Pocket Bitcoin: Empfehlung zurückgezogen Warum ein Datenleck im Support-System die Empfehlung beendet – obwohl kein einziger Schlüssel kompromittiert wurde.

Beginnen wir mit der Chronologie, weil sie den Kern des Problems zeigt. Der Angreifer hatte etwa eine Woche Zugriff. Am Sonntag, dem 16. August, wurde der Zugang gekappt. Am Mittwoch, dem 19. August, ergab die Forensik, dass Daten kopiert worden waren. Am 21. August ging Pocket damit an die Öffentlichkeit – mit einer Einschätzung, die sich als zu eng erweisen sollte. Erst die abgeschlossene Untersuchung förderte am 31. August zutage, was tatsächlich im Support-Umfeld lag. Die Aktualisierung vom 3. September ist der aktuelle Stand.

Ich formuliere das bewusst zurückhaltend: Aus den veröffentlichten Unterlagen lässt sich keine absichtliche Verharmlosung ableiten. Was sich ableiten lässt, ist etwas anderes und in der Sache Schwerwiegenderes – dass ein Unternehmen zehn Tage lang nicht wusste, welche Dokumente in seinem eigenen Support-System lagen. Das ist kein Kommunikationsfehler. Das ist eine Lücke in der Daten-Inventur.

Die vierte Kachel verdient deine Aufmerksamkeit, weil sie das eigentlich Bemerkenswerte an diesem Vorfall festhält. Die Kerndatenbanken wurden nicht gebrochen. Keine privaten Schlüssel, keine Guthaben, keine Wallet-Kontrolle. Die Trennung zwischen Kernsystemen und Support-Umgebung hat exakt das geleistet, wofür sie gebaut wurde. Wer bei Pocket gekauft hat, dessen Bitcoin liegen unverändert dort, wo sie hingehören: in seiner eigenen Verwahrung.

Und genau deshalb ist dieser Fall lehrreicher als ein gewöhnlicher Börsen-Hack. Er zeigt, dass Nicht-Verwahrung funktioniert – und gleichzeitig, dass sie nicht ausreicht. Neben der Kernarchitektur war ein zweites Repositorium entstanden, das niemand als kritisch eingestuft hatte: das Ticketsystem. Dort sammelten sich über Jahre Kopien und Ableitungen genau jener regulierten Bankunterlagen, deren Schutz die eigentliche Datenbank so sorgfältig sicherstellte.

Was daraus für die 291 folgt, ist eine Kategorie für sich. Eine Bitcoin-Adresse ist öffentlich, das ist kein Geheimnis und kein Fehler. Ihre Schutzwirkung beruht ausschließlich darauf, dass niemand sie einem Menschen zuordnen kann. In dem Moment, in dem eine Adresse zusammen mit Klarname, Wohnanschrift, Ausweiskopie und Vermögensnachweis in einem Dokument steht, ist diese Schutzwirkung dauerhaft aufgehoben. Nicht vorübergehend. Die Blockchain vergisst nicht, und ein Angreifer kann von dieser Adresse aus Transaktionsgraph, Gegenparteien und Folgebewegungen analysieren.

Wie weit diese Analyse reicht, hängt von deinem Verhalten ab: von Adress-Wiederverwendung, Wallet-Architektur, Coin-Control und davon, was seither passiert ist. Eine geleakte Adresse bedeutet nicht automatisch, dass dein gesamter Bestand sichtbar wäre. Sie bedeutet, dass ein Einstiegspunkt existiert, von dem aus jemand zu graben beginnen kann.

