Mit DAC8 und CARF erfassen Kryptoplattformen Ihre Transaktionen und übermitteln sie an die Steuerbehörde. Die Nutzung eines Steuerassistenten wird daher fast unverzichtbar. Doch wenn Sie ihm Ihre gesamte Historie anvertrauen, setzen Sie auch Ihre Daten einem Risiko aus: Im Falle eines Datenlecks könnten sie das Ausmaß Ihres Vermögens offenlegen. Hier sind die Sicherheitskriterien, die Sie überprüfen sollten, am Beispiel von CoinTracking.

Warum der Schutz Ihrer Krypto-Steuerdaten so wichtig ist

Um Ihre Kapitalgewinne zu berechnen, muss ein Steuerassistent Ihre Plattformen, Wallets, Käufe, Verkäufe und den Wert Ihres Portfolios kennen. Diese Zentralisierung vereinfacht die Steuererklärung erheblich, bietet aber zugleich einen nahezu vollständigen Überblick über Ihr Krypto-Vermögen. In Verbindung mit Ihrer Identität sind diese Informationen für böswillige Personen von offensichtlichem Wert.

Das Risiko eines Datenlecks ist in der Branche zudem durchaus real. Bei mehreren Akteuren im Ökosystem kam es bereits zu Datenlecks, mit zwei wesentlichen Folgen für die Betroffenen:

  • Gezieltes Phishing: Ein Angreifer, der Ihre Kryptoplattformen und Bestände kennt, kann sich glaubwürdig als Börse, Kundendienst oder das Tool selbst ausgeben;
  • Körperliche Übergriffe: Entführungen und Freiheitsberaubungen, die auf Kryptowährungsbesitzer abzielen, nehmen in Frankreich zu, und weiterverkaufte Datensätze ermöglichen es Kriminellen, potenzielle Ziele leicht ausfindig zu machen.

Für die meisten Anleger ist es dennoch schwierig, auf ein solches Tool zu verzichten. Durch den automatischen Informationsaustausch zwischen Plattformen und Steuerbehörde lassen sich ungenaue Angaben zu Krypto-Kapitalgewinnen leichter erkennen. Um den auf Ihre Kapitalgewinne voraussichtlich fälligen Steuerbetrag im Voraus zu berechnen, können Sie unseren Krypto-Steuerrechner verwenden.

Bei der Wahl eines Steuerassistenten kommt es daher nicht nur auf den Preis oder die Zahl der unterstützten Plattformen an: Ebenso wichtig ist, wie das Tool Ihre Daten erfasst, speichert und schützt.

Im Folgenden stellen wir die zu überprüfenden Sicherheitskriterien am konkreten Beispiel von CoinTracking vor, einem seit 2012 in Deutschland entwickelten Krypto-Steuerassistenten, der von mehr als 2,2 Millionen aktiven Nutzern verwendet wird. Außerdem zeigen wir bewährte Maßnahmen, die Sie selbst ergreifen können.

Sicherheitskriterien, die Sie vor der Wahl überprüfen sollten

1. Sich anmelden können, ohne persönliche Daten anzugeben

Das ist das entscheidendste und zugleich seltenste Kriterium: Die große Mehrheit der Steuerassistenten verlangt zumindest eine E-Mail-Adresse, um ein Konto zu erstellen. Das reicht aus, um eine Transaktionshistorie einer Identität zuzuordnen.

Das Prinzip ist einfach: Was nicht erfasst wird, kann nicht durchsickern. Ihre übliche E-Mail-Adresse ist wahrscheinlich bereits in anderen Datenlecks aufgetaucht, zusammen mit Ihrem Namen, Ihrer Telefonnummer oder Ihrer Adresse. Wenn sie auch in der Datenbank eines Steuerassistenten auftaucht, könnte ein Angreifer eine Verbindung zwischen Ihrer Identität und einem erheblichen Krypto-Vermögen herstellen. Ohne E-Mail-Adresse ist eine solche Zuordnung unmöglich: Dem Angreifer blieben nur anonyme Transaktionshistorien, mit denen sich keine bestimmte Person ins Visier nehmen lässt.

Bei CoinTracking können Sie ein Konto mit einem einfachen Benutzernamen und Passwort erstellen, ohne E-Mail-Adresse, Telefonnummer oder Bankkarte für das kostenlose Angebot. Soweit wir wissen, bietet derzeit kein anderer großer Krypto-Steuerassistent eine vollständig anonyme Anmeldung an. CoinTracking gibt außerdem an, statistische Berechnungen durchzuführen, ohne personenbezogene Daten zu verwenden.

