Veröffentlicht am 18.08.2026
Ein Order-Tracking-Plugin – also eine Zusatzfunktion, mit der Kunden den Status ihrer Bestellung nachverfolgen – ist bei SafePal zum Einfallstor für ein Datenleck geworden. Das Unternehmen, ein Anbieter von Krypto-Wallets, bestätigt, dass Angreifer über eine Autorisierungsschwachstelle in dieser Funktion unbefugt auf die Bestelldaten anderer Kunden zugreifen konnten. Betroffen sind nach Firmenangaben rund 39.798 Kunden. Und obwohl weder Passwörter noch die kryptografischen Schlüssel zu den Wallets abgeflossen sein sollen, ist der Vorfall gerade für kleine und mittlere Unternehmen (KMU) ein lehrreiches Beispiel – denn er zeigt, wie eine einzige fehlerhafte Zugriffsprüfung in einem scheinbar harmlosen Plugin sensible Kundendaten preisgeben kann.
SafePal veröffentlichte am 16. August 2026 eine Sicherheitsmitteilung zu einem Vorfall rund um Bestellinformationen. Im Kern steht eine sogenannte Autorisierungsschwachstelle – ein Fehler in der Prüfung, ob ein bestimmter Nutzer überhaupt berechtigt ist, einen bestimmten Datensatz zu sehen. In der Bestellverfolgungsfunktion eines Plugins, das mit den Kundenbestelldaten verbunden war, ließ sich diese Prüfung unter bestimmten Bedingungen umgehen. Das Ergebnis: Ein Nutzer konnte die Bestelldaten eines anderen Kunden einsehen.
SafePal formuliert es in der eigenen Mitteilung so:
„Recently, the team identified an authorization flaw in the order-tracking function for a plug-in associated with customer order information. Under certain conditions, the flaw allowed unauthorized access to another customer’s order information.“ (SafePal, Security Update)
Konkret offengelegt wurden nach Unternehmensangaben:
Ausdrücklich nicht betroffen waren laut SafePal: Seed-Phrases (die Wiederherstellungswörter für eine Krypto-Wallet), private Schlüssel, Wallet-Passwörter oder andere Wallet-Zugangsdaten, Bankdaten, Zahlungskartennummern und amtliche Ausweisnummern. Auch für einen kompromittierten Zugriff auf Wallets oder Guthaben gebe es keinen Hinweis.
„This incident did not involve your seed phrase, private keys, wallet password, or other wallet credentials, bank account information, payment card numbers, or government-issued identification numbers.“ (SafePal, Security Update)
Betroffen sind Bestellungen aus dem Zeitraum 2. März 2025 bis 11. April 2026. Dass dieser Zeitraum so lang ist, hat einen zweiten, separaten Grund: SafePal entdeckte im Zuge der Untersuchung einen Konfigurationsfehler im Datenbereinigungsprozess. Von September 2025 bis April 2026 wurden ältere Bestelldatensätze länger vorgehalten als vorgesehen. Dieser Fehler war laut SafePal nicht die Ursache für den unbefugten Zugriff, verlängerte aber den betroffenen Datenzeitraum bis in den März 2025 hinein.
Die Schwachstelle gehört fachlich zur Klasse „Broken Access Control“ (fehlerhafte Zugriffskontrolle), die im OWASP Top-10-Katalog – einer anerkannten Liste der häufigsten Web-Sicherheitsrisiken – an erster Stelle steht. Das OWASP-Projekt beschreibt das Grundproblem so:
„Access control enforces policy such that users cannot act outside of their intended permissions. Failures typically lead to unauthorized information disclosure, modification, or destruction of all data.“ (OWASP Top 10:2021, A01 Broken Access Control)
Ein typisches Beispiel dieser Fehlerklasse: Eine Anwendung zeigt Datensätze über eine Kennung an – etwa eine Bestellnummer – prüft aber nicht zuverlässig, ob der anfragende Nutzer auch der rechtmäßige Eigentümer dieses Datensatzes ist. Ändert man die Kennung, sieht man fremde Daten.
