Trezor-Datenleck: Bin ich betroffen und was ist jetzt zu tun?

Ob du vom Trezor-Datenleck betroffen bist, entscheidet eine einzige Frage: Liegt in deinem Postfach eine E-Mail von help@trezor.io zu dem Vorfall? Trezor benachrichtigt nach eigenen Angaben jeden Betroffenen einzeln. Wer diese Nachricht nicht bekommen hat, steht laut Hersteller nicht in den offengelegten Datensätzen.

Am 4. September 2026 hat Trezor den Vorfall zum zweiten Mal ausgeweitet. Zu den im August gemeldeten 13.689 Kundinnen und Kunden kommen rund 67.000 weitere aus den USA hinzu, zusammen also gut 80.000 Menschen. Offengelegt sind vollständiger Name, Lieferanschrift, Telefonnummer, E-Mail-Adresse und Bestellnummer. Nicht offengelegt sind der Inhalt der Pakete, die Geräte selbst, private Schlüssel oder Wallet-Backups.

Dieser Text beantwortet die Frage, die hinter der Schlagzeile steht und auf Deutsch bislang niemand beantwortet: ob deutsche Kundschaft in dieser zweiten Welle überhaupt vorkommt, woran du das prüfst, und was ein offenes Adressbuch für jemanden bedeutet, der Kryptowerte selbst verwahrt.

Bin ich vom Trezor-Datenleck betroffen? Die Prüfung dauert zwei Minuten

Trezor hat für beide Wellen denselben Weg gewählt: Betroffene werden direkt per E-Mail informiert, Absender ist help@trezor.io. Im Blogbeitrag zum Vorfall steht der Satz wörtlich, und er gilt in beide Richtungen. Keine Mail von dieser Adresse bedeutet nach Darstellung des Herstellers: keine Betroffenheit.

Die Benachrichtigung selbst unterscheidet zwei Stufen. Bei vollständiger Offenlegung sind Name, E-Mail-Adresse, Telefonnummer und Lieferanschrift betroffen. Bei teilweiser Offenlegung sind es nur Name, Stadt und E-Mail-Adresse, die Straßenanschrift fehlt. Welche der beiden Stufen dich trifft, steht in der Mail. Das ist keine Formalie: Eine offene Straßenanschrift wiegt deutlich schwerer als eine offene Stadt.

Und wenn du dir bei der Mail nicht sicher bist

Genau hier beginnt das eigentliche Risiko. Ein Datenleck, über das öffentlich berichtet wird, ist für Betrüger eine Einladung, weil gerade jetzt Tausende Menschen eine Warnmail erwarten. Prüfe deshalb die Absenderadresse zeichenweise, öffne keine Anhänge und folge keinem Link aus der Mail. Wenn du wissen willst, ob eine Nachricht echt ist, ruf die Trezor-Seite selbst über die Adresszeile deines Browsers auf und suche dort den Blogbeitrag zum Vorfall. Der Weg über die Adresszeile ist der einzige, den ein Angreifer nicht fälschen kann.

Was bei ShipMonk offengelegt wurde und was nicht

ShipMonk ist ein Fulfillment-Dienstleister, also ein Unternehmen, das die Ware eines Herstellers lagert, Bestellungen verpackt und an die Kundschaft versendet. Für diese Aufgabe braucht ein solcher Dienstleister genau die Daten, die jetzt abgeflossen sind: Name, Lieferanschrift, Telefonnummer für den Zusteller, E-Mail-Adresse und Bestellnummer. Trezor beschreibt ShipMonk als einen seiner Versandpartner für die USA, Großbritannien und weitere Länder.

Am 10. August 2026 meldete ShipMonk dem Hersteller einen unbefugten Zugriff auf Systeme mit Kundendaten. Trezor machte den Vorfall am 13. August öffentlich. Was dabei ausdrücklich nicht betroffen war, ist der wichtigere Teil der Auskunft: Die Systeme von Trezor wurden nach Angaben des Unternehmens nicht kompromittiert, die Geräte sind sicher, private Schlüssel und Wallet-Backups sind unberührt. Auch der Inhalt der Pakete taucht in den Daten nicht auf. Ein Angreifer weiß also, dass an eine bestimmte Adresse eine Bestellung ging, aber nicht, welches Gerät darin lag oder wie viel darauf heute liegt.

