Sicherheitsvorfall 21bitcoin

Diskussionen
82

Für mich bedeutet das mehr, als um Entschuldigung zu bitten. (Sich entschuldigen, wie ihr es tut, kann man streng genommen gar nicht.)

Das sind für mich logische Maßnahmen - Konsequenzen, die auf solch ein Ereignis folgen müssen!
Das hat weniger mit „gerade stehen“ für mich persönlich zu tun.

Insofern - auch wenn die Situation für euch alle gerade sicherlich mehr als beschissen ist - tut es mir leid, dass ich mir ein schnippeschen Kommentar nicht verkneifen kann..

Beim nächsten Daten-Leak kann ich also ganz sicher sein, dass es auch wirklich passiert ist, weil ich kann ja die Support-Nachricht verfizieren. (Sorry.)

Sagen wir, ihr habt 120000 registrierte Nutzer:innen, vielleicht 100 000 aktive, die regelmäßig Bitcoin kaufen. Im Schnitt werden 250€/ Monat gekauft. Macht 25 Mio € monatlichen Umsatz. Bei sagen wir im Schnitt 0,8% Gebühren sind das 170 000€ im Monat.

Ein Monat gebührenlose Bitcoin-Käufe - das wäre doch mal ein Zeichen.

Wir reden von einem Unternehmen mit einem Marktwert von 25 - 50 Mio €.

Da könnte man theoretisch auch mal was springen lassen. Nur so eine Idee. :D

83

Sehe ich auch so. Warum wurde diese Berechtigung überhaupt erteilt? Benötigt man diese Daten um ein Support-Ticket zu beantworten? Wenn ja, wieso baut man dann kein Sicherheitselement dazwischen, das erlaubt nur x Kundendaten pro definierten Zeitraum auslesen zu dürfen?

Ihr outsourced den Support, also liegt der Kundendatenklau auch in eurer Verantwortung.

84

@21bitcoin @HODLer

Deutsche Gerichte gehen von 100€ bei „kleinen“ Datenlecks aus und bis zu 5000€ bei großen Datenlecks pro Kunde aus.

Das wäre Verantwortung übernehmen und gleichzeitig ein Statement dass man es ernst meint, weil man beim nächsten Datenlecks wieder selbst finanziell bluten würde.

Ansonsten ist die „Verantwortung“ nur reine Worthülse.

Nichts da mit 0% Gebühren und gleichzeitig höherem Spread.

Edit:

Bezüglich eurer „Transparenz“ ^^ laut DSGVO hättet ihr das innerhalb 72 Stunden mitteilen sollen. Diesen Zeitrahmen habt ihr nicht eingehalten

1 „Gefällt mir“
85

Genau daran dachte ich auch. Bei verdächtigen Aktivitäten den Zugang automatisch sperren und die Sache klären. Das hätte den Schaden sehr stark begrenzt.

86

Und ich frage mich wieso sind Bug-Bounty-Programme eigentlich nicht schon der Standard? Eigentlich sollten diese Unternehmen alle einen finanziellen Anreiz stellen für das auffinden kritischer Sicherheitslücken. Man kann das ja so auslegen dass es finanziell keine Belastung darstellt. Auch wenn die Sicherheitslücke bei Canny war. Das wäre für 21Bitcoin trotzdem relevant gewesen wenn ein Tester eben genau diesen Weg über Canny demonstriert. Dafür hätte man sicher gerne 5k-10k als Belohnung gegeben, wenn man jetzt dafür sich diesen Fall ersparen könnte.

1 „Gefällt mir“
87

Sind nur Kunden betroffen, die ein aktives Konto haben oder auch Kunden, deren Konto schon geschlossen ist, aber innerhalb der Speicherungsfristen liegt. Wenn ja, wie werden die denn informiert?

2 „Gefällt mir“
88

@daniel21bitcoin Bei euch brennt die Hütte, ihr habt Kundendaten offen gelegt und wir sollen dich feiern, dass du aus dem Urlaub antwortest? Ich hätte begrüßt, du würdest auf meine Fragen/Bedenken und die von @Blockwerk konkret und unverblümt reagieren.

