Krypto sicher aufbewahren · Checkliste zum Abhaken
Krypto sicher aufbewahren: die praktische Checkliste für Bitcoin-Selbstverwahrung
37 Punkte in sieben Blöcken, vom Kauf des Geräts bis zum Erbfall. Markiere jeden Punkt als erledigt, offen oder nicht zutreffend. Entscheidend ist, dass du am Ende genau weißt, wo dein Sicherheitskonzept noch Lücken hat.
Das System hinter der Checkliste →Kauf, Erzeugung, Sicherung, Zugriff, Alltag, Notfall, Umfeld
entscheidet, ob dein Backup wirklich trägt
wird die Liste noch einmal durchgegangen
von der Seed-Phrase, ohne Ausnahme
Eine Checkliste nützt nur, wenn sie ehrlich beantwortet wird. Der häufigste Befund ist nicht ein fehlendes Gerät, sondern ein Backup, das nie zurückgespielt wurde, und ein Notfallplan, den es nur im Kopf gibt. Geh die Punkte einmal in Ruhe durch und notiere, was offen ist – abarbeiten kannst du das über Wochen, nur wissen musst du es heute.
Warum eine Liste besser funktioniert als guter Vorsatz
Selbstverwahrung scheitert selten an fehlendem Wissen. Sie scheitert daran, dass niemand einen Zeitpunkt festlegt, an dem geprüft wird, ob das Aufgebaute noch funktioniert. Ein Gerät wird eingerichtet, die Wörter landen in einer Schublade, und danach passiert jahrelang nichts – bis der Ernstfall die Antwort erzwingt.
Der Grundsatz „Not your keys, not your coins“ beschreibt nur die halbe Wahrheit. Die eigenen Schlüssel zu halten ist die Voraussetzung, nicht das Ergebnis. Was zählt, ist die Frage, ob du in sechs Monaten, nach einem Umzug, nach einem Gerätedefekt oder im Krankenhausbett noch an dein Guthaben kommst – und ob es jemand anders in dieser Zeit nicht kann.
Wie aktuell dieses Thema ist, hat der Juli 2026 gezeigt: Ein Fehler im Zufallsgenerator einer verbreiteten Hardware-Wallet machte Seeds berechenbar, die über Jahre auf korrekt eingerichteten Geräten entstanden waren. Betroffen waren Nutzer, die alles nach Anleitung gemacht hatten. Die Einzelheiten stehen im Beitrag zum Coldcard-Entropiefehler. Für diese Checkliste heißt das: Es reicht nicht, einmal alles richtig gemacht zu haben. Es muss überprüfbar bleiben.
So arbeitest du die Liste ab
Nimm ein Blatt Papier und schreibe zu jedem Punkt nur eines hin: erledigt, offen oder betrifft mich nicht. Diskutiere nicht mit dir selbst. „Eigentlich schon“ bedeutet offen. Am Ende hast du eine Liste, die du der Reihe nach abarbeiten kannst – und die du im nächsten Jahr wieder hervorholst.
Nicht jeder Punkt gilt für jeden. Wie viel Aufwand angemessen ist, hängt vom Bestand ab – dazu steht weiter unten eine eigene Einordnung, und ausführlicher im Beitrag wie viel Krypto-Sicherheit du wirklich brauchst. Wer lieber vom Risiko her denkt, beginnt mit einem eigenen Bedrohungsmodell: Wer genau soll an dein Geld kommen, und über welchen Weg?
Block 1 von 7
Kauf und Ersteinrichtung
Die ersten Fehler passieren, bevor das Gerät überhaupt läuft. Ein manipuliertes Gerät lässt sich später durch keine noch so gute Vorsicht heilen.
Gerät beim Hersteller oder einem Fachhändler gekauft
Niemals gebraucht, niemals über einen Marktplatz von privat. Der Preisvorteil steht in keinem Verhältnis zum Risiko. Woran sich manipulierte Geräte erkennen lassen, steht im Beitrag zu gefälschten Hardware-Wallets.
Verpackung und Siegel bei Ankunft geprüft
Zwei Minuten, die den ganzen Rest tragen. Dazu die Echtheitsprüfung des Herstellers wirklich durchführen und nicht überspringen.
Keine vorgegebene Seed-Phrase akzeptiert
Eine bereits vorgedruckte, beigelegte oder vom Verkäufer genannte Phrase darf nie verwendet werden. Dass die Wörter während deiner eigenen Ersteinrichtung auf dem Display erscheinen, ist dagegen normal und richtig.
