Aufruf zum Handeln: Das KYC-Regime der FCC muss gestoppt werden
(blog.lopp.net)- Der Zugang zu Telefondiensten in den USA sollte als grundlegende Kommunikationsinfrastruktur behandelt werden, doch die Prüfung von KYC-Regeln durch die FCC könnte dazu führen, dass normale Nutzer vor Abschluss oder Verlängerung eines Telekommunikationsdienstes Identitätsdaten angeben müssen
- Die FCC prüft Maßnahmen einschließlich der Verifizierung von Name, Adresse, amtlich ausgestelltem Ausweis und alternativer Telefonnummer; wie bei KYC-Praktiken im Finanzsektor lassen sich entschlossene Kriminelle dadurch wegen Lecks personenbezogener Identifikationsdaten und eines Marktes für Dokumentenhandel nicht zuverlässig stoppen
- Prepaid-Handys und Burner Phones sind nicht nur Werkzeuge für Kriminelle, sondern ein wichtiges Mittel zum Schutz der Privatsphäre für Überlebende häuslicher Gewalt, Whistleblower, Journalisten, Demonstranten und Menschen, die Vergeltung vermeiden wollen
- Die Prüfung von Abgleichen mit Listen von Strafverfolgungsbehörden, einer Aufbewahrungspflicht von Datensätzen für 4 Jahre nach Ende der Kundenbeziehung und Sanktionen von 2.500 Dollar pro Anruf könnte Telekommunikationsanbieter dazu bringen, sich für übermäßige Verifizierung, übermäßige Speicherung und übermäßige Ablehnung zu entscheiden
- Die Angelegenheit ist noch keine endgültige Regelung; die FCC nimmt bis zum 25. Juni 2026 Stellungnahmen und bis zum 27. Juli 2026 Erwiderungen entgegen, sodass noch die Möglichkeit besteht, sich gegen verpflichtendes KYC für normale Telefonnutzer zu wenden
Das Robocall-Problem und die KYC-Prüfung
- Robocalls, Betrugsanrufe, Rufnummernspoofing, falsche Garantiehinweise, gefälschte Bankbenachrichtigungen und automatisierter politischer Spam untergraben das Vertrauen in das Telefonsystem und schaden Zeit, Geld und Sicherheit der Amerikaner
- Das Problem illegaler Anrufe ist real, aber die Lösung darf keine flächendeckende Identitätsprüfung für alle normalen Nutzer sein
- Unter dem Vorwand der Robocall-Bekämpfung prüft die FCC Know Your Customer-Regeln, die Telefonanbietern die Erhebung von Identitätsdaten ihrer Nutzer auferlegen würden
- Am 30. April 2026 verabschiedete die FCC ein Further Notice of Proposed Rulemaking, das sich mit einer Verschärfung der KYC-Anforderungen für Sprachdiensteanbieter befasst
- Zu den geprüften Maßnahmen gehört eine Verpflichtung zur Verifizierung von Name, Adresse, amtlich ausgestelltem Ausweis und alternativer Telefonnummer eines Kunden vor Aktivierung des Dienstes
- Das Vorhaben wurde vom Vorsitzenden Brendan Carr sowie den Kommissaren Gomez und Trusty gebilligt
Warum KYC Kriminelle nicht zuverlässig stoppt
- Der Zugang zum Telefon sollte als grundlegende Infrastruktur behandelt werden, nicht als Privileg unter Identitätsvorbehalt
- Das Risiko besteht nicht darin, dass die FCC Robocall-Betrüger bestrafen will, sondern darin, Millionen unschuldiger Nutzer in Telekommunikations-Identitätsdatenbanken aufzunehmen, um Kriminellen das Leben schwerer zu machen
- Trotz KYC-Anforderungen im Finanzsystem findet Geldwäsche über regulierte Kanäle weiterhin statt
- Kriminelle haben in der Regel keine großen Schwierigkeiten, die für das Bestehen von KYC-Prüfungen nötigen Dokumente bereitzustellen
- Da personenbezogene Identifikationsdaten fortlaufend abfließen und Märkte für den Handel mit solchen Daten existieren, ist der Kauf neuer Identitäten und zugehöriger Dokumente günstig
Burner Phones sind wichtige Werkzeuge
- Die FCC prüft, ob KYC-Anforderungen für Prepaid- und Postpaid-Tarife unterschiedlich sein sollten, welche Informationen Mobilfunkanbieter von Prepaid-SIM-Kunden erheben und ob KYC auch für bei Drittanbietern gekaufte Prepaid-Dienste gelten sollte
