ab, und schon eine falsche kann die Zahlungen verschiedener Menschen zusammenwerfen. Wer nach einem solchen Profil beurteilt wird, muss Fehler finden und berichtigen können.

   Quellen: Nakamoto 2008 · Fractal ID · Goldfeder et al. 2018 · Möser und Narayanan 2022

6. Daten verraten, bei wem etwas zu holen sein könnte

   Aus Datenlecks werden Ziellisten.

   Schon der Verdacht auf Krypto-Vermögen kann Überfälle und Entführungen auslösen, ob der vermutete Bestand stimmt oder nicht. Daten bei Anbietern, Dienstleistern und Behörden können Tätern dafür Ansatzpunkte liefern.

   Aus Summe und Anzahl der Käufe und Übertragungen lässt sich grob schätzen, wie viel jemand bewegt. Die Schätzung kann weit danebenliegen, weil dasselbe Geld mehrfach zählen kann. Wer die Daten erbeutet, filtert trotzdem Menschen heraus, die vermögend wirken.

   Beim französischen Krypto-Steuerdienst Waltio gelangten E-Mail-Adressen, Gewinne und Verluste sowie Jahresendbestände der Kunden in fremde Hände. Laut französischer Polizei ist das Datenleck ein Grund für die Zunahme solcher Gewalttaten: Täter wählen damit Opfer aus und irren sich dabei teils über deren tatsächliche Bestände.

   Beim Hardware-Wallet-Hersteller Ledger gelangten 2020 Namen, Anschriften und Telefonnummern von rund 272.000 Käufern ins Netz, eine Liste von Menschen, die Bitcoin vermutlich selbst verwahren.

   In Österreich nutzen Betrüger die neuen Krypto-Steuerregeln schon als Vorwand: Gefälschte FinanzOnline-Nachrichten fragen nach Krypto-Beständen, eine wahllos verschickte SMS-Masche auch nach Gold und Bargeld.

   Quellen: Waltio · Gendarmerie nationale · Ledger · Watchlist Internet · Watchlist Internet (SMS)

   Dokumentierte Angriffe auf der Karte
7. Jede Jahresmeldung bleibt zehn Jahre

   Mit jedem Jahr wird die Akte dicker.

   Bleibst du Kunde, liegen ab 2036 laufend zehn Jahresmeldungen beim Anbieter. Je mehr Jahre darin liegen, desto mehr verrät ein einziges Datenleck beim Anbieter.

   Die Akte entsteht für alle: Der Anbieter muss die Meldedaten für jeden Kunden aufbereiten, auch für jene, die nie gemeldet werden. Damit geht Österreich über die EU-Richtlinie hinaus. Deutschland und die Niederlande verlangen das nur für Kunden, deren Daten auch wirklich ans Finanzamt gehen.

   Der Anbieter löscht jede Jahresmeldung erst zehn Jahre nach ihrem Meldejahr, laut Gesetzesbegründung „aus Vereinfachungsgründen“. Für Meldungen über Bankkonten gelten fünf Jahre, Irland sieht bei Krypto-Anbietern grundsätzlich sechs vor.

   Und ob nach Ablauf der Frist wirklich gelöscht wird, musst du glauben. Beim Versanddienstleister des Wallet-Herstellers Trezor tauchten 2026 Bestellungen aus 2019 bis 2021 in einem Datenleck auf, obwohl der Dienstleister mehrfach schriftlich bestätigt hatte, sie gelöscht zu haben.

   Daneben bewahrt der Anbieter nach den Geldwäschevorschriften Ausweis, Wallet-Adressen und einzelne Transaktionen auf, derzeit bis zehn Jahre nach Ende der Kundenbeziehung. Für DAC8 kommen Steuernummer und Steuerwohnsitz dazu. Beim Finanzamt laufen die Jahresmeldungen aller Anbieter zusammen, bei denen du Kunde bist; lebst du in Deutschland, beim deutschen.

