DAC8 ab 2027: Börsen melden deine Krypto-Käufe ans Finanzamt

Francis Pouliot, Chef der Bitcoin-Börse Bull Bitcoin, nennt die EU-Richtlinie DAC8 eine „Kidnapping Factory“. Ein Interview-Ausschnitt dazu kursiert seit dem 26. Oktober 2026 auf X. Wir haben geprüft, was deutsche Krypto-Anleger ab 2027 wirklich melden müssen – und wie belastbar die These von der Zielliste ist.

Bull Bitcoin nennt DAC8 eine „Kidnapping Factory“

TFTC-Gründer Marty Bent hat den Ausschnitt am 26. Oktober 2026 auf X gepostet. Darin sagt Pouliot laut dem Transkript von TFTC, die Börse sei gezwungen worden, „zum Agenten eines EU-Massenüberwachungsprogramms“ zu werden. Werde die Datenbank geleakt, rechne er mit Todesfällen.

Die Wortwahl ist bewusst drastisch. Das ist eine politische Kampagne, keine neutrale Rechtsanalyse. Bull Bitcoin klagt seit dem 24. Februar 2026 vor dem Conseil d'État gegen das französische Umsetzungsdekret 2025-1276.

Gemeldet werden Jahressummen, keine Wallet-Historie

Was genau gemeldet wird, steht im deutschen Kryptowerte-Steuertransparenz-Gesetz (KStTG), das am 24. Dezember 2025 in Kraft getreten ist. Laut § 6 und § 11 KStTG sind das zu deiner Person Vor- und Nachname, Anschrift, Ansässigkeitsstaat, Steuer-ID und Geburtsdatum.

Zu deinen Geschäften kommen pro Kryptowert zusammengefasste Jahreswerte: der Gesamtbetrag aller Käufe und Verkäufe gegen Euro oder andere Fiat-Währungen, der Marktwert aller Tauschgeschäfte von Coin zu Coin sowie ein- und ausgehende Übertragungen, jeweils mit Stückzahl und Anzahl der Transaktionen. Auszahlungen an unbekannte Wallet-Adressen erscheinen nur als aufsummierter Marktwert.

Wallet-Adressen, Kontostände und einzelne Transaktionen stehen nicht in der Liste nach § 11 KStTG. Bull Bitcoin spricht auf seiner Kampagnenseite dac8.com dagegen von der „complete transaction history“ jedes Nutzers. Das ist überzogen. Harmlos sind die Daten trotzdem nicht: Wer 2026 für 200.000 Euro Bitcoin kauft, steht mit genau dieser Summe und seiner Wohnadresse im Datensatz.

Die Fristen sind klar. Gemeldet wird erstmals für das Kalenderjahr 2026 (§ 21), und zwar bis zum 31. Juli des Folgejahres ans BZSt (§ 9). Das BZSt hat die verbindliche Datensatzbeschreibung am 14. Januar 2026 im Bundessteuerblatt veröffentlicht. Vor der ersten Meldung muss dich deine Börse informieren (§ 13). Bei Bestandskunden muss sie bis zum 1. Januar 2027 eine Selbstauskunft zur steuerlichen Ansässigkeit einholen.

Wer die Daten sieht: Finanzamt, andere EU-Staaten und ein EU-Verzeichnis

Laut § 16 KStTG speichert das BZSt die Meldungen zehn Jahre lang. Es gibt sie an das zuständige Landesfinanzamt weiter und darf sie selbst auswerten. Daten über Nutzer, die in anderen Staaten steuerlich ansässig sind, gehen jeweils bis zum 30. September an deren Behörden.

Ein zentrales EU-Register gibt es tatsächlich. Nach Art. 21 Abs. 5 der Richtlinie (EU) 2023/2226 muss die Kommission bis zum 31. Dezember 2026 ein „secure Member State central directory“ aufbauen. Laut Richtlinie gelten zwei Schranken: Jeder Staat darf nur Daten zu seinen eigenen Einwohnern abrufen, und die Kommission sieht keine Identitätsdaten und nutzt den Rest nur für Statistiken (Art. 8ad Abs. 5).

