Datenschutz auf Base: Warum ein öffentliches Ledger selektive Offenlegung braucht, bevor Gehaltsabrechnungen on-chain gehen

Eine akademische Studie aus dem Jahr 2020 gruppierte Ethereum-Adressen mithilfe einiger weniger kostengünstiger Heuristiken und verknüpfte etwa 17,9 % der aktiven extern kontrollierten Konten mit Entitäten, die mehr als eine Adresse kontrollieren. Diese Zahl beschreibt das gesamte Problem in einer einzigen Statistik. Auf einem öffentlichen Ledger braucht man keinen Durchsuchungsbefehl und keine Vorladung, um Verhalten mit Personen zu verknüpfen. Man braucht eine CSV-Datei mit Transaktionen, die ohnehin jeder hat, weil die Chain sie einem frei zugänglich macht.

Base, Coinbases OP-Stack-Layer-2, erbt diese Eigenschaft direkt von Ethereum. Jede Überweisung, jedes Guthaben, jede Gegenpartei und die zeitlichen Abstände dazwischen sind dauerhaft und öffentlich. Das ist hervorragend für die Prüfbarkeit. Es ist ein ernstes Problem in dem Moment, in dem echte Nutzer, Gehaltsabrechnungen und Unternehmen auf die Chain wechseln, was genau die Richtung ist, in die Base's Roadmap für 2026 zeigt.

Was "Transparenz" tatsächlich offenbart

Man hört oft, Krypto sei anonym. Das ist es nicht. Es ist pseudonym, und Pseudonymität ist keine Privatsphäre. Eine Adresse ist ein stabiler Bezeichner, der einen durch jede Interaktion hindurch begleitet. Sobald sie einmal mit einer Person verknüpft ist, durch eine Abhebung von einer zentralisierten Börse, einen ENS-Namen, ein Trinkgeld oder eine Rückerstattung, ist diese Verknüpfung rückwirkend und dauerhaft. Alles, was diese Adresse je getan hat, und alles, was sie künftig tut, ist nun mit dem jeweiligen Namen verbunden.

Chain-Analyse ist ausgereift und kommerziell verfügbar. Clustering-Heuristiken gruppieren Adressen anhand von Einzahlungswiederverwendung, gemeinsamen Finanzierungsquellen und transaktionalen Verbindungen. Netzwerkbasierte Methoden gehen noch weiter und korrelieren die IP-Adresse hinter einer Transaktion durch Timing mit ihrem Pseudonym. Forscher haben die De-Anonymisierung von Nutzern hinter Drittanbieter-RPC-Providern nachgewiesen, was die meisten Nutzer betrifft, da die meisten Wallets bei denselben wenigen Endpunkten anfragen.

Jetzt stellen wir uns ein Gehalt in diesem Ledger vor. Wenn ein Unternehmen seine Mitarbeiter in USDC über Base bezahlt, kann jeder die Vergütung, die Gehaltserhöhungen und die Tatsache lesen, dass eine Person in der Woche, bevor sie verstummte, eine abfindungsartige Einmalzahlung erhalten hat. Ein Unternehmen übermittelt seine Lieferantenliste, seine Margen und seine Treasury-Position an die Konkurrenz. Das ist kein hypothetischer Grenzfall. Es ist das Standardverhalten des Systems, und es wird schlimmer, je mehr wirtschaftlich relevante Aktivität On-Chain stattfindet.

Das Datenschutz-Toolkit und warum vieles davon schwer umzusetzen ist

Die Kryptografie zur Lösung dieses Problems existiert. Die Herausforderung besteht darin, sie einzusetzen, ohne einen Sanktionsmagneten zu schaffen.

Zero-Knowledge-Beweise ermöglichen es, die Wahrheit einer Aussage nachzuweisen, ohne die zugrunde liegenden Daten preiszugeben. Vertrauliche Transaktionen verbergen Beträge und Salden und beweisen dabei, dass kein Geld aus dem Nichts entstanden ist. Stealth-Adressen generieren für jede Zahlung eine neue, nicht verknüpfbare Zieladresse, sodass eine veröffentlichte Adresse nicht beobachtet werden kann. Account Abstraction macht Wallets so programmierbar, dass sie ein abgeschirmtes Guthaben und anwendungsspezifische Adressen verwalten können -- das ist das Fundament, auf dem alles andere aufbaut.

