Krypto Betrug: Datenlecks auf Plattformen – Wenn Sicherheit zum Risiko wird
Verfasst von
Max Hortmann
02 Nov 2025
•
Lesezeit:
Diesen Beitrag teilen
Krypto Betrug: Datenlecks auf Plattformen – Wenn Sicherheit zum Risiko wird
Datenpanne bei der Exchange, kompromittierte Logins, gescrapte Profile – was Betroffene jetzt rechtlich durchsetzen können und wofür Plattformen haften.
Einleitung
Krypto-Plattformen verwalten heute Millionen von Nutzerkonten, Wallet-Zugängen und Transaktionsdaten. Gerät eine dieser Datenquellen ins Rutschen – ob durch Hacking, fehlerhafte Sicherheitskonfiguration, Social-Engineering im Support oder schlicht mangelhafte Prozesse – sind die Folgen für Betroffene gravierend: unautorisierte Logins, Abflüsse aus Custody-Wallets, Betrugsanbahnungen über Phishing, Identitätsdiebstahl und im schlimmsten Fall Totalverlust. Juristisch ist die Lage klarer, als viele annehmen: Plattformen tragen die Verantwortung für den Schutz personenbezogener Daten und Transaktions-Metadaten. Kommt es zu einem Datenleck, greifen Informations- und Benachrichtigungspflichten, Schadensersatzansprüche sowie aufsichtsrechtliche Risiken.
Dieser Aufsatz bündelt – mandatsorientiert – die zivil- und datenschutzrechtlichen Hebel, zeigt die Beweisstrategie für Betroffene und erklärt, wie Sie mit wenigen, gut gesetzten Schritten riskante Verzögerungstaktiken der Plattform durchbrechen. Die Hinweise gelten plattformunabhängig; wer bei Anbietern wie Crypto.com, Binance & Co. Konten hält, findet hier eine belastbare Handlungsarchitektur.
1. Was genau ist ein „Datenleck“ auf Krypto-Plattformen?
Unter einem Datenleck (Data Breach) versteht Art. 4 Nr. 12 DSGVO jede Verletzung der Sicherheit, die zur vernichteten, verlorenen, veränderten, unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt. Im Krypto-Kontext betrifft das typischerweise:
Schon der Kontrollverlust über diese Daten kann einen immateriellen Schaden begründen. Das ist zentral: Schadensersatz hängt nicht von einem „Kontoplünderungseffekt“ ab; das bloße Risiko, Opfer von Betrug zu werden, kann rechtlich relevant sein.
2. Rechte der Nutzer – Ihre Durchsetzungshebel unmittelbar nach dem Breach
2.1 Benachrichtigung und Information
Plattformen müssen den Vorfall unverzüglich an die Aufsicht melden (Art. 33 DSGVO) und betroffene Nutzer ohne schuldhaftes Zögern informieren, wenn ein hohes Risiko für Rechte und Freiheiten besteht (Art. 34 DSGVO). Eine „wir melden in 90 Tagen“-Kommunikation reicht nicht. In der Praxis sehen wir:
zu späte, zu vage Mails („es gab Auffälligkeiten“),
fehlende Angaben zu Art der Daten, Zeitfenster, Risikoeinschätzung, empfohlenen Maßnahmen,
kein Ansprechpartner, keine Fall-ID.
Konsequenz: Eine mangelhafte oder verspätete Information begründet einen eigenen Pflichtverstoß, der Ihrer Anspruchsdurchsetzung zusätzliches Gewicht verleiht.
2.2 Auskunft und Kopie der Daten (Art. 15 DSGVO)
Für die Beweissicherung ist Art. 15 DSGVO Ihr stärkster Hebel. Sie können Auskunft und Kopien aller verarbeiteten personenbezogenen Daten verlangen – einschließlich:
vollständiger Transaktions- und Log-Daten (Login-Zeitpunkte, IPs, Geräte-Fingerprints, 2FA-Status),
AML/Compliance-Vermerke zu Ihrem Konto (internes Risk-Scoring, „red flags“, Freeze-Entscheidungen),
Empfängerkategorien und konkrete Empfänger (Dienstleister, Cloud-Provider, Analyse-Partner),
Tipp: Verlangen Sie die Daten in maschinenlesbarer Form (CSV/JSON) – nur so sind spätere forensische Auswertungen (z. B. Abgleich mit Ihren Geräten/Netzen) ohne Medienbruch möglich.
