Bei einer Datenpanne bei ShipMonk, einem der Logistikunternehmen, das Hardware-Wallets für Trezor versendet, wurden personenbezogene Daten von rund 13.689 Kunden offengelegt. Der ShipMonk-Datenvorfall betraf laut Unternehmen weder Trezors eigene Server noch Geräte, führte jedoch zur Offenlegung von Namen, E-Mail-Adressen, Telefonnummern und – für die meisten Betroffenen – privaten Lieferadressen, die zwischen dem 10. Mai und dem 8. August 2026 erfasst wurden.
Summary
Wichtigste Erkenntnisse
- ShipMonk informierte Trezor am Montag, den 10. August 2026, dass eine unbefugte Partei auf Systeme mit Kundendaten zu Bestellungen zugegriffen hatte.
- Bei etwa 11.742 Kunden wurden vollständige Namen, E-Mails, Telefonnummern und Lieferadressen offengelegt; bei weiteren 1.947 wurden nur Namen, Städte und E-Mails geleakt.
- Die Datenpanne betrifft Bestellungen, die zwischen dem 10. Mai und dem 8. August 2026 in den USA, Großbritannien, Schweden, Kolumbien, Brasilien, Italien und Portugal aufgegeben wurden.
- Trezor-Geräte und interne Systeme wurden nicht kompromittiert, und über Amazon abgewickelte Bestellungen sind nicht betroffen.
- Trezor plant, bis September 2026 in der EU und bis Ende 2026 in den USA eine Option für anonyme Lieferung einzuführen.
ShipMonk-Datenpanne legt Trezor-Kundendaten offen
Die Probleme begannen, als ShipMonk, das Trezor-Bestellungen in den USA, Großbritannien und mehreren anderen Märkten lagert und versendet, einen unbefugten Zugriff auf seine Systeme entdeckte und Trezor am 10. August 2026 darüber informierte. Trezor bezeichnete dies in einer auf X veröffentlichten Erklärung als „schwierige Nachricht“ und erklärte, ein Versanddienstleister habe eine Datenpanne erlitten, bei der sensible Bestelldaten offengelegt wurden. Das Unternehmen stellt den Vorfall als ein Ereignis dar, das vollständig an einen Drittanbieter gebunden ist und nicht auf ein Versagen der eigenen Infrastruktur zurückgeht.
Welche Informationen offengelegt wurden
Die entwendeten Daten umfassen vollständige Namen, Telefonnummern, E-Mail-Adressen und für die meisten Betroffenen physische Lieferadressen. Diese Kombination ist bedeutsam, weil sie Betrügern alles liefert, was sie brauchen, um überzeugende, personalisierte Phishing-Versuche zu erstellen – nicht nur einen generischen E-Mail-Massenversand, sondern Nachrichten, Anrufe oder Briefe, die sich auf eine echte Bestellung und eine echte Adresse beziehen.
Wie viele Kunden betroffen sind
Laut Trezors eigener Offenlegung wurden bei 11.742 Kunden der vollständige Datensatz offengelegt: Name, E-Mail, Telefonnummer und Lieferadresse. Bei weiteren 1.947 Kunden kam es zu einer engeren Offenlegung, die sich auf Name, Stadt und E-Mail beschränkte, ohne zugehörige Lieferadresse. Zusammengenommen ergibt das fast 13.689 Personen, eine Zahl, die sowohl CoinDesk als auch The Block in ihrer Berichterstattung über den Vorfall auf rund 14.000 aufrundeten. Trezor hat erklärt, dass noch geprüft werde, ob ein Teil dieser Gruppe mit Teiloffenlegung ältere Bestellungen umfasst, die außerhalb des angegebenen Zeitraums von Mai bis August liegen, und dass die Erkenntnisse aktualisiert werden sollen, sobald ShipMonks Untersuchung fortschreitet.