7 „Gefällt mir“
89
  1. Das könnte man im Bullmarkt erwarten. Jetzt sind doch alle BTC-Firmen pleite ;)
  2. Ich nehme an (ich weiß es nicht), sehr viele Nutzer werden nach dem Vorfall abspringen - ihnen würde diese Aktion nichts mehr bringen. Ist der Ruf erst ruiniert…
90

Bitte denke jetzt in erster Linie erstmal an dich und deine Gesundheit, die gibt dir niemand zurück, Versuch den aktuellen Scheiß so weit wie möglich von dir zu schieben, ihr habt ja kompetente Mitarbeiter im Team die sich darum kümmern können. Das Kind ist jetzt in den Brunnen gefallen und lässt sich nicht mehr ändern. Jeder mit etwas Verstand weiß doch das es keine 100%ige Sicherheit gibt, nirgendwo im Leben.
Jetzt mal bitte alle tief durchatmen, Mund abputzen und weiter geht es und ja auch ich bin betroffen.
Das wichtigste ist doch jetzt daraus zu lernen, den Fehler beheben und weiter daran arbeiten das es nicht wieder vorkommt.

2 „Gefällt mir“
91

Solange niemand nachweislich wirklich fahrlässig gehandelt hat sollte man niemanden persönlich angehen. Ein Unternehmen ist nun mal eine Organisationstruktur wo die einzelnen Personen Kompetenz auslagern müssen. Wenn der Geschäftsführer dafür sorgt dass es ein Security Team gibt und die Leute ausgebildete Fachleute sind, dann hat er seine Arbeit diesbezüglich schon getan. Und ja es ist zu viel verlangt wenn der Geschäftsführer gleichzeitig IT-Spezialist sein soll um irgendwelche technischen Szenarien durchzuspielen. Dass er nicht sein bestes gegeben hat, ist hier ja nicht beweisbar.

Wenn am Ende bestimmte Entscheidungen im Sicherheitsteam zu der Sicherheitslücke führen dann ist das so und die Geschäftsführung kann nur im Nachhinein überprüfen ob das so ok/üblich oder doch ziemlich fahrlässig ist. So ist das mit Spezialisierung und Arbeitsaufteilung. Man muss anderen ein gewisses Vertrauen entgegenbringen und hoffen dass sie fähig und intelligent genug sind ihre Arbeit gut zu machen.

Gerade auch diese Support Thematik ist so eine Sache. Leute beschweren sich sehr schnell wenn der Support nicht gut funktioniert. Das man auch da auf externe Dienstleister zurückgreift, um möglichst schnell skallierbare spezialisierte Support Systeme zu kriegen, ist verständlich.

Man sollte halt beide Seiten sehen. Kritik ist natürlich trotzdem berechtigt.

2 „Gefällt mir“
92

Das mit Urlaub ging mir auch durch den Kopf. Bin auch selbst im Urlaub und hätte gewiss anderes zu „tun“ als den Schaden versuchen zu erfassen.

Dass Canny nur ein unteilbares Berechtigungspaket angeboten hat, erklärt den Zugriff technisch, rechtfertigt aber nicht, warum 21bitcoin einer Feedback-Integration derart weitreichenden Zugriff gewährte.

Meine zentrale Frage bleibt bisher unbeantwortet: Die Überprüfung einer Supportnachricht in der App schützt mich vor falschem Support – aber wie schützt sich der Support selbst davor, dass sich jemand mit den offengelegten Daten als Kunde ausgibt, etwa bei Kontowiederherstellung oder 2FA-Reset? Die Daten könnten zudem mit anderen, beispielsweise im Darknet verfügbaren Datensätzen verknüpft werden. Dadurch ließe sich ein noch vollständigeres Kundenprofil erstellen, mit dem ein Angreifer gegenüber dem Support besonders glaubwürdig auftreten könnte.