   Auch Steuerbehörden verlieren Daten: Aus der bulgarischen Steuerbehörde gelangten 2019 Daten von mehr als sechs Millionen Menschen ins Netz. Laut OECD waren auch Kontodaten aus dem automatischen Austausch darunter, über den künftig die DAC8-Meldungen laufen.

   Entscheidend ist das Gesamtbild: Meldungen über mehrere Anbieter und Jahre, das Datenleck eines Steuertools und zuordenbare Blockchain-Daten können zusammen ein Profil von Aktivität und vermutetem Vermögen ergeben.

   Quellen: § 20 Krypto-MPfG · Regierungsvorlage 306 d.B. · KStTG · Stb. 2026, 93 · S.I. 584/2025 · Trezor · § 21 FM-GwG · EuGH C-340/21 · OECD 2019

8. Erfasst wird jeder Kunde, ohne Verdacht

   In die Akte kommt, wer einen Anbieter nutzt, nicht wer verdächtig ist.

   Gemeldet wird, wer über eine Börse, einen Broker oder eine App kauft. Wer Bitcoin von Mensch zu Mensch kauft oder sich in Bitcoin bezahlen lässt, steht nicht darin: Die Meldung folgt dem Weg, nicht einem Verdacht.

   Der Verfassungsgerichtshof hob 2014 die Vorratsdatenspeicherung von Telefon- und Internetdaten auf. Sie erfasse „fast ausschließlich Personen, die keinerlei Anlass […] für die Datenspeicherung gegeben haben“.

   Auch was ins Leere läuft, bleibt gespeichert: 2024 gingen bei der österreichischen Geldwäschemeldestelle 11.111 Verdachtsmeldungen ein, 1.228 davon von Krypto-Anbietern. 8.138 führten vorerst nicht weiter, mangels Anfangsverdachts, also eines Anhaltspunkts für eine Straftat, oder weiterer Ansätze. Sie bleiben für spätere Auswertungen bis zu fünf Jahre gespeichert.

   Die Ausweisprüfung zeigt, wessen Ausweis vorgelegt wurde, nicht wer das Konto nutzt. Laut Geldwäschemeldestelle eröffnen Kriminelle Konten mit gefälschten österreichischen Pässen, die Daten echter, unbeteiligter Menschen tragen.

   Die zusätzlichen Steuereinnahmen durch DAC8 schätzte die Kommission auf bis zu 2,4 Milliarden Euro im Jahr. Gerechnet hat sie mit der Steuer auf alle Gewinne aus Bitcoin, hochgerechnet auf alle Kryptowerte, obwohl sie nach eigenen Angaben nicht wusste, wie viel davon bereits versteuert war.

   Quellen: VfGH G 47/2012 · Geldwäsche-Lagebericht 2024 · SWD(2022) 401

9. Überwachung wächst mit jedem Gesetz

   Was gesammelt ist, wird für mehr genutzt.

   Seit DAC8 erlaubt die Richtlinie, alle Steuerdaten, die Staaten nach ihr austauschen, auch über Bankkonten, gegen Geldwäsche und für EU-Sanktionen zu nutzen. Wir wollen finanzielle Überwachung zurückdrängen, statt zuzusehen, wie sie wächst.

   Wie so etwas wächst, zeigt Österreich: Das Kontenregister entstand 2015 im selben Gesetz, das das Bankgeheimnis lockerte. Seit Juli 2026 nutzt es auch das Amt für Betrugsbekämpfung, etwa gegen Sozialbetrug und Scheinfirmen. In Deutschland fragten Gerichtsvollzieher 2013 erst 61.760 Mal ab, wer welche Konten hat, 2023 schon 844.427 Mal.

   DAC8 ist ein Baustein unter mehreren: Den Ausweis prüft der Anbieter schon bei der Kontoeröffnung, Absender und Empfänger erfasst er bei jeder Übertragung. Bis 2029 werden die Kontenregister EU-weit vernetzt; sie erfassen dann auch Konten bei Krypto-Anbietern, ohne Kontostände.

