SafePal-Datenpanne: 40.000 Kunden betroffen, Wallets bleiben sicher

Wer ein Hardware-Wallet besitzt, also eines jener physischen Geräte zur sicheren Aufbewahrung von Kryptowährungen, hat in diesen Tagen möglicherweise eine beunruhigende Mitteilung erhalten. SafePal, einer der führenden Hersteller solcher Geräte, hat einen Datenschutzvorfall bekannt gegeben, bei dem die persönlichen Daten von knapp 40.000 Kunden offengelegt wurden. Die entscheidende Klarstellung vorweg: Die Schlagzeile „SafePal-Wallets wurden gehackt“ wäre schlicht falsch, und den Unterschied zu verstehen ist alles.

Unauthorized Access To A Subset Of Customer Order Information | SFP | SafePal Crypto Wallet

Unauthorized Access To A Subset Of Customer Order Information,SafePal Crypto Wallet Blog Home Page,SFP,SafePal App

SafePal Crypto Wallet

Wallets, Zugriffsschlüssel und vor allem die Guthaben der Kunden sind vollständig sicher und wurden nicht angetastet. Was offengelegt wurde, ist etwas anderes, aber gleichermaßen heikel: die Identität der Personen, die diese Geräte gekauft haben. Damit öffnet sich ein wichtiges Kapitel zur Sicherheit in der Kryptowelt, das weit über den Schutz privater Schlüssel hinausgeht. Was genau passiert ist und warum uns das alle angeht, klären wir im Folgenden.

Was wirklich passiert ist

Die Fakten zuerst, denn Präzision ist hier entscheidend. Die Sicherheitslücke betraf weder die SafePal-Geräte selbst noch deren Software noch die darin verwahrten Kryptowährungen. Das Problem lag in einem Hilfswerkzeug: einem Plugin auf der Website, das die Sendungsverfolgung von Bestellungen ermöglichte. Ein Fehler in diesem Plugin erlaubte unbefugten Zugriffen, die Bestellinformationen anderer Kunden einzusehen.

Betroffen sind laut SafePal-Angaben rund 39.798 Personen, die zwischen März 2025 und April 2026 eine Bestellung aufgegeben hatten. Offengelegt wurden Name, E-Mail-Adresse, Lieferadresse, Telefonnummer und Kaufdetails. Entscheidend ist, was SafePal ausdrücklich betont: Was nicht kompromittiert wurde. Seed-Phrasen, private Schlüssel, Wallet-Passwörter sowie Bank- und Kartendaten waren zu keinem Zeitpunkt gefährdet. Diese Informationen erhebt das Unternehmen schlicht nicht. Die Guthaben der Kunden blieben unberührt. SafePal hat die Lücke geschlossen, laut eigener Mitteilung über dreißig damit verbundene Phishing-Seiten entfernt und alle betroffenen Kunden benachrichtigt.

Kein gehacktes Wallet, aber dennoch ernst zu nehmen

Hier liegt der entscheidende Punkt, der eine oberflächliche von einer fundierten Einschätzung trennt. Wenn die Guthaben sicher sind, warum dann überhaupt besorgt sein? Weil die Art der offengelegten Daten der ideale Rohstoff für gezielte und hinterhältige Angriffe ist. Den Namen einer Person zu kennen, ihre Heimadresse, ihre Telefonnummer und vor allem die Tatsache, dass sie ein Gerät zur Aufbewahrung von Kryptowährungen gekauft hat, versetzt Kriminelle in die Lage, überaus glaubwürdige und maßgeschneiderte Betrugsmaschen zu konstruieren.

Die größte Gefahr heißt Spear-Phishing: ein Täuschungsangriff, der präzise auf das Opfer zugeschnitten wird. Stellen Sie sich vor, Sie erhalten eine E-Mail, einen Anruf oder sogar einen Brief von jemandem, der Ihren Namen kennt, weiß, welches Wallet-Modell Sie gekauft haben, und Sie vor einem angeblichen Sicherheitsproblem warnt. Die Aufforderung: Gerät „überprüfen“ oder „aktualisieren“ und dabei die geheimen Wiederherstellungswörter eingeben. Ein solcher Betrug, der durch echte Daten glaubwürdig wirkt, ist deutlich gefährlicher als eine generische Phishing-Mail. Das ist keine Theorie: Bereits im Mai meldete ein Kunde, genau einen solchen Versuch erhalten zu haben, inklusive einer gefälschten Firmware-Update-Anfrage.

Sichere Schlüssel allein reichen nicht

Dieser Vorfall, zusammen mit einem nahezu identischen Fall, der vor wenigen Wochen einen anderen bekannten Hersteller traf, lehrt uns etwas Grundlegendes über Krypto-Sicherheit. Jahrelang lautete das Mantra: Schütze deine privaten Schlüssel, bewahre deine Seed-Phrase sicher auf, und dein Geld ist unantastbar. Das stimmt, und es bleibt das Fundament von allem. Aber es ist eine unvollständige Wahrheit. Denn die Sicherheit der Schlüssel schützt nicht die Identität ihres Besitzers.

