Alle Kunden die von dem Vorfall in irgendeiner Form betroffen waren wurden bereits informiert.
Stimmt, das macht der Kunde selbst, meistens mittels o.g. API Key 
Deshalb meine Frage, sind dies immer nur Transaktionsdaten?
Also sofern ihr das datentechnisch abgrenzen könnt, hätte ich schon die Erwartungshaltung, dass ihr den Teil der Kunden, deren Bestände zum Zugriffszeitpunkt offengelegt wurden, auch explizit darüber informiert. Darauf wollte ich hinaus.
Macht ja schon einen Unterschied, ob „nur“ persönliche Daten wie Kontaktdaten oder auch zusätzlich die Information über vorhandene Bestände abgeflossen sind.
1 „Gefällt mir“
@ 21bitcoin,
ich bin erst seit 2 Wochen bei euch Kunde und habe jetzt auch die Nachricht in der App erhalten.
Euren Support habe ich noch nicht in Anspruch genommen und auch ansonsten hatte ich noch keine Kommunikation mit 21bitcoin. Wo für genau hat denn Canny Zugriff auf meine perönlichen Daten? Marketing? Welchen Dienstleistern und für welche Zwecke stellt ihr sonst noch bereitwillg die Kundendaten zur Verfügung? Da seit ihr euren Kunden eine Antwort schuldig.
Datenschutz heisst in erster Liene Datensparsamkeit. Was wird in euren Audits geprüft? Ob der Dienstleister auch versprochen hat die Kundendaten nicht weiter zu geben?
Die Verantwortung auf den Dienstleister zu schieben ist in meinen Augen ein Armutszeugnis.
21bitcoin hat meine Daten bereitwillig einem schlecht gesicherten Dienstleister zur Verfügung gestellt.
Sorry bitte nicht persönlich nehmen, aber ich bin echt sauer auf 21bitcoin und überlege meine Sats zu transferieren und meinen Acount zu löschen.
3 „Gefällt mir“
Absolut, alle Kunden die direkt betroffen sind haben wir bereits darüber informiert!
1 „Gefällt mir“
Was steht denn dazu eigentlich in den Nutzungsbedingungen von 21bitcoin?
Punkt 7 der Datenschutzvereinbarung ist das Entscheidende:
7. Empfänger personenbezogener Daten
Wer erhält meine personenbezogenen Daten?
Der Schutz und die Vertraulichkeit deiner personenbezogenen Daten ist FIOR sehr wichtig. Aus diesem Grund übermitteln wir deine personenbezogenen Daten nur in dem nachstehend beschriebenen Umfang oder im Rahmen einer Anweisung zum Zeitpunkt der Erhebung deiner Daten. Deine personenbezogenen Daten werden von uns weder verkauft noch anderweitig an Dritte weitergegeben.7.1 Datenübermittlung an öffentliche Einrichtungen und Institutionen
Deine personenbezogenen Daten können, (I) wenn wir gesetzlich oder im Rahmen eines Gerichtsverfahrens dazu verpflichtet sind, (II) wenn wir glauben, dass die Weitergabe zur Vermeidung von Schäden oder finanziellen Verlusten erforderlich ist oder, (III) wenn sie im Zusammenhang mit einer Untersuchung vermuteter oder tatsächlicher betrügerischer oder illegaler Aktivitäten stehen, an öffentliche Einrichtungen oder Institutionen übermittelt werden.
7.2 Datenübermittlung an Dritte
Gemeinsame Verantwortung: Wenn FIOR zusammen mit anderen Parteien als gemeinsamer Verantwortlicher auftritt, stellen wir diesen Dritten gegebenenfalls personenbezogene Daten zur Verfügung, wobei die Verarbeitung immer auf mindestens einer der oben unter Punkt 7 angeführten Rechtsgrundlagen beruht. Zudem übermitteln wir im Falle einer gemeinsamen Verantwortung deine personenbezogenen Daten nur auf Basis einer ausreichenden Vereinbarung mit den anderen Verantwortlichen (Art 26 DSGVO).
Sonstige Dritte: FIOR kann deine personenbezogenen Daten mit deiner Einwilligung zur Offenlegung oder zum Zwecke der Vertragserfüllung oder auf Verlangen des Kunden noch vor Vertragsschluss an sonstige Dritte weitergeben.7.3 Datenübermittlung an Dienstleister
In begrenztem Umfang übermitteln wir personenbezogene Daten auch an Auftragsverarbeiter, die für uns Dienstleistungen erbringen. Auftragsverarbeiter dürfen diese Daten nur insoweit verwenden oder weitergeben, wenn dies zur Erbringung von Dienstleistungen für FIOR oder zur Einhaltung gesetzlicher Bestimmungen erforderlich ist. Wir verpflichten solche Auftragsverarbeiter vertraglich dazu, die Vertraulichkeit und Sicherheit deiner personenbezogenen Daten, die sie in unserem Namen verarbeiten, zu gewährleisten.
Vielleicht kann jemand, der sich auskennt, erklären, ob die Daten auch ohne Hack weitergeben werden hätten dürfen
Danke für deine offene Rückmeldung, dein Ärger ist absolut nachvollziehbar, und wir nehmen ihn sehr ernst.