Bull Bitcoin hält das für eine reine Software-Sperre ohne Ende-zu-Ende-Verschlüsselung. Ob das zutrifft, ist nicht bekannt – die technischen Durchführungsrechtsakte dazu haben wir nicht geprüft.

Neu ist vor allem das Prinzip. Bisher meldeten Börsen nur Verdachtsfälle, die übrigen KYC-Daten blieben bei ihnen. Jetzt geht der Datensatz jedes meldepflichtigen Kunden jährlich an den Staat. Nach Art. 16 der Richtlinie dürfen die Behörden die Daten außerdem für Geldwäschebekämpfung und Sanktionszwecke nutzen. Damit liegen Kopien bei der Börse, beim BZSt, beim Finanzamt, bei ausländischen Steuerbehörden und im EU-Verzeichnis. Jede Kopie ist ein weiteres mögliches Leck.

Frankreich zeigt, wie Steuerdaten zur Zielliste werden können

Pouliots Argument stützt sich auf Frankreich, und dort ist die Lage ernst. Im Februar 2026 meldete das Wirtschaftsministerium am 18. Februar unberechtigte Zugriffe auf das nationale Bankkontenregister FICOBA. Ein Angreifer nutzte die Zugangsdaten eines Beamten. Betroffen waren laut Antwort der Regierung an die Nationalversammlung 1,2 Millionen Konten mit IBAN, Name und Anschrift; die Steuer-ID wurde laut DGFiP nicht abgerufen.

Im Juni und Juli 2026 zogen Angreifer mit gestohlenen Zugangsdaten Steuerdaten von 678.000 Privatpersonen und Unternehmen ab, darunter Referenzeinkommen und Katasterdaten (Pressemitteilung vom 14. August). Am 18. August bestätigte die DGFiP-Chefin laut LCP ein drittes Leck mit Daten aus Erbschaftsverfahren. Minister David Amiel entschuldigte sich und räumte ein: „nos systèmes d'information comportent des faiblesses“ – unsere IT-Systeme haben Schwächen. Eine vierte Intrusion nennt bisher nur Bull Bitcoin; bestätigt ist sie nicht.

Dazu kommt ein Insider-Fall: Eine ehemalige Steuerbeamtin aus Bobigny sitzt seit Juni 2025 in Untersuchungshaft. Laut Le Parisien soll sie über die Steuersoftware „Mira“ die Adresse eines Gefängniswärters an Kriminelle weitergegeben haben; ihre Suchanfragen betrafen auch Krypto-Investoren. Ein Zusammenhang mit den Krypto-Überfällen sei noch nicht nachgewiesen, schrieb Investir im Januar. Pouliot spricht von „convicted civil servants“ – eine Verurteilung haben wir nicht gefunden.

Beim französischen Krypto-Steuerdienst Waltio flossen im Januar 2026 laut Unternehmen E-Mail-Adressen und zusammengefasste Steuerreport-Daten für 2024 ab, darunter Bestände zum Jahresende. Postadressen waren laut Waltios Anwalt nicht dabei. Die Zahl von rund 50.000 Betroffenen nennen Presse und Chainalysis; Waltio selbst hat sie nicht bestätigt.

Wichtig: Keiner dieser Fälle betrifft DAC8-Daten. Die erste Meldung steht noch aus. Die Fälle zeigen nur, wie verwundbar die Behörden sind, die diese Daten künftig bekommen.

Die Fallzahlen steigen, je nach Zählweise unterschiedlich stark

Die Zahlen hängen stark davon ab, wer zählt und was gezählt wird. Laut Innenminister Laurent Nuñez gab es bis zum 30. Juni 2026 „77 faits de séquestration, enlèvement, extorsion ou tentatives“ – also 77 Fälle von Freiheitsberaubung, Entführung, Erpressung oder Versuchen. Für 2025 nannte er 45 (Le Parisien/AFP).

Die Staatsanwaltschaft für organisierte Kriminalität (PNACO) zählte in den ersten acht Monaten 2026 mehr als 70 Entführungen oder Freiheitsberaubungen, 2024 waren es etwa 20 und 2025 dann 67 (franceinfo, 11. September 2026). Das Innenministerium nennt in einer weiteren Abgrenzung 90 Fälle von Krypto-Gewalt bis Mitte August und 223 Festnahmen von Januar bis Juli; diese Zählung schließt Drohungen und Raub ein und ist laut CryptoActu nicht mit 2025 vergleichbar.

