Keystone Wallet-Verletzung: Shopify-Datenleck offenbart Lücke in der Aufbewahrungsrichtlinie

Am 20. Oktober 2026 entdeckte der Hardware-Wallet-Hersteller Keystone unbefugten Zugriff auf seinen Shopify-basierten Online-Shop. Drei Tage später, nach der Überprüfung der API-Aktivität mit Shopify, bestätigte das Unternehmen, dass ein nicht identifizierter Dritter sensible Kundendaten erlangt hatte, darunter Namen, Kontaktdaten, Lieferadressen und Bestelldetails wie gekaufte Artikel und gezahlte Preise. Zahlungskartendaten, Wiederherstellungsphrasen oder private Schlüssel wurden Berichten zufolge nicht offengelegt. Was den Vorfall für Compliance-Fachleute besonders bedeutsam macht, ist die Diskrepanz zwischen dem, was Keystone öffentlich über die Datenlöschung versprochen hatte, und dem, was Kunden nun berichten, tatsächlich geschehen ist.

Was der Vorfall umfasste und was nicht

Die öffentliche Erklärung von Keystone, veröffentlicht am Samstag, 25. Oktober, um 13:59 Uhr ET, war explizit in Bezug auf die betroffenen Datenkategorien. Kundennamen, Kontaktinformationen, Lieferadressen und Bestelldetails wurden als kompromittiert bestätigt. Das Unternehmen war ebenso direkt in Bezug auf das, was nicht entwendet wurde: Zahlungskartendetails, Bankkontoinformationen, Wallet-Wiederherstellungsphrasen, private Schlüssel und Wallet-Passwörter wurden alle als außerhalb des Umfangs des Vorfalls liegend bezeichnet.

Umfang und ergriffene Maßnahmen

Keystone gab an, den Zugriff des Angreifers blockiert, die identifizierte Schwachstelle behoben und eine formelle Untersuchung eingeleitet zu haben. Betroffene Kunden werden per E-Mail benachrichtigt. Das Unternehmen kündigte an, in den kommenden Tagen einen detaillierten technischen Bericht nachzureichen, hat jedoch noch nicht die Anzahl der betroffenen Kunden, den genauen Angriffsvektor oder ob eine Kommunikation mit dem Angreifer stattgefunden hat, offengelegt.

Warnungen vor Social Engineering

Keystone gab eine klare Warnung heraus, dass Kriminelle die gestohlenen Daten nun nutzen könnten, um sich per Telefon, SMS, E-Mail oder physischer Post als das Unternehmen auszugeben und gefälschte Rückerstattungen, Ersatzgeräte oder angebliche Sicherheits-"Lösungen" anzubieten. Das Unternehmen riet Kunden, niemals eine Wiederherstellungsphrase in ein Gerät einzugeben, das sie nicht selbst bestellt haben, und Links in Nachrichten, die angeblich von Keystone stammen, zu ignorieren. Diese Art von nachgelagertem Social-Engineering-Risiko ist ein vorhersehbarer Sekundäreffekt jedes Vorfalls, bei dem Wohnadressen zusammen mit Produktbesitzdaten offengelegt werden, und verdient ernsthafte Aufmerksamkeit.

Die 180-Tage-Löschrichtlinie und warum sie wichtig ist

Der folgenreichste Aspekt dieser Geschichte ist nicht der Vorfall selbst, sondern was der Vorfall über die Datenaufbewahrungs-Governance offenbart. Keystone hat seine 180-Tage-Löschzusage für Versanddaten wiederholt und öffentlich als Wettbewerbsvorteil beworben.

Eine als Verkaufsargument vermarktete Richtlinie

Am 5. Januar 2026, dem Tag, an dem ein ähnlicher Vorfall den E-Commerce-Partner eines rivalisierenden Wallet-Herstellers traf, postete Keystone auf X, dass Versanddaten 180 Tage nach einer Bestellung dauerhaft gelöscht werden. Ein Beitrag im März besagte, dass Keystone im Gegensatz zu anderen Hardware-Wallets Versandinformationen innerhalb von 180 Tagen löscht. Beiträge im August bekräftigten dieselbe Botschaft. Die Website und das Hilfe-Center des Unternehmens verweisen beide auf die Richtlinie, obwohl der genaue Wortlaut zwischen den Quellen leicht abweicht: Eine besagt, dass alle Versandinformationen 180 Tage nach Aufgabe einer Bestellung automatisch gelöscht werden, während die andere die Löschung aller Bestellinformationen für Kunden beschreibt, die in den letzten 180 Tagen nicht bestellt haben. Dieser subtile Unterschied im Wortlaut ist aus rechtlicher Sicht nicht trivial.

