SafePal-Datenleck: 39.798 Kunden mit Namen, Adressen und Telefonnummern betroffen

Der Hardware-Wallet-Anbieter SafePal hat am 16. August 2026 ein Datenleck eingeräumt: Bei 39.798 Kundinnen und Kunden sind Name, E-Mail-Adresse, Lieferanschrift, Telefonnummer und Angaben zur Bestellung abgeflossen. Seed Phrases, private Schlüssel und Zahlungsdaten waren nach Darstellung des Unternehmens nicht betroffen. Wer zwischen dem 2. März 2025 und dem 11. April 2026 ein Gerät bestellt hat, sollte das jetzt prüfen, denn die Kombination aus Wohnadresse und der Information "besitzt eine Hardware-Wallet" ist genau das, was zielgenaue Betrugsversuche möglich macht.

Das Unternehmen hat betroffene Kunden per E-Mail benachrichtigt und ein Prüfwerkzeug bereitgestellt, mit dem sich anhand der Bestellnummer feststellen lässt, ob die eigene Bestellung im Leck steckt. Der Vorfall ist innerhalb von zwei Wochen der zweite dieser Art in der Branche.

Was beim SafePal-Datenleck genau passiert ist

Ursache war nach Angaben von SafePal ein Autorisierungsfehler in einem Plugin für die Bestellverfolgung. Ein Autorisierungsfehler bedeutet, dass eine Anwendung zwar prüft, ob jemand angemeldet ist, aber nicht, ob diese Person die angeforderten Daten überhaupt sehen darf. Unter bestimmten Bedingungen konnte darüber die Bestellung eines fremden Kunden eingesehen werden.

Hinzu kam ein zweiter, unabhängiger Fehler. Nach der Recherche von BleepingComputer verhinderte eine fehlerhafte Konfiguration zwischen September 2025 und April 2026, dass alte Bestelldatensätze planmäßig gelöscht wurden. Dadurch lagen deutlich mehr historische Daten im System, als dort hätten liegen dürfen. Erst dieses Zusammenspiel erklärt, warum der Bestellzeitraum bis in den März 2025 zurückreicht.

Die zeitliche Abfolge ist für die Einschätzung wichtiger als die reine Zahl. Ein erster Hinweis auf das Problem erreichte SafePal Anfang Mai 2026. Im Juli begann das Unternehmen eine vollständige Überprüfung und einen Neubau der Bestellabwicklung und stieß dabei auf die Schwachstelle. Die öffentliche Mitteilung folgte am 16. August. Zwischen dem ersten Hinweis und der Benachrichtigung der Betroffenen liegen damit gut drei Monate.

Welche Daten abgeflossen sind und welche nicht

SafePal listet in seiner Sicherheitsmitteilung beide Seiten ausdrücklich auf. Betroffen sind Name, E-Mail-Adresse, Versandanschrift, Telefonnummer und Kaufdetails. Nicht betroffen sind nach Unternehmensangabe Seed Phrase, private Schlüssel, Wallet-Passwort und sonstige Wallet-Zugangsdaten sowie Bankverbindungen, Kartennummern und amtliche Ausweisnummern.

Die Seed Phrase ist die Folge von zwölf oder vierundzwanzig Wörtern, aus der sich alle Schlüssel einer Wallet wiederherstellen lassen. Wer sie kennt, hat vollen Zugriff auf das Guthaben, unabhängig davon, wo das Gerät gerade liegt. Dass sie nicht im Leck steckt, ist die gute Nachricht dieses Vorfalls: Ein direkter Abfluss von Guthaben ist über die geleakten Daten nicht möglich.

Das ist allerdings nur die halbe Betrachtung. Ein Angreifer, der Namen, Wohnadresse, Telefonnummer und Bestelldatum kennt, braucht die Seed Phrase nicht zu stehlen. Er kann versuchen, sie sich geben zu lassen. Genau darin liegt der Unterschied zwischen einem gewöhnlichen Adressleck und einem Adressleck bei einem Wallet-Hersteller.

Ein weiterer Punkt gehört zum vollständigen Bild: Nach Berichten von BleepingComputer und dem Fachdienst Help Net Security bietet ein Akteur in einem Cybercrime-Forum einen Datensatz an, der dieselbe Kundenzahl und denselben Bestellzeitraum nennt. Ob dieses Angebot echt ist, gilt bislang als unbestätigt. Für die eigene Vorsicht macht das keinen Unterschied, denn der sichere Umgang mit unerwarteten Kontakten ist in beiden Fällen derselbe.