Wichtig für die Einordnung: SafePal hat den konkreten Angriffsweg nicht veröffentlicht. Ob es sich um eine Bestellnummern-Enumeration (das systematische Durchprobieren von Nummern), eine manipulierte API-Anfrage oder einen klassischen IDOR (Insecure Direct Object Reference – der direkte Zugriff auf ein Objekt über seine Kennung) handelte, ist nicht bestätigt. Es gibt keine CVE-Nummer, keinen Herstellernamen des Plugins, keine Versionsangabe und keinen Proof of Concept. Wer behauptet, es handele sich „sicher“ um einen bestimmten Angriffstyp, geht über das öffentlich Belegte hinaus.
Der zeitliche Ablauf ist nur teilweise tagesgenau bekannt. SafePal erhielt nach eigener Darstellung Anfang Mai 2026 einen passenden Hinweis, behandelte ihn zunächst als Einzelfall und leitete später eine formale Untersuchung ein:
„We first received a report consistent with this issue in early May, and treated it as an isolated case at the time, but escalated it into a formal security investigation and introduced additional protections.“ (SafePal, Scam-Protection-FAQ)
Im Juli begann das Unternehmen eine vollständige Prüfung und einen Neuaufbau der Bestellverarbeitung und bestätigte dabei die Ursache. Die Schwachstelle sei bei Entdeckung behoben worden; ein unabhängiges Sicherheitsunternehmen soll den Fix validieren.
Ja. Nach Angaben von BleepingComputer stellte SafePal im Zuge der Untersuchung fest, dass ein Angreifer die Schwachstelle tatsächlich ausnutzte, um die Bestelldaten von etwa 39.798 Kunden zu entwenden. Ein Akteur bot in einem Cybercrime-Forum Daten mit passendem Zeitraum und passender Betroffenenzahl zum Verkauf an. BleepingComputer konnte den tatsächlichen Datenbesitz dieses Akteurs allerdings nicht unabhängig verifizieren.
SafePal warnt ausdrücklich vor Folge-Phishing und meldet, mehr als 30 betrügerische Websites bzw. Phishing-Links entfernt zu haben. Gerade die Kombination aus Kontakt-, Adress- und Bestelldaten macht zielgerichtete Betrugsversuche glaubwürdig: gefälschter Support, angebliche Rückerstattungen oder gefälschte Firmware-Update-Aufforderungen.
Direkt betroffen sind SafePal-Kunden mit einer Bestellung zwischen dem 2. März 2025 und dem 11. April 2026. Diese wurden laut SafePal am 16. August 2026 individuell per E-Mail benachrichtigt.
Für andere Websitebetreiber gibt es keine direkte Betroffenheit aus diesem Vorfall – schlicht, weil der Name des Plugins, die Version und die Installationszahl nicht öffentlich sind. Niemand kann seriös daraus ableiten, dass eine beliebige Order-Tracking-Erweiterung dieselbe Lücke hätte. Der Fall ist für KMU dennoch relevant – als Anlass, die eigenen Bestell-, Tracking- und Support-Integrationen kritisch zu prüfen.
Ergänzend gilt der allgemeine Rat des BSI (nicht SafePal-spezifisch): „Nutzen Sie starke Passwörter … Aktivieren Sie eine Zwei-Faktor-Authentisierung.“
Namen, E-Mail-Adressen, Postadressen, Telefonnummern und Bestelldetails sind personenbezogene Daten. Für einen vergleichbaren Vorfall bei einem in Deutschland ansässigen bzw. DSGVO-pflichtigen Verantwortlichen gilt daher:
Der Europäische Datenschutzausschuss (EDPB) betont, dass auch nicht meldepflichtige Vorfälle dokumentiert werden müssen und dass bei noch fehlenden Informationen zunächst fristgerecht eine stufenweise (Teil-)Meldung erfolgen kann. Bei der Kombination aus Name, Kontakt- und Wohnadresse, Telefonnummer und Kaufdetails liegt ein Hinweis auf hohe Risiken nahe – das ist jedoch keine automatische Rechtsfeststellung, sondern hängt von Verarbeitung, Betroffenenkreis und Risikobewertung ab.
