Wenn Daten über Vermögen verloren gehen. Belegte Fälle.
Was Unternehmen, Behörden und ihre Dienstleister über Menschen speichern, geht immer wieder verloren: durch Hacker, bestochene Mitarbeiter, nachlässige Auftragnehmer oder Beamte, die nachsehen, wo sie nicht sollen. Bitcoin funktioniert wie Bargeld, darum sollte niemand wissen, wer wie viel besitzt.
Zusammengezählt rund 46 Millionen Betroffene in 38 belegten Fällen, davon 20 bei Behörden und 16 über Dienstleister.
Nur Fälle mit Primärquelle, etwa der Mitteilung des Unternehmens oder der Behörde, eines Gerichts, einer Staatsanwaltschaft oder eines Parlaments; wo noch kein Urteil vorliegt, steht das dabei. Die Liste ist unvollständig, und die Fälle belegen nicht, dass DAC8 sie verursacht hat. Wer in zwei Fällen steckt, zählt bei den Betroffenen doppelt.
Vom Datenleck zur Wohnungstür
Ein Datenleck liefert Tätern, was sie sonst mühsam auskundschaften müssten: wer Krypto besitzt und wo er wohnt. Lange Aufbewahrungspflichten halten solche Daten über Jahre bereit.
-
Eine Bande mit eigenen Hackern für Datenbanken.
Von Ende 2023 bis Anfang 2025 erbeutete eine kriminelle Vereinigung mehr als 250 Millionen Dollar in Kryptowerten. Ihre Mitglieder hatten feste Rollen: Datenbanken hacken, Ziele auswählen, Betrugsanrufe, Geldwäsche und Einbruch. Im Visier standen Menschen, die viel Krypto besitzen sollten. Ihr Einbrecher wurde 2026 zu 78 Monaten Haft verurteilt.
Quelle: US-Justizministerium
-
Ausgewählt über offenbar gehackte Daten.
Bewaffnete Täter halten einen Mann in seinem Haus fest und zwingen ihn, Kryptowerte im Wert von rund 68.000 Euro zu überweisen. Die französische Polizei ordnet den Fall einer Serie zu, in der Täter Wallet-Besitzer ins Visier nehmen, deren persönliche Daten offenbar gehackt wurden.
Quelle: Gendarmerie
-
Im Visier auch, wer Krypto nur besitzen soll.
Inzwischen geraten auch Privatleute ins Visier, die Kryptowerte besitzen oder nur besitzen sollen. Im ersten Halbjahr 2026 zählte der Innenminister 77 Entführungen, Freiheitsberaubungen und Erpressungen oder Versuche, nach 45 im ganzen Jahr 2025.
Quellen: Innenministerium, Journal du Coin
-
Ein Polizist liefert die Wohnadresse.
Ein Detective erschleicht sich einen Ortungsbeschluss und verschafft einem Auftraggeber die Wohnadresse eines Mannes, der viel Krypto besitzen soll. Wenig später versuchen drei Bewaffnete, in dessen Haus einzudringen, und fliehen erst, als das Opfer schießt.
Quelle: US-Justizministerium
Weltweit sind 801 körperliche Angriffe auf Besitzer von Bitcoin und anderen Kryptowerten öffentlich bekannt. 2025 waren es 170, 2026 bis 24. Oktober schon 146, 64 davon in der EU.
Die meisten Opfer schweigen, viele Fälle werden nie öffentlich.
Zum AngriffsarchivAlle Datenlecks, die neuesten zuerst
Ein Datenleck endet nicht beim Anbieter: Auch Support-, Versand- und Newsletter-Dienste halten Kundendaten, der Versanddienstleister von Trezor sogar Bestellungen, die er schriftlich als gelöscht bestätigt hatte. Einmal gestohlen, lassen sich solche Daten kopieren und erneut für Betrug nutzen, etwa für eine gefälschte Sicherheitswarnung im Namen von Trezor an rund 347.000 Empfänger.
38 Fälle
-
- Bestände oder Steuerdaten
Steuerdaten als Zielliste.
