Keystone hat seine Speicherfrist für Versanddaten um 50 % verkürzt und sie mit sofortiger Wirkung von 180 auf 90 Tage reduziert. Der Hardware-Wallet-Hersteller kündigte die Änderung in einem X-Post am Freitag an und wies Käufer, deren Daten gelöscht werden sollen, an, sich unmittelbar nach Erhalt ihrer Bestellung an den Support zu wenden.

Die Reduzierung folgt auf Keystones Eingeständnis, dass die breit beworbene automatische 180-Tage-Löschfunktion nicht mehr funktionierte und personenbezogene Daten auf 25.964 Käuferdatensätzen einem möglichen Datenleck aussetzte. Der Konkurrent OneKey ging noch einen Schritt weiter und begrenzte die automatische Speicherfrist auf 30 Tage. Der Vorfall verdeutlicht auch eine strukturelle Besonderheit des Hardware-Wallet-Geschäfts: Geräte sind physische Waren, daher müssen Anbieter für jede Bestellung Namen, Kontaktdaten und Lieferadressen erfassen und speichern – eine Kategorie personenbezogener Daten, die rein softwarebasierte Produkte niemals benötigen.

Keystone: „Wir übernehmen die Verantwortung für dieses Versagen“

Die Änderung erfolgte, nachdem Keystone eingeräumt hatte, dass die automatisierte Funktion zum Löschen von Nutzerdaten nach einer 180-Tage-Frist nicht mehr ordnungsgemäß funktionierte und keine Warnung auf den Ausfall hingewiesen hatte.

Laut Cryptopolitan identifizierte Keystone 25.964 Käuferdatensätze mit personenbezogenen Daten wie Namen, Kontaktdaten, Versandadressen und Kaufhistorien. Die Entdeckung ergab sich aus einer Überprüfung von 51.083 Käuferdatensätzen. Einige der Datensätze mit personenbezogenen Daten reichten bis ins Jahr 2024 zurück, weit über die zugesagte 180-Tage-Löschfrist hinaus. Weitere 12.873 Datensätze unbezahlter Checkouts enthiellten ebenfalls sensible Daten.

„Wir haben unser Versprechen, Kundendaten fristgerecht zu löschen, nicht eingehalten, und wir übernehmen die Verantwortung für dieses Versagen“, erklärte das Unternehmen.

Drei Dokumente, drei Versionen der Regel

Das von Keystone gebrochene Versprechen existierte in drei völlig unterschiedlichen Versionen, je nachdem, welchen Teil der Website ein Kunde las. Die erste Fassung erschien auf der Seite „Privacy Promise“ des Unternehmens, die besagt, dass „alle Versandinformationen automatisch 180 Tage nach Ihrer Bestellung gelöscht werden“.

Die Datenschutzerklärung von Keystone, zuletzt geändert im Mai 2021, liest sich dagegen: „Keystone löscht alle Bestellinformationen jedes Kunden, der innerhalb der letzten 180 Tage keine Bestellung aufgegeben hat.“

Eine dritte Version findet sich im Hilfezentrum des Unternehmens, in dem es heißt, dass Aufzeichnungen zu Stadt und Land des Kunden nicht auf Anfrage gelöscht werden und dass Shopify die endgültige Löschung durchführt. In der Praxis variierten die dem Kunden versprochenen Löschbedingungen je nach gelesener Seite hinsichtlich Auslöser, Zeitpunkt, Umfang und ausführender Instanz.

OneKey geht auf 30 Tage

Keystones Versäumnis verschaffte seinem Rivalen OneKey die Gelegenheit, die Initiative zu ergreifen. Yishi Wang, der Gründer von OneKey, kündigte am 27. Oktober – im Gefolge von Keystones Problemen – an, dass das Unternehmen eine 30-Tage-Frist festlegen werde, bevor Nutzerdaten aus seiner Datenbank gelöscht werden. Wang betonte, dass der Schritt lediglich eine Vorsichtsmaßnahme sei.

Der Gedanke dahinter ist nicht kompliziert: Je länger ein Anbieter Aufzeichnungen aufbewahrt, desto wahrscheinlicher geht er bei einem Datenleck verloren.

SafePal unternahm einen ähnlichen Schritt, nachdem etwa 40.000 seiner Kunden durch eine Schwachstelle in der Sendungsverfolgung gefährdet waren, und verkürzte die Speicherfrist auf 90 Tage. Insgesamt zeigen die Schritte beider Unternehmen, dass die Schwachstellen über jeden einzelnen Wallet-Hersteller hinausgehen.

Gestohlener Schlüssel erzwingt Vernichtung von 18.835 Geräten

Das Versäumnis bei der Löschung ist Teil eines größeren Vorfalls. Keystone bemerkte am 20. Oktober einen unbefugten Zugriff auf seine Website und bestätigte ihn am 23. Oktober. Ein Eindringling hatte Käuferdaten gestohlen, und das Unternehmen stellte später fest, dass der Täter auch den WebAuth-Schlüssel entwendet hatte – einen Code, der in jedem Gerät ab Werk eingebrannt wird, um dessen Echtheit zu belegen.

Da der Schlüssel nicht neu beschrieben werden kann, entschied sich Keystone, alle 18.835 unverkauften Geräte mit diesem Schlüssel zu verschrotten. Das Unternehmen hat den Versand über seine Website ausgesetzt und auf Vorbestellungen umgestellt, während es auf Ersatzgeräte wartet. Jedes Gerät, das vor dem 20. Oktober geliefert wurde, ist sicher, sofern es die Authentifizierung besteht.

Seed-Phrasen, private Schlüssel und Zahlungsdaten waren nicht betroffen, so das Unternehmen. Keystone reichte am 24. Oktober Löschanträge bei Shopify ein; eine zwingende zehntägige Wartefrist bedeutet, dass die überfälligen Datensätze bis zum 3. November entfernt sein sollten. Diese Frist sowie der Neustart des ausgesetzten Direktversands sind der nächste Prüfpunkt für Käufer, die verfolgen, ob die Bereinigung wie geplant abgeschlossen wird.