BAPO fordert Wallet-Adressen und Transaktions-Hashes

Belgische Behörden verschärfen den Druck auf Krypto-Dienstleister und Registrare: Die BAPO verlangt in mehreren Fällen Daten, die Wallet-Adressen, Transaktions-Hashes und weitere Metadaten umfassen sollen. Im Zentrum steht die Frage, wie weit die Durchsetzung von EU-Vorgaben im Bereich Plattform- und Digitalregulierung reichen darf, welche Rolle der Digital Services Act dabei spielt und wo Datenschutz nach DSGVO Grenzen setzt. Für Nutzer, Registrar-Betreiber und Krypto-Firmen ist die Entwicklung brisant, weil aus scheinbar technischen Datensätzen oft ein klares Nutzerprofil werden kann. Gleichzeitig wächst in Belgien und der EU der regulatorische Druck auf jene Akteure, die den Zugang zu Krypto- und Domain-Infrastrukturen vermitteln.

Belgische BAPO fordert Krypto-Daten von Registraren

Die belgische Behörde BAPO hat Registrare und weitere Vermittler aufgefordert, bestimmte Krypto-bezogene Daten herauszugeben oder bereitzustellen. Gemeint sind nach den bisher bekannten Angaben nicht nur klassische Bestandsdaten wie Name, E-Mail-Adresse oder Rechnungsangaben, sondern auch technische Metadaten aus dem Krypto-Umfeld. Dazu zählen insbesondere Wallet-Adressen, Transaktions-Hashes, Zeitstempel und weitere Angaben, die eine Zuordnung von Aktivitäten ermöglichen können.

Im Kern geht es um einen Zugriff auf Daten, die bei Domain-Registraren, Hosting-Anbietern oder anderen Intermediären liegen können, wenn Krypto-Dienstleister, Börsen oder Projektdomains registriert wurden. Die angefragten Zeiträume reichen je nach Fall offenbar über mehrere Monate oder Jahre zurück. Genau diese Rückschau macht die Sache heikel: Aus einzelnen Datensätzen wird dann nicht nur ersichtlich, wer einen Dienst nutzte, sondern auch, mit welchen Krypto-Adressen und welchen Bewegungen im Netzwerk er verknüpft war.

Besonders relevant ist, dass Registrare oft nicht selbst Krypto-Transaktionen verarbeiten, aber die Identitätsdaten ihrer Kunden mit den technischen Daten der verbundenen Dienste zusammenführen können. Wer etwa eine Domain, eine Webanwendung oder einen Zahlungsdienst mit derselben Kontaktadresse registriert, hinterlässt Spuren, die sich mit On-Chain-Daten korrelieren lassen. Genau deshalb sind die geforderten Informationen aus Sicht der Behörden wertvoll und aus Sicht der Betroffenen sensibel.

Welche Daten angefragt werden und warum Wallet-Adressen so aufschlussreich sind

Die Frage, welche konkreten Krypto-Daten in Belgien verlangt werden, lässt sich auf drei Gruppen herunterbrechen: Identitätsdaten, technische Verbindungsdaten und Transaktionsdaten. Identitätsdaten sind etwa Name, Firma, Sitz, Kontakt-E-Mail oder Zahlungsinformationen. Technische Verbindungsdaten umfassen Wallet-Adressen, IP-bezogene Protokolle, Server-Logs oder Domain-Administrationsdaten. Transaktionsdaten betreffen Hashes, Zeitpunkte, Beträge und Adressen, die auf der Blockchain dokumentiert sind.

Eine Wallet-Adresse ist kein Name, kann aber schnell zu einem Personenprofil werden, wenn sie mit einer Registrierung verknüpft wird. Transaktions-Hashes sind in einem öffentlichen Blockchain-Netzwerk wie eine unveränderliche Referenz auf eine einzelne Bewegung. Werden solche Hashes mit einer Domain, einem KYC-Datensatz oder einer Support-Anfrage zusammengebracht, entsteht ein belastbares Bild über Eigentum, Nutzungsmuster und Beziehungsnetzwerke. Schon wenige Datensätze reichen oft aus, um weitere Adressen zu identifizieren, weil Cluster-Analysen und wiederkehrende Zahlungswege Muster sichtbar machen.

Für Ermittler und Regulatoren sind diese Metadaten attraktiv, weil sie Brücken zwischen der digitalen Identität und der On-Chain-Aktivität schlagen. Für Nutzer ist genau diese Brücke das Problem: Was auf der Blockchain pseudonym wirkt, wird durch Registrar-Daten und Backoffice-Unterlagen wieder personifizierbar. Besonders bei Krypto-Projekten mit eigenen Webseiten, Zahlungsdiensten, NFT-Plattformen oder Wallet-Integrationen kann ein einzelner Registrar-Datensatz weit mehr enthüllen als gedacht.

