Der Krypto-Zahlungsdienstleister Gnosis Pay hat am Freitag, 6. November 2026, einen Sicherheitsvorfall bestätigt, bei dem Kundendaten offengelegt wurden. Betroffen ist das System hinter den Visa-Debitkarten für Privatkunden. Nach Angaben des Unternehmens blieben die Guthaben der Nutzer unangetastet. Wie viele Menschen betroffen sind, ist bislang nicht bekannt. Für Online-Kartenzahlungen gelten inzwischen zusätzliche Sicherheitsprüfungen.
Das Datenleck bei Gnosis Pay wurde nach Unternehmensangaben am Dienstag, 3. November 2026, durch interne Überwachungssysteme festgestellt. Unbefugte hatten Zugang zu dem System erhalten, über das die eigenen Zahlungskarten des Anbieters verwaltet werden.
Innerhalb von zwei Stunden nach der Entdeckung habe das Sicherheitsteam mit der Eindämmung des Vorfalls begonnen. Anschließend seien betroffene Zugangsdaten ausgetauscht und die ausgenutzte Sicherheitslücke geschlossen worden. Wie der unbefugte Zugriff ursprünglich möglich war und wie lange er bestanden hatte, erläuterte das Unternehmen zunächst nicht.
Der Vorfall beschränkte sich nach Darstellung von Gnosis Pay auf das bisherige Privatkundensystem. Die separate Plattform für Geschäftspartner, über die beispielsweise Finanztechnologieunternehmen und Wallet-Anbieter eigene Kartenprogramme betreiben können, sei nicht betroffen gewesen.
Gnosis Pay bestätigte die Offenlegung persönlicher Kundendaten, veröffentlichte jedoch keine vollständige Übersicht der betroffenen Datenkategorien. Auch eine konkrete Zahl betroffener Karteninhaber wurde zunächst nicht genannt.
Ein Karteninhaber erklärte am 6. November öffentlich, dass nach seiner persönlichen Benachrichtigung unter anderem sein Name, seine Wohnanschrift, seine Kartennummer und die mit seinem Konto verbundenen Wallet-Adressen betroffen seien. Eine unabhängige Bestätigung für den genauen Umfang dieses Einzelfalls lag zunächst nicht vor. Ob weitere Kunden in vergleichbarem Umfang betroffen sind, blieb offen.
Nach eigenen Angaben verschickte Gnosis Pay am Freitag individuelle E-Mails an sämtliche betroffenen Kunden. Darin soll jeweils aufgeführt sein, welche Informationen aus dem betreffenden Konto offengelegt wurden. Zusätzliche Handlungsempfehlungen richten sich nach der Art der betroffenen Daten.
Gnosis Pay bietet eine Verbindung zwischen digitalen Vermögenswerten und herkömmlichen Kartenzahlungen. Die eigenen Visa-Debitkarten wurden auch innerhalb des Europäischen Wirtschaftsraums angeboten. Für Karteninhaber in diesem Gebiet ist nach den Vertragsinformationen des Unternehmens die in Litauen regulierte UAB Monavate als Kartenherausgeber zuständig.
Damit ist das Angebot grundsätzlich auch für europäische Kunden relevant. Ob und wie viele Karteninhaber mit Wohnsitz in Deutschland von dem aktuellen Datenleck betroffen sind, wurde bislang nicht gesondert mitgeteilt. Eine Aufschlüsselung nach Ländern liegt nicht vor.
Das Unternehmen erklärte, seine Geschäftspartner informiert zu haben und mit den zuständigen Datenschutzaufsichtsbehörden sowie dem Kartenherausgeber in Kontakt zu stehen. Welche Behörden konkret eingebunden sind, ging aus der Mitteilung zunächst nicht hervor.
Als Reaktion auf den Vorfall hat Gnosis Pay das Sicherheitsverfahren 3D Secure für sämtliche Online-Kartenzahlungen mit den betroffenen Privatkundenkarten verpflichtend gemacht. Dabei muss eine Zahlung zusätzlich bestätigt werden, um unbefugte Transaktionen zu erschweren.
Außerdem überwache das Unternehmen Kartenbewegungen und verknüpfte Wallets verstärkt auf verdächtige Aktivitäten und mögliche Zugriffe auf Kundengelder. Ergänzend werde eine spezialisierte Überwachung eingerichtet, die Hinweise auf einen Missbrauch der offengelegten Informationen erkennen soll.
Nach Angaben von Gnosis Pay waren die Guthaben der Kunden von diesem Vorfall nicht betroffen. Eine unabhängige Bestätigung zum Umfang möglicher Folgeschäden lag zunächst nicht vor.
Gnosis Pay warnt insbesondere vor möglichen Phishing-Versuchen. Verdächtige E-Mails, SMS, Anrufe oder Briefe könnten echte personenbezogene Angaben oder Informationen zu früheren Kartenzahlungen enthalten und dadurch glaubwürdig erscheinen.
Kunden sollten deshalb keine Links aus unerwarteten Nachrichten öffnen, sondern die offizielle Anwendung von Gnosis Pay oder die jeweilige Partner-App direkt aufrufen. Das Unternehmen betont, dass weder es selbst noch seine Partner die Wiederherstellungswörter einer Wallet, private Schlüssel, PINs oder vollständige Kartennummern per Nachricht anfordern.
Auch Aufforderungen, Guthaben zur angeblichen Sicherheitsüberprüfung auf andere Wallets zu übertragen, sollten nicht befolgt werden. Bei verdächtigen Kartentransaktionen können Nutzer ihre Karte in der Anwendung sperren und den Kundendienst kontaktieren. Für Rückfragen zum aktuellen Sicherheitsvorfall nennt Gnosis Pay die E-Mail-Adresse [email protected].
Die von dem Sicherheitsvorfall betroffene Plattform soll am 20. Dezember 2026 eingestellt werden. Die Entscheidung war bereits im September angekündigt worden und steht damit nicht unmittelbar im Zusammenhang mit dem jetzt bekannt gewordenen Datenleck.
Gnosis Pay konzentriert sich künftig auf die technische Bereitstellung von Kartenprogrammen für andere Unternehmen. Die bisherigen Karten unter der eigenen Marke verlieren am 20. Dezember ihre Zahlungsfunktion. Auch die Web-Anwendung wird weitgehend eingestellt. Die Möglichkeit, Guthaben aus den selbstverwalteten Wallets abzuheben, soll jedoch weiterhin bestehen.
Für Nutzer, die weiterhin eine Karte verwenden möchten, sieht das Unternehmen einen Wechsel zu unterstützten Partnerangeboten vor. Ein solcher Wechsel ist freiwillig und erfolgt unter den jeweiligen Vertragsbedingungen des neuen Anbieters.
Die zusätzlichen Sicherheitsmaßnahmen für das bestehende Privatkundensystem sollen bis zu dessen Abschaltung in Kraft bleiben. Gleichzeitig untersucht Gnosis Pay den Datenvorfall weiter. Wann abschließende Erkenntnisse zum Umfang der offengelegten Informationen vorliegen, teilte das Unternehmen zunächst nicht mit.
Texte werden mit Unterstützung von KI-Tools erstellt und vor Veröffentlichung redaktionell geprüft. Mehr dazu