AKTUELL
Brevo-Sicherheitslücke: Phishing trifft Trezor und CoinTracking über echte Mailkanäle
Eine Brevo-Sicherheitslücke hat Angreifern Zugriff auf 138 Kundenkonten des E-Mail-Marketingdienstes ermöglicht. Sechs davon wurden nach Angaben von Brevo genutzt, um Phishing-Nachrichten über legitime Versandwege zu verschicken. Zu den Unternehmen, die ihre Nutzer warnten, gehören der Hardware-Wallet-Anbieter Trezor und der in München ansässige Krypto-Steuerdienst CoinTracking. Entscheidend für Empfänger: Eine vertraute Absenderadresse und bestandene E-Mail-Prüfungen reichten in diesem Fall nicht aus, um die Nachricht als echt einzustufen.
Brevo entdeckte den unberechtigten Zugriff nach eigener Darstellung am 10. September 2026 um 6:30 Uhr UTC und schloss den verwendeten Zugangsweg zwei Stunden später. Das Unternehmen meldet 138 erreichte Kundenkonten. Aus 43 Konten seien Kontaktlisten exportiert worden; bei 93 habe es keine wesentliche Aktivität gegeben. Welche Firmen außer den bereits bekannten Namen betroffen sind und wie viele Datensätze insgesamt abgeflossen sind, geht aus dem veröffentlichten Bericht nicht hervor.
Brevo-Sicherheitslücke überschritt die Grenze zwischen Kundenkonten
Ausgangspunkt war laut Brevos technischem Bericht die Anmeldung über SAML Single Sign-on. Ein Angreifer legte ein eigenes Brevo-Konto an, aktivierte dort SSO und lud reguläre Brevo-Nutzer in diese Konfiguration ein. Anschließend konnte er sich über einen selbst kontrollierten Identitätsanbieter als diese eingeladenen Nutzer anmelden.
Der eigentliche Fehler lag in der Berechtigungsgrenze: Der Zugang blieb nicht auf die Organisation beschränkt, für die das SSO eingerichtet worden war. Stattdessen erhielt der Angreifer auch Zugriff auf weitere Organisationen, die die eingeladenen Nutzer erreichen konnten. Brevo hat den Zugangsweg nach eigenen Angaben geschlossen, alle aktiven Sitzungen beendet und arbeitet an einer dauerhaften Begrenzung der SSO-Anmeldung auf die jeweils zuständige Organisation.
Damit unterscheidet sich der Vorfall von einem gewöhnlichen Angriff, bei dem für jedes betroffene Unternehmen ein Passwort erbeutet werden müsste. Eine fehlerhafte Trennung innerhalb des Dienstes reichte aus, um von einem angelegten SSO-Verbund in fremde Kundenbereiche zu gelangen.
Warum der echte Absender diesmal nicht genügte
Brevo bestätigt ausdrücklich, dass die betrügerischen Nachrichten über legitime Infrastruktur verschickt wurden und deshalb die üblichen Prüfungen zur E-Mail-Authentifizierung bestanden. Verfahren wie SPF, DKIM und DMARC können prüfen, ob ein Versandweg beziehungsweise eine Domain autorisiert ist. Sie beurteilen jedoch nicht, ob der Inhalt einer über diesen erlaubten Kanal verschickten Nachricht vertrauenswürdig ist. Auch der aktuelle DMARC-Standard stellt klar, dass eine bestandene Prüfung allein keine sichere oder erwünschte Nachricht garantiert.
Genau das machte die Kampagne besonders glaubwürdig. Die Nachrichten sahen nicht nur so aus, als stammten sie von einem bekannten Anbieter, sondern liefen tatsächlich über dessen eingerichteten Versandkanal. Ein korrekt angezeigter Absender, ein fehlender Spam-Hinweis oder eine gültige Signatur waren daher kein Entwarnungssignal.
Für Empfänger wird dadurch der Inhalt wichtiger als die reine Absenderprüfung. Eine unangekündigte Sicherheitswarnung, die zu einem schnellen Download drängt oder Wallet-Backup, Wiederherstellungswörter, Passwort beziehungsweise API-Schlüssel verlangt, bleibt verdächtig. Die Überprüfung sollte über eine selbst aufgerufene Website oder die bereits installierte offizielle App erfolgen, niemals über den Link aus der Warnmail.
Trezor nennt 347.000 angeschriebene Newsletter-Adressen
Trezor berichtet, dass die Phishing-Mail an rund 347.000 Adressen seiner freiwillig abonnierten Newsletterliste verschickt wurde. Der enthaltene Link führte zu einer Anwendung, die Nutzer zur Eingabe ihres Wallet-Backups aufforderte. Die Nachricht behauptete eine kritische Schwachstelle in einem STM32-Mikrocontroller. Eine solche Sicherheitslücke in Trezor-Geräten hat das Unternehmen im Zusammenhang mit diesem Vorfall jedoch nicht bestätigt.