Bin ich vom SafePal-Datenleck betroffen? So prüfst du deine Bestellung

Es gibt drei Wege, die sich gegenseitig ergänzen und die zusammen ein verlässliches Bild ergeben.

Bestellzeitraum, Benachrichtigung und Prüfwerkzeug

Der erste Weg ist der Kalender. Betroffen sind ausschließlich Bestellungen zwischen dem 2. März 2025 und dem 11. April 2026. Wer früher oder später bestellt hat, fällt nach Darstellung des Unternehmens nicht in das Leck. Der zweite Weg ist das Postfach: SafePal hat betroffene Kunden am 16. August per E-Mail von der Absenderadresse security@safepal.com benachrichtigt. Der dritte Weg ist das Prüfwerkzeug, in das sich Bestellnummer und Versandland eintragen lassen.

Beim Prüfwerkzeug ist ein Detail entscheidend, das leicht untergeht. Rufe die Seite ausschließlich über die direkt eingetippte Adresse www.safepal.com auf und folge keinem Link aus einer E-Mail. SafePal hat nach eigenen Angaben bereits mehr als 30 gefälschte Websites und Phishing-Links entfernen lassen. Solche Nachbauten leben davon, dass sie im richtigen Moment auftauchen, und der richtige Moment ist genau jetzt.

Warum eine Lieferadresse gefährlicher ist als ein geleaktes Passwort

Ein geleaktes Passwort lässt sich in zwei Minuten ändern. Eine Wohnadresse und eine Telefonnummer lassen sich nicht ändern, und die Information, dass an dieser Adresse jemand wohnt, der Kryptowerte in Selbstverwahrung hält, veraltet nicht. Das ist der Kern des Problems und der Grund, warum Adresslecks bei Wallet-Herstellern eine eigene Kategorie bilden.

Daraus ergeben sich zwei Risikopfade. Der erste ist das gezielte Phishing. Phishing bezeichnet den Versuch, über eine vorgetäuschte Identität an Zugangsdaten zu gelangen. Ein Angreifer, der deinen Namen, dein Kaufdatum und dein Gerätemodell nennt, überspringt die übliche Hürde: Der Kontakt wirkt nicht wie eine Massenmail, sondern wie ein Rückruf zu einem Vorgang, den es tatsächlich gab.

Der zweite Pfad ist der unangenehmere. In der Branche hat sich für den körperlichen Angriff auf Wallet-Besitzer der Begriff Wrench Attack eingebürgert: Statt Verschlüsselung zu brechen, wird der Besitzer selbst unter Druck gesetzt, seine Schlüssel herauszugeben. Eine belastbare Adressliste ist dafür die Voraussetzung. Cryptoticker hat diesen Zusammenhang am 25. April 2026 im Zusammenhang mit der Entführungsserie in Frankreich beschrieben; die dortige Kette begann ebenfalls mit offengelegten Daten.

Wer daraus die Konsequenz zieht, das eigene Verwahrkonzept zu überdenken, findet im Hardware-Wallet-Vergleich die gängigen Geräte samt ihrer Bezugswege. Das ersetzt keine Reaktion auf das Leck, es verringert nur die Angriffsfläche für den nächsten Fall.

Phishing-Anrufe seit Mai: Die Daten sind seit Monaten in Gebrauch

Der Befund, der diesen Vorfall von einer reinen Meldepflicht-Nachricht unterscheidet, steht in den Berichten von BleepingComputer und Help Net Security. Bereits im Mai 2026, also Monate vor der offiziellen Mitteilung, meldeten Kunden Phishing-Mails und Telefonanrufe, in denen es um angebliche Firmware-Updates und Sicherheitsprobleme ihrer Hardware-Wallet ging. Ein Kunde berichtete zusätzlich von einem Brief.

SafePal hat nach der Darstellung von Help Net Security keinen direkten Zusammenhang zwischen diesen Kontakten und dem Leck bestätigt. Zeitpunkt und Kenntnisstand der Anrufer deuten nach der Einschätzung des Fachdienstes aber auf eine Überschneidung hin. Für dich als Kunde bedeutet das Praktische etwas Klares: Die Annahme, das Risiko beginne erst mit der Veröffentlichung, trägt nicht. Die Angriffe liefen bereits.

