Krypto-Phishing nach einem Datenleck erkennen: die Warnsignale in der gefälschten Börsen-Mail

Krypto-Phishing erkennst du fast immer an derselben Stelle: an dem, was die Nachricht von dir will. Eine echte Krypto-Börse bittet dich nie um deine Seed Phrase, nie um deinen privaten Schlüssel und nie um den Code aus deiner Authenticator-App. Jede Mail, jede SMS und jede Nachricht über Social Media, die eines dieser drei Dinge abfragt, ist ein Betrugsversuch, unabhängig davon, wie echt Absender und Gestaltung aussehen. Alles Weitere in diesem Text ist Handwerk, mit dem du diesen einen Satz im Alltag zuverlässig anwendest.

Der Anlass für diesen Ratgeber ist die Lage im Spätsommer 2026. Große Datenabflüsse bei Finanz- und Wallet-Anbietern haben dafür gesorgt, dass Kriminelle nicht mehr blind streuen müssen. Die Täter kennen Namen, Adresse, Telefonnummer und teilweise sogar Kontostände ihrer Opfer. Damit wird aus der plumpen Massenmail eine persönlich zugeschnittene Nachricht, die auf den ersten Blick überzeugt. Der Cybersicherheitsmonitor 2026 des Bundesamts für Sicherheit in der Informationstechnik beziffert, wie verbreitet das ist: elf Prozent der Internetnutzerinnen und -nutzer waren allein im Vorjahr von einer Straftat im Internet betroffen, bei zwölf Prozent der Betroffenen war es Phishing, und ein Drittel aller Betroffenen berichtet von finanziellen Verlusten.

Was Krypto-Phishing von gewöhnlichem Spam unterscheidet

Phishing ist der Versuch, dich mit einer gefälschten Nachricht zur Herausgabe von Zugangsdaten oder zu einer Zahlung zu bewegen. Der Begriff stammt vom englischen fishing: Die Nachricht ist der Köder, dein Konto ist der Fang. Spam will dir etwas verkaufen und kostet dich Zeit. Phishing will deinen Zugang und kostet dich Geld.

Im Krypto-Bereich verschärft sich das aus einem technischen Grund. Eine Überweisung vom Girokonto lässt sich unter Umständen zurückholen, eine Lastschrift ohnehin. Eine Transaktion auf einer öffentlichen Blockchain ist endgültig, sobald sie bestätigt ist. Es gibt keine Stelle, die sie zurücknimmt, weder bei Bitcoin noch bei Ethereum. Wer einmal die falsche Signatur geleistet hat, verhandelt nicht mehr, sondern zählt den Schaden. Deshalb ist Phishing bei Kryptowährungen für Kriminelle so lohnend und für dich so teuer.

Dazu kommt die zweite Besonderheit: Bei einer Bank brauchen Betrüger deine Zugangsdaten. Bei einer selbstverwalteten Wallet genügt oft schon deine Unterschrift unter eine harmlos aussehende Freigabe. Diese beiden Wege verlangen unterschiedliche Gegenmaßnahmen, und der Text behandelt sie getrennt.

Warum ein Datenleck bei einem Anbieter Phishing-Mails im Namen ganz anderer Krypto-Börsen auslöst

Ein Datenleck ist der unbeabsichtigte Abfluss von Kundendaten aus dem System eines Anbieters. Für dich als Nutzer ist entscheidend, was abgeflossen ist. Sind es Ausweiskopien, Adresse, Telefonnummer und Transaktionslisten, dann sind deine Coins zunächst sicher, denn diese Daten öffnen keine Wallet. Gefährlich werden sie erst als Rohstoff für den nächsten Schritt.

Denn wer weiß, dass du Kunde eines Krypto-Anbieters bist, wie du heißt und wo du wohnst, kann dich glaubwürdig ansprechen. Und er ist dabei nicht auf den Anbieter beschränkt, bei dem das Leck entstand. Eine Liste deutscher Krypto-Kunden ist für jede Masche verwendbar: für die gefälschte Sicherheitswarnung einer ganz anderen Börse, für den angeblichen Rückruf eines Wallet-Herstellers, für den Anruf einer erfundenen Betrugsabteilung. Das ist der Mechanismus, den viele unterschätzen. Das Leck bei einem Anbieter finanziert die Phishing-Welle im Namen aller anderen.

