Keystone-Leck: Kunden melden alte Daten trotz Löschversprechen

Nach dem Datenleck beim Wallet-Hersteller Keystone berichten Kunden, dass auch Angaben aus Bestellungen abgeflossen sind, die mehr als 180 Tage zurückliegen. Genau diese Daten wollte Keystone nach eigener Werbung längst gelöscht haben. Belegt sind die Berichte nicht, das Unternehmen hat eine Untersuchung angekündigt.

Den Einbruch in seinen Onlineshop hatte Keystone am Samstagabend bestätigt: Namen, Kontaktdaten, Lieferadressen und Bestellungen von Kunden sind abgeflossen, wie wir am Sonntagmorgen berichtet haben. Offen blieb, wessen Daten betroffen sind, und darauf geben inzwischen die Kunden selbst eine Antwort, und sie passt nicht zu dem, was der Hersteller versprochen hat.

Keystone warb mit gelöschten Lieferdaten

Am 5. Januar 2026, kurz nach einem Datenleck bei Ledger über dessen Zahlungsdienstleister Global-e, schrieb Keystone auf X: “180 days after your order, your shipping data is permanently deleted.” Ein halbes Jahr nach der Bestellung seien die Lieferdaten also endgültig gelöscht. Ähnliche Beiträge folgten im März und im August, und auf der Seite mit den Datenschutzversprechen steht bis heute, alle Versandinformationen würden 180 Tage nach der Bestellung automatisch gelöscht.

So eindeutig ist das Kleingedruckte nicht: Die Datenschutzerklärung, zuletzt im Mai 2021 geändert, spricht davon, die Bestelldaten von Kunden zu löschen, die in den vergangenen 180 Tagen nichts bestellt haben. Und ein Hilfeartikel von 2023 sagt, Stadt und Land blieben gespeichert, die endgültige Löschung übernehme Shopify.

Kunden finden Bestellungen von 2024 in den Händen von Betrügern

Der früheste Hinweis kam schon in der Nacht zum Samstag, rund 19 Stunden bevor Keystone den Vorfall öffentlich machte. Ein Nutzer schrieb auf X, ein Anrufer mit gefälschter Nummer der Polizei von Montreal habe ihn gefragt, ob ihm Amazon, eBay oder Keystone etwas sagten. Die Angaben des Anrufers hätten exakt zu seiner Keystone-Bestellung aus dem Jahr 2024 gepasst.

Ein zweiter Kunde meldete am Sonntag, er habe die Warnmail von Keystone bekommen, obwohl zwischen seiner letzten Bestellung und dem Einbruch 214 Tage lägen. Ein dritter schrieb laut The Block, er habe sein Gerät vor mehr als zwei Jahren gekauft.

Nach keiner der beiden Lesarten des Versprechens dürften solche Daten noch im Shop liegen.

Überprüfen lassen sich die Berichte nicht. Keystone hat bislang weder bestätigt noch bestritten, dass ältere Bestellungen betroffen sind. Auf den ersten Hinweis antwortete das Unternehmen am Samstagmorgen, es habe “an urgent investigation” eingeleitet und werde seine Ergebnisse so bald wie möglich mitteilen. Ob es die 180-Tage-Regel tatsächlich angewandt hat, sagt es nicht.

Für Kunden ändert das die Lage: Wer vor Jahren bei Keystone bestellt und sich auf die Löschung verlassen hat, sollte damit rechnen, dass Name und Adresse bekannt sind. Betrüger nutzen solche Listen für Anrufe, Mails und gefälschte Briefe wie zuletzt bei Ledger, mit denen sie an die Recovery-Phrase wollen, nach der Keystone nach eigenen Angaben nie fragt.

Trezor hatte nach Angaben von The Block im August eine ähnliche Erfahrung gemacht, als beim Versanddienstleister ShipMonk Kundendaten abflossen, die laut schriftlicher Zusage gelöscht waren.