Warum dich das als Selbstverwahrer trotzdem angeht

Eine Hardware-Wallet ist ein Gerät, das deine privaten Schlüssel dauerhaft offline hält und Transaktionen erst nach einer Bestätigung am Gerät signiert. Damit ist so ein Gerät das Standardwerkzeug der Selbstverwahrung, und es hat einen unvermeidbaren Nebeneffekt: Es bleibt ein physisches Produkt. Wer es kauft, muss es sich liefern lassen und hinterlässt dabei Namen, Anschrift und Telefonnummer bei mindestens einem Zwischenhändler. Genau diese Spur ist hier offengelegt worden. Wenn du gerade abwägst, welches Gerät und welcher Bezugsweg für dich passt, hilft der Vergleich der Hardware-Wallets bei der Auswahl. Die Datenspur der Bestellung gehört seit diesem Vorfall zu den Kriterien, die in diese Abwägung hineingehören.

Warum Deutschland in keiner der beiden Betroffenenlisten steht

Trezor nennt für beide Wellen die betroffenen Länder, und das Ergebnis ist für deutsche Leserinnen und Leser eindeutig. Die erste Welle betraf Bestellungen aus den USA, Großbritannien, Schweden, Kolumbien, Brasilien, Italien und Portugal, geliefert zwischen dem 10. Mai und dem 8. August 2026. Die zweite Welle betrifft nach Angaben des Herstellers ausschließlich Kundschaft in den USA. Deutschland taucht in keiner der beiden Aufzählungen auf.

Das ist eine Auskunft mit einer Grenze, und die gehört dazu. Maßgeblich ist die Lieferanschrift, nicht der Wohnsitz oder die Staatsangehörigkeit. Wer sich ein Gerät an eine Adresse in einem der genannten Länder hat schicken lassen, kann betroffen sein, auch wenn er in Deutschland lebt. Und die Länderliste ersetzt die Prüfung nicht: Entscheidend bleibt die Benachrichtigung von help@trezor.io.

Die zweite Welle trifft eine ganz andere Käufergruppe

Der eigentliche Fund dieses Updates steckt nicht in der Zahl, sondern im Zeitraum. Die erste Welle betraf frische Bestellungen aus dem Frühjahr und Sommer 2026. Die rund 67.000 neuen Datensätze stammen aus einer früheren Zusammenarbeit zwischen November 2019 und August 2021. Das sind Menschen, die vor vier bis sieben Jahren ein Gerät bestellt und seither möglicherweise nie wieder dort gekauft haben.

Für diese Gruppe kehrt sich die Lage um. Wer im August 2026 die erste Meldung las und feststellte, dass seine letzte Bestellung Jahre zurückliegt, durfte sich mit gutem Grund für nicht betroffen halten. Seit dem 4. September gilt das nicht mehr. Unser Bericht zur ersten Welle des ShipMonk-Datenlecks nennt die damals gültige Zahl von 13.689 Betroffenen. Diese Zahl ist durch das Update überholt; der Vorgang selbst und die dort beschriebene Mechanik gelten unverändert.

Warum das nicht bloß ein Zahlendreher ist: Die zweite Welle umfasst nach Trezors Angabe durchgehend vollständige Offenlegungen, also Name, E-Mail, Telefonnummer, Lieferanschrift und Bestellnummer im Paket. Und sie trifft Bestellungen aus einer Zeit, in der Kryptowerte deutlich weniger wert waren als heute. Wer 2020 gekauft und gehalten hat, sitzt statistisch auf einem größeren Bestand als jemand, der 2026 eingestiegen ist. Diese Verbindung stellt jeder Angreifer selbst her.

Löschung schriftlich zugesichert, Daten trotzdem vorhanden

Trezor arbeitet nach eigener Darstellung mit einer Aufbewahrungsfrist von 90 Tagen: Bestelldaten sollen 90 Tage nach der Zustellung gelöscht oder anonymisiert werden, und dieselbe Bedingung hat das Unternehmen nach eigenen Angaben mit seinen Versandpartnern vereinbart. In der Meldung vom 13. August wurde genau diese Frist als Grund dafür genannt, dass der Schaden begrenzt sei.

