Foundation Passport: 23.000 Phishing-Mails kamen aus den Systemen des Wallet-Herstellers

Wer eine Hardware-Wallet von Foundation besitzt, hat in den vergangenen Tagen möglicherweise eine Mail bekommen, die aussah wie Post vom Hersteller: richtige Absenderdomain, richtiger Name, richtige Anrede. Das war sie nicht. Foundation, der US-Hersteller der Bitcoin-Wallet Passport, hat in einem Kundenschreiben vom 29. Oktober 2026 eingeräumt, dass Angreifer Zugang zu einem Teil seiner Backend-Infrastruktur hatten und von dort aus Phishing-Mails verschickten. Das Gerät in deiner Schublade ist davon nach Angaben des Herstellers nicht betroffen. Deine Adresse und deine Telefonnummer womöglich schon.

Das ist der vierte Fall dieser Art binnen drei Monaten, und das Muster wiederholt sich: Angegriffen wird nicht die Wallet, sondern der Laden, der sie verkauft, der Dienstleister, der sie verschickt, oder das Mailsystem, das die Kunden anschreibt. Was dabei abfließt, lässt sich nicht zurückholen und nicht austauschen. Eine Wohnadresse bleibt eine Wohnadresse.

Foundation nennt 23.000 Phishing-Versuche und zwei Versandwege

In dem Schreiben, das Foundation am 29. Oktober 2026 an Kunden verschickte und das im hauseigenen Community-Forum nachzulesen ist, nennt das Unternehmen mehr als 23.000 Phishing-Mail-Versuche. Davon liefen nach eigener Zählung 19.057 über den Mailversand-Dienst Mailgun und 1.503 über Google Workspace. Beides sind Systeme, die Foundation selbst für seine Kundenkommunikation nutzt.

Eine Zahl in dieser Aufstellung verdient besondere Aufmerksamkeit: Mehr als 5.000 der Adressen, an die Phishing-Mails gingen, tauchen in den Kundenunterlagen des Herstellers überhaupt nicht auf. Foundation schreibt das selbst. Die Angreifer haben also über die Kundenliste hinaus Adressen aus anderer Herkunft eingespeist. Wer eine solche Mail bekommen hat, ist damit nicht zwangsläufig Kunde, und wer Kunde ist, hat nicht zwangsläufig eine bekommen.

Das Unternehmen hat nach eigenen Angaben die betroffenen Zugangsdaten und alle Schlüssel widerrufen, noch wartende Phishing-Nachrichten aus den Warteschlangen gelöscht, die betroffenen Altsysteme vom Netz genommen und Beweise gesichert. Ein ausführlicher Vorfallsbericht ist angekündigt, lag bei Abschluss dieses Artikels aber nicht vor. Die Angaben dieses Abschnitts stützen sich auf das Kundenschreiben von Foundation vom 29. Oktober 2026.

Der Einstieg lief über eine selbst gehostete Anwendung, nicht über die Passport-Firmware

Zuerst hatte Foundation die Mailwelle auf kompromittierte API-Schlüssel bei Cloudflare zurückgeführt. Ein API-Schlüssel ist eine Zeichenfolge, mit der ein Programm sich bei einem Dienst anmeldet, ohne dass ein Mensch ein Passwort eintippt; wer ihn besitzt, handelt gegenüber dem Dienst wie der rechtmäßige Betreiber. In der späteren Darstellung vom 29. Oktober fiel die Beschreibung präziser aus: Die Angreifer kamen nach Angaben des Unternehmens über eine Schwachstelle in einer selbst gehosteten Anwendung in einen Teil der Backend-Infrastruktur.

Selbst gehostet heißt, dass eine Software auf einem Server des Unternehmens läuft statt beim Anbieter in der Cloud, und dass die Firma sie selbst aktuell halten muss. Das ist bei Firmen beliebt, die wenig Daten an Dritte geben wollen, und es folgt demselben Gedanken, aus dem viele Krypto-Nutzer ihre Schlüssel selbst verwahren. Die Kehrseite ist in beiden Fällen dieselbe: Wer selbst betreibt, hält auch selbst die Sicherheitsaktualisierungen nach.

Zur Frage, die Besitzer am meisten umtreibt, ist die Aussage des Herstellers eindeutig. Foundation erklärt, es gebe keine Hinweise darauf, dass dieser Vorfall Passport-Geräte oder die darin verwahrten privaten Schlüssel kompromittiert habe. Das passt zur Bauweise des Geräts: Eine Hardware-Wallet hält den privaten Schlüssel in einem Chip, der ihn nie herausgibt, und sie kennt keine Netzverbindung, über die sich jemand von außen anmelden könnte. Was dein Bitcoin-Guthaben sichert, hat mit dem Onlineshop des Herstellers technisch nichts zu tun. Wo der Kurs der Währung gerade steht, die Passport verwahrt, zeigt unsere Bitcoin Kurs Prognose.

