Ledgers Kundendatei wurde 2020 zweimal geleakt – die CNIL verhängte 2024 ein Bußgeld von 750.000 €

Ledger, der in Paris ansässige Hersteller von Hardware-Wallets, die die Kryptowährungen der Kunden schützen, musste nie einen Einbruch in seine Tresore hinnehmen – wohl aber in seine Kundendateien. Zwischen Mai und Juni 2020 erbeuteten zwei Hacker über Ledgers Shopify-Storefront die E-Commerce-Datei von etwa 290.000 Käufern: Namen, Telefonnummern, E-Mail- und Postanschriften. Im Juni legte ein zweiter Vorfall, der einer API-Schlüssel-Schwachstelle zugeschrieben wird, rund eine Million Newsletter-Abonnenten offen.

Die Käuferdatei wurde ab August 2020 privat verkauft, und im Dezember 2020 wurde sie kostenlos im Hacking-Forum RaidForums veröffentlicht: Dateien mit 1.075.382 Newsletter-E-Mail-Adressen und 272.853 Gerätekäufern samt Namen, Postanschriften und Telefonnummern. Wer eine Hardware-Wallet besitzt, gilt als jemand, der Krypto hält, und so wurden die Adressen zu Zielkoordinaten. Die Besitzer wurden mit Phishing-E-Mails bombardiert, die gefälschte Ledger-Live-Apps enthielten und Recovery Phrases abgriffen, und später verschickten Betrüger gefälschte Ersatzgeräte mit Briefen, in denen sie sich als Ledgers CEO ausgaben.

Rund fünfzig Kunden beschwerten sich bei der französischen CNIL. Im Oktober 2024 ahndete die Aufsichtsbehörde Ledgers Verstöße gegen zwei DSGVO-Pflichten – die Dauer der Aufbewahrung von Kundendaten und die Absicherung dieser Daten. Das Bußgeld von 750.000 € wurde von The Big Whale enthüllt und von der CNIL gegenüber dem Medium bestätigt; die Entscheidung selbst wurde nicht veröffentlicht. Ledger bestätigte die Sanktion und betonte, dass seine Verwahrprodukte nie offengelegt worden seien und der Vorfall ausschließlich seine E-Commerce-Tätigkeit betroffen habe.

Ein berichtetes Bußgeld von 750.000 € wegen Aufbewahrungs- und Sicherheitsmängeln; die Wohnadressen von 290.000 Käufern zirkulierten jahrelang in Hackerforen.

Für einen Wallet-Hersteller sind die Wohnadressen der Käufer Zielkoordinaten: Der Leak nährte jahrelang Phishing, Versendungen gefälschter Geräte und Erpressungsversuche gegen genau die Menschen, die am wahrscheinlichsten Krypto halten.

Die Aufbewahrungsdauer war einer der beiden genannten DSGVO-Verstöße – Kundendaten, die lange nach ihrem kommerziellen Wert aufbewahrt werden, sind reine Haftung.

Die Sicherheit war der andere: eine über Shopify erreichbare Storefront-Datei und ein undichter API-Schlüssel sind gewöhnliche Angriffsflächen, deren Härtung Aufsichtsbehörden erwarten.

Einmal gestohlen, haben Leak-Daten ein langes kommerzielles Leben: innerhalb von zwei Monaten privat verkauft, innerhalb von sechs Monaten kostenlos veröffentlicht und noch in Umlauf, als das Bußgeld vier Jahre später verhängt wurde.

Für ein Sicherheitsunternehmen ist die Kundendatei ebenfalls eine Sicherheitsfläche. Wohnadressen von Menschen, die Tresore besitzen, sind Zielkoordinaten – behalte nur, was du brauchst, und schütze, was du behältst.

Die beiden Hacker hinter der E-Commerce-Datei wurden verhaftet, wie The Big Whale im März 2023 enthüllte; der API-Schlüssel-Hacker nicht. Ledger bestätigte die Sanktion und unterhält eine öffentliche Seite, die die Phishing-Kampagnen verfolgt, die weiterhin auf seine Kunden abzielen. Die CNIL veröffentlichte ihre Entscheidung nicht, erklärte jedoch, dass jeder, der einen Schaden geltend macht, das Unternehmen vor Gericht bringen kann. Die Betrugsmaschen entwickelten sich von E-Mail zu Post: Gefälschte Nano-Geräte wurden mit Briefen verschickt, in denen der CEO nachgeahmt wurde, und drängten Käufer, auf ein Ersatzgerät umzusteigen, das ihre Kryptowährungen preisgeben würde – der Leak, wiederholt durch die Briefkästen der Kunden.