Das Update vom 4. September zieht diesem Argument den Boden weg. Trezor schreibt, man habe während der gesamten Zusammenarbeit wiederholt eine schriftliche Bestätigung der Löschung angefordert und auch erhalten, und man sei sehr enttäuscht, dass die Daten trotz dieser Bestätigung in den Systemen des Dienstleisters nicht gelöscht waren. Diese Darstellung stammt vom Hersteller; eine Stellungnahme des Dienstleisters dazu liegt uns nicht vor.

Was du daraus für jeden anderen Anbieter mitnimmst

Der Punkt ist verallgemeinerbar und deshalb der praktisch wertvollste des ganzen Vorgangs: Eine vertragliche Löschfrist ist eine Zusage, keine Garantie. Der Vertrag beschreibt, was ein Dienstleister tun soll, und er sagt nichts darüber, was in dessen Datenbanken tatsächlich noch liegt. Du kannst das von außen nicht prüfen. Was du steuern kannst, ist die Menge an Daten, die du überhaupt herausgibst, und darum geht es im hinteren Teil dieses Textes.

Warum ein Adressleck kein Kryptoverlust ist

Diese Unterscheidung ist der Grund, warum du nach dieser Meldung keine Coins bewegen musst. Ein Angreifer, der deinen Namen, deine Anschrift und deine Telefonnummer kennt, hat damit keinerlei Zugriff auf deine Bestände. Der Zugriff hängt allein am Wallet-Backup, also an der Wörterfolge, die dein Gerät bei der Einrichtung angezeigt hat und aus der sich alle privaten Schlüssel wiederherstellen lassen. Diese Wörterfolge war nie beim Versanddienstleister und ist im Leck nicht enthalten.

Wer Bitcoin oder andere Kryptowerte auf einem eigenen Gerät hält, hat nach diesem Vorfall also keinen technischen Grund, das Gerät zu tauschen oder Bestände umzuziehen. Ein Wallet, dessen Backup nie digital erfasst und nie eingegeben wurde, bleibt sicher, auch wenn die Lieferadresse öffentlich ist. Verändert hat sich nur eines: die Wahrscheinlichkeit, gezielt angesprochen zu werden.

Phishing nach einem Datenleck erkennen: die Merkmale, die zählen

Phishing bezeichnet den Versuch, dich über eine gefälschte Nachricht zur Herausgabe von Zugangsdaten oder Schlüsseln zu bewegen. Nach einem Adressleck wird daraus zielgenaue Arbeit: Wer Name, Anschrift, Telefonnummer und Bestellnummer kennt, schreibt keine Massenmail mehr, sondern formuliert eine Nachricht mit echten persönlichen Details, die deshalb glaubwürdig wirkt. Trezor weist im eigenen Blogbeitrag ausdrücklich auf dieses erhöhte Risiko hin und nennt gefälschte E-Mails, betrügerische Anrufe und Briefe.

Woran du eine solche Nachricht erkennst:

• Dringlichkeit. Jede Nachricht, die sofortiges Handeln verlangt, weil angeblich etwas gesperrt, kompromittiert oder verloren ist, gehört auf den Prüfstand. Zeitdruck ist das Werkzeug, mit dem Prüfung verhindert wird.
• Abfrage von Wiederherstellungsdaten. Kein seriöser Hersteller fragt jemals nach deinem Wallet-Backup, deiner Wörterfolge oder deinem privaten Schlüssel, weder per Mail noch am Telefon noch auf einer Website.
• Persönliche Details als Vertrauensanker. Nach diesem Leck sind Anschrift und Bestellnummer kein Echtheitsbeweis mehr, sondern ein Hinweis darauf, dass jemand mit geleakten Daten arbeitet.
• Der Link führt woandershin, als er verspricht. Fahre mit der Maus über den Link, ohne zu klicken, und lies das tatsächliche Ziel. Auf dem Telefon hilft langes Drücken statt Antippen.
• Ein Gerät wird unaufgefordert zugeschickt. Wer nach einem Leck ein angeblich kostenloses oder ausgetauschtes Gerät per Post bekommt, sollte es nicht einrichten. Manipulierte Geräte mit vorgefertigtem Backup sind ein bekannter Angriffsweg.
• Der Anruf kommt vom Support. Telefonnummern sind Teil des Lecks. Ein Rückruf über eine Nummer, die du selbst auf der Herstellerseite nachgeschlagen hast, klärt jeden Zweifel.

