Pocket-Bitcoin-Datenleck: Wenn Name, Wohnanschrift und Bitcoin-Adresse zusammen im Umlauf sind

Beim Schweizer Bitcoin-Dienstleister Pocket Bitcoin sind nach Darstellung des Unternehmens Daten von 5.411 Kundinnen und Kunden offengelegt worden. Bei 291 von ihnen waren nach der Aufstellung des Anbieters auch die Bitcoin-Adressen dabei, die sie für ihre Käufe genutzt haben, dazu Ausweiskopien und Belege zur Mittelherkunft. Genau diese Kombination ist der Teil, der über den Einzelfall hinausreicht: Ein Name neben einer Bitcoin-Adresse lässt sich nicht zurücknehmen, weil die Blockchain jede Bewegung dieser Adresse für jeden sichtbar aufbewahrt.

Die Coins selbst sind nach Angaben des Unternehmens nicht betroffen. Trotzdem ist der Vorfall für jeden lesenswert, der Bitcoin über einen Anbieter kauft und auf die eigene Wallet auszahlen lässt. Denn dieselbe Datenpaarung aus Ausweisdaten und Empfangsadresse entsteht bei jedem Kauf, bei jeder Auszahlung und bei jeder Adressfreigabe, auch in Deutschland. Der Vorfall zeigt, was daraus wird, wenn sie einmal das Haus verlässt.

Was beim Pocket-Bitcoin-Datenleck passiert ist

Pocket Bitcoin ist ein Schweizer Anbieter, der eingehende Banküberweisungen in Bitcoin tauscht und die Coins direkt an die Wallet der Kundin oder des Kunden schickt. Das Unternehmen verwahrt nach eigener Darstellung keine Schlüssel; es ist ein sogenannter nicht-verwahrender Dienst. Nicht-verwahrend heißt: Der Anbieter kann über die Coins nach der Auszahlung nicht mehr verfügen, weil der private Schlüssel beim Nutzer bleibt.

Den Vorfall hat das Unternehmen erstmals am 21. August 2026 öffentlich gemacht. Am 31. August folgte ein ausführlicher Zwischenstand, den Pocket Bitcoin am 3. September 2026 noch einmal überarbeitet und damit die Untersuchung abgeschlossen hat. In dieser letzten Fassung steht die Zahl, die den Vorfall neu vermisst: 5.411 Betroffene statt der zunächst genannten kleineren Gruppe. Nachzulesen ist das im Security Incident Update des Unternehmens.

Als Einfallstor benennt der Anbieter sein Support-System. Dort lagen Unterlagen, die im Austausch mit Partnerbanken entstanden waren. Die Lücke sei inzwischen geschlossen. Gemeldet wurde der Vorfall dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten in der Schweiz und der Datenschutzstelle Liechtensteins, außerdem hat das Unternehmen Anzeige erstattet.

Wer betroffen ist: 5.120 Kunden mit Kontobewegungen, 291 mit Ausweiskopien

Das Unternehmen unterscheidet zwei Gruppen, und der Unterschied ist für die Bewertung des Risikos wichtiger als die Gesamtzahl.

Die größere Gruppe umfasst 5.120 Personen. Betroffen sind hier Transaktionslisten, die der Anbieter von Partnerbanken erhalten hatte. Sie enthalten Namen, Anschriften sowie einzelne Überweisungen mit Betrag und Datum, bei einem Teil der Betroffenen zusätzlich die IBAN. Wer in dieser Gruppe steht, dessen Kaufhistorie liegt damit in Euro- oder Frankenbeträgen offen, aber ohne Bezug zu einer konkreten Bitcoin-Adresse.

Die kleinere Gruppe umfasst 291 Personen und wiegt schwerer. Hier geht es um Korrespondenz, die an Partnerbanken gegangen war. Nach der Aufstellung des Unternehmens konnten darin Namen, Postanschriften, die für Transaktionen genutzten Bitcoin-Adressen, Kopien von Ausweisdokumenten und Nachweise zur Mittelherkunft enthalten sein, in unterschiedlichen Kombinationen. Ein Nachweis zur Mittelherkunft ist ein Beleg, mit dem ein Anbieter dokumentiert, woher das eingezahlte Geld stammt, etwa eine Gehaltsabrechnung oder ein Kaufvertrag.

