Trezor-Datenleck: Erst 13.689 Kunden, dann rund 67.000 weitere offengelegt

Update (1. November 2026): Seit der zweiten ShipMonk-Welle hat Trezor zwei weitere Vorfälle gemeldet. Am 9. September 2026 nutzte ein Unbefugter einen Sicherheitsvorfall beim Newsletter-Dienstleister Brevo, um vom Trezor-Konto eine Phishing-Mail mit dem Betreff „Critical Security Alert: STM32 Entropy Vulnerability“ an rund 347.000 Newsletter-Empfänger zu schicken; laut Mitteilung von Trezor (aktualisiert am 17. September) wurden 347.149 E-Mail-Adressen exportiert, Trezor sperrte die verlinkte Domain binnen 20 Minuten, und rund 2.500 Personen hatten den Link bis dahin geöffnet. Am 30. Oktober 2026 warnte Trezor vor einem gemeldeten Implantat in einem Trezor Safe 5, den ein Kunde in Indonesien im August beim Händler CryptoBilis gekauft hatte, bis Oktober offizieller Wiederverkäufer in Südostasien; Trezor hatte das Gerät noch nicht selbst untersucht, stuft den Bericht aber als glaubwürdig ein. Wer seit März 2026 bei CryptoBilis gekauft hat, soll sein Guthaben auf eine neu angelegte Wallet umziehen und erhält ein Ersatzgerät oder einen Gutschein. Für die ShipMonk-Betroffenen gilt unverändert: Wer keine E-Mail von Trezor bekommen hat, ist nicht betroffen.

Stand 30. September 2026: zweite Welle mit rund 67.000 weiteren Betroffenen

Die Zahl von 13.689 Betroffenen, um die es in diesem Beitrag geht, ist überholt. Am 4. September 2026 hat Trezor seine Mitteilung zum Vorfall ergänzt: Am 2. September habe ShipMonk mitgeteilt, dass das Leck größer war als bekannt. Es enthielt auch Bestelldaten aus der früheren Zusammenarbeit zwischen November 2019 und August 2021, obwohl Trezor sich deren Löschung nach eigenen Angaben mehrfach schriftlich hatte bestätigen lassen. Betroffen sind rund 67.000 weitere Kundinnen und Kunden in den USA, jeweils mit Name, E-Mail-Adresse, Telefonnummer, Lieferadresse und Bestellnummer.

Für die Prüfung gilt dieselbe Regel wie bei der ersten Welle: Trezor hat alle Betroffenen direkt per E-Mail benachrichtigt, und wer keine solche E-Mail erhalten hat, ist nach Angaben des Herstellers nicht betroffen. Die Geräte selbst sind laut Trezor sicher; die Gefahr liegt in gefälschten Mails, Anrufen und Briefen, die die abgeflossenen Daten nutzen. Wie du echte von gefälschten Benachrichtigungen unterscheidest, steht im Beitrag Trezor-Datenleck: Bin ich betroffen und was ist jetzt zu tun?.

Die Abschnitte darunter geben den Stand vom 13. August 2026 wieder.

Trezor hat am 13. August 2026 bestätigt, dass es bei einem seiner Versanddienstleister zu einem Datenleck gekommen ist. Betroffen sind die Bestelldaten tausender Kunden. Private Schlüssel wurden nicht angetastet, kein Gerät wurde kompromittiert. Trotzdem ist der abgeflossene Datensatz einer der gefährlichsten, die es in der Kryptobranche gibt: eine verifizierte Liste von Menschen, die eine Hardware Wallet besitzen, inklusive der Adresse, an die sie geliefert wurde.

Trezor-Hack: Was ist bei ShipMonk genau passiert?

Am Montag, dem 10. August 2026, meldete der Logistikpartner ShipMonk an Trezor, dass Unbefugte auf Systeme mit Kundenbestelldaten zugegriffen hatten. Drei Tage später, am 13. August, machte Trezor den Vorfall öffentlich.

