ANALYSEN
Coinbase: bestochene Supportmitarbeiter und 307 Millionen Kosten
Im Mai 2025 gab Coinbase bekannt, dass von Kriminellen bezahltes Supportpersonal eines externen Dienstleisters Daten von Zehntausenden Kunden kopiert hatte, bei einer abgelehnten Forderung von 20 Millionen Dollar und 307 Millionen Kosten. Die Analyse: Untreue beim Dienstleister, freiwillige Erstattungen, D&O und Fragen für die Vertragsverlängerung.
Archiv: Rekonstruktion, geschrieben im November 2026
Thema des Monats Mai 2025 · von cybercoverinsurance
Am 14. Mai 2025 teilte Coinbase, eine der größten US-Kryptoplattformen, der SEC mit, dass von Kriminellen bezahlte Mitarbeiter des Kundensupports Kundendaten aus internen Systemen kopiert hatten. Am 11. Mai war eine Forderung von 20 Millionen Dollar eingegangen, damit die Daten nicht veröffentlicht würden. Coinbase zahlte nicht, setzte eine Belohnung in gleicher Höhe für Hinweise auf die Täter aus und schätzte die Kosten auf 180 bis 400 Millionen Dollar, für die Bereinigung und für die Erstattung an Kunden, die mit diesen Daten betrogen wurden.
Es gab weder ein technisches Eindringen noch einen Diebstahl von Kontoguthaben. Der Schaden lief über Supportpersonal eines externen Dienstleisters und dann über die Kunden, getäuscht von Betrügern, die ihre Daten kannten. Für Cyber- und Crime-Risikoträger berührt der Fall drei Punkte: die Untreue von Personen, die für einen Dienstleister arbeiten, freiwillige Erstattungen an Kunden und den Umgang mit der Offenlegung gegenüber dem Markt.
Was bekannt ist
Die Mitteilung. Im Formular 8-K schreibt Coinbase, ein Angreifer habe Auftragnehmer oder Mitarbeiter im Support, die außerhalb der USA tätig waren, dafür bezahlt, Daten aus internen Systemen zu sammeln. Die Sicherheitsüberwachung hatte die Zugriffe in den Vormonaten erkannt, und das beteiligte Personal war entlassen worden. Zu den Daten gehörten Name, Adresse, Telefon, E-Mail, die letzten vier Ziffern der Sozialversicherungsnummer, maskierte Bankdaten, Bilder von Ausweisdokumenten, Kontostände und Umsätze sowie einige interne Dokumente. Passwörter, private Schlüssel und Kundengelder waren nicht betroffen. Die vorläufigen Kosten wurden auf rund 180 bis 400 Millionen Dollar geschätzt, für Bereinigung und freiwillige Erstattungen an Kunden, die Geld an die Angreifer überwiesen hatten (Coinbase, Formular 8-K).
Lösegeld und Belohnung. Die Forderung lag bei 20 Millionen Dollar. Coinbase lehnte ab und bot 20 Millionen für Hinweise, die zur Festnahme und Verurteilung der Täter führen. Die Daten betrafen weniger als 1% der monatlich aktiven Nutzer. Die Aktie fiel um mehr als 7% (The Register).
Der Dienstleister. Laut Reuters, zitiert von CryptoSlate, arbeitete das Personal für TaskUs, einen texanischen Outsourcing-Anbieter, in dessen Zentrum in Indore, Indien. Coinbase soll bereits im Januar 2025 gewarnt worden sein, als ein Mitarbeiter beim Fotografieren von Daten ertappt wurde. Eine Meldung an den Generalstaatsanwalt von Maine nennt 69.461 betroffene Kunden. Coinbase beendete danach die Zusammenarbeit mit TaskUs. Es folgten eine Sammelklage wegen Wertpapierbetrugs gegen Coinbase und eine Klage wegen Fahrlässigkeit gegen TaskUs (CryptoSlate).
Die Rechnung. In den Zahlen zum zweiten Quartal 2025 wies Coinbase 307 Millionen Dollar an Kosten im Zusammenhang mit dem Vorfall aus (The Block). Im Dezember 2025 gab CEO Brian Armstrong die Festnahme eines ehemaligen Supportmitarbeiters in Hyderabad, Indien, bekannt. TaskUs erklärte, zwei seiner Mitarbeiter seien von einer kriminellen Kampagne angeworben worden, die auch andere Dienstleister von Coinbase getroffen habe (The Block).
