Ausweiskopie schwärzen: Welche Angaben Sie abdecken dürfen

Auf einer Ausweiskopie werden nach Auffassung der Datenschutzaufsicht üblicherweise nur Vor- und Nachname, Anschrift und Gültigkeitsdauer gebraucht. Seriennummer, Zugangsnummer, Staatsangehörigkeit, Größe, Augenfarbe, Lichtbild und die Maschinenzeile auf der Rückseite dürfen Sie schwärzen. Nur wo das Geldwäschegesetz greift, etwa bei Banken, ist die vollständige Kopie vorgeschrieben.

Die Situation kennt fast jeder: Ein Formular verlangt „bitte Ausweiskopie beilegen", und weil der Vorgang sonst nicht weitergeht, landet der Perso auf dem Scanner oder unter der Handykamera. Vorder- und Rückseite, alles drauf, abgeschickt. Was dabei übersehen wird: Der deutsche Personalausweis trägt rund fünfzehn getrennte Angaben, und die wenigsten davon haben mit der Frage zu tun, die der Empfänger eigentlich klären will, nämlich ob Sie die Person sind, die Sie zu sein behaupten.

Dieser Artikel geht den Ausweis Feld für Feld durch, sortiert die Rechtslage nach § 20 PAuswG und der Datenminimierung, benennt die eine Ausnahme, in der Schwärzen tatsächlich nicht vorgesehen ist, und liefert drei Dinge zum direkten Anwenden: eine Felder-Matrix, den technisch sauberen Weg zum Schwärzen (der häufigste Weg ist der unsichere) und einen kurzen Vermerk, den Sie auf jede Kopie setzen sollten.

Was auf Ihrem Personalausweis steht, Feld für Feld

Der Ausweis ist kein einzelnes Datum, sondern ein Bündel. Jedes Feld hat einen eigenen Zweck und einen eigenen Missbrauchswert, und die beiden hängen kaum zusammen. Die drei Angaben, die einen Identitätsnachweis praktisch tragen, sind unspektakulär. Die interessanten Felder für jemanden mit unlauteren Absichten sind die Nummern.

Die Dokumentennummer (neunstellig, oben rechts auf der Vorderseite) ist die Kennung des Dokuments, nicht der Person. Sie wechselt mit jedem neuen Ausweis, bleibt aber für dessen gesamte Laufzeit gleich und taugt deshalb als Schlüssel, um Datensätze über Jahre hinweg zusammenzuführen. Der Gesetzgeber hat das Problem gesehen: § 20 Abs. 3 PAuswG untersagt es, die Seriennummer für einen automatisierten Abruf personenbezogener Daten zu nutzen, und schränkt nichtöffentliche Stellen dabei deutlich stärker ein als Behörden.

Die Zugangsnummer, kurz CAN, ist die sechsstellige Zahl auf der Vorderseite neben dem Gültigkeitsdatum. Sie wirkt harmlos, weil sie für sich genommen nichts über Sie aussagt. Ihre Funktion ist eine andere: Wer bei der Online-Ausweisfunktion zweimal die falsche PIN eingibt, muss vor dem dritten und letzten Versuch die CAN eingeben. Damit soll das System sicherstellen, dass die Person den Ausweis tatsächlich in der Hand hält. Steht die CAN auf einer kursierenden Kopie, ist genau diese Annahme nicht mehr gedeckt. Sie ist deshalb das Feld, bei dem der geringste Nutzen für den Empfänger auf den größten Schaden im Missbrauchsfall trifft.

Die maschinenlesbare Zone auf der Rückseite, die drei Zeilen aus Großbuchstaben und spitzen Klammern, wiederholt die Kerndaten in einer Form, die Maschinen in Millisekunden einlesen. Sie enthält zusätzlich Prüfziffern, mit denen sich die Richtigkeit der Angaben rechnerisch bestätigen lässt. Für einen Menschen, der Ihre Identität prüfen will, ist diese Zone überflüssig, er liest den Klartext darüber. Für automatisierte Weiterverarbeitung ist sie das Gegenteil von überflüssig.

Die Nebenangaben Größe, Augenfarbe und Staatsangehörigkeit sind für die allermeisten Vorgänge schlicht ohne Belang und liefern im Zweifel nur Material für Diskriminierung oder für das Ausfüllen weiterer Formulare in Ihrem Namen. Beim Lichtbild gilt dasselbe in verschärfter Form: Ein Passbild in guter Auflösung ist biometrisches Rohmaterial, und wer es besitzt, kann es in Verifizierungsprozesse einspeisen, die auf einen Gesichtsabgleich setzen.