Trezor-Geräte bleiben sicher, aber Phishing-Risiko steigt
Trezors Hardware und interne Systeme wurden bei dieser Datenpanne nicht berührt, und das Unternehmen hat diesen Unterschied klar hervorgehoben. „Unsere Systeme wurden nicht kompromittiert, und Ihr Trezor-Gerät ist sicher“, heißt es in der Mitteilung an die Kunden. Diese Zusicherung ist für alle wichtig, die sich speziell um die Wallet-Sicherheit sorgen, da die geleakten Daten nicht verwendet werden können, um auf Gelder zuzugreifen oder die geräteinterne Kryptografie zu umgehen.
Wofür sie jedoch genutzt werden können, ist Social Engineering. Diese Art von Offenlegung von Trezor-Kundendaten liefert Betrügern echte Namen, Telefonnummern und Adressen, die in glaubwürdige, gefälschte Kommunikationsversuche eingebettet werden können.
Warum Angreifer die Opfer als Nächstes ins Visier nehmen könnten
Trezor hat gewarnt, dass betroffene Kunden nun vermehrt raffinierte Phishing-Versuche per E-Mail, Telefon oder Post sehen könnten, bei denen sich Betrüger möglicherweise als Banken, Krypto-Börsen oder Trezor selbst ausgeben. Der Rat des Unternehmens ist eindeutig: misstrauen Sie jeder Nachricht, die zu sofortigem Handeln auffordert, gleichen Sie alles Ungewöhnliche mit Trezors offiziellem Blog und den Social-Media-Kanälen ab und geben Sie niemals eine Wallet-Backup-Phrase auf einer Website ein oder teilen Sie sie mit irgendjemandem.
Deshalb hält das Phishing-Risiko nach einer Datenpanne in der Regel länger an als die ersten Schlagzeilen. Laut CoinDesk bleiben Personen, deren Daten in Pannen wie dieser offengelegt werden, noch jahrelang verwundbar, da gestohlene Logistikdaten lange nach dem ursprünglichen Vorfall weiterverkauft und für neue Betrugsmaschen wiederverwendet werden. CoinDesk verwies auf frühere Fälle, in denen Erpresser geleakte Privatadressen nutzten, um Lösegeldzahlungen von 700 $ bis 1.000 $ zu fordern und sogar gefälschte Hardware-Geräte direkt an die Opfer zu schicken. Das Medium merkte außerdem an, dass die Bewältigung der rechtlichen, technischen und reputationsbezogenen Folgen eines größeren Lecks von Kundendaten Hardware-Unternehmen in vergleichbaren Fällen schätzungsweise mehr als 33 Millionen US-Dollar gekostet hat.
Trezor teilte CoinDesk mit, dass es bislang keine bestätigten Fälle gebe, in denen die offengelegten Daten veröffentlicht, verkauft oder in einem aktiven Betrug verwendet wurden, und dass dem Unternehmen bisher kein mit dem Vorfall in Verbindung stehender Hackerangriff bekannt sei. Kunden, die über Amazon gekauft haben, sind nicht betroffen, da diese Bestellungen über einen separaten Fulfillment-Partner abgewickelt werden.
Wie Trezor reagiert
Jeder Kunde, dessen Daten offengelegt wurden, hat bereits eine direkte E-Mail von [email protected] mit einer Erklärung des Vorfalls erhalten. Trezor hat deutlich gemacht, dass Schweigen hier Sicherheit bedeutet: Wenn Sie diese E-Mail nicht erhalten haben, waren Ihre Daten nicht Teil dieser Datenpanne.
Benachrichtigungen und Sicherheitsmaßnahmen von ShipMonk
ShipMonk erklärt seinerseits, dass die betroffenen Systeme gesichert und die Sicherheitsmaßnahmen nach dem Vorfall verstärkt wurden. Das Unternehmen arbeitet nun direkt mit Trezor zusammen, um genau zu klären, was passiert ist und auf welche Datensätze zugegriffen wurde. Das Kundensupport-Team von Trezor steht weiterhin allen zur Verfügung, die noch Fragen dazu haben, ob sie betroffen sind oder welche Schritte als Nächstes zu unternehmen sind.
