Datenleck bei Coinbase-Dienstleister Amplitude: Kontaktdaten betroffen, Guthaben unberührt

Coinbase hat in der Nacht zum 28. Oktober 2026 einen Sicherheitsvorfall bei einem Zulieferer bestätigt. Offengelegt wurden Kontaktdaten eines Teils der Kundschaft, nach Darstellung der Börse E-Mail-Adressen und Telefonnummern. Passwörter, private Schlüssel, Transaktionshistorien und Guthaben sind nach derselben Darstellung unberührt, und in den eigenen Systemen der Börse wurde kein unbefugter Zugriff festgestellt. Das Risiko für dich liegt damit nicht im Konto, sondern im Postfach: Wer deine Adresse und deine Nummer kennt und zusätzlich weiß, dass du Kunde einer Krypto-Börse bist, kann dich sehr gezielt ansprechen.

Der Vorfall ist kein Angriff auf eine Blockchain und kein Diebstahl von Coins. Er gehört in eine Reihe von Fällen, die sich in diesem Jahr gehäuft haben und bei denen die Daten beim Zulieferer eines Anbieters abfließen und nicht beim Anbieter selbst. Für Betroffene ist der Unterschied praktisch bedeutungslos: Die Daten sind draußen, und sie bleiben draußen.

Der Vorfall bei Amplitude: ein Analyse-Dienstleister zwischen Börse und Kundendaten

Amplitude ist ein Anbieter von Produktanalyse. Ein Analyse-Dienstleister ist ein Unternehmen, das für seine Kunden auswertet, wie Menschen eine App oder eine Website benutzen, und dafür Nutzungsdaten einsammelt und speichert. Eingebaut wird so ein Dienst über ein SDK, also ein kleines Code-Paket des Dienstleisters, das im Produkt des Auftraggebers mitläuft und Ereignisse an dessen Server meldet.

Technisch heißt das: Damit die Auswertung einen Sinn ergibt, muss der Dienstleister Nutzer voneinander unterscheiden können. Dafür reicht in vielen Fällen eine anonyme Kennung. Sobald aber eine E-Mail-Adresse oder eine Telefonnummer mitgeschickt wird, damit sich Auswertungen mit dem eigenen Kundenbestand zusammenführen lassen, liegen diese Angaben beim Dienstleister. Genau dort setzt der gemeldete Vorfall an.

Coinbase datiert das Geschehen auf den 27. und 28. Oktober 2026 und verortet es bei Amplitude, nicht bei sich. Nach Angaben der Börse waren auch Daten anderer Amplitude-Kunden betroffen, der Fall ist also keiner, der allein Coinbase trifft. CoinDesk hat die Darstellung am 28. Oktober aus einem Beitrag des Coinbase-Supports auf X zusammengetragen.

Welche Daten offenliegen: E-Mail-Adresse und Telefonnummer, keine Passwörter

Coinbase spricht von einem kleinen Teil der Kontaktdaten. Die Börse nennt keine Zahl betroffener Konten. Ausdrücklich ausgenommen sind nach ihren Angaben Passwörter, private Schlüssel, Transaktionshistorien und die Guthaben selbst.

Diese Abgrenzung ist wichtiger, als sie klingt. Eine E-Mail-Adresse und eine Telefonnummer bewegen kein Guthaben. Ein Konto öffnen sie nicht, und eine Anmeldung umgehen sie auch nicht. Was sie liefern, ist etwas anderes: einen Treffer. Wer eine Liste mit Adressen hat, von denen bekannt ist, dass dahinter Konten bei einer großen Krypto-Börse stehen, muss nicht mehr streuen. Er kann anschreiben und anrufen, und er kann das mit einer Vorgeschichte tun, die stimmt.

Genau das unterscheidet ein Kontaktdatenleck von einem Passwortleck. Beim Passwortleck ist der Zugang das Problem, und das Gegenmittel heißt neues Passwort. Beim Kontaktdatenleck ist die Ansprechbarkeit das Problem, und dagegen hilft kein neues Passwort, weil die Adresse dieselbe bleibt.

Die Zahl 70.000 kommt von SlowMist, nicht von Coinbase

Für den Umfang gibt es zwei Angaben, und sie liegen weit auseinander. Coinbase bleibt bei einem kleinen Teil der Kundschaft ohne Zahl. Die Blockchain-Sicherheitsfirma SlowMist, deren Sicherheitschef unter dem Namen 23pds auftritt, bezeichnete den Datensatz als echt und sprach von Kontaktdaten von mehr als 70.000 Nutzern; ob Passwörter oder Guthaben betroffen seien, sei nicht geklärt.

