Das Krypto-Land und seine Lecks: 14.151 Schweizer Konten, und 12.397 davon sind ein Firmenproblem

PRESSEMITTEILUNG · CRYPTO-, FINTECH- UND REGULATORIK-FACHPRESSE · WIEN, 28. AUGUST 2026

Die Schweiz gilt als Crypto Nation, vom Crypto Valley Zug über die DLT-Gesetzgebung bis zu einheimischen Hardware-Wallet-Herstellern. Eine populationsweite Auswertung zeigt die Kehrseite: 14.151 distinkte Schweizer Konten tauchen in Datenlecks von Krypto-Börsen, Wallets und NFT-Plattformen auf, und 12.397 davon, also 88 Prozent, tragen eine Firmen- oder Organisationsdomain. Damit wird aus einer privaten Krypto-Leidenschaft ein Schatten-IT- und Compliance-Risiko der Arbeitgeber.

Wien. Die Wiener Daten-Forscher von Risikomonitor.com haben die in der Schweiz sichtbaren öffentlich verfügbaren Datenlecks systematisch nach Krypto-Plattform-Vorfällen mit Schweiz-Bezug durchsucht. Das Ergebnis ist eine erste populationsweite Inventarisierung der Krypto-Exposition der Schweiz, mit unmittelbarer Relevanz für die FINMA-Aufsicht über Virtual Asset Service Provider, für die Umsetzung des DLT-Gesetzes (in Kraft seit 2021) und für die Melde- und Benachrichtigungspflichten des revidierten Datenschutzgesetzes.

1. Die Krypto-Plattformen mit Schweiz-Bezug

Führend ist der XRP-Wallet-Dienst Gatehub, gefolgt von der US-Börse Gemini und dem Portfolio- und Newsletter-Umfeld von CoinMarketCap. Bemerkenswert ist der einheimische Eintrag BitBox.swiss.

1. Gatehub (XRP-Wallet) — 4.806 betroffene CH-Konten 2. Gemini (Winklevoss-Börse) — 2.804 3. CoinMarketCap — 1.464 4. Ledger (Hardware-Wallet) — 1.423 5. GlobalCrypto.exchange — 1.227 6. OpenSea (NFT-Marktplatz) — 1.137 7. Coinmama — 464 8. BitBox.swiss (CH Hardware-Wallet) — 247 9. BTC-e (2017 US-beschlagnahmt) — 238 10. Cointracker (Portfolio-Tracker) — 184

Zur Dimension der betroffenen Plattformen, plattformweite Zahlen aus öffentlicher Berichterstattung und nicht den Schweizer Opfern zurechenbar: MtGox verlor 2014 rund 850.000 BTC, BTC-e wickelte vor der Beschlagnahme geschätzt über 530.000 BTC ab, der Ledger-Leak 2020 exponierte weltweit die physischen Anschriften von über 270.000 Hardware-Wallet-Kunden.

2. Der Fall vom 13. August 2026: Trezor und ShipMonk

Wie aktuell das Muster ist, zeigte sich mitten in dieser Auswertung. Am 13. August 2026 machte der Prager Hardware-Wallet-Hersteller Trezor einen Datenschutzvorfall bei seinem Versanddienstleister ShipMonk öffentlich. Betroffen sind 13.689 Kunden, die zwischen 10. Mai und 8. August 2026 eine Bestellung erhalten haben. Bei 11.742 von ihnen flossen Name, E-Mail-Adresse, Telefonnummer und die vollständige Lieferanschrift ab, bei weiteren 1.947 Name, Wohnort und E-Mail-Adresse.

Die Wallets selbst blieben unangetastet, es gibt keine Hinweise auf kompromittierte Seeds oder private Schlüssel. Betroffen waren Kunden in den USA, Grossbritannien, Schweden, Kolumbien, Brasilien, Italien und Portugal. Die Schweiz ist in diesem Vorfall nicht enthalten.