Das Paradoxon ist offensichtlich: Die Philosophie der Self-Custody, also das eigenverantwortliche Verwahren von Kryptowährungen mit einem physischen Gerät, schützt das Vermögen hervorragend vor digitalen Angriffen. Doch in dem Moment, in dem man dieses Gerät kauft, hinterlässt man eine Spur: Name und Adresse, in den Systemen eines Unternehmens, eines Logistikdienstleisters, eines Onlineshops. Und diese Spur kann, wie dieser Fall zeigt, durch das schwächste Glied der Kette offengelegt werden, in diesem Fall ein schlichtes Bestellverfolgungsplugin. Ein vergleichbarer Vorfall bei einem anderen Hersteller führte vor einigen Jahren sogar zu physischen Bedrohungen gegen Kunden, deren Adressen bekannt geworden waren. Die Sicherheit der Schlüssel und die Sicherheit der Person sind zwei verschiedene Dinge. Beide verdienen dieselbe Sorgfalt. Über einen ähnlichen Fall bei einem anderen Wallet-Hersteller hatten wir bereits in unserem Artikel zum Trezor-Vorfall berichtet.

Konkrete Schutzmaßnahmen

Kommen wir zum Praktischen, dem Teil, der tatsächlich schützt. Wer SafePal-Kunde ist oder generell Kryptowährungen besitzt, sollte jetzt bestimmte Grundregeln beherzigen. Die wichtigste zuerst: Kein seriöses Unternehmen wird jemals nach den geheimen Wiederherstellungswörtern oder privaten Schlüsseln fragen, aus keinem Grund, weder per E-Mail noch per Telefon noch per Brief. Wer das tut, betrügt. Kein Wenn und Aber. Seien Sie misstrauisch gegenüber jeder Kommunikation, die Sie unter Zeitdruck dazu bringt, etwas zu „überprüfen“, „aktualisieren“ oder „freizuschalten“, selbst wenn der Absender Ihre persönlichen Daten zu kennen scheint.

Konkret bedeutet das: Klicken Sie nicht auf Links in unerwarteten E-Mails oder Nachrichten zu Ihren Bestellungen. Tippen Sie die Adresse der offiziellen Website stets selbst in den Browser. Legen Sie Telefonanrufe auf, die dringende Aktionen an Ihrem Wallet fordern. Und bedenken Sie: Da Ihre Schlüssel nicht kompromittiert wurden, ist es nicht notwendig, Ihre Guthaben allein wegen dieses Vorfalls zu verschieben. Überstürztes Handeln kann neue Fehler verursachen. Einzige Ausnahme: Wenn Sie bereits versehentlich Ihre Seed-Phrase an jemanden weitergegeben haben, transferieren Sie Ihre Guthaben sofort auf ein neues Wallet. Wie Sie Ihre Kryptowährungen dauerhaft sicher verwahren, erklärt unsere Anleitung zur sicheren Verwahrung.

Was dieser Fall wirklich bedeutet

Der SafePal-Vorfall ist weit mehr als ein technischer Zwischenfall. Er ist eine Erinnerung daran, dass Sicherheit in der Kryptowelt eine Kette aus vielen Gliedern ist, nicht nur aus dem, zwar fundamentalen, der privaten Schlüssel. Man kann sein Vermögen auf dem sichersten Gerät der Welt verwahren und dennoch zum Angriffsziel werden, wenn die eigene Identität als Besitzer über Hilfssysteme eines Unternehmens nach außen dringt. Digitale und persönliche Sicherheit sind längst untrennbar miteinander verbunden.

Für Nutzerinnen und Nutzer ergibt sich daraus eine doppelte Lektion. Erstens: Sicherheitsbewusstsein muss breiter gedacht werden. Es reicht nicht, die Schlüssel zu schützen. Man sollte auch wachsam sein, wo und wie man persönliche Daten hinterlässt. Zweitens ist es ein Signal an die gesamte Branche: Anbieter müssen lernen, nicht nur die digitalen Vermögenswerte ihrer Kunden zu schützen, sondern auch deren Identität und Privatsphäre, mit derselben Konsequenz. In einer Zeit, in der der Besitz von Kryptowährungen einen zum Ziel machen kann, ist der Datenschutz kein Randthema, sondern ein zentraler Bestandteil der Sicherheit. Dieser Vorfall, der zum Glück ohne Schaden an den Guthaben geblieben ist, bietet die Gelegenheit, die richtige Lektion zu ziehen. Die BaFin betont im Rahmen ihrer Verbraucherschutzleitlinien regelmäßig, dass technische Asset-Sicherheit und persönlicher Datenschutz gemeinsam gedacht werden müssen. Wer jetzt handelt, ist besser vorbereitet.