Das Wichtigste in Kürze

  • Der Prager Hardware-Wallet-Hersteller Trezor hat seinen Bericht zum Datenabfluss beim US-Versanddienstleister ShipMonk am 4. September 2026 erweitert: Betroffen sind nach Unternehmensangaben rund 67.000 weitere Datensätze mit Name, E-Mail-Adresse, Telefonnummer und Lieferadresse.
  • Diese Daten stammen aus Bestellungen zwischen November 2019 und August 2021 – aus einer Zusammenarbeit, deren Datenbestand nach Darstellung von Trezor längst gelöscht sein sollte. Das Unternehmen erklärt, es habe die Löschung mehrfach schriftlich bestätigt bekommen.
  • Für den zuerst gemeldeten Teil des Vorfalls nennt Trezor 13.689 Betroffene aus sieben Ländern. Deutschland, Österreich und die Schweiz stehen nicht auf dieser Liste; für die 67.000 neuen Fälle nennt das Unternehmen die USA als Herkunftsland der Bestellungen.

Der tschechische Hersteller Trezor hat am Freitag, 4. September 2026, seinen im August veröffentlichten Bericht über einen Datenabfluss bei einem Logistikpartner ergänzt. Nach der aktualisierten Mitteilung des Unternehmens war der Vorfall beim US-Versanddienstleister ShipMonk größer als zunächst angenommen: Der Datenbestand habe auch Bestelldaten aus der früheren Zusammenarbeit zwischen November 2019 und August 2021 enthalten. Betroffen seien dadurch rund 67.000 weitere Datensätze von Kundschaft in den USA, jeweils mit vollständigem Namen, E-Mail-Adresse, Telefonnummer und Lieferadresse.

Trezor stellt Hardware-Wallets her – kleine Geräte, auf denen die Zugangsschlüssel zu Kryptowährungen offline gespeichert werden. Betrieben wird die Marke nach eigenen Angaben von der Trezor Company s.r.o. mit Sitz in Prag, gegründet 2013, rund 110 Beschäftigte. Damit unterliegt das Unternehmen als Verantwortlicher im Sinne der Datenschutz-Grundverordnung dem EU-Datenschutzrecht.

Die Zahlen des Vorfalls in zwei Stufen

Der erste Teil des Vorgangs wurde am 13. August 2026 öffentlich. Trezor teilte damals mit, ShipMonk habe das Unternehmen am 10. August über einen unberechtigten Zugriff informiert; betroffen seien Bestellungen zwischen dem 10. Mai und dem 8. August 2026. Genannt wurden 13.689 Betroffene, davon 11.742 mit vollständigem Datensatz und 1.947 mit Name, Stadt und E-Mail-Adresse. Als Herkunftsländer der Bestellungen führt die Mitteilung die USA, Großbritannien, Schweden, Kolumbien, Brasilien, Italien und Portugal auf.

Datum Vorgang Betroffene
6. August 2026 ShipMonk benachrichtigt die eigene Kundschaft über den unberechtigten Zugriff k. A.
10. August 2026 ShipMonk informiert Trezor –
13. August 2026 Trezor veröffentlicht den Bericht, Bestellungen 10. Mai bis 8. August 2026 13.689
2. September 2026 ShipMonk meldet Trezor einen größeren Umfang –
4. September 2026 Trezor ergänzt den Bericht, Bestellungen November 2019 bis August 2021 rund 67.000
Quelle: Mitteilung der Trezor Company s.r.o. vom 13. August 2026 in der Fassung vom 4. September 2026; Datum der ShipMonk-Kundenbenachrichtigung nach Angaben von BleepingComputer, Datum der Nachmeldung an Trezor nach Angaben von CyberInsider. Angaben des Unternehmens, keine unabhängig geprüften Zahlen.

Die Löschung war schriftlich bestätigt – die Daten lagen laut Trezor trotzdem noch vor

Der eigentliche Punkt der Ergänzung vom Freitag liegt nicht in der Zahl, sondern im Zeitraum. Die Bestellungen von November 2019 bis August 2021 gehören nach Darstellung von Trezor zu einer früheren Phase der Zusammenarbeit, die zum Zeitpunkt des Zugriffs bereits Jahre zurücklag. Das Unternehmen verweist in der Mitteilung auf eine eigene 90-Tage-Frist für die Speicherung solcher Daten und erklärt, man habe die Löschung wiederholt eingefordert und schriftlich bestätigt bekommen: Man sei „very disappointed that, despite receiving this confirmation, the data was not deleted in their systems“ – sehr enttäuscht darüber, dass die Daten trotz dieser Bestätigung nicht aus den Systemen gelöscht worden seien.

