Manipulierte Hardware Wallet im Laden gekauft: Was Käufer über ihre Rechte wissen müssen

Wenn in deiner Hardware Wallet fremde Bauteile stecken, hast du gegen den Händler, bei dem du sie gekauft hast, zwei Jahre lang Gewährleistungsrechte: ein neues Gerät, die Rückzahlung des Kaufpreises oder eine Minderung. Was du dagegen fast nie bekommst, ist Ersatz für die Coins, die über das Gerät abgeflossen sind. Dieser Unterschied entscheidet, was dir der Gang zum Laden bringt, und er ist seit Mittwoch für mehr Käufer relevant als vorher.

Denn die Polizei Singapurs hat erstmals amtlich festgehalten, was bisher nur der Hersteller und einzelne Medien beschrieben hatten: In Hardware Wallets aus dem Ladenverkauf steckten bösartige Hardware-Bauteile. Unser Bestandsartikel zum bestätigten Implantat und der Prüfung am eigenen Gerät erklärt, wie du den Verdacht technisch eingrenzt. Hier geht es um die andere Hälfte der Frage: Wer haftet, wie lange, und mit welchem Nachweis.

Was die Polizei Singapurs am 28. Oktober mitgeteilt hat

Die Singapore Police Force veröffentlichte am Mittwochnachmittag eine Warnung zu manipulierten Hardware Wallets. Darin steht, dass seit dem 10. September 2026 mindestens zwei Fälle gemeldet wurden, mit einem Gesamtschaden von rund 3,5 Millionen Singapur-Dollar. Das sind nach aktueller Umrechnung etwa 2,7 Millionen US-Dollar.

Der Kern der Mitteilung: Vorläufige Ermittlungen hätten ergeben, dass Hardware Wallets, die in einigen Ladengeschäften in Singapur gekauft wurden, bösartige Hardware-Bauteile enthielten. Diese Bauteile konnten die Wiederherstellungsphrase oder die privaten Schlüssel der Nutzer abgreifen, sodass unbefugte Personen auf die Wallets zugreifen und Bestände ohne Wissen und ohne Zustimmung der Besitzer abziehen konnten. Die Polizei steht nach eigener Angabe mit dem Hersteller in Kontakt, der die betroffenen Fälle prüft. Die Ermittlungen laufen.

Zwei Einordnungen gehören dazu. Erstens: Das ist ein Behördenbefund aus einer laufenden Untersuchung, kein Urteil und keine abgeschlossene Ursachenfeststellung. Die Polizei spricht ausdrücklich von vorläufigen Ermittlungen. Zweitens: Der Befund betrifft Geräte aus singapurischen Geschäften. Er sagt nichts darüber, wie viele Geräte in Europa betroffen sind.

Was die Polizei Besitzern eines verdächtigen Geräts empfiehlt

Die Empfehlungen der Behörde sind kurz und praktisch. Keine Wiederherstellungsphrase mehr in ein Gerät eingeben, das im Verdacht steht. Keine weiteren Transaktionen damit ausführen. Den Hersteller über dessen offizielle Kanäle ansprechen. Und wer annimmt, dass seine Phrase oder sein privater Schlüssel abgeflossen ist, soll die restlichen Bestände mit einem unbelasteten Gerät auf eine neue, vertrauenswürdige Wallet mit einer neu erzeugten Phrase übertragen. Dazu die Warnung, die jede Behörde in diesem Feld ausspricht: Die Phrase niemals weitergeben, auch nicht an Personen, die sich als Mitarbeiter des Herstellers, einer Börse oder einer Strafverfolgungsbehörde ausgeben.

Bösartige Hardware-Bauteile: der technische Kern des Befundes

Eine Hardware Wallet ist ein Gerät, das deinen privaten Schlüssel erzeugt und speichert, ohne ihn an einen Computer oder ein Telefon herauszugeben. Ihr ganzer Sinn liegt darin, dass der Schlüssel das Gerät nie verlässt. Wie das im Normalfall funktioniert, steht in unserem Erklärstück zur Funktionsweise einer Hardware Wallet.

Ein zusätzliches Bauteil im Gehäuse hebelt genau diese Zusage aus. Es sitzt zwischen den echten Bauteilen und kann mitlesen, was du eingibst oder was das Gerät anzeigt. Entscheidend ist der Zeitpunkt: Der Eingriff passiert nach der Fertigung und vor dem Kauf, also auf dem Weg über Distributoren und Geschäfte. Ein Angriff auf die Lieferkette richtet sich damit nicht gegen die Software, die du aktualisieren könntest, sondern gegen das Objekt in der Schachtel.