   Was das bringt, misst kaum jemand. 2025 gingen in Österreich 13.989 Verdachtsmeldungen ein, und es gab 139 Verurteilungen wegen Geldwäsche; einzelnen Meldungen lassen sie sich nicht zuordnen. Von 100 Euro aus Straftaten in der EU wurden laut Europol für 2010 bis 2014 rund 1,1 Euro endgültig eingezogen.

   Quellen: Richtlinie (EU) 2023/2226 · BGBl. I 116/2015 · BGBl. I 46/2026 · BT-Drucksache 20/10841 · Richtlinie (EU) 2024/1640 · Geldwäsche-Lagebericht 2025 · Europol 2016

   Wie die Datensammlung gewachsen ist und was sie bringt

Einwände

• „Ich habe nichts zu verbergen.“

  Privatsphäre braucht keine Rechtfertigung, staatliche Eingriffe schon. Und jeder hat etwas zu schützen: seine Wohnadresse, sein Erspartes, seine Familie.

• „Es geht doch um Steuergerechtigkeit.“

  Auch für die Steuer darf der Staat nur so viele Daten verlangen, wie er braucht. Österreich hat 1993 sogar per Verfassungsgesetz festgelegt, dass die Steuer auf Zinsen mit dem Abzug durch die Bank abgegolten ist; eine Jahresmeldung über jeden Sparer braucht es dafür nicht. Genauso ziehen österreichische Anbieter seit 2024 die Steuer auf Kursgewinne selbst ab, bei allen, die in Österreich steuerlich ansässig sind; für Kunden in Deutschland gilt das nicht. Wo die Steuer schon abgezogen wird, muss der Staat begründen, wozu er zusätzlich jedes Jahr die Summen braucht, auch für Übertragungen, die keine Steuer auslösen.

  Endbesteuerungsgesetz · BMF
• „Brauchen wir die Daten nicht gegen Kriminalität?“

  Ermittlungen brauchen Informationen. Daraus folgt nicht, dass jede zusätzliche Angabe, jeder weitere Zugriff und jede lange Speicherfrist nötig ist. Wer Daten über alle verlangt, muss ihren Nutzen belegen und zeigen, dass gezielte Ermittlungen bei konkretem Verdacht nicht genügen.

• „Die Daten sind doch verschlüsselt.“

  Verschlüsselung hilft gegen Fremde, nicht gegen jene, die die Daten ohnehin sehen dürfen. In Österreich fragte ein Finanzbeamter jahrelang ohne dienstlichen Grund tausende Steuerdaten ab, darunter von über 1.000 Menschen aus seinem Heimatort. Bei Coinbase sammelten bestochene Support-Mitarbeiter Kundendaten bis hin zu Ausweisbildern und Kontoständen.

  Disziplinarkommission beim BMF · Coinbase (Form 8-K)
• „Der Verfassungsgerichtshof hat den Austausch von Kontodaten doch erlaubt.“

  Für Kontostand und Zinsen, ja: Diese berührten laut Gericht nicht den Kernbereich des Privatlebens. DAC8 meldet mehr, nämlich Beträge, die Menge an Bitcoin oder anderen Kryptowerten und die Zahl der Transaktionen, auch über Kunden im Inland, und Österreich lässt die Anbieter die Meldung zehn statt fünf Jahre aufbewahren. Ob das verhältnismäßig ist, hat der Verfassungsgerichtshof bisher nicht entschieden.

  VfGH E 2097/2021
• „Ich nutze nur meine eigene Wallet.“

  Solange du nie einen Anbieter nutzt, meldet DAC8 dich nicht. Hast du dort gekauft und auf deine Wallet übertragen, steht die Jahressumme in der Regel in der Meldung, ohne Wallet-Adresse. Die Wallet-Adresse bleibt beim Anbieter gespeichert.

• „Dann kauf halt nicht über eine Börse.“

  Ob du Bitcoin über einen Anbieter kaufst, direkt mit anderen tauschst oder als Bezahlung erhältst: Privatsphäre gilt auf jedem Weg. Niemand soll einen Weg meiden müssen, um sie zu behalten; der Schutz muss im Gesetz stehen.