66 Crypto-Datenlecks, 7.209 betroffene Österreicher, und die Haftungsfrage liegt jetzt beim EuGH

PRESSEMITTEILUNG · CRYPTO-, FINTECH- UND REGULATORIK-FACHPRESSE · WIEN, 28. AUGUST 2026

Eine Vollerhebung öffentlich verfügbarer Datenbestände identifiziert 66 Datenlecks von Crypto-Börsen, Wallets und Krypto-Plattformen, in denen 7.209 distinkte österreichische Mailbox-Identitäten auftauchen. Die Vorfälle konzentrieren sich auf die Jahre 2017 bis 2022, also genau auf jene Periode, in der die FMA das VASP-Register aufgebaut hat und MiCA verhandelt wurde. Der Angriffspunkt war dabei fast nie die Kryptografie, sondern der Dienstleister rundherum. Wer für die dabei entstandenen Schäden haftet, klärt derzeit der Gerichtshof der Europäischen Union.

Wien. Die Wiener Daten-Forscher von Risikomonitor.com publizieren als Teil der Working-Paper-Reihe WP 2026-09 die erste populationsweite Inventarisierung der österreichischen Crypto-Datenleck-Exposition. Die Analyse wertet öffentlich verfügbare Datenlecks mit Österreich-Bezug aus (Stichtag 20. August 2026) und filtert alle Vorfälle, deren Quelle eine identifizierbare Crypto-Plattform ist: Börsen, Wallets, NFT-Marktplätze, Portfolio-Tracker, Mining-Pools.

1. Inventarisierung: 66 Crypto-Plattform-Breaches

Die Vorfälle mit signifikantem Österreich-Bezug:

• Ledger.com (Newsletter und Kunden-DB, drei Datasets), 2020 — 1.751 AT-Opfer. Hardware-Wallet-Hersteller. Klarnamen, Telefonnummern, Wohnadressen.
• Gatehub.net (Ripple/XRP-Wallet, zwei Datasets), 2019 — 1.786. Seed-Verschlüsselung gebrochen, XRP-Direktverluste dokumentiert.
• CoinMarketCap.com (Newsletter), 2021 — 830. Reine E-Mail-Adressen, Basis für gezieltes User-Profiling.
• OpenSea.io (größter NFT-Marktplatz), 2022 — 1.066. Phishing-Welle mit passgenauen NFT-Angeboten direkt nach dem Vorfall.
• BTC-e.com (russisch domiziliert, 2017 von US-Justiz beschlagnahmt), 2017 — 823. Von der US-Justiz formal als Geldwäsche-Plattform eingestuft.
• Gemini.com (Winklevoss-Börse), 2022 — 410. Kunden-E-Mails inklusive Telefon, Phishing mit Gemini-Branding.
• Coinmama.com, 2017 — 203. Passwörter teils im Klartext, ungehasht.
• BitcoinTalk.org (Satoshi-Ära-Forum), 2015 — 181. Frühe Adopter, Account-Hijacks führten zu Wallet-Verlusten.
• Cointracker.io (Portfolio-Tracker), 2022 — 233. Wallet-Adressen, Transaktionshistorie, USD-Bewertung.
• Bitbox.swiss (Shift Crypto), 2022 — 143. Hardware-Wallet, Lieferadresse und Bestellhistorie.
• BTSave.io, 2021 — 129.
• Bitmain.com (Antminer), 2018 — 119. Mining-Hardware-Käufer, Indikator für privates Mining.
• Bitcoin Combo, 2017 — 106. Aggregierter Combo-Hack mehrerer Bitcoin-Services.
• BitMart.com, 2024 — 106.
• Poloniex.com, 2014 — 89. Frühe Spot-Exchange, mehrfach gehackt.
• MtGox.com (2014 insolvent), 2011 — 30. 850.000 BTC gestohlen, Insolvenzverfahren bis heute offen.
• Blockchain.com (Wallet-Service), 2022 — 29.
• Trezor.io (Hardware-Wallet), 2024 — 6. Breach beim Newsletter-Provider.

