Krypto-Wallets: Verwahrung, Arten und Sicherheit

Eine Krypto-Wallet enthält keine Coins. Die Coins existieren nur als Einträge auf einer Blockchain; die Wallet enthält die privaten Schlüssel, mit denen sich diese Einträge bewegen lassen. Wer die Schlüssel kontrolliert, kontrolliert das Vermögen. Diese Seite erklärt die Arten von Wallets, wie ihre Sicherheit funktioniert und welche Fehler am häufigsten Geld kosten. Bestimmte Produkte empfiehlt sie nicht.

Verwahrt oder selbst verwaltet

• Verwahrte Wallet. Eine Börse oder App verwaltet die Schlüssel. Die Anmeldung funktioniert wie beim Onlinebanking, ein vergessenes Passwort lässt sich zurücksetzen. Der Kunde ist darauf angewiesen, dass der Anbieter zahlungsfähig und ehrlich bleibt, wie die Seite zu Kryptobörsen beschreibt.
• Selbst verwaltete Wallet. Die Schlüssel bleiben beim Besitzer. Kein Unternehmen kann die Coins sperren oder verlieren, aber auch niemand den Zugang wiederherstellen. Wer die Schlüssel verliert, verliert das Vermögen endgültig.

Die Wahl ist ein Tausch zweier Risiken: Vertrauen in ein Unternehmen oder Vertrauen in die eigene Sorgfalt.

Hot und Cold Wallet

Eine Hot Wallet ist Software auf Smartphone, Computer oder im Browser, die mit dem Internet verbunden ist. Sie ist bequem für häufige Transaktionen und angreifbar durch Schadsoftware und Phishing. Eine Cold Wallet hält die Schlüssel offline, meist auf einem Hardwaregerät, das Transaktionen intern signiert, sodass der Schlüssel nie auf einen vernetzten Rechner gelangt. Auch Papiersicherungen der Schlüssel zählen als Cold Storage. Viele Besitzer teilen ihre Bestände auf: ein kleiner Betrag in einer Hot Wallet für den Alltag, der Rest offline.

Die Seed-Phrase

Die meisten Wallets leiten alle Schlüssel aus einer Wiederherstellungsphrase von 12 oder 24 Wörtern ab, nach einem gemeinsamen Standard (BIP-39). Wer diese Wörter kennt, kann die Wallet auf jedem Gerät neu anlegen und die Coins bewegen. Daraus folgen einige Regeln:

• Die Phrase wird offline aufgeschrieben und an einem vor Feuer und Wasser geschützten Ort aufbewahrt, nicht als Foto oder in Cloud-Notizen.
• Kein seriöser Support, keine Börse und kein Wallet-Anbieter fragt jemals danach.
• Eine optionale zusätzliche Passphrase erzeugt eine eigene Wallet; ohne sie reichen die Wörter allein nicht, wer sie aber vergisst, verliert den Zugang genauso wie ohne Phrase.

Für größere Beträge verlangen Multi-Signatur-Lösungen mehrere Schlüssel für eine Transaktion, sodass ein einzelner verlorener oder gestohlener Schlüssel nicht alles kostet.

Häufige Betrugsmaschen

• Phishing. Gefälschte Websites, Apps oder E-Mails ahmen einen Wallet-Anbieter nach und fragen nach der Seed-Phrase oder den Zugangsdaten.
• Falscher Support. Konten in sozialen Netzwerken oder Messengern bieten Hilfe bei einem Problem an und verlangen dann die Wiederherstellungsphrase oder Fernzugriff.
• Schädliche Freigaben. Bei dezentralen Anwendungen kann eine unterschriebene Vertragsfreigabe einem „Wallet Drainer" erlauben, Token später abzuziehen. Erteilte Freigaben lassen sich prüfen und widerrufen.
• Address Poisoning. Angreifer schicken Kleinstbeträge von einer Adresse, die einer früher genutzten ähnelt, in der Hoffnung, dass das Opfer sie aus dem Verlauf kopiert.
• Zwischenablage-Schadsoftware. Schadprogramme tauschen eine kopierte Empfangsadresse gegen die Adresse des Angreifers.

Wer vor dem Senden die ersten und letzten Zeichen einer Adresse vergleicht und mit einem kleinen Betrag testet, verhindert viele dieser Verluste.

Regeln für Überweisungen in der EU

Seit dem 30. Dezember 2024 gilt die EU-Geldtransferverordnung auch für Kryptowerte. Regulierte Anbieter müssen bei jeder Übertragung Angaben zu Absender und Empfänger übermitteln. Gehen Coins zwischen einer Börse und einer selbst verwalteten Wallet hin und her und übersteigt der Betrag 1.000 Euro, muss der Anbieter prüfen, dass die Wallet seinem Kunden gehört, etwa über eine signierte Nachricht oder eine kleine Testüberweisung.