Unklar bleibt auch, welche Daten Canny regulär verarbeitete oder speicherte. Zudem spricht der Daniel vom Sicherheitscode für automatische E-Mails, während im Helpcenter von allen E-Mails die Rede ist. Was gilt nun?

2 „Gefällt mir“
Erfahrungen mit "21bitcoin"?
93

Ich möchte an dieser Stelle jetzt auch einmal kurz einschalten… übrigens AUCH aus dem Urlaub :rofl: .

Die Kritik an dem Vorfall ist selbstverständlich berechtigt, und auch ein gewisser Unmut ist absolut nachvollziehbar. Gerade bei einem Thema wie Datenschutz und Sicherheit darf und soll kritisch nachgefragt werden. Was ich mir allerdings wünschen würde, ist, dass wir dabei sachlich bleiben.

Teilweise werden hier Behauptungen oder Schlussfolgerungen in den Raum gestellt, die so nicht belegt bzw. haltbar sind und bei weniger tief im Thema steckenden Mitlesern unnötig zusätzliche Verunsicherung erzeugen können. Wie gesagt, Kritik ja, aber bitte ohne unnötige Unterstellungen oder persönliche Spitzen.

Die vergangenen Wochen haben aus meiner Sicht außerdem sehr deutlich gezeigt, dass solche Vorfälle grundsätzlich JEDES Unternehmen treffen können. Ich weiß auch aus vielen Hintergrundgesprächen mit unseren Partnern, dass das Thema Sicherheit momentan überall extrem ernst genommen wird und sehr viel Zeit, Geld und Energie in die Absicherung der eigenen Systeme und Prozesse fließt.

Trotzdem wird es eben leider niemals eine hundertprozentige Sicherheit geben. Auch ein Unternehmen, das sehr viel richtig macht, kann von einem solchen Sicherheitsvorfall betroffen sein. Wenn dann so etwas passiert, sind Ärger, oder Enttäuschung und kritische Nachfragen völlig legitim. Unsachliche Vorwürfe, persönliche Angriffe oder teilweise auch Forderungen nach finanzieller Entschädigung, halte ich dagegen für nicht wirklich zielführend.

Das gilt umso mehr, wenn nach dem derzeit bekannten Stand eben kein grob fahrlässiges Verhalten seitens 21bitcoin vorliegt. Der konkrete und berechtigte Kritikpunkt ist für mich vor allem, dass die Canny-API beziehungsweise die entsprechende Integration offenbar deutlich mehr Zugriffsrechte hatte, als für den eigentlichen Zweck notwendig gewesen wären. Das wurde hier ja auch bereits eingeräumt.

Gleichzeitig sollte man aber trotzdem auch anerkennen, dass @daniel21bitcoin und das Team sich hier im Thread der Diskussion und den teilweise sehr kritischen Fragen stellen. Das ist ja keine Selbstverständlichkeit und aus meiner Sicht grundsätzlich zu begrüßen… es ist ja hier quasi ein Fremdforum. Natürlich meine ich damit aber nicht, dass damit jede Kritik erledigt ist oder dass man nicht weiter nachhaken darf.

Deshalb meine Bitte an alle Beteiligten. Gerne kritisch bleiben, gerne unangenehme Fragen stellen und auch klar benennen, wenn man mit Antworten nicht zufrieden ist. Aber bitte respektvoll, sachlich und ohne aus Vermutungen Tatsachen zu machen. Das hilft am Ende auch dabei, die tatsächlich relevanten Fragen dieses Vorfalls sauber aufzuarbeiten.

6 „Gefällt mir“
94

Es ist für die Betroffenen Schaden entstanden, der eventuell noch viele Jahre zu Problemen führen könnte (z.b Pishinganrufe)

Wieso soll dafür keine Entschädigung gezahlt werden? :man_shrugging:

95

Ich sage ja nicht, dass niemandem ein Schaden entstanden ist oder dass es grundsätzlich keine Entschädigung geben darf bzw. sollte.

Mir geht’s eher darum, dass ein Datenleck nicht automatisch heißt „Jetzt muss Geld fließen.“ Entscheidend ist doch eher, ob tatsächlich ein konkreter Schaden entstanden ist und wie schwer das Fehlverhalten des Unternehmens war.

