Keystone bestätigt Datenleck: „Wir schulden euch eine Entschuldigung“

Der Hardware-Wallet-Hersteller Keystone hat am Samstag einen Einbruch in seinen eigenen Webshop öffentlich gemacht. Abgeflossen sind Namen, Kontaktdaten, Lieferanschriften und Bestelldetails von Kundinnen und Kunden. Wiederherstellungssätze, private Schlüssel und Zahlungsdaten sind nach Angaben des Unternehmens nicht betroffen. Für dich als Käufer heißt das: Dein Guthaben ist durch diesen Vorfall nicht in Gefahr, deine Anschrift und die Tatsache, dass du eine Hardware-Wallet besitzt, sind es sehr wohl.

Das ist eine wichtige Unterscheidung, und sie entscheidet darüber, was jetzt sinnvoll ist und was dich erst recht in Schwierigkeiten bringt. Die gefährlichste Reaktion auf eine solche Meldung ist die hektische: Wer in Panik sein Gerät zurücksetzt, seine Coins irgendwohin verschiebt oder auf eine angebliche Austauschaktion eingeht, verliert sein Geld am Ende nicht durch den ursprünglichen Angriff. Er verliert es an die Betrugswelle, die darauf folgt.

Was Keystone offengelegt hat: Zugriff am 20. Oktober, Bestätigung am 23.

Keystone hat den unbefugten Zugriff auf die Unternehmenswebsite nach eigener Darstellung am 20. Oktober 2026 bemerkt. Nach Prüfung der Schnittstellen-Aktivität bei Shopify, dem Shop-Dienstleister des Herstellers, bestätigte das Unternehmen am 23. Oktober, dass ein Dritter Versanddaten von Kunden erlangt hatte. Öffentlich gemacht hat Keystone den Vorfall am 24. Oktober über seinen Kanal auf X.

Der Beitrag beginnt mit einem Satz, den Unternehmen nach einem Datenabfluss selten so direkt formulieren: „We owe you an apology“, auf Deutsch: Wir schulden euch eine Entschuldigung. Keystone schreibt weiter, man habe den Zugang gesperrt, die ausgenutzte Schwachstelle geschlossen, eine Untersuchung eingeleitet und beginne damit, betroffene Kunden per E-Mail zu benachrichtigen. Ein ausführlicher Bericht sei angekündigt.

Mehrere zentrale Angaben fehlen bislang. Keystone nennt weder die Zahl der betroffenen Kunden noch den Zeitraum, aus dem die erbeuteten Bestellungen stammen, noch den Weg, über den der Angreifer hereinkam. Auch eine Aufschlüsselung nach Ländern gibt es nicht, und damit keine Antwort auf die Frage, wie viele Besteller in Deutschland in dem Datensatz stehen. Wer wissen will, ob er dazugehört, ist derzeit auf die Benachrichtigung des Unternehmens angewiesen. Die Mitteilung des Herstellers ist die einzige Primärquelle, die es dazu gibt.

Diese Daten sind abgeflossen, diese nach Unternehmensangabe nicht

Nach der Darstellung von Keystone umfasst der Datensatz Namen, Kontaktdaten, Lieferanschriften sowie die Bestelldetails, also die gekauften Artikel und die gezahlten Preise. Letzteres ist kein Nebenaspekt: Aus dem bestellten Modell lässt sich ablesen, welches Gerät jemand benutzt, und aus dem Preis, wie viel er investiert hat.

Ausdrücklich nicht betroffen sind laut Hersteller Kreditkarten- und Bankdaten, Wiederherstellungssätze, private Schlüssel und die Passwörter der Geräte. Diese Angabe stammt vom Unternehmen selbst und ist bisher nicht unabhängig überprüft; eine forensische Untersuchung durch Dritte hat Keystone nicht vorgelegt.

Technisch ist die Aussage trotzdem plausibel, und das hat einen einfachen Grund.

Der Wiederherstellungssatz liegt weiter nur auf dem Gerät

Eine Hardware-Wallet ist ein Gerät, das deine privaten Schlüssel erzeugt und speichert, ohne sie jemals an einen Computer oder ins Netz zu geben. Signiert wird eine Überweisung auf dem Gerät selbst, nach außen geht nur die fertige Signatur. Der Hersteller erfährt dabei nichts über deine Schlüssel, weil er sie nie bekommt. Wie das im Einzelnen funktioniert, steht in unserer Erklärung dazu, was eine Hardware-Wallet eigentlich macht.