Ein Firmware-Update ist die Aktualisierung der Gerätesoftware einer Hardware-Wallet. Ein solches Update stößt der Nutzer immer selbst über die offizielle Anwendung des Herstellers an, angekündigt wird es nie telefonisch. Ein Anruf, der zu einem Update drängt, ist damit unabhängig von jedem Datenleck ein Warnsignal.

Das gefälschte Ersatzgerät: Die Masche, vor der SafePal selbst warnt

Bemerkenswert ist eine Formulierung, die das Unternehmen in seine Empfehlungen aufgenommen hat. Kunden sollen jeden unerwarteten Kontakt und jede unerwartete Hardware-Lieferung, die sich auf ihren SafePal-Kauf bezieht, als verdächtig behandeln, gleich ob sie per Telefon, per Post oder persönlich erfolgt.

Dass ein Hersteller ausdrücklich vor Paketen warnt, die scheinbar von ihm selbst kommen, hat einen Hintergrund. Ein manipuliertes Gerät, das mit einer vorbereiteten Anleitung und einer bereits vorgegebenen Wiederherstellungsphrase ausgeliefert wird, übergibt die Kontrolle über alle später darauf verwahrten Bestände an den Absender. Der Empfänger merkt davon zunächst nichts, weil das Gerät äußerlich funktioniert.

Die Regel dagegen ist unspektakulär und wirksam: Ein Gerät, das du nicht selbst bestellt hast, wird nicht in Betrieb genommen. Eine Wiederherstellungsphrase, die einem Gerät beiliegt, ist niemals echt, weil sie ausschließlich auf dem Gerät selbst entsteht. Und eine Seed Phrase wird unter keinen Umständen auf einer Website, in einem Formular oder am Telefon eingegeben. Wie du sie stattdessen aufbewahrst, haben wir in unserem Leitfaden zur Aufbewahrung der Seed Phrase zusammengestellt.

Zweiter Fall in zwei Wochen: Was Trezor und SafePal verbindet

Am 13. August 2026 hatte Cryptoticker über ein Datenleck bei Trezor berichtet, bei dem nach dem damaligen Stand 13.689 Kunden mit Namen, Telefonnummern und Wohnadressen betroffen waren; die Daten waren dort über den Logistikdienstleister ShipMonk abgeflossen. Die Einzelheiten stehen in unserer Meldung zum Trezor-Datenleck.

Die technischen Ursachen der beiden Fälle haben nichts miteinander zu tun. Der eine lag bei einem externen Versanddienstleister, der andere in einem selbst betriebenen Plugin. Gemeinsam ist ihnen der Ort: In beiden Fällen war nicht das Gerät das Ziel und auch nicht die Kryptografie dahinter, sondern der Bestellvorgang.

Das ist die eigentliche Lehre aus der Doppelung. Die Sicherheitsarchitektur einer Hardware-Wallet ist darauf ausgelegt, dass der private Schlüssel das Gerät nie verlässt, und sie erfüllt diesen Zweck. Der Kaufvorgang davor ist ein gewöhnlicher Onlineshop mit Adressdatenbank, Versandabwicklung und Drittanbieter-Plugins, und er wird nach den Maßstäben eines Onlineshops betrieben. Zwei Vorfälle in vierzehn Tagen sind eine zu kleine Zahl für eine Statistik, aber sie reichen aus, um diese Asymmetrie sichtbar zu machen.

Praktisch folgt daraus eine Frage, die sich vor jedem Kauf stellen lässt: Welche Daten muss der Händler überhaupt haben, und wie lange behält er sie? SafePal hat als Reaktion angekündigt, Kaufdatensätze künftig nach 90 Tagen zu entfernen, soweit gesetzliche Vorgaben nichts anderes verlangen. Kürzere Aufbewahrungsfristen sind das wirksamste Mittel gegen genau diese Art von Leck, weil abgeflossene Daten nur so alt sein können wie der Bestand, der noch vorhanden ist.

Was du als SafePal-Kunde in den nächsten Tagen konkret tun solltest

Die Reaktion auf ein Adressleck unterscheidet sich grundlegend von der Reaktion auf ein Passwortleck. Es gibt nichts zurückzusetzen. Was bleibt, ist die Vorbereitung auf Kontakte, die kommen werden.