Praktisch heißt das: Ein Zurücksetzen hilft nicht. Wer eine neue Phrase auf demselben Gerät erzeugt, erzeugt sie auf einem Gerät, dem er nicht mehr trauen kann. Die vorherigen Fälle dieser Serie gingen auf einen Reseller in Südostasien zurück und zeigten dasselbe Muster. Deshalb empfiehlt auch die Polizei den Umzug auf ein anderes Gerät, nicht das Aufräumen des alten.

Der Echtheitstest in der Hersteller-App erkennt zusätzliche Bauteile nicht

Viele Besitzer verlassen sich auf die Echtheitsprüfung, die die Hersteller-App beim Anschließen ausführt. Der Hersteller selbst hat im Oktober klargestellt, dass dieser Test nachträglich eingebaute Hardware nicht erkennt. Er prüft, ob der echte Sicherheitschip antwortet, und das tut er auch dann, wenn daneben ein fremdes Bauteil sitzt.

Das ist der Grund, warum ein grüner Haken in der App kein Entlastungsbeweis ist, und warum der Blick auf die Verpackung und auf das Gehäuse im Moment mehr wert ist als jede Software-Meldung. Wer zusätzlich wissen will, woran du eine manipulierte Transaktion im Betrieb erkennst, findet das in unserem Artikel zum Blind Signing und seiner Prüfung.

Sachmangel nach § 434 BGB: Ein manipuliertes Gerät erfüllt die objektiven Anforderungen nicht

Jetzt zur Rechtslage in Deutschland, und sie ist an diesem Punkt klarer, als viele erwarten. Nach § 434 BGB ist eine Sache frei von Sachmängeln, wenn sie bei der Übergabe den subjektiven, den objektiven und den Montageanforderungen entspricht. Zu den objektiven Anforderungen gehört, dass sich die Sache für die gewöhnliche Verwendung eignet und eine Beschaffenheit aufweist, die bei Sachen derselben Art üblich ist und die ein Käufer erwarten kann.

Eine Hardware Wallet, in der ein Bauteil sitzt, das die Wiederherstellungsphrase abgreifen kann, eignet sich nicht für ihre gewöhnliche Verwendung, und diese Verwendung ist das sichere Aufbewahren eines Schlüssels. Ein solches Gerät ist damit mangelhaft, und zwar unabhängig davon, ob der Händler von dem Eingriff wusste. Die Gewährleistung im deutschen Kaufrecht setzt kein Verschulden des Verkäufers voraus und fragt nur, ob die Ware bei der Übergabe in Ordnung war.

Wer in dieser Lage überlegt, auf welches Gerät er wechselt, findet die aktuellen Modelle und ihre Unterschiede in unserem Vergleich der Hardware Wallets. Wichtiger als das Modell ist dabei der Bezugsweg: direkt beim Hersteller oder bei einem Partner, den er selbst benennt.

Nacherfüllung, Rücktritt, Minderung, Schadensersatz: die vier Wege aus § 437 BGB

Was du als Käufer verlangen kannst, zählt § 437 BGB auf. Die Vorschrift nennt drei Nummern, hinter denen praktisch vier Wege stehen.

Nacherfüllung. Nach § 439 BGB wählst du, ob der Mangel beseitigt oder eine mangelfreie Sache geliefert wird. Bei einem manipulierten Gerät ist die Nachlieferung der sinnvolle Weg, denn eine Reparatur würde das Vertrauen in genau dieses Gerät nicht wiederherstellen. Die dafür nötigen Aufwendungen trägt der Verkäufer, ausdrücklich auch Transport- und Arbeitskosten. Du zahlst also nicht den Rückversand.

Rücktritt. Du gibst das Gerät zurück und bekommst den Kaufpreis. In der Regel setzt der Rücktritt voraus, dass du dem Händler zuvor eine Frist zur Nacherfüllung gesetzt hast. Diese Frist entfällt, wenn die Nacherfüllung fehlgeschlagen oder unzumutbar ist.

Minderung. Du behältst das Gerät und zahlst weniger. Bei einer Wallet, deren Sicherheitsversprechen entfallen ist, ist das selten die passende Wahl, denn der Gebrauchswert sinkt nicht, er verschwindet.