Firmware vor der Seed-Erzeugung aktualisiert
Und zwar auf die Version, die der Hersteller ausdrücklich als korrigiert benennt – nicht einfach „die neueste“. Firmware kommt ausschließlich vom Hersteller, nie aus einer Suchanzeige. Wie sich gefälschte Updates erkennen lassen, ist ein eigenes Thema.
Einrichtung in einer ruhigen Umgebung durchgeführt
Keine Kameras, kein Smartphone auf dem Tisch, niemand im Rücken. Den vollständigen Ablauf beschreibt der Beitrag Hardware-Wallet sicher einrichten.
Block 2 von 7
Erzeugung des Schlüssels
Der Block, den fast alle Checklisten auslassen – und der 2026 der teuerste geworden ist. Eine Seed-Phrase ist nur so gut wie der Zufall, aus dem sie entsteht. Ist der berechenbar, muss ein Angreifer nicht einbrechen, sondern nur rechnen.
Bekannt, auf welchem Gerät und mit welcher Firmware dein Seed entstanden ist
Notiert, nicht erinnert. Ohne diese Angabe kannst du bei einer Herstellerwarnung nicht beurteilen, ob du betroffen bist.
Sicherheitsmeldungen des Herstellers verfolgt
Ein Lesezeichen reicht nicht, weil es dich nicht von sich aus informiert. Sinnvoll sind der Hersteller-Newsletter, ein Sicherheits-Feed oder eine Seite, die du bewusst regelmäßig aufrufst. Der Coldcard-Fall wurde über die Herstellerseite bekannt, nicht über die Wallet-App.
Eigene Würfelentropie geprüft, wenn das Gerät sie dokumentiert anbietet
Coinkite nennt für die Größenordnung mindestens 50 faire, unabhängige Würfe für etwa 128 Bit und 99 Würfe für etwa 256 Bit. Das verringert die Abhängigkeit vom internen Zufallsgenerator – vorausgesetzt, die Firmware verarbeitet die Würfe korrekt. Nicht jedes Gerät bietet einen solchen Weg.
Behandle die Wurffolge wie Schlüsselmaterial: nicht fotografieren, nicht an einem vernetzten Rechner eintippen, nach der Erzeugung vernichten. Eine notierte Wurffolge im Schreibtisch ist dasselbe wie eine notierte Seed-Phrase.
Bei bekannter Schwäche migriert statt nur aktualisiert
Ein Firmware-Update repariert keine Seed-Phrase, die bereits mit fehlerhafter Firmware entstanden ist. Auch der Export in eine andere Wallet hilft nicht – ein schwacher Seed bleibt schwach. Nötig ist ein neuer Seed und der Umzug des Guthabens.
Wenn bei Block 1 oder 2 etwas offen ist, fängt es beim Gerät an. Der Kauf direkt beim Hersteller verkürzt die Lieferkette und vermeidet zusätzliche Zwischenhändler. Das senkt das Manipulationsrisiko, beseitigt es aber nicht vollständig. Alle drei Hersteller veröffentlichen ihren Quellcode.
Trezor: Geräte im HerstellershopModelle, Ausführungen und Verfügbarkeit beim Hersteller prüfen · Anzeige BitBox: Schweizer Hardware-Wallet
Ausführungen und Lieferbarkeit beim Hersteller prüfen · Anzeige OneKey: quelloffen, auch als Bitcoin-only-Variante
Modelle und Ausführungen beim Hersteller prüfen · Anzeige
Block 3 von 7
Sicherung der Seed-Phrase
Das Gerät ist ersetzbar, die Wörter sind es nicht. Hier entstehen in der Praxis die stillen Totalverluste – nicht durch Angreifer, sondern durch Wasser, Feuer, Umzüge und Zettel, die niemand mehr findet. Welche Verfahren es überhaupt gibt, vergleicht der Beitrag zu den Krypto-Backup-Methoden.
Seed-Phrase nirgends digital erfasst
Kein Foto, keine Cloud-Notiz, kein Passwortmanager, keine verschlüsselte Datei. Sobald die Wörter ein vernetztes Gerät berühren, entsteht wieder ein Online-Angriffsweg – genau der, für den du die Hardware-Wallet gekauft hast. Wie gezielt danach gesucht wird, zeigt der Fall der Malware, die Fotogalerien nach Screenshots durchsucht.