Diese Matrix ist der Kern des Artikels, und sie lässt sich in einem Satz zusammenfassen: Alles, was eine Maschine lesen soll, und alles, was eine Nummer ist, hat auf einer Kopie nichts verloren. Der Rest richtet sich nach dem konkreten Vorgang.

Die Rechtslage: § 20 PAuswG und der Grundsatz der Datenminimierung

Zwei Regelwerke greifen hier ineinander. Das erste ist das Personalausweisgesetz, das für Ausweiskopien eigene, sehr klare Sätze bereithält. § 20 Abs. 2 Satz 1 lautet im Original: „Der Ausweis darf nur vom Ausweisinhaber oder von anderen Personen mit Zustimmung des Ausweisinhabers in der Weise abgelichtet werden, dass die Ablichtung eindeutig und dauerhaft als Kopie erkennbar ist."

Daraus folgt zweierlei. Erstens: Ohne Ihre Zustimmung darf niemand kopieren, und eine Zustimmung, die Sie nur teilweise erteilen, ist eine gültige Zustimmung. Zweitens, und das wird selten gelesen: Die Kopie muss als Kopie erkennbar sein. Diese Pflicht trifft denjenigen, der ablichtet, in der Praxis kümmert sich darum aber kaum jemand. Sie können die Sache selbst in die Hand nehmen, und weiter unten steht, wie.

Noch wichtiger ist Satz 2 derselben Vorschrift: „Andere Personen als der Ausweisinhaber dürfen die Kopie nicht an Dritte weitergeben." Das ist ein eigenständiges gesetzliches Weitergabeverbot, unabhängig von allem, was die DSGVO sonst noch verlangt. Wer Ihre Ausweiskopie erhalten hat, darf sie nicht an Partnerfirmen, Inkassodienstleister oder Konzerngesellschaften durchreichen, auch nicht mit Verweis auf irgendeine Klausel in den Geschäftsbedingungen.

Das zweite Regelwerk ist die DSGVO mit dem Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c: Erhoben werden darf nur, was für den jeweiligen Zweck erforderlich ist. Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen hat daraus eine ungewöhnlich konkrete Empfehlung abgeleitet: Zugangs- und Seriennummer, Staatsangehörigkeit, Größe, Augenfarbe, Lichtbild und maschinenlesbare Zone sollten geschwärzt werden, erforderlich seien typischerweise nur Vor- und Nachname, Anschrift und Gültigkeitsdauer. Dieselbe Behörde stellt ausdrücklich klar, dass niemand verpflichtet ist, überhaupt eine Kopie herauszugeben.

Praktisch heißt das: Wenn ein Unternehmen die ungeschwärzte Vollkopie zur Bedingung macht, liegt die Begründungslast nicht bei Ihnen. Fragen Sie schriftlich nach der Rechtsgrundlage und nach dem Zweck jedes einzelnen Feldes. In vielen Fällen kommt darauf keine Antwort, sondern schlicht die Freigabe des Vorgangs mit der geschwärzten Fassung. Dass Ihre Betroffenenrechte dabei mehr hergeben als nur Auskunft, haben wir in der Übersicht zu Art. 17 und Art. 21 DSGVO ausführlich aufgeschlüsselt.

Wann Schwärzen nicht vorgesehen ist: das Geldwäschegesetz

Es gibt eine Gruppe von Empfängern, bei denen die Schwärzung ins Leere läuft, und zwar aus einem nachvollziehbaren Grund. Geldwäscherechtlich Verpflichtete dürfen nach § 8 Abs. 2 GwG vollständige Kopien der zur Identitätsprüfung vorgelegten Dokumente anfertigen oder diese vollständig optisch digitalisieren. Vollständig bedeutet hier: alle Seiten mit identitätsrelevanten Angaben, beim Personalausweis also Vorder- und Rückseite einschließlich der Maschinenzeile. Nach § 8 Abs. 4 GwG sind diese Unterlagen fünf Jahre aufzubewahren und anschließend unverzüglich zu vernichten. Das heißt allerdings auch: Bei jeder Bank, bei der Sie je ein Konto eröffnet haben, liegt eine ungeschwärzte Vollkopie, und wie schnell ein solcher Bestand das Haus verlässt, zeigt der Fall um die bei Revolut herausgegebenen Ausweiskopien und Kontodaten.

Zu diesem Kreis gehören nicht nur Banken. Ebenfalls erfasst sind unter anderem Versicherungsunternehmen, Immobilienmakler, Notare, Steuerberater, Spielbanken und Handelsplattformen für Kryptowerte. Wer dort ein Konto oder ein Depot eröffnet, eine Immobilie kauft oder eine Beurkundung braucht, wird um die Vollkopie nicht herumkommen und sollte es auch nicht versuchen.