Diese 70.000 sind eine Fremdangabe. Coinbase hat sie nicht bestätigt, und eine unabhängige Prüfung der Zahl liegt bisher nicht vor. Wer wissen will, wie groß der Vorfall ist, muss also mit einer Spanne leben: ein kleiner Teil nach Angabe der Börse, mehr als 70.000 Konten nach Angabe eines Sicherheitsdienstleisters. Eine der beiden Angaben wird sich in den kommenden Tagen präzisieren lassen, heute nicht.

Für die eigene Lage ändert die Spanne wenig. Ob 70.000 Konten betroffen sind oder deutlich weniger, entscheidet nicht darüber, ob du dazugehörst. Das entscheidet allein die Benachrichtigung, und die läuft über einen einzigen Kanal.

Coinbase benachrichtigt Betroffene per E-Mail und meldet den Vorfall den Aufsichtsbehörden

Coinbase hat angekündigt, betroffene Kunden per E-Mail zu informieren, und verweist dabei auf die gesetzliche Pflicht. Den Vorfall hat die Börse nach eigenen Angaben zudem den zuständigen Aufsichtsbehörden gemeldet. Das deckt sich mit der Berichterstattung von Crypto Briefing, das die Zurückweisung eines eigenen Hacks durch Coinbase ebenfalls dokumentiert.

Daraus folgt eine unangenehme Lage. Der einzige legitime Weg, auf dem dich die Nachricht erreicht, ist dieselbe E-Mail-Adresse, die möglicherweise offenliegt, und E-Mail ist zugleich der Kanal, über den die Nachahmer kommen. Eine Mail, die sich auf dieses Datenleck beruft, ist deshalb kein Beweis für ihre Echtheit, sondern erst einmal nur ein Hinweis darauf, dass das Thema bekannt ist.

Praktisch heißt das: Die Information aus so einer Mail kannst du mitnehmen, die Links darin nicht. Was in der Mail steht, lässt sich in der App oder über die selbst eingetippte Adresse der Börse nachsehen. Wer stattdessen dem Link folgt, überlässt die Entscheidung über das Ziel dem Absender.

Social Engineering nach einem Datenleck: wie der gefälschte Support-Anruf abläuft

Social Engineering bezeichnet den Angriff auf den Menschen statt auf die Technik: Der Angreifer bringt sein Ziel dazu, ihm freiwillig zu geben, was er sonst nicht bekäme. Ein Kontaktdatenleck ist für diese Masche das ideale Vorprodukt, weil es die beiden Dinge liefert, die sie braucht: einen Weg zum Opfer und einen Grund, warum der Anruf plausibel ist.

Der Ablauf ist seit Jahren derselbe und hat sich nach den großen Leaks der vergangenen Monate kaum verändert. Es meldet sich jemand, der den Namen der Börse nennt, die hinterlegte E-Mail-Adresse kennt und von einem verdächtigen Anmeldeversuch spricht. Dann kommt die Dringlichkeit, und am Ende steht eine Handlung, die unumkehrbar ist: eine Überweisung auf eine angeblich sichere Adresse, die Eingabe einer Wiederherstellungsphrase auf einer nachgebauten Seite oder die Weitergabe eines Einmalcodes.

Woran die Masche auffällt

Zwei Merkmale tragen am weitesten. Das erste ist die Richtung: Echter Support reagiert auf eine Anfrage, die du gestellt hast, er ruft nicht von sich aus an und drängt. Das zweite ist der Inhalt der Bitte. Eine Wiederherstellungsphrase, ein privater Schlüssel und ein Einmalcode haben genau einen Zweck, nämlich Zugriff zu gewähren. Jede Stelle, die danach fragt, will Zugriff, und das gilt unabhängig davon, wie überzeugend die Nummer im Display aussieht.

Dazu kommen die kleineren Signale, die in der Summe zählen: eine Absenderdomain, die nur fast stimmt, ein Link, dessen Ziel in der Statusleiste anders lautet als im Text, eine Anrede, die zu allgemein bleibt, ein Zeitdruck, der sachlich nicht begründet wird, und die Bitte, den Vorgang nicht mit Dritten zu besprechen. Wie sich eine gefälschte Börsenmail an diesen Merkmalen erkennen lässt, steht ausführlich in unserer Übersicht zu Phishing nach einem Datenleck; dass auch eine echt aussehende Absenderadresse kein Beweis ist, zeigt der Fall einer Phishing-Mail von einer echten Absenderdomain.

