Krypto-Wallet-Phishing per Brief: Warum der QR-Code aus dem Briefkasten deine Wiederherstellungsphrase will

Wenn ein Brief in deinem Briefkasten liegt, der dich zu einem dringenden Sicherheits-Update für dein Krypto-Wallet auffordert und dafür einen QR-Code mitliefert, dann ist das Phishing. Es gibt keinen Hersteller und keine Börse, die ein Wallet-Update per Post ankündigt, und es gibt keinen legitimen Vorgang, bei dem du deine Wiederherstellungsphrase auf einer Webseite eintippst. Das Bundesamt für Cybersicherheit BACS hat am 18. August 2026 in seinem Wochenrückblick zur Woche 33 gemeldet, dass es diverse Meldungen zu genau solchen Briefen erhalten hat.

Neu an dieser Welle ist nicht die Masche, sondern der Zustellweg. Phishing kommt normalerweise per E-Mail oder SMS, weil beides nichts kostet. Ein Brief kostet Druck, Kuvertierung und Porto, und wer diesen Aufwand treibt, rechnet mit einer Trefferquote, die ihn rechtfertigt. Genau deshalb ist der Postweg für Angreifer erst dann interessant geworden, als sie Adresslisten hatten, von denen sie wussten, dass dort Krypto-Besitzer wohnen.

Krypto-Wallet-Phishing per Brief: Was das BACS am 18. August gemeldet hat

Der Ablauf, den die Behörde beschreibt, ist kurz. Ein Brief fordert dazu auf, ein dringendes Update für diverse Kryptowallets herunterzuladen. Dafür liegt ein QR-Code bei. Wer ihn scannt, landet auf einer Phishing-Webseite, auf der die Wiederherstellungsphrase eingegeben werden soll. Wer sie dort eintippt, gibt nach Darstellung des BACS die vollständige Kontrolle über das betreffende Krypto-Wallet ab.

Das BACS nennt keine Zahl der Meldungen und keinen einzelnen Anbieter, in dessen Namen die Briefe verschickt wurden. Es spricht von diversen Meldungen und von diversen Kryptowallets. Wer eine präzisere Zahl in einem Artikel liest, sollte prüfen, woher sie stammt: In der Behördenmeldung steht sie nicht.

Wichtig für die Einordnung ist die Herkunft der Warnung. Das BACS ist die schweizerische Bundesbehörde für Cybersicherheit und meldet, was ihr aus der Schweiz gemeldet wird. Für dich als Anleger in Deutschland ist das trotzdem einschlägig, und zwar aus einem sachlichen Grund: Die Wallet-Marken sind dieselben, die Adressbestände stammen aus denselben Datenlecks, und ein Brief kennt keine Landesgrenze, wenn die Adressliste sie nicht kennt. Eine deutsche Behördenmeldung mit demselben Wortlaut liegt bislang nicht vor. Das heißt nicht, dass hier niemand betroffen ist, sondern nur, dass es dazu keine belegte deutsche Zahl gibt.

Eine kurze Vorgeschichte gehört dazu. Bereits am 31. Juli 2026 hatte dieselbe Behörde eine eigene Meldung zu Briefen mit QR-Code veröffentlicht. Der Wochenrückblick vom 18. August ist also kein Erstbefund, sondern die Bestätigung, dass die Welle drei Wochen später noch läuft.

Warum "Quantum Resistance" als Vorwand gerade jetzt funktioniert

Der Brief begründet das angebliche Update mit der Einführung sogenannter Quantum Resistance. Gemeint ist damit Quantenresistenz, also Verschlüsselung, die auch dann noch hält, wenn ein hinreichend großer Quantencomputer die heute üblichen Verfahren brechen kann. Das ist keine erfundene Vokabel. Die Debatte darüber, was Quantencomputer für Bitcoin und andere Kryptowährungen bedeuten, läuft seit Jahren und wird von ernstzunehmenden Entwicklern geführt.