Zur Vollständigkeit die regulatorische Seite, denn sie gehört zur fairen Darstellung. Pocket hat den Vorfall bei der Polizei angezeigt, dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten in der Schweiz gemeldet und, entsprechend den Anforderungen der DSGVO, der Datenschutzstelle Liechtenstein. Die Schwachstelle ist geschlossen, die Untersuchung abgeschlossen, alle 291 Betroffenen der Hochrisiko-Kohorte wurden individuell darüber informiert, welche Daten in ihrem konkreten Fall betroffen sind. Nach Angaben von Pocket gibt es zum 3. September keine Hinweise auf einen Missbrauch der Daten. Das heißt: keiner bekannt. Es hebt das künftige Risiko nicht auf.

Souveränität bedeutet, den Middleman dort auszuschalten, wo er nicht zwingend notwendig ist. Die meisten Broker funktionieren nach dem Prinzip der Verwahrung: Euro einzahlen, Bitcoin kaufen, im Broker-Wallet halten und irgendwann manuell auszahlen. Bei jedem Schritt liegt dein Vermögen auf fremden Servern. Das ist Counterparty Risk – das Risiko, dass derjenige, dem du dein Geld anvertraust, verschwindet oder den Zugriff verweigert.

Pocket Bitcoin eliminiert dieses Risiko durch technisches Design. Es gibt kein Konto bei Pocket, auf dem Bitcoin liegen könnten. Sobald deine SEPA-Überweisung eingeht, wird der Kauf ausgeführt und Sekunden später der Bitcoin an deine hinterlegte Adresse gesendet. Du bist von der ersten Sekunde an der alleinige Herrscher über deine Keys. Das ist die reinste Form der Akkumulation – eine bewusste Wahl innerhalb des Circle of Competence.

Die radikale Ausschaltung des Middleman

Pocket ist kein Broker im klassischen Sinne – es ist ein Gateway. Ein Übersetzer zwischen Fiat und Bitcoin. Dein Bankkonto kommuniziert quasi direkt mit der Blockchain. Pocket führt den Tausch aus und leitet das Ergebnis sofort an deine Cold Storage weiter. Es gibt keinen Zwischenschritt, keine Verwahrung, keine Abhängigkeit.

Diese Architektur hat tiefgreifende Implikationen: Selbst wenn Pocket morgen verschwinden würde – deine Bitcoin wären sicher auf deiner eigenen Hardware-Wallet. Du brauchst keinen Support anzurufen, um an dein Vermögen zu kommen. Du brauchst keine Auszahlung zu beantragen. Du bist unabhängig. Und genau das ist der Kern dessen, was wir bei BitAtlas als Souveränität definieren.

[ Mehr dazu: Was ist Bitcoin? ] · [ Mehr dazu: BitAtlas Select ]

Souveränität beginnt bei der Handlungsfähigkeit. Pocket Bitcoin hat den Onboarding-Prozess auf ein neues Niveau gehoben. Die Verifizierung erfolgt modern via Foto-Upload deines Ausweises und ein kurzes Selfie. In unserem Test dauerte dieser Prozess weniger als drei Minuten. Keine Videocalls, kein PostIdent, keine Wartezeiten. Die Schweizer verstehen, dass Zeit ein knappes Gut ist.

Das No-KYC-Limit und sein Wegfall

Pocket verlangte unterhalb von CHF 1.000 pro Jahr keine vollständige Identifikation. Wer weniger kaufte, startete mit zwei Angaben – E-Mail-Adresse und Wallet-Adresse – und akkumulierte Bitcoin, ohne einen Ausweis hochzuladen. Diese Staffelung war über Jahre der Grund, aus dem wir Pocket als den datensparsamsten der regulierten Anbieter geführt haben.

Sie ist inzwischen entfallen. Damit ging Pocket denselben Weg, den Relai im Oktober 2024 gegangen war: Die Schwellen für vereinfachte Sorgfaltspflichten sind gesenkt worden, und wer den europäischen Markt bedient, braucht die Prüfung ohnehin. Der Wegfall liegt vor unserem Delisting vom 3. September 2026 und hat nichts damit zu tun – das Delisting folgte dem Datenleck, nicht der Verifizierungspflicht. Beides gehört in diese Dokumentation, und beides gehört auseinandergehalten.

