Waltio und der Brevo-Hack: Warum deine E-Mail-Adresse jetzt zum Risiko wird

Die französische Krypto-Steuerplattform Waltio verschickt seit einigen Tagen eine E-Mail an ihre Nutzer. Thema: ein Sicherheitsvorfall bei Brevo, dem Dienstleister, über den Waltio seine Newsletter versendet. Der Ton ist ruhig, die Formulierungen sind sorgfältig gewählt, die Botschaft weitgehend beruhigend.

Und trotzdem ist es die nächste Bestätigung dafür, dass der Brevo-Hack von Anfang September deutlich mehr Unternehmen erwischt hat als zunächst angenommen.

Für dich als Waltio-Nutzer heißt das: Deine Steuerreports sind sicher. Deine E-Mail-Adresse möglicherweise nicht. Und im Kryptobereich ist eine E-Mail-Adresse in den falschen Händen alles andere als eine Kleinigkeit.

Was hat Waltio seinen Nutzern mitgeteilt?

Die Mitteilung trägt den Betreff "Information relative à la sécurité de vos données personnelles" und stützt sich auf vier Punkte.

• Erstens wurden über das Waltio-Konto keine betrügerischen E-Mails verschickt. Niemand hat im Namen von Waltio die Kontaktliste angeschrieben.
• Zweitens läuft die Analyse bei Brevo noch. Ob der Angreifer die Kontaktliste tatsächlich eingesehen oder exportiert hat, kann Brevo bislang nicht sagen. Bestätigt ist nur der unbefugte Zugriff auf das Konto selbst.
• Drittens ist der betroffene Datenbestand dünn. In Brevo liegen lediglich die zum Waltio-Konto gehörende E-Mail-Adresse und, sofern freiwillig angegeben, die französische Departementnummer. Das ist der zweistellige Verwaltungscode der französischen Regionen, also 75 für Paris oder 13 für Bouches-du-Rhône. Praktisch für regionale Steuerhinweise, allein genommen aber kaum aussagekräftig.
• Viertens endet der Schaden bei Brevo. Passwörter, API-Schlüssel, Wallet-Adressen, Transaktionshistorien und Steuerdaten liegen laut Waltio nicht in dem Tool. Zugangsdaten und verbundene Börsen bleiben unberührt. Brevo betrachtet den Vorfall inzwischen als abgeschlossen.

Wie groß war der Brevo-Hack wirklich?

Deutlich größer als ein einzelnes französisches Startup. Am 9. und 10. September verschaffte sich ein Angreifer Zugriff auf rund 120 bis 138 Kundenkonten bei Brevo, bevor der Zugang gesperrt wurde. Ursache war kein klassischer Passwortdiebstahl, sondern eine fehlerhafte Berechtigungsprüfung im Login- und Single-Sign-on-System. Dadurch konnte der Angreifer auf sämtliche Organisationen zugreifen, für die die kompromittierten Nutzer freigeschaltet waren.

Brevo selbst teilt den Schaden in drei Gruppen: Über eine Handvoll Konten wurden Phishing-Mails verschickt, bei mehreren Dutzend Konten wurden Kontaktlisten exportiert, die große Mehrheit blieb ohne Aktivität. Dass Waltio von einer laufenden Analyse spricht, deutet darauf hin, dass die Plattform noch nicht weiß, in welche der beiden letzten Gruppen sie gehört.

Die bereits bestätigten Namen lesen sich wie ein Branchenverzeichnis: Trezor, BitBox, CoinTracking und Solana Mobile. Am härtesten traf es Trezor. Rund 347.000 Newsletter-Abonnenten erhielten eine gefälschte Sicherheitswarnung zu einer angeblichen STM32-Schwachstelle, die zu einer App führte, welche die Wallet-Sicherung abfragte. Trezor nahm die Domain innerhalb von zwanzig Minuten auf DNS-Ebene vom Netz. Etwa 2.500 Personen hatten den Link zu diesem Zeitpunkt bereits angeklickt.

Warum ist das für Waltio-Nutzer heikler als für andere?

Weil Waltio diese Situation schon einmal erlebt hat, und zwar in wesentlich schlimmerer Form.