Das abschreckende Beispiel ist Tornado Cash. Das OFAC sanktionierte die Smart-Contract-Adressen des Mixers im August 2022. Im November 2024 stellte der Fifth Circuit fest, dass unveränderliche, unkontrollierbare Smart Contracts kein "Eigentum" darstellen, das das OFAC bezeichnen kann, und das Finanzministerium strich Tornado Cash am 21. März 2025 formell von der Sanktionsliste. Die strafrechtliche Gefährdung verschwand jedoch nicht mit den Sanktionen: Am 6. August 2025 verurteilte eine Jury den Mitgründer Roman Storm wegen der Verschwörung zum Betrieb eines nicht lizenzierten Geldtransfergeschäfts; bei den Anklagepunkten Geldwäsche und Sanktionsverstöße konnte sich die Jury nicht einigen, und das DOJ hat seitdem einen erneuten Prozess für die offenen Anklagepunkte beantragt. Die Lektion lautet nicht: "Datenschutz ist illegal." Sie lautet: Ein unterschiedsloses Anonymisierungswerkzeug, das saubere Gelder nicht von gestohlenen unterscheiden kann, wird zum Magneten für beides, und das Gesetz kommt irgendwann.

Das bessere Design ist datenschutzkonforme Compliance. Das Privacy-Pools-Papier, das von Vitalik Buterin, Ameen Soleimani, Chainalysis' Jacob Illum und Forschern der Universität Basel gemeinsam verfasst wurde, schlägt Mitgliedschafts- und Ausschlussnachweise vor: Ein Nutzer kann beweisen, dass seine Auszahlung zu einer Gruppe ehrlicher Einzahlungen gehört oder nicht mit bekannten illegalen Mitteln in Verbindung steht, ohne dabei seine konkrete Einzahlung preiszugeben. Datenschutz für die ehrliche Mehrheit, mit einem kryptografischen Ausweg aus dem kriminellen Pool.

Wo Base und Coinbase im Jahr 2026 tatsächlich stehen

Hier ist Präzision gefragt, denn die Lücke zwischen Ankündigung und tatsächlicher Umsetzung ist entscheidend. Brian Armstrong hat erklärt, dass Base private Transaktionen entwickelt und dass Coinbase im März 2025 das Iron-Fish-Team akquiriert hat, um dies umzusetzen. Der Ansatz von Iron Fish nutzt zk-SNARKs und einen shielded Multi-Asset-Pool mit View Keys, mit denen ein Nutzer einem Prüfer oder Regulierer selektiven Lesezugriff gewähren kann. Dieses Team wurde zu einem "Privacy Pod" innerhalb von Base. Mitte 2026 befindet sich das Projekt noch in der Entwicklung. Ein Starttermin wurde nicht bestätigt, und in Berichten wird ausdrücklich darauf hingewiesen, dass die Lösung keine vollständige Anonymität bieten wird, weil View Keys eine Offenlegung unter rechtlichem Zwang ermöglichen.

Im Juni 2026 veröffentlichte Coinbase eine umfangreiche Produktpalette; Presseberichte beschreiben eine Base Privacy Platform für den Unternehmenseinsatz, etwa für Gehaltsabrechnungen und regulierte Überweisungen, sowie Token-Standard-Arbeiten, die Compliance-Richtlinien direkt on-chain verankern. Ich würde die Unternehmensausrichtung als inhaltlich zutreffend betrachten und die konkreten Details als noch im Wandel befindlich einordnen. Was klar feststeht: Die erklärte Richtung ist Datenschutz mit integrierter Compliance, nicht Datenschutz als Mittel zur Umgehung von Vorschriften. Das entspricht Ethereums eigenem Kurs. Buterins "maximal einfache" L1-Privacy-Roadmap vom April 2025 sieht Wallets mit standardmäßig aktiviertem Shielded Balance, separate Adressen je Anwendung, Account Abstraction sowie Trusted Execution kombiniert mit Private Information Retrieval vor, um zu verhindern, dass RPC-Anbieter mitlesen können.

Der Regulierungsfinanzwinkel

Das ist der Teil, den die Branche immer wieder falsch versteht. Datenschutz und Compliance sind keine Gegensätze. Was regulierte Finanzmärkte tatsächlich erfordern, ist selektive Offenlegung: Die Daten sind standardmäßig vor der Öffentlichkeit verborgen und können der richtigen Partei unter der richtigen Autorität zugänglich gemacht werden. Ein Kontoauszug ist privat gegenüber dem Nachbarn und zugänglich für den Prüfer. Das ist das Modell.