Und genau darin liegt die Wirkung. Ein Vorwand funktioniert am besten, wenn er halb wahr ist. Wer den Begriff schon einmal gehört hat, findet den Brief plausibel. Wer ihn nicht kennt, findet ihn technisch genug, um nicht nachzufragen. Beide Gruppen kommen zum selben Ergebnis, nämlich dass hier etwas Wichtiges passiert, das man besser nicht ignoriert.

Der Unterschied zwischen der echten Debatte und dem Brief ist banal und trotzdem entscheidend: Eine Umstellung auf quantenresistente Verfahren wäre eine Aenderung am Protokoll und an der Gerätesoftware. Eine solche Umstellung würde niemals damit beginnen, dass Nutzer ihre Wiederherstellungsphrase irgendwo eingeben. Eine Phrase, die einmal in ein Webformular getippt wurde, ist unabhängig von jeder Verschlüsselung verloren.

Wiederherstellungsphrase erklärt: Warum diese zwölf oder vierundzwanzig Wörter alles sind

Die Wiederherstellungsphrase, auch Seed Phrase oder Recovery Phrase genannt, ist eine Folge von meist zwölf oder vierundzwanzig Wörtern, aus der sich sämtliche privaten Schlüssel eines Wallets berechnen lassen. Diese Wortfolge ist keine Zugangsdaten-Ergänzung und kein zweiter Faktor, sondern die vollständige mathematische Grundlage deines Guthabens.

Daraus folgen zwei Dinge, die im Alltag oft durcheinandergehen. Erstens: Wer die Phrase hat, hat das Guthaben, ohne dein Gerät, ohne deine PIN und ohne dass du etwas merkst. Zweitens: Du merkst den Diebstahl auch nachher nicht sofort, weil das Wallet auf deinem Gerät weiterhin normal aussieht. Ein Angreifer, der die Phrase abgeschrieben hat, kann Wochen warten.

Warum ein Gerät die Phrase nie abfragt

Eine Hardware-Wallet ist ein Gerät, das die privaten Schlüssel erzeugt und dauerhaft in einem abgeschotteten Chip hält, sodass sie das Gerät nie verlassen. Das ist ihr gesamter Daseinszweck. Wenn dich eine Software, eine Webseite oder ein Brief nach der Phrase fragt, dann fragt sie nach genau dem, was das Gerät konstruktiv nicht herausgibt. Der Wunsch selbst ist der Befund. Wie du die Phrase richtig aufbewahrst, haben wir in unserem Ratgeber zur sicheren Aufbewahrung der Seed Phrase beschrieben.

QR-Code im Brief: Warum Quishing die üblichen Schutzmechanismen umgeht

Quishing bezeichnet Phishing über einen QR-Code. Der Angriff ist deshalb wirksam, weil er drei Schutzschichten auf einmal aushebelt, die bei einer E-Mail greifen würden.

Ein Spamfilter sieht einen Brief nicht. Ein Browser-Warnhinweis für bekannte Betrugsseiten greift oft nicht, weil frisch registrierte Domains noch auf keiner Liste stehen. Und die wichtigste Schicht fällt ganz weg: Bei einer E-Mail kannst du den Link überfahren und die Zieladresse lesen, bevor du klickst. Ein QR-Code ist für das menschliche Auge bedeutungslos. Du erfährst erst nach dem Scannen, wohin er zeigt, und dann bist du schon dort.

Dazu kommt der Gerätewechsel. Der Brief liegt auf dem Küchentisch, gescannt wird mit dem Handy. Damit verlässt der Vorgang genau das Gerät, auf dem viele ihre Schutzsoftware haben, und landet auf dem, dessen Bildschirm die Adresszeile am stärksten kürzt. Ein Domainname, der auf einem Monitor sofort falsch aussieht, passt auf einem Telefon oft gar nicht vollständig ins Bild.