2.3 Löschung (Art. 17 DSGVO) und Einschränkung (Art. 18 DSGVO)
Ist die Verarbeitung unrechtmäßig oder der Zweck entfallen, können Sie Löschung verlangen. Parallel können Sie Einschränkung fordern, damit bis zur Klärung keine weitere Datenweitergabe erfolgt (wichtig, wenn Scam-Wellen auf alten Leak-Listen beruhen).
2.4 Schadensersatz (Art. 82 DSGVO)
Sie haben Anspruch auf materiellen und immateriellen Schadensersatz. Immaterieller Schaden ist nicht an Schmerzensgeldmaßstäbe gekoppelt – maßgeblich ist, welcher Kontrollverlust und welches Risiko entstanden ist (Phishing-Gefahr, Identitätsmissbrauch, Kreditkarten-Monitoring, Aufwand der Schutzmaßnahmen). Materielle Schäden: Kosten für Sicherheitssoftware, Nummer/Pass-Wechsel, Rechtsberatung, Monitoring-Dienste, ggf. Zahlungsabflüsse.
3. Haftung der Plattformen – wofür Anbieter einstehen müssen
3.1 Technische und organisatorische Maßnahmen (TOMs)
Art. 32 DSGVO verlangt angemessene Sicherheit – Stand der Technik, Pseudonymisierung/Verschlüsselung, 2FA-Erzwingung, Härtung von API/Support-Prozessen, Least-Privilege-Zugriffe, Protokollierung und regelmäßige Audits. Bei Krypto-Plattformen kommen besondere TOMs hinzu:
Härtung der 2FA-Kette (keine Fallback-Entsperrungen per „Selfie-Video“ ohne starke Gegenprüfung),
„Break-the-Glass“-Prozeduren im Support (kritische Änderungen nur mit Mehr-Augen-Prinzip),
Schutz vor SIM-Swap-Vektoren (keine SMS-2FA als Default, FIDO2-Keys fördern),
Segmentierung (Trennung personenbezogener Daten von Produktions-Systemen).
Fehlen solche Maßnahmen oder werden sie nicht konsequent angewendet, liegt Pflichtverletzung vor – die Plattform haftet.
3.2 Informationspflichten bei Sicherheitsvorfällen
Die Benachrichtigung muss konkret sein: Was ist passiert? Welche Datenkategorien sind betroffen? Welche individuellen Risiken entstehen? Welche Schritte empfiehlt die Plattform (Passwort-Reset, Key-Rotation, Wallet-Freeze)? Eine generische „Wir nehmen Sicherheit ernst“-Mail genügt nicht – das ist rechtswidrig.
Neben Datenschutz gelten vertragliche Schutzpflichten: Wer Trading-/Custody-Dienste anbietet, schuldet sichere, robuste Prozesse. Wird Ihr Konto infolge eines Plattform-Leaks geentert (z. B. Credential-Stuffing, Support-Bypass), sind vertragliche Schadensersatzansprüche eröffnet – zusätzlich zu Art. 82 DSGVO. Wichtig: Der Anbieter trägt die Darlegungs- und Beweislast für die Angemessenheit seiner TOMs; vage Verweise auf „Branchenstandard“ reichen nicht.
4. Crypto.com, Binance & Co. – Besonderheiten im Krypto-Umfeld
Viele Anbieter arbeiten mit mehrgliedrigen Konzern-/Lizenzstrukturen (EU-Niederlassung, globaler App-Anbieter, ausgelagerte Support-Center). Für Betroffene bedeutet das:
DSGVO gilt extraterritorial, sobald Daten von EU-Nutzern verarbeitet werden.
Es gibt mindestens eine EU-Gesellschaft (z. B. in Litauen, Irland, Malta), gegen die Sie Auskunft, Löschung, Schadensersatz richten können.
Bei Crypto.com (und vergleichbaren Anbietern) ist es strategisch sinnvoll, parallel die EU-Gesellschaft (DSGVO) und die globale App-Gesellschaft (vertraglich/ deliktisch) anzuschreiben – so vermeiden Sie das „Zuständigkeits-Ping-Pong“.