Diese 291 Datensätze sind der eigentliche Kern des Vorfalls. Alles andere lässt sich mit den üblichen Mitteln eindämmen: Eine offengelegte IBAN wird gewechselt, ein Ausweis wird neu ausgestellt, eine Anschrift ändert sich beim nächsten Umzug. Eine Bitcoin-Adresse, die einmal mit einem Namen verknüpft wurde, bleibt verknüpft.

Bin ich vom Pocket-Bitcoin-Datenleck betroffen? Woran du es erkennst

Nach Darstellung des Unternehmens wurden alle betroffenen Personen einzeln kontaktiert, mit einer Beschreibung dessen, was im jeweiligen Fall offengelegt wurde. Wer keine solche persönliche Nachricht erhalten hat, ist nach dieser Logik nicht in einer der beiden Listen. Diese Auskunft stammt vom Anbieter selbst; eine unabhängige Prüfliste, in der man die eigene Adresse nachschlagen könnte, gibt es nicht.

Praktisch heißt das: Sieh im Postfach nach, das du beim Anbieter hinterlegt hast, und zwar auch im Spam-Ordner und im Werbe-Tab. Prüfe das Datum. Eine Benachrichtigung aus der Woche nach dem 3. September 2026 gehört zur abgeschlossenen Untersuchung, eine ältere aus dem August zum ersten Zwischenstand, der die kleinere Zahl nannte. Beide Fälle können dieselbe Person betreffen, mit unterschiedlichem Umfang.

Was du dabei niemals tun solltest: einem Link folgen, der dich zur Eingabe einer Wiederherstellungsphrase auffordert. Kein seriöser Anbieter fragt danach, und Pocket Bitcoin stellt das in seiner Mitteilung ausdrücklich klar. Dasselbe gilt für jede Aufforderung, ein Guthaben zur Sicherheit auf eine fremde Adresse zu verschieben.

Was eine offengelegte Bitcoin-Adresse über dein Guthaben verrät

Was eine Bitcoin-Adresse ist

Eine Bitcoin-Adresse ist eine Zeichenfolge, an die Coins geschickt werden. Sie ist kein Konto und kein Geheimnis, sondern eine öffentliche Empfangsangabe, vergleichbar mit einer Kontonummer, deren sämtliche Buchungen jeder einsehen kann. Genau darin liegt der Unterschied zum Bankkonto: Bei der Bank sieht Bewegungen nur, wer Zugriff hat. In der Blockchain sieht sie jeder, dauerhaft und ohne Anmeldung.

Wer eine Adresse kennt, kann in einem beliebigen Blockchain-Explorer nachsehen, wie viel darauf liegt, wann etwas ein- und ausgegangen ist und wohin es weiterging. Solange niemand weiß, zu wem die Adresse gehört, ist das eine anonyme Zahlenreihe unter Millionen anderen. Kommt ein Name dazu, kippt die Bewertung. Aus der Zahlenreihe wird eine Vermögensauskunft mit Zeitstempel.

Bei den 291 Datensätzen liegt genau diese Zuordnung vor. Wie viel dort tatsächlich zu sehen ist, hängt davon ab, was die betroffene Person seither getan hat. Wer die erhaltenen Coins nie bewegt hat, dessen Bestand steht sichtbar auf der Adresse. Wer sie weitergeschickt hat, hat die Spur verlängert, aber nicht beendet.

Warum ein Adresswechsel die Spur nur halb kappt

Die naheliegende Reaktion lautet: Coins auf eine neue Adresse schicken, fertig. So einfach ist es nicht. Eine Überweisung in der Blockchain löscht die alte Verbindung nicht, sie hängt eine neue daran. Wer die alte Adresse kennt, sieht den Abgang und sieht auch die Empfangsadresse. Die Zuordnung wandert mit.