Was echter Support niemals verlangt

Keine Börse und kein Wallet-Hersteller braucht deine Wiederherstellungsphrase, um ein Konto zu entsperren, einen Auftrag zu stornieren oder eine Auszahlung freizugeben. Ebenso wenig braucht jemand deinen Einmalcode, um dir zu helfen; dieser Code existiert, um eine Anmeldung zu bestätigen, und wer ihn bekommt, bestätigt seine eigene. Und niemand bittet dich, Guthaben zur Sicherheit auf eine Adresse zu schicken, die er dir nennt.

Der letzte Punkt verdient eine Unterscheidung, weil die Masche sich hier an etwas Richtiges anlehnt. Eigenverwahrung ist eine sinnvolle Entscheidung, aber sie ist eine geplante, mit einem Wallet, das du selbst ausgewählt und selbst eingerichtet hast, und mit einer Adresse, die du selbst erzeugt hast. Wer sich vorab ansieht, welche Programme dafür in Frage kommen, findet im Vergleich der Software-Wallets die Unterschiede bei Sicherung, Wiederherstellung und unterstützten Blockchains. Eine Adresse, die im Gespräch von der Gegenseite kommt, ist das Gegenteil davon.

Die Statusseite von Amplitude führt den Vorfall nicht

Wer die Darstellung der Börse gegenprüfen will, stößt auf eine Lücke. Die öffentliche Statusseite von Amplitude listet für den 24. bis 27. Oktober 2026 Störungen und Wartungen auf, darunter eine verzögerte Ereignisauslieferung, eine Wartung im US-Rechenzentrum und Verzögerungen bei der Datenaufnahme. Ein Sicherheitsvorfall ist für den 27. und 28. Oktober dort nicht vermerkt.

Der einzige Sicherheitshinweis in diesem Zeitraum stammt vom 22. Oktober und betrifft Schwachstellen in PHP, einer verbreiteten Programmiersprache für Webanwendungen. Amplitude hält dort fest, von diesen Schwachstellen seien die eigenen Dienste nicht betroffen, und das Unternehmen arbeite mit einem betroffenen Drittanbieter an Sicherheitsaktualisierungen auf dessen Seite. Ob dieser Hinweis mit dem nun gemeldeten Vorfall zusammenhängt, ist offen; beides zu verknüpfen, gibt die Quellenlage nicht her.

Festhalten lässt sich damit nur das: Die Zuordnung des Vorfalls zu Amplitude stammt bisher allein von Coinbase. Eine eigene Darstellung des Dienstleisters zum Umfang und zur Zahl betroffener Auftraggeber liegt noch nicht vor. Für die Einordnung des Falls ist das eine echte Unsicherheit, und sie wird sich erst auflösen, wenn Amplitude selbst etwas sagt.

Coinbase in Deutschland: MiCA-Zulassung über Luxemburg, DSGVO für die Meldepflicht

Coinbase bedient den europäischen Markt auf Grundlage einer MiCA-Zulassung der luxemburgischen Aufsicht CSSF, angekündigt im Juni 2025 und ausgelegt auf alle 27 EU-Staaten. MiCA ist die EU-Verordnung über Märkte für Kryptowerte; sie regelt, wer Krypto-Dienstleistungen in der EU anbieten darf und welche Pflichten damit verbunden sind. Zuvor hielt Coinbase einzelne nationale Erlaubnisse, Deutschland eingeschlossen.

Für ein Datenleck ist allerdings die Datenschutz-Grundverordnung der maßgebliche Rechtsrahmen und nicht MiCA. Diese verpflichtet den Verantwortlichen, eine Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden der Aufsichtsbehörde zu melden, und verlangt eine Benachrichtigung der Betroffenen, wenn ein hohes Risiko für deren Rechte besteht. Dass Coinbase von einer Meldung an Aufsichtsbehörden und von E-Mails an Betroffene spricht, passt zu diesen beiden Pflichten.

Praktisch bedeutsam ist noch ein dritter Punkt: Ein Auftragsverarbeiter, also ein Dienstleister, der Daten im Auftrag verarbeitet, entlässt den Auftraggeber nicht aus der Verantwortung. Ansprechpartner für dich bleibt die Börse, auch wenn der Vorfall bei ihrem Zulieferer lag. Und wer mit der Reaktion nicht einverstanden ist, kann sich bei einer Datenschutzaufsicht im eigenen Wohnsitzstaat beschweren; dieses Recht hängt nicht daran, in welchem EU-Land das Unternehmen sitzt.

Zwei-Faktor-Authentifizierung und Passkey: der Unterschied bei einem Kontaktdatenleck

Zwei-Faktor-Authentifizierung verlangt neben dem Passwort einen zweiten Nachweis, meist einen Zahlencode. Welche Form dieser zweite Faktor hat, entscheidet nach einem Kontaktdatenleck ungewöhnlich viel, denn eine bekannte Telefonnummer verschiebt die Angriffsfläche.