Sicherung auf Metall statt auf Papier
Bei einem Bestand, den du langfristig hältst, ist eine hochwertige Sicherung aus Edelstahl oder Titan dem Papier in aller Regel überlegen – gegen Feuer, Wasser und Alterung. Unzerstörbar ist sie nicht, und jede zusätzliche Kopie muss an einem eigenständig geschützten Ort liegen. Was ein solches Backup aushalten muss, beschreibt der Beitrag deine 24 Wörter überleben Feuer, Wasser und Zeit.
Mindestens zwei Sicherungen an getrennten Orten
Ein einziger Lagerort ist der klassische Einzelfehlerpunkt – ein Wohnungsbrand betrifft dann alles gleichzeitig. Wie sich Orte sinnvoll trennen lassen, ohne die Sache unpraktikabel zu machen, steht unter Backups geografisch trennen.
Passphrase getrennt von den Wörtern aufbewahrt
Beides am selben Ort hebt den Schutz auf. Welche Aufbewahrungsorte in der Praxis taugen und welche nur sicher wirken, ist unter Seed-Phrase sicher aufbewahren durchgegangen. Beides zu vergessen ist ein Totalverlust ohne Wiederherstellung.
Aufteilung geprüft, wenn der Bestand groß ist
Bei größeren Beständen kann eine Aufteilung auf mehrere Anteile sinnvoll sein, sodass kein einzelner Fund alles preisgibt. Wichtig: Teile eine Seed-Phrase niemals eigenmächtig in Wortgruppen auf – das schwächt sie, statt sie zu schützen. Nutze ausschließlich ein dokumentiertes, von deiner Wallet unterstütztes Verfahren wie Shamir Backup nach SLIP39. Wie das funktioniert und was es kostet, erklärt der Beitrag zu Shamirs Secret Sharing.
Wiederherstellung mindestens einmal getestet
Der wichtigste Punkt der gesamten Liste. Ein Backup, das nie zurückgespielt wurde, ist keine Sicherung, sondern eine Annahme. Wie eine Wiederherstellungsprobe abläuft, ohne dass dabei Guthaben in Gefahr gerät, steht dort Schritt für Schritt.
Nutze die Backup-Prüffunktion des Herstellers, falls es eine gibt. Sonst stelle das Backup auf einem zweiten, leeren Gerät wieder her. Das eigene Gerät zurückzusetzen ist nur vertretbar, solange noch kein nennenswerter Betrag darauf liegt. Und vergleiche nicht nur eine Empfangsadresse: Eine abweichende Adresse bedeutet oft nur, dass ein anderes Konto, ein anderer Adresstyp, ein anderer Ableitungspfad oder eine Passphrase aktiv war.
Die Metallsicherung ist der Teil des Systems, der einen Gerätewechsel überdauert. Einmal beschriftet, danach nicht unnötig bewegt oder offengelegt – Zustand, Lesbarkeit und Erreichbarkeit gehören trotzdem in den jährlichen Durchgang. Für die zuverlässige Wiederherstellung sollten zusätzlich Passphrase, Wallet-Typ, Konto und Ableitungspfad dokumentiert sein.
Trezor Keep Metal: Seed-Sicherung aus MetallAusführungen und Verfügbarkeit beim Hersteller prüfen · Anzeige
Block 4 von 7
Zugriff, Passphrase und Multisig
Hier entscheidet sich, was passiert, wenn jemand deine Wörter findet – und ob dein System auch dann funktioniert, wenn ein einzelnes Gerät kompromittiert ist.
Starke Passphrase gesetzt und ihre Grenzen verstanden
Die zusätzliche BIP39-Passphrase – umgangssprachlich das 25. Wort – erzeugt eine völlig andere Wallet. Sie muss lang, zufällig und nirgendwo sonst verwendet sein. Sie ist eine zusätzliche Schicht, aber kein Ersatz für eine saubere Seed-Erzeugung und kein Grund zur Entwarnung, wenn eine Schwäche bekannt wird.
Jede Eingabe erzeugt eine gültige Wallet – auch eine mit Tippfehler. Notiere den Wallet-Fingerabdruck und prüfe ihn vor jeder Einzahlung. Eine vergessene Passphrase ist ein Totalverlust, gegen den es keine Wiederherstellung gibt.