Belegt ist damit zunächst die Darstellung einer Seite. ShipMonk hatte sich nach einem Bericht des Fachdienstes SecurityWeek von Mitte August öffentlich nicht zu dem Vorfall geäußert; auch bei Redaktionsschluss dieses Beitrags war keine öffentliche Stellungnahme des Unternehmens auffindbar. Auf seiner Website wirbt der Dienstleister mit einer Zertifizierung nach SOC 2 Typ II und einer wachsenden Abdeckung in Europa und Nordamerika.

Für Unternehmen mit Sitz in der Europäischen Union regelt Artikel 28 der Datenschutz-Grundverordnung das Verhältnis zu solchen Dienstleistern: Ein Auftragsverarbeiter darf personenbezogene Daten nur weisungsgebunden verarbeiten und muss sie nach Ende der Leistung löschen oder zurückgeben. Ob und mit welchem Ergebnis eine Aufsichtsbehörde den Vorgang prüft, teilt Trezor nicht mit.

Als Ursache nennt der Dienstleister eine Lücke in einer Analysesoftware

Zur technischen Ursache liegt bislang nur die Darstellung des Dienstleisters vor. In der Benachrichtigung an die eigene Kundschaft vom 6. August 2026, die BleepingComputer zitiert, heißt es, ein Unbefugter habe eine Schwachstelle in der Software Metabase ausgenutzt, um an Daten zu gelangen. Metabase ist ein weit verbreitetes Werkzeug zur Auswertung von Datenbanken. Nach dem Bericht dürfte es sich um eine als kritisch eingestufte SQL-Injection-Schwachstelle gehandelt haben, die der Anbieter kurz zuvor geschlossen hatte; ob es dieselbe Lücke war, geht aus der Benachrichtigung nicht hervor. Demselben Bericht zufolge soll ShipMonk anschließend Erpressungsschreiben einer Gruppe erhalten haben, die unter dem Namen ShinyHunters auftritt.

Nicht abgeflossen sind nach Darstellung von Trezor die Inhalte der Pakete, Angaben zu den Geräten selbst sowie private Schlüssel oder Wallet-Backups. Diese liegen technisch bedingt nicht beim Versanddienstleister.

Warum eine Lieferadresse hier mehr wiegt als sonst

Eine Adressliste ist für sich genommen ein alltäglicher Datensatz. Ihre Brisanz entsteht hier aus der Kombination: Wer auf der Liste steht, hat ein Gerät zur Aufbewahrung von Kryptowährungen bestellt – die Liste ist damit zugleich eine Auswahl von Haushalten, in denen mit einiger Wahrscheinlichkeit Kryptowerte liegen. Trezor benennt diesen Punkt in der Mitteilung selbst und warnt vor Betrugsmails, gefälschten Anrufen und Briefen; die abgeflossenen Angaben könnten Betroffene zudem, so die Formulierung im Original, „potentially expose affected individuals to physical security risks“ – also Risiken für die körperliche Sicherheit begründen.

Wie das in der Praxis aussieht, lässt sich an einem älteren Fall ablesen. Beim französischen Wettbewerber Ledger wurden nach Darstellung des Portals Blocktrainer im Dezember 2020 mehr als 270.000 Datensätze mit Klarnamen, Adressen und Telefonnummern sowie über eine Million E-Mail-Adressen in einem öffentlich zugänglichen Forum verbreitet. Nach derselben Darstellung erhielten Betroffene in der Folge nicht nur Phishing-Nachrichten, sondern auch Schreiben, die auf die Wohnanschrift Bezug nahmen und Geld unter Androhung von Gewalt forderten. NETZ-TRENDS hatte damals über die Phishing-Welle nach dem Ledger-Datenleck berichtet.

