Hardware-Wallet nach dem Datenleck: Vier Bestellwege ohne Wohnadresse

Eine Hardware-Wallet schützt deine Schlüssel zuverlässig, deine Wohnadresse schützt sie nicht. Die kurze Antwort auf die Frage, wie du beides zusammenbekommst: Du lässt das Gerät an eine Packstation, an eine Postfiliale oder an einen anderen Abholort liefern, oder du kaufst es gleich im Laden. Dann steht in der Bestelldatenbank des Händlers dein Name neben einer Schließfachnummer statt neben deiner Haustür.

Dass dieser Unterschied kein Spleen für Vorsichtige ist, hat der Oktober gezeigt. Innerhalb weniger Monate haben gleich mehrere Anbieter aus der Verwahrbranche eingeräumt, dass Kundendaten abgeflossen sind. Kein einziges Mal ging es dabei um Schlüssel oder Guthaben. Jedes Mal ging es um Namen, Telefonnummern und Lieferanschriften von Menschen, bei denen nun aktenkundig ist, dass sie Kryptowerte besitzen.

Warum die Schlüssel sicher bleiben und die Anschrift trotzdem abfließt

Eine Hardware-Wallet ist ein kleines Gerät, das deinen privaten Schlüssel erzeugt und ihn nie wieder herausgibt. Der Wiederherstellungssatz — jene Folge von meist zwölf oder vierundzwanzig Wörtern, aus der sich alle Schlüssel neu berechnen lassen — entsteht auf dem Gerät und verlässt es im Normalbetrieb nicht. Wenn du eine Überweisung freigibst, verlässt der Schlüssel das Gerät nicht; zum Rechner wandert allein die fertig unterschriebene Transaktion. Der Händler, bei dem du das Gerät gekauft hast, bekommt davon nichts mit, weil er technisch gar nicht beteiligt ist.

Daraus folgt eine beruhigende und eine unangenehme Tatsache zugleich. Die beruhigende: Ein Einbruch in den Webshop eines Herstellers kann deine Guthaben nicht anrühren. Wer seine Bitcoin seit Jahren auf einem solchen Gerät liegen hat, muss nach einer Shop-Panne nichts umschichten und nichts neu aufsetzen. Die unangenehme: Der Webshop selbst ist ein ganz gewöhnlicher Onlinehandel mit einer ganz gewöhnlichen Kundendatenbank. Dort stehen Vorname, Nachname, Straße, Hausnummer, Stadt, Land, oft die Telefonnummer, die E-Mail-Adresse und die Liste der bestellten Artikel samt Preis.

Diese Kombination ist das Problem. Eine gestohlene Adressliste aus einem Möbelhaus verrät, dass jemand ein Sofa gekauft hat. Eine gestohlene Adressliste aus dem Shop eines Wallet-Herstellers verrät, dass jemand zu Hause Kryptowerte verwahrt, wie teuer das gekaufte Modell war und damit grob, wie ernst es ihm ist. Der Datensatz ist eine Vorauswahl, die ein Angreifer sonst mühsam selbst treffen müsste.

Keystone und Trezor: An welcher Stelle der Bestellkette die Daten lagen

Keystone hat den Vorfall nach eigener Darstellung am 20. Oktober bemerkt und am 23. Oktober nach Rückfrage bei seinem Shop-Anbieter Shopify bestätigt, dass ein Dritter an Versandinformationen von Kunden gelangt ist. Öffentlich gemacht hat das Unternehmen den Fall am 24. Oktober, verbunden mit einer Entschuldigung. Betroffen sind nach Angaben der Firma Namen, Kontaktdaten, Lieferanschriften und Bestelldetails bis hin zu Artikeln und Preisen. Zahlungskartendaten, Bankverbindungen, Wiederherstellungssätze, private Schlüssel und Wallet-Passwörter seien nicht abgeflossen. Wie viele Kunden betroffen sind, hat Keystone bis heute nicht gesagt. Die Einzelheiten dieses Falls stehen in unserem Bericht zum bestätigten Datenleck bei Keystone.