Um diese Möglichkeit optimal zu nutzen, wählen Sie einen Benutzernamen, den Sie nirgendwo sonst verwenden, und ein einzigartiges Passwort. Wenn Sie trotzdem eine E-Mail-Adresse angeben möchten, zum Beispiel zur Wiederherstellung Ihres Kontos, richten Sie dafür eine eigene Adresse bei einem datenschutzorientierten Dienst wie Proton Mail ein.

Bei CoinTracking ist die E-Mail-Adresse optional: Ein Benutzername und ein Passwort genügen

2. Nur Lesezugriff auf Ihre Plattformen

Die Verbindung einer Kryptobörse mit einem Steuerassistenten erfolgt in der Regel über einen API-Schlüssel. Dieser sollte auf Lesezugriff beschränkt sein, ohne Handels- oder Auszahlungsberechtigung: Das Tool kann dann Ihre Historie einsehen, aber Ihre Guthaben nicht bewegen. Prüfen Sie auch, wie diese Schlüssel gespeichert werden.

CoinTracking akzeptiert ausschließlich API-Schlüssel mit Leseberechtigung. Nach dem Import werden sie auf den Servern verschlüsselt. Laut CoinTracking können nicht einmal die eigenen Mitarbeiter sie einsehen. Bei manuellen CSV-Datei-Importen extrahiert die Plattform die Transaktionen, speichert die Datei aber nicht.

Ein API-Schlüssel mit Leseberechtigung ermöglicht das Lesen des Verlaufs, ohne dass damit Gelder bewegt werden können

3. Hosting und rechtlicher Rahmen

Der Speicherort der Daten bestimmt, welche Vorschriften für sie gelten. Werden sie in der Europäischen Union gehostet, unterliegen sie der DSGVO, die ihre Erhebung, Speicherung und Löschung regelt.

Die Server von CoinTracking befinden sich ausschließlich in Deutschland und unterliegen daher der DSGVO sowie dem deutschen Datenschutzgesetz. Alle sensiblen Daten werden verschlüsselt, und die Plattform verwendet SSL/TLS-Verschlüsselung für Daten während der Übertragung.

Die Server von CoinTracking werden in Deutschland gehostet

4. Geprüfte Zertifizierungen

Die bloße Behauptung einer Website, sicher zu sein, ist kein Beweis. Eine Zertifizierung wie ISO/IEC 27001 bietet eine solidere Garantie: Sie bestätigt, dass das Unternehmen ein Informationssicherheits-Managementsystem anwendet, das Risikobewertungen, Kontrollen und kontinuierliche Verbesserungen umfasst und von einem unabhängigen Prüfer überprüft wird. Prüfen Sie jedoch, ob das Unternehmen selbst zertifiziert ist und nicht nur sein Hosting-Anbieter.

CoinTracking ist unternehmensweit nach ISO/IEC 27001 zertifiziert, und das Zertifikat ist auf der Website einsehbar. Die Zertifizierung bezieht sich nicht nur auf die technische Infrastruktur der Plattform, sondern auch auf die interne Organisation, darunter regelmäßige Sicherheitsschulungen für die Teams und die Beschränkung des Systemzugriffs auf das, was für die jeweilige Rolle eines Mitarbeiters erforderlich ist.

CoinTracking ist nach ISO/IEC 27001 zertifiziert

5. Kontosicherheit

Eine integrierte Zwei-Faktor-Authentifizierung (2FA) über eine spezielle App schützt das Konto auch dann, wenn das Passwort kompromittiert wird. Bei manchen Diensten ist dies nur möglich, wenn man sich über Google oder Apple anmeldet, wodurch das Konto erneut mit einer Identität verknüpft wird.

CoinTracking bietet eine integrierte Zwei-Faktor-Authentifizierung, die mit Apps wie Google Authenticator oder Authy kompatibel ist. Dieser Schutz ist entscheidend für die Sicherheit Ihres Kontos: Aktivieren Sie ihn so bald wie möglich.

6. Löschung und Export Ihrer Daten

Wenn Sie einen Steuerassistenten für Ihre Kryptowährungen nicht mehr nutzen, müssen Sie Ihre Daten abrufen und anschließend dauerhaft löschen lassen können. Dieser Punkt wird leider oft vernachlässigt. Laut ihren Datenschutzerklärungen speichern einige Dienste Daten noch mehrere Monate nach der Kontoschließung, in Backups oder Archiven. Manchmal muss man sich für die Löschung auch an den Support wenden, statt einfach auf eine Schaltfläche zu klicken. Während dieser Zeit bleiben Ihre Daten dem Risiko eines Datenlecks ausgesetzt.