- Dieser Streitpunkt betrifft den Kern der Burner-Phone-Frage, und Prepaid-Handys sind nicht nur Requisiten für Filmkriminelle
- Prepaid-Handys können eine Lebensader sein für Überlebende häuslicher Gewalt, Arbeitnehmer, die Fehlverhalten am Arbeitsplatz melden, Journalisten zum Schutz ihrer Quellen, Demonstranten, die Vergeltung vermeiden wollen, und Menschen, die nicht jedes Kommunikationskonto mit einem amtlichen Ausweis verknüpfen möchten
- Der leitende Politik-Analyst der ACLU, Jay Stanley, warnte, dass diese Regelsetzung Menschen die Möglichkeit nehmen könnte, Burner Phones zu beschaffen, und einkommensschwachen Menschen, Opfern häuslicher Gewalt und privatsphärebewussten Personen schaden könnte
- Anonyme oder pseudonyme Kommunikation ist nicht von Natur aus verdächtiges Verhalten
-
KYC-freie Telefone als Sicherheits- und Privatsphäre-Strategie
- Telefonservices ohne KYC werden seit vielen Jahren als Strategie zum Schutz von Sicherheit und Privatsphäre genutzt
- Wer verdächtigt werden könnte, Zugang zu einer erheblichen Menge Bitcoin zu haben, braucht starke Privatsphäre, um sich vor Wrench-Angriffen zu schützen
- Diese Bedrohung ist nicht bloß theoretisch; Hunderte von Bitcoinern wurden körperlich angegriffen, und es gibt Fälle von Swatting und Erpressung
Risiken einer Struktur aus Überwachung, Speicherung und Sanktionen
- Der stärker abschreckende Teil des FCC-Vorschlags geht über die übliche Sammlung von Ausweisdaten hinaus
- Im Zusammenhang mit risikobasierten KYC-Unterschieden prüft die FCC sogar, ob Anbieter Listen von Strafverfolgungsbehörden über Terroristen, Terrororganisationen und „Kriminelle“ abgleichen sollten
- Solche Listen können Fehlalarme, die intransparente Aufnahme Unschuldiger und die Möglichkeit schaffen, dass der Zugang zu grundlegender Kommunikationsinfrastruktur ohne Verurteilung oder ein sinnvolles rechtsstaatliches Verfahren verweigert wird
- Auch wenn die FCC dies nicht als endgültige Entscheidung, sondern als Frage behandelt, ist es eine gefährliche Frage für eine Telekom-Regulierungsbehörde, sie zu normalisieren
-
Langfristige Speicherung und Zweckausweitung
- Die FCC prüft eine Vorgabe, KYC-Informationen und Support-Aufzeichnungen 4 Jahre nach Ende der Kundenbeziehung aufzubewahren
- Das Risiko endet nicht mit der Kündigung des Dienstes; Identitätsdaten könnten noch jahrelang in Datenbanken der Telekommunikationsanbieter verbleiben
- Zurückbleibende Informationen können Verstößen, Missbrauch, Vorladungen, Verkauf und Zweckausweitung ausgesetzt sein
- Die FCC prüft, ob verschärfte KYC-Regeln auch Ermittlungen zu anderen Straftaten als illegalen Anrufen helfen könnten, darunter organisierte Kriminalität, Menschenhandel, Spionage, Einflussoperationen und andere nationale Sicherheitsbedenken
- Wenn Telekommunikationsanbieter Kunden verifizieren, speichern, erneut verifizieren und überprüfen müssen, wird das Telefonsystem eher zu einem Engpass als zu einem offenen Kommunikationsnetz
-
Sanktionsstruktur pro Anruf
- Die FCC prüft einen Ansatz, bei dem KYC-Verstöße pro Anruf bewertet werden
- Die FCC schlägt konkret eine Grundstrafe von 2.500 Dollar pro Anruf vor
- Wenn die Strafe für zu geringe Überprüfung mit dem Anrufvolumen steigen kann, könnten Anbieter sich zum eigenen Schutz für übermäßige Verifizierung, übermäßige Speicherung und übermäßige Ablehnung entscheiden
- Die sicherste Entscheidung für Unternehmen könnte dann nicht diejenige sein, die die Privatsphäre der Verbraucher schützt, sondern diejenige, die massiv in sie eingreift
Privatsphäre ist kein Verbrechen
- In einer freien Gesellschaft sollte es nicht nötig sein, dass Bürger ständig darum kämpfen müssen, ihre Privatsphäre zu bewahren