Beim französischen Krypto-Steuerdienst gelangten E-Mail-Adressen, Gewinne und Verluste sowie Jahresendbestände der Kunden in fremde Hände. Laut französischer Polizei nutzen Täter die Daten, um Opfer für Gewalttaten auszuwählen, und irren sich dabei teils über deren tatsächliche Bestände.
Quellen: Waltio, Gendarmerie
-
- Name und Anschrift
- Bestände oder Steuerdaten
Die Finanzverwaltung verliert zweimal.
Mit gestohlenen Zugangsdaten von Beamten zogen Angreifer im Februar 1,2 Millionen Datensätze aus dem nationalen Kontenregister, mit IBAN, Namen und Anschrift. Im Sommer folgten Daten zu Einkommen, Anschrift und Grundbesitz von 678.000 Menschen und Unternehmen aus dem Steuersystem.
Quellen: Kontenregister, Steuersystem
-
Gerichtsdaten für Erpressung.
Eine Gerichtsmitarbeiterin verkaufte vertrauliche Daten aus dem Justizsystem und erpresste mit solchen Daten selbst einen Mann, unter Drohungen gegen seine Familie. Er zahlte mehr als 92.000 Euro. Sie bekam vier Jahre Haft.
Quelle: Rechtbank Overijssel
-
- Name und Anschrift
Das Personenregister, über den Zugang einer Firma.
Unbekannte missbrauchten den rechtmäßigen Suchzugang eines privaten Unternehmens zum dänischen Personenregister. Sie holten Namen, Anschriften und Personennummern von rund 8,8 Millionen Menschen, Lebenden, Ausgewanderten und Verstorbenen. Die Polizei ermittelt.
Quelle: Dänisches Ministerium
-
347.000 E-Mail-Adressen aus dem Trezor-Newsletter.
Über eine Lücke in der Anmeldung drangen Angreifer in 138 Kundenkonten des Newsletter-Dienstes Brevo ein, exportierten aus 43 die Kontakte und verschickten aus sechs Phishing. Aus der Liste des Wallet-Herstellers Trezor gingen 347.149 E-Mail-Adressen verloren. Eine gefälschte Sicherheitswarnung an diese Liste führte zu einer App, die nach der Wallet-Sicherung fragte; rund 2.500 Menschen klickten. Laut Fachpresse waren auch BitBox und der Krypto-Steuerdienst CoinTracking betroffen.
Quellen: Brevo, Trezor, Cointelegraph
-
- Name und Anschrift
Bestellungen, die längst gelöscht sein sollten.
Unbefugte gelangten beim Versanddienstleister des Wallet-Herstellers Trezor an Namen, E-Mail-Adressen, Telefonnummern und Lieferanschriften von Kunden. Darunter waren Bestellungen aus 2019 bis 2021, obwohl ShipMonk Trezor mehrfach schriftlich bestätigt hatte, sie gelöscht zu haben. Betroffen sind laut Trezor 80.689 Kunden.
Quelle: Trezor
-
- Wallet
Wallet-Adressen mit Namen und Ausweisnummer.
Beim israelischen Krypto-Broker gelangten Unbekannte in ein internes Analysesystem. Betroffen waren Namen, Ausweisnummern, E-Mail-Adressen, Telefonnummern, Bankverbindungen und Wallet-Adressen der Kunden. Ausweisbilder, Passwörter und private Schlüssel waren laut dem Unternehmen nicht dabei.
Quellen: Bits of Gold, Calcalist
-
- Name und Anschrift
- Ausweis
- Bestände oder Steuerdaten
Betrogen mit echten Kundendaten.
Bestochene Support-Mitarbeiter kopierten Kundendaten bis hin zu Ausweisbildern und Kontoständen. Betrüger gaben sich danach als Coinbase aus und brachten Kunden dazu, ihnen Geld zu überweisen. Coinbase schätzt die Kosten samt Entschädigungen auf 180 bis 400 Millionen Dollar. Auch in Österreich nahm danach das Phishing in Coinbases Namen zu.
Quellen: Coinbase (Form 8-K), Watchlist Internet
-
- Bestände oder Steuerdaten
47 Millionen Pfund über Steuerkonten.
Mit Identitätsdaten, die sie anderswo per Phishing erbeutet hatten, legten Kriminelle Steuerkonten bei der britischen Steuerbehörde HMRC an oder übernahmen bestehende und forderten Rückzahlungen. HMRC schrieb rund 100.000 Betroffene an und nannte dem Parlament einen Schaden von 47 Millionen Pfund. Die eigenen Systeme seien dabei nicht gehackt worden.