Bevor Sie sich für einen Steuerassistenten oder einen anderen Dienst im Zusammenhang mit Ihren Kryptowährungen entscheiden, lesen Sie dessen Datenschutzerklärung, um die Aufbewahrungsdauer nach der Kontoschließung, das Löschverfahren und die Möglichkeit zum Export Ihres Verlaufs zu überprüfen.

Bei CoinTracking erfolgt die Löschung sofort und endgültig, und Sie können sie jederzeit auslösen. Die Plattform gibt an, alle Transaktionen, Wallet-Informationen und API-Schlüssel zu löschen, ohne Datenreste zurückzubehalten. Vor dem Löschen können Sie Ihre Daten auch exportieren, entsprechend dem in der DSGVO vorgesehenen Recht auf Datenübertragbarkeit.

Bewährte Praktiken, die Sie selbst befolgen sollten

Die Maßnahmen der Plattform reichen nicht aus, wenn Ihr Konto schlecht geschützt ist. Hier sind einige bewährte Praktiken, mit denen Sie die Risiken deutlich verringern können:

  • Wahren Sie Ihre Anonymität: Wenn das Tool es ermöglicht, geben Sie weder eine E-Mail-Adresse noch eine Telefonnummer an. Andernfalls verwenden Sie eine separate Adresse, die weder Ihren Vor- noch Nachnamen enthält;
  • Wählen Sie einen neutralen Benutzernamen, der keinen Bezug zu Ihren anderen Online-Konten hat;
  • Vermeiden Sie die schnelle Anmeldung über Google oder Apple, durch die das Konto mit Ihrer Identität verknüpft wird;
  • Verwenden Sie ein einzigartiges Passwort, das von einem Passwort-Manager generiert und gespeichert wird;
  • Aktivieren Sie die 2FA über eine App wie Google Authenticator oder Authy statt per SMS, um SIM-Swap-Angriffe zu vermeiden;
  • Erstellen Sie für jedes Tool einen eigenen API-Schlüssel mit Leseberechtigung und widerrufen Sie ihn, wenn Sie das Tool nicht mehr nutzen;
  • Wenn Ihre Bank es ermöglicht, bezahlen Sie mit einer temporären Bankkarte. Revolut ermöglicht beispielsweise die Erstellung temporärer Karten zur einmaligen Nutzung;
  • Hüten Sie sich vor Phishing und Mitteilungen, die Sie per E-Mail, SMS oder auf anderem Weg erhalten könnten. Prüfen Sie die Legitimität des Absenders und klicken Sie auf keinen Link. Rufen Sie direkt die echte Website des Tools oder der Plattform auf, um die in der Nachricht genannten Informationen zu überprüfen;
  • Löschen Sie stets die Konten von Tools, die Sie nicht mehr nutzen.

Weitere Kriterien für die Wahl Ihres Steuerassistenten

Sicherheit entbindet Sie nicht davon, die Qualität der Berechnung von Gewinnen aus Ihren Kryptowährungen zu überprüfen. In Frankreich muss das Tool die in Artikel 150 VH bis des CGI vorgesehene Methode anwenden, die auf dem Gesamtwert des Portfolios basiert. CoinTracking wendet diese Methode für Frankreich an und erstellt automatisch das Formular 2086.

Das Tool sollte auch Kontrollfunktionen bieten, etwa das Erkennen von Duplikaten und Transfers, deren Eingang oder Ausgang nicht gefunden wurde. Die meisten fehlerhaften Berichte sind auf eine unvollständige Historie und nicht auf einen Berechnungsfehler zurückzuführen.

Vorschau auf die CoinTracking-Oberfläche

Auch das Preismodell verdient Ihre Aufmerksamkeit. Bei CoinTracking gelten die Transaktionslimits kumulativ über die gesamte Laufzeit des Kontos und werden nicht jährlich berechnet: Ein einziges Abonnement kann daher mehrere Steuerjahre abdecken. Weitere Informationen zu den Funktionen und Preisen finden Sie in unserem vollständigen Testbericht zu CoinTracking. Einen Vergleich der wichtigsten Lösungen auf dem Markt finden Sie in unserem Vergleich der Krypto-Steuerassistenten.

Kurz gesagt: Kriterien für die Wahl Ihres Steuerassistenten

Beim Vergleich von Steuerassistenten sollten Sie sich folgende Fragen stellen. Hier sind die Antworten zu CoinTracking:

Um diese Kriterien selbst zu überprüfen, bietet CoinTracking eine kostenlose 7-tägige Testphase mit unbegrenzten Importen und ohne Kreditkarte. Wenn Sie unseren Link verwenden, erhalten Sie 10 % lebenslangen Rabatt auf kostenpflichtige Tarife, ausgenommen die lebenslange Lizenz und Sonderangebote. 👇