Wallet-Typ, Konto und Ableitungspfad dokumentiert
Diese drei Angaben entscheiden mit darüber, ob eine Wiederherstellung gelingt. Ohne sie stehst du mit korrekten Wörtern vor einer leeren Wallet und weißt nicht, warum.
Multisig geprüft, wenn der Bestand groß ist
Bei einer Multisig-Konstruktion braucht eine Überweisung mehrere Schlüssel. Entscheidend ist, dass das Quorum aus unabhängig erzeugten Schlüsseln besteht, die nicht alle von derselben Schwachstelle betroffen sind. Unterschiedliche Hersteller verringern dieses Risiko, sind aber weder zwingend noch allein ausreichend.
Bei Multisig zusätzlich den Descriptor gesichert
Die Seed-Phrasen allein reichen nicht. Dokumentiert gehören außerdem Quorum, die beteiligten erweiterten öffentlichen Schlüssel, die Reihenfolge, die Ableitungspfade, der Adresstyp und die Wallet-Beschreibungsdatei. Fehlt das, kann die Wiederherstellung trotz vorhandener Seeds scheitern.
Abstreitbares Versteck erwogen, wenn körperliche Bedrohung ein Thema ist
Die Wörter allein führen auf eine Wallet mit geringem Betrag, der eigentliche Bestand hängt an der Passphrase. Wie eine Decoy-Wallet aufgebaut wird und wo ihre praktischen Grenzen liegen, steht dort.
Wenn die Punkte 4.3 und 4.4 offen sind, kann bei größeren Beständen ein zweites Gerät mit unabhängig erzeugtem Schlüssel sinnvoll sein. Ein anderer Hersteller senkt das Risiko eines gemeinsamen Implementierungsfehlers, erhöht aber Aufwand und Komplexität – das ist eine Abwägung, keine Pflicht. Diese drei signieren per QR-Code; wie streng die Trennung jeweils ausfällt, unterscheidet sich.
Foundation Passport Prime: QR-Betrieb und verschlüsseltes QuantumLinkAusstattung und Verfügbarkeit beim Hersteller prüfen · Anzeige Keystone: QR-Übertragung ohne Kabel
Modelle und Lieferumfang beim Hersteller prüfen · Anzeige ERA Wallet: Kartenformat mit QR-Signatur und NFC-Sicherung
Ausführungen und Lieferumfang beim Hersteller prüfen · Anzeige
Block 5 von 7
Alltag und Transaktionen
Die Ebene, auf der die meisten Angriffe tatsächlich stattfinden – nicht gegen dein Gerät, sondern gegen deine Aufmerksamkeit im Moment der Freigabe.
Bestände nach Zweck getrennt
Eine kleine Wallet für den Alltag, der Hauptbestand bleibt unangetastet. Den Unterschied und die passenden Einsatzbereiche erklärt der Beitrag Cold Wallet gegen Hot Wallet. Wer mehrere Wallets führt, braucht zusätzlich eine Ordnung, in der auch nach Monaten noch klar ist, welche Wallet welchem Zweck dient.
Empfängeradresse immer auf dem Gerätedisplay geprüft
Nicht nur die ersten und letzten Zeichen – Adressvergiftung erzeugt gezielt Adressen, die vorne und hinten passen. Das Gerätedisplay ist die für die Freigabe maßgebliche Anzeige. Warum der Bildschirm des Rechners nicht genügt: Schadsoftware, die kopierte Adressen in der Zwischenablage austauscht, ist seit Jahren Alltag.
Nie blind bestätigt
Betrag, Gebühr und – bei Ethereum und ähnlichen Netzwerken – die Art der Freigabe gehören kontrolliert. Zeigt die Wallet eine unbekannte oder externe Wechselgeldadresse an, wird nicht bestätigt. Bei hohen Beträgen zuerst eine kleine Testüberweisung senden und erst danach den Rest. Eine Signatur kann statt einer Überweisung auch eine dauerhafte Berechtigung erteilen. Solche Freigaben und manipulierte Signaturen gehören zu den häufigsten Mechanismen, die Wallet-Drainer ausnutzen. Was im Einzelnen zu prüfen ist, steht unter niemals blind signieren.
Erteilte Freigaben regelmäßig entzogen
Wer in DeFi unterwegs ist, sammelt über die Zeit Berechtigungen an, die niemand mehr überblickt. Eine einzige alte Freigabe genügt, damit ein Wallet-Drainer später abräumt. Einmal im Quartal durchsehen und entziehen, was nicht mehr gebraucht wird.