Wie konkret das werden kann, zeigt der Fall, den wir im Beitrag über Phishing-Briefe an Wallet-Besitzer beschrieben haben: Dort erreichte der Angriff die Betroffenen als gedruckten Brief mit dem Anschein einer offiziellen Aufforderung. Eine offene Wohnanschrift macht diesen Weg überhaupt erst möglich.

Wallet-Backup: die eine Regel, an der jeder Angriff scheitert

Das Wallet-Backup ist die Wiederherstellungsfolge aus meist zwölf oder vierundzwanzig Wörtern, mit der sich dein gesamtes Wallet auf einem beliebigen anderen Gerät neu aufbauen lässt. Wer sie hat, hat die Coins. Deshalb gilt eine Regel ohne Ausnahme: Diese Wörter werden niemals auf einer Website eingegeben, niemals abfotografiert, niemals in einer Cloud gespeichert und niemandem genannt, auch keinem Support-Mitarbeiter.

Diese eine Regel neutralisiert praktisch jeden Angriff, der aus einem Adressleck folgt. Ein Angreifer kann dich anschreiben, anrufen, mit deiner Bestellnummer beeindrucken und eine perfekt nachgebaute Seite zeigen. Solange die Wörterfolge dein Gerät nicht verlässt, bleibt der Angriff wirkungslos. Prüfe bei dieser Gelegenheit auch, wo dein Backup physisch liegt und ob es dort einen Wasserschaden oder einen Wohnungsbrand überstehen würde.

Offene Wohnanschrift: was das physische Risiko praktisch bedeutet

Trezor nennt in der aktualisierten Meldung neben Phishing ausdrücklich mögliche Risiken für die physische Sicherheit der Betroffenen, und Fachmedien haben diesen Punkt aufgegriffen. Das ist die nüchterne Folge einer Datenkombination: Eine Liste von Wohnanschriften, hinter denen mit hoher Wahrscheinlichkeit jemand steht, der Kryptowerte hält, ist etwas anderes als eine Liste von Kundenadressen eines Möbelhauses.

Praktisch heißt das vor allem Zurückhaltung nach außen. Wer über eigene Bestände öffentlich spricht, sie in sozialen Netzwerken zeigt oder unter Klarnamen in einschlägigen Foren auftritt, verknüpft die geleakte Anschrift mit einer Größenordnung. Diese Verknüpfung ist der eigentliche Risikofaktor, und sie ist die einzige Variable in der Rechnung, die du noch selbst steuerst. Wo dein Backup liegt, geht ebenfalls niemanden etwas an, und ein Ort außerhalb der Wohnung hat hier einen zweiten Vorteil neben dem Brandschutz.

So bestellst du eine Hardware-Wallet mit weniger Datenspur

Trezor selbst listet im Blogbeitrag mehrere Möglichkeiten auf, beim Kauf weniger über sich preiszugeben. Keine davon ist auf einen Hersteller beschränkt, alle funktionieren bei jedem Versandhändler:

1. Eine eigene E-Mail-Adresse für Bestellungen, die nicht deinen Namen trägt und mit keinem anderen Konto verknüpft ist.
2. Zahlung in Kryptowährung, wo der Händler sie anbietet, sonst eine virtuelle Einmalkarte statt der Stammkreditkarte.
3. Eine Abholadresse statt der Wohnanschrift. Trezor nennt das Postfach; in Deutschland kommt zusätzlich eine Packstation oder eine Filialbelieferung infrage. Für die Abholung ist in aller Regel ein Ausweis nötig, und der Zusteller speichert die Daten seinerseits.
4. Der Kauf beim Hersteller statt über Marktplätze. Das reduziert nicht die Datenmenge, wohl aber die Zahl der Stellen, die sie halten, und es schließt manipulierte Geräte aus zweiter Hand aus.

Der Rest ist Abwägung. Jede dieser Maßnahmen kostet Bequemlichkeit, und keine davon macht dich unsichtbar. Wer den Datenaspekt ganz vermeiden will, kommt zu einer anderen Verwahrform: Eine Software-Wallet ist eine Anwendung auf Telefon oder Rechner, die die Schlüssel lokal speichert. So eine Anwendung wird heruntergeladen und nicht geliefert, hinterlässt also keine Lieferadresse, bietet dafür aber weniger Schutz gegen Schadsoftware auf dem Rechner. Welche Anwendung was leistet, steht im Vergleich der Software-Wallets; für größere Bestände bleibt die Kombination aus beidem der übliche Weg.