Kundenberichte widersprechen der Löschbehauptung

Mehrere Kunden haben auf X gepostet, dass ihre Daten in der Verletzungsmitteilung auftauchten, obwohl ihre Bestellungen weit außerhalb des 180-Tage-Fensters lagen. Ein Nutzer berichtete, eine Verletzungsmitteilung für eine Bestellung erhalten zu haben, die vor über zwei Jahren aufgegeben wurde. Ein anderer berechnete, dass 214 Tage zwischen ihrer letzten Bestellung und dem Vorfall vergangen waren, knapp außerhalb des Löschfensters, aber genug, um Fragen aufzuwerfen. Der vielleicht bemerkenswerteste Bericht kam von einem Nutzer, der angab, von jemandem angerufen worden zu sein, der eine Montrealer Polizeinummer fälschte, bevor Keystone irgendeine öffentliche Offenlegung machte. Der Anrufer besaß Berichten zufolge Details, die zu einer Keystone-Bestellung aus dem Jahr 2024 passten, mehr als zwei Jahre vor dem Vorfallsdatum, und fragte, ob Amazon, eBay oder Keystone dem Ziel etwas bedeuteten. Das X-Konto von Keystone bestätigte den Bericht und erklärte, eine dringende Untersuchung eingeleitet zu haben. Das Unternehmen hat weder öffentlich bestätigt noch dementiert, ob die 180-Tage-Richtlinie eingehalten wurde.

Ein breiteres Muster bei Hardware-Wallet-Anbietern

Keystone ist 2026 nicht allein mit dieser Art von Risiko konfrontiert. Im August meldete Trezor eine Verletzung bei seinem Versandpartner ShipMonk. Trezor erklärte später, dass ShipMonk schriftliche Zusicherungen gegeben hatte, dass Kundendaten gelöscht worden seien, was jedoch nicht der Fall war. Tage nach Trezors Offenlegung meldete SafePal einen Fehler in seinem eigenen Bestellverfolgungssystem. Anfang Oktober meldete Ledger ein separates Problem. Das Muster ist konsistent: Die physische Verteilung von Hardware erzeugt einen Datenfußabdruck, der über E-Commerce- und Logistik-Subprozessoren bestehen bleibt und oft die eigenen Aufbewahrungsfristen des primären Anbieters überdauert.

Risiko durch Dritt-Subprozessoren

Das Hilfe-Center von Keystone selbst weist darauf hin, dass der endgültige Löschprozess von Shopify durchgeführt wird und dass Aufzeichnungen über Stadt und Land eines Kunden auch auf Anfrage nicht gelöscht werden. Dies ist eine offene, aber wenig beachtete Offenlegung. Das Datenaufbewahrungsversprechen eines Anbieters ist nur so robust wie die vertraglichen und technischen Kontrollen, die er über jeden Subprozessor in der Kette hat. Wenn die Löschung davon abhängt, dass eine nachgelagerte Plattform einen Prozess ausführt, kann jede Lücke in dieser Ausführung Daten auf unbestimmte Zeit exponiert lassen, und der primäre Anbieter trägt die reputations- und möglicherweise regulatorische Last dieses Versäumnisses.

Compliance- und Daten-Governance-Implikationen für Unternehmen

Für Wirtschaftsprüfungsgesellschaften, CFOs und Compliance-Teams, deren Kunden oder Mitarbeiter Hardware-Wallets für die Verwahrung digitaler Vermögenswerte nutzen, hat dieser Vorfall direkte operative Relevanz, auch wenn keine eigenen Systeme betroffen waren.

Anbieter-Due-Diligence und Datenverarbeitungsverträge

Jedes Unternehmen, das personenbezogene Daten im Zusammenhang mit Transaktionen mit digitalen Vermögenswerten verarbeitet, sei es über einen Krypto-Buchhaltungssoftware-Workflow, eine Verwahrungsvereinbarung oder einen Kunden-Onboarding-Prozess, agiert in einem Umfeld, in dem Dritt-Subprozessoren einen wesentlichen Risikovektor darstellen. Der Keystone-Vorfall zeigt, dass eine öffentlich erklärte Aufbewahrungsrichtlinie nicht dasselbe ist wie eine vertraglich durchsetzbare, unabhängig verifizierte Datenlöschungszusage. Unternehmen sollten Anbietervereinbarungen prüfen, um sicherzustellen, dass Löschpflichten spezifisch, zeitlich begrenzt und einer schriftlichen Bestätigung unterworfen sind. Wenn ein Anbieter die Löschung an einen weiteren Subprozessor delegiert, sollte dieser Subprozessor benannt und das Kontrollrahmenwerk dokumentiert sein.

