Hacking: Belgien fordert Krypto-Adressen von illegalen Websites

Am 19. August 2026 hat die belgische Abteilung zur Bekämpfung von Online-Verstößen (BAPO) fünf Entscheidungen erlassen, die vier Registrierungsstellen und ein Register verpflichten, ein vollständiges Dossier über die Betreiber illegaler Sport-Streaming-Websites zu übermitteln: Identität, IBAN, Kreditkarten, Krypto-Wallets und Transaktions-IDs sowie zwölf Monate an Verbindungsprotokollen. Alles unter dem Siegel der Geheimhaltung. Die extraterritoriale Reichweite der Anordnung bleibt in der Praxis zu prüfen.

Zusammenfassung

• Fünf Entscheidungen der belgischen BAPO (19. August 2026) verpflichten Registrare und ein Register zur Übermittlung von Identitäten, IBAN, Karten und Krypto-Wallets.
• Drei europäische Registrare werden genannt: Hostinger, Hosting Concepts/Openprovider und Key-Systems.
• Grundlage: Artikel 10 des Digital Services Act, mit Ausnahme der Informationspflicht.

Belgien verfolgt Piraten über die Krypto-Wallets der Registrare

Die Rückverfolgbarkeit europäischer Krypto-Akteure bleibt im Zentrum der Debatten. Die belgische Anordnung fügt sich in diese Logik ein, geht jedoch über einen anderen Kanal: die Registrare. Die fünf Entscheidungen resultieren aus einem Beschluss des Gerichts für Unternehmen in Brüssel, das Ende Juli 2026 angerufen wurde.

Vier Anfragen wurden an Registrierungsstellen für Domains gerichtet. Die fünfte betrifft ein Domain-Register.

Drei Unternehmen erscheinen in den veröffentlichten Dokumenten: Hosting Concepts, ein Unternehmen, das mit Openprovider verbunden ist, Hostinger und Key-Systems. Alle sind in der Europäischen Union ansässig, jedoch außerhalb Belgiens.

Der Name eines vierten Registrars sowie der des betroffenen Registers wurden anonymisiert. Die Behörden haben auch die von der Maßnahme betroffenen Domainnamen nicht offengelegt. Das Gericht hat jedoch festgestellt, dass die gestellten Anfragen verhältnismäßig waren.

Die angeforderten Informationen sind zahlreich. Die BAPO möchte insbesondere die vollständige Identität der Kontoinhaber sowie die Historie ihrer Postadressen, E-Mail-Adressen und Telefonnummern erhalten.

Die Behörden verlangen auch die verfügbaren Bankdaten, einschließlich IBAN und der genauen Identität des Kontoinhabers. Auch die Daten zu Zahlungskarten sind betroffen: BIN, die letzten vier Ziffern, die ausstellende Bank und das Ausstellungsland.

Der ungewöhnlichste Teil betrifft die Zahlungen in Krypto. Die Registrare müssen die möglichen Krypto-Zahlungsmethoden, die von ihren Kunden verwendet werden, einschließlich der Wallet-Adressen, des betroffenen Vermögenswerts und des Hashes der Transaktionen, übermitteln.

Schließlich fordern die Entscheidungen auch detaillierte technische Informationen an, einschließlich IP-Adressen, Gerätetyp, Betriebssystem und verwendeter Browser. Bis zu zwölf Monate an Verbindungsprotokollen können angefordert werden, mit sehr präzise datierten Daten.

Warum die extraterritoriale Reichweite nicht garantiert ist

Die Anordnungen stützen sich auf Artikel 10 des Digital Services Act, der die Anwendung einer "Informationsanordnung" an einen Anbieter regeln soll, der anderswo in der Union ansässig ist. Das Problem ist, dass die BAPO ein belgischer Bundesdienst ist, während die betroffenen Registrare nicht alle belgisch sind.

Nichts hindert daher einen niederländischen, litauischen oder deutschen Registrar daran, die Übermittlung im Namen seines nationalen Rechts oder der DSGVO anzufechten oder den Fall vor den Gerichtshof der Europäischen Union zu bringen.

Zu dieser ersten Fragilität kommt das Geheimnis hinzu, das durch die Unterlassungsverfügung auferlegt wird: Die BAPO beruft sich auf die Ausnahme im Zusammenhang mit strafrechtlichen Ermittlungen, um sich von der Informationspflicht des DSA zu befreien. Konkret kann ein Betreiber sehen, dass seine Identität, seine Bankhistorie und seine Protokolle an die Berechtigten übermittelt werden, ohne darüber informiert zu werden.

Für einen Betreiber, der seinen Dienst in Stablecoins oder Bitcoin abgerechnet hat, verwandelt diese Anordnung den Registrar in ein Tor zu seiner On-Chain-Identifizierung. Eine Wallet ist an sich nur eine öffentliche Adresse.

Wenn sie jedoch mit dem Transaktionshash verknüpft und dann mit zwölf Monaten an IP-Protokollen abgeglichen wird, gibt sie den Berechtigten einen Ausgangspunkt für die Beantragung der Aufhebung der Anonymität bei den europäischen Börsen, die bereits den Regeln der Travel Rule und KYC unterliegen.

Der kurzfristige Test wird einfach zu beobachten sein: Werden Hostinger, Hosting Concepts und Key-Systems die Daten übermitteln, die Anordnung anfechten oder um eine Aussetzung bitten? Wenn einer der drei den EuGH anruft, wird dieses belgische Dossier zu einem Lehrfall über die extraterritoriale Anwendbarkeit von Artikel 10 des DSA. Diese Art der Aggregation von Indizien hat in der Vergangenheit bereits Wirkung gezeigt, wie der Fall Movie2K, dokumentiert von Cointribune, zeigt.

Dieser Inhalt wird nur zu allgemeinen Informationszwecken bereitgestellt und stellt keine finanzielle, Anlage-, Rechts- oder Steuerberatung dar. Alle erwähnten Ereignisse, Prämien, Online-Aktionen oder zugehörige Informationen sollten nicht als Empfehlung, Aufforderung oder Einladung zum Kauf, Verkauf, Handel oder anderweitigem Umgang mit Krypto-Assets betrachtet werden. Krypto-Assets sind sehr volatil und können zu Verlusten führen. Die Verfügbarkeit von WEEX Services, Produkten und zugehörigen Aktionen kann je nach Region unterschiedlich sein. Sie sind dafür verantwortlich sicherzustellen, dass Ihre Teilnahme mit geltenden lokalen Gesetzen und Vorschriften übereinstimmt.