Krypto-Sicherheit reicht heute über die Wallet hinaus bis zur Kundenadresse

Eine französische Familie wurde von Angreifern stundenlang gefesselt, nachdem diese es auf ihre Kryptowährungen abgesehen hatten. Die Polizei hat nicht mitgeteilt, wie die Angreifer das Haus ausgewählt haben – genau in dieser Lücke zeigt sich das Datenproblem der Branche.

Am 20. September gegen 4 Uhr morgens drangen vier Männer mit Kapuzen gewaltsam in das Haus einer Familie in Nordfrankreich ein. Sie fesselten die Eltern und ihre beiden Kinder mit schwarzem Klebeband und zwangen den Vater, seine Zugangscodes herauszugeben und 40.000 Euro zu überweisen.

Der Vater ist als IT-Fachkraft in der Kryptobranche angestellt. Die Staatsanwaltschaft hat noch nicht mitgeteilt, wie die Angreifer ihn identifiziert haben.

Ein separater Vorfall im selben Monat zeigte, wie leicht solche Informationen nach außen dringen. Am 13. August teilte der Hardware-Wallet-Hersteller Trezor 13.689 Kunden mit, dass bei einem seiner Versanddienstleister sensible Bestelldaten offengelegt worden waren. Die Zahl stieg auf über 80.000.

Nichts verbindet die beiden Fälle, und das muss es auch nicht. Zusammengenommen zeigen sie dieselbe Gefahr von beiden Seiten: eine Datenbank, die eine Wohnadresse mit einem Nachweis über den Besitz von Kryptowährungen verknüpft – und was passiert, wenn jemand diese Verbindung ausnutzt.

BeInCrypto sprach mit Experten von Hacken und Zama, um herauszufinden, was ein Anbieter seinen Kunden schuldet, wenn ein Zulieferer ihre Identität preisgibt, welche Daten die Branche nicht mehr speichern sollte und woran ein Kunde erkennen könnte, dass ein Verwahrer ihn unter Zwang im Stich lässt.

Was „Keine kompromittierten Schlüssel“ auslässt

Als Trezor im August den Datenvorfall bekannt gab, betonte das Unternehmen, was nicht passiert war. Die eigenen Systeme seien nicht kompromittiert worden, hieß es, und die Geräte seien sicher.

Diese Zusicherungen gingen auf genau das Risiko ein, vor dem Hardware-Wallets schützen sollen: den Diebstahl von Geldern.

Dmytro Yasmanovych, Head of GRC and Security Operations bei Hacken, erklärte jedoch, dass das Fehlen eines gestohlenen privaten Schlüssels nicht bedeutet, dass Kunden außer Gefahr sind. 

„Jemand, der Ihren Namen, Ihre Privatadresse und die Tatsache kennt, dass Sie ein Hardware-Wallet besitzen, hat Informationen, mit denen er Sie ins Visier nehmen kann. Einen kompromittierten Schlüssel können Sie innerhalb von Minuten ersetzen. Bei Ihrer Privatadresse geht das nicht.“

Er argumentiert, dass deshalb die Informationen, über die Lieferunternehmen und andere Dienstleister verfügen, ebenso viel Aufmerksamkeit verdienen wie das Wallet selbst. Wenn eine Datenbank einen Krypto-Besitzer mit seiner Wohnadresse verknüpft, können die Folgen auch dessen Familie treffen, fügte Yasmanovych hinzu.

„Ein Anbieter kann also verhindern, dass jemand auf Ihre Gelder zugreift, und Sie dennoch auf eine viel persönlichere Weise gefährden. Entscheidend ist, ob seine Sicherheitsmaßnahmen den Kunden schützen – und nicht nur das Wallet.“

Die Zahlen aus Frankreich, die hinter der Warnung stehen

Frankreich zeigt, wie das aussieht. Innenminister Laurent Nuñez erklärte Ende Juni, die Behörden hätten seit Januar mehr als 70 gewaltsame Vorfälle im Zusammenhang mit Kryptowährungen registriert.