Ledger allein stellt mit 1.751 distinkten AT-Opfern 24,3 Prozent aller österreichischen Crypto-Betroffenen. Das ist methodisch wenig überraschend: Ledger ist die populärste Hardware-Wallet-Marke in Europa und war 2020 von einem Kundendatenbank-Leak betroffen, der über E-Mail-Adressen hinaus Klarnamen, Telefonnummern und Wohnanschriften umfasste. Reuters und Coindesk haben in der Folge mehrere dokumentierte Fälle physischer Erpressungsdrohungen gegen Ledger-Kunden berichtet, mit expliziten Hinweisen auf die Wohnadresse des Opfers. Wie groß diese Drohungspopulation in Österreich ist, wird mit der vorliegenden Datenbasis erstmals quantifizierbar.

2. Der Fall vom 13. August 2026: Trezor und ShipMonk

Während diese Auswertung entstand, lieferte die Branche das nächste Lehrbeispiel. Am 13. August 2026 machte der Prager Hardware-Wallet-Hersteller Trezor einen Datenschutzvorfall bei seinem Versanddienstleister ShipMonk öffentlich. Betroffen sind 13.689 Kunden, die zwischen 10. Mai und 8. August 2026 eine Bestellung erhalten haben. Bei 11.742 von ihnen flossen Name, E-Mail-Adresse, Telefonnummer und die vollständige Lieferanschrift ab, bei weiteren 1.947 Name, Wohnort und E-Mail-Adresse. ShipMonk hatte Trezor am 10. August über den unbefugten Zugriff informiert.

Die Wallets selbst blieben unangetastet. Es gibt keine Hinweise auf kompromittierte Seeds, private Schlüssel oder Firmware. Betroffen waren Kunden in den USA, Großbritannien, Schweden, Kolumbien, Brasilien, Italien und Portugal. Österreich ist in diesem Vorfall nicht enthalten.

Für die Befundlage dieser Studie ist der Fall trotzdem zentral, weil er zwei Muster punktgenau bestätigt. Erstens die Eskalationsstufe 4 aus Abschnitt 4: Der gefährlichste Datensatz der Branche ist keine Passwortliste, sondern eine verifizierte Namensliste von Menschen, die nachweislich eine Hardware-Wallet besitzen, samt der Adresse, an die geliefert wurde. Zweitens die Dienstleisterkette: Angegriffen wurde nicht der Hersteller, sondern sein Logistiker. Beim Vorfall von 2022 war es der Newsletter-Versender, 2026 der Fulfillment-Partner. Das Gerät war in beiden Fällen sicher.

Bemerkenswert ist, was den Schaden begrenzt hat. Trezor verpflichtet seine Fulfillment-Partner vertraglich, Bestelldaten spätestens 90 Tage nach Zustellung zu löschen oder zu anonymisieren. Deshalb betraf der Leak ein Quartal statt dreizehn Jahren Kundenhistorie. Datenminimierung nach Art 5 Abs 1 lit c DSGVO ist damit kein Formalismus, sondern eine messbare Schadensbegrenzung. Als strukturelle Antwort hat Trezor eine anonyme Lieferoption mit neutraler Verpackung und Abholung an Paketstationen angekündigt.

3. Opfer pro Jahrgang: der 2020-Spike und der Rückgang danach

• 2011 — 30 AT-Opfer / 30 Records — MtGox, Leak vor der Insolvenz
• 2014 — 13 / 13 — Poloniex, Dogewallet
• 2015 — 192 / 200 — BitcoinTalk-Forum, Butterflylabs
• 2016 — 1 / 1 — stiller Jahrgang
• 2017 — 1.034 / 1.088 — BTC-e, Coinmama, Bitcoin Combo
• 2018 — 121 / 127 — Bitmain, Atlas Quantum
• 2019 — 562 / 568 — Gatehub (XRP-Wallet)
• 2020 — 1.749 / 2.101 — Ledger Hack
• 2021 — 867 / 869 — CoinMarketCap.com
• 2022 — 680 / 708 — Gemini, OpenSea, Cointracker, BTSave, BitBox.swiss, Blockchain.com
• 2024 — 6 / 6 — Trezor.io (Newsletter-Provider)

Die Kurve zeigt drei Muster. Erstens eine Bull-Market-Korrelation: 2017 und 2020/2021 sind Crypto-Bull-Run-Jahre, die Angreiferressourcen folgen dem Spekulationsvolumen. Zweitens die Hardware-Wallet-Vulnerabilität: Der Ledger-Hack 2020 überlagert als Einzelvorfall die gesamte Jahresbilanz. Drittens einen Reifungseffekt: Die Jahrgänge 2023 und 2024 sind in der österreichischen Population fast still, die großen Plattformen haben nach 2022 ihre Sicherheitslage deutlich verbessert. Der Trezor-Vorfall vom August 2026 zeigt allerdings, dass sich das Risiko damit nur verschoben hat, weg von der Plattform, hin zu ihren Dienstleistern.