Chainalysis zählt 30 öffentlich bekannte Vorfälle in Frankreich im ersten Halbjahr 2026, nach 19 im ganzen Jahr 2025. Weltweit wurden laut Chainalysis im ersten Halbjahr über 30 Millionen US-Dollar erbeutet. In Frankreich traf mehr als 40 Prozent der Angriffe Angehörige statt der Besitzer selbst.

Pouliot rechnet für 2026 mit 150 bis 180 Entführungen und nennt für 2025 „something like 80“. Rein rechnerisch ergeben 77 Fälle im ersten Halbjahr rund 154 im Jahr – darin stecken aber Erpressungen und Versuche. Beim Tempo der PNACO-Zählung landet man eher bei gut 100. Seine Spanne ist also das obere Ende und keine amtliche Zahl; die 80 für 2025 passen zu keiner offiziellen Zählung.

Für Deutschland ist eine eigene Statistik zu Krypto-Entführungen nicht bekannt. Belegt ist ein Berliner Fall: 2025 stand ein 45-Jähriger vor Gericht, weil er laut Anklage die Entführung eines Kryptomillionärs nach Polen geplant haben soll. Es ging um rund zwei Millionen Euro (dpa). Die Tat wurde verhindert, ein Urteil ist nicht bekannt.

Die „Kidnapping Factory“-These: richtige Richtung, überzogene Gewissheit

Bull Bitcoin klagt seit dem 24. Februar 2026 vor dem Conseil d'État, dem höchsten französischen Verwaltungsgericht, gegen das Umsetzungsdekret 2025-1276. Den Eilantrag lehnte das Gericht am 14. September 2026 ab (Beschluss Nr. 519158), weil keine Dringlichkeit vorliege. Laut Bull Bitcoin nannte das Gericht die Wahrscheinlichkeit eines Lecks „très faible“, also sehr gering. Ob das Dekret rechtmäßig ist, hat es dabei nicht geprüft. Das Hauptverfahren läuft, Bull Bitcoin will den Fall vor den EuGH bringen.

Für die These spricht: Die Daten verbinden Identität, Wohnadresse und Investitionssummen. Die Empfänger hatten 2026 nachweislich Lecks, über gestohlene Zugangsdaten und über Insider. Laut Bull Bitcoin warnte die DGFiP im Februar 2026 selbst vor einer zentralen Wallet-Erklärung, weil solche Daten ein „cible privilégiée“ für Hacker wären. Dieses Zitat haben wir nicht im Original geprüft.

Gegen die Gewissheit spricht: DAC8-Daten sind bisher nirgends abgeflossen, weil noch keine übermittelt wurden. Der Datensatz enthält Jahressummen, keine aktuellen Bestände und keine Wallets. Die bekannten französischen Lecks liefen über andere Systeme und über Dienstleister. Dass DAC8 zu Entführungen führt, ist eine Prognose und kein Befund. Belastbar ist ein nüchterneres Argument: mehr Kopien sensibler Daten, länger gespeichert, bei mehr Stellen – damit wächst die Angriffsfläche.

Keystone, Foundation, Ledger: Deine Adresse ist womöglich schon im Umlauf

Die direktere Gefahr kommt derzeit aus Online-Shops. Keystone hat am 26. Oktober nachgelegt: Laut Cointelegraph könnten 25.964 Käuferdatensätze aus den Jahren 2024 bis 2026 abgeflossen sein. Das Löschwerkzeug für die 180-Tage-Frist habe „not operate reliably“ funktioniert. Zusätzlich wurde der Schlüssel zur Echtheitsprüfung der Geräte gestohlen, Keystone vernichtet deshalb 18.835 Geräte.

Beim Hersteller Foundation lagen laut eigenem Update vom 26. Oktober rund 5.600 Postadressen und 5.200 Telefonnummern in erreichbaren Systemen. Alte WooCommerce-Tabellen enthielten Kundendaten, obwohl der Shop sie als gelöscht anzeigte. Beim Ledger-Leck 2020 kursierten rund eine Million E-Mail-Adressen und 272.853 Datensätze mit Postadresse.