5.600 Postanschriften und 5.200 Telefonnummern lagen in erreichbaren Systemen

Foundation benennt den Umfang der betroffenen Datenbestände mit rund 5.600 Postanschriften und rund 5.200 Telefonnummern, dazu Namen und E-Mail-Adressen. Diese Angaben stammen aus einem älteren Shopsystem. Das Unternehmen fügt eine Einschränkung an, die offener ausfällt als die üblichen Formulierungen in solchen Schreiben: Es könne nicht mit Sicherheit sagen, ob die Angreifer alle diese Datensätze abgerufen haben.

Diese Offenheit ist für Betroffene unbequem, aber brauchbar. Unbequem, weil du keine Gewissheit bekommst. Brauchbar, weil du deshalb vom schlechteren Fall ausgehen darfst, ohne dich für übervorsichtig halten zu müssen. Zahlungsdaten gehören nach Darstellung des Herstellers nicht dazu, und Wiederherstellungssätze lagen dort ohnehin nie, weil kein seriöser Hersteller sie je zu Gesicht bekommt.

Warum SPF, DKIM und DMARC bei diesem Angriff nichts gemeldet haben

Die Verfahren, auf die sich Mailprogramme stützen, um gefälschte Absender zu erkennen, haben hier aus einem einfachen Grund geschwiegen. SPF hinterlegt im Internet-Namensdienst, welche Server für eine Domain Mails verschicken dürfen. DKIM versieht jede Mail mit einer kryptografischen Signatur des Absenderservers. DMARC legt fest, was der Empfänger tun soll, wenn eines von beiden nicht passt.

Alle diese Prüfungen fragen, ob eine Mail wirklich aus dem System kommt, das zur Domain gehört. Genau das war hier der Fall. Die Nachrichten liefen über Mailgun und Google Workspace, also über die regulären Versandwege des Herstellers, und waren damit korrekt signiert und korrekt autorisiert. Kein Filter kann einer sauber signierten Mail ansehen, dass der Mensch hinter dem Versandkonto kein Mitarbeiter war.

Praktisch heißt das: Die verbreitete Faustregel, auf die Absenderadresse zu schauen, versagt in dieser Fallgruppe vollständig. Wir haben das Problem schon einmal an einem anderen Vorfall auseinandergenommen, als Phishing-Mails von einer echten Absenderdomain kamen. Was dann noch trägt, ist allein der Inhalt einer Mail.

Der vierte Hardware-Wallet-Anbieter binnen drei Monaten

Der Foundation-Fall steht nicht allein, und das ist der eigentliche Befund. Im August 2026 meldete Trezor ein Datenleck, das nach den damaligen Angaben des Unternehmens knapp 14.000 Kunden betraf; eingebrochen waren Angreifer dabei beim Logistikdienstleister ShipMonk, der die Pakete verschickt. Im selben Monat traf es den Anbieter SafePal. Am 20. Oktober 2026 verschaffte sich jemand Zugang zum Onlineshop von Keystone; der Hersteller bestätigte den Vorfall drei Tage später und nannte Namen, Kontaktdaten, Lieferadressen und Bestelldetails als abgeflossen. Die Angaben zum Umfang gehen dort auseinander, wie wir in unserem Bericht vom 25. Oktober 2026 zum bestätigten Datenleck bei Keystone dargelegt haben: Eine Darstellung spricht von 25.964 betroffenen Käufern, eine andere von 18.835 Geräten.

Vier Anbieter, vier verschiedene Einstiegspunkte, ein gemeinsamer Nenner. Angegriffen wurde jedes Mal die Peripherie: Shopsoftware, Versandpartner, Mailsystem, Altsystem. Das ist eine nachvollziehbare Zielwahl. Der Chip in einer Hardware-Wallet ist teuer anzugreifen und bringt pro Angriff ein Gerät. Eine Bestelldatenbank ist billig anzugreifen und bringt zehntausend Adressen von Menschen, die nachweislich Kryptowerte besitzen und sie nachweislich selbst verwahren. Für einen Angreifer, der Opfer sucht, ist das die wertvollste Liste, die es gibt.

Die Hersteller sind damit nicht aus der Verantwortung, aber sie sitzen in einer unangenehmen Lage. Ein Gerät zum Schutz privater Schlüssel zu bauen verlangt eine andere Disziplin, als einen Onlineshop mit Versandabwicklung und Newsletter zu betreiben. Die erste Disziplin haben die genannten Anbieter offenkundig. Bei der zweiten liegen inzwischen vier Belege auf dem Tisch, dass noch Arbeit vor ihnen liegt.