Dass die Canny-Integration zu viele Rechte hatte, war ein Fehler, ja..und das wurde ja auch eingeräumt. Daraus aber direkt pauschale Geldforderungen abzuleiten, finde ich einfach etwas vorschnell.

96

Und glaub mir.. als jemand der damals beim Ledger-Leak betroffen war und seit JAHREN mehrfach pro Woche solche Anrufe bekommt, weiß ich, wie abgefuckt das ist xD.

2 „Gefällt mir“
97

Auf welcher Basis willst Du diese berechnen?

Shit happens. Fraglich, ob es woanders sicherer ist. Glaubst Du ein Konto bei einem Broker, der Dir 12 Wörter als self-hosted Wallet verkauft - und bei dem Du nicht sicher sein kannst wie gut und zufällig die Seedgenerierung da überhaupt abläuft bzw. ob der Broker sich da nicht leicht rausreden kann, sollten deine Sats verschwinden - ist die bessere Lösung?

Möglicherweise ist sie das. Vielleicht aber auch nicht. All diese Prozesse sind angreifbar und im Zweifelsfall hast Du als Kunde den Schaden.

Hier wurden keine Wohnadressen entwendet und die Sats sind sicher. Das ist schon mal kein worst case. Auch wenn es sehr ärgerlich ist, da bin ich bei Dir. So was wird wieder passieren. Auch bei anderen.

1 „Gefällt mir“
98

Ja. Vorsorglich soll jeder Kunde ein Lambo bekommen und 21Bitcoin soll danach Insolvenz anmelden :clown_face:

Und wenn man schon so anfängt, dann sollte man im Fall von Pocket Bitcoin auch den Staat auf Schadenersatz verklagen, weil wegen MiCa und Co. Auflagen Datenpannen provoziert wurden und es muss früher oder später schief gehen. Also soll der Staat für die Datenpannen seiner Bürger haften, sie haben das ja allen aufgezwungen. Schlecht durchdachte Gesetze mit prinzipiellen Sicherheitslücken. Dafür sollte jemand haften! :smiley:

2 „Gefällt mir“
99

Einerseits hast du natürlich Recht mit Fremdforum. Allerdings wird das Forum auch fürs Marketing genutzt und es bleibt kein Feature aus, welches hier nicht kommuniziert wird. Ich würde meinen, wenn sich ein Anbieter für ein Forum als Kommunikationsplattform entschieden hat, dann „wie in guten so in schlechten“.

Zudem sollte @21bitcoin eigentlich auch dankbar für das Forum sein, wo sie - ohne Canny - Nutzer-Feedback bekommen. Es ist ja auch nicht so, dass 21bitcoin ein eigenes Forum hätte für Fragen und Diskussionen. Haben sie nicht. Auf X werden auch nur angenehme Fragen beantwortet.

Die Community beleidigt keinen, daher alles gut. Die Stimmung ist rau, aber das ist absolut verständlich.

Jetzt aber lassen wir bitte @21bitcoin zu Wort kommen, denn es sind einige unbeantwortete Fragen im Thread.

100

Ich sage nicht, dass ich eine Entschädigung erwarte.

Aber - ich finde, dass ein Unternehmen darüber nachdenken kann/darf.

Wenn Du im Urlaub bist und die Spülmaschine Deiner Ferienwohnung kaputt ist, dann möchtest Du auch eine Entschädigung, obwohl Du natürlich von Hand abwaschen konntest. Wie soll man das berechnen? Du kannst schlecht X €/Stunde Handabwasch berechnen. Aber dennoch freust Du Dich sicher, wenn Dir der Anbieter entgegen kommt und Dir bspw. 100€ erlässt.
(Nur mal so ganz plakativ gesprochen.)

Muss man eine Entschädigung berechnen können? Ich denke nicht.
Muss man entschädigen in diesem Fall hier? Sicher nicht.
Freuen sich Kunden und fühlen sich durch eine symbolische Entschädigung ernst genommen? Vermutlich.

