Keystone-Kunden berichten von einem Datenleck, das persönliche Daten offengelegt haben soll, die der Hersteller eigentlich gelöscht hatte. Der Vorfall ist relevant, weil er zeigt, ob Krypto-Hardware-Unternehmen ihre Datenschutzversprechen tatsächlich einhalten – ein Vertrauensthema für alle, die beim Kauf einer Wallet persönliche Daten preisgeben.
Was ist passiert
Laut The Block behaupten Keystone-Kunden, ein Datenleck habe persönliche Informationen offengelegt, die das Unternehmen eigenen Angaben zufolge bereits gelöscht hatte. Keystone gibt an, Kundendaten in den meisten Fällen 180 Tage nach einer Bestellung zu entfernen. Nutzer auf X stellen diese Aussage öffentlich infrage und verweisen auf das gemeldete Leck als Beleg dafür, dass Daten über das angegebene Löschfenster hinaus erhalten blieben. Aus dem vorliegenden Material geht nicht hervor, wie viele Kunden betroffen sind, wann sich das Leck ereignete oder welche Datenkategorien konkret offengelegt wurden. Eine öffentliche Stellungnahme von Keystone zu den Vorwürfen liegt im gesichteten Material nicht vor.
Wie es dazu kam
Hersteller von Hardware-Wallets erfassen routinemäßig Namen, Lieferadressen und Bestelldetails, um Käufe abzuwickeln. Unternehmen wie Keystone bauen das Vertrauen ihrer Kunden unter anderem auf das Versprechen, diese Daten zu löschen, sobald sie nicht mehr benötigt werden. Das von Keystone genannte 180-Tage-Fenster sollte genau das leisten: verhindern, dass sensible Daten unnötig lange exponiert bleiben. Der nun von The Block gemeldete Vorwurf stellt dieses Versprechen auf die Probe. Tauchen eigentlich gelöschte Daten in einem Leck wieder auf, deutet das darauf hin, dass entweder die Richtlinie nicht befolgt wurde oder Daten länger als angegeben in Backups verblieben sind.
Warum das für dich wichtig ist
Für aktuelle Keystone-Kunden stellt sich die Frage, ob ihre persönlichen Daten, einschließlich Bestelldetails, auch nach Ablauf des angegebenen Löschfensters weiterhin einem Risiko ausgesetzt sind. Wer vor mehr als 180 Tagen ein Gerät bei Keystone gekauft hat, sollte möglicherweise prüfen, was tatsächlich entfernt wurde. Für andere Hardware-Wallet-Hersteller ist der Fall eine Erinnerung daran, dass angegebene Aufbewahrungsfristen genau geprüft werden. Entwickler, die Wallet- oder Bestellsysteme konzipieren, sollten davon ausgehen, dass Kunden und Sicherheitsforscher Löschversprechen an konkreten Beweisen messen – nicht nur an Marketingaussagen.
Die größere Frage
Wenn ein Unternehmen verspricht, Kundendaten nach einer bestimmten Frist zu löschen, wer überprüft eigentlich, ob das tatsächlich geschieht? Sollten Krypto-Hardware-Firmen sich unabhängigen Audits ihrer Löschrichtlinien unterziehen müssen, ähnlich wie bei Reserve-Nachweisen – oder erfahren Kunden die Wahrheit erst, wenn ein Datenleck die Lücke offenlegt?
Was als Nächstes zu beobachten ist
Im gesichteten Material liegt weder eine offizielle Stellungnahme noch ein Zeitplan für eine Untersuchung vor. Zu beobachten bleibt, wie Keystone direkt auf die Kundenvorwürfe reagiert und ob unabhängige Sicherheitsforscher das Ausmaß des Lecks bestätigen. Bonuz verfolgt die weiteren Entwicklungen rund um den Umgang mit Daten bei Hardware-Wallet-Herstellern.