AML/KYC-Exposition durch Versanddaten

Versandadressen und Bestelldetails mögen routinemäßig erscheinen, aber im Kontext des Besitzes digitaler Vermögenswerte bergen sie eine bedeutende AML/KYC-Sensibilität. Eine Liste verifizierter Hardware-Wallet-Käufer, jeweils mit einer bestätigten Wohnadresse, ist ein Datensatz, der genutzt werden könnte, um Personen mit selbstverwahrten Vermögenswerten ins Visier zu nehmen. Für regulierte Unternehmen, die den Verpflichtungen des Bank Secrecy Act in den Vereinigten Staaten oder gleichwertigen AML-Rahmenwerken anderswo unterliegen, sollte jeder Hinweis darauf, dass die Identitäts- oder Adressdaten eines Kunden kompromittiert wurden, eine Überprüfung auslösen, ob eine erweiterte Sorgfaltspflicht oder eine Verdachtsmeldung gerechtfertigt ist, nicht weil das Unternehmen für die Keystone-Verletzung verantwortlich ist, sondern weil das nachgelagerte Betrugsrisiko für den Kunden erheblich gestiegen ist.

Implikationen für die Beschaffung von Software zur Buchhaltung digitaler Vermögenswerte

Unternehmen, die Software zur Buchhaltung digitaler Vermögenswerte bewerten oder bereits nutzen, sollten diesen Vorfall zum Anlass nehmen, dieselbe Sorgfalt auf die Datenaufbewahrungs- und Subprozessor-Offenlegungen ihrer Softwareanbieter anzuwenden. Die Tatsache, dass Keystones erklärte Richtlinie und seine offensichtliche Praxis auseinanderliefen, ist ein Kontrollversagen, das in jeder SaaS- oder E-Commerce-Umgebung auftreten könnte. Fragen, die es wert sind, jedem Anbieter gestellt zu werden, umfassen: Welche Subprozessoren verarbeiten Kundendaten, wie sind die vertraglichen Löschfristen, und wie wird die Einhaltung dieser Fristen überprüft und nachgewiesen?

Unsere frühere Berichterstattung über den CoinDCX-Hack über 16 Millionen Dollar und was Blockchain-Ermittler fanden zeigt, wie schnell ein Vorfall zu umfassenderen finanziellen und reputationsbezogenen Schäden eskalieren kann, wenn der ursprüngliche Vorfall nicht schnell eingedämmt wird. Dieselbe Dynamik gilt hier, auch wenn der Angriffsvektor E-Commerce-Daten und nicht On-Chain-Vermögenswerte betrifft.

Praktische Schritte für betroffene Personen und ihre Berater

Wenn Sie oder ein Kunde ein Keystone-Gerät gekauft haben, besteht die unmittelbare Priorität darin, wachsam gegenüber Social Engineering zu sein. Das Unternehmen hat bestätigt, dass keine kryptografischen Geheimnisse offengelegt wurden, sodass die direkte Bedrohung für On-Chain-Vermögenswerte gering ist. Die indirekte Bedrohung durch Identitätstäuschungsangriffe, die darauf abzielen, Nutzer zur Offenlegung von Wiederherstellungsphrasen oder zur Überweisung von Geldern zu verleiten, ist real und aktiv.

Sofortige Maßnahmen

Jeder, der betroffen sein könnte, sollte jede eingehende Kommunikation, die vorgibt, von Keystone zu stammen, über die offiziellen Kanäle des Unternehmens überprüfen, bevor er darauf reagiert. Keine legitime Reaktion auf diesen Vorfall wird nach einer Wiederherstellungsphrase, einer Seed-Phrase oder Wallet-Anmeldeinformationen fragen. Einzelpersonen sollten auch prüfen, ob ihre Adressdaten, die nun möglicherweise im Umlauf sind, eine Überprüfung ihrer physischen Sicherheitsvorkehrungen für die Aufbewahrung von Hardware-Wallets rechtfertigen.

Als Kontext dafür, wie Regulierer Betrugsrisiken im Zusammenhang mit Krypto-Infrastruktur allgemein betrachten, bietet die FinCEN-Warnung zu Betrugsrisiken an Krypto-Kiosken eine nützliche Parallele: Regulierer konzentrieren sich zunehmend auf die physischen und Social-Engineering-Vektoren, die den Besitz digitaler Vermögenswerte umgeben, nicht nur auf die On-Chain-Risiken.