Was Coin-Control bedeutet

Coin-Control ist die Möglichkeit, in einer Wallet gezielt auszuwählen, welche einzelnen Guthabenposten für eine Zahlung verwendet werden. Der Nutzen liegt in der Trennung: Wer Coins aus einer offengelegten Adresse nie mit Coins aus anderen Quellen in einer gemeinsamen Transaktion zusammenführt, verhindert, dass ein Beobachter beide Bestände derselben Person zuschreibt. Werden sie dagegen gemeinsam ausgegeben, gilt in der Kettenanalyse die naheliegende Annahme, dass sie einer Hand gehören.

Für Betroffene heißt das konkret: Bestände getrennt halten und getrennt ausgeben. Eine neue Wallet mit eigener Wiederherstellungsphrase anzulegen und dorthin ausschließlich künftige Käufe laufen zu lassen, trennt die Zukunft sauber von der Vergangenheit. Die Wallets, die Coin-Control überhaupt anbieten, unterscheiden sich erheblich; welche das sind und woran man sie erkennt, steht im Vergleich der Software-Wallets.

Wichtig ist die ehrliche Einordnung: Keine dieser Maßnahmen macht eine einmal veröffentlichte Zuordnung ungeschehen. Sie begrenzt, was künftig dazukommt. Wer sich davon vollständige Anonymität verspricht, überschätzt das Werkzeug.

Was nicht betroffen war: Private Keys, Kundendatenbank, Guthaben

Das Unternehmen führt in seiner Mitteilung ausdrücklich auf, welche Systeme nach dem Ergebnis der Untersuchung nicht kompromittiert wurden: die Kundendatenbank mit den Identitätsdaten, die Transaktionsdatenbank und die Systemzugänge. Die privaten Schlüssel verließen zu keinem Zeitpunkt das Gerät der Nutzer, weil der Dienst sie konstruktionsbedingt gar nicht hält. Ein Zugriff auf Guthaben ist damit über diesen Weg nicht möglich. Missbrauch der offengelegten Daten sei bislang nicht erkennbar, schreibt der Anbieter.

Diese Unterscheidung ist keine Beschönigung, sondern der Unterschied zwischen zwei sehr verschiedenen Schadensbildern. Bei einer Börse mit Verwahrung hätte ein Angriff auf die Kundendatenbank direkt am Guthaben gehangen. Hier liegt das Guthaben außerhalb der Reichweite des Anbieters, und der Schaden ist ein Datenschaden. Er trifft die Privatsphäre und schafft eine Angriffsfläche für Betrug, nicht für Diebstahl per Mausklick.

Der Preis dieser Bauweise steht auf der anderen Seite der Rechnung. Wer die Coins selbst hält, hat auch die Verantwortung für die Sicherung. Die Adressfreigabe, mit der eine Auszahlung eingerichtet wird, ist zudem genau der Vorgang, bei dem die hier offengelegte Datenpaarung überhaupt erst entsteht.

Gefälschte Briefe nach einem Datenleck erkennen

Das Unternehmen warnt seine Kunden vor gefälschten Briefen und anderer Post. Der Grund dafür liegt in der Art der offengelegten Daten. Wer Namen, Anschrift, Überweisungsbetrag und Datum kennt, kann ein Anschreiben verfassen, das eine echte Transaktion korrekt zitiert. Damit fällt das Erkennungsmerkmal weg, an dem sich Betrugsversuche sonst am leichtesten festmachen lassen: die Unkenntnis des Absenders.