Diese Ausnahme ist allerdings scharf begrenzt und wird in der Praxis regelmäßig überdehnt. Ein Online-Händler, ein Fitnessstudio, ein Gewinnspielveranstalter, eine Tauschplattform oder ein Vermieter sind keine Verpflichteten nach dem Geldwäschegesetz. Wenn von dort die Forderung nach einer ungeschwärzten Vollkopie kommt, ist der Verweis auf „gesetzliche Vorgaben" in aller Regel eine Behauptung ohne Grundlage. Zwei Fragen genügen, um das zu prüfen: Nach welcher Vorschrift genau, und für welchen der Felder auf dem Ausweis.

Sieben Alltagsfälle, einzeln eingeordnet

Die abstrakte Regel hilft wenig, wenn jemand im Maklerbüro die Hand aufhält. Deshalb die sieben Situationen, in denen die Frage tatsächlich aufkommt.

• Wohnungsbesichtigung und Mietvertrag: Beim Besichtigungstermin ist die Vorlage zur Sichtprüfung zulässig, eine Ablichtung nicht. Zulässig bleibt ein abstrakter Vermerk in der Art „Identität geprüft". Erst beim Vertragsschluss kommt eine Kopie überhaupt in Betracht, und auch dann nur im erforderlichen Umfang. Welche Fragen im Bewerbungsbogen zulässig sind und welche Sie unbeantwortet lassen dürfen, steht im Beitrag zur Mieterselbstauskunft und dem Machtwort der Datenschützer.
• Hotel-Check-in: Für Gäste mit deutscher Staatsangehörigkeit ist die besondere Meldescheinpflicht seit dem 1. Januar 2025 entfallen. Bei ausländischen Gästen bleibt der Meldeschein, dokumentiert werden dürfen dabei aber nur die dafür vorgesehenen Angaben. Eine Ausweiskopie ist in beiden Fällen nicht vorgesehen. Wenn an der Rezeption der Scanner gezückt wird, dürfen Sie widersprechen.
• Bank, Depot, Kryptobörse, Notar: Vollkopie nach dem Geldwäschegesetz, fünf Jahre Aufbewahrung. Hier ist Schwärzen der falsche Weg. Sinnvoll ist stattdessen die Frage, ob nach Ablauf der Frist tatsächlich vernichtet wird, und ein Löschantrag nach Fristende.
• Mobilfunkvertrag und Prepaid-Karte: Telekommunikationsanbieter müssen Ihre Identität vor der Freischaltung prüfen. Angefertigte Kopien sind nach der Identifizierung allerdings unverzüglich zu vernichten, sie dürfen also gerade nicht dauerhaft im Kundenkonto liegen bleiben. Warum eine kompromittierte Rufnummer so gefährlich ist, zeigt unsere Anleitung gegen SIM-Swapping.
• Arbeitgeber und Personalakte: Für die Abrechnung braucht der Betrieb Steuer-Identifikationsnummer und Sozialversicherungsnummer, nicht den Ausweis. In den Branchen des § 2a SchwarzArbG, etwa Bau, Gastgewerbe, Speditions- und Transportgewerbe oder Fleischwirtschaft, müssen Beschäftigte ihren Ausweis bei der Arbeit mitführen. Aufzubewahren ist dort aber die schriftliche Belehrung über diese Pflicht, nicht eine Ablichtung Ihres Ausweises. Der verbreitete Reflex, für die Personalakte gleich die Vollkopie zu ziehen, ist damit nicht durch diese Vorschrift gedeckt.
• Paketshop und Zustellung: Bei altersgeprüften Sendungen oder Einschreiben wird der Ausweis vorgelegt und angesehen. Eine Kopie oder ein Foto davon ist für die Zustellung nicht erforderlich. Vereinzelt fotografieren Zustellkräfte den Ausweis mit dem Dienstgerät ab; das sollten Sie nicht kommentarlos hinnehmen.
• Kleinanzeigen, Gewinnspiele, Online-Plattformen: Hier ist die Ausweisanfrage am häufigsten schlicht eine Masche. Die angebliche Verifizierung vor dem Kauf, die „Sicherheitsprüfung" nach einem Gewinn oder die Kontoentsperrung gegen Ausweisfoto sind bewährte Vorwände. Eine seriöse Plattform fordert keine Ausweisbilder per Messenger an. Im Zweifel: nicht senden, sondern den Vorgang über die offizielle Seite des Anbieters prüfen.

