Indische Finanznachrichtenbehörde (FIU) veröffentlicht neue Richtlinien, die verpflichten, dass Krypto-Börsen die Identität der Nutzer durch sofortige Selfies und Geolokalisierung verifizieren, sowie Augentracking-Software einsetzen, um AI-generierte Deepfakes bei der KYC-Überprüfung zu verhindern. Dies spiegelt die strenge regulatorische Haltung Indiens gegenüber dem Markt mit über 1,4 Milliarden Einwohnern wider, wobei derzeit auf Krypto-Einkünfte eine Steuer von 30 % erhoben wird und Steuerverluste nicht absetzbar sind.
Warum verschärft Indien plötzlich die KYC-Regulierung
Die indische Finanznachrichtenbehörde (FIU), die für die Entwicklung von Anti-Geldwäsche- und KYC-Vorschriften zuständig ist, sieht diese Verschärfung nicht als plötzlichen Schritt, sondern als Fortsetzung einer langfristigen Regulierungstrend. Indien mit über 1,4 Milliarden Einwohnern ist einer der größten potenziellen Kryptowährungsmärkte weltweit. Die Nutzungstrends im Bereich Kryptowährungen könnten eine neue Investitionswelle für die Branche auslösen, gleichzeitig aber auch die Aufsichtsbehörden sehr wachsam machen.
Ein Beamter des indischen Einkommenssteueramts (ITD) äußerte sich am Mittwoch gegenüber Parlamentariern eindeutig: Kryptowährungen und dezentralisierte Finanzplattformen könnten die Steuerdurchsetzung schwächen. Steuerbehörden argumentieren, dass dezentrale Krypto-Börsen, anonyme Wallets und grenzüberschreitende Transaktionen die Steuererhebung erheblich erschweren. Hinzu kommt, dass Steuergesetze je nach Gerichtsbarkeit variieren, was die effektive Besteuerung von Kryptowährungen noch komplexer macht.
Laut indischem Einkommensteuergesetz unterliegen Gewinne aus dem Verkauf von Kryptowährungen mit einem Steuersatz von 30 %, wobei Nutzer nur die Kostenbasis abziehen können. Strenger ist, dass indische Krypto-Trader keine Steuerverluste absetzen dürfen, was bedeutet, dass Verluste aus anderen Transaktionen nicht mit Gewinnen verrechnet werden können. Diese Steuerstruktur hat bereits bei vielen Händlern Unmut hervorgerufen, und die neuen KYC-Anforderungen verschärfen die Überwachung zusätzlich.
Die Logik der indischen Regulierungsbehörden ist klar: Blockchain-Technologien ohne Genehmigung könnten die Steuererhebung untergraben, weshalb eine strengere Identitätsüberprüfung notwendig ist, um jede Transaktion und jeden Nutzer nachverfolgen zu können. Dieser Ansatz stimmt mit der Strategie der indischen Zentralbank überein, eine digitale Zentralbankwährung (CBDC) zu fördern statt Stablecoins, um digitale Vermögenswerte in einen kontrollierten Regulierungsrahmen zu integrieren.
Konkrete Anforderungen der neuen Regelung: Vom Selfie bis zur Bankverifizierung
Sechs KYC-Überprüfungspunkte
Echtzeit-Selfie-Authentifizierung: Einsatz von Software, die Augen- und Kopfbewegungen verfolgt, um die Lebendigkeit zu prüfen und Deepfakes zu erkennen
Geolokalisierung: Bei Kontoeröffnung verpflichtend Erfassung von Standort und IP-Adresse, um Nutzerverhaltensprofile zu erstellen
Zeitstempel: Exakte Aufzeichnung des Erstellungszeitpunkts des Kontos für Steuer- und Compliance-Nachverfolgung
Bankkontoverifizierung: Verifizierung durch kleine Transaktionen an das Bankkonto des Nutzers
Doppelte Identitätsprüfung: Vorlage eines zusätzlichen, von der Regierung ausgestellten Lichtbildausweises
Mehrkanal-Authentifizierung: Verifizierung von E-Mail und Mobilnummer, um die Kontaktinformationen zu bestätigen
Am technisch anspruchsvollsten ist die Echtzeit-Selfie-Authentifizierung. Laut „The Indian Times“ nutzt dieses System die Verfolgung von Augen- und Kopfbewegungen, um festzustellen, ob es sich um eine echte Person handelt, anstatt um ein AI-generiertes Deepfake-Video. Mit der Weiterentwicklung der KI-Technologie sind bereits Fälle aufgetreten, bei denen gefälschte Identitäten mittels generativer KI die KYC-Überprüfung passieren. Die indischen Regulierungsbehörden wollen hier offensichtlich einen Schritt voraus sein und diese Schwachstelle schließen.