Keine Verwahrung. Niemals. Eine Eliminierung des Gegenparteirisikos. – Das ist nicht nur ein Marketing-Slogan, sondern das technische Fundament von Pocket Bitcoin. Im Gegensatz zu traditionellen Brokern existiert bei Pocket kein Wallet, das deine Coins zwischenspeichert. Der Bitcoin-Kauf und die Auszahlung sind ein einziger, atomarer Prozess.

Diese Architektur hat einen Namen: Direct-to-Cold-Storage. Du hinterlegst einmalig deine Bitcoin-Empfangsadresse – idealerweise von einer Hardware-Wallet wie der BitBox02 oder einem Trezor. Jeder Euro, den du per SEPA-Überweisung sendest, wird zum aktuellen Kurs in Bitcoin getauscht und sofort an diese Adresse geschickt. Pocket sieht deine Coins nie von innen.

Schweizer Regulierung: FINMA und VQF SRO

Pocket Bitcoin wird von der Pocket App AG betrieben, und die ist Mitglied der VQF SRO (Selbstregulierungsorganisation). Die Aufsicht nach Geldwäschereigesetz läuft damit indirekt: Die FINMA erkennt die SRO an, die SRO beaufsichtigt ihre Mitglieder. Eine Registrierung einzelner Finanzintermediäre bei der FINMA gibt es nicht – den Status der direkt unterstellten Finanzintermediäre hat der Gesetzgeber zum 31.12.2019 aufgehoben. Das ist die gesetzlich vorgeschriebene Unterstellung für einen Finanzintermediär in der Schweiz, kein Gütesiegel – und sie liegt außerhalb des EU-Regulierungsrahmens MiCAR. Für Non-Custodial-Dienste ist der Schweizer Sitz ein Stabilitätsfaktor – die Schweiz reagiert langsamer auf regulatorische Panik als die EU.

Während MiCAR-konforme Broker in der EU zunehmend in die Pflicht genommen werden, AML-Maßnahmen zu verschärfen und Wallet-Adressen zu tracken, operiert Pocket unter einem anderen Rechtsrahmen. Die Schweizer Regulierung fokussiert sich auf die Bekämpfung von Geldwäsche, ohne die Eigenverwahrung zu kriminalisieren. Für den souveränen Investor ist das ein entscheidender Unterschied.

[ Mehr dazu: Was ist Bitcoin? ] · [ Mehr dazu: 21bitcoin im Test ]

Um sicherzustellen, dass Pocket deine Bitcoins an die richtige Adresse sendet, verknüpfst du deine Wallet einmalig mit dem Dienst. Dies geschieht nicht durch simples Kopieren einer Adresse, sondern durch das Signieren einer Nachricht mit deinem privaten Schlüssel. Dieses Verfahren ist ein kryptografischer Beweis, dass du tatsächlich die Kontrolle über diese Adresse hast.

Dieser Prozess ist elegant, weil er das Vertrauen umkehrt. Nicht du musst Pocket vertrauen, dass sie deine Adresse korrekt speichern – du beweist Pocket mathematisch, dass du der rechtmäßige Eigentümer bist. Sollte jemand dein Pocket-Konto kompromittieren, könnte er zwar eine neue Adresse hinterlegen, aber die signierte Verknüpfung gibt dir die Gewissheit, dass Käufe an die verifizierte Adresse gehen.

Pocket Bitcoin erhebt eine pauschale Gebühr von 1,5 % auf jeden Kauf. Auf den ersten Blick ist das teurer als bei Exchanges wie Bitvavo (0,25 %) oder Kraken (0,4 %). Doch dieser Vergleich greift zu kurz: Wer auf einer Exchange kauft, zahlt zusätzlich Netzwerkgebühren für die Auszahlung, Spread-Aufschläge und investiert Zeit für das manuelle Handling.

