Gnosis Pay meldet Datenleck: Kundendaten von Krypto-Karten abgeflossen, Guthaben nicht betroffen

Der Krypto-Zahlungsdienst Gnosis Pay hat ein Datenleck bei seinen Visa-Debitkarten bestätigt. Nach Angaben des Unternehmens haben Unbekannte auf Kundendaten in einem älteren System zugegriffen, über das die Karten für Privatkunden laufen. Die Guthaben der Kunden seien nicht betroffen, teilte Gnosis Pay am 6. November 2026 mit. Betroffene Kunden wurden per E-Mail informiert.

Der Vorfall trifft einen Dienst, der in Deutschland und im übrigen Europäischen Wirtschaftsraum genutzt wird. Gnosis Pay verbindet eine Visa-Debitkarte mit einem selbst verwalteten Krypto-Wallet, dem sogenannten Gnosis Safe. Wer mit der Karte zahlt, gibt Krypto aus, ohne es vorher an eine Börse zu schicken. Gerade deshalb ist die Frage wichtig, welche Daten genau abgeflossen sind, denn bei einem solchen Dienst hängen Name, Adresse, Kartennummer und Wallet-Adressen in einem Konto zusammen.

Was ist bei Gnosis Pay passiert?

Nach der Mitteilung des Unternehmens stellte das eigene Überwachungssystem am Dienstag, 3. November 2026, einen unbefugten Zugriff fest. Innerhalb von zwei Stunden seien Maßnahmen zur Eindämmung eingeleitet worden. Betroffene Sicherheitszugänge wurden ersetzt und die Schwachstelle geschlossen. Am Freitag, 6. November 2026, informierte Gnosis Pay die Öffentlichkeit über seinen X-Account und verschickte E-Mails an die betroffenen Kunden.

Betroffen ist nach Unternehmensangaben das ältere System hinter den Karten mit der Marke Gnosis Pay, also das Privatkundengeschäft. Die separate Plattform für Geschäftspartner, über die andere Unternehmen eigene Kartenprogramme betreiben, sei nicht betroffen gewesen. Auch die Guthaben der Nutzer blieben nach Angaben des Unternehmens unangetastet. Es seien Daten gestohlen worden, aber keine Kryptowährungen.

Wie viele Kunden betroffen sind, hat Gnosis Pay bisher nicht mitgeteilt. Auch eine vollständige Liste der abgeflossenen Datenkategorien gibt es öffentlich nicht. Das Unternehmen schreibt, dass jeder betroffene Kunde per E-Mail erfahren habe, welche Informationen aus seinem Konto genommen wurden, wobei sich die Inhalte von Kunde zu Kunde unterschieden.

Welche Daten könnten betroffen sein?

Ein Fall zeigt, wie weit die Folgen im Einzelfall reichen können. Lefteris Karapetsas, der Gründer des Krypto-Portfolio-Tools Rotki, berichtete öffentlich, dass seine E-Mail von Gnosis Pay seinen vollständigen Namen, seine private Adresse, seine Kartennummer und sämtliche Wallet-Adressen enthielt, die mit seinem Konto verknüpft waren. Darüber berichtete unter anderem das Fachportal Protos. Ob E-Mail-Adressen, Telefonnummern oder Kartensicherheitscodes ebenfalls abgeflossen sind, hat Gnosis Pay bisher nicht bestätigt.

Die Verknüpfung von Klarname, Adresse und Wallet-Adressen ist für Betroffene besonders heikel. Wallet-Adressen sind öffentlich einsehbar, aber normalerweise nicht mit einer echten Person verbunden. Werden sie mit Name und Adresse verknüpft, lässt sich nachvollziehen, welche Guthaben eine Person hält. Das macht Betroffene zu einem attraktiven Ziel für gezielte Betrugsversuche, etwa für Phishing-Mails, die mit echten Daten arbeiten, oder für Versuche, per Telefon an weitere Zugangsdaten zu kommen.

Gnosis Pay warnt selbst davor. In seiner Mitteilung heißt es, das Unternehmen werde Kunden niemals nach ihrer PIN oder nach ihrer Seed-Phrase fragen und niemals dazu auffordern, Guthaben zu verschieben. Wer eine solche Aufforderung erhält, sollte sie ignorieren und den Absender über einen selbst gewählten Weg prüfen.

3D Secure wird jetzt Pflicht

Als Reaktion hat Gnosis Pay das Sicherheitsverfahren 3D Secure für sämtliche Online-Kartenzahlungen mit den betroffenen Privatkundenkarten verpflichtend gemacht. Bei 3D Secure bestätigt der Karteninhaber eine Online-Zahlung zusätzlich, etwa über eine Banking-App oder einen Code. Die Maßnahme gilt bis zur Abschaltung des betroffenen Systems.