Wallet-Apps nur aus der offiziellen Quelle installiert
Gefälschte Apps in den Stores sind Alltag. Woran sie sich erkennen lassen, steht unter gefälschte Wallet-Apps erkennen. Dieselbe Masche läuft über gefälschten Support und nachgebaute Portale.
Zwei-Faktor-Verfahren ohne SMS eingerichtet
Wo noch Börsenkonten bestehen, ist die Telefonnummer die Schwachstelle. Warum SMS-Codes nicht reichen, erklärt der Beitrag zu SIM-Swapping. In dieser Reihenfolge: ein FIDO2-Sicherheitsschlüssel, ersatzweise eine Authenticator-App, SMS nur dort, wo nichts anderes angeboten wird.
Block 6 von 7
Notfall, Handlungsunfähigkeit und Erbfall
Der Block, den fast alle überspringen – und der für dauerhafte Verluste häufiger verantwortlich ist als jeder Angreifer. Ein System, das nur du bedienen kannst, hat ein Ablaufdatum.
Eine Vertrauensperson weiß, dass es einen Bestand gibt
Nicht zwingend, wie man ihn öffnet – aber dass er existiert und wo die Anleitung liegt. Ohne diesen Punkt nützt der beste Plan nichts, weil niemand ihn sucht.
Schriftliche Anleitung für jemanden ohne Vorwissen
Welches Gerät, welche Software, in welcher Reihenfolge. Den vollständigen Aufbau beschreibt der Krypto-Notfallplan.
Vorsorge für Handlungsunfähigkeit geregelt
Ein Krankenhausaufenthalt über Wochen ist wahrscheinlicher als ein gezielter Angriff. Was dafür vorbereitet gehört, steht unter Krypto bei Handlungsunfähigkeit.
Erbfall geregelt, Zugriff im Ernstfall erreichbar
Seed und Passphrase liegen getrennt, sind aber beide erreichbar – etwa über Notar, Bankschließfach oder eine zweite Vertrauensperson. Wie Erben rechtlich und technisch an den Bestand kommen, erklärt Krypto-Erbe regeln.
Angehörige wissen, was sie NICHT tun dürfen
Der häufigste Fehler im Erbfall ist gut gemeint: Wörter abtippen, in eine App eingeben, jemanden um Hilfe bitten. Was dabei schiefgeht, steht unter Seed-Phrase gefunden.
Vorgehen bei Verlust oder Defekt bekannt
Ein defektes Gerät ist kein Notfall, wenn das Backup trägt – aber nur, wenn du weißt, was zu tun ist. Der Ablauf steht unter Hardware-Wallet verloren oder defekt.
Block 7 von 7
Dein Umfeld
Die letzte Ebene hat mit Technik nichts mehr zu tun und wird trotzdem unterschätzt. Wer als Krypto-Halter bekannt ist, trägt ein Risiko, gegen das keine Firmware etwas ausrichtet.
Im Bekanntenkreis nichts über Bestände erzählt
Der Angriffsweg, gegen den keine Technik hilft. Wem man besser nichts erzählt und warum, steht unter über Krypto-Besitz reden.
Lieferadresse und Bestelldaten bedacht
Eine Bestellung beim Hardware-Hersteller verbindet Klarnamen und Wohnanschrift mit dem Umstand, dass du Kryptowährungen hältst. Warum das ein eigenes Risiko ist, beschreibt die unsichtbare Zielscheibe. Prüfe, ob der Hersteller eine Packstation oder eine andere Lieferadresse unterstützt – das ist nicht überall der Fall. Zahlungs- und Rechnungsdaten bleiben ohnehin beim Händler und erlauben eine Zuordnung.
Eigene Daten in bekannten Lecks geprüft
Geleakte Kundendatenbanken sind die Grundlage für gezielte Angriffe – der Zusammenhang ist unter Datenlecks als Auslöser von Wrench-Angriffen beschrieben. Prüfe vor allem die E-Mail-Adressen, die du für Bestellungen verwendet hast, in einem seriösen Datenleck-Prüfdienst. Für Bestellungen bei Wallet-Herstellern lohnt sich eine eigene, sonst nirgends genutzte Adresse.
Physische Absicherung bedacht
Gegen körperliche Bedrohung hilft Verschlüsselung nicht. Was praktisch zählt, steht unter Wrench-Angriff. Dazu gehört auch die schlichte Frage, wie gut die eigene Wohnungstür tatsächlich gesichert ist.