Zwei Hersteller, zwei gescheiterte Löschzusagen in einer Woche. Der OSINT-Account @thedoxxdoctor rät Keystone-Käufern, das wie Doxxing zu behandeln. Gefährlich wird es, wenn sich solche Kauflisten mit Steuerdaten kombinieren lassen. Genau deshalb zählt Datensparsamkeit mehr als jede Einzelmeldung. Wie du eine Hardware-Wallet absicherst, liest du in unserem Vergleich.

Steuerlich hast du noch ein Zeitfenster, aber keinen Freifahrtschein

Die erste DAC8-Meldung betrifft nur das Jahr 2026. Der Steuerberater @KryptoSteuerStB schreibt dazu auf X: „Liegen die Daten beim Finanzamt, kann eine Selbstanzeige zu spät sein.“ Rechtlicher Hintergrund ist § 371 Abs. 2 Nr. 2 AO. Danach entfällt die Straffreiheit, wenn die Tat bereits entdeckt war und du das wusstest oder damit rechnen musstest. Ob und ab wann eine DAC8-Meldung als Entdeckung zählt, ist eine Frage des Einzelfalls.

Ab 25.000 Euro hinterzogener Steuer je Tat gelten zudem Sonderregeln (§ 371 Abs. 2 Nr. 3 AO). Für die Steuererklärung 2026 endet die reguläre Abgabefrist ohne Steuerberater nach § 149 Abs. 2 AO ebenfalls am 31. Juli 2027. Der Finanzberater Reinhold Lackner weist darauf hin, dass bei Krypto oft „eher Unwissen als Absicht“ dahintersteckt. Das ist keine Rechtsberatung: Lass dich von einem Steuerberater beraten, bevor du handelst.

Was du jetzt tun solltest

Bleib ruhig. Bisher wurden keine DAC8-Daten übermittelt. Die erste Meldung geht bis zum 31. Juli 2027 ans BZSt, der Austausch zwischen den Staaten folgt bis zum 30. September 2027.

Lies die Post deiner Börse. Sie muss dich vor der ersten Meldung informieren (§ 13 KStTG) und eine Selbstauskunft einholen. Mach dort korrekte Angaben. Nach Art. 15 DSGVO kannst du fragen, welche Daten über dich gemeldet werden. Welche Börse in Deutschland eine MiCA-Lizenz hat, zeigt unser Kryptobörsen-Vergleich.

Bring deine Steuerunterlagen in Ordnung. Kläre vor 2027 mit einem Steuerberater, ob in früheren Jahren etwas fehlt. Warte nicht, bis das Finanzamt fragt.

Gib so wenig Daten wie möglich heraus. Lass Wallets an eine Packstation liefern, nutze für Krypto-Dienste eine eigene E-Mail-Adresse und sprich nicht öffentlich über deine Bestände. Wenn du bei Keystone, Foundation oder Ledger gekauft hast: Rechne mit Phishing-Mails und Anrufen. Gib nie deine Seed-Wörter heraus und ruf nur über Nummern von der offiziellen Website zurück.

Sprich mit deiner Familie. In Frankreich traf mehr als 40 Prozent der Angriffe Angehörige. Vereinbart, wie ihr bei Drohungen reagiert, und ruf im Zweifel sofort 110. Weich nicht auf dubiose Offshore-Börsen aus – du tauschst ein Datenschutzrisiko gegen ein Verlust- und Steuerrisiko. Wie du Krypto sauber kaufst, steht in unserer Anleitung.

Unsere Einschätzung

Fazit

DAC8 ist keine „Kidnapping Factory“, solange die Daten dort bleiben, wo sie hingehören. Pouliot hat aber recht, dass jede neue Kopie sensibler Vermögensdaten ein neues Risiko ist, und Frankreich zeigt, wie schnell Behördendaten abfließen. Für dich heißt das: Steuerlich bis spätestens 2027 aufräumen, persönliche Daten sparsam herausgeben und jeden Anruf zu deinen Krypto-Käufen erst einmal für einen Betrugsversuch halten. Am 31. Juli 2027 zeigt sich, ob die erste Meldung wirklich so eng bleibt wie im Gesetz beschrieben.