Aktuelles zum Sicherheitsvorfall: Was wir seit dem 21. August herausgefunden haben

Veröffentlicht: Montag, 31. August 2026 · Pocket Bitcoin
Aktualisiert am: Donnerstag, 3. September 2026

Am 21. August haben wir Informationen zum Sicherheitsvorfall bei Pocket Bitcoin veröffentlicht. Wir haben damals angekündigt, dass wir Kunden persönlich kontaktieren würden, falls mehr als nur ihre Support-Korrespondenz betroffen sein sollte. Unsere Untersuchung hat inzwischen zwei unterschiedliche Situationen ergeben, die wir nachfolgend getrennt beschreiben.

Wenn du keine persönliche E-Mail von uns erhalten hast, gelten für dich weiterhin die Informationen aus unserem ersten Blogbeitrag.

Was wir herausgefunden haben#

Unsere Untersuchung hat zwei getrennte Gruppen von Betroffenen ergeben. Sie unterscheiden sich darin, wie die Daten zu uns gelangten, welche Daten betroffen sind und welche Risiken daraus entstehen.

Gruppe 1: Korrespondenz, die wir an Partnerbanken übermittelt haben (291 Kunden)#

Als reguliertes Unternehmen sind wir verpflichtet, die Identität und bei bestimmten Transaktionen die Herkunft der Gelder zu überprüfen, bevor ein Kauf oder Verkauf stattfinden kann. Dazu gehört auch der Schriftverkehr mit der Partnerbank, die eine Zahlung abwickelt. Je nach Fall reicht das von einem Namen bis hin zu Identitäts- und Herkunftsnachweisen. Ein Teil dieses Schriftverkehrs wurde in unserem Support-System gespeichert, das vom Vorfall betroffen war.

Unsere Untersuchung hat bestätigt, dass 291 Kunden auf diese Weise betroffen sind. Was die Korrespondenz enthielt, ist von Fall zu Fall unterschiedlich: Gruppenweit umfasst sie Namen, Postadressen, für Transaktionen verwendete Bitcoin-Adressen, Kopien von Ausweisdokumenten und Unterlagen zur Herkunft der Geldmittel in unterschiedlichen Kombinationen. Bei den meisten Personen sind es nur einige dieser Angaben.

Gruppe 2: Transaktionslisten, die uns Partnerbanken übermittelt haben (5120 Kunden)#

Bei Compliance-Abklärungen haben uns einige Partnerbanken Übersichten übermittelt: zeitlich abgegrenzte Listen von Banküberweisungen. Diese Listen wurden in unserem Support-System aufbewahrt und waren Teil der betroffenen Datensicherung.

Betroffen sind in dieser Gruppe 5120 Kunden. Die Listen enthielten Namen, Wohnadressen sowie einzelne Banküberweisungen (inkl. Betrag und Datum). In einigen Fällen war zusätzlich die IBAN des Bankkontos enthalten, von dem eine Transaktion ausgeführt wurde.

Unsere Untersuchung beider Kategorien ist abgeschlossen. Alle Betroffenen erhalten eine persönliche E-Mail, in der genau dargelegt wird, was in ihrem Fall betroffen war.

Was betroffen war: weitere Details#

In unserem ersten Beitrag wurden drei Dinge als «nicht betroffen» aufgeführt: Bitcoin-Adressen, die Kundendatenbank einschliesslich KYC-Daten und die Transaktionshistorie.

Die entscheidende Unterscheidung liegt zwischen unseren Systemen und den Daten selbst: Keines dieser Systeme wurde kompromittiert, und das gilt nach wie vor, aber Daten dieser Art waren in der offengelegten Korrespondenz und in den offengelegten Listen enthalten.

Die Bitcoin unserer Kunden waren zu keinem Zeitpunkt gefährdet. Eine Bitcoin-Adresse ist kein Zugang zu Geldern, sondern eine öffentliche Information auf der Blockchain, und für den Transfer von Bitcoin sind private Schlüssel erforderlich, die die Geräte unserer Kunden nie verlassen. Was sich durch die Offenlegung ändert, ist, dass Angaben zu einer Person, bei Gruppe 1 etwa eine Bitcoin-Adresse mit einem Namen, bei Gruppe 2 ein Name mit einer Adresse und einzelnen Banküberweisungen, miteinander verknüpft werden können.

Wurden die Daten missbraucht?#

Nach aktuellem Stand haben wir keine Hinweise darauf, dass die betroffenen Informationen missbraucht wurden. Das spiegelt den heutigen Stand wider.

Bin ich betroffen?#

Wenn du betroffen bist, erhältst du eine persönliche E-Mail von uns, in der genau aufgeführt ist, was in deinem Fall betroffen war und zu welcher der beiden Gruppen dein Fall gehört. Wenn du keine solche E-Mail erhalten hast, gilt für dich nichts ausser dem, was wir am 21. August beschrieben haben.

Was wir tun#

• Jede betroffene Person wird direkt und persönlich kontaktiert.
• Der Vorfall wurde dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) sowie, gemäss DSGVO, der Datenschutzstelle Liechtenstein gemeldet, und wir haben Anzeige bei der Polizei erstattet.
• Die forensische Untersuchung ist abgeschlossen.
• Wir haben bereits eine Reihe von Massnahmen ergriffen und arbeiten an weiteren Verbesserungen. Insbesondere daran, wie Daten dieser Art gehandhabt und übermittelt werden. Wir werden in den nächsten Wochen mehr dazu mitteilen.

Was jetzt am wichtigsten ist#

Weil echte Angaben zu betroffenen Personen offengelegt wurden, können Betrugsversuche überzeugender wirken als sonst.

In beiden Gruppen sind die offengelegten Daten nicht mit E-Mail-Adressen oder Login-Daten verknüpft. Ein direktes Risiko für gezieltes Phishing per E-Mail sehen wir daraus daher nicht. Weil jedoch Name und Wohnadresse enthalten waren, achte besonders auf gefälschte Briefe und andere Post. Betrüger könnten sich auf eine echte frühere Transaktion beziehen, um glaubwürdiger zu wirken.

Sei generell misstrauisch bei jeder Nachricht, egal ob per Brief, Telefon oder E-Mail, die dich zu schnellem Handeln drängt, eine Zahlung verlangt oder dich auffordert, etwas zu «verifizieren». Wende dich im Zweifel selbst über die offiziellen Kanäle an die betreffende Organisation, statt die in der Nachricht angegebenen Links oder Nummern zu verwenden. Pocket Bitcoin wird dich niemals nach deiner Seed-Phrase fragen und dich niemals brieflich oder telefonisch auffordern, Bitcoin zu übertragen oder eine Zahlung zu leisten.

Wie geht es weiter?#

Alle weiteren Updates werden hier veröffentlicht. Wir sind uns bewusst, dass ein Vorfall wie dieser das Vertrauen erschüttert, das ihr in uns gesetzt habt, und denjenigen, deren Daten offengelegt wurden, gilt unser aufrichtiges Bedauern.

Das Pocket Bitcoin-Team

Häufig gestellte Fragen#