Ein Beispiel aus unserer eigenen Berichterstattung: Am 12. September 2026 haben wir beschrieben, wie Kunden prüfen können, ob sie vom Datenabfluss bei Revolut betroffen sind. Betroffen waren nach den damals vorliegenden Angaben Ausweiskopien, Verifizierungs-Selfies, IBAN und vollständige Transaktionslisten. Kein einziges dieser Felder ist ein Passwort. Trotzdem war genau dieser Datensatz die Grundlage für die persönlich adressierten Mails, die in den Wochen danach umliefen. Denselben Ablauf haben wir im Sommer 2026 bei mehreren Hardware-Wallet-Anbietern gesehen, deren Kundenadressen über einen Versanddienstleister abflossen.

Typische Anzeichen von Phishing: sieben Warnsignale in der Nachricht selbst

Die folgenden Warnsignale stammen aus den Fällen, die uns und den Verbraucherzentralen im Jahr 2026 begegnet sind. Keines davon ist für sich ein Beweis. Treffen zwei oder mehr zu, behandelst du die Nachricht als Betrug.

1. Zeitdruck. Eine Frist von wenigen Stunden, eine angeblich drohende Sperre, eine Auszahlung, die sonst verfällt. Seriöse Anbieter räumen Wochen ein und schicken Erinnerungen.
2. Eine Handlung, die nur über den mitgeschickten Link funktioniert. Echte Anliegen lassen sich immer auch erledigen, indem du die Adresse der Börse selbst eintippst und dich dort anmeldest.
3. Die Abfrage von Geheimnissen. Seed Phrase, privater Schlüssel, Passwort oder der Sechsstellige aus der Authenticator-App. Dazu gleich mehr.
4. Eine Auszahlungsadresse, die du nicht selbst hinterlegt hast. Steht in der Mail eine Wallet-Adresse, an die du „zur Sicherung" überweisen sollst, ist die Sache entschieden.
5. Ein Anhang. Krypto-Börsen verschicken Steuerreports und Kontoauszüge über das eingeloggte Konto, nicht als Datei im Postfach.
6. Die falsche Mailadresse im Empfängerfeld. Wenn die Nachricht an eine Adresse geht, mit der du bei diesem Anbieter gar kein Konto hast, ist sie aus einem gekauften Datensatz verschickt worden.
7. Ein Angebot, das zu gut ist. Entschädigungen für Kursverluste, garantierte Renditen, ein Airdrop, für den du nur eine Freigabe unterschreiben musst.

Was du dagegen nicht mehr als Warnsignal verwenden kannst, sind Rechtschreibfehler und ein schiefes Layout. Die Nachrichten des Jahres 2026 sind sprachlich sauber und im Erscheinungsbild pixelgenau. Wer nach Tippfehlern sucht, sucht am falschen Ort. Wie weit das geht, haben wir am Beispiel einer gefälschten Sicherheitswarnung beschrieben, die über den echten Versandweg des Herstellers lief und alle technischen Echtheitsprüfungen bestand.

Wie du einen Link auf Phishing prüfst, ohne ihn anzuklicken

Der verlässlichste Test kostet dich zehn Sekunden und besteht darin, den Link gar nicht erst zu benutzen. Öffne stattdessen die Börse oder die Wallet-App so, wie du es immer tust, über dein eigenes Lesezeichen oder die installierte App. Steht dort dieselbe Meldung, war die Mail echt. Steht sie dort nicht, hast du deine Antwort, ohne irgendetwas riskiert zu haben.

Willst du den Link trotzdem beurteilen, achte auf die Stelle direkt vor dem ersten einzelnen Schrägstrich. Das ist die tatsächliche Domain. Alles davor kann frei erfunden sein. Eine Adresse der Form boersenname.sicherheit-login.example gehört nicht der Börse, sondern dem Betreiber von sicherheit-login.example. Kriminelle setzen außerdem auf ähnlich aussehende Zeichen und auf zusätzliche Bindestriche. Am Handy hilft langes Drücken auf den Link, um die Zieladresse einzublenden, ohne sie zu öffnen.

Zwei Ergänzungen für den Krypto-Alltag. Erstens: Ein Zertifikat und das Schloss-Symbol im Browser sagen nur, dass die Verbindung verschlüsselt ist. Betrügerische Webseiten haben es genauso. Zweitens: Wird dir eine Wallet-Verbindung angeboten, bevor du überhaupt etwas gelesen hast, schließe die Seite. Seriöse Anbieter fragen die Verbindung erst dann ab, wenn du eine konkrete Handlung ausgelöst hast.