Nach Angaben von Trezor wurde die verlinkte Domain innerhalb von 20 Minuten auf DNS-Ebene abgeschaltet. Bis dahin hätten rund 2.500 Empfänger den Link geöffnet. Wie viele Menschen die Anwendung heruntergeladen, ihr Wallet-Backup eingegeben oder Geld verloren haben, ist bislang nicht bekannt. Trezor erklärt zugleich, dass die eigenen Wallet-, Geräte- und Kontosysteme nicht kompromittiert worden seien.
Die Zahl 347.000 beschreibt die angeschriebene Newsletterliste, nicht automatisch einen bestätigten Export sämtlicher Adressen. Trezor behandelt die Adressen vorsorglich als dem Angreifer bekannt und warnt deshalb vor möglichen weiteren Phishing-Versuchen. In der ersten Trezor-Mitteilung ist zudem noch von 120 betroffenen Brevo-Konten die Rede; Brevos späterer Bericht nennt 138. Trezor ordnet den Vorfall dem 9. September zu, während Brevo die Entdeckung auf den 10. September datiert. Die Unternehmensangaben sind in diesen Punkten bislang nicht vollständig angeglichen.
Auch CoinTracking warnt vor einer Nachricht mit dem Betreff „Data Breach Notice: Please refresh API Keys as soon as possible“. Nach Darstellung des Unternehmens waren weder CoinTracking-Konten noch Passwörter, API-Schlüssel, Portfolio- oder Transaktionsdaten im externen Mailsystem gespeichert. E-Mail-Adressen könnten jedoch eingesehen worden sein.
Wann Empfänger sofort handeln müssen
Wer die Trezor-Mail nur erhalten oder den inzwischen deaktivierten Link geöffnet, aber nirgendwo ein Wallet-Backup eingegeben hat, muss laut Trezor keine Kryptowährungen übertragen. Die Nachricht sollte gelöscht und eine mögliche weitere Warnung ausschließlich über Trezor Suite oder die selbst aufgerufene Trezor-Seite geprüft werden.
Wurden Wiederherstellungswörter oder ein Wallet-Backup in die verlinkte Anwendung eingegeben, gilt die bisherige Wallet als kompromittiert. Trezor fordert Betroffene auf, die Bestände sofort in eine neu eingerichtete Wallet zu übertragen. Ein neues Passwort genügt hier nicht, denn die Wiederherstellungswörter ermöglichen die Rekonstruktion der Wallet.
CoinTracking-Nutzer sollten ihr Passwort ändern und die Zwei-Faktor-Authentifizierung aktivieren, wenn sie ihre Zugangsdaten auf der verlinkten Seite eingegeben haben. Wurden dort Schlüssel einer Kryptobörse eingetragen, müssen diese direkt bei der jeweiligen Börse widerrufen und neu erzeugt werden. Die Mail selbst oder ihr Link sind dafür kein sicherer Weg.
Brevo meldet seit der Sperrung des Zugangswegs keine weitere Aktivität des Angreifers. Exportierte Kontaktlisten lassen sich damit allerdings nicht zurückholen. Für die kommenden Wochen bleibt deshalb ein erhöhtes Risiko gezielter Folgemails. Der Fall zeigt, warum die Echtheit des Versandwegs nur ein Teil der Prüfung ist: Sobald ein autorisierter Kanal missbraucht wird, entscheidet vor allem die verlangte Handlung darüber, ob eine Nachricht vertrauenswürdig sein kann.
Stand der Recherche: 12. September 2026, 12:15 Uhr CEST.
Hauptquellen
- Brevo: Technischer Bericht zum Zugriff auf Kundenkonten
- Trezor: Sicherheitsmeldung zum Vorfall beim E-Mail-Anbieter
- CoinTracking: Aktualisierte Warnung zur Phishing-Mail
- RFC Editor: Aktueller DMARC-Standard
- SecurityWeek: Unabhängige Einordnung der betroffenen Dienste
Transparenzhinweis: gadgetChecks hat keine der Phishing-Nachrichten selbst technisch untersucht. Angaben zu Kontenzahlen, Klicks, Datenzugriffen und Gegenmaßnahmen stammen von Brevo, Trezor und CoinTracking; eine unabhängige Bestätigung möglicher Schäden liegt nicht vor.
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
Mehr auf gadgetChecks
Entdecke mehr bei gadgetChecks
Was sich für dich ändert
Regeln, Fristen, Kosten und Warnungen mit ihren konkreten Folgen für Verbraucher.
Alltag Aktuell öffnenGames, Plattformen und Deals
Aktuelle Meldungen zu Releases, Konsolen, PC Gaming, Mobile, Studios und Abos.
Gaming öffnenProdukte, Angebote und Ideen
Neues für Küche, Reinigung, Wohnen, Garten und Balkon – verständlich und praktisch eingeordnet.
Zuhause öffnen