Die Muster in Fall sieben funktionieren nur deshalb so zuverlässig, weil die Täter vorher schon etwas über Sie wissen: die aktuelle Anschrift, das Alter, die Kaufgewohnheiten, manchmal den Arbeitgeber. Dieses Umfeldmaterial stammt selten aus einem Hack, sondern meist aus dem ganz legalen Adress- und Werbedatenhandel. Wer diesen Bestand abräumen lässt, nimmt der Ansprache ihre Glaubwürdigkeit. Löschschutz für Ihre Adressdaten einrichten und die Anfragen kommen ohne die Details, die sie echt wirken lassen.

So schwärzen Sie technisch richtig

An dieser Stelle scheitern die meisten, und zwar nicht aus Nachlässigkeit, sondern weil die naheliegende Methode falsch aussieht: Sie sieht nämlich völlig richtig aus.

Sicher wird die Sache erst, wenn die Bildpunkte selbst überschrieben werden. Dafür gibt es drei Wege, und alle drei sind in wenigen Minuten erledigt.

• Der Papierweg (am sichersten): Kopie ausdrucken, die Felder mit einem deckenden schwarzen Stift übermalen, dann das Blatt gegen eine Lampe oder die Handy-Taschenlampe halten. Wenn der Text durchscheint, sieht ihn auch ein Scanner mit erhöhtem Kontrast. Ein zweiter Strich behebt das. Erst danach einscannen und versenden.
• Der Bildweg: Den Scan als JPG oder PNG öffnen, die Felder mit dem Pinsel- oder Füllwerkzeug übermalen und unter neuem Namen speichern. Diese Formate kennen keine Ebenen, die Übermalung ist damit endgültig. Wichtig: das unbearbeitete Original anschließend löschen, sonst hängt es beim nächsten Vorgang versehentlich mit an der Mail.
• Der Screenshot-Weg (am schnellsten): Das geschwärzte Dokument auf dem Bildschirm anzeigen und davon einen Screenshot aufnehmen. Versendet wird nur der Screenshot. Das entfernt in einem Schritt sämtliche Ebenen, den Bearbeitungsverlauf und zugleich die Metadaten der Ursprungsdatei.

Drei Details, die unabhängig vom gewählten Weg über das Ergebnis mitentscheiden. Erstens die Metadaten: Handy-Scan-Apps schreiben Aufnahmezeit, Gerätemodell und je nach Einstellung den Aufnahmeort in die Datei. Zweitens der Dateiname, denn „Perso_Vorderseite.jpg" in einem gehackten Postfach ist eine Einladung an jeden Angreifer, der die Mailbox nach Anhängen durchsucht. Nennen Sie die Datei nach dem Vorgang, nicht nach dem Dokument. Drittens die Auflösung: Sie sollte gerade so hoch sein, dass ein Mensch die freigelassenen Felder lesen kann, und keinen Deut höher.

Der Drei-Zeilen-Vermerk auf der Kopie

Diesen Teil sparen selbst sorgfältige Leute aus, dabei kostet er dreißig Sekunden und verändert die Beweislage spürbar. Schreiben Sie vor dem Versand drei kurze Zeilen quer über die Kopie, nicht an den Rand. Alles, was am Rand steht, lässt sich in zwei Sekunden abschneiden; was quer über dem Bild liegt, nicht.

• Zeile 1, der Kopievermerk: Das Wort „KOPIE" gut sichtbar über die Fläche. § 20 Abs. 2 Satz 1 PAuswG verlangt ohnehin, dass die Ablichtung eindeutig und dauerhaft als Kopie erkennbar ist. Sie erfüllen damit eine gesetzliche Anforderung, die der Empfänger häufig ignoriert, und entwerten das Blatt für jede Verwendung als vermeintliches Original.
• Zeile 2, die Zweckbindung: „Nur zur Identitätsprüfung für [Firma], Vorgang [Nummer], [Datum]". Eine Kopie, die einen konkreten Empfänger und einen konkreten Zweck im Bild trägt, ist für jeden anderen Vorgang praktisch unbrauchbar. Sie dokumentiert außerdem, wem Sie sie gegeben haben, was im Streitfall die entscheidende Frage ist.
• Zeile 3, das Weitergabeverbot: „Weitergabe an Dritte nicht gestattet, § 20 Abs. 2 S. 2 PAuswG". Das Verbot gilt auch ohne Ihren Hinweis. Mit dem Hinweis kann sich allerdings niemand mehr darauf berufen, er habe die Rechtslage nicht gekannt.