4. Was in den Breaches drinsteckt: vier Eskalationsstufen

Für die regulatorische Bewertung ist die Anatomie eines Datenlecks mindestens so wichtig wie die Opferzahl. Aus den Einzelvorfällen lassen sich vier Stufen ableiten.

Stufe 1, reine E-Mail-Liste. Beispiele CoinMarketCap-Newsletter, Trezor-Newsletter. Inhalt ist nur die E-Mail-Adresse. Risiko ist gezieltes Phishing mit Crypto-Branding. Operative Folge sind Massenwellen von Mails, die als Plattformnachricht getarnt zum Verbinden der Wallet auffordern.

Stufe 2, Zugangsdaten. Beispiele BTC-e, Coinmama, BitcoinTalk. Inhalt ist E-Mail plus Passwort, teils im Klartext, teils schwach gehasht. Risiko ist die Account-Übernahme auf der Plattform und bei aktivem Konto der direkte Coin-Verlust. Operative Folge sind Credential-Stuffing-Angriffe quer über alle anderen Dienste, bei denen das Opfer registriert ist.

Stufe 3, Transaktions- und Portfoliodaten. Beispiele Cointracker, Gatehub. Inhalt sind Wallet-Adressen, Transaktionshistorie und USD-Bewertung. Risiko ist die Planung gezielter physischer Angriffe, weil der Angreifer weiß, wer wie viel hält. Operative Folge sind Erpressungs-, Entführungs- und Einbruchsversuche mit Vorauswahl des Opfers.

Stufe 4, physische Identität. Beispiele Ledger 2020, BitBox.swiss, Trezor/ShipMonk 2026. Inhalt sind Klarname, Telefonnummer, Wohnanschrift, Lieferadresse und Bestellhistorie der Hardware. Risiko ist die physische Erpressung am Wohnsitz. Operative Folge sind dokumentierte Drohschreiben und Wallet-Diebstahlsversuche mit Wohnungsbezug. Diese Stufe ist die sensibelste, weil der Datenleak hier die Onlinewelt verlässt und sich als körperliche Sicherheitsbedrohung materialisiert.

5. Passwortstärke der Crypto-Population: besser als der Schnitt, aber nicht gut

Für die Stärkeanalyse wurden ausschließlich Klartext-Passwörter aus den österreichischen Crypto-Plattform-Breaches herangezogen (E-Mail-Domain-Endung .at). Hash-Artefakte (MD5- und SHA-Formate, phpass-Hashes, Base64-Reste) wurden konsequent ausgeschlossen, andernfalls würde die durchschnittliche Länge künstlich steigen. Nach dieser Bereinigung verbleiben 361 verwertbare Passwörter. Vergleichskohorte ist die österreichische Mitarbeiter-Passwortbasis unter identischer Bereinigung. Die Kennzahl κ bezeichnet die Anzahl der verwendeten Zeichenklassen (Kleinbuchstaben, Großbuchstaben, Ziffern, Sonderzeichen), κ ≥ 3 heißt also mindestens drei von vier Klassen.

• AT-Crypto-User (n = 361): ⌀ Länge 8,94 · 82,5 % ≥ 8 Zeichen · 36,3 % Groß · 78,4 % Ziffer · 8,0 % Sonderzeichen · 33,2 % κ ≥ 3
• AT-Mitarbeiter (n = 322.721): ⌀ Länge 8,43 · 67,0 % · 18,4 % · 63,8 % · 6,3 % · 14,5 %
• Differenz: +0,51 · +15,5 pp · +17,9 pp · +14,6 pp · +1,7 pp · +18,7 pp

Die Crypto-Kohorte zeigt eine deutliche Hygieneaufwertung gegenüber der Allgemeinbevölkerung. Der κ-Wert von mindestens drei Zeichenklassen liegt mit 33,2 Prozent mehr als doppelt so hoch wie die 14,5 Prozent der Mitarbeiterbasis, und 82,5 Prozent erreichen mindestens acht Zeichen gegenüber 67,0 Prozent. Das ist konsistent mit der Selbstselektion: Wer auf einer Crypto-Börse handelt, weiß, dass es um echtes Geld geht, und die meisten Plattformen erzwingen seit etwa 2018 Composition-Policies.