Im Januar 2026 drangen Angreifer direkt in die Systeme der Plattform ein, nicht in die eines Dienstleisters. Sie zogen Daten aus der Erstellung von Steuerreports ab, meldeten sich anschließend beim Unternehmen und forderten Lösegeld. Die Pariser Staatsanwaltschaft übergab die Ermittlungen an die nationale Cybereinheit der Gendarmerie. Waltio bestätigte, dass E-Mail-Adressen, aggregierte Krypto-Bestände und Daten aus den Steuerreports betroffen waren. Passwörter, API-Schlüssel, Wallet-Adressen und Bankdaten blieben dagegen geschützt. Eine Datei, die danach über Telegram kursierte, wurde Berichten zufolge gezielt gegen französische Krypto-Anleger eingesetzt.

Diese Vorgeschichte verändert die Rechnung. Eine einzelne E-Mail-Adresse ist wenig wert. Eine E-Mail-Adresse, die sich mit einer geleakten Datei abgleichen lässt, aus der ungefähr hervorgeht, wie viel Krypto jemand hält, ist eine Zielliste.

Frankreich hat in den vergangenen Monaten eine unschöne Serie von Entführungen und Überfällen auf Krypto-Anleger erlebt. Genau solche Fälle beginnen mit dieser Art von Datenabgleich.

Die richtige Lesart der Waltio-Mail lautet deshalb nicht "es ist nichts passiert". Sie lautet: Ein weiteres Identifikationsmerkmal von dir ist möglicherweise im Umlauf, und Angreifer haben Geduld.

Woran erkennst du eine Phishing-Mail von "Waltio"?

Der Brevo-Angriff funktionierte gerade deshalb so gut, weil die Phishing-Mails über eine echte, legitime Infrastruktur liefen. Absenderdomain, DKIM, SPF: Bei den Trezor-Mails stimmte technisch alles. Die üblichen Prüfroutinen helfen hier also nicht weiter.

Achte stattdessen darauf, was verlangt wird:

• Jede Nachricht, die nach deiner Seed Phrase oder deiner Wallet-Sicherung fragt, ist Betrug. Ausnahmslos. Waltio stellt ausdrücklich klar, dass weder per E-Mail noch per Telefon jemals nach Seed Phrase, Passwort oder einer Überweisung gefragt wird.
• Jede Nachricht, die dich zum Download einer App drängt, um etwas zu "prüfen" oder zu "reparieren", ist Betrug.
• Jede Nachricht mit Frist, Drohung oder angeblicher Steuernachzahlung verdient einen zweiten Blick. Bei einer Nutzerliste einer Steuerplattform ist der steuerliche Vorwand der naheliegendste Köder.
• Klicke nie aus der E-Mail heraus. Gib waltio.com selbst ein oder wende dich direkt an den Support unter hello@waltio.com.

Was solltest du als Waltio-Nutzer jetzt tun?

Kein Grund zur Panik, aber ein paar Dinge lohnen sich diese Woche.

Aktiviere die Zwei-Faktor-Authentifizierung für dein Waltio-Konto und für jede verbundene Börse, bevorzugt über eine Authenticator-App statt per SMS. Prüfe deine API-Schlüssel, entziehe alle nicht mehr genutzten und stelle sicher, dass die verbleibenden nur Leserechte haben. Ändere dein Waltio-Passwort, falls du es anderswo ebenfalls verwendest. Ein Blick in einen Leak-Checker zeigt dir außerdem, was von dir ohnehin schon öffentlich kursiert.

Und dann noch der unspektakuläre Punkt, der in der Praxis am meisten bringt: Rede weniger über deine Bestände, online wie offline. Datenlecks dieser Art sind nur der erste Schritt. Der Wert liegt in der Kombination.

Ein struktureller Punkt bleibt am Ende hängen. Krypto-Steuertools sitzen auf dem wertvollsten Datensatz des gesamten Ökosystems: einer vollständigen Übersicht darüber, wer was besitzt und wo es liegt. Die DAC8-Meldepflichten in der EU sorgen dafür, dass diese Daten künftig an mehr Stellen liegen, nicht an weniger. Die Waltio-Mail erinnert daran, dass das schwächste Glied selten die Plattform selbst ist. Es ist das Newsletter-Tool, das nebenbei angeschlossen wurde.

Wer seine Schlüssel gar nicht erst online aufbewahrt, ist gegen jede Phishing-Kampagne bestens gewappnet. Hardware Wallets findest du im CryptoTicker Shop unter shop.cryptoticker.io.