Ein Code per SMS ist die schwächste der verbreiteten Varianten, sobald die Nummer bekannt ist. Zum einen lässt sich der Code abfragen, indem ein Anrufer zur Eingabe auf einer nachgebauten Seite drängt. Zum anderen existiert SIM-Swapping: Dabei lässt ein Angreifer die Rufnummer des Opfers auf eine eigene SIM-Karte übertragen und empfängt die Codes danach selbst. Beides setzt voraus, dass die Nummer dem Angreifer vorliegt.

Ein Code aus einer Authenticator-App ist deutlich robuster, weil er im Gerät entsteht und nicht über das Mobilfunknetz läuft. Gegen eine nachgebaute Anmeldeseite schützt er allerdings nicht: Wer den Code dort eintippt, gibt ihn weiter. Phishing-resistent ist erst ein Passkey oder ein Sicherheitsschlüssel. Ein Passkey ist ein kryptografischer Anmeldenachweis, der auf dem Gerät bleibt und fest an die Adresse der echten Website gebunden ist. Auf einer gefälschten Domain funktioniert er nicht, und das ist genau der Punkt: Der Schutz hängt nicht daran, dass du die Fälschung erkennst.

Eigenverwahrung und Hardware-Wallet: wo Kontaktdaten keine Rolle mehr spielen

Eigenverwahrung, im Englischen Self-Custody, heißt, dass die privaten Schlüssel zu deinen Kryptowerten bei dir liegen und nicht bei einem Anbieter. Ein Bestand in Eigenverwahrung ist über den Zulieferer einer Börse nicht erreichbar, weil dort weder Schlüssel noch Zugang liegen. Ein Hardware-Wallet ist dafür das übliche Gerät: Es hält den Schlüssel in einem eigenen Chip und gibt ihn auch bei der Unterschrift einer Transaktion nicht heraus.

Der Preis dieser Unabhängigkeit ist, dass das Schlüsselrisiko auf dich übergeht. Eine verlorene Wiederherstellungsphrase lässt sich von niemandem zurücksetzen, und ein Hardware-Wallet, das aus einer unklaren Quelle kommt, bringt sein eigenes Risiko mit. Deshalb trennen viele Anleger nach Zweck: der laufende Handel auf einer zugelassenen Börse, der Teil, der liegen bleiben soll, in eigener Verwahrung.

Für den Fall, der heute vorliegt, ist die Abwägung ohnehin kleiner als sie klingt. Es sind keine Schlüssel abgeflossen und kein Guthaben. Wer seine Aufteilung jetzt überdenkt, tut das weniger wegen dieses Vorfalls als wegen der Regelmäßigkeit, mit der Zulieferer von Anbietern in die Schlagzeilen geraten.

Coinbase-Datenleck: Die Benachrichtigung kommt allein per E-Mail

1. Den Zugang härten. Sieh in den Sicherheitseinstellungen deines Kontos nach, welcher zweiter Faktor aktiv ist, und ersetze einen Code per SMS durch eine Authenticator-App oder einen Passkey. Welche Handelsplätze in der EU zugelassen arbeiten und welche Anmeldeverfahren sie anbieten, steht im Vergleich der regulierten Krypto-Börsen.
2. Den Langfristbestand trennen. Lege fest, welcher Teil deiner Kryptowerte nicht für den Handel gebraucht wird, und bring ihn in eigene Verwahrung. Die Unterschiede bei Chip, Wiederherstellung und Bezugsweg stehen im Hardware-Wallet-Vergleich.
3. Die nächsten Wochen auf Ansprachen achten. Rechne mit Mails und Anrufen, die sich auf diesen Vorfall berufen, und behandle jede Aufforderung zu einer Überweisung oder zur Eingabe einer Wiederherstellungsphrase als Betrugsversuch. Wer sein Konto ohnehin neu sortiert, findet die Gebühren und Einzahlungswege der großen Anbieter im Börsenvergleich.

Unterm Strich ist dies ein Vorfall über Kontaktdaten, nicht über Guthaben, und die Darstellung der Börse ist in diesem Punkt bisher konsistent. Offen bleiben zwei Dinge: der tatsächliche Umfang, für den sich Coinbase und SlowMist weit auseinander bewegen, und eine eigene Darstellung von Amplitude. Beides ist Anlass, die Benachrichtigung abzuwarten und bis dahin keiner unaufgeforderten Ansprache zu folgen.

(Stand: 28. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)