Bei Trezor lag die undichte Stelle noch eine Etage weiter außen. Der Hersteller teilte am 13. August mit, dass Daten von 13.689 Kundinnen und Kunden offenlagen, nachdem sein Logistikdienstleister ShipMonk drei Tage zuvor einen unbefugten Zugriff gemeldet hatte. Bei 11.742 Betroffenen umfasste das Name, Lieferadresse, Telefonnummer und E-Mail-Adresse, bei weiteren 1.947 immerhin Name, Stadt und E-Mail-Adresse. Es traf Bestellungen, die zwischen dem 10. Mai und dem 8. August verschickt worden waren, unter anderem in die Vereinigten Staaten, nach Großbritannien, Schweden, Italien und Portugal. Anfang September kam die unangenehmere Hälfte: In den gestohlenen Dateien steckten auch alte Bestelldaten aus einer früheren Zusammenarbeit der Jahre 2019 bis 2021, rund 67.000 weitere Datensätze allein in den Vereinigten Staaten. Nach Trezors Darstellung hätten diese Altdaten vertragsgemäß längst gelöscht sein müssen. Was Betroffene daraus machen können, haben wir im Beitrag zum Trezor-Leck aufgeschrieben.

Beide Male gilt derselbe Befund: Die Geräte und die Systeme der Hersteller blieben unberührt. Undicht war die Kette, die eine Bestellung von der Eingabemaske bis an die Haustür bringt.

Shop-Plattform, Lagerdienstleister, Auswertungswerkzeug: Wer zwischen Hersteller und Briefkasten steht

Wer im Netz ein Gerät bestellt, hat eine Geschäftsbeziehung zu genau einer Firma. Seine Daten aber durchlaufen mehrere. Da ist zunächst die Shop-Plattform, auf der der Laden überhaupt läuft; Keystone nennt hier Shopify, und Shopify stand schon 2020 im Mittelpunkt des bis heute größten Falls dieser Art. Damals wurden Namen, E-Mail-Adressen, Postanschriften und Telefonnummern von rund 272.000 Ledger-Kunden veröffentlicht, später korrigierte das Unternehmen die Zahl auf etwa 292.000, weil Shopify weitere Betroffene nachmeldete. Die Daten tauchten im Dezember 2020 in einem Hackerforum auf, zusammen mit über einer Million E-Mail-Adressen. Auch damals waren weder Schlüssel noch Guthaben betroffen, und auch damals half das den Betroffenen wenig: Mindestens ein Käufer berichtete später, nach Drohungen umgezogen zu sein.

Dann ist da der Lager- und Versanddienstleister, der die Ware einpackt und übergibt. Er braucht die vollständige Anschrift, sonst kann er nichts zustellen. Im Fall von ShipMonk kam nach den Benachrichtigungsschreiben, die dem Fachdienst BleepingComputer vorlagen, noch eine dritte Ebene hinzu: Die Angreifer nutzten eine Schwachstelle im Auswertungswerkzeug Metabase, also in einer Software, die der Dienstleister für seine eigenen Zahlen einsetzt. Der Käufer einer Hardware-Wallet hat von dieser Software nie gehört, und doch lagen seine Daten in ihrer Reichweite.

Das Muster ist damit klar beschreibbar. Je länger die Kette zwischen Bestellung und Briefkasten, desto mehr Orte gibt es, an denen dieselbe Adresse liegt, und desto mehr Verträge stehen zwischen dir und der Firma, die sie am Ende verliert. Kein Hersteller kann dir garantieren, dass jedes Glied dieser Kette sauber arbeitet. Du kannst aber dafür sorgen, dass die Adresse, die durch diese Kette läuft, nicht die ist, an der du schläfst.

Vier Bestellwege, und was sie dem Händler jeweils verraten

Die vier Wege kosten beim Gerät dasselbe. Unterschiedlich ist nur, welcher Datensatz am Ende entsteht. Der erste führt über eine Abholstation, der zweite über eine Filiale des Zustellers, der dritte über den Ladenkauf vor Ort, der vierte verzichtet auf ein physisches Gerät. Alle vier sind in Deutschland ohne Weiteres gangbar, und keiner verlangt, dass du dich gegenüber dem Händler verstellst oder falsche Angaben machst — das wäre weder nötig noch klug, weil Gewährleistung und Rückgabe an korrekten Daten hängen.

Die Packstation nimmt das Paket ohne deine Wohnanschrift an

Der direkteste Weg ist eine Abholstation. Bei DHL heißt sie Packstation, bei anderen Zustellern gibt es Abholpunkte mit anderen Namen und gleichem Prinzip: Du bekommst eine Kundennummer, gibst als Lieferziel die Nummer der Station an und holst das Paket dort ab, wenn es dir passt. In der Datenbank des Händlers steht dann dein Name, eine Postnummer und die Anschrift eines Automaten, der an einem Supermarktparkplatz steht. Ein Angreifer, der diese Liste in die Hand bekommt, weiß, dass du eine Hardware-Wallet gekauft hast, aber nicht, wo du wohnst.