Zum Bußgeldrahmen: Verstöße gegen die Pflichten aus Art. 32 bis 34 DSGVO können nach Art. 83 Abs. 4 DSGVO mit bis zu 10 Mio. EUR oder 2 % des weltweiten Vorjahresumsatzes sanktioniert werden. Die konkrete Höhe bemisst sich einzelfallbezogen – u. a. nach Schwere, Dauer, Betroffenenzahl, Schaden, getroffenen technischen Maßnahmen und Kooperation. Zusätzlich kann Art. 82 DSGVO bei materiellem oder immateriellem Schaden Schadenersatzansprüche begründen.
Für SafePal selbst lässt sich aus den öffentlichen Quellen weder die DSGVO-Zuständigkeit noch eine konkrete Risikobewertung einer Aufsichtsbehörde ableiten.
Schweregrad: hoch. Die bestätigte Kombination aus Namen, E-Mail-Adressen, Lieferadressen, Telefonnummern und konkreten Kaufdaten unterstützt glaubwürdige, zielgerichtete Social-Engineering-Angriffe. Bei Käufern von Hardware-Wallets kann sie außerdem Opferprofile und physische Kontaktwege offenlegen. SafePal meldet über 30 entfernte Betrugsseiten und warnt explizit vor Fake-Support, gefälschten Firmware-Updates und angeblichen Rückerstattungen.
Ein unmittelbarer Diebstahl aus Wallets ist nach den SafePal-Angaben durch diese Datenpanne allein nicht belegt, da Zugangsdaten und Schlüssel nicht betroffen waren. Das Folge-Phishing bleibt jedoch das zentrale Risiko. Die Gesamtbewertung „hoch“ ist eine redaktionelle Einordnung auf Basis der bestätigten Datenarten und Warnungen – keine Behördenentscheidung.
Der Fall reiht sich in einen breiteren Trend ein: Laut dem Verizon 2025 Data Breach Investigations Report (DBIR) waren branchenübergreifend bei 30 % der untersuchten Sicherheitsverletzungen Drittparteien beteiligt, und die Ausnutzung von Schwachstellen als initialer Angriffsvektor nahm um 34 % zu. Diese Werte sind nicht SafePal-spezifisch, illustrieren aber, warum Integrationen von Drittanbietern – wie ein Order-Tracking-Plugin – zunehmend zum Risiko werden.
Dass fehlender Datenschutz teuer werden kann, zeigt ein anderer, nicht gleichgelagerter Fall: Der britische ICO verhängte 2025 gegen 23andMe eine Geldbuße von 2,31 Mio. GBP wegen unzureichender Sicherheitsmaßnahmen nach einem Cyberangriff. Dieser Fall betraf besonders schützenswerte genetische Daten und ist nicht direkt auf SafePal übertragbar – er unterstreicht aber die aufsichtsrechtliche Relevanz mangelhafter technischer Schutzmaßnahmen.
Der SafePal-Vorfall ist ein Musterbeispiel dafür, wie eine unscheinbare Zusatzfunktion – die Bestellverfolgung – über eine fehlerhafte Zugriffsprüfung zum Datenleck wird. Rund 39.798 Kunden sind betroffen; abgeflossen sind Kontakt-, Adress- und Bestelldaten. Kryptografische Schlüssel und Passwörter waren nach Firmenangaben nicht betroffen – das eigentliche Risiko liegt nun im gezielten Phishing.
Sind Sie SafePal-Kunde? Prüfen Sie über die offizielle Scam-Protection-Seite, ob Ihre Bestellung betroffen ist, und behandeln Sie jede unaufgeforderte Nachricht als potenzielles Phishing. Geben Sie niemals Seed-Phrase oder private Schlüssel heraus.
Betreiben Sie selbst einen Shop oder ein Kundenportal? Nehmen Sie den Fall zum Anlass, Ihre eigenen Bestell-, Tracking- und Support-Integrationen zu inventarisieren, Zugriffskontrollen serverseitig zu testen, Logging und Alarmierung zu aktivieren und Ihren Datenschutzvorfallplan bereitzuhalten. Denn wie dieser Fall zeigt: Nicht die spektakuläre Lücke im eigenen Code, sondern der stille Fehler in einer Drittanbieter-Erweiterung reicht aus, um Kundendaten preiszugeben – und die DSGVO-Uhr in Gang zu setzen.