Dieser Beitrag wird bei Änderungen aktualisiert (Änderungen datiert am Seitenende)
Bei dem externen Software-Dienstleister Canny, den wir für ein Feedback-Board genutzt haben, kam es zu einem Sicherheitsvorfall - dabei wurden auch Daten von 21bitcoin-Nutzern offengelegt.
Unsere eigenen Systeme waren und sind zu keinem Zeitpunkt betroffen und deine Bitcoin und dein Euro-Guthaben waren und sind sicher.
Was ist passiert
Am 28. August 2026 wurde der Dienstleister Canny, ein Feedback-Tool, das über eine Schnittstelle mit unserem Kundensupport-System (Intercom) verbunden war, Ziel eines Cyber-Angriffs. Dabei wurde der Zugangsschlüssel dieser Schnittstelle gestohlen und benutzt, um Daten aus unserem Support-System auszulesen. Die Verbindung wurde vom Anbieter noch am selben Tag gekappt und der Schlüssel unbrauchbar gemacht; danach zeigen die vollständigen Zugriffsprotokolle keine weiteren Zugriffe.
Wir haben am 29. August von dem Vorfall erfahren und den genauen Umfang in den letzten Stunden forensisch aufgearbeitet - alle Angaben in diesem Beitrag stammen aus dieser Auswertung.
Wenn es um deine Daten geht, wollen wir weder spekulieren noch dich unnötig verunsichern. Deshalb haben wir den Vorfall gemeinsam mit den betroffenen Dienstleistern vollständig analysiert, damit wir dir jetzt verlässlich sagen können, ob und in welchem Umfang du betroffen bist.
Wir bedauern die Umstände
Gerade in der Bitcoin-Community sind Sicherheit, Eigenverantwortung und der Schutz von Daten zentrale Werte, die wir bei 21bitcoin jeden Tag leben. Auch wenn der Angriff NICHT auf unsere eigenen Systeme erfolgte: Du hast uns deine Daten anvertraut und ein Teil davon wurde durch einen externen Dienstleister offengelegt. Das tut uns aufrichtig leid. Wir wollen mit diesem Beitrag so transparent wie möglich sein und halten dich hier über alles Weitere auf dem Laufenden.
Welche Daten betroffen sind
Betroffen sind Daten aus unserem Support-System. Ein großer Teil der Kontakte (42,6%) sind rein technische Einträge ohne Namen oder Kontaktdaten. Je nach Person können enthalten sein:
Name, E-Mail-Adresse, Telefonnummer, Geburtsdatum, gerätebezogene Daten (wie zB Sprache, Land und Betriebssystem) (keine Adressen oder Wohnanschrift)
Angaben zum Kontostatus (z.B. Aktiv oder Nicht aktiv) sowie, bei einem Teil der Nutzer - der im Support-System damalig einsehbare Guthabenstand
die erste Nachricht bzw. das Thema deiner Support-Konversationen - keine weiteren Nachrichten, keine Antworten, keine internen Notizen, keine Anhänge oder Dokumente
Welche Daten NICHT betroffen sind
Die folgenden Punkte haben wir anhand der Zugriffs- und Systemprotokolle verifiziert:
Deine Bitcoin und Euro-Guthaben: waren zu keinem Zeitpunkt betroffen oder gefährdet. Sie werden über eine vollständig eigenständige, technisch getrennte Infrastruktur verwahrt.
Deine Transaktionshistorie: Transaktionsdaten inkl. Bitcoin-Adressen sind nicht betroffen
Passwörter, 2FA-Codes, Sitzungsdaten: werden in den betroffenen Systemen nicht gespeichert
Wohnanschriften oder Adressen: sind und waren zu keinem Zeitpunkt offengelegt
Ausweisdokumente und KYC-Unterlagen: sind nicht Teil der betroffenen Daten
Datei-Anhänge: Sind nachweislich nicht betroffen, auch wenn du uns diese in Support-Konversationen übermittelt hast
Zahlungs- und Bankverbindungsdaten aus unseren Systemen: sind nicht betroffen
Unsere eigene Plattform und Infrastruktur: zu keinem Zeitpunkt kompromittiert
Was wir bisher getan haben
Verbindung zum betroffenen Anbieter dauerhaft entfernt, den gestohlenen Zugangsschlüssel unbrauchbar gemacht, alle zugehörigen Zugänge rotiert (28./29. August);
Vollständige forensische Aufarbeitung: Auswertung sämtlicher Zugriffsprotokolle, schriftliche Bestätigung des Umfangs durch den Sicherheitsdienst des Support-Anbieters;
Direkte Warnung an alle erreichbaren Betroffenen und Veröffentlichung dieses öffentlichen Artikels;
Persönlicher Sicherheitscode für E-Mails eingeführt (sichtbar in der App ab dem nächsten Update), um Phishing-Versuche erkennbar zu machen;
Verbesserte Überwachung von Kontoübernahme-Versuchen;
Forensik-Bericht und Ursachenanalyse bei Canny angefordert.