Was ein Webshop vom Gerät weiß

Der Webshop eines Herstellers ist von dieser Technik vollständig getrennt. Er verarbeitet Bestellungen, also Anschrift, Artikel, Preis und Versandstatus. Zwischen dem Shopsystem und dem Chip im Gerät gibt es keine Verbindung, über die ein Angreifer von einer Kundendatenbank aus an Schlüssel käme. Deshalb gilt der Grundsatz, der jede Reaktion auf diesen Vorfall bestimmen sollte: Ein Datenleck beim Händler ist ein Datenschutzvorfall, kein Wallet-Vorfall. Du musst dein Gerät nicht zurücksetzen, keine neue Wallet erzeugen und kein Guthaben umziehen.

Die Shopify-API: Was der Hinweis besagt und was nicht

Keystone nennt in seiner Mitteilung die Prüfung der Schnittstellen-Aktivität bei Shopify als den Weg, auf dem der Umfang des Abflusses festgestellt wurde. Dieser Hinweis wird leicht missverstanden. Er besagt, dass die Protokolle der Shop-Plattform gezeigt haben, welche Daten abgerufen wurden. Er besagt nicht, dass die Plattform Shopify selbst kompromittiert wurde, und Keystone behauptet das auch nicht.

Eine Schnittstelle, über die ein Shopsystem Bestelldaten herausgibt, ist für den Betreiber ein normales Werkzeug. Abgesichert wird sie mit Zugangsschlüsseln und oft auch für Zusatzprogramme freigeschaltet, die Versand, Marketing oder Buchhaltung übernehmen. Wo ein solcher Schlüssel in falsche Hände gerät oder ein angebundenes Zusatzprogramm selbst angegriffen wird, lässt sich der Bestand abziehen, ohne dass jemand in den Shop einbrechen muss. Welcher dieser Wege hier genommen wurde, hat Keystone bisher nicht mitgeteilt.

Die vier Maschen, vor denen Keystone selbst warnt

Der Hersteller benennt in seiner Mitteilung recht genau, womit Betroffene nun rechnen müssen. Kriminelle treten als Keystone auf, per E-Mail, Telefon, Kurznachricht oder auf dem Postweg. Angeboten werden Erstattungen, kostenlose Austauschgeräte und Hilfe bei einer angeblich fehlerhaften Bestellung oder Lieferadresse. Das Unternehmen stellt dazu klar, dass es niemals nach einem Wiederherstellungssatz oder einem privaten Schlüssel fragt.

Die gefährlichste dieser Maschen ist das Austauschgerät. Diese Masche funktioniert, weil sie wie Kulanz aussieht: Ein Paket kommt an, darin ein Gerät und ein Hinweis, das alte Modell sei vom Vorfall betroffen und das neue bereits eingerichtet. Wer den beigelegten Wiederherstellungssatz benutzt oder seinen eigenen in das fremde Gerät eingibt, übergibt die Kontrolle über sein Guthaben. Genau deshalb lautet die Regel ohne Ausnahme: Ein Wiederherstellungssatz wird nie in ein Gerät eingegeben, das du nicht selbst bestellt hast, und nie in eine Website oder ein Formular. Die typischen Warnzeichen solcher Nachrichten haben wir nach früheren Fällen zusammengetragen, in der Übersicht zu Phishing nach einem Datenleck.

Dass der Postweg in dieser Aufzählung steht, ist der Unterschied zu einem gewöhnlichen E-Mail-Leck. Ein Brief mit korrekter Anschrift, dem richtigen Bestelldatum und dem passenden Modellnamen wirkt echt, weil er echt aussieht. Die Angaben, die ihn glaubwürdig machen, stammen aus dem Datensatz.

Die Lieferanschrift ist der eigentliche Schaden

Eine E-Mail-Adresse lässt sich wechseln. Eine Wohnanschrift nicht, jedenfalls nicht ohne Umzug. Das ist der Grund, warum Sicherheitsfachleute bei Lecks im Versandhandel von Kryptogeräten deutlicher werden als bei anderen Datenabflüssen.

Die Sicherheitsentwicklerin Taylor Monahan, in der Branche unter dem Namen Tay bekannt, hat nach Berichten von crypto.news darauf hingewiesen, dass solche Versanddaten Käufer körperlichen Bedrohungen aussetzen können, bis hin zu Raub und Entführung. In der Szene läuft das unter dem Begriff Wrench Attack: ein Angriff, der die Verschlüsselung gar nicht erst angreift, sondern den Menschen, der den Schlüssel kennt. Belege dafür, dass die bei Keystone erbeuteten Daten bereits zu körperlichen Angriffen geführt hätten, gibt es bislang nicht.

Die nüchterne Einordnung dazu: Der Datensatz enthält eine Information, die eine Adressliste aus einem beliebigen Onlineshop nicht enthält. Er verbindet eine Anschrift mit der Aussage, dass dort jemand wohnt, der Kryptowerte selbst verwahrt und dafür Geld ausgegeben hat. Wer seine Geräte bisher an die eigene Wohnadresse liefern ließ, hat nach diesem Vorfall einen Grund, das künftig anders zu handhaben, etwa über eine Packstation oder eine Lieferadresse, die nicht die Wohnung ist. Für die Auswahl eines Geräts ist das ein Kriterium neben den technischen: In unserem Vergleich der Hardware-Wallets steht, welche Hersteller über welche Wege ausliefern.