Für Empfänger kostet die Nutzung keinen Aufpreis, die Anmeldung läuft über das Kundenkonto des Zustellers. Zwei Einschränkungen gehören dazu. Erstens liegt deine echte Adresse weiterhin beim Zusteller selbst, weil das Kundenkonto sie kennt; du verlagerst sie also von vielen Stellen auf eine. Zweitens haben Abholstationen Fachgrößen und Lagerfristen, was bei einem Gerät von der Größe einer Zigarettenschachtel allerdings selten ein Problem ist.

Filialbelieferung und Postfiliale: der Weg ohne eigenes Konto beim Zusteller

Wer sich nirgends anmelden möchte, kann sich das Paket in eine Filiale schicken lassen. Als Lieferanschrift dient dann die Adresse der Filiale, ergänzt um deinen Namen; abgeholt wird mit dem Ausweis. Der Datensatz beim Händler sieht damit ähnlich harmlos aus wie bei der Abholstation, und du brauchst kein zusätzliches Konto. Der Preis dafür sind Öffnungszeiten und gelegentlich eine Schlange.

Eine Variante, die in Deutschland oft übersehen wird: Viele Zusteller bieten an, eine Sendung nachträglich in eine Filiale umzuleiten, solange sie noch unterwegs ist. Das hilft aber nur begrenzt, denn der Händler hat deine Wohnadresse dann längst gespeichert. Für den Zweck, um den es hier geht, zählt allein, was beim Bestellvorgang in das Adressfeld eingetragen wird.

Der Kauf im Ladengeschäft lässt gar keine Lieferdaten entstehen

Der sauberste Weg ist der älteste. Wer das Gerät in einem Elektronikmarkt oder bei einem auf Kryptowerte spezialisierten Fachhändler über den Tresen kauft und bar bezahlt, hinterlässt keine Lieferanschrift, weil keine Lieferung stattfindet. Verbunden ist damit allerdings eine zweite Abwägung, über die seit Jahren gestritten wird: die Frage, ob ein Gerät aus dem Regal manipuliert sein könnte.

Die Hersteller beantworten das mit Verfahren, die sich jeder selbst ansehen kann. Seriöse Geräte prüfen beim ersten Start, ob ihre Software echt ist, und sie verlangen, dass du den Wiederherstellungssatz selbst auf dem Gerät erzeugst. Ein Gerät, das dir einen fertigen Satz auf einem beigelegten Zettel präsentiert, ist in jedem Fall zu entsorgen, gleich ob es aus dem Laden oder aus einem Paket kommt. Wer diese Prüfung beim ersten Einrichten ernst nimmt, holt sich mit dem Ladenkauf keine zusätzliche Gefahr ins Haus und spart sich einen Datensatz.

Die Software-Wallet braucht keinen Versand, kostet aber Sicherheit

Der vierte Weg führt am Paket vorbei. Eine Software-Wallet auf dem Telefon oder dem Rechner wird heruntergeladen, nicht geliefert, und erzeugt deshalb keine Versanddaten. Für kleinere Beträge, für erste Schritte und für Guthaben, mit denen regelmäßig gezahlt wird, ist das eine vertretbare Lösung.

Ehrlich bleibt der Vergleich nur mit der Kehrseite. Der Schlüssel liegt dort auf einem Gerät, das im Netz hängt, Dateien öffnet und Erweiterungen ausführt. Genau über solche Erweiterungen sind in den vergangenen Monaten Guthaben verschwunden. Die Entscheidung zwischen beiden Formen ist deshalb keine Entscheidung zwischen sicher und unsicher, sondern zwischen zwei verschiedenen Risiken: Beim gelieferten Gerät riskierst du, dass deine Anschrift bekannt wird. Bei der heruntergeladenen Anwendung riskierst du, dass dein Rechner kompromittiert wird. Wer größere Beträge hält, nimmt in aller Regel das erste Risiko in Kauf und verkleinert es über den Bestellweg.