Der Fall bestätigt trotzdem den Kernbefund dieser Auswertung, und zwar besser als jede Statistik: Angegriffen wurde nicht der Hersteller, sondern sein Logistiker. Das Gerät war sicher, die Verpackungskette war es nicht. Und der abgeflossene Datensatz gehört zum gefährlichsten, was es in dieser Branche gibt, nämlich zu einer verifizierten Liste von Menschen, die nachweislich eine Hardware-Wallet besitzen, samt der Adresse, an die geliefert wurde.

Bemerkenswert ist, was den Schaden begrenzt hat. Trezor verpflichtet seine Fulfillment-Partner vertraglich, Bestelldaten spätestens 90 Tage nach Zustellung zu löschen oder zu anonymisieren. Deshalb betraf der Leak ein Quartal statt dreizehn Jahren Kundenhistorie. Für Schweizer Anbieter mit ausgelagerter Logistik ist das die praktischste Lehre des Vorfalls: Die Löschfrist im Dienstleistervertrag ist wirksamer als jede nachträgliche Krisenkommunikation.

3. Das Crypto-Valley-Paradox

Die Schweiz hat sich als regulatorisch führende Krypto-Nation positioniert: klare FINMA-Praxis, das DLT-Gesetz, eine hohe Dichte an Krypto-Unternehmen im Zuger Crypto Valley, mit BitBox sogar ein einheimischer Hardware-Wallet-Champion. Umso deutlicher ist der Befund: Die Fortschrittlichkeit auf institutioneller Ebene schützt nicht vor der Hygieneschwäche eine Ebene tiefer. Dass ausgerechnet 247 Konten aus dem Leak eines Schweizer Hardware-Wallet-Anbieters stammen, unterstreicht das. Der Angriffspunkt ist selten die Kryptografie, es ist der Mensch und seine wiederverwendeten Zugangsdaten.

4. Die Risikostufen, vom Phishing bis zur physischen Bedrohung

Stufe 1, reine E-Mail-Liste. Beispiel CoinMarketCap-Newsletter. Ziel ist krypto-spezifisches Phishing mit Plattform-Branding.

Stufe 2, Zugangsdaten. Beispiele BTC-e, Coinmama. E-Mail plus Passwort führen zur Account-Übernahme und zu Credential-Stuffing quer über alle anderen Dienste des Opfers.

Stufe 3, Portfolio- und Transaktionsdaten. Beispiele Cointracker, Gatehub. Wallet-Adressen und Bewertungen verraten dem Angreifer, wer wie viel hält.

Stufe 4, physische Identität. Beispiele Ledger, BitBox, Trezor/ShipMonk. Klarname, Telefon, Wohnanschrift, Lieferadresse der Hardware. Die sensibelste Stufe, weil der Leak die Onlinewelt verlässt und zur physischen Sicherheitsbedrohung wird. Für Ledger sind Erpressungsschreiben an Kundenadressen dokumentiert.

5. Der Schatten-IT-Befund: 12.397 Firmenkonten

88 Prozent der betroffenen Konten tragen keine Freemail-, sondern eine Firmen- oder Organisationsdomain. Wer sich mit der dienstlichen E-Mail-Adresse auf einer Krypto-Börse registriert, macht diese Aktivität, ob gewollt oder nicht, zu einem Teil der Firma. Die Adresse ist dem Arbeitgeber zuordenbar, und jeder Leak dieser Plattform wird damit zu dessen Reputations- und Sicherheitsrisiko.

Das ist klassische Schatten-IT: eine private Nutzung betrieblicher Identität, die an keiner IT-Abteilung vorbei dokumentiert ist und im Ernstfall, bei einer Account-Übernahme oder der Erpressung einer Schlüsselperson, direkt auf das Unternehmen durchschlägt. Krypto ist dabei nur eine von mehreren Schatten-IT-Kategorien, dieselbe Mechanik gilt für Dating-, Gaming- und Erotikplattformen.

