Der Schweizer Bitcoin-Finanzdienstleister Pocket Bitcoin hat offengelegt, dass ein Sicherheitsvorfall im August personenbezogene und finanzielle Informationen von mehr als 5.400 Kunden preisgab – darunter Bankdaten und in einer kleineren Anzahl von Fällen auch sensiblere Daten.

Laut Informationen, die von WuBlockchain veröffentlicht wurden, gab Pocket Bitcoin an, dass Daten von 5.120 Kunden bei dem Vorfall offengelegt wurden. Zu den betroffenen Informationen gehörten Namen, Adressen, Überweisungsbeträge und -daten, wobei einige Datensätze zudem IBANs enthielten.

Bei weiteren 291 Kunden wurden sensiblere Informationen offengelegt. Nach Angaben des Unternehmens handelte es sich dabei möglicherweise um Identitätsdokumente, Herkunftsnachweise, Bitcoin-Adressen und Wohnadressen. Derartige Daten werden typischerweise von regulierten Krypto-Finanzunternehmen gesammelt, um die Anforderungen zur Geldwäschebekämpfung und zur Kundenidentifizierung (KYC) zu erfüllen. Deshalb halten selbst Unternehmen, die niemals private Kundenschlüssel verwalten, große Mengen sensibler personenbezogener Daten vor.

Kunden- und Transaktionsdatenbanken wurden laut Unternehmen nicht kompromittiert

Pocket Bitcoin erklärte, dass seine Kunden- und Transaktionsdatenbanken während des Vorfalls nicht kompromittiert wurden. Die offengelegten Informationen stammten stattdessen aus Bankkorrespondenzen und Transaktionslisten, die im betroffenen Support-System des Unternehmens gespeichert waren.

Diese Unterscheidung ist erheblich, da der Vorfall nach Unternehmensangaben nicht die Kern-Datenbanken betraf, welche die Kundentransaktionsdaten enthalten. Pocket Bitcoin erklärte zudem, dass weder Bitcoin-Bestände noch private Schlüssel betroffen waren. Pocket Bitcoin verfolgt ein Modell, bei dem Kunden Bitcoin über die Plattform kaufen und in Self-Custody (Selbstverwahrung) halten – das Unternehmen verwaltet also keine privaten Kundenschlüssel. Dieses Design begrenzt die direkte finanzielle Auswirkung eines solchen Vorfalls auf personenbezogene Daten statt auf Kundengelder.

Das Unternehmen erklärte, dass es derzeit keine Hinweise auf einen Missbrauch der offengelegten Informationen gebe. Die Offenlegung von Bankdaten, Wohnadressen und Herkunftsnachweisen könnte jedoch potenzielle Datenschutz- und Sicherheitsrisiken für betroffene Kunden schaffen, insbesondere wenn die Informationen später mit Daten aus anderen Quellen kombiniert werden.

Datenschutzbehörden und Polizei informiert

Pocket Bitcoin gab an, den Vorfall den Datenschutzbehörden der Schweiz und Liechtensteins sowie der Polizei gemeldet zu haben. Eine solche Meldung an die Regulierungsbehörden entspricht den Pflichten, denen Unternehmen nach Schweizer Datenschutzrecht unterliegen, das seit seiner Revision im Jahr 2023 in vielen Fällen die Benachrichtigung über Datenpannen mit personenbezogenen Daten vorschreibt, sowie der Datenschutz-Grundverordnung der Europäischen Union, die für Unternehmen mit EU-Kunden gilt und grundsätzlich eine Meldung meldepflichtiger Verstöße innerhalb von 72 Stunden verlangt.

Die Reaktion ordnet den Vorfall in den breiteren regulatorischen Fokus auf Cybersicherheit und den Schutz personenbezogener Daten im Finanzsektor ein. Krypto-Unternehmen, die Bankdaten und Identitätsnachweise verarbeiten, sehen sich zusätzlichen Risiken ausgesetzt, da kompromittierte personenbezogene Daten potenziell für Betrug, Social Engineering oder gezielte Angriffe genutzt werden können – selbst wenn digitale Vermögenswerte und private Schlüssel sicher bleiben. Ähnliche Vorfälle bei anderen Krypto-Firmen, darunter Verletzungen auf Exchange-Ebene, die Identitätsdaten von Kunden offenlegten, haben gezeigt, dass reine Datenlecks dennoch erheblichen Schaden für Kunden und Reputation anrichten können.

Das unmittelbare Ziel für Pocket Bitcoin und die betroffenen Kunden wird daher darin bestehen, den vollständigen Umfang der offengelegten Informationen zu bestimmen und zu überwachen, ob nach der Offenlegung ein Missbrauch auftritt.

Quelle: Hokanews