Der analoge Trojaner: Wenn der Phishing-Vektor im Briefkasten landet Ein Brief mit Briefmarke umgeht jeden Spamfilter. Warum Papier ein Vertrauen weckt, das wir keiner E-Mail mehr schenken.

Stell dir vor, du kommst nach Hause und findest einen Brief: ein sauber gestaltetes Schreiben mit dem Logo eines Herstellers, dessen Hardware-Wallet tatsächlich in deiner Schublade liegt. Absender: eine Abteilung, die nach Sicherheit und Compliance klingt. Inhalt: Deine Wallet sei deaktiviert worden, eine verpflichtende Validierung stehe an, und wenn du nicht bis zu einem genannten Datum reagierst, verlierst du den Zugriff. Unten rechts ein QR-Code.

Das ist dokumentiert. BleepingComputer beschreibt die Kampagne, Ledger führt sie auf seiner offiziellen Phishing-Statusseite, und das Schweizer Bundesamt für Cybersicherheit erhielt in der Kalenderwoche 33 mehrere Meldungen über Schreiben dieser Art, ohne einen Anbieter zu nennen. Die Vorwände variieren: mal eine angebliche Pflicht-Authentifizierungsprüfung, mal eine Transaktionsprüfung, mal ein deaktiviertes Gerät. Eine besonders raffinierte Welle behauptete im Juni ein verpflichtendes Post-Quantum-Sicherheitsupdate mit einer Frist um den 26. Juni. Ledgers Antwort darauf war knapp: ignorieren, das ist Betrug.

Nachtrag vom 21.10.2026. Seit Mitte Oktober kursiert in Deutschland eine neue Fassung. Die Briefe tragen das Ledger-Logo, eine Deutschlandflagge und den Vermerk „Kundenmitteilung“ und behaupten, neue regulatorische Vorgaben machten für alle deutschen Ledger-Kunden eine Registrierung bei einem Dienst namens ZenLedger zur Pflicht, Frist 31. Oktober. Genannt werden BaFin und Bundeszentralamt für Steuern, beigelegt ist eine Rabattkarte über 15 Prozent. So beschreibt es BTC-ECHO am 20. Oktober 2026; eine Stellungnahme von Ledger oder einer Behörde nennt der Bericht nicht. Die Pflicht gibt es nicht. Das Kryptowerte-Steuertransparenz-Gesetz verpflichtet Anbieter von Kryptowerte-Dienstleistungen: Sie identifizieren ihre Kunden und melden jährlich bis zum 31. Juli an das Bundeszentralamt für Steuern (§ 1 Abs. 2, § 4, § 9 Abs. 1). Wer seine Coins selbst verwahrt, muss sich danach nirgends registrieren; steuerpflichtige Gewinne gibt er wie bisher in seiner eigenen Steuererklärung an (§ 23 EStG). Auskunft schuldet ein Kunde nur der Börse oder dem Broker, bei dem er ein Konto hat: Diese fragen bis spätestens 1. Januar 2027 Steuer-ID und Geburtsdatum ab, und wer nicht antwortet, kann gesperrt werden (§ 4 Abs. 1, § 7 Abs. 2, § 8). Eine solche Anfrage prüfst du, indem du dich selbst über die bekannte Adresse oder App anmeldest, nie über einen Code oder Link aus einem Schreiben. Die einzige Registrierung, die das Gesetz kennt, betrifft bestimmte Anbieter (Kryptowerte-Betreiber) und läuft beim Bundeszentralamt selbst (§ 17), nicht bei einer Software-Firma. Mehr dazu im Abschnitt zu MiCA und DAC8. ZenLedger ist laut BTC-ECHO ein reales US-Unternehmen für Krypto-Steuersoftware; einen Zusammenhang mit den Briefen gebe es nach allem, was bekannt ist, nicht. Wohin der QR-Code führt, ist nicht geklärt, naheliegend ist eine nachgebaute Registrierungsseite. Woher die Anschriften stammen, ist ebenfalls unbestätigt: BTC-ECHO nennt das Datenleck beim Shop-Dienstleister Global-e als mögliche Quelle, bestätigt sei dieser Zusammenhang nicht. Ledger selbst rät auf seiner Warnseite, jede angebliche Ledger-Mitteilung per Brief als Phishing-Versuch zu behandeln. Was du tun musst, ändert sich nicht: den Code nicht scannen, nirgends Daten oder die 24 Wörter eingeben, den Brief fotografieren und dann vernichten, wie unten beschrieben. Wer schon etwas eingegeben hat, findet weiter unten, was jetzt zählt. Den Stand der Welle führt der Eintrag im Anbieter-Radar.