Rechtsgrundlage: DSA, EU-Zusammenarbeit und DSGVO im Spannungsfeld

Die rechtliche Einordnung steht und fällt mit der Frage, auf welcher Grundlage die belgische BAPO handelt. Der Digital Services Act hat in der EU den Rahmen für die Durchsetzung gegenüber Vermittlungsdiensten deutlich geschärft. Er ermöglicht Aufsichts- und Kooperationsmechanismen zwischen nationalen Behörden und schafft Pflichten für Anbieter, die in der EU tätig sind. Wer als Plattform, Hosting-Anbieter oder Registrar in diesen Bereich fällt, kann daher mit Auskunfts- und Mitwirkungspflichten konfrontiert werden.

Daneben spielt die grenzüberschreitende Zusammenarbeit innerhalb der EU eine zentrale Rolle. Wenn Daten in Belgien angefragt werden, die Dienste aber in anderen Mitgliedstaaten sitzen, greifen je nach Konstellation Kooperationswege zwischen zuständigen Behörden, nationale Vollstreckungsregeln und unter Umständen auch sektorspezifische Rechtsgrundlagen. Genau hier wird die Lage für Unternehmen unübersichtlich: Nicht jede Anfrage stützt sich allein auf den DSA, und nicht jede ist automatisch mit nationalem Datenschutzrecht unvereinbar.

Die DSGVO bleibt trotzdem ein zentraler Prüfstein. Registrare müssen abwägen, ob die Herausgabe rechtmässig, erforderlich und verhältnismässig ist. Entscheidend sind Datenminimierung, Zweckbindung und die Frage, ob die Anforderung präzise genug formuliert wurde. Ein pauschales Verlangen nach grossen Datenmengen über längere Zeiträume kann datenschutzrechtlich problematisch sein, wenn es keine klare Eingrenzung des Ermittlungszwecks gibt. Umgekehrt schliesst Datenschutz eine gesetzlich abgestützte Herausgabe nicht aus, wenn eine zuständige Behörde im Rahmen ihrer Befugnisse handelt.

Für die Praxis heisst das: Registrare können nicht reflexartig mit Verweis auf die DSGVO verweigern, sie müssen aber die Rechtsgrundlage, den Umfang und die Zuständigkeit der anfragenden Stelle genau prüfen. Die Pauschalantwort „Datenschutz“ genügt ebenso wenig wie die Annahme, jede behördliche Anfrage sei automatisch durchsetzbar. In der EU entscheidet oft das Zusammenspiel aus DSA, nationaler Durchsetzung und Datenschutzrecht.

Kooperation, Ablehnung und die Folgen für Nutzer

Mehrere Firmen prüfen solche Anfragen derzeit noch, andere kooperieren bereits oder liefern zumindest Teile der verlangten Informationen. Häufig unterscheiden sich die Reaktionen je nach Firmengrösse, Sitzland und interner Compliance-Struktur. Grössere Anbieter verfügen meist über Rechtsabteilungen, Kontaktkanäle zu Behörden und etablierte Prozesse für Data Requests. Kleinere Registrare stehen dagegen vor technischen und organisatorischen Hürden, etwa wenn Protokolle unvollständig sind, Daten über verschiedene Systeme verteilt liegen oder die Archivierung nicht auf lange Rückverfolgbarkeit ausgelegt ist.

Auch die technische Übermittlung ist nicht trivial. Wallet-Adressen und Transaktions-Hashes müssen korrekt extrahiert, geprüft und in einer Form übergeben werden, die forensisch verwertbar bleibt. Gleichzeitig darf die Integrität der Daten nicht leiden. Schon ein fehlerhaftes Log, ein inkonsistenter Zeitstempel oder eine unklare Zuordnung zwischen Kunde und Domain kann die Aussagekraft mindern. Deshalb ziehen manche Anbieter externe Rechtsberater oder Forensik-Spezialisten hinzu, bevor sie antworten.

Für Nutzer ergeben sich aus der Entwicklung praktische Risiken. Wer Krypto-Dienste mit einer Domain, einer regulären E-Mail-Adresse oder wiederkehrenden Zahlungsdaten kombiniert, hinterlässt leicht rekonstruierbare Spuren. Selbst wenn eine Wallet-Adresse nicht direkt den Namen verrät, können Registrar-Daten, Support-Tickets, WHOIS-artige Informationen, Rechnungen und Blockchain-Muster zusammen ein vollständiges Profil bilden. Das betrifft nicht nur Händler oder Investoren, sondern auch Entwickler, Betreiber von Krypto-Startups und Dienstleister, die mit sensiblen Projekten arbeiten.