Aber ja, es ist wie es ist:

Und es wird nicht die letzte dieser Stories sein.

101

„Nach einem Datenleck können Sie gemäß Artikel 82 der Datenschutz-Grundverordnung (DSGVO) Schadensersatz von dem verantwortlichen Unternehmen fordern“

Laut Von Datenleck betroffen: Ist Schadensersatz möglich?

Datenleck bei Meta (Facebook): 300 Euro (Urteil des LG Lüneburg vom 24.01.2023, Az.: 3 O 83/22)

Datenleck bei Meta (Facebook): 1.000 Euro (Urteil des LG Stuttgart vom 26.01.2023, Az.: 24 O 52/22)

Datenleck bei einer gesetzlichen Krankenkasse: 2.000 Euro (Urteil des OLG Düsseldorf vom 28.10.2021, Az.: 16 U 275/20)

Datenleck bei Scalable Capital: 2.500 Euro (Urteil des LG München vom 09.12.2021, Az.: 31 O 16606/20)

Datenleck bei Meta (Facebook): 3.000 Euro (Urteil des LG Oldenburg vom 20.10.2022, Az.: 5 O 1809/22)

Laut Schadensersatz nach Datenleck: Urteile & Entschädigung

Beim bloßen Kontrollverlust über Ihre Daten liegt der Maßstab meist bei rund 100 Euro.

Bei breiteren Datenabflüssen können Gerichte deutlich höhere Beträge zusprechen.

Eine Mindesthürde, wie schwer der Schaden sein muss, gibt es nicht. Der EuGH hat in seiner Entscheidung vom 4. Mai 2023 (C-300/21) ausdrücklich klargestellt, dass Art. 82 Abs. 1 DSGVO einer nationalen Regelung entgegensteht, „die den Ersatz eines immateriellen Schadens davon abhängig macht, dass der der betroffenen Person entstandene Schaden einen bestimmten Grad an Schwere oder Erheblichkeit erreicht hat.“ Auch leichte immaterielle Beeinträchtigungen sind also ersatzfähig.

Ebenso entschied der EuGH am 14. Dezember 2023 (C-340/21), dass bereits die begründete Befürchtung vor einem künftigen Datenmissbrauch für sich allein einen immateriellen Schaden darstellen kann – ohne dass ein Missbrauch bereits stattgefunden haben muss. Voraussetzung ist allerdings, dass diese Befürchtung unter den konkreten Umständen als objektiv nachvollziehbar angesehen werden kann.

Was dieser Schaden wert ist, hat der BGH am 18. November 2024 erstmals höchstrichterlich beziffert. Im ersten deutschen Leitentscheidungsverfahren zum Facebook-Datenleck (VI ZR 10/24) stellte der Senat fest, dass schon der bloße und kurzzeitige Kontrollverlust über personenbezogene Daten ein erstattungsfähiger immaterieller Schaden ist. In Leitsatz 4 heißt es dazu: Der Senat hat „keine Bedenken, den notwendigen Ausgleich für den (vorliegend) eingetretenen Kontrollverlust als solchem … mit einer Größenordnung von EUR 100,00 zu bemessen.“

Hundert Euro – das ist der Maßstab, an dem sich die deutschen Gerichte für den reinen Kontrollverlust seither orientieren. Das OLG Köln hat diesen Wert in seiner Entscheidung vom 3. April 2025 (15 U 41/23) ausdrücklich übernommen.

Edit:

Reicht das als Basis und Orientierung?

Edit 2:

@21bitcoin ihr könntet jetzt „Verantwortung“ übernehmen und jedem geschädigten Kunden 100€ oder entsprechenden Wert in BTC als Schadensersatz gutschreiben.

Wäre gute Werbung für euch, und so könntet ihr auch ggf das Vertrauen wieder gewinnen. Und ihr solltet auch für ein zukünftiges Leck diese 100€ den Kunden versprechen, sodass man als Kunde eure Motivation bezüglich unserem Datenschutz auch glaubt.