Eine unbefugte dritte Partei hat auf Kundendaten beim Fulfillment-Partner von Trezor zugegriffen. Der Vorfall betrifft 13.689 Kunden in sieben Ländern. Bei 11.742 von ihnen umfasst die Offenlegung vollständigen Namen, Lieferadresse, Telefonnummer und E-Mail-Adresse.

Trezor ist eine Hardware-Wallet-Marke im Besitz des tschechischen Unternehmens SatoshiLabs, das 2013 die erste breit verfügbare Krypto-Hardware-Wallet auf den Markt brachte. Die Geräte speichern private Schlüssel offline, getrennt vom Internet, was sie zu einer der sichersten Formen der Selbstverwahrung macht. Eben dieser Sicherheitsfokus macht die Kundenliste wertvoll, denn jeder darauf verzeichnete Kunde hält sehr wahrscheinlich Kryptowährungen. Der Vorfall betrifft Bestellungen aus dem Zeitraum vom 10. Mai bis 8. August 2026; ausgeliefert wurde in die USA, nach Großbritannien, Schweden, Kolumbien, Brasilien, Italien und Portugal. Der beteiligte Dienstleister ist ShipMonk, ein Fulfillment-Unternehmen mit Sitz in Fort Lauderdale, Florida, das für Online-Händler Lagerhäuser in Nordamerika und Europa betreibt. Nach Unternehmensangaben blieben Geräte, private Schlüssel und Wallet-Backups unangetastet. Als Reaktion kündigte der Hersteller zudem eine anonyme Versandoption an.

Was der Trezor-Datendiebstahl bei ShipMonk offengelegt hat

ShipMonk informierte Trezor am 11. August 2026 über den unbefugten Zugriff auf Systeme mit Kundendaten. Da Trezor seine Geräte online verkauft, wickeln externe Partner die Auslieferung ab. Fulfillment-Dienstleister übernehmen Lagerung, Kommissionierung und Versand und benötigen daher vollständige Lieferadressen und Kontaktdaten der Endkunden – ohne diese Angaben wird kein Paket zugestellt. Genau dieser Datensatz lag offen. Zwei Tage später ging das Unternehmen mit dem Fall an die Öffentlichkeit.

Die betroffenen Kunden lassen sich in zwei Gruppen einteilen. Bei 11.742 Kunden ist die Offenlegung vollständig und umfasst Name, Lieferadresse, Telefonnummer und E-Mail-Adresse. Bei weiteren 1.947 beschränkt sie sich auf Name, Stadt und E-Mail-Adresse. Zusammen ergeben beide Gruppen die gemeldeten 13.689 Fälle. Namen und Telefonnummern ermöglichen gezielte Phishing-Anrufe, während die Lieferadresse den Inhaber physisch auffindbar macht.

Nach Unternehmensangaben umfasste der Zugriff weder Geräte noch private Schlüssel oder Wallet-Backups; auch die eigenen Systeme von Trezor blieben außer Reichweite der Angreifer. Insgesamt trifft der Vorfall die Logistikebene rund um das Produkt. Der Hersteller führt den begrenzten Umfang auf eine strikte 90-Tage-Aufbewahrungsfrist für Daten zurück, die vertraglich auch für Fulfillment-Partner gilt. Ältere Bestelldaten existieren dort nicht mehr, sodass frühere Sendungen außerhalb des betroffenen Zeitraums liegen. Trezor hat zudem jeden betroffenen Kunden einzeln per E-Mail informiert und sich öffentlich für den Vorfall entschuldigt. Die Untersuchung läuft weiter, Updates sollen im Unternehmensblog erscheinen.

Warum eine Adressliste Kryptobesitzer besonders gefährdet

Eine Käuferliste für Hardware-Wallets ist keine gewöhnliche Kundenbasis. Wer eine Privatadresse mit einem Trezor-Kauf verknüpft, identifiziert ein wahrscheinliches Ziel, da dieser Käufer sehr wahrscheinlich größere Kryptobestände hält.

Der Präzedenzfall stammt aus dem Jahr 2020. Beim in Paris ansässigen Wettbewerber Ledger erbeuteten Angreifer über eine Schnittstelle eines Drittanbieters rund 1,1 Millionen E-Mail-Adressen. Zudem gelangten sie an etwa 272.000 detaillierte Datensätze mit vollständigem Namen, Telefonnummer und Postanschrift. Im Dezember 2020 landeten diese Daten schließlich öffentlich im Internet. Kurz darauf trafen groß angelegte Phishing- und Erpressungskampagnen die Ledger-Kunden, teilweise mit Bedrohungen gegen ihre physische Sicherheit. Ledger nahm später in einer öffentlichen Stellungnahme zu dem Vorfall Stellung.