Das 180-Tage-Versprechen und die Datenschutzerklärung vom 7. Juli

Wie groß der Schaden ist, hängt daran, wie lange Keystone Bestelldaten überhaupt aufbewahrt. Dazu gibt es zwei öffentliche Aussagen des Unternehmens, und sie sind nicht deckungsgleich.

Das deutsche Fachportal block-builders.de hat darauf hingewiesen, dass Keystone am 5. Januar 2026 auf X mit dem Satz geworben hat, 180 Tage nach der Bestellung würden die Versanddaten dauerhaft gelöscht. In der Datenschutzerklärung des Unternehmens steht es enger. Dort heißt es, man lösche die Bestellinformationen jedes Kunden, der innerhalb der letzten 180 Tage keine Bestellung aufgegeben habe. Die Frist läuft nach diesem Wortlaut also ab der jeweils letzten Bestellung, nicht ab jeder einzelnen. Wer zweimal gekauft hat, dessen ältere Bestellung bleibt damit gespeichert. Diese Auswertung hat cryptoticker.io am 25. Oktober 2026 selbst erhoben, Grundlage ist die auf den 7. Juli 2026 datierte Datenschutzerklärung auf der Unternehmensseite.

Ob der Datensatz tatsächlich nur Bestellungen aus den letzten 180 Tagen enthält, ist damit offen. Keystone hat sich auf Nachfrage in sozialen Netzwerken dazu nicht festgelegt und auf die laufende Untersuchung und den angekündigten Bericht verwiesen. Eine Bewertung, ob die Zusage aus dem Januar eingehalten wurde, lässt sich nach jetzigem Stand nicht belegen, und sie steht hier ausdrücklich nicht.

Yanssie HK Limited in Hongkong: Wer hinter der Marke steht

Für deutsche Käufer ist eine Angabe in derselben Datenschutzerklärung praktisch bedeutsamer als die Löschfrist. Als verantwortliches Unternehmen nennt sie die Yanssie HK Limited mit Sitz in Hongkong, und sie unterstellt sich dem Recht der Sonderverwaltungsregion Hongkong.

Die Datenschutz-Grundverordnung gilt davon unabhängig, wenn ein Anbieter von außerhalb der EU gezielt Waren an Menschen in der Union verkauft. Artikel 27 verlangt von solchen Anbietern zusätzlich, einen Vertreter in der Union zu benennen, an den sich Betroffene und Aufsichtsbehörden wenden können. In der Datenschutzerklärung von Keystone ist kein solcher Vertreter genannt. Als Weg für Auskunft, Berichtigung und Löschung nennt sie die Support-Adresse des Unternehmens und den Hinweis, dass man sich an die Datenschutzbehörde seines Landes wenden kann.

Praktisch heißt das: Deine Rechte bestehen, der Weg dorthin ist aber länger als bei einem Anbieter mit Niederlassung in der EU. Wer das vermeiden will, kommt an der Grundfrage nicht vorbei, wie viel er selbst verwahrt und wie viel bei einem beaufsichtigten Anbieter liegt. Welche Häuser in Deutschland unter Aufsicht stehen, zeigt der Überblick zu regulierten Kryptobörsen.

Auskunft nach Artikel 15, Schadensersatz nach Artikel 82

Zwei Ansprüche sind für Betroffene in Deutschland relevant. Artikel 15 der Datenschutz-Grundverordnung gibt dir das Recht zu erfahren, welche Daten ein Unternehmen über dich gespeichert hat. Bei diesem Vorfall ist das der einzige verlässliche Weg, die Frage zu klären, die Keystone offengelassen hat: aus welchem Zeitraum deine Bestellungen noch vorliegen und was davon in dem Datensatz stand. Die Anfrage geht an die Support-Adresse des Unternehmens, sie ist formlos möglich und kostenlos.

Artikel 82 regelt den Schadensersatz. Der Bundesgerichtshof hat dazu am 18. November 2024 im Verfahren zum Datenabfluss beim sozialen Netzwerk Facebook entschieden, Aktenzeichen VI ZR 10/24, dass bereits der bloße Verlust der Kontrolle über die eigenen Daten einen immateriellen Schaden begründen kann. Nach den Leitsätzen muss weder eine missbräuchliche Verwendung der Daten eingetreten sein noch müssen weitere spürbare negative Folgen hinzukommen. In dem Verfahren ging es um einen Datensatz mit 533 Millionen Einträgen weltweit, darunter rund sechs Millionen Menschen in Deutschland.

