Ende Juli hat das BACS vor einer Betrugsmasche gewarnt, die auf den ersten Blick anachronistisch wirkt: Kriminelle verschicken Briefe per Post. Echte, physische Briefe mit QR-Code, die dazu auffordern, ein angebliches Sicherheitsupdate für Kryptowallets zu installieren. Wer das tut, verliert seine Kryptowährungen. Komplett.
Klingt wie ein Nischenproblem? Ist es nicht. Die Methode ist international seit Monaten im Umlauf – und ehrlich gesagt hat sie Implikationen, die weit über Krypto hinausgehen.
Der Ablauf
Die Briefe sehen professionell aus. Firmenlogo, korrekte Anschrift, sauberes Layout. Sie geben vor, von Herstellern wie Ledger oder Trezor zu stammen – Firmen, die Hardware-Wallets für Kryptowährungen produzieren. Der Inhalt: dringendes Sicherheitsupdate, bitte über den beiliegenden QR-Code installieren.
Wer den Code scannt, landet auf einer nachgebauten Webseite. Dort wird die Recovery-Phrase abgefragt – die Zeichenfolge, mit der man den vollständigen Zugriff auf seine Wallet wiederherstellen kann. Gibt man sie ein, haben die Angreifer alles. Das Geld ist weg. Unwiderruflich. Kein Support-Ticket der Welt bringt es zurück.
Kein Schweizer Einzelfall
Das BACS reagiert auf Meldungen aus der Schweiz, aber die Angriffswelle läuft international schon deutlich länger. Im Juni 2026 warnte Ledger selbst vor physischen Briefen, die ein «Post-Quantum Cryptography Security Update» forderten – mit Frist und allem Drum und Dran. Auch Trezor-Nutzer erhielten gefälschte Post. Und die Briefe waren so gut gemacht, dass selbst erfahrene Krypto-Nutzer ins Zweifeln kamen.
Woher die Angreifer die Adressen haben? Sicherheitsforscher vermuten den Breach bei Global-e als Quelle. Global-e wickelte den Versand für Ledger ab, hatte also Zugriff auf Lieferadressen und Bestelldaten. Nach dem Datenleck im Januar 2026 tauchten lokalisierte Briefe in mehreren Ländern auf. Ein klassischer Fall von: Ein Datenleck hier führt zu einem ganz anderen Angriff dort.
Die Grössenordnung: CertiK beziffert die Verluste durch Krypto-Phishing allein im Januar 2026 auf über 311 Millionen Dollar. Im Gesamtjahr 2025 waren es 17 Milliarden. Das ist kein Nischenproblem mehr.
Warum ausgerechnet Briefe?
Weil sie funktionieren. So einfach ist das.
Die meisten Leute sind bei verdächtigen E-Mails mittlerweile vorsichtig. Bei einem Brief reagieren sie komplett anders. Ein gedrucktes Schreiben auf offiziellem Briefpapier hat eine Autorität, die eine E-Mail nie haben wird. Man denkt sich: Wer druckt und verschickt das denn, wenn es Betrug ist? Die vermeintlichen Kosten des Versands wirken als Vertrauenssignal. Clever, oder?
Dazu kommt: Beim Scannen eines QR-Codes mit dem Smartphone gibt es keinen Spam-Filter, keine Warnung, keinen rot markierten Link. Die meisten Leute tippen einfach drauf. Ohne die URL auch nur anzuschauen.
Und – das ist der entscheidende Punkt – die Briefe sind gezielt adressiert. Keine Massenaussendung an zufällige Adressen, sondern personalisierte Post an nachweisliche Wallet-Besitzer. Das erhöht die Glaubwürdigkeit massiv.
Was hat das mit KMU zu tun?
Mehr als man denkt. Drei Szenarien:
Firmen, die selbst Kryptowährungen halten – ob als Zahlungsmittel, Reserve oder weil ein Kunde so bezahlt hat – sind direkte Ziele. Wer einen Hardware-Wallet im Büro hat, braucht dokumentierte Prozesse für dessen Verwaltung. Wir sehen in Assessments regelmässig Unternehmen, bei denen die Recovery-Phrase auf einem Post-it am Bildschirm klebt. Kein Witz.
Dann die Mitarbeitenden, die privat Krypto besitzen und einen solchen Brief am Arbeitsplatz öffnen. Die scannen den QR-Code möglicherweise auf dem Firmenhandy. Selbst wenn das Unternehmen keinen Krypto-Bezug hat: Eine Phishing-Seite, die auf einem Firmengerät geöffnet wird, kann zum Problem werden.
Und dann ist da der Methodentransfer – und der ist das eigentlich Beunruhigende. Physische Briefe mit QR-Code funktionieren nicht nur für Krypto. Dieselbe Taktik lässt sich problemlos auf Banken, Versicherungen, Behörden oder Softwareanbieter übertragen. In der Schweiz, wo QR-Rechnungen zum Alltag gehören und kaum jemand vor dem Scannen die URL prüft, ist die Hemmschwelle besonders tief.
Was tun?
Die wichtigste Regel zuerst: Kein seriöser Wallet-Hersteller fragt per Brief, Mail oder Website nach der Recovery-Phrase. Nie. Unter keinen Umständen. Wer das verinnerlicht hat, ist gegen diesen speziellen Angriff geschützt.
Aber das Prinzip geht weiter. QR-Codes in unaufgeforderter Post verdienen dasselbe Misstrauen wie Links in unbekannten E-Mails. Vor dem Scannen die URL prüfen – besser noch: direkt die Webseite des Anbieters im Browser öffnen und dort nachschauen, ob es wirklich ein Update gibt.
Firmen mit Krypto-Assets brauchen eine dokumentierte Governance. Wer hat Zugang zum Wallet? Wo liegt die Recovery-Phrase? Wie werden Transaktionen freigegeben? Hardware-Wallets gehören in einen Safe, Recovery-Phrasen an einen separaten Ort. Das klingt nach Grundlagen – aber wir erleben immer wieder, dass genau diese fehlen.
Und beim nächsten Awareness-Training? Den physischen Postkasten als Thema aufnehmen. Nicht nur die Inbox.
Die breitere Lektion
Der physische Brief mit QR-Code ist ein cleverer Angriff, weil er ein Medium nutzt, dem wir noch vertrauen. Die Lektion für Unternehmen ist simpel: Sicherheitsbewusstsein hört nicht bei der E-Mail auf. Jede unaufgeforderte Aufforderung zur Eingabe von Zugangsdaten oder zur Installation von Software verdient eine Pause und eine Gegenprüfung. Egal ob per Mail, Telefon, WhatsApp oder Briefpost.
Wir testen in unseren Social-Engineering-Assessments auch physische Angriffsvektoren – manipulierte Briefe, USB-Drops, Vor-Ort-Penetrationstests. Klingt exotisch, trifft aber regelmässig ins Schwarze. Wenn Sie wissen wollen, wie Ihre Mitarbeitenden auf solche Szenarien reagieren: Kontaktieren Sie uns.
Quellen und weiterführende Links: BACS Aktuelle Vorfälle, CryptoTimes: Ledger warnt vor Briefpost-Phishing, BleepingComputer: Snail Mail Crypto Attacks, Hackread: Ledger Seed Phrase Phishing