Regeln zur Datenspeicherung und der Vorstoß zu anonymer Lieferung
Ein Grund dafür, dass die Zahlen nicht höher ausfielen, liegt eher an Richtlinien als an Glück. Trezor setzt bei seinen Fulfillment-Partnern eine strikte 90-tägige Regel zur Datenspeicherung und Anonymisierung durch, was bedeutet, dass ShipMonk vertraglich verpflichtet ist, Bestelldaten drei Monate nach der Lieferung zu löschen oder zu anonymisieren. Dieses Zeitfenster ist so ausgelegt, dass es die realistische Lebensdauer einer Bestellung abdeckt – Versand, Rücksendungen, Rückerstattungen – ohne Kundendaten auf unbestimmte Zeit vorzuhalten. Aufgrund dieser Richtlinie waren ältere Bestellungen zum Zeitpunkt der Datenpanne bereits aus den Systemen von ShipMonk gelöscht, was den Kreis der offengelegten Datensätze begrenzte.
Mit Blick nach vorn arbeitet Trezor an einer dauerhafteren Lösung. Das Unternehmen plant, eine anonyme Lieferung für Trezor-Kunden einzuführen, mit der Hardware-Wallets empfangen werden können, ohne identifizierende Lieferdaten anzugeben – basierend auf einem speziellen Checkout, Abholung an Schließfächern, neutraler Verpackung und generischen Absenderangaben, wobei Versandkennungen nach der Zustellung automatisch gelöscht werden. Diese Option wird in der EU bis September 2026 und in den USA bis Ende 2026 erwartet. In der Zwischenzeit verweist Trezor Kunden auf Übergangslösungen: die Nutzung einer anonymen E-Mail-Adresse beim Checkout, die Bezahlung mit Krypto oder Einweg-Digitalkarten statt mit einer persönlichen Kreditkarte sowie – wo möglich – die Nutzung eines Postfachs, wobei das Unternehmen darauf hinweist, dass USPS in diesem Fall weiterhin eine Identifikation verlangt und eigene Daten speichert.
Ein sich abzeichnendes Muster bei Hardware-Wallet-Herstellern
Trezor bezeichnet dies als die erste Datenpanne in seiner 13-jährigen Geschichte, bei der speziell Telefonnummern und Lieferadressen von Kunden offengelegt wurden, obwohl das Unternehmen bereits zuvor Datenvorfälle erlebt hat. Laut CoinDesk wurde ein Drittanbieter-Supportportal, das mit Trezors Muttergesellschaft Satoshi Labs verbunden ist, im Januar 2024 kompromittiert, wovon rund 66.000 Personen betroffen waren, und ein weiterer Vorfall im April 2022 betraf Daten von mehr als 106.000 Trezor-Kunden. In keinem der beiden Fälle wurden Geräte-Firmware oder die geräteinterne Kryptografie aus der Ferne kompromittiert.
Der konkurrierende Hardware-Wallet-Hersteller Ledger hatte mit ähnlichen Problemen zu kämpfen. CoinDesk berichtete, dass Ledger im Januar eine Datenpanne erlitt, die mit dem E-Commerce-Drittpartner Global-e zusammenhing, zusätzlich zu einer weitaus größeren Panne im Jahr 2020, von der fast 300.000 Nutzer betroffen waren und auf die später eine Phishing-Kampagne mit gefälschten Ledger-Geräten folgte, die an die Opfer verschickt wurden. Das wiederkehrende Muster bei beiden Unternehmen weist auf eine breitere Verwundbarkeit hin: Selbst wenn die eigene Kryptografie eines Wallet-Herstellers unangetastet bleibt, bleiben die Fulfillment- und Logistikpartner, die den physischen Versand abwickeln, ein weiches Ziel.