6. Passwortqualität der Schweizer Crypto-Nutzer: besser als der Schnitt, aber nicht gut

Für die Stärkeanalyse wurden ausschliesslich Klartext-Passwörter aus den Schweizer Crypto-Plattform-Lecks herangezogen. Hash-Artefakte und Fälle, in denen im Passwortfeld erkennbar eine E-Mail-Adresse statt eines Passworts steht, wurden ausgeschlossen, andernfalls würde die durchschnittliche Länge künstlich steigen. Nach dieser Bereinigung verbleiben 809 verwertbare Passwörter. Vergleichskohorte ist die allgemeine Schweizer Passwortbasis unter identischer Bereinigung. Die Kennzahl κ bezeichnet die Anzahl der verwendeten Zeichenklassen (Kleinbuchstaben, Grossbuchstaben, Ziffern, Sonderzeichen), κ ≥ 3 heisst also mindestens drei von vier Klassen.

• CH-Crypto-User (n = 809): ⌀ Länge 9,36 · 72,9 % ≥ 8 Z. · 46,4 % Gross · 89,5 % Ziffer · 14,8 % Sonder · 43,5 % κ ≥ 3
• CH-Allgemein (n = 232.522): ⌀ Länge 8,01 · 59,1 % · 17,7 % · 57,8 % · 5,1 % · 13,9 %
• Differenz: +1,35 · +13,8 pp · +28,7 pp · +31,7 pp · +9,7 pp · +29,6 pp

Die Crypto-Kohorte zeigt eine deutliche Hygieneaufwertung gegenüber der Allgemeinbevölkerung. Der κ-Wert von mindestens drei Zeichenklassen liegt mit 43,5 Prozent mehr als dreimal so hoch wie die 13,9 Prozent der allgemeinen Basis, und die durchschnittliche Länge steigt von 8,01 auf 9,36 Zeichen. Das ist konsistent mit der Selbstselektion: Wer auf einer Crypto-Börse handelt, weiss, dass es um echtes Geld geht, und die meisten Plattformen erzwingen seit etwa 2018 Composition-Policies.

Aber 43,5 Prozent sind nicht 100 Prozent. Deutlich mehr als die Hälfte der Schweizer Crypto-Passwörter erfüllt die Bedingung von mindestens drei Zeichenklassen nicht. Bei Crypto-Beständen im fünf- oder sechsstelligen Frankenbereich ist das eine operative Sicherheitslücke bei der Mehrheit der Plattformnutzer. Einzuordnen ist der Befund als belastbare Tendenz auf Basis von 809 bereinigten Passwörtern, nicht als jahresscharfe Punktschätzung.

7. Wer haftet? Die Frage liegt beim EuGH

Wenn ein Datenleck beim Dienstleister zum Coin-Verlust beim Kunden führt, wer trägt dann den Schaden? Diese Frage ist seit Mai 2026 beim Gerichtshof der Europäischen Union anhängig.

Der Ausgangsfall bildet die oben beschriebene Kette ab: Ein Kunde kaufte 2020 eine Hardware-Wallet, abonnierte den Newsletter des Herstellers, und der Hersteller wickelte den Versand über einen US-amerikanischen Dienstleister ab, wies darauf aber nur kleingedruckt und auf Englisch hin. Im März 2022 wurde dieser Dienstleister per Phishing angegriffen, wenige Tage später verlor der Kunde nach einer gefälschten Update-Aufforderung seine Kryptowerte. Das Erstgericht bejahte eine Haftung des Herstellers und sprach die Hälfte des Begehrens zu. Der österreichische Oberste Gerichtshof legte die Sache am 26. Mai 2026 dem EuGH vor (6 Ob 69/25b) und fragt, ob die Weitergabe von Kundendaten an einen Auftragsverarbeiter eine eigene Rechtsgrundlage braucht und ob eine Einwilligung ohne Kenntnis vom Drittlandtransfer überhaupt wirksam ist. Der Kläger wird von Mag. Roman Taudes LL.M. (ATB.LAW, Wien) vertreten.