Praxishinweis: Woran sich die Nachahmer erkennen lassen

  • Kein seriöser Anbieter fragt nach der Wiederherstellungsphrase eines Wallets – weder per E-Mail noch am Telefon, weder zur „Prüfung“ noch zur „Absicherung“. Trezor formuliert das in der eigenen Mitteilung als feste Regel: „Never enter your wallet backup on a website or share it with anyone.“
  • Nachrichten, die sofortiges Handeln verlangen, sind das häufigste Muster nach einem Datenabfluss. Absenderadresse und Link gehören unabhängig geprüft, nicht aus der Nachricht heraus.
  • Auch Post auf Papier kann Teil der Masche sein: Wer Name und Anschrift hat, kann echt wirkende Briefe verschicken. Ein vergleichbarer Fall aus dem Krypto-Umfeld lief über gefälschte Sicherheitswarnungen mit Rückrufnummer.

Was der Fall für Bestellungen aus Deutschland, Österreich und der Schweiz bedeutet

In den Angaben des Unternehmens tauchen Deutschland, Österreich und die Schweiz in keiner der beiden Aufstellungen auf: Die Länderliste zum ersten Teil des Vorfalls nennt sie nicht, und die 67.000 zusätzlichen Datensätze ordnet Trezor der Kundschaft in den USA zu. Ob im Bestand von 2019 bis 2021 auch Lieferungen in den deutschsprachigen Raum enthalten waren, geht aus der Mitteilung allerdings nicht hervor – die Angabe „US customers“ bezieht sich auf die betroffenen Datensätze, nicht ausdrücklich auf den gesamten Datenbestand.

Praktisch relevant bleibt der Fall im DACH-Raum aus einem anderen Grund. Phishing-Wellen, die auf solchen Listen aufbauen, halten sich nicht an Ländergrenzen: Sobald bekannt ist, dass Kundendaten eines Wallet-Herstellers im Umlauf sind, verschicken Nachahmer entsprechende Nachrichten breit gestreut – auch an Personen, deren Daten nie abgeflossen sind. Genau darauf zielt der Hinweis, Absender und Links unabhängig zu prüfen, statt sich am Anlass der Nachricht zu orientieren.

Zugleich kündigt Trezor in derselben Mitteilung eine Versandoption an, die das Grundproblem verkleinern soll: Bei „Anonymous Delivery“ sollen Bestellungen über Paketstationen mit neutraler Verpackung und generischen Absenderdaten ausgeliefert und die Versandkennungen nach der Zustellung automatisch gelöscht werden. Verfügbar sein soll die Option nach Unternehmensangaben in der EU im September 2026, in den USA bis Jahresende. Für Kundschaft in Deutschland und Österreich wäre das noch in diesem Monat relevant; für die Schweiz, die nicht zur EU gehört, macht die Ankündigung keine Angabe.

Was offen bleibt

Drei Punkte beantwortet die Mitteilung nicht:

  • Der Gesamtumfang. Trezor nennt die Zahl der betroffenen Personen im eigenen Bestand. Wie viele Datensätze insgesamt bei ShipMonk abgeflossen sind und wie viele andere Auftraggeber betroffen sind, bleibt offen – der Dienstleister arbeitet nach eigener Darstellung für eine Vielzahl von Handelsmarken.
  • Der Verbleib der Daten. Ob die Datensätze verkauft, veröffentlicht oder bislang nur kopiert wurden, teilt keine der beiden Seiten mit.
  • Die aufsichtsrechtliche Seite. Ob eine Datenschutzbehörde – zuständig wäre bei einem Prager Verantwortlichen die tschechische Aufsicht – den Vorgang prüft, ist nicht mitgeteilt.

Belegbar ist damit vor allem der Befund, der über den Einzelfall hinausweist: Der sicherste Teil dieser Lieferkette war das Gerät. Angreifbar war die Adresse, unter der es ausgeliefert wurde – und sie lag Jahre nach den Bestellungen noch in einem System, in dem sie nach Darstellung des Auftraggebers nicht mehr hätte liegen dürfen.

Haben Sie nach einer Bestellung schon einmal Werbung, Betrugsmails oder Post erhalten, die nur über den Versanddienstleister erklärbar war? Schreiben Sie uns Ihre Meinung gerne in die Kommentare.

Quellen

Transparenzhinweis: Bei Recherche, Strukturierung und Erstellung dieses Beitrags kamen KI-gestützte Werkzeuge zum Einsatz. Die verwendeten Quellen sind im Artikel aufgeführt. Die Veröffentlichung erfolgt erst nach manueller redaktioneller Freigabe.

DatenleckDatenschutzIT-SicherheitKryptowährungPhishing

Kommentar schreiben