Die Ledger-Briefe von April bis Juni 2026: der Vorlauf dieser Welle

Diese Masche ist im deutschsprachigen Raum nicht neu. Ab Ende April 2026 erhielten Kunden des französischen Hardware-Wallet-Herstellers Ledger gedruckte Briefe, die ein Quantum Resistance Security Update verlangten. Cryptopolitan beschrieb den Aufbau: professionell gedruckt, mit QR-Code, und mit der zutreffenden Modellnummer und Bestellhistorie des Empfängers. Ledger selbst bestätigte Anfang Juni 2026 öffentlich, dass die Briefe gefälscht sind, und wies darauf hin, dass das Unternehmen niemals nach der 24-Wort-Wiederherstellungsphrase fragt.

Der Vergleich der beiden Wellen zeigt, was sich verändert hat. Die Ledger-Briefe waren auf eine Marke zugeschnitten und lebten davon, dass Empfänger tatsächlich Kunden dieser Marke waren. Die Briefe, von denen das BACS im August berichtet, laufen laut Behörde auf diverse Kryptowallets. Wer nur gelernt hat, Briefe mit einem bestimmten Markennamen zu misstrauen, ist damit nicht mehr geschützt.

Woher die Absender deine Postadresse haben: Datenlecks bei Wallet-Händlern

Ein Phishing-Brief braucht eine Adresse, und zwar eine, hinter der mit erhöhter Wahrscheinlichkeit ein Krypto-Besitzer wohnt. Solche Listen entstehen nicht durch Raten. Der Ursprung liegt dort, wo bei einem Händler oder einem Versanddienstleister Bestelldaten abfließen.

Im Fall Ledger führt die Spur nach Darstellung von Cryptopolitan auf das Datenleck des Unternehmens aus dem Jahr 2020, bei dem Namen, Adressen und Telefonnummern von Kunden entwendet wurden. Diese Daten sind seither im Umlauf und altern langsam, weil Menschen selten umziehen.

Aktueller ist das Material aus diesem August. Wir haben am 13. August über ein Datenleck beim Versanddienstleister ShipMonk mit Trezor-Kundenadressen berichtet und am 20. August über abgeflossene Bestelldaten bei SafePal. Beides sind Meldungen aus unserer eigenen Berichterstattung, nicht aus der BACS-Meldung. Ein direkter Nachweis, dass genau diese Bestände in genau diesen Briefen stecken, existiert öffentlich nicht, und er wird sich von aussen auch kaum führen lassen.

Praktisch heißt das: Wenn du in den vergangenen Jahren eine Hardware-Wallet online bestellt hast, ist deine Lieferadresse ein plausibler Bestandteil solcher Listen. Das ist kein Grund zur Panik und auch kein Sicherheitsproblem deines Geräts. Es ist der Grund, warum ausgerechnet du einen solchen Brief bekommst und dein Nachbar nicht. Wer sich bei der Gerätewahl neu orientiert, findet die Kriterien in unserem Hardware-Wallet-Vergleich.

Zwei Wochen Frist statt Zeitdruck: Warum dieser Brief anders gebaut ist

Das auffälligste Detail der BACS-Meldung ist eine Frist. Der Brief räumt dem Empfänger nach Angaben der Behörde mehr als zwei Wochen ein. Das ist für Betrugsversuche ungewöhnlich, weil Angreifer sonst künstlichen Zeitdruck aufbauen, damit niemand nachdenkt oder nachfragt.

Die Behörde ordnet die lange Frist als glaubwürdigkeitssteigernd ein, und das ist plausibel. Ein Schreiben, das dir vierzehn Tage lässt, wirkt wie eine Verwaltungsmitteilung und nicht wie eine Drohung. Es erlaubt dir sogar, den Brief liegen zu lassen und später darauf zurückzukommen, was den Eindruck von Seriosität verstärkt.

