Der Hardware-Wallet-Hersteller Keystone hat am 24. Oktober 2026 einen Datenabfluss in seinem Online-Shop eingeräumt. Betroffen sind Namen, Kontaktdaten, Lieferadressen und Bestelldetails – Seeds und private Schlüssel laut Unternehmen nicht. Offen ist die entscheidende Frage: Wie alt sind die abgeflossenen Daten?
Das Wichtigste in Kürze
- Keystone meldet den Zugriff am 20. Oktober, bestätigt den Datenabfluss am 23. und informiert am 24. Oktober.
- Betroffen sind Name, Kontaktdaten, Lieferadresse und Bestelldetails – nicht Seeds, Keys oder Zahlungsdaten.
- Größtes Risiko: Betrüger verknüpfen Name und Adresse mit einem Wallet-Kauf und wirken dadurch glaubwürdig.
Vier Tage zwischen Entdeckung und öffentlicher Mitteilung
Keystone eröffnete seine Mitteilung auf X am 24. Oktober um 19:59 Uhr deutscher Zeit mit dem Satz „We owe you an apology.“ Demnach fiel der unbefugte Zugriff auf die offizielle Website am 20. Oktober auf. Nach Prüfung der Zugriffe mit Shopify, der Plattform hinter dem Shop, stand am 23. Oktober fest, dass ein Dritter Lieferdaten von Kunden erhalten hat.
Abgeflossen sind laut Keystone Namen, Kontaktdaten, Lieferadressen und Bestelldetails mit Artikeln und Preisen. Karten- und Bankdaten, Recovery-Phrasen, private Schlüssel und Wallet-Passwörter seien nicht betroffen. Das Unternehmen will den Zugriff gesperrt, die Schwachstelle behoben und eine Untersuchung gestartet haben. Betroffene Kunden sollen per E-Mail informiert werden, ein ausführlicher Bericht sei „coming soon“.
Vieles bleibt offen. Keystone nennt weder die Zahl der Betroffenen noch den Zeitraum, aus dem die Daten stammen, noch die ausgenutzte Schwachstelle. Unklar ist auch, ob „Kontaktdaten“ neben E-Mail-Adressen Telefonnummern einschließt. Auch die Berichte bei Crypto Briefing und beim Sicherheitsportal 0xCERT enthalten keine Zahl der Betroffenen.
Ein Betrugsanruf kam einen Tag vor der Bestätigung
Der X-Nutzer @PEPE_Whale69 schrieb am 23. Oktober, er habe einen Anruf von einer gefälschten Nummer der Polizei Montreal erhalten. Der Anrufer habe von festgenommenen Betrügern und gefundenen Daten gesprochen und dann nach Amazon, eBay und Keystone gefragt. Der Nutzer schrieb, die Angaben hätten exakt zu seiner Keystone-Bestellung aus 2024 gepasst.
Das ist die Schilderung eines einzelnen Kunden, der selbst kein bestätigtes Leck behauptet. Ein zweiter Nutzer antwortete, er habe einen ähnlichen Anruf bekommen. Unabhängig belegt ist keiner der beiden Fälle, und ob die Daten aus dem Keystone-Leck stammten, ist unbestätigt. Das Muster passt aber zu Keystones eigener Warnung: Betrüger könnten sich als Keystone ausgeben und Rückerstattungen, Ersatzgeräte oder „Korrekturen“ anbieten.
In einem Keystone-Subreddit-Thread diskutieren Nutzer vor allem über Wrench Attacks – also körperlichen oder telefonischen Druck, um an Wallet-Zugänge zu kommen. Empfohlen werden dort Abholstationen statt der eigenen Haustür. Das ist Community-Meinung, keine geprüfte Faktenlage.
Die 180-Tage-Zusage ist enger formuliert als die Werbung
Am 5. Januar 2026 warb Keystone auf X mit Datensparsamkeit: „180 days after your order, your shipping data is permanently deleted.“ Anlass war damals das Datenleck bei Ledger über den Dienstleister Global-e.