Quellen: HMRC, Finanzausschuss des Unterhauses
-
- Name und Anschrift
Der Vorwurf: Wohnadressen aus dem Melderegister verkauft.
Ein Mitarbeiter der Stadt Amsterdam soll 2024 und 2025 Namen und Wohnadressen aus dem Melderegister abgefragt und über Mittelsmänner an Kriminelle verkauft haben. Die Staatsanwaltschaft bringt mindestens 95 Gewalttaten mit seinen Abfragen in Verbindung, darunter 36 Sprengstoffanschläge, Schüsse auf Wohnungen und eine Entführung. Die Verteidigung bestreitet den Zusammenhang; das Urteil steht aus.
Quellen: Niederländische Staatsanwaltschaft 2025, Niederländische Staatsanwaltschaft 2026
-
Nutzerdaten von Krypto-Steuertools beim Analysedienst.
Über Phishing-SMS an Mitarbeiter gelangten Angreifer in den Analysedienst Mixpanel und exportierten Kundendaten. Betroffen waren unter anderem die Krypto-Steuertools CoinLedger und CoinTracker: E-Mail-Adressen, Namen, ungefährer Standort und bei CoinTracker etwa die Zahl der Transaktionen eines Jahres. Wallet-Adressen und Steuerformulare waren laut den Firmen nicht dabei.
Quellen: Mixpanel, CoinLedger, Protos
-
- Name und Anschrift
- Ausweis
- Wallet
Ausweis, Wohnadresse und Wallet in einem Datensatz.
Mit dem wiederverwendeten Passwort eines Administrators holte ein Angreifer beim Berliner Identifizierungsdienst die Daten von rund 6.300 Nutzern: Namen, Ausweisbilder, Wohnadressen und Wallet-Adressen. Danach verlangten die Angreifer Lösegeld.
Quelle: Fractal ID
-
- Bestände oder Steuerdaten
Tausende Abfragen in Bank- und Steuerdaten.
Laut dem Staatsanwalt von Perugia sah ein Offizier der Finanzpolizei Guardia di Finanza von 2019 bis 2022 mehr als 4.000 Geldwäsche-Verdachtsmeldungen von Banken ein und fragte über 1.100 Personen in der Steuerdatenbank ab. Ins Rollen kam der Fall, als Details über die Finanzen des Verteidigungsministers in der Zeitung standen. 2026 beantragte die Staatsanwaltschaft Rom einen Prozess; verurteilt ist bisher niemand.
Quellen: Abgeordnetenkammer, Anhörung 2024, Sky TG24
-
- Bestände oder Steuerdaten
Steuerdaten für die eigene Beratungsfirma.
Ein Beamter der Steuerbehörde von Bizkaia war zugleich Mitinhaber einer Steuerberatung. Von mindestens 2017 bis 2019 sah er ohne Befugnis vertrauliche Steuerdaten der Kunden seiner Firma und von Menschen und Unternehmen in deren Umfeld ein und nutzte sie für die Firma. 2024 verurteilte ihn das Provinzgericht von Bizkaia in erster Instanz zu zehn Jahren Haft.
Quelle: Spanischer Justizrat
-
Ein Vollstrecker der Steuerbehörde verkauft Halterdaten.
Ein Vollstreckungsbeamter der niederländischen Steuerbehörde fragte von 2020 bis 2022 außerhalb der Dienstzeit Kennzeichen samt Personendaten ab und verkaufte sie an Kriminelle. Kurz nach zweien seiner Abfragen wurde ein Fahrzeughalter nahe seiner Wohnung erschossen; einen direkten Zusammenhang konnte die Staatsanwaltschaft nicht nachweisen. 2024 wurde er zu drei Jahren Haft verurteilt.
Quellen: Rechtbank Den Haag, Niederländische Staatsanwaltschaft
-
Supportanfragen als Phishing-Liste.