Für dich kehrt sich das Merkmal damit um. Bisher galt Zeitdruck als Warnsignal. Bei diesem Brieftyp ist die Ruhe das Warnsignal, weil kein Hersteller ein Sicherheitsupdate mit einer zweiwöchigen Nachfrist versieht. Echte Sicherheitshinweise sagen dir, dass du sofort handeln sollst, und sie erreichen dich in der App oder auf der Herstellerseite, nicht im Briefkasten.

Echtes Firmware-Update oder Phishing: Woran du den Unterschied erkennst

Firmware ist die Software, die auf dem Wallet-Gerät selbst läuft. Eingespielt wird sie über die offizielle Verwaltungssoftware des Herstellers, die das Gerät direkt anspricht und das Update kryptografisch signiert prüft. Dieser Weg beginnt immer bei dir, nicht bei einer Aufforderung von aussen.

Daraus ergeben sich drei Prüfpunkte, die ohne technisches Wissen auskommen.

Der erste ist der Kanal. Ein Update wird in der Hersteller-App angezeigt. Es wird nicht per Post angekündigt, nicht per SMS und nicht in einer E-Mail mit Handlungsaufforderung.

Der zweite ist die Frage nach der Phrase. Kein Update-Vorgang fragt sie ab. Auch dann nicht, wenn eine Seite behauptet, sie nur zu "verifizieren" oder zu "migrieren".

Der dritte ist die Adresse. Wenn du eine Herstellerseite besuchst, tippst du sie selbst ein oder nutzt ein eigenes Lesezeichen. Ein QR-Code aus einem unaufgefordert zugestellten Schreiben ist kein Ersatz dafür.

Verwandt, aber technisch anders gelagert ist der Angriff über betrügerische Freigabedialoge, bei dem du gar keine Phrase preisgibst, sondern eine Transaktion unterschreibst, die etwas anderes tut als angezeigt. Wie du solche Dialoge liest, haben wir in unserem Beitrag zu Wallet-Drainern und Signatur-Freigaben auseinandergenommen, und einen realen Herstellerfall dazu in der Analyse zur Signaturlücke in der Ethereum-App. Beide Fälle haben mit dem Brief nichts zu tun, außer dass sie dieselbe Frage beantworten: Was steht wirklich hinter dem, was ich gerade bestätige?

Hardware-Wallet, Software-Wallet, Börse: Wen dieser Angriff überhaupt trifft

Die Reichweite des Angriffs hängt daran, wo dein Guthaben liegt, und die drei Fälle unterscheiden sich deutlich.

Bei einer Hardware-Wallet trifft dich der Angriff voll, sobald du die Phrase eingibst. Es gibt keine Instanz, die die Transaktion zurückholt, und keinen Kundendienst, der das Konto einfriert.

Bei einer Software-Wallet auf dem Handy oder im Browser gilt dasselbe. Auch hier ist die Phrase der Generalschlüssel. Der Unterschied liegt nur darin, dass ein solches Wallet ohnehin auf einem Gerät mit Internetzugang liegt und damit zusätzliche Angriffswege hat. Eine Übersicht der Kriterien steht in unserem Software-Wallet-Vergleich.

Liegt dein Guthaben dagegen bei einer regulierten Börse, dann existiert für dich gar keine Wiederherstellungsphrase, weil die Schlüssel beim Verwahrer liegen. Ein Brief, der nach deiner Phrase fragt, geht dort ins Leere. Das schützt nicht vor anderen Maschen, etwa gefälschten Auszahlungsaufforderungen, die wir in einem eigenen Beitrag zu Phishing rund um Börsen-Auszahlungen behandelt haben.

Was du tun musst, wenn du die Wiederherstellungsphrase schon eingegeben hast

Falls du den QR-Code gescannt und die Phrase eingetippt hast, zählt Geschwindigkeit, und die Reihenfolge ist wichtig.