Praktischer Hinweis zum Schreiben: Setzen Sie die Zeilen so, dass sie über den geschwärzten Bereichen und über dem Lichtbild liegen, nicht über den Feldern, die lesbar bleiben sollen. Sonst kommt die Kopie mit der Bitte um eine saubere Fassung zurück, und Sie schicken am Ende doch das Original.

Wenn die Kopie längst unterwegs ist

Bleibt der Fall, der die meisten Leser hierher gebracht haben dürfte: Die Kopie ist raus, ungeschwärzt, und im Nachhinein fühlt sich das falsch an. Eine Kopie zurückzuholen, ist nicht möglich, weder technisch noch rechtlich. Was möglich ist, ist die Begrenzung dessen, was sich damit anfangen lässt. Arbeiten Sie die folgenden Punkte in dieser Reihenfolge ab.

• Online-Ausweisfunktion sperren: Über den Sperr-Notruf 116 116 des Bundesverwaltungsamts. Dafür brauchen Sie das Sperrkennwort aus dem PIN-Brief, bei neueren Ausweisen steht es auf der Abholbestätigung. Haben Sie es nicht mehr, sperrt die Ausweisbehörde. Wichtig zur Einordnung: Die Sperrung betrifft die elektronische Identität, nicht das Dokument selbst. Der Ausweis bleibt als Sichtdokument gültig.
• Anzeige erstatten und Aktenzeichen sichern: Nicht, weil die Täter gefasst würden, sondern weil Sie das Aktenzeichen brauchen, sobald eine Forderung aus einem Vertrag auftaucht, den Sie nie geschlossen haben. Ohne Anzeige beginnt jede Klärung bei null.
• Selbstauskunft bei den Auskunfteien anfordern: Nach Art. 15 DSGVO kostenlos. Sie sehen dort, ob in Ihrem Namen Verträge angebahnt oder Bonitätsanfragen gestellt wurden. Neue Anfragen von Anbietern, mit denen Sie nichts zu tun haben, sind das früheste sichtbare Warnzeichen. Wie Auskunfteien ihre Daten zusammentragen, erläutert der Beitrag zur Schattendatenbank hinter der Bonitätsauskunft.
• Fristen im Blick behalten: Gegen einen unberechtigten Mahnbescheid müssen Sie innerhalb von zwei Wochen ab Zustellung Widerspruch einlegen. Wer diese Frist verstreichen lässt, kassiert einen Vollstreckungsbescheid für eine Schuld, die es nie gab. Den Widerspruch können Sie mit dem beiliegenden Formular einlegen, eine Begründung ist dafür nicht nötig.
• Auf Weiterverbreitung achten: Ausweisdaten tauchen selten sofort auf, sondern Monate später in Sammlungen, die in einschlägigen Foren gehandelt werden. Ein Dauerblick darauf ist manuell nicht zu leisten, deshalb übernimmt das unser Darknet-Radar und meldet sich, sobald Ihre E-Mail-Adresse in einem neuen Bestand auftaucht. Benachrichtigt werden, wenn Ihre Daten in kriminellen Foren auftauchen.

Warum der Datenhandel die eigentliche Vorstufe ist

Eine Ausweiskopie allein trägt einen Identitätsmissbrauch selten. Sie wird erst dann gefährlich, wenn sie mit einem stimmigen Umfeld zusammenkommt: aktuelle Anschrift, Telefonnummer, E-Mail-Adresse, Haushaltsgröße, ungefähre Kaufkraft. Genau dieses Umfeld wird in Deutschland ganz offen gehandelt, von Adress- und Werbedatenbanken wie Acxiom, AZ Direct, Deutsche Post Direkt oder Schober, und es ist für wenig Geld in großen Mengen zu bekommen.

Hier setzen wir an, und zwar an der Stelle, an der ein rechtlicher Hebel tatsächlich greift. Für reines Werbeprofiling fehlt diesen Unternehmen häufig eine fortbestehende Rechtsgrundlage, und dann trägt ein Löschantrag nach Art. 17 DSGVO. Wir stellen diese Anträge gebündelt bei über 100 Brokern, dokumentieren die Antworten und hängen bei ausbleibenden Reaktionen nach. Eine Abgrenzung, die uns wichtig ist: Bonitätseinträge bei Auskunfteien sind davon nicht erfasst, die stehen auf eigener gesetzlicher Grundlage und lassen sich nicht per Löschantrag entfernen. Es geht um den Werbe- und Adressdatenbestand, und der ist es, der Betrugsansprachen ihre Details liefert. Schutz vor neuen Datenspuren einrichten ist der Schritt, der nach dem Aufräumen der Ausweiskopien ansteht.

Häufige Fragen zur Ausweiskopie