Wichtig vorab: Deine Daten wurden nicht an Canny übermittelt. Canny selbst hatte keinen direkten Zugriff auf deine Daten, auch nicht für Marketing- oder andere Zwecke.
Was tatsächlich passiert ist: Canny wurde Opfer einer Cyberattacke. Dabei haben die Angreifer einen technischen Zugriffsschlüssel (API-Token) erbeutet, über den Canny mit unserem Support-System Intercom verbunden war.
Dieser gestohlene Schlüssel wurde missbraucht, um Teile der in Intercom gespeicherten Daten auszulesen. Im Normalbetrieb gibt diese Schnittstelle keinerlei Kundendaten an Canny weiter. Deshalb kannst du auch als Kunde betroffen sein, der den Support nie kontaktiert hat.
Genauso wichtig ist, was nicht betroffen ist:
- Bitcoin- und Euro-Guthaben – vollständig getrennte Infrastruktur, zu keinem Zeitpunkt gefährdet
- Wohnanschriften/Adressen
- Transaktionshistorie inkl. Bitcoin-Adressen
- Passwörter, 2FA-Codes, Sitzungsdaten – werden in den betroffenen Systemen nicht gespeichert
- Ausweisdokumente und KYC-Unterlagen
- Zahlungs- und Bankverbindungsdaten
- Unsere eigene Plattform und Infrastruktur war zu keinem Zeitpunkt kompromittiert.
Und um das klarzustellen: Wir schieben die Verantwortung nicht weg. Es sind Daten unserer Kunden abgeflossen, und dafür stehen wir gerade – unabhängig davon, wo die technische Ursache lag. Datensparsamkeit ist auch für uns der zentrale Grundsatz: Wir geben Kundendaten nicht bereitwillig an Dienstleister weiter, sondern binden Tools nur zweckgebunden und so datensparsam wie möglich an.
Diesen Vorfall nehmen wir zum Anlass, alle Drittanbieter-Anbindungen nochmals kritisch zu prüfen.
Bei uns gibt es keine API-Integration zu Steueranbietern!
1 „Gefällt mir“
Und wie sieht es jetzt aus mit eurer Verantwortung?
Verantwortung gleich leere Worthülse?
Oder wollt ihr eure Kunden entsprechend entschädigen und wirklich Verantwortung tragen?
1 „Gefällt mir“
Wirf doch mal eine Zahl in den Raum in welcher Höhe, für Dich, eine Entschädigung, nötig wäre.
und der nächste hätte dann gerne mehr ;-)
Wie wäre es mit 0% Gebühren auf alle Kauf und Verkauforders lebenslang, nicht nur für die Sparpläne, für alle Betroffenen. 
Begrenzt ggf. auch die zu erwartende Abwanderungswelle.
Ein Fall für Christian Solmecke. 
Und begrenzt die Einnahmen und somit das Fortbestehen von 21Bitcoin 
Das ist die Aufgabe von 21bitcoin - die wollen ja Verantwortung übernehmen.
Hehe.. der beste Witz… Und dafür einen höheren Spread. Wie beim Sparplan mit 0% Gebühren 
1 „Gefällt mir“
Was bedeutet „dafür stehen wir gerade“ konkret?
Außer, dass Ihr einen Fehler eingesteht.. was bleibt Euch auch anderes übrig. Das ist ja das Mindeste. Aber dafürhinaus: Was heißt für Euch „dafür stehen wir gerade“?
Entschuldigung?
Entschädigung?
(Zu spät) nochmals kritsch Drittanbieter-Anbindungen prüfen - ist das „dafür gerade stehen“??
3 „Gefällt mir“
Das verstehe ich nicht. Warum sind auch andere Kunden betroffen, die mit eurem Support-System keinerlei Berührung hatten? Sind noch andere Systeme zu Opfer gefallen?
Bei einigen Kunden konnte zudem der Guthabenbestand zu Zeitpunkt des Zugriffs ausgelesen werden. Jedoch keine Transaktionshistorie, Walletinformationen, etc.
Wie das? Auch hier die Frage: Sind weitere Systeme vom Hack betroffen?
2 „Gefällt mir“
Barbara Salesch wäre auch ne Option. 
Was da ablief ist einfach nur daneben.
Die ganz grobe Sicherheits-Architektur, ohne überhaupt weitere Details zu kennen ist nur schrecklich.
Dritte Firmen dürften nur eine DMZ-Strukur haben und ohne Optionen einer Zugriffsmöglichkeit hinter diese Ebene. Das ist doch der Sinn solch einer stumpfen Sicherheits-Struktur. Dann könnte die Dritte Partei von 1000 Hackern gleichzeitig bearbeitet werden und es würde nichts passieren.
Warum dieser Zugriffsschlüssel? Wozu brauchte Canny unsere Daten? Ihr habt euch mit dem Zugriffsschlüssel selbst die Angriffsfläche eingebaut, wodurch der Diebstahl unserer Daten überhaupt ermöglicht wurde.
1 „Gefällt mir“