Das Lecken von 80.000 Namen bei Trezor war ein Versprechen, das nicht eingehalten wurde – es handelte sich dabei nicht um eine kaputte Brieftasche.

Am 13. August teilte Trezor mit, dass…13.689 KundenIhre persönlichen Daten waren durch einen Lieferpartner verloren gegangen. Sechs Wochen später wurde die Anzahl der verloren gegangenen Daten noch viel größer – eine Überprüfung ergab das.67.000 weitere US-KundenUnd die bekannten Gesamtzahlen überstiegen 80.000. Die neu entdeckten Aufzeichnungen waren keine neuen Bestellungen. Sie stammten aus…November 2019 bis August 2021Laut Trezor wurden die Kundendaten als gelöscht angesehen – doch sie befanden sich immer noch in den Systemen des Anbieters.

Das ist die Darstellung, wie das Unternehmen sie gemacht hat – mit ihrer Bewertung: Es handelt sich dabei um eine selbst gemeldete Vorfallmeldung, keine unabhängige Feststellung. Die Zahlen entsprechen also den Angaben von Trezor. ShipMonk, Trezors Abwicklungspartner, wurde durch eine bisher unbekannte SQL-Injection-Lücke in Metabase, einer Datenanalyse-Software, angegriffen.Metabase informierte ShipMonk am 6. August darüber.Die Schwachstelle wurde behoben, und die Sitzungen wurden ungültig gemacht. Was auf den ausgehobenen Daten auftauchte: Namen, E-Mail-Adressen, Telefonnummern, Versandadressen sowie Bestellnummern. Was nicht herausgekommen ist – laut Trezor – waren die privaten Schlüssel, Seed-Phrasen, Wallet-Backups sowie jede Information, die zum Gerät selbst gehört.

Dieser letzte Satz ist der Unterschied, den die Schlagzeilen oft übersehen – und es handelt sich dabei um das gesamte Faktenhintergrund der Geschichte. Der Grund dafür, dass die Zahl weiter zunimmt, liegt in einem gebrochenen Versprechen bezüglich der Löschung – nicht in einem defekten kryptografischen Produkt. Trezor behauptet, dass es eine bestimmte Funktion verfügt…90-Tage-Policy zur Aufbewahrung von DatenEr hat es in seine Erfüllungsverträge umgewandelt und gebeten ShipMonk, die älteren Aufzeichnungen zu löschen.Eine schriftliche Bestätigung erhalten, dass die Daten gelöscht wurden.Die Aufzeichnungen aus dem Jahr 2019 waren ohnehin dort. Ein Anbieter behauptet, er habe das gelöscht, was ihm bezahlt wurde, um zu löschen – doch das hat er nicht getan. So entwickelt sich ein „beschränktes“ Problem in ein Problem, bei dem 80.000 Menschen betroffen sind.

Die Bewertung der Verstöße ist wichtig – denn 2026 war ein wirklich schlechtes Jahr für Hardware-Wallets. Wenn man sie einfach als „alles geht schief“ betrachtet, vergisst man, wo die eigentlichen Risiken liegen. Vergleichen Sie drei Vorfälle, die innerhalb weniger Wochen stattgefunden haben:

• Coldcard – verlorene Mittel.Ein Firmware-Fehler aus März 2021Die Zufälligkeit der Samen wurde auf einigen Geräten ab 128 Bits auf nur noch 40 Bits reduziert. Ab dem 30. Juli 2026…1.816 Bitcoins – etwa 116 Millionen US-DollarIn vier Phasen wurden die Daten aus mehr als 5.200 Adressen abgerufen. Die Schlüssel selbst waren dabei kompromittiert worden – das Vermögen wurde somit gestohlen.
• SafePal – Daten sind geschützt, das Geld ist sicher.Am 16. August wurde ein Fehler im Order-Tracking-Plug-in entdeckt – dieser Fehler machte die Details der Bestellungen zugänglich.39.798 KundenSafePal bestätigte, dass Geldbörsen, Seed-Phrasen und private Schlüssel sicher bleiben.
• Trezor: Die Daten sind sicher verwahrt – das Geld ist geschützt.Die Sicherheitslücke durch ShipMonk/SQL-Injection betrifft mittlerweile über 80.000 Menschen. Die Schlüssel und Geräte sind unbetreten geblieben.

Man sollte die drei Zeilen als ein einziges Ereignis betrachten. Die Schlussfolgerung ist also: „Hardware-Wallets sind unsicher.“ Man muss sie jedoch nach dem eigentlichen Vorfall trennen – dann verhält sich die Situation anders: Das einzige Ereignis, bei dem Geld verloren ging, war das, bei dem der Prozess zur Generierung der Schlüssel fehlgeschlagen ist. Die beiden Fälle, in denen niemand Geld verlor, sind Datenlecks – das Wallet funktionierte genau so, wie es vorgesehen war. Die Ausbreitung dieser Probleme erfolgte durch Lieferanten von Transport- und Analysetechnologien, nicht durch den Siliziumkern des Wallets.