Die am 7. Juli 2026 aktualisierte Datenschutzerklärung formuliert anders. Dort ist von Kunden die Rede, die „within the last 180 days“ keine Bestellung gemacht haben. Gezählt wird also ab der letzten Bestellung: Wer innerhalb von 180 Tagen erneut ordert, dessen ältere Daten bleiben gespeichert. Zudem richtet sich die Aufbewahrung nach den Regeln von Shopify. Werbung und Datenschutzerklärung sagen damit nicht dasselbe.
Der Analyst @Darkfost_Coc fragte Keystone direkt, ob wirklich nur Kunden der letzten 180 Tage betroffen seien. Die Antwort war ausweichend: Man untersuche noch und wolle in den kommenden Tagen einen ausführlichen Bericht veröffentlichen. Stecken Bestellungen aus 2024 im abgeflossenen Datensatz, hätte Keystone sein eigenes Löschversprechen nicht gehalten. Belegt ist das bislang nicht.
Dass solche Löschzusagen in der Praxis scheitern, zeigte im September Trezor. Der Versanddienstleister ShipMonk hatte laut Trezor schriftlich bestätigt, alte Kundendaten gelöscht zu haben. Im Leck tauchten trotzdem Bestellungen von 2019 bis 2021 auf.
Hongkong statt EU: kein Vertreter nach Art. 27 DSGVO benannt
Laut Datenschutzerklärung betreibt die Yanssie HK Limited mit Sitz in Hongkong das Keystone-Angebot. Der Text verweist auf Rechte nach der DSGVO und nennt support@keyst.one als Kontakt. Einen Vertreter in der EU nach Art. 27 DSGVO nennt er nicht.
Wer Waren an Menschen in der EU verkauft, fällt nach Art. 3 Abs. 2 DSGVO grundsätzlich unter die Verordnung. Nach Art. 33 muss der Anbieter eine Datenpanne dann binnen 72 Stunden der Aufsichtsbehörde melden. Art. 34 verlangt zusätzlich, Betroffene zu informieren, wenn für sie ein hohes Risiko besteht – bei Name, Adresse und dem Kauf einer Krypto-Wallet liegt das nahe. Ob Keystone eine europäische Aufsichtsbehörde informiert hat, ist nicht bekannt.
Für dich heißt das: Du kannst bei Keystone Auskunft verlangen, welche Daten zu dir gespeichert waren und ob sie abgeflossen sind (Art. 15 DSGVO). Fühlst du dich nicht ausreichend informiert, kannst du dich bei der Datenschutzbehörde deines Bundeslandes beschweren.
Vier Herstellerlecks in einem Jahr – getroffen wird immer der Shop
Coin Bureau hat auf X die Datenlecks bei Hardware-Wallet-Herstellern 2026 aufgelistet. Der Abgleich mit den Originalmeldungen ergibt: Bei Ledger flossen im Januar über den Dienstleister Global-e Namen, Post- und E-Mail-Adressen, Telefonnummern und Bestelldetails ab, eine Zahl der Betroffenen nennt niemand. Bei Trezor waren im August über ShipMonk zunächst 13.689 Kunden betroffen, am 4. September meldete das Unternehmen weitere rund 67.000 US-Kunden mit Bestellungen von 2019 bis 2021. Bei SafePal traf es im August über ein Plug-in zur Sendungsverfolgung laut Unternehmen 39.798 Kunden. Und beim Newsletter-Dienst Brevo wurden laut Trezor im September 347.149 E-Mail-Adressen exportiert, Postadressen waren hier nicht betroffen.
Zum Vergleich: Beim großen Ledger-Leck 2020 gerieten nach Unternehmensangaben rund eine Million E-Mail-Adressen und 272.853 Datensätze mit Name, Postadresse und Telefonnummer in Umlauf. Wie damals berichtet, folgten Phishing-Angriffe auf Nutzer. Das Muster ist gleich geblieben: Angegriffen wird nicht das Gerät, sondern der Shop, der Versender oder der Newsletter-Dienst dahinter.
Wer diese Woche schon wegen der Electrum-Lücke seine Wallet-Software prüfen musste, sieht hier dasselbe Thema von der anderen Seite: Die Schlüssel bleiben sicher, attackiert wird das Umfeld. Einen Überblick über Geräte und ihre Schwachstellen gibt der Hardware-Wallet-Vergleich.