Chainalysis, das öffentlich gemeldete Fälle erfasste, verzeichnete in Frankreich bis Mitte 2026 insgesamt 30 Fälle, gegenüber 19 im gesamten Jahr 2025.

Das Unternehmen hält eine Datenschutzverletzung für die wahrscheinlichste Ursache. Es verweist auf einen Fall aus dem Jahr 2024, in dem ein französischer Finanzbeamter Berichten zufolge Dossiers über vermögende Krypto-Anleger gestohlen haben soll, darunter Adressen und Telefonnummern, und sie an kriminelle Vermittler verkauft haben soll.

Die familiäre Betroffenheit, die Yasmanovych beschreibt, ist in denselben Daten erkennbar. In Frankreich richteten sich mehr als 40 % der Vorfälle gegen einen Angehörigen und nicht gegen den Anleger selbst. Insgesamt machten Überfälle auf Wohnungen bis Mitte 2026 37 % der dokumentierten Angriffe aus, gegenüber 26 % im Jahr 2023.

Chainalysis schätzte, dass gewaltsame Angriffe auf Anleger weltweit im ersten Halbjahr des Jahres Schäden von mehr als 30 Millionen US-Dollar verursachten. Dabei werden nur Angriffe gezählt, bei denen die Anleger Geld herausgaben.

Dem Bericht zufolge beläuft sich das Gesamtrisiko auf 107 Millionen US-Dollar. Darin enthalten sind Lösegeldforderungen, blockierte Überweisungen und wiedererlangte Gelder. Zugleich wird darauf hingewiesen, dass selbst diese Zahl nur gemeldete Fälle umfasst.

Die Daten hinter dem Ziel

Für solche Angriffe braucht es ein Ziel, und dieses Ziel könnte sich aus einem Datensatz ergeben, den jemand gespeichert hat. Damit wird die Datenspeicherung zu einem weiteren Sicherheitsproblem für die Krypto-Branche.

Unternehmen benötigen möglicherweise Kundeninformationen für eine bestimmte Transaktion oder Dienstleistung. Werden diese Informationen jedoch unbegrenzt aufbewahrt, kann ein zusätzliches Risiko entstehen, falls sie später offengelegt werden. Welche Kundeninformationen sollte die Branche also gar nicht erst erheben oder früher löschen als bisher?

Yasmanovych nennt die Telefonnummer. Er erklärte, dass ein Unternehmen sie vielleicht braucht, um eine Lieferung zu organisieren. Das erkläre jedoch nicht, warum sie jahrelang in einer Kundendatenbank gespeichert bleiben sollte.

Wenn also die Datenbank gehackt wird, kann die Nummer für Phishing, Telefonbetrug oder SIM-Swapping missbraucht werden.

„Ich würde die Verknüpfung zwischen einer Bestellung und einer physischen Lieferadresse aufheben, sobald die Lieferung abgeschlossen ist und kein geschäftlicher Grund mehr besteht, sie zu speichern. Das Unternehmen kann die Daten aufbewahren, die es für Steuer- und Garantiezwecke benötigt, ohne eine vollständige Aufzeichnung darüber zu behalten, wohin jede einzelne Bestellung geliefert wurde.“

Er skizzierte ein weiteres Problem: Beim Löschen von Daten verlässt man sich oft darauf, dass jemand sagt, es sei erledigt.

„In einem Fall hatte ein Unternehmen eine Aufbewahrungsfrist von neunzig Tagen festgelegt und eine schriftliche Bestätigung von seinem Fulfillment-Partner erhalten, dass ältere Datensätze gelöscht worden seien. Dennoch lagen noch jahrelange Daten in den Systemen. Deshalb würde ich einen Nachweis der Löschung verlangen und mich nicht mit einer Aufbewahrungsrichtlinie zufriedengeben. Wenn niemand überprüft, ob die Regel eingehalten wurde, bietet sie kaum Schutz.“

Dieselbe Verantwortung erstreckt sich darauf, was geschieht, nachdem Kundeninformationen offengelegt wurden. Laut Yasmanovych muss der Anbieter zusätzlich zu einer Warn-E-Mail genau erklären, welche Informationen offengelegt wurden.