Viewing Keys sind die On-Chain-Version davon. Ein Lohnabrechnungsanbieter kann eine abgeschirmte Auszahlung durchführen, seinem Prüfer und auf rechtmäßige Anfrage einem Regulierer einen Viewing Key übergeben und den gesamten Ablauf nachweisen, ohne jedes Gehalt öffentlich zu machen. Mitgliedschaftsnachweise ermöglichen es einem Nutzer, die Sauberkeit seiner Gelder zu belegen, ohne sich zu enttarnen. Das ist das Design, das reguliertem Geld die Nutzung einer öffentlichen Chain überhaupt erst ermöglicht. Die Transparenz, die Compliance-Teams benötigen, wird durch nachweisbare, eingegrenzte Offenlegung erfüllt, nicht durch die dauerhafte Veröffentlichung aller Finanzdaten.

Das Timing verschärft dies noch. Die MiCA-Übergangsfrist der EU endet am 1. Juli 2026, und die ESMA bestätigte im April 2026, dass es keine Verlängerung geben wird. Ungefähr zwei Wochen nach dem Zeitpunkt, an dem ich dies schreibe, verlieren unlizenzierte Anbieter, die EU-Kunden bedienen, ihre Schonfrist. Jedes Datenschutzkonzept, das institutionelle Akzeptanz in Europa anstrebt, muss davon ausgehen, dass MiCA-konforme Verpflichtungen von Anfang an gelten.

Was gelten muss

Damit Base Privacy-by-Default erreichen kann, ohne zum nächsten sanktionierten Vertrag zu werden, müssen mehrere Dinge gleichzeitig gelten. Der Offenlegungspfad muss kryptografisch und nutzerkontrolliert sein, keine Hintertür in den Händen von Coinbase. Der Nachweis sauberer Gelder muss real sein, damit unbescholtene Nutzer sich on-chain von illegalen Pools abgrenzen können. Und die Standardeinstellungen müssen auf Datenschutz ausgelegt sein, denn eine Datenschutzfunktion, die niemand aktiviert, schützt niemanden.

Ich habe genug Zeit in regulierter Finanzinfrastruktur verbracht, um allem skeptisch gegenüberzustehen, was als Pressemitteilung daherkommt. Die Kryptografie ist solide. Das rechtliche Terrain ist heute klarer als noch 2022. Was noch nicht bewiesen ist, sind das Engineering und die Governance: eine selektive Offenlegung zu liefern, der Prüfer vertrauen, die Regulatoren akzeptieren und die gewöhnliche Nutzer ohne eigenes Zutun erhalten. Das ist es, was unter Last standhalten und den Audit bestehen muss. Solange das nicht der Fall ist, ist „Privacy on Base" eine Roadmap, keine Eigenschaft der Chain.

Sources

• Blockchain beobachtet dich: Profiling und Deanonymisierung von Ethereum-Nutzern (arXiv)
• Deanonymisierung von Ethereum-Nutzern hinter Drittanbieter-RPC-Diensten (Forschungsarbeit)
• Coinbase übernimmt Team zur Beschleunigung von Datenschutzbemühungen auf Base (Coinbase-Blog)
• Base beginnt mit der Unterstützung privater Transaktionen (crypto.news)
• Coinbase setzt auf ZK-Proof-Datenschutz, während Base private Zahlungen ermöglicht (SQ Magazine)
• Tornado Cash-Delistung (U.S. Department of the Treasury)
• Ein rechtlicher Sturm legt sich: Das Finanzministerium hebt die Sanktionen gegen Tornado Cash auf (Venable LLP)
• Das gemischte Urteil im Tornado Cash-Prozess (Mayer Brown)
• Vitalik Buterin ko-schreibt Studie und schlägt konformen Tornado Cash-Nachfolger vor (The Defiant)
• Vitalik Buterin stellt Fahrplan zur Verbesserung der Privatsphäre auf Ethereum vor (The Defiant)
• MiCA-Übergangsfrist endet am 1. Juli 2026 ohne Verlängerungen, bestätigt ESMA (Coinpaprika)
• Coinbases Base konzentriert sich auf tokenisierte Märkte, Stablecoins und Entwickler (CoinDesk)