Angreifer gelangten in das externe Support-Portal des Hardware-Wallet-Herstellers. Dort lagen Name oder Spitzname und E-Mail-Adresse von bis zu 66.000 Menschen, die seit Dezember 2021 den Support kontaktiert hatten. 41 von ihnen schrieben die Angreifer direkt an und fragten nach der Wiederherstellungsphrase.
Quelle: Trezor
-
Bankverbindungen beim Zahlungsdienstleister.
Bei einem Dienstleister der Bank, über die die Krypto-Börse Gemini Überweisungen abwickelt, lagen Anfang Juni 2024 Namen und Bankkontonummern von Gemini-Kunden offen. Gemini meldete den Vorfall der Generalstaatsanwaltschaft Kaliforniens.
Quelle: Gemini (Meldung in Kalifornien)
-
- Name und Anschrift
- Bestände oder Steuerdaten
Die Guthaben von Krypto-Gläubigern.
Über die gekaperte Handynummer eines Mitarbeiters griffen Angreifer beim Insolvenzdienstleister der FTX-Pleite auf Namen, Anschriften und Guthaben von Gläubigern dreier Krypto-Firmen zu. Kroll warnte vor Betrügern, die dazu auffordern, eine Wallet zu verbinden oder die Wiederherstellungsphrase einzugeben.
Quelle: Kroll
-
- Name und Anschrift
Behördendaten beim IT-Dienstleister.
Eine Erpressergruppe stahl beim Softwarelieferanten mehrerer Schweizer Bundesämter Daten und veröffentlichte rund 1,3 Millionen Dateien. Rund 65.000 davon betrafen den Bund, 4.779 enthielten Personendaten, darunter Anschriften. Betroffen waren vor allem Justiz- und Polizeibehörden.
-
Eine schwarze Liste mit 270.000 Namen.
Die niederländische Steuerbehörde führte mehr als sechs Jahre lang rechtswidrig eine Liste mit rund 270.000 Menschen, die sie des Betrugs verdächtigte, oft auf falscher Grundlage. Wer darauf stand, bekam zum Beispiel keine Ratenzahlung. Die Datenschutzbehörde verhängte 2022 eine Strafe von 3,7 Millionen Euro, auch wegen mangelhafter Sicherung der Liste.
Quelle: Autoriteit Persoonsgegevens
-
E-Mail-Adressen über den Mailversand.
Über die Zugangsdaten eines Twilio-Mitarbeiters gelangten die E-Mail-Adressen von Nutzern des Krypto-Steuertools aus dessen Mailversand SendGrid in fremde Hände. Finanzdaten waren laut CoinTracker nicht betroffen. Das Unternehmen warnte seine Nutzer vor gezielten Angriffen.
Quelle: CoinTracker
-
Gezielt die Listen von Krypto-Firmen.
Angreifer erbeuteten über Wochen die Zugänge von Mitarbeitern des Newsletter-Dienstes Mailchimp und griffen gezielt die Listen von mehr als 200 Krypto- und Finanzfirmen ab. Beim Wallet-Hersteller Trezor gingen E-Mail-Adressen der Newsletter-Liste verloren, teils mit Namen. Danach folgten Phishing-Mails im Namen von Trezor.
Quellen: Trezor, The Record
-
Ein gezielter Angriff auf die Kryptobranche.
Über einen getäuschten Mitarbeiter exportierte ein Angreifer beim Kundendatenbank-Anbieter HubSpot Kontaktdaten aus weniger als 30 Kundenkonten. HubSpot bestätigte einen gezielten Angriff auf Kunden aus der Kryptobranche. Laut Fachpresse waren unter anderen BlockFi, Swan Bitcoin und NYDIG betroffen und warnten ihre Kunden vor Phishing.
-
Ein Mitarbeiter gibt E-Mail-Adressen weiter.
Ein leitender Techniker des E-Mail-Dienstes Customer.io gab die E-Mail-Adressen von Nutzern des NFT-Marktplatzes OpenSea und von fünf weiteren Kunden an einen Angreifer weiter. Laut Fachpresse gehörte der Krypto-Verleiher Celsius dazu. Customer.io entließ den Mitarbeiter und zeigte ihn an.