Wirksam ist dieser Vektor aus einem Grund, der mit Technik nichts zu tun hat: unserer Wahrnehmung. Wir haben zwanzig Jahre gelernt, E-Mails zu misstrauen. Wir prüfen Absender, fahren über Links, achten auf Rechtschreibfehler. Für Papierpost existiert dieser Reflex nicht. Ein Brief hat Gewicht, eine Briefmarke, einen Poststempel. Er hat jemanden Geld gekostet. Genau diese unbewusste Kosten-Heuristik – wer sich die Mühe macht zu drucken und zu frankieren, wird schon echt sein – ist die Schwachstelle, die hier ausgenutzt wird.

Dazu kommt der QR-Code, und der ist psychologisch der eigentliche Trick. Ein QR-Code wirkt wie ein technischer Beleg, wie eine offizielle Prozedur. Tatsächlich ist er nichts weiter als eine maschinenlesbare Zeichenkette. Er enthält keinerlei Identitätsnachweis, keine Signatur, keine Herkunftsgarantie. Er kann auf jede beliebige Domain zeigen, die ein Angreifer registriert hat. Und weil du ihn mit dem Telefon scannst statt eine Adresse zu tippen, siehst du die Ziel-URL oft nur für den Bruchteil einer Sekunde.

Am Ende dieser Kette steht immer dasselbe Formular. Es fragt nach deinen 12, 18 oder 24 Wörtern. Alles davor – das Logo, die Frist, die Compliance-Sprache, der QR-Code – dient ausschließlich dazu, dich an diese eine Eingabemaske zu bringen. Wer dort tippt, gibt mit dem Klick auf Absenden die Verfügungsgewalt über sämtliche abgeleiteten Schlüssel ab, unwiderruflich. Ein Passwort ließe sich ändern, diese Wörter nicht.

Zum 21bitcoin-Vorfall gehört zweierlei. Erstens die Offenlegung: 21bitcoin ist ein Partner dieser Seite, und wir erhalten für vermittelte Kunden eine Vergütung. Zweitens eine faire Darstellung dessen, was geschehen ist – die folgenden Angaben stammen vom Anbieter selbst, eine unabhängige Prüfung kennen wir nicht. Der Angriff traf am 28. August nicht 21bitcoin selbst, sondern den externen Feedback-Dienst Canny, der über eine Schnittstelle mit dem Support-System Intercom verbunden war. Über einen gestohlenen Zugangsschlüssel wurden Support-Daten ausgelesen. Die Verbindung wurde noch am selben Tag gekappt und der Schlüssel unbrauchbar gemacht, die Integration inzwischen dauerhaft entfernt.

Betroffen sein können Name, E-Mail-Adresse, Telefonnummer und Geburtsdatum, bei einem Teil der Nutzer zusätzlich der damalige Guthabenstand und das Thema der ersten Support-Anfrage. Ausdrücklich nicht betroffen: Bitcoin- und Euro-Guthaben, private Schlüssel, Passwörter, Zwei-Faktor-Codes, Bitcoin-Adressen, Transaktionsdaten, Wohnanschriften und KYC-Unterlagen. Als Gegenmaßnahme führt 21bitcoin einen persönlichen Sicherheitscode für E-Mails ein, den du in der App gegenprüfen kannst. Zugangsdaten müssen wegen des Vorfalls nicht geändert werden.

Und jetzt die Einordnung, bei der wir präziser sein wollen als die meisten Kommentare dazu. Es liegt nahe, eine direkte Linie zu ziehen: erst die Adressliste bei ShipMonk, dann der Brief im Kasten. Diese Linie ist nicht belegt. Aus den öffentlich verfügbaren Quellen lässt sich kein konkreter Briefstapel forensisch einem bestimmten Datenleck zuordnen. Was sich belegen lässt, ist etwas Schwächeres und trotzdem Beunruhigendes: Diese Lecks erzeugen exakt die Fähigkeit, die ein personalisierter Postangriff benötigt. Name, Anschrift, Gerätemodell, teilweise Guthabenkontext. Ob im Einzelfall genau diese Daten verwendet wurden, wissen nur die Täter. Dass sie es könnten, wissen wir.