Was Anonymous Delivery ist und wann Trezor sie in Europa anbieten will

Im selben Blogbeitrag kündigt Trezor eine Versandoption namens Anonymous Delivery an: ein eigener Bestellvorgang mit Abholung an einer Station, neutraler Verpackung, allgemeinen Absenderangaben und automatischer Löschung der Versandkennzeichen nach der Zustellung. Für die Europäische Union nennt das Unternehmen als Ziel den September 2026, für die USA das Jahresende.

Zwei Einordnungen dazu. Erstens ist das eine Ankündigung des Herstellers und kein verfügbares Produkt; ob der Termin hält, lässt sich heute nicht prüfen. Zweitens löst die Option das Grundproblem nur teilweise: Auch bei neutraler Verpackung braucht ein Zusteller eine Zieladresse, und die Löschung nach Zustellung ist wieder eine Zusage, deren Einhaltung du von außen nicht kontrollieren kannst. Als Verbesserung gegenüber dem heutigen Zustand ist sie trotzdem relevant, und für Käufe in der EU lohnt es sich, vor der nächsten Bestellung nachzusehen, ob die Option inzwischen im Bestellvorgang auftaucht.

Was der Vorfall über Zwischenhändler in der Krypto-Lieferkette sagt

Der Angriff traf einen Dienstleister zwei Stationen hinter dem Hersteller. Für dich als Kundschaft ist das der unbequemste Teil: Du hast bei Trezor bestellt, deine Daten lagen aber bei einem Unternehmen, dessen Namen die meisten Betroffenen erst durch diese Meldung erfahren haben. Das gilt für Hardware-Wallets genauso wie für jeden anderen Online-Kauf.

Übertragbar ist daraus vor allem die Frage, wie viele Stellen deine Daten halten. Bei einer Handelsplattform sind es Anbieter, Zahlungsdienstleister und Ausweisprüfer; beim Gerätekauf sind es Händler, Fulfillment-Dienstleister und Zusteller. Jede Stelle ist ein eigener Angriffspunkt, und keine davon prüfst du selbst. Wer sich für eine Plattform entscheidet, kann wenigstens auf die Aufsicht schauen: Bei einem Anbietervergleich gehört die Frage nach Sitz, Lizenz und Datenverarbeitung inzwischen genauso zur Auswahl wie die Gebühr.

Trezor-Datenleck prüfen: Was du daraus mitnimmst

1. Prüfe zuerst dein Postfach, nicht dein Wallet. Eine Nachricht von help@trezor.io entscheidet über deine Betroffenheit; ohne sie bist du nach Angaben des Herstellers nicht in den Daten. Deine Coins sind unabhängig davon sicher, solange dein Backup nie eingegeben wurde. Wenn du bei dieser Gelegenheit ohnehin über dein Gerät nachdenkst, hilft der Hardware-Wallet-Vergleich bei der Einordnung.
2. Stelle dich auf gezielte Ansprache ein, nicht auf Massenmails. Rechne für die nächsten Monate mit Mails, Anrufen und Briefen, die deine echten Bestelldaten enthalten. Die Wörterfolge deines Backups verlässt dein Gerät nie. Wenn du deine Verwahrung breiter aufstellen willst, zeigt der Software-Wallet-Vergleich, was neben dem Gerät sinnvoll ist.
3. Verringere die Datenspur bei der nächsten Bestellung. Eigene Bestelladresse, Abholstation statt Wohnanschrift, Kauf direkt beim Hersteller. Und wenn ein Teil deiner Bestände auf einer Plattform liegt, prüfe im Börsenvergleich, wer dort welche Daten hält und unter welcher Aufsicht.

Quellen und Belege zu diesem Beitrag

Zahlen, Zeiträume, Datenfelder und Länderangaben stammen aus dem Blogbeitrag von Trezor zum Vorfall beim Versanddienstleister, zuletzt aktualisiert am 4. September 2026. Die unabhängige Einordnung der Gesamtzahl und des Zeitraums der zweiten Welle stützt sich auf den Bericht von CyberInsider vom 4. September 2026. Beide Quellen waren am 4. September 2026 abrufbar.

(Stand: 4. September 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)