„Eine geleakte Stadt ist das eine. Ein Name, eine Privatadresse und ein Nachweis über den Besitz von Kryptowährungen schaffen eine ganz andere Risikostufe … Jemand, dessen Adresse geleakt wurde, braucht möglicherweise Unterstützung dabei, künftige Lieferungen zu organisieren, ohne die Adresse erneut preiszugeben … Es sollte eine konkrete Ansprechperson oder ein Team geben, an das man sich wenden kann, wenn die Situation mehr erfordert als einen standardmäßigen FAQ-Text.“

Er erwähnte, dass der Anbieter auch klären muss, wie es zu dem Datenleck kommen konnte. Wenn der Dienstleister Daten länger als die vereinbarte Aufbewahrungsfrist speichert, sollte den Kunden mitgeteilt werden, wie dies künftig verhindert und die Löschung überprüft wird.

„Eine Warn-E-Mail ist der erste Schritt. Die Menschen müssen wissen, was passiert ist, was sie jetzt tun können und ob das Unternehmen den Prozess, bei dem es zu einem Fehler kam, tatsächlich korrigiert hat.“

Trezors Umgang mit dem eigenen Datenleck lässt sich an diesen Kriterien messen. Das Unternehmen informierte betroffene Kunden einzeln per E-Mail darüber, ob ihre Daten vollständig oder teilweise offengelegt wurden, und warnte vor Phishing sowie im September vor Risiken für die physische Sicherheit.

Außerdem sagte das Unternehmen eine Option für anonyme Lieferungen zu, mit Abholung an Schließfächern, neutraler Verpackung und automatischer Löschung der Versandkennungen.

Kann Datenschutztechnologie die Lücke schließen?

Das Problem beschränkt sich nicht auf die Daten, die Unternehmen außerhalb der Blockchain speichern. Je mehr Finanzaktivitäten auf öffentliche Blockchains verlagert werden, desto mehr können auch die Transaktionen selbst eine zusätzliche Ebene der Offenlegung schaffen.

Dr. Rand Hindi, CEO und Mitgründer von Zama, sagte, der Vorfall bei Trezor verdeutliche ein Problem mit der Aufbewahrung von Daten außerhalb der Blockchain.

Er argumentierte, dass Vertraulichkeit auf der Blockchain keine Zusatzfunktion mehr ist, sondern zur Voraussetzung für die Teilnahme wird, wenn institutionelles Kapital in großem Umfang auf die Blockchain verlagert wird. Hindi verwies auf eine Schätzung der BCG, wonach digitale reale Vermögenswerte bis 2035 rund 16 % des weltweit investierbaren Vermögens ausmachen könnten.

Er sagte, regulierte Institute könnten nicht auf einem öffentlichen Ledger arbeiten, auf dem jede Position und jede Gegenparteibeziehung sichtbar ist. Die Führungskraft verwies auf vollständig homomorphe Verschlüsselung (FHE) als eine Möglichkeit, dieses Problem zu lösen, ohne die Compliance zu beeinträchtigen.

„FHE ermöglicht Berechnungen direkt auf verschlüsselten Daten – eine Überweisung wird ausgeführt, ein AML-Schwellenwert wird geprüft, die Berechtigung wird verifiziert, und all das geschieht auf Chiffretexten – ohne dass jemals ein Validator oder ein Block-Explorer einen Kontostand oder andere sensible Daten zu sehen bekommt. Wenn eine Aufsichtsbehörde Zugriff verlangt, genehmigt eine zugelassene Schwellenwertgruppe von Schlüsselinhabern (das Compliance-Team) die Entschlüsselung, die auf Protokollebene durchgesetzt wird und nicht über eine Richtlinie.“

Datenschutztechnologien können auch begrenzen, wie viele Informationen Unternehmen offenlegen müssen, ohne eine Überprüfung unmöglich zu machen.