ShipMonk lagert Trezor-Produkte und versendet Pakete an Kunden in den USA, in Großbritannien und in mehreren weiteren Märkten. Für die Zustellung braucht der Dienstleister Name, Lieferadresse, Telefonnummer, E-Mail-Adresse und Bestellnummer. Genau dieser Datensatz ist abgeflossen.

Die Zahlen, die Trezor veröffentlicht hat:

• 11.742 Kunden mit vollständiger Offenlegung: Name, E-Mail, Telefonnummer und Lieferadresse
• 1.947 Kunden mit teilweiser Offenlegung: Name, Stadt und E-Mail
• 13.689 Betroffene insgesamt

Die Untersuchung läuft noch. Laut Trezor hat ShipMonk die betroffenen Systeme abgesichert und die Sicherheitsmaßnahmen nach dem Vorfall verschärft.

Bist du von dem Datenleck betroffen?

Betroffen sind ausschließlich Neukunden, die zwischen dem 10. Mai und dem 8. August 2026 eine Bestellung erhalten haben, und zwar in sieben Ländern: USA, Großbritannien, Schweden, Kolumbien, Brasilien, Italien und Portugal.

Ältere Bestellungen waren schlicht nicht mehr vorhanden. Trezor setzt eine 90-Tage-Löschfrist durch und verpflichtet seine Fulfillment-Partner vertraglich, Bestelldaten 90 Tage nach der Zustellung zu löschen oder zu anonymisieren. Genau diese Regel ist der Grund, warum das Leck bei rund 13.700 Personen aufgehört hat und nicht sämtliche Käufer der Firmengeschichte erwischt hat.

Für die Betroffenheit gibt es einen einfachen Test: Trezor hat alle betroffenen Kunden direkt per E-Mail von help@trezor.io informiert. Wer diese Mail nicht bekommen hat, steht nicht auf der Liste. Und damit gleich der wichtigste Hinweis: Betrüger werden genau diese Benachrichtigung in den kommenden Tagen imitieren.

Wurde Trezor selbst gehackt und sind die Geräte noch sicher?

Nein und ja. Das war ein Angriff auf einen Dienstleister, nicht auf die Wallet.

Die Systeme von Trezor wurden nicht kompromittiert. Private Schlüssel, Wallet-Backups, Seed-Phrasen und Firmware waren zu keinem Zeitpunkt betroffen, und aus dem Vorfall selbst droht kein direkter Verlust von Guthaben. Die Hardware hat gehalten. Der Schwachpunkt lag in der Handelskette drumherum, nicht im Produkt.

Technisch ist diese Unterscheidung sauber. Praktisch hilft sie den Betroffenen wenig. Angreifer haben jetzt hochwertige Zieldaten in der Hand: eine frische Liste bestätigter Krypto-Besitzer, verknüpft mit echten Wohnadressen und Telefonnummern. Eine geleakte E-Mail-Adresse ist lästig. Name plus Wohnadresse plus Telefonnummer benennt dagegen eine konkrete Person an einer konkreten Haustür, die mit hoher Wahrscheinlichkeit Kryptowährungen hält.

Trezor betont, dass es seit der Gründung 2013 das erste Mal ist, dass Telefonnummern und Lieferadressen von Kunden offengelegt wurden. Bei einem separaten Vorfall im Januar 2024 waren über ein Support-Portal eines Drittanbieters Kontaktdaten von knapp 66.000 Nutzern betroffen, allerdings ohne Postadressen.

Warum ist dieses Leck gefährlicher als ein normaler Passwortklau?

Weil die Branche längst weiß, was als Nächstes passiert. Das Drehbuch läuft seit 2020.

Nach dem Datenleck bei Ledger wurden damals rund 272.000 Kundendatensätze mit Namen, Adressen und Telefonnummern veröffentlicht. Die Folgen reißen bis heute nicht ab: Wellen von Phishing-Mails und SMS, gefälschte Hardware Wallets, die 2021 an Wohnadressen verschickt wurden, Briefe mit manipulierten QR-Codes, Anrufe von Leuten, die taten, als würden sie das Opfer persönlich kennen. Einige Betroffene erhielten Lösegeldforderungen samt Gewaltandrohung.