Was zu beobachten ist, während die Untersuchung weitergeht

Keystone hat einen detaillierten Folgebericht zugesagt. Die zentralen Fragen, die dieser Bericht beantworten muss, sind, ob die 180-Tage-Löschrichtlinie tatsächlich wie beschrieben umgesetzt wurde, welcher Subprozessor die zugegriffenen Daten hielt, wie der Angreifer API-Zugriff auf Shopify erlangte und wie viele Kunden betroffen sind. Die Antworten werden entscheiden, ob dieser Vorfall ein einmaliges Umsetzungsversäumnis oder ein Beleg für eine systemische Lücke zwischen Keystones Daten-Governance-Dokumentation und seiner operativen Praxis ist.

Regulierer in den USA haben sich noch nicht öffentlich geäußert. Nach den geltenden einzelstaatlichen Datenschutzverletzungsgesetzen und möglicherweise nach FTC-Rahmenwerken könnte Keystone Mitteilungspflichten haben, die über seine freiwillige E-Mail an betroffene Kunden hinausgehen. Die Anerkennung des Unternehmens, dass es noch eine gründliche Untersuchung durchführt, deutet darauf hin, dass diese Pflichten parallel bewertet werden.

Häufig gestellte Fragen

Wurde bei der Keystone-Verletzung Kryptowährung gestohlen?

Nein. Keystone bestätigte, dass keine privaten Schlüssel, Wiederherstellungsphrasen oder Wallet-Passwörter offengelegt wurden. Die Verletzung beschränkte sich auf Kundenversand- und Bestelldaten, die in seinem Shopify-basierten Shop gespeichert waren. On-Chain-Vermögenswerte sind durch diesen Vorfall nicht direkt gefährdet, obwohl das indirekte Risiko durch Social-Engineering-Angriffe mit den gestohlenen Daten real ist.

Warum ist die 180-Tage-Löschrichtlinie rechtlich relevant?

Wenn Keystones erklärte Richtlinie eine vertragliche oder regulatorische Verpflichtung darstellt, könnte die Nichteinhaltung das Unternehmen Ansprüchen nach geltendem Datenschutzrecht und Verbraucherschutzrahmen aussetzen. Die Diskrepanz zwischen dem Wortlaut der Richtlinie auf der Website und im Hilfe-Center sowie die Kundenberichte über die Offenlegung älterer Daten sind genau die Punkte, die ein Regulierer oder Kläger untersuchen würde.

Was sollten Wirtschaftsprüfungsgesellschaften tun, wenn ein Kunde den Erhalt einer Keystone-Verletzungsmitteilung meldet?

Behandeln Sie es als Anlass zu prüfen, ob die Offenlegung personenbezogener Daten des Kunden sein Betrugs- oder Identitätsdiebstahlsrisiko in einer Weise erhöht, die für jede AML/KYC-Bewertung des Unternehmens relevant ist. Eine verstärkte Überwachung der Kundenbeziehung kann angemessen sein. Eine Verdachtsmeldung ist nicht automatisch erforderlich, aber das Risikobild hat sich geändert und sollte dokumentiert werden.

Wie wirkt sich dies auf Unternehmen aus, die Krypto-Buchhaltungssoftware oder Software zur Buchhaltung digitaler Vermögenswerte auswählen?

Es unterstreicht die Bedeutung von Subprozessor-Transparenz und vertraglich bindenden Löschplänen in jeder SaaS-Anbietervereinbarung. Die erklärte Datenaufbewahrungsrichtlinie eines Anbieters ist nicht dasselbe wie eine durchsetzbare, verifizierte Zusage. Unternehmen sollten Nachweise für die Einhaltung der Löschung anfordern, nicht nur ein Richtliniendokument.

Sehen sich andere Hardware-Wallet-Hersteller ähnlichen Problemen gegenüber?

Ja. Im Jahr 2026 meldete Trezor eine Verletzung bei seinem Logistikpartner ShipMonk, bei dem Daten, die angeblich gelöscht worden waren, nicht gelöscht worden waren. SafePal meldete ebenfalls einen Fehler in der Bestellverfolgung. Ledger meldete im Oktober separat ein gerätebezogenes Problem. Der gemeinsame Nenner ist, dass die physische Verteilung von Hardware eine Datenspur über E-Commerce- und Logistik-Subprozessoren erzeugt, die oft das Aufbewahrungsfenster des primären Anbieters überdauert.

Quelle: The Block