Keystone verkürzt Aufbewahrung von Versanddaten auf 90 Tage – Wettbewerber versprechen weniger
- Keystone hat die Aufbewahrungsfrist für Versanddaten auf 90 Tage verkürzt, nachdem zugegeben wurde, dass das Tool zur automatischen Löschung nach 180 Tagen versagt hatte.
- Der Keystone-Datenschutzvorfall führte dazu, dass 25.964 Käuferdatensätze offengelegt wurden; zudem verlor das Unternehmen einen Schlüssel zur Geräteauthentifizierung.
- Der Konkurrent OneKey hat Keystone bereits mit einer 30-Tage-Grenze unterboten.
Die Aufbewahrungsfrist für Versanddaten wurde ab sofort um 50 % reduziert. Sie fiel am Freitag von 180 auf 90 Tage.
Das Unternehmen gab zu, dass seine beliebte Funktion zur automatischen Löschung nach 180 Tagen nicht mehr funktionierte und dadurch persönliche Daten in 25.964 Käuferdatensätzen einem Datenschutzvorfall ausgesetzt waren. Der Wettbewerber OneKey ging noch einen Schritt weiter und begrenzte die automatische Aufbewahrung auf 30 Tage.
Keystone: „Wir übernehmen die Verantwortung für dieses Versagen“
Die Änderung trat sofort in Kraft. Das Unternehmen machte die Ankündigung in einer X Beitrag auf Am Freitag teilte Keystone den Käufern mit, die ihre Daten löschen lassen möchten, sich umgehend an den Support zu wenden, sobald sie eine Bestellung erhalten haben.
Die Änderung erfolgte nach der Eingeständnis von Keystone, dass die automatisierte Funktion zum Löschen von Benutzerdaten nach einer 180-Tage-Frist nicht mehr ordnungsgemäß funktionierte und keine Warnmeldung dies signalisierte.
Laut Cryptopolitan, Keystone hat 25.964 Käuferdatensätze mit persönlichen Daten wie Namen, Kontaktdaten, Lieferadressen und Kaufhistorien entdeckt. Dies wurde nach einer Überprüfung von 51.083 Käuferdatensätzen festgestellt.
Einige der Käuferdatensätze, die persönliche Daten enthielten, reichten bis ins Jahr 2024 zurück – weit über die versprochene automatische Löschfrist von 180 Tagen hinaus. Zudem wurden 12.873 unbezahlte Checkout-Datensätze offengelegt, die sensible Daten enthielten.
Das Unternehmen erklärte daraufhin: „Wir haben unser Versprechen nicht eingehalten, Kundendaten fristgerecht zu löschen, und übernehmen dafür die Verantwortung.“
Drei Dokumente, drei unterschiedliche Regelversionen
Das von Keystone gebrochene Versprechen existierte in drei völlig verschiedenen Versionen. Je nachdem, welchen Teil der Website man las, erhielt man eine andere Zusage. Die erste Version befand sich auf der Seite „Privacy Promise“ (Versprechen zum Datenschutz) und besagt, dass „alle Versandinformationen automatisch 180 Tage nach Auftragserteilung gelöscht werden.“
Betrachtet man jedoch die Datenschutzrichtlinie von Keystone, die im Mai 2021 zuletzt geändert wurde, heißt es dort: „Keystone löscht alle Bestellinformationen jedes Kunden, der innerhalb der letzten 180 Tage keine Bestellung getätigt hat.“
Die dritte Version erscheint im Helpcenter des Unternehmens und besagt, dass „Aufzeichnungen über die Stadt und das Land des Kunden auf Anfrage nicht gelöscht werden und dass Shopify die endgültige Löschung durchführt.“
OneKey geht zu 30 Tagen
Das Versäumnis von Keystone bot seinem Konkurrenten OneKey die Chance, voranzukommen. Yishi Wang, der Gründer von OneKey, kündigte an, dass das Unternehmen eine Frist von 30 Tagen festlegen werde, bevor Benutzerdaten aus seiner Datenbank gelöscht werden.