Aber 33,2 Prozent sind nicht 100 Prozent. Zwei von drei österreichischen Crypto-Passwörtern erfüllen die Bedingung von mindestens drei Zeichenklassen nicht. Bei Crypto-Beständen im fünf- oder sechsstelligen Eurobereich ist das eine nachgewiesene operative Sicherheitslücke bei der Mehrheit der Plattformnutzer.

5.1 Wird die Passwort-Hygiene über die Jahre besser?

Weil bei Crypto-Assets unmittelbar Geld auf dem Spiel steht, ist die Frage entscheidend, ob sich die Disziplin über die Jahre verbessert hat. Zur Glättung sehr kleiner Jahreszellen sind die Jahrgänge zu vier Perioden gebündelt.

• 2011 bis 2015 (n = 106): ⌀ 8,27 · 72,6 % ≥ 8 Z. · 21,7 % κ ≥ 3 — Poloniex, BitcoinTalk, Dogewallet, ButterflyLabs
• 2017 (n = 170): ⌀ 9,19 · 81,8 % · 26,5 % — Bitcoin Combo, Coinmama, Coinbulb
• 2018 bis 2019 (n = 52): ⌀ 9,17 · 98,1 % · 67,3 % — Gatehub (XRP-Wallet), Bear-Tax
• 2020 bis 2021 (n = 33): ⌀ 9,42 · 93,9 % · 51,5 % — Bear-Tax, AlphaEX, GlobalCrypto

Der Trend ist real, aber nicht monoton. Die durchschnittliche Länge steigt von 8,27 auf 9,42 Zeichen, die κ-Quote mehr als verdoppelt sich von 21,7 auf zuletzt 51,5 Prozent, mit einem Spitzenwert von 67,3 Prozent in der Periode 2018 bis 2019. Ehrlich einzuordnen ist: Die Kurve ist nicht streng monoton, und die späten Perioden beruhen auf kleinen Fallzahlen (n gleich 52 beziehungsweise 33). Der Befund ist als belastbarer Trend zu lesen, nicht als jahresscharfe Punktschätzung. Der hohe Wert 2018 bis 2019 wird zudem maßgeblich vom Gatehub-Breach getragen, also von einer Klientel, die per Definition aus aktiven Wallet-Verwaltern bestand. Selbst im stärksten Jahrgang erfüllt rund ein Drittel bis die Hälfte der Passwörter die Bedingung nicht. Reifung ja, Entwarnung nein.

6. Die Haftungsfrage liegt beim EuGH

Wer haftet, wenn ein Datenleck beim Dienstleister zum Totalverlust der Coins beim Kunden führt? Diese Frage ist seit Mai 2026 beim Gerichtshof der Europäischen Union anhängig.

Der Ausgangsfall entspricht der in Abschnitt 4 beschriebenen Kette Punkt für Punkt. Ein Kunde kaufte 2020 eine Hardware-Wallet samt Verwaltungssoftware. 2021 abonnierte er den Newsletter des Herstellers. Den Versand wickelte der Hersteller über einen US-amerikanischen Dienstleister ab, wies darauf aber nur kleingedruckt, auf Englisch und in der Fußzeile der Bestätigungsmail hin. Am 26. März 2022 wurde dieser Dienstleister per Phishing angegriffen, dabei wurden E-Mail-Adresse und IP-Adresse des Kunden entwendet. Am 3. April 2022 erhielt der Kunde eine gefälschte Update-Aufforderung, gab seinen Recovery Seed ein und verlor seine Kryptowerte an fremde Wallets.