Für Schweizer Anbieter ist das aus zwei Gründen relevant. Erstens gelten die europäischen Massstäbe für jeden Anbieter mit Kundschaft im EWR, unabhängig vom Sitz. Zweitens weist die bisherige Linie in dieselbe Richtung, in die auch das Schweizer Recht zeigt: Nach dem EuGH-Urteil vom 14. Dezember 2023 (C-340/21) muss der Verantwortliche beweisen, dass seine Sicherheitsmassnahmen angemessen waren, und der Hinweis auf einen fremden Angreifer entlastet ihn für sich allein nicht.

8. Regulatorische Einordnung Schweiz

FINMA und DLT-Gesetz. Schweizer VASP und DLT-Handelssysteme unterliegen Geldwäscherei- und Aufsichtspflichten. Die hier dokumentierte Nutzer-Exposition ist ein Indikator für die Angriffsfläche der beaufsichtigten Branche.

revDSG, Art 24. Verantwortliche müssen Datensicherheitsverletzungen mit hohem Risiko dem EDÖB melden. Die jahrelange Persistenz geleakter Krypto-Zugangsdaten ist ein empirischer Hinweis darauf, dass Betroffene vielfach nicht informiert wurden und ihre Zugangsdaten daher nie rotiert haben.

Sorgfaltspflicht der Unternehmen. Eine Acceptable-Use-Policy sollte die Nutzung dienstlicher Adressen auf privaten Plattformen ausschliessen. Ein anonymes Selbstprüf-Tool senkt die Schatten-IT-Fläche messbar.

Auslagerung und Löschfristen. Der Trezor-Fall zeigt, dass die vertraglich durchgesetzte Löschfrist beim Dienstleister das wirksamste Einzelinstrument zur Schadensbegrenzung ist. Wer Logistik, Newsletter oder Support auslagert, sollte diese Frist prüfen, bevor sie im Ernstfall relevant wird.

Zitate

> „Die Schweiz reguliert Krypto vorbildlich auf institutioneller Ebene, aber die Datenlecks entstehen eine Ebene tiefer. Dass fast neun von zehn betroffenen Konten eine Firmenadresse tragen, macht daraus ein Governance-Thema: Jede dieser Registrierungen ist Schatten-IT, die im Ernstfall den Arbeitgeber trifft. Der Hebel ist selten die Kryptografie, es ist der Mensch." — Manuel Löw-Beer, Risikomonitor.com

> „Im Schadenersatzprozess nach Art 82 DSGVO muss der Verantwortliche beweisen, dass seine technischen und organisatorischen Massnahmen angemessen waren. Wer Kundendaten an einen Dienstleister im Drittland weitergibt, ohne das offenzulegen, kann sich nicht allein darauf zurückziehen, das Opfer hätte die Phishing-Mail erkennen müssen." — Mag. Roman Taudes LL.M., ATB.LAW

Nächster Schritt: Schatten-IT sichtbar machen

Risikomonitor prüft diskret, welche Firmenadressen Ihrer Organisation in Leaks auftauchen — von der Erstanalyse bis zum laufenden [Darknet-Monitoring](/darknet-monitoring) und [Lieferantenmonitoring](/lieferantenmonitoring). [Kontaktieren Sie uns](/kontakt) für eine unverbindliche Einschätzung.

Über die Analyse

Populationsweite Auswertung der in der Schweiz sichtbaren öffentlich verfügbaren Datenlecks. 14.151 distinkte Schweizer Konten über die einschlägigen Krypto-Plattform-Leaks, davon 12.397 mit Firmen- oder Organisationsdomain. Es werden ausschliesslich Aggregate berichtet, keine Person und keine Firma wird benannt. Stichtag 20. August 2026. Datenbasis CC-BY-4.0. Die Angaben zum Trezor-Vorfall vom 13. August 2026 stammen aus der öffentlichen Mitteilung des Herstellers und sind nicht Teil des ausgewerteten Korpus.

Hinweis zum KI-Einsatz: Datenaufbereitung, Analyse, Textentwürfe und Gestaltung dieser Publikation erfolgten mit Unterstützung von KI-Werkzeugen. Alle berichteten Kennzahlen sind direkt und reproduzierbar aus der Datenbank abgeleitet; die inhaltliche und redaktionelle Verantwortung liegt vollständig bei Risikomonitor.com GmbH.