Was nicht bekannt ist. Ob und wie viel der 307 Millionen von Versicherern oder vom Dienstleister zurückgeholt wurde, ist nicht öffentlich. Die Daten des ersten Zugriffs und der ersten Entdeckung stammen aus Presseberichten und Klagen, nicht aus dem Formular 8-K.
Der Untreue arbeitet beim Dienstleister
Das Innenrisiko ist auch ein Außenrisiko. Das Personal gehörte nicht zu Coinbase, sondern zu einem Dienstleister. Für den Versicherten ist der Schaden derselbe, für die Police macht der Unterschied viel aus. Deckungen für Vertrauensschäden in Crime-Policen erfassen oft die Mitarbeiter des Versicherten und nur bei ausdrücklicher Regelung Fremdpersonal unter seiner Weisung.
Der Support sieht zu viel. Supportpersonal der ersten Ebene konnte Ausweisbilder, Kontostände und Umsätze sehen. Für einen Finanzdienst ist das eine weitreichende Exposition gegenüber externem Personal in einem anderen Land. Genau diesen Punkt haben die Kriminellen gekauft.
Die Überwachung funktionierte, die Eindämmung nicht. Coinbase erkannte die Zugriffe und entließ das Personal vor der Lösegeldforderung (Formular 8-K). Doch die Daten waren bereits abgeflossen. Für Risikoträger reicht Erkennen nicht: Es zählt, wie viele Daten vor der Erkennung abfließen können.
Die freiwillige Erstattung
Der betrogene Kunde ist kein Drittschaden im engeren Sinn. Kunden verloren Geld, weil Betrüger mit ihren Daten glaubwürdig auftraten. Coinbase entschied sich, sie zu entschädigen. Cyberpolicen decken in der Regel festgestellte oder geltend gemachte Haftung gegenüber Dritten, und viele schließen freiwillige Zahlungen ohne Zustimmung des Versicherers aus.
Die Erstattung schützt die Marke und mindert Klagen. Für eine Plattform, die vom Vertrauen der Kunden lebt, ist die Erstattung eine rationale Geschäftsentscheidung. Sie kann aber außerhalb der Deckung bleiben, sofern die Police keine Kosten für Reputationsschutz oder mit dem Versicherer abgestimmte Erstattungen vorsieht.
Die Belohnung ist kein Lösegeld, aber auch nicht gedeckt. Die 20 Millionen für Hinweise auf die Täter sind eine Entscheidung des Krisenmanagements. Erpressungsdeckungen zahlen, wo vorgesehen, die Zahlung an den Erpresser und die Berater, keine Belohnung.
Von der Datenschutzverletzung zur D&O
Das Entdeckungsdatum wird zur Rechtsfrage. Die Sammelklage wegen Wertpapierbetrugs wirft Coinbase eine verspätete Offenlegung vor (CryptoSlate). Es geht um den Zeitpunkt, ab dem ein Vorfall für Anleger wesentlich wird, nach den SEC-Regeln zur Offenlegung binnen vier Geschäftstagen.
Der Cyberschaden erzeugt einen D&O-Schaden. Aktionärsklagen richten sich gegen die Gesellschaft und ihre Führung und fallen unter D&O-Policen. Für einen Versicherer, der beide Sparten für dieselbe Gesellschaft zeichnet, ist ein Cybervorfall ein Ereignis mit zwei korrelierten Schäden.
Was in die Vertragsverlängerung gehört
Auswirkung für VersichererHoch
Von Kriminellen bezahltes Supportpersonal eines externen Dienstleisters kopierte Daten von Zehntausenden Kunden, mit 307 Millionen Dollar an Kosten für Bereinigung und freiwillige Erstattungen.
Auf Portfolioebene lagern viele Finanzdienstleister und Plattformen den Kundensupport an dieselben großen Anbieter aus. Kampagnen zur Bestechung von Mitarbeitern können mehrere Kunden desselben Dienstleisters treffen, wie TaskUs für Coinbase angab. Zu wissen, wer den Support der Versicherten stellt, ist der erste Schritt zur Schätzung des Kumuls.