Welche Daten eine Krypto-Börse niemals per Mail erfragt

Drei Angaben sind absolut. Ein seriöser Anbieter fragt sie unter keinen Umständen ab, weder per Mail, noch am Telefon, noch im Chat des Supports.

Die Seed Phrase ist die Wiederherstellungsphrase deiner Wallet, meist zwölf oder vierundzwanzig Wörter in fester Reihenfolge. Aus ihr lässt sich jeder private Schlüssel deiner Wallet neu berechnen. Wer sie hat, hat deine Coins, sofort und ohne weiteren Schritt. Kein Hersteller, kein Support und keine Behörde braucht sie jemals. Der private Schlüssel ist der kryptografische Wert, mit dem eine einzelne Adresse Transaktionen unterschreibt; für ihn gilt dasselbe. Der Zwei-Faktor-Code aus deiner Authenticator-App ist dreißig Sekunden gültig und genau dafür gedacht, dass niemand außer dir ihn kennt. Wer dich danach fragt, sitzt in diesem Moment vor dem Anmeldeformular deiner Börse.

Eine vierte Angabe ist heikler, weil sie harmlos wirkt: der Bildschirmfoto-Beweis. Ein angeblicher Support bittet dich, einen Screenshot deines Kontos oder deiner Wallet-Oberfläche zu schicken. Daraus lesen Kriminelle Kontostände, verwendete Netzwerke und manchmal Teile von Adressen ab und bauen damit die nächste, noch glaubwürdigere Nachricht. Schick keine Bildschirmfotos an jemanden, der dich zuerst kontaktiert hat.

Fake-Support und Wallet-Drainer: die Maschen, die aus geleakten Daten Geld machen

Aus einem Datensatz entstehen in der Praxis vier Betrugsmaschen, die du auseinanderhalten solltest, weil sie unterschiedliche Abwehr verlangen.

Der falsche Support. Du erhältst einen Anruf oder eine Nachricht von der angeblichen Sicherheitsabteilung deiner Börse. Man kennt deinen Namen, deine letzte Einzahlung und nennt eine angebliche verdächtige Auszahlung. Die Lösung, die man dir anbietet, ist immer dieselbe: ein Code, den du vorlesen sollst, oder eine Überweisung auf ein „sicheres Verwahrkonto". Lege auf und ruf über die Nummer zurück, die auf der Webseite des Anbieters steht.

Die gefälschte Anmeldeseite. Der Klassiker unter den Phishing-Attacken. Der Link führt auf eine Kopie der Börse, deine Eingabe landet bei den Kriminellen, und sie melden sich damit in Echtzeit im echten Konto an. Der einzige zuverlässige Schutz dagegen ist ein zweiter Faktor, der sich nicht weiterreichen lässt: ein Passkey oder ein Sicherheitsschlüssel, der an die echte Domain gebunden ist und auf einer Kopie schlicht nicht funktioniert.

Der Wallet-Drainer. Diese Masche zielt nicht auf dein Passwort, sondern auf deine Unterschrift. Du landest auf einer Seite, verbindest deine Wallet und bestätigst eine Freigabe. Smart Contracts können so gestaltet sein, dass diese eine Freigabe einem fremden Vertrag erlaubt, deine Token jederzeit abzubuchen. Die Wallet zeigt dir dabei keinen Betrag an, sondern eine technische Berechtigung, und genau darauf setzen die Kriminellen. Lies bei jeder Signatur, welche Berechtigung erteilt wird, und brich ab, wenn du sie nicht verstehst.

Der gefälschte Rückruf oder Austausch. Besonders nach Lecks bei Hardware-Anbietern beliebt. Dir wird ein kostenloser Austausch deines Geräts angeboten, und das neue Gerät kommt mit einer bereits vorbereiteten Wiederherstellungsphrase. Ein Gerät, das dir eine fertige Seed Phrase mitliefert, ist immer manipuliert. Eine echte Wallet erzeugt die Phrase bei der Einrichtung selbst, vor deinen Augen.

Krypto-Scams jenseits von Phishing: womit du die Masche nicht verwechseln solltest

Wer Krypto-Betrug erkennen will, sollte die gängigen Krypto-Scams auseinanderhalten, denn sie verlangen unterschiedliche Gegenmaßnahmen. Phishing greift einen Zugang ab, den du bereits besitzt. Die übrigen verbreiteten Maschen setzen darauf, dass du freiwillig neues Geld einzahlst.