- Wenn die Regierung Bürgerrechte durch Überwachung, Datenspeicherung und die Verweigerung des Zugangs zu essenziellen Kommunikationsmitteln schwächen will, muss sie diese Rechtfertigung belegen
- Wer Kommunikationskanäle kontrollieren will, muss Netzwerknutzer identifizieren können, um ungewollte Sprecher zum Schweigen zu bringen
- Die FCC kann auf großvolumige kommerzielle Anrufer, nachlässige Anbieter, Infrastruktur für Rufnummernspoofing, SIM-box-Missbrauch und wiederholt bösartige Akteure zielen, ohne von allen normalen Nutzern die Vorlage von Identitätsdokumenten zum Erhalt einer Telefonnummer zu verlangen
- Die FCC kann die Durchsetzung gegen Telekommunikationsanbieter verschärfen, die illegalen Anrufverkehr wissentlich ermöglichen
- Für Massenversender können enge, risikobasierte Sorgfaltspflichten eingeführt werden
- Ein Modell, bei dem alle Telefonnutzer vor jeder Kommunikation beweisen müssen, wer sie sind, sollte vermieden werden
- Durchschnittliche Bürger wollen nicht, dass der Staat Listen von Menschen erstellt, die völlig normale Aktivitäten ausüben
- Niemand will eine Situation, in der „Verbraucherschutz“ zu Überwachung wird, Privatsphäre als Schlupfloch behandelt wird und Regeln gegen Robocalls stillschweigend die letzte praktische Möglichkeit beenden, ohne staatliche Erlaubnis Zugang zum Telefon zu erhalten
Wie KYC reale Risiken erhöht
- KYC könnte auch „Kill Your Customer“ genannt werden, weil schon die Erhebung sensibler personenbezogener Identifikationsdaten Kunden in Gefahr bringt
- KYC-Regime haben über viele Jahre hinweg massive Datenlecks verursacht und die Verlässlichkeit von KYC untergraben, weil Kriminelle leicht neue Dokumente erhalten können, mit denen sie KYC-Prüfungen unter gestohlenen Identitäten umgehen
- Bei Telefondiensten kann KYC die Sicherheit von Konten aktiv verschlechtern, indem es Konten mit Identitäten verknüpft
- Wenn Kriminelle genügend personenbezogene Identifikationsdaten beschaffen, können sie sich bei Telekommunikationsanbietern leichter als Opfer ausgeben und versuchen, deren Nummern auf von ihnen kontrollierte SIMs zu übertragen
- Dieses Problem des SIM Swapping oder SIM Hijacking besteht seit mehr als einem Jahrzehnt und wird schlimmer, je mehr Bereiche des Lebens digitalisiert werden
- Ein erheblicher Teil wichtiger Online-Konten ist an Telefonnummern und E-Mail-Adressen gebunden
-
Typischer Angriffsweg beim SIM Hijacking
- Kriminelle übernehmen die Telefonnummer des Opfers
- Mit der Telefonnummer setzen sie den Zugang zum primären E-Mail-Konto des Opfers zurück
- Mit E-Mail-Konto und Telefonnummer setzen sie den Zugang zu Finanzkonten zurück
- KYC wird mit dem Anspruch eingeführt, Kriminelle zu stoppen, ist in der Praxis jedoch eher Sicherheitstheater, das Privatsphäre und Sicherheit schwächt, statt Verbraucher vor böswilligen Akteuren zu schützen
- Ein kaputtes System sollte nicht auf noch mehr Lebensbereiche ausgeweitet werden
Es ist noch nicht zu spät
- Diese Angelegenheit ist noch keine endgültige Regelung
- Die FCC bittet im Federal Register um Stellungnahmen zu dieser vorgeschlagenen Änderung
- Frist für Stellungnahmen ist der 25. Juni 2026, Frist für Erwiderungen der 27. Juli 2026
- Es ist möglich, bei der FCC eine öffentliche Stellungnahme gegen verpflichtende KYC-Identitätsprüfungen einzureichen
- Stellungnahmen können über dieses FCC-Formular eingereicht werden
- FCC-Stellungnahmen sind öffentlich; man sollte daher davon ausgehen, dass personenbezogene Informationen im Text oder in Anhängen online öffentlich einsehbar werden können
- Es sollten keine personenbezogenen Daten enthalten sein, die nicht sicher wären, wenn sie weltweit veröffentlicht würden
Kernaussagen des vorgeschlagenen Stellungnahmeschreibens