Brauchbare Prüfpunkte bei Post, die sich auf dein Krypto-Konto bezieht:

• Ein QR-Code, der zur Wiederherstellung, Sicherung oder Migration einer Wallet auffordert, ist ein Angriff. Es gibt keinen legitimen Vorgang, der so beginnt.
• Zeitdruck im Betreff oder eine Frist von wenigen Tagen ist ein Warnzeichen, besonders wenn eine Sperre angedroht wird.
• Eine korrekt zitierte Überweisung beweist gar nichts mehr, seit diese Daten offenliegen. Behandle sie nicht als Echtheitsnachweis.
• Rückfragen gehören über einen Kanal, den du selbst gewählt hast: die im Browser getippte Adresse des Anbieters oder eine Telefonnummer aus deinen eigenen Unterlagen.
• Ein Vordruck, der eine Wiederherstellungsphrase abfragt, egal ob per Post, Formular oder Anruf, ist immer betrügerisch.

Wie professionell solche Briefe inzwischen aussehen, zeigt der Fall, den wir unter Krypto-Wallet-Phishing per Brief beschrieben haben. Dort kam die Aufforderung auf gedrucktem Papier mit Firmenanmutung, nicht per E-Mail.

Wohnanschrift plus Kaufsumme: das physische Risiko

Bei Datenlecks im Krypto-Umfeld wird oft zuerst an digitale Folgen gedacht. Die unangenehmere Folge ist eine andere. Eine Liste, die Namen, Wohnanschriften und Überweisungsbeträge zusammenführt, ist eine nach Vermögen sortierbare Adressliste. Dieselbe Sorge betraf im August bereits die Käuferdaten zweier Hardware-Wallet-Hersteller, die über einen Versanddienstleister abflossen; nachzulesen im Bericht zum Trezor-Datenleck.

Der Unterschied zu jenen Fällen: Dort verriet die Bestellung, dass jemand eine Hardware-Wallet gekauft hat, also vermutlich Kryptowerte hält. Hier steht der Betrag daneben. Das ist eine deutlich präzisere Information, und sie ist der Grund, warum Betroffene diesen Punkt nicht als übertrieben abtun sollten.

Was hilft, ist unspektakulär und wirkt trotzdem. Sprich zu Hause und im Freundeskreis nicht über Bestände. Lass Hardware und Sicherungskopien nicht am erwartbaren Ort liegen. Wer eine Wiederherstellungsphrase räumlich getrennt vom Gerät aufbewahrt, hat gegen einen Einbruch bereits das Wesentliche getan.

Welche Rechte du nach der DSGVO hast, und wo die Zehn-Jahres-Frist greift

Wer betroffen ist, hat gegenüber dem verantwortlichen Unternehmen ein Auskunftsrecht: Auf Anfrage muss es mitteilen, welche personenbezogenen Daten es verarbeitet und welche im konkreten Fall offengelegt wurden. Das ist der sinnvollste erste Schritt, weil sich erst danach beurteilen lässt, ob eine Bitcoin-Adresse im Spiel war oder nur eine Kontobewegung.

Der zweite Punkt enttäuscht viele. Ein Löschverlangen läuft bei Finanzdienstleistern regelmäßig ins Leere, weil gesetzliche Aufbewahrungspflichten vorgehen. Pocket Bitcoin verweist in seiner Mitteilung selbst darauf, kunden- und transaktionsbezogene Daten zehn Jahre nach Abschluss einer Transaktion aufbewahren zu müssen. Diese Pflicht ist der Preis der Regulierung, und sie gilt sinngemäß für jeden zugelassenen Anbieter in der EU.

Bei einem Schweizer Anbieter ist die zuständige Aufsicht der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte, nicht eine deutsche Landesdatenschutzbehörde. Betroffene mit Wohnsitz in der EU können sich dennoch zunächst an ihre heimische Aufsicht wenden, die den Fall weiterleitet. Wer eine Beschwerde erwägt, sollte die Benachrichtigung des Unternehmens aufbewahren; sie ist der Beleg für die Betroffenheit.