Das Landesgericht für Zivilrechtssachen Wien bejahte eine Haftung des Herstellers nach Art 82 DSGVO und sprach die Hälfte des Klagebegehrens zu, bei 50 Prozent Mitverschulden des Kunden. Das Oberlandesgericht Wien hob auf. Der Oberste Gerichtshof legte die Sache am 26. Mai 2026 dem EuGH vor (6 Ob 69/25b) und will zwei Punkte geklärt haben: Braucht die Weitergabe von Kundendaten an einen Auftragsverarbeiter eine eigene Rechtsgrundlage nach Art 6 DSGVO? Und ist eine Einwilligung wirksam, wenn der Kunde nicht weiß, dass seine Daten in ein Drittland gehen? Das Verfahren vor dem OGH ist bis zur Antwort aus Luxemburg unterbrochen. Der Kläger wird von Mag. Roman Taudes LL.M. (ATB.LAW, Wien) vertreten.

Die bisherige Judikatur weist für Betroffene in eine günstige Richtung. Nach dem EuGH-Urteil vom 14. Dezember 2023 (C-340/21) trägt der Verantwortliche die Beweislast dafür, dass seine technischen und organisatorischen Maßnahmen nach Art 24 und 32 DSGVO angemessen waren. Der Hinweis, ein Dritter habe angegriffen, befreit nach Art 82 Abs 3 DSGVO für sich allein nicht. Auch die begründete Befürchtung eines künftigen Missbrauchs kann bereits ein ersatzfähiger immaterieller Schaden sein. Der OGH verlangt allerdings in 6 Ob 113/24x vom 3. Juli 2025 eine konkrete Darlegung des Schadens. Der Anspruch hat Ausgleichs-, keine Straffunktion, eine pauschale Verärgerung genügt nicht.

Parallel läuft eine Entwicklung im Zahlungsverkehr, die für Stufe 2 relevant ist. In der Rechtssache C-70/25 vertrat Generalanwalt Rantos am 5. März 2026 die Auffassung, dass ein Zahlungsdienstleister die unverzügliche Erstattung eines nicht autorisierten Zahlungsvorgangs nicht unter Berufung auf grobe Fahrlässigkeit des Kunden verweigern darf. Erstattet wird zuerst, die Beweislast für grobe Fahrlässigkeit trägt danach der Dienstleister. Das Urteil steht zum Redaktionsschluss aus.

Was das für Betroffene praktisch heißt. Wer in einem der hier inventarisierten Vorfälle auftaucht und daraufhin einen Vermögensschaden erlitten hat, ist nicht automatisch selbst schuld. Entscheidend ist die Beweissicherung: die vollständige Phishing-Mail samt technischem Header, Screenshots der Plattformkommunikation, die Transaktions-Hashes der abgeflossenen Coins, der Zeitpunkt der Meldung an Plattform und Polizei. Verjährungsfristen laufen ab Kenntnis von Schaden und Schädiger.

7. Konsequenzen für FMA-Aufsicht und VASP-Register

Die FMA betreibt seit 10. Jänner 2020 das VASP-Register nach § 32a FM-GwG. Erfasst sind Crypto-Börsen, Wallet-Anbieter und Betreiber von Crypto-Automaten. Der jeweils aktuelle Registerstand ist über die FMA-Unternehmensdatenbank abrufbar. Aus der Befundlage ergeben sich drei konkrete Trigger.

Onboarding-Risikobewertung. Ein Neukunde, dessen E-Mail-Adresse in einem Crypto-Börsen-Breach auftaucht, insbesondere bei BTC-e, sollte beim Onboarding eine vertiefte AML-Due-Diligence durchlaufen. Risikomonitor stellt die dafür nötige Cross-Check-Logik unter CC-BY-4.0 zur Nachnutzung bereit.

Re-KYC-Trigger für Bestandskunden. Die Welle des Jahrgangs 2020 hat 1.749 österreichische Identitäten in einer Hardware-Wallet-Datenbank exponiert. Diese Kohorte ist ein Hochrisikopool für SIM-Swap, Telefon-Phishing und wohnsitzbezogene Angriffe und sollte aktiv reverifiziert werden.