Yasmanovych sagte, Zero-Knowledge-Beweise könnten es einer Börse ermöglichen nachzuweisen, dass sie über genügend Vermögenswerte verfügt, um die Kundenguthaben abzudecken, ohne das Guthaben jedes einzelnen Kunden offenzulegen.

Die Börse kann somit Belege für ihre Gesamtposition teilen, ohne Informationen zu einzelnen Konten offenzulegen. Der Experte fügte hinzu, dass dies nicht bedeute, dass die Informationen unzugänglich würden.

Je nach Gestaltung des Systems kann ein autorisierter Ermittler die Belege und zugrunde liegenden Aufzeichnungen weiterhin im Rahmen einer geeigneten Prüfung oder eines Rechtsverfahrens einsehen.

Er fügte hinzu, dass die selektive Offenlegung bei der Weitergabe von Identitätsdaten nach einem ähnlichen Prinzip funktioniert. Ein Dienst muss möglicherweise bestätigen, dass jemand eine bestimmte Voraussetzung erfüllt, ohne dafür das gesamte Ausweisdokument oder Kundenprofil zu erhalten.

„Keine der beiden Ansätze löst das Problem personenbezogener Daten, die außerhalb der Blockchain gespeichert sind. Transaktionsbeträge, Zeitpunkte und Verbindungen zwischen Wallets können weiterhin sichtbar bleiben, während Ausweisdokumente und Privatadressen nach wie vor in Datenbanken von Börsen, Lieferdiensten und Zahlungsanbietern liegen.“

Yasmanovych merkte an, dass die Lücke ziemlich offensichtlich ist. Ein Unternehmen kann den Datenschutz rund um die Transaktion selbst verbessern und gleichzeitig die Informationen, die für die Abwicklung und Unterstützung dieser Transaktion erforderlich sind, andernorts ungeschützt lassen.

Wenn die Nachweise echt sind, der Kunde aber nicht frei entscheiden kann

Der Unterschied zwischen der Privatsphäre von Transaktionen und der persönlichen Sicherheit wird noch wichtiger, wenn ein Kunde gezwungen wird, eine Überweisung zu autorisieren. Ein Verwahranbieter kann über eine sichere Infrastruktur und strenge Zugangskontrollen verfügen. 

Doch diese Schutzmaßnahmen werden auf eine andere Probe gestellt, wenn ein Kunde dazu gezwungen wird, sein Vermögen herauszugeben. 

Yasmanovych sagte, ein technisches Audit könne zeigen, dass das System wie vorgesehen funktioniert. Es sei jedoch weniger hilfreich, um zu verstehen, was geschieht, wenn jemand gezwungen wird, sein Vermögen herauszugeben.

„Ich würde den Auszahlungsprozess unter solchen Druckbedingungen testen. Zum Beispiel fordert ein Kunde mit gültigen Zugangsdaten eine hohe Überweisung an, während ihn jemand dazu zwingt. Kann der Anbieter die Situation erkennen, die Auszahlung pausieren oder eine weitere Person hinzuziehen, bevor das Geld abgeht?“

Zu den erforderlichen Kontrollen gehören für ihn eine zweite autorisierte Person und eine verpflichtende Verzögerung bei hohen Überweisungen. Beides darf der Kunde nicht während derselben Sitzung aufheben können. Yasmanovych betonte, dass der Anbieter so die Möglichkeit erhält, einzugreifen, wenn eine gültige Anmeldung nicht unbedingt bedeutet, dass der Kunde aus freien Stücken handelt.

„Ich würde mir auch gern ansehen, wie der Prozess in der Praxis abläuft. Eine Richtlinie kann eine zweite Genehmigung vorschreiben, sagt aber nicht aus, ob diese wirklich unabhängig ist oder ob Mitarbeitende sie umgehen können. Ein Live-Test würde solche Schwachstellen viel schneller aufdecken als noch ein einwandfreies technisches Audit.“

Ein Verwahrungssystem kann genau wie vorgesehen funktionieren und der Person, die es nutzt, trotzdem nicht helfen. Der letzte Schritt liegt immer in den Händen eines Menschen – und dieser Mensch kann bedroht werden.

Quelle: BeInCrypto