- Ablehnung von FCC-Regeln, nach denen normale Telefonnutzer und Prepaid-Kunden als Bedingung für den Erwerb oder die Verlängerung eines Telefondienstes amtlich ausgestellte Identifikationsnummern, Identitätsdokumente, reale Adressen, alternative Telefonnummern oder ähnliche personenbezogene Daten angeben müssten
- Robocalls und Betrugsanrufe sind ein ernstes Problem, aber die verpflichtende Erhebung von Identitätsdaten aller Nutzer ist zu weit gefasst, greift in die Privatsphäre ein und dürfte Nutzern schaden, die rechtmäßig Privatsphäre benötigen
- Zu den potenziell betroffenen Nutzern gehören Überlebende häuslicher Gewalt, Journalisten, Whistleblower, einkommensschwache Bürger, politische Organisatoren und Menschen, die mit Vergeltung oder Stalking konfrontiert sind
- Die FCC sollte Anforderungen ablehnen, nach denen vor Bereitstellung eines Dienstes Überwachungslisten von Strafverfolgungsbehörden oder Listen von „Kriminellen“ abgeglichen werden müssen
- Der Zugang zu grundlegender Kommunikationsinfrastruktur darf nicht von intransparenten Listen, missbrauchsanfälligen und fehleranfälligen Screening-Systemen oder Verfahren mit mangelnder Transparenz abhängen
- Die FCC sollte auch die mehrjährige Speicherung von KYC-Daten normaler Kunden ablehnen
- Wenn Identitätsdaten und Support-Aufzeichnungen aufbewahrt werden, nachdem ein Kunde den Dienst verlassen hat, entstehen unnötige Risiken von Verstößen, Missbrauch und Überwachung
- Die FCC sollte eng und evidenzbasiert gegen großvolumige illegale Anrufer, missbräuchliches Rufnummernspoofing, SIM-box-Betreiber und Anbieter vorgehen, die illegalen Verkehr absichtlich oder leichtfertig ermöglichen
- Neue Regeln sollten zielgerichtet sein, die Privatsphäre schützen, die Datenerhebung minimieren und den Zugang legitimer Nutzer zu Prepaid- und privatsphärefreundlichen Telefondiensten erhalten
- Telefondienste dürfen nicht zu einem Identitätskontrollpunkt werden
- Amerikaner, die sich über die fortlaufende Aushöhlung der Privatsphäre sorgen, sollten jetzt ihre Stimme erheben
1 Kommentare
Hacker-News-Kommentare
Man müsste die Carrier nur dazu bringen, Spoofing der Anrufernummer nicht zuzulassen
Den Namen braucht es dafür nicht einmal, aber mit einer echten Nummer kann man solche Betrugsfälle melden
Selbst wenn das Unterdrücken der Nummer erlaubt bleibt, sollten standardmäßig alle nicht geschäftlichen Telefone Anrufe mit unterdrückter Nummer blockieren
Sollte das nicht schon vor etwa 5 Jahren geregelt werden? Vielleicht hatten sie Angst davor, Carrier, die Massen an Spam verschicken, tatsächlich zu sperren
Wenn ich immer noch jede Menge Spam-Anrufe bekomme, ist entweder etwas schiefgelaufen oder es ist so langsam, dass man den Unterschied kaum merkt
Wenn Carrier gefälschte Anrufe annehmen, verstoßen sie bereits gegen die FCC-Empfehlungen
Wenn etwa ein misshandelnder Ehepartner im Spiel ist, wollen viele nicht, dass in der Anrufliste die Nummer einer medizinischen Einrichtung erscheint
Das führt dann dazu, dass sehr wichtige Anrufe ignoriert werden
Warum gibt es kein besseres System zur Adressierung von Anrufen
Noch schlimmer: Mobiltelefone senden ständig ihren Standort, also teilen sie faktisch jederzeit Hunderten von Firmen und mehreren Regierungen Standortdaten mit
Das ist schon bei den meisten Mobiltelefonen ein Problem, und wenn man das nun auch auf Prepaid-Handys ausweitet, wird es nur schlimmer
Carrs FCC wirkt zusammengefasst wie eine Behörde, die Rede kontrollieren will, indem sie den Äther kontrolliert. Aus seinem Handeln spricht das ganz offen
Wenn man erst einmal Rundfunkanstalten dazu gebracht hat, das Gewünschte zu sagen, was bleibt dann noch außer einer kleinen Ausweitung der Definition des öffentlichen Interesses auf das Internet und der Einschränkung von Rede
https://www.pcmag.com/news/apple-expands-this-location-focus...