Verdachtsmeldepflicht nach § 16 FM-GwG. Beobachtet ein VASP ein Transaktionsmuster, das mit einem bekannten Breach-Pattern korreliert, etwa die für Account-Übernahmen typische Geschwindigkeit oder untypische Empfänger-Wallets, ist die Verdachtsmeldung an die Geldwäschemeldestelle (A-FIU) im Bundeskriminalamt zwingend.

8. Konsequenzen für die MiCA-Lizenzierung

Die MiCA-Verordnung (VO (EU) 2023/1114, anwendbar seit 30. Dezember 2024) hat die VASP-Registrierung durch ein vollwertiges Lizenzierungsregime für Crypto-Asset Service Provider abgelöst. Die unionsweite Übergangsfrist nach Art 143 MiCA endete am 1. Juli 2026. Österreich hat sie auf zwölf Monate verkürzt, für bereits nach § 32a FM-GwG registrierte Anbieter lief sie damit bis 31. Dezember 2025. Ohne Zulassung ist die Tätigkeit seither untersagt.

Die Pflichten umfassen organisatorische Anforderungen an den Dienstleister (Art 68, ergänzt durch die Vorgaben von DORA) sowie besondere Anforderungen an die Verwahrung und Verwaltung von Kryptowerten für Kunden (Art 75). Die Befundlage zeigt, dass die operative Widerstandsfähigkeit der Plattformschicht in der Vergangenheit substantielle Lücken aufwies, und der Trezor-Fall vom August 2026 zeigt, dass diese Lücken heute vor allem in der Lieferantenkette sitzen. Wer eine Zulassung nach Art 63 MiCA beantragt, sollte die Lehren aus den dokumentierten Vorfällen ziehen und entsprechende Kontrollen nachweisen können.

9. Konsequenzen für die FATF-Travel-Rule

Die FATF-Empfehlung 16 verlangt seit 2019 die Übertragung von Auftraggeber- und Begünstigteninformationen bei Crypto-Transaktionen, wobei die FATF selbst einen Schwellwert von 1.000 Euro beziehungsweise US-Dollar vorsieht. Die EU ist strenger: Die Transfer-of-Funds-Verordnung (VO (EU) 2023/1113, anwendbar seit 30. Dezember 2024) kennt für Kryptowertetransfers keinen Mindestbetrag, sie gilt ab dem ersten Cent. Die Befundlage zeigt, dass eine substantielle Teilpopulation österreichischer Crypto-User bereits in ihren KYC-Informationen exponiert ist. Die Travel-Rule-Compliance auf der Senderseite wird dadurch empirisch verkompliziert: Sender-VASP können nicht mehr davon ausgehen, dass die mitgesandten KYC-Daten ausschließlich beim Begünstigten-VASP ankommen. Bei einem übernommenen Empfängerkonto landen sie beim Angreifer. Travel-Rule-Implementierungen sollten daher die Reputation des Empfängerkontos prüfen, bevor sie KYC-Daten übertragen.

10. Operative Empfehlungen

1. Selbstprüfung für Crypto-Halter. Unter risikomonitor.com können Privatpersonen anonym prüfen, ob ihre E-Mail-Adresse in einem Crypto-Plattform-Breach auftaucht. Wer einen Treffer hat, sollte das Passwort auf der betroffenen Plattform ändern, Hardware-Token-MFA nach FIDO2 aktivieren und bei Hardware-Wallet-Breaches erhöhte physische Wachsamkeit am Wohnsitz praktizieren.

2. Onboarding-Härtung bei VASP. Österreichische VASP sollten ihre AML-Due-Diligence um die populationsstatistische Breach-Cross-Check-Logik erweitern. Die Aggregatdaten stehen unter CC-BY-4.0 zur Verfügung.

3. Empirie für die Sektoraufsicht. Die FMA-Sektoraufsicht Geldwäsche kann die Befundlage als Grundlage für die Risikoklassifikation der österreichischen VASP-Population heranziehen, insbesondere für die Bewertung des Inhärenzrisikos im Sektor-Risiko-Bericht.

4. Hardware-Token für Konten mit hohem Wert. Plattformen sollten für Kunden mit Beständen über einem definierten Schwellwert, etwa 10.000 Euro, Hardware-Token-MFA verpflichtend machen. Software-MFA wie Authenticator-Apps oder SMS-Codes ist gegen SIM-Swap nicht resistent, und SIM-Swap ist seit 2020 der dominierende Vektor gegen Crypto-User in Österreich.