Was der Bestellweg nicht löst: Zahlungsdaten, Rechnung und Gewährleistung

Eine Abholstation macht dich nicht unsichtbar. Drei Dinge bleiben auch dann beim Händler. Die Rechnungsanschrift, die bei den meisten Zahlungsarten mit den Daten des Zahlungsdienstleisters abgeglichen wird und deshalb stimmen muss. Die E-Mail-Adresse, über die Bestellbestätigung und Lieferstatus laufen. Und die Zahlungsspur selbst, aus der sich je nach Verfahren Name und Bank ableiten lassen.

Praktisch heißt das: Wer die Rechnungsanschrift ebenfalls nicht preisgeben will, muss zum Ladenkauf greifen. Wer damit leben kann, dass Name und Rechnungsadresse beim Händler liegen, aber die Lieferadresse nicht in jeder Logistikdatenbank auftaucht, ist mit Weg eins oder zwei gut bedient. Gewährleistung und Widerruf hängen übrigens an keiner dieser Entscheidungen; sie gelten unabhängig davon, wohin geliefert wurde.

Dein Name liegt schon draußen: Auskunft nach Artikel 15 DSGVO

Für alle, die vor dem Oktober bestellt haben, kommt der Bestellweg zu spät. Dafür greift das Datenschutzrecht, und es greift auch gegenüber Herstellern außerhalb Europas, solange diese an Kunden in der Europäischen Union liefern. Zwei Pflichten treffen das Unternehmen von sich aus: Nach Artikel 33 der Datenschutz-Grundverordnung muss es eine Datenschutzverletzung binnen 72 Stunden nach Kenntnis an die zuständige Aufsichtsbehörde melden. Nach Artikel 34 muss es zusätzlich die Betroffenen unverzüglich benachrichtigen, sobald ein hohes Risiko für deren Rechte besteht, und zwar in klarer und einfacher Sprache mit Angaben zur Art der Verletzung, zu den wahrscheinlichen Folgen und zu den ergriffenen Maßnahmen.

Dazu kommt ein Recht, das du selbst ausüben kannst. Das Auskunftsrecht nach Artikel 15 verpflichtet den Händler, dir mitzuteilen, welche Daten er über dich verarbeitet, woher er sie hat, an wen er sie weitergibt und wie lange er sie aufbewahrt. Genau diese dritte Frage ist nach den jüngsten Fällen die interessanteste, denn sie bringt die Dienstleisterkette ans Licht, von der im Bestellvorgang nie die Rede war. Eine formlose E-Mail an die im Impressum genannte Adresse genügt; eine Frist von einem Monat ist der Regelfall.

Löschung und Schadensersatz: Was Artikel 17 und Artikel 82 hergeben

Aus der Auskunft folgt der nächste Schritt. Wer nicht mehr Kunde ist, kann nach Artikel 17 die Löschung seiner Daten verlangen; Aufbewahrungspflichten aus dem Handels- und Steuerrecht gehen vor und betreffen vor allem Rechnungen, nicht jede Marketingliste. Die Fälle der vergangenen Monate zeigen, warum das mehr ist als Papierkram: Bei Keystone meldeten sich Käufer, deren Bestellung mehr als zwei Jahre zurücklag, obwohl das Unternehmen in seiner Datenschutzerklärung eine Löschung nach 180 Tagen in Aussicht gestellt hatte. Bei Trezor steckten Altbestellungen aus den Jahren 2019 bis 2021 in den gestohlenen Dateien, die nach Darstellung des Herstellers vertraglich längst hätten verschwunden sein müssen.

Bleibt die Frage nach Geld. Artikel 82 gibt Betroffenen einen Anspruch auf Ersatz auch des immateriellen Schadens. Der Bundesgerichtshof hat am 18. November 2024 zu einem Datenabgriff bei Facebook entschieden, dass bereits der bloße und kurzzeitige Verlust der Kontrolle über die eigenen personenbezogenen Daten einen solchen Schaden darstellen kann; eine nachgewiesene missbräuchliche Verwendung oder weitere spürbare Folgen verlangt das Gericht dafür nicht. Eine feste Summe hat es allerdings nicht genannt, und der Kontrollverlust muss im Einzelfall dargelegt werden. Wer darüber nachdenkt, sollte die Benachrichtigungsmail des Händlers aufbewahren, weil sie der einfachste Beleg dafür ist, dass die eigenen Daten in dem betroffenen Bestand lagen.