Man kann das Mobiltelefon zu Hause lassen und weggehen
Ich lebe in den USA und nutze Prepaid, weil ich für einen Postpaid-Dienst keine Kreditauskunftsdaten angeben möchte
Es gibt überhaupt keinen Grund, warum US-Carrier die sensibelsten personenbezogenen Identifikationsdaten ihrer Kunden speichern sollten
Alle großen Carrier haben eine Vorgeschichte mit Datenschutzverletzungen und dem Verkauf von Kundendaten
Telefongesellschaften verfolgen, speichern und verkaufen bereits jetzt unzählige Datenpunkte ihrer Kunden
Man kann ihnen keinerlei Informationen anvertrauen
Wie die neuen Regeln mich betreffen würden, ist unklar, aber ich glaube nicht, dass man für eine VoIP-Nummer zwingend personenbezogene Identifikationsdaten angeben muss
Merkwürdigerweise wurde das nicht von Anfang an verlangt, sondern erst später, als ich den eigentlichen Dienst aktivieren wollte. Keine Ahnung, was da los war
Beides gleichzeitig nach Wunsch zu haben scheint schwierig zu sein
Eine mögliche Lösung wäre, anonyme Leitungen zu erlauben, meinem Carrier aber zu gestatten, Anrufe solcher Leitungen zu mir nicht durchzustellen
Natürlich müsste man dasselbe Prinzip auch auf Datenverkehr und von Geräten erzeugten IP-Traffic ausweiten. Wenn du nicht nachvollziehbar sein willst, erscheint es auch vernünftig, dass ein Dienst die Verarbeitung des von dir erzeugten IP-Traffics verweigern darf
Reicht so ein halbgarer Netzwerkkugang aus?
„Durch Ankreuzen dieses Kästchens bestätige ich, dass ich ein Dokument in einem offiziellen FCC-Verfahren einreiche. Alle eingereichten Informationen, einschließlich Name und Adresse, werden über das Web öffentlich zugänglich gemacht.“
Gibt es wirklich keine Möglichkeit, einen einfachen FCC-Kommentar einzureichen, ohne dass alle meine persönlichen Daten im Web veröffentlicht werden? Uff
Der Kern ist, dass man unter echtem Namen verantwortlich spricht
Und falls du glaubst, dass dein Name und deine Adresse privat seien, habe ich schlechte Nachrichten
Es ist etwas übertrieben und hat einen abschreckenden Effekt auf Äußerungen, das standardmäßig öffentlich zu machen, aber es ist auch wichtig, dass das Bundesregister zusammen mit allen öffentlichen Kommentaren im Web öffentlich verfügbar bleibt
Das ist ein offizieller Kommentar, der aktenkundig wird
Ich denke, die echte Lösung für Betrug, Spam und Robocalls wäre nicht einfach die Anrufernummer, sondern zusätzlich echte REAL(TM)-Caller-ID-Informationen zu übermitteln, für die tatsächlich abgerechnet wird, sodass der Empfänger leicht auflegen kann, wenn beides nicht zusammenpasst
Die genauen technischen Details von Stir/Shaken kenne ich nicht, aber irgendjemand bezahlt oder kassiert bei jedem Anruf Geld, und diese Information sollte für den Empfänger von Anrufen oder Nachrichten transparent bereitgestellt werden
Wenn es einen „legitimen“ Grund gibt, etwa bei Ärzten oder Callcentern, dann sollte dafür ohnehin eine separate geschäftliche Telefonnummer existieren und nicht eine private Leitung genutzt werden
Nachlässige Carrier sollte man komplett sperren. Von dort kommt nichts Gutes
Im Grunde sollte man Anrufe und SMS standardmäßig blockieren, sofern nicht das vollständige Nachweisniveau A-level vorliegt, außer der Kunde entscheidet sich ausdrücklich dagegen. Wer das freiwillig einschalten würde, weiß ich nicht
Wenn es so einfach wäre, wäre es wahrscheinlich längst umgesetzt worden
Meine Vermutung ist, dass es die Vorgabe gibt, dass jede funktionierende Nummer unbedingt Notdienste anrufen können muss, und dass genau diese Lücke ausgenutzt wird
Deshalb scheint die Antwort der FCC zu sein: Wenn jede Nummer funktionieren muss, dann schieben wir die Prüfung eben direkt auf den Teilnehmer ab
Um zu einer Aufforderung zum Handeln zu bewegen, braucht es bessere Call-to-Action-Formulierungen
Der im Artikel genannte Link ist dieser
https://www.federalregister.gov/documents/2026/05/26/2026-10...