Quellen: Customer.io, The Block
-
Kundendaten beim Dienstleister, danach Phishing.
Bei einem Dienstleister der Krypto-Börse Gemini sammelten Angreifer E-Mail-Adressen und Teile der Telefonnummern von Kunden. Darauf folgten Phishing-Kampagnen gegen diese Kunden. Die Systeme und Konten von Gemini selbst waren laut Gemini nicht betroffen.
Quelle: Gemini
-
- Bestände oder Steuerdaten
Steuerdaten von Nachbarn und Vereinskollegen.
Bei einer Stichprobe der Protokolle fand der Datenschutzbeauftragte der bayerischen Steuerverwaltung 54 eindeutig unbefugte Abfragen eines Mitarbeiters der Poststelle, zu Kollegen, Nachbarn und Mitgliedern seines Fußballvereins. Das Landesarbeitsgericht Nürnberg bestätigte 2021 seine Kündigung.
Quelle: LAG Nürnberg, 3 Sa 265/20
-
- Name und Anschrift
- Bestände oder Steuerdaten
Konten übernommen, Guthaben abgezogen.
Mit E-Mail-Adresse, Passwort und Telefonnummer, die laut Coinbase aus Phishing stammten, und einer Lücke in der Kontowiederherstellung per SMS übernahmen Angreifer die Konten von mindestens 6.000 Kunden. Dort sahen sie Name, Wohnadresse, Kontostände und Transaktionen und zogen Guthaben ab. Coinbase erstattete die Verluste.
-
- Name und Anschrift
Die Wohnadressen von 272.000 Wallet-Käufern.
Aus dem Onlineshop des Hardware-Wallet-Herstellers gelangten Namen, Anschriften und Telefonnummern ins Netz. Es folgten Phishing-Mails und SMS, die nach der Wiederherstellungsphrase fragten. In einer Umfrage der Universität Innsbruck berichteten 93 von 104 Betroffenen von Betrugsversuchen, 33 von Erpressungsdrohungen.
Quellen: Ledger, Abramova und Böhme
-
- Bestände oder Steuerdaten
Die Steuererklärungen der Reichsten.
Ein IT-Auftragnehmer der US-Steuerbehörde IRS tarnte seine Abfragen mit breit angelegten Suchen und kopierte die Steuerdaten tausender der reichsten Menschen des Landes. Er gab sie an Medien weiter. Laut einem späteren Prüfbericht waren rund 406.000 Steuerpflichtige betroffen. Er wurde 2024 zu fünf Jahren Haft verurteilt.
Quellen: US-Justizministerium, TIGTA-Prüfbericht
-
- Name und Anschrift
- Bestände oder Steuerdaten
Steuerkonten übernommen, Rückzahlungen umgeleitet.
Mit anderswo gestohlenen Passwörtern meldeten sich Kriminelle in rund 26.000 Online-Konten der kanadischen Steuerbehörde an und sahen Daten von etwa 34.000 Menschen ein, darunter Anschrift, Steuer- und Bankdaten. Sie änderten Bankverbindungen und Anschriften und kassierten Rückzahlungen und Sozialleistungen. Bis 2025 zählte die Behörde 42.755 bestätigte Fälle, in denen Dritte Steuerdaten unbefugt nutzten; der Datenschutzbeauftragte stellte 2026 Verstöße gegen das Datenschutzgesetz fest.
Quellen: Datenschutzbeauftragter Kanadas 2024, Datenschutzbeauftragter Kanadas 2026
-
- Name und Anschrift
Ein öffentliches Register mit Wohnadressen.
Das Ergänzungsregister für sonstige Betroffene zeigte online Namen, Geburtsdaten und Anschriften, für viele Selbstständige ihre Wohnadresse. Die Einträge stammten zu einem großen Teil aus der Finanzverwaltung, die Veröffentlichung war gesetzlich vorgesehen. Als der Härtefallfonds 2020 die Registernummer verlangte, wurde das breit bekannt. Seither ist das Register nicht mehr öffentlich.
Quellen: Parlament, Anfragebeantwortung 2007/AB, ORF
-
- Name und Anschrift
Meldedaten von Millionen Menschen in Österreich, über einen Testserver.