Die Bedrohungslage hat sich seither verschärft. Chainalysis, ein in New York ansässiges Blockchain-Analyseunternehmen, zählte in der ersten Jahreshälfte 2026 weltweit 46 gewalttätige Krypto-bezogene Vorfälle, nach 40 ein Jahr zuvor. Zu diesen sogenannten Wrench-Angriffen zählen Entführungen, Hausüberfälle und Geiselnahmen. Die Täter erbeuteten allein in der ersten Jahreshälfte rund 30 Millionen USD und versuchten insgesamt, 107 Millionen USD zu erlangen. Laut Chainalysis ist das Jahr 2026 damit auf Kurs, den Jahresrekord von 2025 in Höhe von 58 Millionen USD zu brechen. Die Erfolgsquote der Angreifer sank jedoch von 49 % im Jahr 2025 auf 26 %: Die Zahl der Versuche steigt, während weniger davon erfolgreich sind.

Regional sticht Frankreich hervor. Chainalysis zählt dort 30 öffentlich bekannte Vorfälle, während die Behörden mehr als 70 erfasst haben. Das Analyseunternehmen sieht eine Ursache in einer Datenpanne bei der Steuerverwaltung. Das Leck stammt aus dem Jahr 2024 und betraf den Großraum Paris. Ein Beamter soll Datensätze wohlhabender Kryptobesitzer gestohlen und verkauft haben, darunter Namen, Adressen, Telefonnummern und Bestände. Kriminelle Gruppen nutzten dieses Material anschließend zur Planung ihrer Angriffe und wählten ihre Ziele anhand der erfassten Bestände aus. Der Weg von einer Adressliste bis zur Haustür ist damit dokumentiert.

Anonyme Zustellung als Antwort auf das Adressproblem

Etwa eine Stunde nach der ersten Mitteilung kündigte Trezor eine Option namens „Anonymous Delivery“ an. Sie zielt genau auf die Datenkategorie, die bei ShipMonk offenlag. Kunden geben beim Checkout zunächst einen Spitznamen oder eine Label-ID anstelle ihrer echten Identität ein. Die Sendung geht anschließend an eine automatisierte Paketstation, wo die Käufer sie selbst abholen. Automatisierte Paketstationen dieser Art sind in weiten Teilen Europas bereits ein etabliertes Lieferformat. Echter Name und Privatadresse liegen beim Dienstleister nicht mehr zusammen, und ein Bote mit Name und Adresse an der Haustür entfällt.

Zudem bleibt die Verpackung unmarkiert und trägt einen generischen Absender; der Anbieter sendet die Abhol-PIN ausschließlich per E-Mail oder SMS. Abholstationen ersetzen die Privatadresse als Zustellpunkt, und der echte Name des Käufers erscheint nicht mehr auf der Sendung. Ein kompromittierter Dienstleister würde folglich nur Pseudonyme und Abholpunkte preisgeben. Trezor bezeichnet das Projekt als aktuelle oberste Priorität.

Die Option soll in der EU ab September 2026 verfügbar sein. In den USA ist sie gegen Ende 2026 geplant. Bis dahin laufen Bestellungen über die bestehenden Kanäle. Der Zeitplan zeigt zugleich die Grenzen der Ankündigung: Für die bereits betroffenen 13.689 Kunden ändert die neue Versandoption nichts. Letztlich ist die Ankündigung ein Eingeständnis, dass Versanddaten ein eigenständiges Sicherheitsproblem darstellen.

Meldepflichten und das Muster hinter dem Vorfall

Hinter Trezor steht SatoshiLabs mit Sitz in Tschechien, daher findet auf den Vorfall europäisches Datenschutzrecht Anwendung. Die Datenschutz-Grundverordnung verlangt eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden, insbesondere wenn eine Datenpanne ein Risiko für die Betroffenen darstellt. Für Verstöße gegen die Verordnung sieht der Rahmen Geldbußen von bis zu 20 Millionen EUR oder 4 Prozent des weltweiten Jahresumsatzes eines Unternehmens vor. Die Zuständigkeit läge in diesem Fall bei der tschechischen Aufsichtsbehörde ÚOOÚ. Da die Frist mit Kenntnis der Datenpanne beginnt, startete die Uhr am 11. August 2026. Ob und wann Trezor eine solche Meldung eingereicht hat, ist allerdings nicht öffentlich dokumentiert. Über die EU hinaus bringen die sieben betroffenen Länder weitere Melderegelungen ins Spiel; in den USA unterhalten alle fünfzig Bundesstaaten eigene Gesetze zur Meldung von Datenpannen.

Trezor hat diesen Mechanismus bereits selbst erlebt. Im April 2022 kompromittierten Angreifer sein Newsletter-Konto beim E-Mail-Anbieter Mailchimp und nutzten es, um Kunden Phishing-E-Mails über eine angebliche Datenpanne zu senden; Trezor bestätigte damals, dass eine solche Panne nicht stattgefunden hatte. Das wiederkehrende Muster fällt ins Auge. In all diesen Fällen lagen die Daten außerhalb der Systeme, die Krypto-Nutzer selbst kontrollierten: zuvor eine Marketing-Schnittstelle, ein Newsletter-Konto und eine Steuerbehörde, nun ein Versanddienstleister. Drittanbieter bilden damit einen wiederkehrenden Angriffsvektor gegen Kryptobesitzer. Die Kryptografie der Geräte war nie das Problem. Für Käufer beginnt die Sicherheit der Selbstverwahrung bei der Bestellung – und die Logistik dahinter bleibt angreifbar.