Das scheint fast auszureichen, um zu diesem Link zu gelangen, den vor ein paar Tagen jemand auf HN gepostet hat
https://www.fcc.gov/ecfs/filings/express
Um den Vorgang abzuschließen, braucht man die docket-id
Docket No: 17-59
Diese Docket-Nummer kann hier noch einmal überprüft werden: https://www.fcc.gov/document/fcc-seeks-comment-enhanced-know...
Das FR ist der offizielle Weg, auf dem Bürger zu Regelsetzungsvorschlägen von Behörden Stellung nehmen
Es ist unabhängig, könnte also weiterreichen, und es ist besser, beides zu tun
Wir brauchen ein neues Telefonsystem, bei dem Telefonnummern als Wegwerfnummern konzipiert sind
Telefonnummern wurden unter der Annahme entworfen, dass man sie sich leicht merken können muss, aber heute ist das meiner Ansicht nach kaum noch nötig
Ich sollte meine Kontaktdaten jederzeit verwerfen und selbst neu verteilen können
Auch die Vorstellung, dass alte Nummern recycelt werden, ergibt überhaupt keinen Sinn
Niemand sollte zufällig klingeln und damit andere stören und ihre Aufmerksamkeit einfordern dürfen
Statt Know Your Customer könnte man lieber ein "Know Your Company" einführen, damit Verbraucher Informationen über das Unternehmen erhalten, das sie anrufen
Ich habe versucht, über den Artikellink einen FCC-Kommentar einzureichen, aber reCAPCHA erkennt mich nicht als Menschen an
Nachdem ich ungefähr 20 Rätsel erfolgreich gelöst hatte, habe ich aufgegeben
So funktioniert also unsere Demokratie
Gibt es irgendeinen besonderen Grund, warum man vor Gericht nicht gegen die Landesregierung, die Bundesregierung oder beide geltend machen kann, dass der Staat wirtschaftlichen Schaden verursacht, indem er Gelegenheiten zum Diebstahl personenbezogener Daten schafft
Natürlich würde aus diesem Streit kein großes Geld entstehen, aber praktisch jedes PAC könnte sich das wohl leisten
Wenn man behauptet, dass Geld auf dem Spiel steht und nicht die tatsächliche Sicherheit der Menschen, scheint die Wahrscheinlichkeit einer Abweisung auch geringer zu sein, so wie das Justizsystem nun einmal funktioniert
Welchen Dollarbetrag würde man als Schadensmaßstab ansetzen? Würde man die Kosten für ein paar Jahre Kreditüberwachung geltend machen? Das ist ungefähr die übliche Lösung, die Opfern von Lecks personenbezogener Daten angeboten wird
Man könnte behaupten, dass Strafverfolgung, Telekommunikationsanbieter und Regulierungsbehörden bei der Betrugsbekämpfung nicht genug getan haben, und so etwas wie eine Sammelklage anstrengen, aber das käme einer sehr gewagten Behauptung nahe
Diesen Kampf würde man wahrscheinlich schon zu Beginn verlieren, und viel Geld gäbe es dabei auch nicht zu holen