5. Beweisstrategie – so sichern Sie Ihren Fall
Ziel ist eine gerichtsfeste, lückenlose Kette aus Vorfall → Risiko → konkreter Beeinträchtigung. Empfehlenswert:
7. Typische Verteidigungsargumente der Plattform – und die passende Erwiderung
„Kein Nachweis eines konkreten Schadens.“ → Immaterieller Schaden liegt bereits im Kontrollverlust; konkrete Missbräuche erhöhen nur die Höhe, nicht den Grund.
„Phishing, Eigenverschulden des Nutzers.“ → Phishing ist kein Freibrief. Frage ist, ob die Plattform angemessene Step-Up-Checks und Support-Härtung hatte. Bei 2FA-Bypass und „Selfie-Reset“ liegt die Ursache regelmäßig plattformseitig.
„Branchenstandard eingehalten.“ → Stand der Technik ist dynamisch. Verweisen Sie auf 2FA-Erzwingung, FIDO2-Keys, Geo-/Device-Anomalieerkennung, Support-Mehr-Augen-Prinzip. Wer das nicht durchgängig nutzt, ist unterstandardisiert.
„Wir sind nicht der richtige Rechtsträger.“ → DSGVO greift über Art. 3 Abs. 2; es genügt, dass die Plattform Nutzer in der EU adressiert. Parallelhaftung der EU-Gesellschaft ist regelmäßig gegeben.
8. Besonderer Mandatsfokus: Wenn zusätzlich Krypto abgeflossen ist
Datenleck und Asset-Abfluss sind häufig verknüpft. Hat der Leak zu unautorisierten Transaktionen geführt:
Technik: Wallet-Pfad sichern (TX-Hashes), zeitnaher Arrest bei identifizierten Verwahrern/Exchanges anregen.
Zivilrecht: zusätzlich zu Art. 82 DSGVO vertragliche und deliktische Ansprüche (Schadenersatz, ggf. § 826 BGB).
Strafrecht: Anzeige, um Rechtshilfe/ Sicherstellungen zu ermöglichen.
Steuer/Compliance: Hinweis an Mandanten: spätere Rückforderungen und Erstattungen haben steuerliche Implikationen – früh dokumentieren.
9. Checkliste – Musterpunkte für Ihr erstes Anwaltsschreiben
Betreff: Datenschutzverletzung / Auskunfts- und Schadensersatzanspruch (Art. 15, 34, 82 DSGVO) – Ihr Nutzer: [Name], Account-ID: […].
Beweissicherungsklausel: Aufforderung, sämtliche Log-/Incident-Daten forensiksicher zu konservieren (Legal Hold).
Fazit
Datenlecks auf Krypto-Plattformen sind mehr als ein IT-Problem – sie sind rechtlich teuer. Für Betroffene gilt: Tempo schlägt Taktik. Wer Auskunfts-, Benachrichtigungs-, Lösch- und Schadensersatzrechte umgehend und strukturiert geltend macht, zwingt Plattformen in die Defensive. In Fällen mit Vermögensabfluss kombinieren Sie DSGVO-Ansprüche mit vertraglichen/ deliktischen Ersatzansprüchen und – sofern nötig – strafprozessualen Sicherungen.
Ich übernehme für Sie die forensische Erstaufnahme, die Durchsetzung der Auskunft/Kopie, die Bezifferung des immateriellen Schadens (Kontrollverlust-Dokumentation) und – bei Krypto-Abfluss – die Parallelstrategie aus Arrest, Rechtshilfe und Zivilklage.
Wer Opfer eines Krypto-Betrugs geworden ist, sollte nicht zögern, anwaltliche Hilfe einzuholen, um Beweise zu sichern, Ansprüche vorzubereiten und den Informationsaustausch mit Behörden zu steuern.
Entdecken Sie weitere Beiträge zu aktuellen Themen rund um Digitalrecht, Cybercrime, Datenschutz, KI und Steuerrecht. Unsere verwandten Artikel geben Ihnen zusätzliche Einblicke und vertiefende Analysen.
Bank- und Plattformhaftung
Steuerrecht
Love Scam, Honey Trap & Sugar Dating
11/2/2025
November 2, 2025
MySugardaddy – Körperlicher Kontakt & Abenteuer/Spaß gegen Geld-TG oder Darlehen: Wann Geld zurückgefordert werden kann
Körperlicher Kontakt gegen TG oder Darlehen – was rechtlich zulässig ist, wann Täuschung vorliegt und wie Rückforderung funktioniert.
.jpg)