Das körperliche Risiko ist keine Theorie mehr. CertiK hat im ersten Halbjahr 2026 weltweit 52 physische Angriffe auf Krypto-Besitzer verifiziert, nach 39 im Vorjahreszeitraum. Wohnungseinbrüche haben Entführungen als häufigste Methode abgelöst. Chainalysis beziffert die Beute aus solchen Gewalttaten im selben Zeitraum auf über 30 Millionen Dollar, womit 2026 auf Kurs liegt, das Gesamtjahr 2025 mit rund 58 Millionen Dollar zu übertreffen.

Dienstleister erweisen sich dabei immer wieder als schwächstes Glied. Im Januar 2026 leakte der Zahlungsabwickler Global-e Bestelldaten von Ledger-Kunden. Wenige Tage später verschickten Angreifer Phishing-Mails über eine angebliche Fusion von Ledger und Trezor, personalisiert mit genau diesen Bestelldaten. Ein unangenehmes Detail zu ShipMonk: Der Dienstleister ist nach SOC 2 Type II zertifiziert, also nach einem geprüften Sicherheitsstandard. Gebracht hat es nichts.

Was solltest du als Trezor-Kunde jetzt tun?

Die Empfehlungen von Trezor sind kurz, und die Erfahrung der letzten Jahre zeigt, dass sie funktionieren:

• Gib dein Wallet-Backup oder deine Seed-Phrase niemals auf einer Website ein. Kein seriöses Unternehmen fragt danach, Trezor eingeschlossen.
• Behandle Dringlichkeit als Warnsignal. Jede Nachricht, die sofortiges Handeln verlangt oder persönliche Daten abfragt, ist bis zum Gegenbeweis feindlich.
• Gleiche alles mit den offiziellen Kanälen ab, also dem Trezor-Blog und den verifizierten Konten in den sozialen Medien. Adressen von Hand eintippen statt auf Links zu klicken.
• Rechne mit Kontaktversuchen über jeden Kanal, nicht nur per Mail. Gefälschte Anrufe, SMS, Briefe und Nachahmungen von Banken, Börsen oder Trezor selbst gehören alle dazu.
• Denk über deine physische Sicherheit nach, wenn deine vollständige Adresse betroffen ist. Öffentlich über eigene Bestände zu sprechen, noch dazu unter Klarnamen, wird damit deutlich riskanter.

Wer seinen Status prüfen oder Fragen klären möchte, erreicht den Trezor-Support direkt über die offizielle Website.

Was steckt hinter Trezors anonymem Versand?

Trezor zieht ein Versandverfahren vor, das die Verbindung zwischen dem Kauf einer Hardware Wallet und der realen Identität kappen soll. Geplant sind:

• Ein eigener Bestellvorgang
• Ein Pseudonym oder eine Kennung statt des echten Namens
• Abholung an einer automatisierten Paketstation
• Neutrale Verpackung mit anonymem Absender, wobei der Zusteller nur eine Abhol-PIN per E-Mail oder SMS übermittelt
• Automatische Löschung der Versandkennungen nach der Zustellung

Verfügbar sein sollte die Option in der EU ab September 2026, in den USA bis Ende 2026. Trezor bezeichnete das Projekt als aktuell höchste Priorität. Am 1. November 2026 nennt die Trezor-Mitteilung weiter diese Ziele; einen Start des anonymen Versands hat das Unternehmen in seinem Blog bis dahin nicht bekanntgegeben, Lieferungen an Abholstellen und Paketfächer bietet der Trezor-Shop laut seiner Hilfeseite bereits an.

Bis dahin rät das Unternehmen zu einer E-Mail-Adresse ohne Bezug zur eigenen Identität, zur Zahlung mit Krypto oder einer virtuellen Einwegkarte statt Kreditkarte und, wo möglich, zur Lieferung an ein Postfach.