Schadensersatz. Diesen Weg nennt § 437 Nummer 3 BGB, und er ist der schwierigste. Dazu gleich mehr.

Wer der richtige Gegner ist

Die Gewährleistung richtet sich gegen deinen Vertragspartner, also gegen das Geschäft oder den Online-Händler, bei dem du gekauft hast. Nicht gegen den Hersteller. Der Hersteller kann freiwillig eine Garantie oder einen Austausch anbieten, und in dieser Lage ist es sinnvoll, ihn parallel anzusprechen. Ein Anspruch aus dem Kaufvertrag entsteht daraus aber nicht.

Zwei Jahre Verjährung und ein Jahr Beweislastumkehr nach § 477 BGB

Die Fristen stehen in § 438 BGB. Mängelansprüche verjähren bei beweglichen Sachen in zwei Jahren, gerechnet ab der Ablieferung der Sache. Das Kaufdatum auf dem Beleg ist also der Startpunkt, nicht der Tag, an dem du den Mangel entdeckst.

Dazu kommt eine Regel, die in diesem Fall viel wert ist. Nach § 477 BGB wird beim Kauf durch einen Verbraucher vermutet, dass die Ware bereits bei der Übergabe mangelhaft war, wenn sich der Mangel innerhalb eines Jahres zeigt. In diesem ersten Jahr musst du also nicht beweisen, dass das fremde Bauteil schon im Laden im Gerät war. Der Händler müsste das Gegenteil belegen. Nach Ablauf des Jahres kehrt sich das um, und dann wird es schwer, denn ein Nachweis, wann ein Bauteil eingebaut wurde, ist aufwendig.

Eine Ausnahme von der Zweijahresfrist gibt es: Hat der Verkäufer den Mangel arglistig verschwiegen, gilt die regelmäßige Verjährung statt der kurzen Frist. Das setzt voraus, dass er davon wusste. Bei einem Eingriff in der Lieferkette ist das die seltene Ausnahme, nicht der Normalfall.

Für verlorene Coins haftet der Händler meist nicht

Hier liegt die unangenehme Nachricht. Schadensersatz nach § 437 Nummer 3 BGB setzt ein Verschulden des Verkäufers voraus, also Vorsatz oder Fahrlässigkeit. Ein Geschäft, das ein verschlossenes Gerät aus der offiziellen Lieferkette verkauft und den Eingriff mit zumutbarem Aufwand nicht erkennen konnte, handelt in der Regel nicht fahrlässig. Damit entfällt der Ersatz für die abgeflossenen Bestände, obwohl der Anspruch auf ein neues Gerät oder auf den Kaufpreis bestehen bleibt.

Das ist die Asymmetrie, die diesen Fall für Anleger so teuer macht: Du bekommst mit einiger Wahrscheinlichkeit 79 oder 149 Euro für das Gerät zurück, aber nicht den Gegenwert der Bitcoin oder Altcoins, die darauf lagen. Ob ein Verlust dieser Art steuerlich geltend gemacht werden kann, ist eine eigene Frage; wir haben sie für den Fall des verlorenen Geräts und der Steuer aufgeschrieben.

Eine verbindliche Einschätzung für deinen Einzelfall leistet nur eine Rechtsberatung. Was hier steht, ist der Rahmen, in dem die Frage entschieden wird.

Das Produkthaftungsgesetz deckt einen reinen Vermögensschaden nicht

Viele vermuten an dieser Stelle das Produkthaftungsgesetz, weil es Ansprüche gegen den Hersteller ohne Verschulden kennt. In diesem Fall trägt es nicht. § 1 Absatz 1 des Gesetzes verlangt, dass durch den Fehler eines Produkts jemand getötet, sein Körper oder seine Gesundheit verletzt oder eine Sache beschädigt wird. Bei einer Sachbeschädigung muss es außerdem eine andere Sache als das fehlerhafte Produkt selbst sein, und sie muss gewöhnlich für den privaten Gebrauch bestimmt sein.

Abgeflossene Kryptowerte sind keines davon, sondern ein reiner Vermögensschaden, und der fällt nicht unter diese Vorschrift. Das Produkthaftungsgesetz hilft also beim verletzten Finger, nicht beim leeren Wallet-Stand. Wer gegen den Hersteller vorgehen will, braucht deshalb einen anderen Weg, und der führt über den Nachweis einer Pflichtverletzung, nicht über die reine Fehlerhaftigkeit des Produkts.