Über die Höhe sagt das Urteil wenig Verallgemeinerbares. Maßgeblich sind nach der Rechtsprechung unter anderem die Empfindlichkeit der betroffenen Daten, Art und Dauer des Kontrollverlusts und die Frage, ob sich die Kontrolle wiedererlangen lässt. Belastbare Beträge für einen Fall wie diesen gibt es nicht, und wer dir eine Summe nennt, bevor Umfang und Zeitraum des Abflusses feststehen, rechnet mit einer Zahl, die noch niemand kennt. Dass ein Anspruch dem Grunde nach besteht, ist nach der Entscheidung des Bundesgerichtshofs allerdings nicht mehr die Streitfrage, die es vor 2024 war.

Trezor, SafePal, Ledger: Der Versandweg ist das schwächste Glied

Der Fall reiht sich in eine Serie, die 2026 auffällig dicht geworden ist, und das Muster ist jedes Mal dasselbe: Jedes Mal hält die Kryptografie der Geräte stand, und jedes Mal gibt die Kette aus Shopsystem, Versanddienstleister und angebundenen Zusatzprogrammen nach.

Trezor meldete im August einen Abfluss über den Logistikdienstleister ShipMonk, zunächst mit 13.689 betroffenen Kunden; Anfang September kamen nach Angaben des Unternehmens rund 67.000 weitere Kunden aus den USA mit Bestellungen aus den Jahren 2019 bis 2021 hinzu. Was Betroffene dort tun konnten, haben wir im Beitrag zum Trezor-Datenleck aufgeschrieben. SafePal nannte im selben Monat 39.798 betroffene Kunden, abgeflossen über ein eingebundenes Zusatzprogramm zur Sendungsverfolgung. Der älteste und bekannteste Fall bleibt Ledger: Nach dem Vorfall von 2020 wurden rund 272.853 Datensätze mit Anschriften öffentlich, dazu etwa eine Million E-Mail-Adressen.

Die Trezor-Nachmeldung vom September zeigt dabei genau das Problem, das jetzt auch bei Keystone im Raum steht: Dort standen Bestellungen aus 2019 bis 2021 in einem Datensatz, obwohl der Dienstleister die Löschung alter Daten zuvor schriftlich bestätigt hatte. Eine zugesagte Löschfrist ist nur so viel wert wie ihre Umsetzung bei jedem Dienstleister, der die Daten je gesehen hat.

Für die Abwägung zwischen Selbstverwahrung und Verwahrung bei einem Dritten ändert das wenig. Die Schlüsselhoheit bleibt das stärkste Argument für ein eigenes Gerät, und keiner dieser Vorfälle hat je zu einem Verlust von Guthaben durch das Gerät selbst geführt. Was sich ändert, ist die Erkenntnis, dass der Kauf eines Sicherheitsgeräts selbst eine Datenspur hinterlässt, die man mitdenken muss.

Keystone-Datenleck: Der Seed ist sicher, die Lieferadresse nicht

Für Besitzer eines Keystone-Geräts ergibt sich daraus eine überschaubare Reihenfolge.

1. Nichts am Gerät ändern. Kein Zurücksetzen, kein neuer Wiederherstellungssatz, kein Umzug des Guthabens. Der Vorfall betrifft das Shopsystem, nicht die Schlüssel. Wenn du ohnehin über einen Gerätewechsel nachdenkst, ist der Vergleich der Hardware-Wallets der richtige Ort dafür, nicht eine E-Mail, die dir ein Austauschgerät anbietet.
2. Jede Kontaktaufnahme als unecht behandeln, bis das Gegenteil feststeht. Keine Links aus Nachrichten anklicken, keine Rückrufnummern aus E-Mails verwenden, keinen Wiederherstellungssatz eingeben. Rufe den Hersteller über die selbst eingetippte Adresse seiner Website auf. Wenn du grundsätzlich weniger selbst verwahren willst, prüfe stattdessen die beaufsichtigten Anbieter im Überblick zu regulierten Kryptobörsen.
3. Auskunft nach Artikel 15 anfordern und den Bericht abwarten. Eine formlose E-Mail an den Support klärt, welche Bestelldaten noch gespeichert sind. Den angekündigten ausführlichen Bericht des Unternehmens solltest du abwarten, bevor du weitergehende Schritte erwägst. Wer parallel überlegt, kleinere Beträge gar nicht erst auf ein Gerät zu legen, findet die Alternativen im Vergleich der Software-Wallets.

Die eine Zahl, die diesem Vorfall noch fehlt, ist die Zahl der Betroffenen. Bis Keystone sie nennt, muss jeder Käufer davon ausgehen, dass er dabei ist.

(Stand: 25. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)