Was das für dich bedeutet
Das realistische Risiko ist gezieltes Phishing: Kriminelle könnten die Daten nutzen, um täuschend echte E-Mails, SMS oder Anrufe im Namen von 21bitcoin zu verfassen, womöglich mit korrekter Anrede und Bezug auf ein echtes Support-Anliegen.
Deshalb:
Wir fragen dich niemals nach deinem Passwort, 2FA-Codes oder einer „Verifizierung" per Link.
Misstraue jeder Nachricht, die Dringlichkeit erzeugt (wie z.B. „sofort handeln").
Prüfe den persönlichen Sicherheitscode, sobald du das neue Update installiert hast: E-Mails von uns enthalten deinen persönlichen Code, den du in der App in deinem Profil unter Sicherheit -> E-Mail-Sicherheit findest. Fehlt dieser Code -> nicht öffnen, sondern an [email protected] weiterleiten.
Öffne 21bitcoin direkt statt über Links in Nachrichten, wenn du unsicher bist.
Ist 21bitcoin sicher?
Ja. Unsere Systeme waren und sind nicht betroffen und mit den offengelegten Daten allein ist kein Zugriff auf dein Konto möglich - dafür fehlen Passwort und Zweitfaktor, die nie Teil der betroffenen Daten waren. Deine Bitcoin liegen in segregierter Verwahrung. Kauf, Verkauf und Sparpläne laufen uneingeschränkt weiter.
Was als Nächstes geschieht
Wir aktualisieren die Informationen und diesen Beitrag, falls sich Neues ergibt. Strukturell ziehen wir außerdem folgende Konsequenzen:
Wir haben eine neue Sicherheitsfunktion eingeführt: Ein persönlicher Sicherheitscode in der 21bitcoin App, der in jeder E-Mail von uns enthalten ist, um Phishing- oder Betrugsversuche gegenüber unseren Kunden zu verhindern. Du siehst den Code in deiner 21bitcoin App in deinem Profil unter Sicherheit -> E-Mail-Sicherheit.
Wir reduzieren die in sämtlichen Drittanbieter-Tools hinterlegten Daten auf das betriebsnotwendige Minimum und verschärfen die Anforderungen an externe Integrationen.
Du musst weder die Anmeldeinformationen deines 21bitcoin Kontos ändern noch irgendwelche Maßnahmen in Bezug auf dein Konto ergreifen.
Was wir dir empfehlen: Aktiviere die App-basierte Zwei-Faktor-Authentifizierung (Profil -> Sicherheit -> 2FA), falls noch nicht geschehen - nicht wegen einer akuten Gefahr, sondern weil sie gegen Phishing generell der beste Schutz ist.
FAQ
Sind meine Bitcoin sicher?
Ja! Durch diesen Vorfall waren und sind deine Bitcoin und Euro-Guthaben zu keinem Zeitpunkt gefährdet. Die Systeme von 21bitcoin selbst waren nie kompromittiert oder betroffen. Die Verwahrung ist von den betroffenen Systemen getrennt, und es wurden keine Zugangsdaten offengelegt.
Muss ich mein Passwort ändern?
Nein, dein Passwort ist nicht betroffen. Es wird in den betroffenen Systemen gar nicht gespeichert. Wichtig ist Wachsamkeit gegenüber Phishing und, als generelle Empfehlung, App-basierte Zwei-Faktor-Authentifizierung.
Woher weiß ich, ob ich betroffen bin?
Alle erreichbaren Betroffenen haben eine Benachrichtigung von uns erhalten.
Waren meine Ausweisdokumente betroffen?
Nein. KYC-Unterlagen und Ausweisdokumente waren nicht Teil der betroffenen Daten, und mögliche Datei-Anhänge in Konversationen wurden nachweislich nicht abgerufen, das haben wir anhand der Protokolle verifiziert.
Ich habe eine verdächtige Nachricht erhalten - was soll ich tun?
Nicht antworten, nichts anklicken, keine Codes weitergeben. Leite die Nachricht an [email protected] weiter. Echte E-Mails von uns erkennst du an deinem persönlichen Sicherheitscode.
Ich bin kein Kunde mehr, warum hattet ihr noch meine Daten?
Als beaufsichtigter Finanzdienstleister sind wir gesetzlich verpflichtet, bestimmte Daten auch nach Ende der Geschäftsbeziehung für eine bestimmte Zeit aufzubewahren. Nach Ablauf dieser Aufbewahrungsfristen werden die Daten gelöscht.
An wen kann ich mich wenden?
Für allgemeine Fragen an unseren Support über die App oder [email protected]. Bitte hab Verständnis, dass wir personenbezogene Auskünfte nur über verifizierte Kanäle geben.
Unser Datenschutzbeauftragter ist über die heyData GmbH, Schützenstraße 5, 10117 Berlin, www.heydata.eu, E-Mail: [email protected] erreichbar.
Updates: 02.09.2026, Erstveröffentlichung.