Was du jetzt konkret tun solltest
Prüfe dein Postfach, auch den Spam-Ordner – Keystone will Betroffene per E-Mail informieren. Klicke in keiner Mail auf Links, sondern tippe keyst.one selbst in den Browser. Gib deine Recovery-Phrase niemals heraus, weder am Telefon noch im Chat oder in einem Formular. Keystone schreibt selbst: „NEVER share your recovery phrase or private keys, and NEVER enter your recovery phrase into a device you didn’t order.“
Nutze kein Gerät, das du nicht selbst bestellt hast. Kommt ein „Ersatzgerät“ oder ein „Sicherheits-Update“ per Post, gib dort niemals deine Seed-Wörter ein. Leg bei Anrufen von angeblicher Polizei oder Support auf; die angezeigte Nummer lässt sich fälschen. Ruf im Zweifel selbst zurück, aber nur über eine Nummer von der offiziellen Website.
Rechne mit Briefen und Besuch an der Haustür. Deine Adresse ist jetzt mit dem Kauf einer Krypto-Wallet verknüpft. Sprich nicht öffentlich über deine Bestände, und geh bei Drohungen oder Erpressungsversuchen zur Polizei. Bestell künftig sparsam: Lass dir Wallets an eine Packstation oder Postfiliale liefern und kaufe nur beim Hersteller oder bei offiziell gelisteten Händlern, nie über Marktplätze. Frag per E-Mail an support@keyst.one, welche Daten zu dir gespeichert sind und ob sie abgeflossen sind, und verlange die Löschung, wenn keine Bestellung mehr offen ist.
Unsere Einschätzung
Was dafür spricht
- Keystone hat das Leck offen eingeräumt, sich entschuldigt und klar aufgelistet, welche Daten betroffen sind und welche nicht.
- Recovery-Phrasen, private Schlüssel und Zahlungsdaten sind laut Unternehmen nicht betroffen, die Geräte gelten nicht als kompromittiert.
- Die Warnung vor konkreten Betrugsmaschen kam zusammen mit der Mitteilung.
Was dagegen spricht
- Wie viele Kunden betroffen sind, welcher Zeitraum und was die Ursache war, ist auch Tage nach der Entdeckung nicht bekannt.
- Das 180-Tage-Versprechen vom Januar geht weiter als die Datenschutzerklärung, und ob es eingehalten wurde, beantwortet Keystone nicht.
- Zwischen Entdeckung am 20. und öffentlicher Mitteilung am 24. Oktober lagen vier Tage – erste Betrugsanruf-Berichte kamen schon vorher.
- Ein EU-Vertreter nach Art. 27 DSGVO ist nicht benannt, eine Meldung an europäische Aufsichtsbehörden ist nicht bekannt.
Worauf du achten solltest
- Der angekündigte Bericht sollte Zahl der Betroffenen, Zeitraum, Ursache und das Alter der ältesten betroffenen Bestellung nennen.
- Stecken Bestellungen im Datensatz, die älter als 180 Tage sind, wäre das Löschversprechen gebrochen.
- Behandle Mails, SMS, Anrufe und Pakete zu deiner Keystone-Bestellung als Betrugsversuch, bis du sie über offizielle Kanäle geprüft hast.
Fazit
Das Keystone-Leck bedroht keine Wallets direkt, wohl aber Menschen, deren Name und Adresse jetzt mit einem Krypto-Kauf verknüpft sind. Dass Keystone schnell und klar gesagt hat, was abgeflossen ist, ist anzuerkennen – die entscheidenden Fragen bleiben aber offen: Wie viele Kunden sind betroffen, und wie alt sind die Daten? Das 180-Tage-Löschversprechen muss Keystone im angekündigten Bericht belegen, sonst war es vor allem Marketing. Bis dahin gilt: Jeder Kontakt zu deiner Bestellung ist verdächtig, und deine Recovery-Phrase gehört in kein fremdes Gerät.
Hinterlasse jetzt einen Kommentar