Nachtrag vom 01.10.2026. Einen Tag nach diesem Dispatch, am 4. September, hat Trezor seine Mitteilung erweitert. ShipMonk hatte auch Bestelldaten aus den Jahren 2019 bis 2021 nicht gelöscht. Betroffen sind dadurch rund 67.000 weitere Kunden in den USA, mit Name, E-Mail, Telefonnummer und Lieferadresse; insgesamt nennt Trezor jetzt 80.689 Betroffene. Die Adressliste ist damit deutlich länger als die 11.742 Datensätze oben. An der Einordnung ändert das nichts: Auch für diese Daten ist keine Verbindung zu einem bestimmten Brief belegt.

Der gesamte Betrug steht und fällt mit einer einzigen Behauptung: dass deine Wallet deaktiviert werden könnte. Wer versteht, warum dieser Satz technisch unmöglich ist, erkennt die Masche als Betrug, auch im nächsten, besser gestalteten Brief.

Beginnen wir mit dem Missverständnis, aus dem die Lüge ihre Kraft zieht. Die meisten Menschen denken über eine Hardware-Wallet wie über ein Bankkonto: Es gehört einem Anbieter, der es verwaltet, sperren und wieder freischalten kann. Tatsächlich ist eine Hardware-Wallet etwas völlig anderes. Sie ist ein Signiergerät. Ihre einzige Aufgabe besteht darin, private Schlüssel abgeschirmt zu verwahren und auf deine Anweisung hin eine Transaktion zu signieren. Sie enthält keine Bitcoin. Sie führt kein Konto. Sie hat keinen Zustand, den ein Hersteller aus der Ferne umschalten könnte.

Deine Bitcoin liegen in der Blockchain, genauer gesagt als unverbrauchte Transaktionsausgänge, kurz UTXOs. Ein solcher Ausgang ist im Kern eine Bedingung: Wer nachweisen kann, dass er den passenden Schlüssel besitzt, darf ihn ausgeben. Wenn du eine Transaktion sendest, prüft jeder vollständige Knoten im Netzwerk genau zwei Dinge. Erstens: Erfüllt die Signatur die Bedingung dieses Ausgangs? Zweitens: Verstößt die Transaktion gegen keine Konsensregel? Mehr nicht. Es gibt keinen dritten Schritt.

Nimm die Behauptungen aus dem Brief und halte sie gegen diese Mechanik. Deine Wallet wurde deaktiviert – unmöglich, denn es gibt keinen Schalter und niemanden, der ihn besäße. Dein Zugriff wird eingeschränkt – unmöglich, denn deinen Zugriff bestimmt allein der Besitz des Schlüssels. Eine verpflichtende Validierung ist erforderlich – es existiert keine Konsensregel, die vor dem Signieren die Freigabe eines Herstellers verlangt. Ein Sicherheitsupdate muss sofort eingespielt werden – Firmware kommt ausschließlich über die offizielle Anwendung des Herstellers, niemals über einen Link in einem Brief.

Und damit zum Kern, den wir das Seed-Gesetz nennen. Eine Wiederherstellungsphrase ist kein Passwort und kein Zugangscode. Sie ist der mathematische Ursprung, aus dem sich sämtliche privaten Schlüssel deiner Wallet deterministisch ableiten lassen. Wer sie besitzt, kann jede zugehörige UTXO signieren und bewegen, jederzeit, von jedem Gerät der Welt, ohne deine Mitwirkung und ohne dass du es verhindern könntest.

Daraus folgt eine Regel ohne Ausnahme, und Ledger formuliert sie in seiner offiziellen Warnung genauso: Es gibt keinen guten Grund, deine Wiederherstellungswörter jemals in einen Computer einzugeben. Nicht für ein Update, nicht für eine Validierung, nicht für einen Support-Fall, nicht für eine Migration. Die Wörter gehören an genau zwei Orte: auf das Signiergerät selbst während einer kontrollierten Wiederherstellung, und auf ein dauerhaftes Offline-Backup. Jede dritte Verwendung ist ein Angriff, unabhängig davon, wie plausibel die Geschichte drumherum klingt.

Jetzt das Konkrete. Angenommen, so ein Brief liegt heute in deinem Kasten. Was tust du, in welcher Reihenfolge, und was tust du auf keinen Fall?

Erstens, das absolute Nein. Scanne den QR-Code nicht. Tippe die aufgedruckte Adresse nicht ein. Rufe keine Nummer an, die in dem Schreiben steht. Antworte auf keine dort genannte E-Mail. Und gib unter keinen Umständen Wiederherstellungswörter, Passphrase, PIN, xpub oder Geräte-Seriennummer irgendwo ein, wo du über diesen Brief hingelangt bist. Jeder Weg, den der Brief anbietet, führt zum Angreifer.