Die Lieferadresse ist das Datum, das sich nicht zurückholen lässt

Ein Passwort wechselt man in einer Minute. Eine Kreditkarte sperrt die Bank und schickt eine neue. Bei einer Wohnadresse und einer Telefonnummer endet diese Logik. Beides bleibt gültig, solange du dort wohnst und dieses Gerät benutzt, und beides steht nun in einem Datensatz, der ausdrücklich sagt: Dieser Mensch hat eine Hardware-Wallet gekauft.

Diese Verknüpfung macht den Unterschied zu einem gewöhnlichen Shop-Leck. Dass jemand Laufschuhe gekauft hat, interessiert niemanden. Dass jemand ein Gerät gekauft hat, dessen einziger Zweck die Verwahrung von Kryptowerten ist, ist eine Vorauswahl, die ein Angreifer selbst nicht treffen könnte. Daraus folgen zwei Angriffswege, die beide schon in der Praxis vorkamen. Der eine ist Phishing per Brief: Post mit korrektem Namen und korrekter Adresse wirkt deutlich glaubwürdiger als eine Mail, und wer einen QR-Code aus einem Brief scannt, prüft selten, wohin er führt. Der andere ist der körperliche Zugriff, in der Branche nach dem Werkzeug benannt, mit dem er droht.

Dieses zweite Risiko ist selten, und es ist kein Grund zur Panik. Es ist aber ein Grund, die eigene Verwahrung gelassen durchzusehen. Dazu gehört die Frage, ob dein Bestand überhaupt auf ein einzelnes Gerät gehört, oder ob eine Aufteilung sinnvoller ist. Welche Geräte dafür in Deutschland verfügbar sind und worin sie sich unterscheiden, zeigt unser Vergleich der Hardware-Wallets. Praktisch hilft außerdem eine Kleinigkeit, die beim nächsten Kauf nichts kostet: eine Packstation oder eine Lieferadresse, die nicht deine Wohnung ist.

Die Masche im Detail: der erfundene Geräte-Rückruf

Die Mails, die über die Systeme von Foundation hinausgingen, arbeiteten nach Darstellung des Unternehmens mit einem angeblichen Rückruf der Geräte und der Aufforderung, Guthaben zu bewegen. Diese Konstruktion ist handwerklich geschickt, weil sie einen echten Vorgang nachbildet: Rückrufe gibt es, Hersteller melden sich tatsächlich bei Kunden, und ein Sicherheitsproblem am eigenen Gerät ist genau die Nachricht, bei der ein Besitzer nicht lange überlegt.

Der Betrug steckt im nächsten Schritt. Ein Rückruf bedeutet im Normalfall, dass ein Gerät eingeschickt oder ersetzt wird. Er bedeutet nie, dass du dein Guthaben irgendwohin überweist, und er bedeutet nie, dass du deinen Wiederherstellungssatz irgendwo eingibst. Genau das aber ist das Ziel: Mit zwölf oder vierundzwanzig Wörtern lässt sich jedes Guthaben in Minuten abräumen, von jedem Rechner der Welt, ohne dass das Gerät selbst dafür nötig wäre.

Ein zweites Erkennungsmerkmal ist der Zeitdruck. Jede Formulierung, die eine Frist von Stunden setzt oder ein unmittelbar bevorstehendes Risiko behauptet, verfolgt denselben Zweck: Du sollst handeln, bevor du nachfragst. Seriöse Hersteller und seriöse Behörden setzen keine Fristen von Stunden. Das Bundesamt für Sicherheit in der Informationstechnik hat die typischen Merkmale solcher Nachrichten auf seinen Verbraucherseiten zu Spam und Phishing zusammengestellt.

Was kein Hersteller je verlangt: Wiederherstellungssatz, PIN und Passphrase

Foundation formuliert in seinem Schreiben eine Zusage, die wörtlich für jeden anderen Anbieter genauso gilt: Das Unternehmen werde niemals nach dem Wiederherstellungssatz, der PIN oder der Passphrase fragen und niemals dazu auffordern, Guthaben zu verschieben. Daraus lässt sich eine Regel ableiten, die ohne technisches Wissen funktioniert und die kein gefälschter Absender umgehen kann.

Der Wiederherstellungssatz, meist Seed Phrase oder Recovery Phrase genannt, ist die Liste aus zwölf oder vierundzwanzig Wörtern, aus der sich jeder private Schlüssel deiner Wallet neu berechnen lässt. Wer sie kennt, besitzt das Guthaben; das Gerät ist dann nur noch ein Stück Plastik. Die PIN sperrt das Gerät gegen fremden Zugriff, die Passphrase ist ein zusätzliches Wort, das aus demselben Wiederherstellungssatz ein weiteres, verstecktes Konto erzeugt.