52 erfasste Überfälle im ersten Halbjahr: das physische Risiko in Zahlen

Warum eine Lieferanschrift schwerer wiegt als eine E-Mail-Adresse, lässt sich beziffern. Das Analyseunternehmen CertiK zählte für das erste Halbjahr 2026 insgesamt 52 bestätigte körperliche Angriffe auf Halter von Kryptowerten, nach 39 im Vorjahreszeitraum. Die erfasste finanzielle Betroffenheit stieg nach derselben Auswertung von 10,5 auf rund 124,1 Millionen US-Dollar. Auffällig ist die Verteilung: 39 der 52 Fälle entfielen auf Europa, allein 33 auf Frankreich. Verschoben hat sich auch die Vorgehensweise, denn Überfälle in der Wohnung nahmen von einem erfassten Fall auf 20 zu, Entführungen von 12 auf 16.

Diese Zahlen verlangen Einordnung, und CertiK liefert sie selbst mit. Die Summe enthält Lösegeldforderungen und erzwungene Überweisungen ebenso wie eingefrorene oder zurückgeholte Werte, ist also keine Angabe über tatsächliche Beute. Gleichzeitig weist das Unternehmen darauf hin, dass solche Taten stark untererfasst sind. Für die Bewertung einer geleakten Adressliste bleibt der Kern bestehen: Wer eine Liste von Haushalten besitzt, in denen mit einiger Wahrscheinlichkeit Kryptowerte liegen, besitzt eine Vorauswahl. Als Gegenmittel empfiehlt CertiK unter anderem Aufteilungen, bei denen eine einzelne Person gar nicht allein über das Guthaben verfügen kann, etwa eine Multisig-Wallet mit mehreren Schlüsseln, dazu Verzögerungen bei Auszahlungen und klare Absprachen in der Familie.

Die Masche nach jedem Leck: gefälschte Rückruf- und Ersatzgeräte-Mails

Die häufigste Folge eines Adresslecks ist unspektakulärer und trifft mehr Menschen. Keystone hat selbst davor gewarnt, dass Betrüger sich als Mitarbeiter des Unternehmens ausgeben und Erstattungen oder Austauschgeräte anbieten. Das Muster ist in dieser Branche seit Jahren dasselbe: Es kommt eine Nachricht, die den echten Vorfall korrekt beschreibt, deinen richtigen Namen nennt, oft auch das bestellte Modell, und die daraus ein dringendes Angebot ableitet. Ein kostenloses Ersatzgerät, eine angebliche Sicherheitsaktualisierung, ein Formular zur Entschädigung.

Die Gegenregel ist kurz und kennt keine Ausnahme. Kein Hersteller und kein Händler fragt jemals nach deinem Wiederherstellungssatz, weder per E-Mail noch am Telefon noch über ein Formular, auch nicht zur Prüfung, auch nicht zur Erstattung. Wer die Wörter eingibt, verliert sein Guthaben in dem Moment, in dem er auf Absenden drückt, und zwar endgültig, weil eine Blockchain-Überweisung sich nicht zurückholen lässt. Ein unaufgefordert zugeschicktes Gerät gehört ungenutzt zur Seite gelegt und beim Hersteller gemeldet. Woran sich solche Nachrichten im Einzelnen erkennen lassen, steht in unserem Leitfaden zum Phishing nach einem Datenleck.

Wallet-Bestellung: Die Packstation kostet keinen Aufpreis

Der Schutz deiner Schlüssel und der Schutz deiner Anschrift sind zwei verschiedene Aufgaben, und die zweite erledigt kein Gerät für dich. Drei Schritte reichen.

1. Lieferziel ändern, bevor du das nächste Gerät bestellst. Eine Abholstation oder eine Filiale als Lieferanschrift kostet nichts und nimmt der längsten Kette ihren wertvollsten Datensatz. Welches Gerät überhaupt zu deiner Haltedauer und deinem Betrag passt, steht im Vergleich der Hardware-Wallets.
2. Für kleine Beträge auf den Versand ganz verzichten. Was du im Alltag bewegst, braucht kein Paket. Welche Anwendungen dafür taugen und wo ihre Grenzen liegen, zeigt der Vergleich der Software-Wallets.
3. Nicht alles an eine bekannte Adresse binden. Ein Teil des Bestands bei einem beaufsichtigten Anbieter verringert, was zu Hause liegt, und bringt ein anderes Risiko mit, das du kennen solltest; welche Häuser in Europa über eine Zulassung verfügen, steht in der Übersicht der regulierten Krypto-Börsen.

(Stand: 26. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)