Das betroffene System sollte ohnehin bald vom Netz gehen. Nach Angaben von Gnosis Pay ist der 20. Dezember 2026 als Termin für die Einstellung der Karten für Privatkunden vorgesehen. Dieser Termin wurde bereits am 21. September 2026 bekannt gegeben und steht in keinem Zusammenhang mit dem Vorfall. Die zusätzlichen Prüfungen bleiben bis dahin in Kraft.

Das Unternehmen hat nach eigenen Angaben seine Partner, die zuständigen Datenschutzbehörden und den Kartenherausgeber informiert. Für Karteninhaber im Europäischen Wirtschaftsraum ist die in Litauen regulierte UAB Monavate als Herausgeberin zuständig. Eine Aufschlüsselung nach Ländern, also wie viele Kunden mit Wohnsitz in Deutschland betroffen sind, wurde bisher nicht veröffentlicht.

Kein Einzelfall bei Gnosis Pay

Der Vorfall ist nicht der erste Sicherheitsvorfall bei Gnosis Pay in diesem Jahr. Im Juni 2026 wurde ein sogenannter Zodiac Smart-Contract-Exploit bekannt, bei dem digitale Vermögenswerte im Wert von rund 1,5 Millionen US-Dollar abgeflossen sein sollen. Nach Berichten wurden die betroffenen Nutzer später entschädigt. Der aktuelle Vorfall ist davon zu trennen: Im November ging es nach Unternehmensangaben nicht um Geld, sondern um persönliche Daten. Gestohlene Kundendaten lassen sich über Monate oder Jahre für Betrugsversuche nutzen. Wer eine E-Mail von Gnosis Pay erhalten hat, sollte sie sorgfältig lesen und aufbewahren. Darin steht, welche Daten im eigenen Fall betroffen sind.

Was Betroffene jetzt tun sollten

Zuerst sollten Betroffene die E-Mail von Gnosis Pay lesen und prüfen, welche Daten in ihrem Fall genannt werden. Wer keine E-Mail erhalten hat, gehört nach den Angaben des Unternehmens nicht zu den Betroffenen. Unsicherheit lässt sich über den offiziellen Support klären.

Danach gilt die übliche Vorsicht nach einem Datenleck. Phishing-Mails, die auf den echten Daten aufbauen, wirken oft täuschend echt. Sie enthalten den richtigen Namen, die richtige Adresse und manchmal sogar die richtige Kartennummer. Trotzdem gilt: Niemals auf Links in unerwarteten Mails klicken, um sich anzumelden oder Daten zu bestätigen. Besser ist es, die Internetseite des Anbieters selbst im Browser aufzurufen.

Wer seine Karte weiter nutzt, sollte die zusätzlichen 3D-Secure-Prüfungen bei Online-Zahlungen einplanen. Bei verdächtigen Abbuchungen hilft ein Blick in die Kontoauszüge und eine Meldung an die Bank. Ein Passwortwechsel bei Gnosis Pay schadet nicht, vor allem wenn das Passwort auch bei anderen Diensten verwendet wird. Besonders wichtig ist die Seed-Phrase des Wallets: Sie darf niemals weitergegeben werden, auch nicht an jemanden, der sich als Support ausgibt.

Der Vorfall zeigt ein grundsätzliches Problem bei Diensten, die Krypto und klassische Kartenzahlung verbinden. Die Technik mag dezentral sein, die Kundendaten liegen trotzdem in einem zentralen System. Wer eine solche Karte nutzt, sollte damit rechnen, dass Name und Adresse mit Wallet-Adressen verknüpft werden können, und entsprechend vorsichtig mit Anfragen umgehen, die auf diesen Daten aufbauen.

Häufig gestellte Fragen

Sind meine Guthaben bei Gnosis Pay sicher?

Nach Angaben von Gnosis Pay sind die Guthaben der Kunden nicht betroffen. Es seien Daten gestohlen worden, aber keine Kryptowährungen. Das Unternehmen betont, dass auch die Plattform für Geschäftspartner nicht betroffen war.

Woran erkenne ich, ob ich betroffen bin?

Gnosis Pay hat nach eigenen Angaben alle betroffenen Kunden am 6. November 2026 per E-Mail informiert. In der Mail steht, welche Informationen aus dem jeweiligen Konto genommen wurden. Wer keine Mail erhalten hat, gehört nach Unternehmensangaben nicht zu den Betroffenen.

Muss ich meine Gnosis Pay Karte jetzt sperren?

Das Unternehmen hat keine allgemeine Sperrung empfohlen. Stattdessen wurde 3D Secure für Online-Zahlungen mit den betroffenen Karten verpflichtend gemacht. Wer unsicher ist oder verdächtige Abbuchungen sieht, sollte den Support kontaktieren und die Karte bei Bedarf sperren lassen.