Dies wurde am Oktober 27 im Anschluss an Keystone’s Probleme bekannt gegeben. Der Gründer betonte erneut, dass dieser Schritt lediglich als Vorsichtsmaßnahme diente.
Die Idee hinter diesem Schritt ist nicht kompliziert: Je länger ein Anbieter Aufzeichnungen behält, desto wahrscheinlicher ist es, dass diese bei einem Sicherheitsvorfall verloren gehen.
SafePal unternahm einen ähnlichen Schritt, nachdem etwa 40.000 seiner Kunden aufgrund eines Fehlers in der Bestellverfolgung exponiert waren. Das Unternehmen reduzierte die Aufbewahrungsfrist auf 90 Tage.
Der Schritt beider Unternehmen zeigt, dass es Schwächen gibt, die über jeden einzelnen Wallet-Hersteller hinausgehen.
Ein gestohlener Schlüssel zwingt 18,835 Geräte zur Zerstörung
Der Vorfall bei Keystone ist Teil eines größeren Ereignisses. Keystone bemerkte am 20. Oktober unbefugten Zugriff auf seine Website und bestätigte diesen am 23. Oktober. Ein Eindringlicher hatte Käuferdaten gestohlen, und das Unternehmen stellte später fest, dass der Täter auch den WebAuth-Schlüssel stahl. Dieser Schlüssel ist ein Code, der jedem Gerät ab Werk eingebrannt wird, um dessen Echtheit zu beweisen.
Keystone hat beschlossen, alle 18.835 nicht verkauften Einheiten mit diesem Schlüssel einzusammeln. Da der Schlüssel nicht neu geschrieben werden kann, hat das Unternehmen die Versandbestellungen für die Website ausgesetzt. Außerdem wurden Bestellungen vorerst als Vorbestellung behandelt, bis die Geräte ersetzt sind. Alle Geräte, die vor dem 20. Oktober ausgeliefert wurden, sind sicher, solange sie die Authentifizierung bestehen.
Wiederherausdrücke, private Schlüssel und Zahlungsdetails seien nicht offengelegt worden, so das Unternehmen. Es hat Löschanfragen am 24. Oktober bei Shopify eingereicht; aufgrund der obligatorischen Wartezeit von 10 Tagen sollten die abgelaufenen Datensätze bis zum 3. November gelöscht sein.
Wenn Sie dies lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Häufig gestellte Fragen
Warum hat Keystone seine Datenhaltefrist auf 90 Tage verkürzt?
Sein automatisches Tool zur Löschung nach 180 Tagen funktionierte ohne Warnung an die Mitarbeiter nicht mehr, wodurch 25.964 von 51.083 Shopify-Datensätzen persönliche Daten über das zulässige Limit hinaus enthielten. Daher verkürzte Keystone das Zeitfenster und gab zu, die Daten nicht fristgerecht gelöscht zu haben.
Was hat der Keystone-Breach offengelegt?
Namen, Kontaktdaten, Lieferadressen und Bestelldetails von 25.964 Käuferdatensätzen aus den Jahren 2024 bis 2026 sowie den WebAuth-Schlüssel zur Verifizierung echter Geräte. Wiederherstellungsphrasen, private Schlüssel und Zahlungsinformationen wurden nicht kompromittiert.
Warum begrenzt OneKey die Speicherung von Kundendaten auf 30 Tage?
OneKey-Gründer Yishi Wang erklärte am 27. Oktober, dass diese Maßnahme präventiv nach der Welle von Hardware-Wallet-Hacks ergriffen wurde, und betonte, dass OneKey selbst nicht gehackt worden sei.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast einem Jahrzehnt Erfahrung im Bloggen und in der Berichterstattung über Events im Krypto-Bereich. Bei Cryptopolitan arbeitet sie an der News-Seite und berichtet sowie analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Krypto-Regulierung, KI und Zukunftstechnologien. Sie hat ihr Studium an der Arcadia University mit einem Abschluss in Betriebswirtschaft abgeschlossen.