Beim Anlagebetrug bauen Krypto-Betrüger über Wochen eine Beziehung auf, meist über Messenger oder Partnerbörsen, und führen den Anleger auf eine erfundene Handelsplattform mit steigenden Zahlen. Die erste kleine Auszahlung funktioniert und schafft Vertrauen; danach steigen die geforderten Zahlungen, und am Ende verlangt der angebliche Anbieter eine Gebühr, bevor überhaupt etwas ausgezahlt wird. Beim Rug Pull verschwindet das Team eines frisch gestarteten Tokens samt der eingesammelten Mittel. Beim gefälschten Gewinnspiel wirbt ein gekapertes Profil mit einer Verdopplung, wenn du zuerst etwas an eine genannte Adresse schickst.

Die Grenze zwischen beiden Welten ist fließend, weil dieselben Taktiken auf denselben geleakten Datensätzen aufbauen. Zur Vorsicht gehört deshalb eine einfache Faustregel: Beim Phishing will jemand etwas von dir, das du schon hast. Beim Anlagebetrug verspricht dir jemand etwas, das es nicht gibt. Beide Methoden enden auf derselben Blockchain, und in beiden Fällen ist das Risiko eines Totalverlusts real.

Sofort nach dem Klick: was in der ersten Stunde zählt

Angenommen, es ist passiert. Du hast auf den Link geklickt, Daten eingegeben oder eine Freigabe unterschrieben. Dann entscheidet die Reihenfolge, nicht die Geschwindigkeit allein.

1. Trenne den Zugriff. Hast du Zugangsdaten eingegeben, ändere das Passwort der Börse von einem anderen Gerät aus und melde alle aktiven Sitzungen ab. Diese Funktion heißt je nach Anbieter „Geräte verwalten" oder „aktive Sitzungen".
2. Verschiebe das Guthaben, wenn eine Wallet betroffen ist. Hast du eine Freigabe unterschrieben, hilft kein Passwortwechsel. Übertrage die verbliebenen Bestände auf eine neu eingerichtete Wallet mit frischer Seed Phrase. Die alte Wallet gilt ab diesem Moment als verbrannt.
3. Zieh die erteilten Berechtigungen zurück. Auf Netzwerken mit Smart Contracts kannst du bestehende Freigaben widerrufen. Das ersetzt Schritt zwei nicht, verhindert aber weiteren Abfluss, solange du noch umziehst.
4. Sichere die Beweise. Mach Bildschirmfotos der Nachricht samt vollständiger Kopfzeilen und notiere die Transaktionen mit Uhrzeit und Adresse. Ohne diese Unterlagen kommt eine Anzeige nicht weit.
5. Erstatte Anzeige und informiere den Anbieter. Die Anzeige geht an jede Polizeidienststelle oder online an die Internetwache deines Bundeslandes. Der Anbieter kann Empfängeradressen markieren, wenn die Mittel bei einer regulierten Börse landen.

Zur Erwartungshaltung gehört die unangenehme Wahrheit: Der Rückholweg ist schmal. Er existiert praktisch nur, wenn die gestohlenen Beträge auf einer regulierten Plattform mit Identitätsprüfung ankommen und dort schnell genug eingefroren werden. Je länger du wartest, desto unwahrscheinlicher wird das.

Hardware Wallet, Passkeys und Auszahlungslisten: was Phishing dauerhaft entwertet

Die wirksamsten Maßnahmen sind die, die einen erfolgreichen Betrugsversuch folgenlos machen, statt ihn erkennen zu müssen. Drei davon lohnen sich für jeden, der mehr als ein paar hundert Euro in Kryptowährungen hält.

Eine Hardware Wallet hält den privaten Schlüssel in einem Gerät, das nie mit dem Internet spricht. Jede Transaktion muss am Gerät selbst mit einem Knopfdruck bestätigt werden, und das Display zeigt dabei Empfänger und Betrag an. Eine gefälschte Webseite kann dir viel vorspielen, aber sie kann diesen Knopf nicht drücken. Welche Geräte sich unterscheiden und worauf du beim Kauf achten solltest, haben wir im Vergleich der Hardware-Wallets zusammengestellt. Kauf ein solches Gerät ausschließlich direkt beim Hersteller.