Zweitens, Beweise sichern, dann vernichten. Fotografiere das Schreiben vollständig: Brief, Umschlag, QR-Code, Absenderangaben, Poststempel und die abgedruckte Adresse. Melde die Zieldomain über den offiziellen Meldeweg des Herstellers, den du erreichst, indem du die Domain selbst eintippst und nicht über irgendeinen Link gehst. Danach vernichte Brief und Umschlag im Querschnitt-Schredder oder entferne mindestens das Adressetikett.

Drittens, und das wird oft übersehen: Poste kein unbearbeitetes Foto. Der Impuls, so ein Schreiben in einer Gruppe oder auf X zu teilen, ist verständlich und grundsätzlich nützlich zur Warnung. Nur enthält dein Exemplar deinen Namen, deine Anschrift, möglicherweise eine Bestellnummer – und der QR-Code kann individualisiert sein und dich damit identifizieren. Wer ein solches Bild ungeschwärzt teilt, bestätigt dem Angreifer die Zustellung und liefert der Öffentlichkeit die eigene Wohnanschrift. Schwärze konsequent, den QR-Code eingeschlossen.

Viertens, die strukturelle Ebene: Trenne deine Identitäten. Das ShipMonk-Leck zeigt, warum. Versagt hat ein Dienstleister im Hintergrund, den du nie ausgewählt hast und dessen Sicherheit du nicht beeinflussen kannst. Was du beeinflussen kannst, ist der Inhalt seiner Datenbank. Bestelle Hardware, wo möglich und zulässig, an eine Packstation, ein Postfach oder eine Geschäftsadresse. Nutze dafür eine eigene E-Mail-Adresse, die mit nichts anderem verknüpft ist. Verknüpfe den Kauf nicht mit deiner Haupt-Telefonnummer und keinem öffentlichen Profil.

Fünftens: Verifiziere niemals über den Kanal, der dich kontaktiert hat. Das gilt für Briefe genauso wie für die E-Mails, die nach dem Canny-Vorfall zu erwarten sind. Wenn du wissen willst, ob eine Nachricht echt ist, geh über einen Weg, den du selbst gewählt hast: die App öffnen, die Domain tippen, den Sicherheitscode gegenprüfen, den 21bitcoin dafür einführt. Ein Angreifer kann jeden Kanal imitieren, den er dir vorschlägt. Er kann keinen Kanal imitieren, den du unabhängig auswählst.

Und falls doch etwas passiert ist, hier die unbequeme, aber notwendige Ansage: Wenn du deine Wörter irgendwo eingegeben hast, ist der Seed kompromittiert. Nicht wahrscheinlich, nicht vielleicht – kompromittiert. Es gibt keine Reparatur, kein Zurücknehmen, keinen Support, der das rückgängig macht. Der einzige richtige Schritt ist, sofort auf vertrauenswürdiger Hardware einen neuen Seed zu erzeugen und sämtliche Bestände dorthin zu bewegen, bevor jemand anderes es tut. Schnelligkeit ist hier die einzige verbliebene Verteidigung. Danach: Anzeige bei der Polizei, mit Fotos von Brief und Umschlag.

Bleibt die Einordnung. Die Angreifer haben aufgehört, gegen Mathematik anzurennen, und greifen stattdessen das an, was sie erreichen können: deine Aufmerksamkeit, deine Gewohnheiten und deinen Briefkasten. Kein einziger Satoshi in dieser gesamten Kampagne wird durch einen kryptografischen Bruch bewegt. Jeder einzelne wird durch eine freiwillige Eingabe bewegt.

Das ist die eigentlich gute Nachricht. Ein Angriff, der auf deine Zustimmung angewiesen ist, ist ein Angriff, den du allein durch Nichtstun verlieren lässt. Du musst keine Software installieren, keine Einstellung ändern und nichts kaufen. Du musst nur einen einzigen Satz verinnerlichen, und zwar so tief, dass er auch um dreiundzwanzig Uhr unter Zeitdruck hält: Die Wörter werden nie getippt — nur auf einem Signiergerät eingegeben. Keine Tastatur, kein Browser, kein QR-Code: Der einzige Ort, an dem die Wiederherstellungswörter je wieder erscheinen, ist das Gerät selbst, bei einer Wiederherstellung, die du begonnen hast. Wer das verinnerlicht hat, gibt dem Brief nie die Eingabe, auf die er angewiesen ist.