Pocket optimiert die Netzwerkgebühren durch Batching: Mehrere Auszahlungen werden gebündelt und in einer einzigen Transaktion auf die Blockchain geschrieben. Bei kleinen Sparplan-Beträgen von 50–200 Euro würden einzelne Auszahlungen auf einer Exchange einen signifikanten Teil deines Kaufs auffressen – oft 5–10 Euro pro Transaktion bei hoher Mempool-Auslastung.

Für den souveränen Investor sind die 1,5 % eine faire Prämie für ein vollautomatisiertes Non-Custodial-System. Du richtest einmal einen Dauerauftrag ein, und der Rest läuft von allein. Keine Logins, keine manuellen Auszahlungen, keine Sorge um Broker-Hacks. Der wahre Preis von Souveränität ist nicht in Prozentpunkten messbar – er liegt im Seelenfrieden.

Kein Werkzeug ist perfekt, und wir schulden dir Ehrlichkeit. Trotz aller Begeisterung für das Zero-Custody-Modell gibt es Punkte, die für manche Nutzer relevant sein könnten. Ob diese Punkte für dich tatsächlich Nachteile sind, hängt von deiner persönlichen Strategie ab.

Du hast oben den ursprünglichen Audit gelesen. Seine Sicherheitsbefunde stehen unverändert; zwei Einschränkungen hat der Anbieter seither aufgelöst, das steht in § 06. Und trotzdem endet dieser Bericht anders, als er begonnen hat – weil ein Audit die Frage beantworten muss, die zum Zeitpunkt seiner Erstellung noch niemand gestellt hatte.

Halten wir zwei Dinge nebeneinander, die beide wahr sind. Erstens: Die technische Architektur von Pocket Bitcoin hat im Ernstfall gehalten. Kein Schlüssel, kein Guthaben, keine Wallet-Kontrolle wurde kompromittiert. Wer dort gekauft hat, besitzt seine Bitcoin unverändert selbst. Zweitens: Genau dieser Dienst hat über Jahre Ausweiskopien, Herkunftsnachweise und Bitcoin-Adressen in einem Ticketsystem aufbewahrt, und dieses System wurde kopiert.

Beide Sätze zusammen ergeben die eigentliche Lehre dieses Audits. Nicht-Verwahrung schützt dein Vermögen. Sie schützt nicht deine Identität. Ein Dienst, der bequem sein will und dabei regulierte Bankmetadaten in einer Support-Umgebung häuft, wird zu einem toxischen Single Point of Failure – nicht für deine Coins, sondern für deine Person. Und anders als ein Guthaben, das man verlegen und neu aufbauen kann, lässt sich eine einmal offengelegte Verknüpfung aus Name, Adresse und Bitcoin-Adresse nie wieder rückgängig machen.

BitAtlas zieht daraus die Konsequenz und entzieht die uneingeschränkte Empfehlung. Das ist keine Strafe und kein moralisches Urteil – Pocket hat transparent kommuniziert, die Lücke geschlossen, Behörden eingeschaltet und Betroffene individuell informiert. Es ist eine Konsequenz aus unserem eigenen Maßstab: Wir empfehlen, was wir selbst nutzen, und nur, wo wir den Perimeter für souverän halten. Dieser Perimeter ist gebrochen.

Wenn du betroffen bist: Das Selbstverteidigungs-Protokoll

Und die strukturelle Lehre für alles, was du künftig kaufst: Minimiere die Metadaten, die überhaupt entstehen. Eine eigene E-Mail-Adresse für Hardware- und Broker-Konten. Wo möglich und zulässig eine Packstation, ein Postfach oder eine Geschäftsadresse statt der Wohnung. Keine Verknüpfung mit der Haupt-Telefonnummer oder einem öffentlichen Profil. Du kannst die Sicherheit eines Dienstleisters nicht beeinflussen. Du kannst beeinflussen, was in seiner Datenbank über dich steht.

[ Mehr dazu: BitAtlas Select ]