Kommt ein Registrar einer behördlichen Anfrage nicht nach, drohen je nach Rechtsgrundlage Sanktionen, administrative Massnahmen oder im Extremfall Einschränkungen für den Geschäftsbetrieb. Für Nutzer kann eine Eskalation dazu führen, dass Domains überprüft, Konten gesperrt oder Dienste genauer beobachtet werden. Wer auf Privatsphäre angewiesen ist, sollte daher sorgfältig trennen, welche Daten öffentlich, welche beim Registrar hinterlegt und welche mit Krypto-Assets verknüpft werden.

Was Unternehmen jetzt beachten müssen

• behördliche Anfragen auf Zuständigkeit, Rechtsgrundlage und Umfang prüfen
• Datenhaltung, Logs und Aufbewahrungsfristen intern dokumentieren
• nur die verlangten Daten herausgeben, nicht mehr als nötig
• technische und juristische Freigabeprozesse vorsehen
• für Krypto-Kunden transparente Informations- und Datenschutzhinweise bereitstellen

Datenschutz, Compliance und die praktische EU-Dimension

Die belgische Initiative trifft einen Nerv in der gesamten EU, weil ähnliche Konflikte auch in anderen Mitgliedstaaten auftauchen dürften. Mit der zunehmenden Regulierung von Plattformen, Hosting-Diensten und Krypto-Unternehmen wächst die Bedeutung von Intermediären als Datenquelle. Registrare sitzen dabei an einer Schnittstelle, an der Identität, Infrastruktur und digitale Wertströme zusammenlaufen. Genau diese Schnittstelle macht sie für Behörden interessant.

Datenschutzrechtlich bleibt vor allem die Verhältnismässigkeit entscheidend. Je konkreter eine Anfrage, desto besser die Chancen auf rechtssichere Herausgabe. Je breiter der Zeitraum und je unschärfer der Datenkatalog, desto grösser das Risiko einer Unverhältnismässigkeit. Für Krypto-Dienstleister ist das mehr als ein Formalproblem: Eine einmal übermittelte Adresskette kann über Jahre hinweg nutzbar bleiben, weil Blockchain-Daten unveränderlich sind und rückwirkende Analysen immer leistungsfähiger werden.

Viele Unternehmen werden deshalb ihre internen Prozesse anpassen müssen. Dazu gehören klarere Aufbewahrungsregeln, sauber getrennte Kundendatenbanken, verschlüsselte Logverwaltung und eine präzisere Policy für Behördenanfragen. Wer mit Krypto arbeitet, sollte ausserdem prüfen, welche Metadaten überhaupt zwingend notwendig sind und welche sich vermeiden lassen. Denn jede zusätzliche Verknüpfung erhöht das Risiko, dass aus einem normalen Account eine vollständig rekonstruierbare Identität wird.

Offizielle Dokumente und Positionen sind für die laufende Einordnung zentral. Relevant sind insbesondere der Text des Digital Services Act auf der Seite der EU, Hinweise und Mitteilungen der belgischen BAPO sowie Stellungnahmen betroffener Firmen, sobald diese veröffentlicht werden. Gerade bei einem laufenden Verfahren ändern sich Rechtslage, Reaktionsmuster und technische Anforderungen rasch.

Fazit: ein Signal weit über Belgien hinaus

Die Forderung der belgischen BAPO zeigt, wie eng Krypto-Daten, Registrar-Daten und europäische Durchsetzung inzwischen miteinander verflochten sind. Für Behörden sind Wallet-Adressen und Transaktions-Hashes wertvolle Puzzleteile, für Nutzer können sie jedoch den Weg in eine vollständige Identifizierbarkeit öffnen. Der Konflikt zwischen DSA-Durchsetzung, EU-Kooperation und DSGVO wird deshalb nicht abstrakt geführt, sondern direkt an der Datenpraxis von Registraren und Krypto-Dienstleistern ausgetragen. Wer in Belgien oder der EU mit digitalen Infrastrukturen arbeitet, muss behördliche Anfragen künftig deutlich präziser dokumentieren, juristisch prüfen und technisch sauber abwickeln. Für Nutzer bleibt entscheidend, welche Spuren sie über Domains, Logs und Wallets hinterlassen.