Fünf Punkte für die nächsten Wochen

Prüfe zuerst über die direkt eingetippte Herstelleradresse, ob deine Bestellung im Leck steckt, und sieh im Postfach nach, ob eine Benachrichtigung eingegangen ist. Behandle danach jeden eingehenden Kontakt, der sich auf deinen Kauf bezieht, unabhängig vom Kanal als unbestätigt, bis du ihn selbst über einen offiziellen Weg verifiziert hast. Nimm keine Hardware in Betrieb, die du nicht selbst bestellt hast. Gib deine Seed Phrase unter keinen Umständen ein, auch nicht in ein Formular, das echt aussieht. Und überdenke die Lieferadresse für künftige Bestellungen, etwa über eine Packstation oder eine abweichende Zustelladresse.

Was du nicht tun musst: das Gerät austauschen oder die Wallet neu aufsetzen. Da nach Darstellung des Unternehmens keine Wallet-Zugangsdaten betroffen sind, gibt es dafür keinen Anlass. Wer aus Vorsicht dennoch umziehen will, sollte das über eine selbst kontrollierte Neueinrichtung mit frisch erzeugter Seed Phrase tun und nicht über ein zugesandtes Gerät.

DSGVO und Datenleck: Welche Rechte du als deutscher Kunde hast

Auch wenn SafePal seinen Sitz nicht in der EU hat, greift die Datenschutz-Grundverordnung, sobald Waren an Personen in der EU geliefert werden. Für dich folgen daraus zwei praktische Ansprüche. Nach Artikel 15 DSGVO kannst du Auskunft darüber verlangen, welche Daten zu deiner Person gespeichert sind. Nach Artikel 34 DSGVO ist ein Verantwortlicher verpflichtet, Betroffene unverzüglich zu benachrichtigen, wenn eine Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für sie bedeutet.

Ob die Benachrichtigung im vorliegenden Fall den Maßstab der Unverzüglichkeit erfüllt, ist eine Bewertung, die Aufsichtsbehörden vornehmen und nicht wir. Festhalten lässt sich nur die Chronologie: erster Hinweis Anfang Mai, Benachrichtigung Mitte August. Wer den Vorgang weiterverfolgen möchte, kann sich an die für den Anbieter zuständige Datenschutzaufsicht wenden; in Deutschland ist die jeweilige Landesdatenschutzbehörde die richtige Anlaufstelle für eine Beschwerde.

Unabhängig davon lohnt die Dokumentation. Bewahre die Benachrichtigungsmail und das Ergebnis der Prüfung auf. Sollte es später zu einem Schaden kommen, ist der Nachweis, wann du wovon Kenntnis hattest, der Ausgangspunkt jeder weiteren Auseinandersetzung.

SafePal-Datenleck prüfen: Was du daraus mitnimmst

Der Vorfall betrifft eine überschaubare Gruppe, aber für diese Gruppe ist er ernst, weil die abgeflossenen Angaben dauerhaft gültig bleiben. Drei Schritte bringen dich in wenigen Minuten in eine belastbare Lage.

1. Bestellung prüfen und Kontakte einordnen. Sieh nach, ob dein Kauf in den Zeitraum zwischen dem 2. März 2025 und dem 11. April 2026 fällt, und prüfe das Ergebnis über die selbst eingetippte Herstelleradresse. Behandle jeden Anruf und jede Nachricht zu deinem Kauf bis zur eigenen Gegenprobe als unbestätigt. Wenn du danach über die Verwahrung neu nachdenkst, ist der Hardware-Wallet-Vergleich der sachliche Einstieg.
2. Kein unbestelltes Gerät in Betrieb nehmen. Diese eine Regel deckt die gefährlichste Variante der Masche vollständig ab. Für Beträge, bei denen sich eine Postzustellung ohnehin nicht lohnt, ist der Software-Wallet-Vergleich die naheliegende Alternative.
3. Datensparsamkeit zur Gewohnheit machen. Kürzere Aufbewahrungsfristen und weniger hinterlegte Angaben begrenzen den Schaden des nächsten Lecks, bevor es passiert. Das gilt für Händler ebenso wie für Handelsplätze; welche Anbieter unter europäischer Aufsicht stehen, zeigt die Übersicht der regulierten Kryptobörsen.

(Stand: 20. August 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)