Ein Passkey oder ein Sicherheitsschlüssel ersetzt den Code aus der Authenticator-App durch ein Verfahren, das an die echte Domain gebunden ist. Auf einer nachgebauten Anmeldeseite entsteht schlicht keine gültige Antwort. Damit fällt die häufigste Masche gegen Börsenkonten weg. Prüfe in den Sicherheitseinstellungen deiner Börse, ob das angeboten wird, und richte es ein, bevor du es brauchst.

Eine Liste zugelassener Auszahlungsadressen ist die am meisten unterschätzte Einstellung. Viele Krypto-Börsen erlauben dir, Auszahlungen nur noch an vorher hinterlegte Adressen zuzulassen, mit einer Wartezeit von ein oder zwei Tagen für jede neue Adresse. Selbst wer dein Konto übernimmt, kommt dann nicht mehr sofort an dein Geld, und du hast Zeit zu reagieren.

Ergänzend gilt für den Alltag: eine eigene Mailadresse nur für Krypto-Konten, ein Passwortmanager mit einem eigenen Passwort je Anbieter, und keine Krypto-Beträge in offenen Profilen auf Social Media. Wer nicht als Halter erkennbar ist, steht auf weniger Listen.

Woran du einen zugelassenen Anbieter erkennst, und warum das gegen Phishing hilft

Seit der europäischen Krypto-Verordnung MiCA brauchen Anbieter, die sich in der EU an Privatkunden richten, eine Zulassung, in Deutschland erteilt und beaufsichtigt von der BaFin. Für dich ist das aus zwei Gründen ein Phishing-Schutz. Erstens veröffentlicht die Aufsicht die Liste der zugelassenen Unternehmen; wer dort nicht steht, ist kein Kandidat für dein Geld. Zweitens haben zugelassene Anbieter feste Regeln für ihre Kundenkommunikation, was die Zahl der erlaubten Wege kleiner und damit überprüfbarer macht. Welche Pflichten dabei gelten, ordnen wir laufend im Überblick zur MiCA-Lizenz ein.

Die Masche, die daran andockt, kennen wir schon aus dem Jahr 2025: Betrüger geben sich als nicht zugelassener Anbieter aus, der seine EU-Kunden angeblich zum Abzug ihrer Bestände auffordern muss. Wie sich eine solche Aufforderung prüfen lässt, haben wir in einem eigenen Ratgeber zur Auszahlungsaufforderung nach dem MiCA-Stichtag beschrieben. Der Prüfweg ist derselbe wie in diesem Text: nie über den Link in der Nachricht, immer über den selbst geöffneten Zugang.

Phishing melden: Verbraucherzentrale, Anbieter und Strafverfolgung

Eine Meldung nützt dir selbst wenig und allen anderen viel, weil erkannte Wellen schneller geblockt werden. Drei Adressen lohnen sich.

Die Verbraucherzentralen betreiben ein Sammelpostfach für verdächtige Nachrichten und veröffentlichen die erkannten Maschen laufend im Phishing-Radar. Ein Blick dorthin lohnt auch vorbeugend, wenn dir eine Nachricht merkwürdig vorkommt. Der Anbieter selbst, in dessen Namen die Mail verschickt wurde, hat fast immer eine eigene Meldeadresse für Missbrauch; sie steht im Hilfebereich. Und die Polizei nimmt Anzeigen online über die Internetwachen der Bundesländer entgegen, auch dann, wenn noch kein Schaden entstanden ist.

Krypto-Phishing: Was du daraus mitnimmst

1. Prüfe deine Sicherheitseinstellungen heute, nicht nach dem nächsten Leck. Zweiter Faktor auf Passkey umstellen, Auszahlungsliste aktivieren, alte Sitzungen abmelden. Ob dein Anbieter das überhaupt bietet, siehst du im Vergleich der regulierten Krypto-Börsen.
2. Bring den Schlüssel aus dem Browser heraus. Wer Bestände langfristig hält, verwahrt sie auf einem Gerät mit physischer Bestätigung. Die Unterschiede und die Preise findest du im Hardware-Wallet-Vergleich.
3. Trenne Alltag und Lager. Eine kleine Software-Wallet für Käufe und Freigaben, eine getrennte Adresse ohne jede Vertragsfreigabe für den Bestand. Welche Software-Wallets sich dafür eignen, steht im Software-Wallet-Vergleich.

(Stand: 20. September 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)