Was hat also das Leak von Trezor wirklich verändert? Man nutzt den „Identitätstest“. Vor dem Leak war der Käufer eines Trezor-Geräts eine Person, die ein solches Gerät besaß. Nach dem Leak ist diese Person nun ein bekannter Krypto-Investor mit einer Adresse, einem Telefonnummer und einer Bestellnummer – Informationen, die durch legitime Supportkanäle erfasst werden können. Die Angriffsmöglichkeiten verlagern sich vom Gerät auf die Person selbst: Phishing-E-Mails und Anrufe, gefälschte Support-Seiten, Identitätsbetrug – alles wird nun mit realistischen Details unterstützt. Das bedeutet, dass Ihr Saldo nicht neu bewertet wurde – das Wallet hat keinen Zugang zu Ihrem Geld gegeben – aber Ihre Identität sowie Ihre eigene Nachlässigkeit wurden tatsächlich ausgenutzt. Eine Trackingnummer plus eine Adresse machen eine gezielte Nachricht zu etwas, worauf der Besitzer glauben könnte.

Für einen Investor ist die schwierigere Frage: Was bedeutet das für das Unternehmen dahinter? Die ehrliche Antwort ist: Es gibt keinen direkten Weg, dieses Unternehmen zu besitzen. Trezor gehört zu SatoshiLabs – einem privat geführten tschechischen Unternehmen. Auch Ledger, sein Hauptkonkurrent, ist privat geführt. Es gibt keine Aktienkennzeichnung, mit der man etwas handeln könnte. Die wichtigste Erkenntnis ist also: Die Auswirkungen auf Sie hängen von den Geräten und Protokollen ab, die Sie selbst verwenden, um Ihre Eigentum zu sichern – nicht von einer Aktienposition. Im Bereich des Hardware-Wallets war der Markt insgesamt ziemlich klein.720 Millionen Dollar im Jahr 2026Und es wird voraussichtlich bis 2031 auf etwa 2,25 Milliarden Dollar steigen – etwa…25,6 % CAGRMit Fahrern wie denen, die nach FTX eine Richtung zum Selbstkontrollen einnehmen und an die Regelungen von MiCA arbeiten. In einem Markt, der so schnell wächst, ist das Ansehen die Verteidigungslinie – und das ist bereits das dritte „Leck“ von Trezor, das an Dritte gerichtet ist.Nach einem Vorfall im Jahr 2022 wurden etwa 106.856 Kunden betroffen. Im Support-Portal im Jahr 2024 wurden bis zu 66.000 Namen und E-Mails angegriffen.Jedes Mal enthielt der Geldbeutel selbst das Geld. Jedes Mal wurde die Frage des Vertrauens noch komplizierter.

Die eigene Antwort von Trezor zeigt das alles. Es geht dabei um ein „Anonymes Versand“-System – der Lagerraum wird abgeholt, die Pakete werden neutral verpackt und die Versandidentifikatoren werden nach dem Versand automatisch gelöscht.Mit einem europäischen Start, der für September 2026 geplant ist, und einer Veröffentlichung in den USA bis Ende des Jahres.Man sollte das als eine Art Zustimmung der Verwaltung verstehen – sie gibt ein Gebiet auf, das sie nicht selbst kontrollieren kann. Sie können nicht mehr darauf vertrauen, dass eine Dritte Partei das löscht, was sie versprochen hat. Deshalb versuchen sie, die Daten von Anfang an zu eliminieren. Das ist eine Lösung für ein Prozessfehler. Sie erkennen keinen Defekt im Wallet – denn die Beweise zeigen, dass es keinen Defekt gab.

Die unschuldige Nutzung des Produkts verdient eine eigene Bewertung. Keine Kundenmittel wurden verwendet, keine Schlüssel wurden wiederhergestellt – und der Anbieter ist die Partei, die sein Versprechen gebrochen hat. „Die gespeicherten Daten, die er löschen sollte, wurden nicht gelöscht“ ist also nicht gleichbedeutend mit „Geld zu stehlen“. Die unerklärliche Speicherung von Daten ist ebenfalls kein Betrug – es braucht dazu Beweise, die in der offiziellen Mitteilung nicht vorkommen. Der Unterschied ist real – doch es handelt sich dabei um einen Mangel im Vertrauen und in der Identitätsschutzfunktion, nicht in der Kernfunktion des Produkts.

Das ist die Bedingung, unter der die Situation umkehren könnte: Wenn die Berichterstattung von morgen zeigt, dass das Material der Schlüssel eines Trezor-Geräts geschwächt ist – genauso wie bei der Zufallsebene von Coldcard – dann verwandelt sich diese Angelegenheit von einer Identitätsleck-Sache in eine Frage bezüglich Verlusts von Geldern. Die Darstellung ändert sich also völlig. Bis dieses Phänomen offensichtlich wird, sollte man es als Datenleck betrachten – nicht als Diebstahl. Die relevanten Informationen sind die Datenpunkte für die Jahre 2019–2021, die Versprechen des Anbieters bezüglich der Löschung der Daten sowie die Tatsache, dass die Schlüssel niemals das Gerät verlassen haben. Für einen Retail-Investor, der ein Trezor besitzt, ist die entscheidende Frage nicht „Kann ich dem Hardware-System vertrauen?“ – dazu gibt es keine Beweise – sondern „Was habe ich dem Anbieter erlaubt, zu behalten, und wie könnte ich das jemals wissen?“ Die zweite Frage wurde nun öffentlich beantwortet – und dafür wurden die Adressen von über 80.000 Menschen preisgegeben.