MediaMarkt und Saturn haben den Verkauf im Oktober gestoppt

Für deutsche Käufer ist der Fall nicht abstrakt. Mitte Oktober nahm MediaMarktSaturn die Produkte des Herstellers aus den Märkten und von den eigenen Online-Plattformen. Auslöser war die Meldung eines Kunden, der in zwei Geräten aus unterschiedlichen Filialen zusätzliche Elektronik gefunden haben will. Unabhängig geprüft ist dieser Befund nach dem Stand der Berichterstattung nicht; ein Sprecher sprach von einer Vorsichtsmaßnahme. Wir haben den Verkaufsstopp bei MediaMarkt und Saturn am 13. Oktober aufgeschrieben, als er bekannt wurde.

Der Hersteller teilte damals mit, dass im Zusammenhang mit diesem deutschen Fall keine finanziellen Verluste gemeldet worden seien. Parallel bat er Händler und Distributoren in sieben Märkten in Asien, den Verkauf vorläufig einzustellen. Ein Termin für die Wiederaufnahme in Deutschland ist nicht belegt.

Praktisch bedeutet das zwei Dinge. Wer ein ungenutztes Gerät aus einem dieser Märkte zu Hause hat, sollte es ungeöffnet zurückgeben, statt es einzurichten. Und wer eines im Einsatz hat, hat den Kaufbeleg meist noch, womit die Frist aus § 438 BGB sauber nachweisbar ist.

Strafanzeige, Beweissicherung und die Rolle der Polizei in Deutschland

Neben dem Kaufrecht steht der strafrechtliche Weg, und er betrifft die unbekannten Täter, nicht den Händler. Der Zugriff auf eine fremde Wallet und das Abziehen von Beständen erfüllt in Deutschland den Tatbestand des Computerbetrugs und des Ausspähens von Daten. Eine Anzeige kannst du bei jeder Polizeidienststelle und bei den Online-Wachen der Länder stellen.

Was ein Fall dokumentiert braucht

Der Wert einer Anzeige und einer Gewährleistungsforderung hängt am gleichen Material. Dazu gehören der Kaufbeleg mit Datum und Filiale, die Originalverpackung samt Klebeverschluss, Fotos des geöffneten Gehäuses, die Adressen der Wallet und die Kennungen der Abflüsse mit ihrem Zeitpunkt. Dieses Material ist nach einer Neueinrichtung oder nach dem Entsorgen der Schachtel nicht mehr herstellbar, und genau deshalb geht Dokumentieren dem Reklamieren voraus.

Ein Hinweis zur Erwartung: Die Aufklärungsquote bei grenzüberschreitenden Taten dieser Art ist niedrig, und eine Anzeige ersetzt keinen Anspruch gegen den Händler. Der Vorgang ist damit aber aktenmäßig gesichert, und das ist in vielen Fällen die Voraussetzung dafür, dass eine Versicherung oder ein späteres Verfahren den Schaden überhaupt berücksichtigt.

Hardware Wallet: Zwei Jahre Gewährleistung laufen ab dem Kaufdatum

1. Bestände zuerst, Reklamation danach. Wenn dein Gerät im Verdacht steht, überträgst du die restlichen Coins mit einem anderen, unbelasteten Gerät auf eine neue Wallet mit neu erzeugter Phrase. Ein geordneter Zwischenschritt führt über ein Konto bei einer zugelassenen Börse; welche Anbieter in Deutschland eine MiCA-Zulassung tragen, steht in unserem Vergleich der regulierten Kryptobörsen.
2. Dokumentieren, dann fordern. Beleg, Verpackung und Fotos sichern, danach den Händler schriftlich zur Nachlieferung oder zur Rückzahlung auffordern, mit Frist. Brauchst du für die Zwischenzeit eine Verwahrung ohne neues Gerät, zeigt der Vergleich der Software Wallets, was die einzelnen Lösungen leisten und wo ihre Grenzen liegen.
3. Bezugsweg ändern. Das nächste Gerät beim Hersteller selbst oder bei einem von ihm benannten Partner kaufen, nicht im freien Handel. Die Modelle und ihre Unterschiede stehen im Hardware-Wallet-Vergleich.

(Stand: 29. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)