Erzeuge zuerst auf einem sauberen Gerät ein neues Wallet mit einer neuen Phrase. Übertrage anschließend das Guthaben vom alten auf das neue Wallet. In dieser Reihenfolge, denn ein Transfer braucht ein Ziel, und das Ziel muss existieren, bevor du sendest.

Das alte Wallet ist danach dauerhaft unbrauchbar. Ein Passwortwechsel, eine neue PIN oder ein Geräte-Reset helfen nicht, weil die Phrase unabhängig vom Gerät gilt. Wer sie hat, kann das Wallet jederzeit anderswo neu einrichten.

Rechne mit steuerlichen Folgen. Ein Transfer zwischen zwei eigenen Wallets ist in Deutschland kein Verkauf, er will aber dokumentiert sein, damit später niemand einen Zufluss vermutet, wo keiner war. Ein Diebstahl wiederum ist steuerlich nicht ohne Weiteres als Verlust ansetzbar. Beides gehört protokolliert, und dafür eignen sich die Werkzeuge aus unserer Übersicht zu Steuer-Tools und Portfolio-Trackern. Beim tatsächlichen finanziellen Schaden empfiehlt das BACS ausdrücklich, Strafanzeige zu erstatten.

Was du melden kannst, auch ohne Schaden

Wenn dich der Brief erreicht hat, du aber nicht darauf eingegangen bist, ist der Brief trotzdem etwas wert. Er belegt, dass deine Adresse auf einer Liste steht. Heb ihn auf, fotografiere ihn, und melde ihn dem Hersteller, in dessen Namen er verschickt wurde. In Deutschland nehmen die Verbraucherzentralen und das Bundesamt für Sicherheit in der Informationstechnik solche Hinweise entgegen. Und behandle künftige Post an dieselbe Adresse mit demselben Misstrauen, weil eine einmal verkaufte Adressliste weiterverkauft wird.

Krypto-Wallet-Phishing per Brief: Was du daraus mitnimmst

1. Merke dir die eine Regel, die alle Varianten abdeckt. Die Wiederherstellungsphrase wird niemals irgendwo eingetippt, außer beim Wiederherstellen eines Wallets auf einem Gerät, das du selbst gerade in der Hand hältst. Kein Update, keine Verifizierung und keine Migration braucht sie. Wenn du unsicher bist, welches Gerät diese Trennung sauber durchhält, hilft der Hardware-Wallet-Vergleich bei der Einordnung.
2. Prüfe deinen Verwahrweg, nicht nur deinen Briefkasten. Wer alles in Eigenverwahrung hält, trägt das volle Risiko dieser Masche allein. Wer einen Teil bei einem beaufsichtigten Anbieter liegen hat, verlagert dieses spezielle Risiko, handelt sich dafür aber ein Gegenparteirisiko ein. Welche Anbieter in der EU zugelassen sind, steht in der Übersicht zu den regulierten Kryptobörsen.
3. Dokumentiere jeden Umzug deines Guthabens sofort. Wenn du wegen eines Verdachts auf eine neue Phrase wechselst, entstehen Transfers, die du ein Jahr später nicht mehr aus dem Gedächtnis rekonstruierst. Ein Tracker aus der Übersicht zu Steuer-Tools und Portfolio-Trackern nimmt dir diese Arbeit ab, solange die Daten noch frisch sind.

Der eigentliche Befund dieser Woche ist unspektakulär und deshalb leicht zu unterschätzen. Die Angreifer haben nichts Technisches gelernt, sondern etwas über Vertrauen. Gemerkt haben sie, dass Papier in einer digitalen Umgebung glaubwürdiger wirkt als eine E-Mail, und dafür zahlen sie Porto. Solange das aufgeht, wird die nächste Welle nicht per Mail kommen. Wie sich der Markt daneben entwickelt, kannst du in unserer Bitcoin-Kursprognose nachlesen; auf die Sicherheit deiner Phrase hat der Kurs allerdings keinen Einfluss.

(Stand: 25. August 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)