Dieses Risiko nimmt branchenweit zu. CoinDesk zitierte die Schätzung des Cybersicherheitsunternehmens SentinelOne, wonach globale Datenpannen im Vergleich zu 2025 um 17 % zugenommen haben und im Durchschnitt weltweit rund 2.090 Angriffe pro Woche stattfinden, wobei die Aktivität seit Januar monatlich um etwa 3 % steigt. Separat merkte CoinDesk an, dass Krypto-Inhaber einem wachsenden physischen Risiko ausgesetzt sind, das mit geleakten personenbezogenen Daten zusammenhängt, und verwies auf Zahlen von Certik, denen zufolge sich Übergriffe mit körperlicher Nötigung im ersten Halbjahr dieses Jahres auf 124 Millionen US-Dollar summierten – auch wenn nicht alle diese Fälle auf eine bestimmte Datenpanne zurückzuführen sind.
FAQ
Was ist ShipMonk und wie sind sie an meine Daten gekommen?
ShipMonk fungiert als Logistikdienstleister, der für die Lagerung und den Versand von Trezor-Sendungen verantwortlich ist. Um eine Paketzustellung abzuschließen, benötigt das Unternehmen die Identität des Kunden, Standortdaten, eine Kontakttelefonnummer und eine E-Mail-Adresse – diese Angaben werden ausschließlich für Fulfillment-Zwecke gespeichert.
Welche konkreten Daten wurden bei der Panne offengelegt?
Offengelegte Daten umfassen vollständige Namen, Telefonnummern, E-Mail-Adressen und Lieferadressen der größeren Gruppe von Betroffenen. Bei einer kleineren Gruppe wurden nur Name, Stadt und E-Mail-Adresse offengelegt, ohne Lieferadresse.
Wie kann ich feststellen, ob ich von dieser Datenpanne betroffen bin?
Wenn Sie eine E-Mail von [email protected] zu dem Sicherheitsvorfall erhalten haben, waren Ihre Daten Teil der Offenlegung. Wenn Sie keine solche E-Mail erhalten haben, sagt Trezor, dass Sie nicht betroffen waren.
Was sollte ich tun, wenn meine Daten offengelegt wurden?
Seien Sie wachsam gegenüber Phishing-Versuchen per E-Mail, Telefon oder Post, überprüfen Sie jede verdächtige Kommunikation anhand der offiziellen Kanäle von Trezor und geben Sie niemals eine Wallet-Backup-Phrase ein oder teilen Sie sie mit jemandem – weder online noch offline.
{„@context“:“https://schema.org“,“@type“:“FAQPage“,“mainEntity“:[{„@type“:“Question“,“name“:“Wer ist ShipMonk und warum hatten sie meine Daten?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“ShipMonk ist der Logistikpartner, der Trezor-Bestellungen lagert und versendet. Um ein Paket zuzustellen, benötigt das Unternehmen den Namen, die Adresse, die Telefonnummer und die E-Mail-Adresse eines Kunden – das ist der einzige Grund, warum es überhaupt personenbezogene Daten speichert.“}},{„@type“:“Question“,“name“:“Welche konkreten Daten wurden bei der Panne offengelegt?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Offengelegte Daten umfassen vollständige Namen, Telefonnummern, E-Mail-Adressen und Lieferadressen der größeren Gruppe von Betroffenen. Bei einer kleineren Gruppe wurden nur Name, Stadt und E-Mail-Adresse offengelegt, ohne Lieferadresse.“}},{„@type“:“Question“,“name“:“Wie kann ich feststellen, ob ich von dieser Datenpanne betroffen bin?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Wenn Sie eine E-Mail von [email protected] zu dem Sicherheitsvorfall erhalten haben, waren Ihre Daten Teil der Offenlegung. Wenn Sie keine solche E-Mail erhalten haben, sagt Trezor, dass Sie nicht betroffen waren.“}},{„@type“:“Question“,“name“:“Was sollte ich tun, wenn meine Daten offengelegt wurden?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Seien Sie wachsam gegenüber Phishing-Versuchen per E-Mail, Telefon oder Post, überprüfen Sie jede verdächtige Kommunikation anhand der offiziellen Kanäle von Trezor und geben Sie niemals eine Wallet-Backup-Phrase ein oder teilen Sie sie mit jemandem – weder online noch offline.“}}]}
Artikel mit Unterstützung künstlicher Intelligenz erstellt und von der Redaktion überprüft.