5. Trennung von Klaridentität und Lieferung. Eine Kundendatenbank, die Klarnamen mit Lieferadressen verknüpft, ist eine physische Sicherheitsfalle für die eigenen Kunden. Der Zielzustand ist Lieferung über Drittlogistik mit tokenisierter Identität, ohne direkte Verknüpfung von Hardware-Seriennummer und Wohnadresse. Der Trezor-Fall zeigt zusätzlich, dass die vertragliche Löschfrist gegenüber dem Logistiker das wirksamste Einzelinstrument ist.

11. Methodik und Datenverfügbarkeit

Alle berichteten Aggregate sind aus den persistierten Materialized Views der Risikomonitor-Datenbank reproduzierbar (Stichtag 20. August 2026). Die Aggregatdaten stehen unter CC-BY-4.0. Die Passwortstatistik in Abschnitt 5 basiert ausschließlich auf hash-bereinigten Klartext-Passwörtern (n gleich 361). Die Replikations-SQL-Statements für die Crypto-Breach-Filterung, die Jahrgangsverteilung, die Kohortenstatistik und den Trend sind im Datenverfügbarkeits-Anhang der Studie publiziert. Personen- oder kontobezogene Daten werden nicht öffentlich nachverteilt. Die Angaben zum Trezor-Vorfall vom 13. August 2026 stammen aus der öffentlichen Mitteilung des Herstellers und der darauf aufbauenden Berichterstattung, sie sind nicht Teil des ausgewerteten Korpus.

Zitate

> „Die 7.209 österreichischen Betroffenen sind keine abstrakte Zahl, sie sind eine messbare Untergrenze. Und in fast jedem dieser Fälle war das Gerät sicher und der Dienstleister das Problem: der Newsletter-Versender, der Logistiker, der Portfolio-Tracker. Wer Compliance plant, ohne diese Kette zu betrachten, plant an der Empirie vorbei." — Manuel Löw-Beer, Risikomonitor.com

> „Im Schadenersatzprozess nach Art 82 DSGVO muss der Verantwortliche beweisen, dass seine technischen und organisatorischen Maßnahmen angemessen waren. Wer Kundendaten an einen Dienstleister im Drittland weitergibt, ohne das offenzulegen, kann sich nicht allein darauf zurückziehen, das Opfer hätte die Phishing-Mail erkennen müssen." — Mag. Roman Taudes LL.M., ATB.LAW

Nächster Schritt: Exposition sichtbar machen

Risikomonitor prüft für Unternehmen und Finanzdienstleister diskret, welche Mitarbeiter- und Kundenidentitäten in Leaks auftauchen — von der einmaligen Erstanalyse bis zum laufenden [Darknet-Monitoring](/darknet-monitoring) und [Lieferantenmonitoring](/lieferantenmonitoring). [Kontaktieren Sie uns](/kontakt) für eine unverbindliche Einschätzung Ihrer Lage.

Über die Studie

„AT Password Landscape, Cleartext Hygiene und Cultural Drift", Risikomonitor Working Paper WP 2026-09. Stichtag 20. August 2026. Datenbasis CC-BY-4.0. Die vollständige Studie inklusive SQL-Replikationsanhang ist als PDF verfügbar.

Zitierte Entscheidungen: OGH 26.05.2026, 6 Ob 69/25b (Vorabentscheidungsersuchen, Verfahren beim EuGH anhängig, OGH-Verfahren nach § 90a GOG unterbrochen). OGH 03.07.2025, 6 Ob 113/24x. EuGH 14.12.2023, C-340/21. EuGH 04.05.2023, C-300/21. Schlussanträge des Generalanwalts vom 05.03.2026 in der Rechtssache C-70/25, Verfahren anhängig.

Hinweis zum KI-Einsatz: Datenaufbereitung, Analyse, Textentwürfe und Gestaltung dieser Publikation erfolgten mit Unterstützung von KI-Werkzeugen. Alle berichteten Kennzahlen sind direkt und reproduzierbar aus der Datenbank abgeleitet; die inhaltliche und redaktionelle Verantwortung liegt vollständig bei Risikomonitor.com GmbH.