Die Sammlung von Geolokalisierungs- und IP-Daten dient dazu, Nutzerprofile zu erstellen. Regulierungsbehörden können diese Daten nutzen, um festzustellen, ob Nutzer Konten bei mehreren Börsen eröffnet haben, VPNs verwenden, um ihre tatsächliche Position zu verschleiern, oder ob es ungewöhnliche grenzüberschreitende Transaktionen gibt. Die Zeitstempelung mag einfach erscheinen, ist aber bei Steuerprüfungen entscheidend, um die Haltedauer von Vermögenswerten genau zu bestimmen – eine wichtige Grundlage für die Berechnung der Kapitalertragssteuer.
Die Bankkontoverifizierung ist ein Kernbestandteil der Anti-Geldwäsche (AML)-Anforderungen. Durch kleine Transaktionen (meist nur wenige Rupien) an das Bankkonto des Nutzers kann die Börse bestätigen, dass der Nutzer tatsächlich Zugriff auf dieses Konto hat. Diese Praxis ist im traditionellen Finanzwesen Standard und wird nun auch in der Krypto-Regulierung übernommen. Doppelte Identitätsprüfung und Mehrkanal-Authentifizierung sollen zudem die Kosten für Identitätsbetrug erhöhen und es erschweren, sich mit fremden Identitäten anzumelden.
Vergleich mit globalen KYC-Standards
Wo positioniert sich Indiens neue KYC-Anforderung im internationalen Vergleich? Im Vergleich zu den AML-Richtlinien der EU (AMLD) und dem US-amerikanischen Bankgeheimnisgesetz (BSA) sind die indischen Vorgaben in einigen Punkten strenger. Die EU verlangt zwar auch KYC bei Krypto-Börsen, aber bislang nicht die sofortige Selfie- und Geolokalisierungs-Überprüfung. In den USA variieren die Anforderungen je nach Bundesstaat, auf Bundesebene überwacht FinCEN (Financial Crimes Enforcement Network) die Einhaltung, die technischen Vorgaben sind jedoch weniger detailliert als in Indien.
China hat den Handel mit Kryptowährungen bereits vollständig verboten, sodass KYC hier keine Rolle spielt. Japan und Südkorea haben ähnliche KYC-Anforderungen wie Indien, sind aber bei der Bankkontoverifizierung weniger streng. Singapur, als asiatisches Krypto-Zentrum, verfolgt einen ausgewogenen Regulierungsansatz: KYC ist Pflicht, aber die Privatsphäre der Nutzer wird weniger stark eingeschränkt. Indiens Ansatz ist deutlich strenger, was vermutlich auf die große Bevölkerungszahl und eine vergleichsweise schwache Finanzaufsichts-Infrastruktur zurückzuführen ist.
Interessant ist, dass die indische Zentralbank (RBI) die Entwicklung einer CBDC gegenüber Stablecoins priorisiert. Diese Haltung deutet an, dass Indien durch die Einführung einer CBDC private Stablecoins ersetzen möchte, um digitale Zahlungen vollständig zu regulieren. Wenn dieser Ansatz gelingt, könnte Indien zum weltweit ersten großen Land werden, das eine groß angelegte CBDC-Implementierung vorantreibt und gleichzeitig private Kryptowährungen stark einschränkt.
Konkrete Auswirkungen auf den Kryptomarkt
Für indische Krypto-Börsen bedeutet die neue Regulierung einen erheblichen Mehraufwand bei Technik und Compliance. Der Einsatz von Augentracking und Lebendigkeitstests erfordert die Zusammenarbeit mit spezialisierten Biometrie-Anbietern, deren Lizenzen und Wartungskosten nicht gering sind. Kleine Börsen könnten sich diese Investitionen nicht leisten können und den Markt verlassen, was die Marktkonzentration erhöht.
Für Nutzer bedeutet die verschärfte KYC-Politik einen weiteren Eingriff in die Privatsphäre. Obwohl die Behörden behaupten, diese Maßnahmen seien zum Kampf gegen Geldwäsche und Steuerhinterziehung notwendig, besteht die Gefahr, dass sensible biometrische Daten, Standortinformationen und Bankdaten bei Hackerangriffen kompromittiert werden. Indiens langsame Gesetzgebung im Datenschutzbereich erhöht das Risiko, dass bei Sicherheitsverletzungen große Mengen an persönlichen Daten öffentlich werden.
Betrachtet man die Marktgröße, so ist die potenzielle Nutzerbasis von 1,4 Milliarden Menschen für den globalen Kryptomarkt äußerst relevant. Wenn die strengen indischen Regulierungen dazu führen, dass Nutzer auf Schattenmärkte oder dezentrale Plattformen ausweichen, könnte das Ziel der Regulierung ins Gegenteil umschlagen. Dezentrale Börsen, die keine KYC-Pflichten haben, sind schwer zu blockieren; technisch versierte Nutzer können VPNs und andere Mittel nutzen, um Zugriff zu behalten. Es könnte sich eine Zweigleisigkeit entwickeln: Regulierte, zentrale Plattformen für den Mainstream, während dezentrale Plattformen Privacy-orientierte Nutzer anziehen.
