Satsback-Sicherheitsvorfall: Was passiert ist und was du jetzt tun solltest

Du sammelst mit Satsback beim Online-Shopping Bitcoin und hast eine Mail mit dem Betreff „Security incident at Satsback.com“ bekommen? Dann geht es dir wie mir. Am 3. November 2026 lag diese Mail in meinem Postfach. Die Kurzfassung: Am 30. und 31. Oktober 2026 hat sich ein Unbefugter Zugang zu einem internen Werkzeug von Satsback verschafft und dabei einen Teil der Datenbank eingesehen, darunter E-Mail-Adressen.

Ich zeige dir, was laut Satsback betroffen ist und was nicht, wo die eigentliche Gefahr jetzt liegt und welche Schritte ich dir empfehle. Und ich beantworte die Frage, die ich mir als Erstes gestellt habe: Sollte ich meine E-Mail-Adresse bei Satsback ändern?

Kurz gesagt: Dein Guthaben und dein Passwort sind laut Satsback nicht betroffen. Abgeflossen sind E-Mail-Adressen, bei manchen Nutzern Auszahlungsdaten und bei einigen Konten mit Nostr- oder Lightning-Login der öffentliche Anmeldeschlüssel. Die Gefahr liegt jetzt in deinem Postfach: gefälschte Mails im Namen von Satsback. Satsback fragt dich nie nach Passwort, 2FA-Code oder Wiederherstellungswörtern.

Lieber zuschauen? In meinem Short fasse ich dir das Wichtigste in knapp einer Minute zusammen:

Was ist bei Satsback passiert?

Satsback schreibt in der Mail und im Hinweis oben im Kundenbereich (Dashboard) sinngemäß Folgendes:

• Am 30. und 31. Oktober 2026 hat sich ein Unbefugter Zugang zu einem internen Werkzeug verschafft und darüber auf einen begrenzten Teil der Datenbank zugegriffen.
• Eingesehen wurden E-Mail-Adressen und bei manchen Nutzern Auszahlungsdaten. Der Hinweis im Dashboard nennt zusätzlich: Bei einigen Konten, die sich mit Nostr oder einer Lightning-Wallet anmelden, war auch der öffentliche Anmeldeschlüssel dabei.
• Die meisten Nutzer sind nicht betroffen. Wer betroffen ist und eine E-Mail-Adresse hinterlegt hat, bekommt eine Mail.
• Passwörter wurden nicht offengelegt, Guthaben und Auszahlungen sind nicht betroffen.
• Satsback hat den Zugang nach eigenen Angaben noch am selben Morgen geschlossen, die eigenen Zugangsdaten geändert, die Systeme abgesichert und den Vorfall der polnischen Datenschutzbehörde gemeldet.

Was genau mit „Auszahlungsdaten“ (im Original „payout details“) gemeint ist, schreibt Satsback nicht. Naheliegend ist die Lightning-Adresse, die du im Konto für automatische Auszahlungen hinterlegen kannst. Das ist aber meine Vermutung, keine Angabe von Satsback.

Was mir gefällt: Satsback benennt den Vorfall offen, statt ihn kleinzureden, und entschuldigt sich. Am Ende der Mail steht sinngemäß, dass Privatsphäre für viele Nutzer ein Grund für Satsback ist und man genau da versagt hat. So sollte ein Anbieter mit einer Panne umgehen.

Weitere öffentliche Berichte zu dem Vorfall habe ich bis heute (3. November 2026) nicht gefunden. Grundlage dieses Artikels sind die Mail und der Hinweis im Kundenbereich.

Was heißt das für dich?

Dein Guthaben ist nicht in Gefahr

Mit einer E-Mail-Adresse allein kommt niemand an dein Konto. Dafür braucht es dein Passwort und, wenn du sie eingeschaltet hast, den Code aus der Zwei-Faktor-Authentifizierung (2FA). Beides ist laut Satsback nicht abgeflossen.

Nostr- und Lightning-Login: der öffentliche Schlüssel

Meldest du dich mit Nostr oder einer Lightning-Wallet an, gibt es kein Passwort. Stattdessen bestätigst du die Anmeldung mit einem Schlüsselpaar: Der öffentliche Schlüssel zeigt, wer du bist, der private Schlüssel bleibt in deiner Wallet bzw. deiner Nostr-App und beweist, dass du es wirklich bist. Mit dem öffentlichen Schlüssel allein kann sich niemand anmelden.

Bei Nostr ist der öffentliche Schlüssel allerdings deine Identität im ganzen Netzwerk. Wer ihn kennt, kann dein Satsback-Konto deinem Nostr-Profil zuordnen. Das ist kein Risiko für dein Guthaben, aber eins für deine Privatsphäre. Bei der Anmeldung mit einer Lightning-Wallet erzeugt die Wallet in der Regel für jeden Dienst einen eigenen Schlüssel, darüber lässt sich also weniger verknüpfen.

Wichtig: Hast du dich nur mit Nostr oder Lightning angemeldet und keine E-Mail-Adresse hinterlegt, kann Satsback dich nicht per Mail informieren. Schau dann im Kundenbereich nach dem Hinweis oder frag beim Support nach (support@satsback.com).

Die eigentliche Gefahr: gefälschte Mails im Namen von Satsback

Wer jetzt deine E-Mail-Adresse hat, weiß auch, dass du Satsback nutzt und damit sehr wahrscheinlich Bitcoin besitzt. Das ist die perfekte Grundlage für Phishing, also gefälschte Nachrichten, die dich auf eine nachgebaute Seite locken sollen. Satsback warnt in der Mail selbst genau davor.