Die GIS hob die Rundfunkgebühr ein und bekam dafür Meldedaten aus den Melderegistern. Für einen Test gab sie mindestens fünf Millionen echte Datensätze an einen IT-Dienstleister, der sie auf einen ungesicherten Server lud. Im Mai 2020 kopierte ein Hacker Namen, Anschriften und Geburtsdaten, danach wurden sie im Netz zum Kauf angeboten. Verdeckte Ermittler kauften den Datenbestand noch im selben Monat. Ein Verdächtiger wurde in den Niederlanden gefasst, das Strafverfahren ging dorthin.
Quellen: Bundesverwaltungsgericht, ORF
-
- Name und Anschrift
- Bestände oder Steuerdaten
Über das Handy eines Mitarbeiters an die Kundendaten.
Über die gekaperte Handynummer eines Mitarbeiters gelangte ein Angreifer in die interne Verwaltung des Krypto-Verleihers und sah Namen, Anschriften, Geburtsdaten und Kontobewegungen von Kunden. Seine Versuche, Guthaben abzuziehen, scheiterten.
Quelle: BlockFi
-
- Bestände oder Steuerdaten
Die Steuerbehörde verliert Daten aus dem Kontenaustausch.
Angreifer drangen in die Systeme der bulgarischen Steuerbehörde ein, danach standen Steuer- und Sozialversicherungsdaten von mehr als sechs Millionen Menschen im Netz. Darunter waren Kontodaten, die Bulgarien im automatischen Informationsaustausch von anderen Staaten erhalten hatte, auch über Konten in der Schweiz und in Deutschland. Danach mussten andere Staaten vorerst keine Daten mehr an Bulgarien senden. Über denselben Austausch gehen künftig die DAC8-Meldungen zu Kryptowerten.
Quellen: OECD Global Forum, Schweizer SIF, Bundestag, Drs. 19/22077, EuGH C-340/21
-
Eine Steuerbeamtin stiehlt Identitäten.
Eine Mitarbeiterin der US-Steuerbehörde holte sich unbefugt Namen, Geburtsdaten und Sozialversicherungsnummern aus den Systemen. Ihre Gruppe reichte damit falsche Steuererklärungen ein, mit Hunderten Opfern und mehr als 400.000 Dollar ausgezahlten Rückzahlungen. 2016 wurde sie zu neun Jahren und zwei Monaten Haft verurteilt.
Quelle: US-Justizministerium
-
- Bestände oder Steuerdaten
Steuerauszüge für Betrüger.
Mit anderswo gestohlenen persönlichen Daten bestanden Betrüger die Online-Identitätsprüfung der US-Steuerbehörde und luden Steuerauszüge herunter. Laut Prüfbericht gelang ihnen das bei weiteren 355.262 Steuerpflichtigen, über die rund 220.000 hinaus, die die Behörde selbst gemeldet hatte. Bei später damit eingereichten Steuererklärungen stoppte die Behörde Rückzahlungen über 119 Millionen Dollar.
Quelle: TIGTA-Prüfbericht
-
- Name und Anschrift
Zwei CDs mit 25 Millionen Datensätzen verschwinden.
Die britische Steuerbehörde HMRC schickte die gesamte Kindergeld-Datenbank auf zwei CDs per Kurier an den Rechnungshof. Sie kamen nie an: Namen, Anschriften, Geburtsdaten und Versicherungsnummern von 25 Millionen Menschen, teils mit Bankverbindung. Ein Untersuchungsbericht nannte den Verlust „völlig vermeidbar“. Der Behördenchef trat zurück.
Quellen: Unterhaus, Erklärung 2007, Poynter-Bericht
-
- Bestände oder Steuerdaten
Tausende private Abfragen im Steuersystem.
Ein Finanzbeamter griff sechs Jahre lang ohne dienstlichen Grund mehrere tausend Mal auf Steuerdaten zu, darunter von mehr als 1.000 Menschen aus seinem Heimatort. 2024 registrierte das Bundesamt zur Korruptionsbekämpfung im öffentlichen Dienst 116 neue Fälle unbefugter Datenabfragen und -weitergaben.
Quellen: Disziplinarkommission beim BMF, BAK-Jahresbericht 2024