Keine dieser drei Angaben wird je irgendwo online eingetippt. Ein Wiederherstellungssatz gehört ausschließlich in das Gerät selbst, über seine eigenen Tasten, und sonst nirgendwohin. Jede Website, jedes Formular, jedes Chat-Fenster und jeder angebliche Support-Mitarbeiter, der danach fragt, ist damit erledigt, ganz unabhängig davon, wie echt die Adresse aussieht, von der die Anfrage kam. Diese eine Regel hätte in jedem der vier Fälle der vergangenen drei Monate gereicht.

Wichtig ist dabei auch, was du nach einem solchen Vorfall nicht tun musst. Ein Datenleck beim Hersteller ist kein Anlass, den Wiederherstellungssatz zu wechseln. Dieser Satz war nie im Shopsystem, und ihn zu ändern bedeutet, ein neues Konto anzulegen und das gesamte Guthaben dorthin zu überweisen, mit allen Fehlerquellen und Gebühren, die dazugehören. Wer das aus Nervosität übereilt macht, schafft das Risiko erst, das er vermeiden wollte.

Deine Rechte nach DSGVO Artikel 15 und Artikel 34

Für Betroffene in Deutschland ist der Vorfall neben der Sicherheitsfrage auch eine datenschutzrechtliche Angelegenheit. Die Datenschutz-Grundverordnung gilt für jedes Unternehmen, das Waren an Kunden in der EU verkauft, auch wenn es seinen Sitz in den USA hat.

Artikel 15 gibt dir ein Auskunftsrecht: Du kannst von Foundation verlangen, dir mitzuteilen, welche personenbezogenen Daten zu dir gespeichert sind. Artikel 34 verpflichtet ein Unternehmen, Betroffene über eine Datenschutzverletzung zu benachrichtigen, wenn für sie ein hohes Risiko besteht. Das Kundenschreiben vom 29. Oktober erfüllt diesen Zweck der Form nach. Wer keine Nachricht erhalten hat, aber dort gekauft hat, kann nachfragen, und zwar in derselben Mail, in der er die Auskunft nach Artikel 15 verlangt.

Wenn ein Unternehmen auf eine solche Anfrage nicht innerhalb eines Monats antwortet, kannst du Beschwerde bei einer Aufsichtsbehörde einlegen. Zuständig ist die Datenschutzbehörde des Bundeslandes, in dem du wohnst; die Anschriften stehen auf der Seite des Bundesbeauftragten für den Datenschutz. Ein Schadensersatzanspruch nach Artikel 82 ist in solchen Fällen rechtlich möglich, setzt aber einen konkret nachweisbaren Schaden voraus, und allein die Tatsache, dass Daten abgeflossen sind, genügt dafür nach der bisherigen Rechtsprechung nicht.

Wallet-Datenlecks: Vier Hersteller, kein privater Schlüssel betroffen

Der Befund dieses Jahres ist unangenehm und gleichzeitig beruhigend. Unangenehm, weil die Kundendaten von vier Hardware-Wallet-Anbietern binnen drei Monaten in fremde Hände gelangten und sich daran nichts mehr ändern lässt. Beruhigend, weil in keinem dieser Fälle ein privater Schlüssel oder ein Wiederherstellungssatz betroffen war. Die Geräte haben gehalten, was sie versprechen. Gebrochen wurde der Handel um sie herum.

1. Sieh deine Verwahrung einmal gelassen durch. Prüfe, ob dein gesamter Bestand auf einem einzelnen Gerät liegt, ob der Wiederherstellungssatz nur an einem Ort liegt und ob dieser Ort gegen Feuer und Wasser geschützt ist. Welche Geräte in Deutschland erhältlich sind und worin sie sich unterscheiden, steht im Vergleich der Hardware-Wallets.
2. Entscheide bewusst über den Teil, der täglich bewegt wird. Für kleine Beträge, die oft in Bewegung sind, ist eine Software-Wallet das passendere Werkzeug, während das Gerät den langfristigen Bestand hält. Die Unterschiede zeigt der Vergleich der Software-Wallets.
3. Kläre, welcher Teil überhaupt in Eigenverwahrung muss. Wer regelmäßig handelt, braucht ohnehin ein Konto bei einem beaufsichtigten Anbieter; welche Börsen in Deutschland unter MiCA zugelassen arbeiten, zeigt die Übersicht der regulierten Kryptobörsen.

(Stand: 1. November 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)