Was deutsche Anleger jetzt bei ihrem eigenen Anbieter prüfen sollten

Der Vorfall betrifft die Kunden eines Schweizer Anbieters. Die Datenpaarung, um die es geht, entsteht aber überall. Jede Börse und jeder Broker speichert die Auszahlungsadressen ihrer Kunden, meist im Adressbuch der Auszahlungsfunktion, oft dauerhaft. Zusammen mit den Identitätsdaten aus der Kontoeröffnung liegt damit bei jedem Anbieter genau die Zuordnung vor, die hier abgeflossen ist. Seit dem 1. Januar 2026 kommt die steuerliche Meldepflicht hinzu, die dieselben Identitätsdaten ohnehin in Bewegung bringt.

Vier Prüfungen, die sich in einer halben Stunde erledigen lassen:

1. Adressbuch durchsehen. Melde dich bei deinem Anbieter an und öffne die Liste der gespeicherten Auszahlungsadressen. Alles, was du dort nicht mehr brauchst, kannst du entfernen. Das verkleinert die Menge an Adressen, die im Ernstfall deinem Namen zugeordnet werden könnte.
2. Adressen nicht wiederverwenden. Nutzt du für jede Auszahlung dieselbe Adresse, sammelt sich dein gesamter Bestand an einem für den Anbieter bekannten Punkt. Moderne Wallets erzeugen für jeden Empfang eine neue Adresse; nutze diese Funktion, statt eine einmal notierte Adresse immer wieder einzutippen.
3. Kontaktweg festlegen. Speichere dir die offizielle Anlaufstelle deines Anbieters selbst ab. Wer im Ernstfall nicht suchen muss, klickt auch nicht auf den erstbesten Link in einer E-Mail.
4. Sicherung prüfen. Liegt deine Wiederherstellungsphrase getrennt vom Gerät, und weißt du sicher, dass sie vollständig und lesbar ist? Ein Datenleck ändert daran nichts, aber es erhöht die Wahrscheinlichkeit, dass jemand es bei dir versucht.

Ein Hinweis zur Einordnung: Bei einem nicht-verwahrenden Dienst wie in diesem Fall bleibt das Guthaben auch bei einem Datenschaden in der eigenen Hand. Das ist ein struktureller Vorteil gegenüber der dauerhaften Lagerung auf einer Handelsplattform, und er wiegt schwerer als der Komfortunterschied. Wer regelmäßig kauft und die Coins jeweils direkt abzieht, sollte die Anbieter danach auswählen, ob sie automatische Auszahlungen an die eigene Wallet unterstützen.

Pocket-Bitcoin-Datenleck: Was du daraus mitnimmst

1. Prüfe, ob dich eine persönliche Benachrichtigung erreicht hat, und lies sie darauf durch, ob eine Bitcoin-Adresse genannt wird. Nur dann liegt die kritische Zuordnung vor. Ist eine Adresse betroffen, verlege künftige Käufe auf eine frisch angelegte Wallet und führe alte und neue Bestände nicht in einer Transaktion zusammen. Welche Wallets diese Trennung sauber unterstützen, zeigt der Software-Wallet-Vergleich.
2. Behandle jede Post zu deinem Krypto-Konto ab sofort als ungeprüft, auch wenn sie eine echte Überweisung korrekt nennt. Rückfragen nur über selbst gewählte Kanäle. Und lege deine Sicherungskopie so ab, dass sie einen Einbruch übersteht; die Unterschiede zwischen den Geräten stehen im Hardware-Wallet-Vergleich.
3. Sieh dir das Adressbuch deines eigenen Anbieters an, unabhängig davon, ob du Kunde des betroffenen Dienstes bist. Wer künftig automatisch auf die eigene Wallet auszahlen lässt, verkleinert die Datenspur bei jedem einzelnen Kauf; welche Anbieter das anbieten, steht im Sparplan-Vergleich.

Die Untersuchung des Anbieters ist abgeschlossen, ein Missbrauch ist nach dessen Angaben bisher nicht erkennbar. Für die Betroffenen der kleineren Gruppe endet der Vorgang damit trotzdem nicht, denn ihre Zuordnung von Name und Adresse ist in der Welt. Eine unabhängige Zusammenfassung der Zahlen findet sich bei crypto.news.

(Stand: 4. September 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)