So könnten solche Mails aussehen (ausgedachte Beispiele, damit du das Muster erkennst):

• „Wegen des Sicherheitsvorfalls wurde dein Konto gesperrt. Bestätige jetzt deine Daten.“
• „Als Entschädigung schenken wir dir Sats. Hier abholen.“
• „Deine Auszahlung hängt fest. Verbinde deine Wallet neu.“
• „Installiere jetzt die neue Browser-Erweiterung.“ Das passt Betrügern gerade gut ins Bild, denn die alte Satsback-Erweiterung lief laut Satsback nur bis zum 1. November 2026 (mehr dazu in meinem Satsback-Artikel).

Die eine Regel: Satsback fragt dich nie nach deinem Passwort, deinen 2FA-Codes oder den Wiederherstellungswörtern (Seed Phrase) deiner Wallet. Wer danach fragt, ist ein Betrüger. Verdächtige Mails kannst du an support@satsback.com weiterleiten.

Woran du gefälschte Mails allgemein erkennst, habe ich am Beispiel einer gefälschten ELSTER-Mail Schritt für Schritt gezeigt.

Was du jetzt tun solltest

1Keine Links aus Mails anklicken

Öffne Satsback nur über die Adresse, die du selbst eintippst (satsback.com), oder über ein Lesezeichen. Das gilt für jede Mail, die angeblich von Satsback kommt, auch wenn sie echt aussieht. Im Zweifel meldest du dich direkt an und schaust, ob im Kundenbereich dieselbe Meldung steht.

2Zwei-Faktor-Authentifizierung einschalten

Falls noch nicht geschehen: In deinem Konto unter „My account“ → „Two Factor Authentication“ schaltest du 2FA ein. Dann reicht selbst ein erbeutetes Passwort nicht für die Anmeldung. Bei mir ist 2FA schon aktiv.

3Ein eigenes Passwort nur für Satsback

Dein Passwort ist laut Satsback nicht abgeflossen. Nutzt du dasselbe Passwort aber auch woanders, ist jetzt ein guter Zeitpunkt, das zu ändern („My account“ → „Change Password“). Ein Passwortmanager wie KeePass erzeugt und merkt sich für jeden Dienst ein eigenes Passwort.

4Sats regelmäßig auszahlen

Guthaben, das bei Satsback liegt, verwaltet Satsback für dich. Zahl deine Sats deshalb regelmäßig in deine eigene Lightning-Wallet aus. Das empfiehlt Satsback in seinen FAQ übrigens selbst. Wie die Auszahlung funktioniert, zeige ich dir im Abschnitt Auszahlung des Bitcoin Cashbacks.

5Auch in ein paar Monaten wachsam bleiben

Abgeflossene Adressen landen oft in Listen, die erst Wochen oder Monate später für Phishing genutzt werden. Die Regel aus dem Kasten oben gilt deshalb nicht nur diese Woche.

Soll ich meine E-Mail-Adresse bei Satsback ändern?

Die ehrliche Antwort: Das hängt davon ab, welche Adresse du dort nutzt.

Die abgeflossene Adresse ist draußen, daran ändert ein Wechsel nichts. Die Betrüger kennen sie und wissen, dass du Satsback nutzt. Ein Wechsel hilft dir also nur, wenn du danach echte von gefälschten Mails unterscheiden kannst.

Fall 1: Du nutzt eine eigene Adresse nur für Satsback. So mache ich es: Für Satsback habe ich eine Adresse, die ich nirgendwo sonst verwende, und genau an diese Adresse ging die Mail. Hier lohnt sich der Wechsel auf eine neue Adresse, deshalb habe ich meine am 3. November 2026 umgestellt. Ab dann gilt eine einfache Regel: Jede Mail, die angeblich von Satsback kommt und an die alte Adresse geht, ist gefälscht. Die alte Adresse kannst du danach in einen eigenen Ordner sortieren lassen oder ganz abschalten.

Fall 2: Du nutzt deine normale Adresse, die du überall angibst. Dann bringt ein Wechsel bei Satsback wenig. Die Betrüger schreiben an deine alte Adresse, und die nutzt du ja weiter. Wichtiger ist dann, wachsam zu bleiben. Für die Zukunft lohnt sich ein Blick auf Alias-Adressen: Dienste wie Apples „E-Mail-Adresse verbergen“, Firefox Relay oder SimpleLogin erzeugen dir für jeden Anbieter eine eigene Adresse, die in dein normales Postfach weiterleitet. Bei Gmail geht es auch mit einem Pluszeichen (name+satsback@gmail.com). Das hilft beim Sortieren, schützt aber wenig, weil Betrüger den Zusatz einfach weglassen können.

So änderst du die Adresse: Im Satsback-Konto oben auf „My account“, dann im Abschnitt „Account details“ das Feld „Email address“ ändern und mit „Save changes“ speichern. Prüfe vorher, ob an der neuen Adresse Mails ankommen.

Mein Fazit

Ein Datenleck bei einem Dienst, der damit wirbt, nur eine E-Mail-Adresse zu brauchen, ist ärgerlich. Satsback geht aber offen damit um: Hinweis im Kundenbereich, Mail an die Betroffenen, Meldung an die Datenschutzbehörde und eine klare Entschuldigung. Dein Guthaben ist laut Satsback sicher.

Die Arbeit liegt jetzt in deinem Postfach: keine Links aus Mails, 2FA an, Sats regelmäßig in die eigene Wallet. Und wenn du für Satsback eine eigene Adresse hast, tausch sie aus. Das dauert eine Minute und macht gefälschte Mails ab sofort erkennbar.

Hinweis: Dieser Artikel stellt keine Steuer- oder Anlageberatung dar. Alle Angaben ohne Gewähr, Stand: 3. November 2026.

Häufige Fragen (FAQ)