Vor angeblichen Rettern gewarnt
Nach jedem größeren Vorfall folgt die zweite Welle: Wiederherstellungsdienste, gefälschte Betroffenheitstests, hilfsbereiter Support. Wie das abläuft, steht unter Krypto-Recovery-Scams.
Wie viele Punkte gelten für dich?
Alle sieben Blöcke sollten zumindest geprüft werden – auch ein kleiner Bestand kann nach einem Todesfall unauffindbar sein oder durch eine unbedachte Äußerung zum Risiko werden. Mit wachsendem Bestand steigen vor allem Redundanz, räumliche Trennung und organisatorischer Aufwand. Die Größenangaben sind bewusst grob gehalten; entscheidend ist, was du im Ernstfall selbst sicher bedienen kannst.
| Bestand | Sicherheits-Schwerpunkt | Was zusätzlich zählt |
|---|---|---|
| Kleiner Einstiegsbestand | Schwerpunkt auf Blöcken 1, 2, 3 und 5 | Die Gewohnheit aufbauen, die Adresse immer auf dem Gerät zu prüfen |
| Mittlerer Bestand | zusätzlich Block 4 und 6 ausbauen | Zweites Gerät als Ersatz, damit ein Defekt keine Panik auslöst |
| Großer Bestand | alle sieben Blöcke voll ausbauen | Multisig mit unabhängig erzeugten Schlüsseln, Nachlassregelung mit Notar |
| Laufender Handel | Schwerpunkt Block 5, Rest vollständig | Freigaben regelmäßig prüfen und entziehen, Handelsbestand strikt trennen |
Einmal im Jahr wiederholen
Die Liste ist kein einmaliges Projekt. Firmware ändert sich, Geräte werden ersetzt, Menschen ziehen um, und Sicherheitswarnungen kommen ohne Vorankündigung. Drei Rhythmen greifen ineinander: Sicherheitsmeldungen der Hersteller werden zeitnah geprüft, sobald sie erscheinen. Erteilte Freigaben kontrollierst du bei DeFi-Nutzung mindestens vierteljährlich. Und einmal im Jahr geht die vollständige Liste durch – Erreichbarkeit und Lesbarkeit der Backups, Aktualität des Notfallplans, Zustand der Geräte. Dazu gehört der Blick auf die Warnzeichen einer kompromittierten Wallet – viele Zugriffe beginnen unauffällig. Wie sich das zu einer festen Routine machen lässt, beschreibt der jährliche Krypto-Sicherheitscheck.
Die acht Punkte, an denen es am häufigsten scheitert
Wenn du nur wenig Zeit hast, prüfe zuerst diese acht. Eine ausführlichere Sammlung steht in der Übersicht zu den häufigsten Fehlern bei der Selbstverwahrung.
- Das Backup wurde nie getestet. Der häufigste stille Totalverlust, bemerkt wird er erst, wenn das Gerät kaputt ist.
- Die Wörter liegen irgendwo digital. Foto, Cloud-Notiz, Passwortmanager – damit ist der Schutz weg, für den du das Gerät gekauft hast.
- Es gibt nur eine Sicherung. Ein Wohnungsbrand betrifft dann alles gleichzeitig.
- Die Passphrase ist gesetzt, aber nicht sauber gesichert. Aus einer Schutzmaßnahme wird eine zweite Verlustquelle.
- Es gibt keinen Notfallplan. Kein Angreifer nötig, nur ein Krankenhausaufenthalt.
- Adressen werden nur am Rechner geprüft. Damit ist der Zweck des getrennten Displays aufgegeben.
- Über den Bestand wurde geredet. Der Angriffsweg, gegen den keine Technik hilft.
- Nach einer Sicherheitsmeldung wurde hektisch gehandelt. Eine überstürzte Migration kann mehr Schaden anrichten als die Lücke.
Häufige Fragen zur sicheren Aufbewahrung
Wie kann ich Krypto sicher aufbewahren?
Durch ein System aus sieben Sicherheitsbereichen: sicherer Kauf und Einrichtung, nachvollziehbare Seed-Erzeugung, belastbare Backups mit geprüfter Wiederherstellung, geregelter Zugriff über Passphrase und gegebenenfalls Multisig, sichere Transaktionen im Alltag, ein Notfall- und Nachlassplan sowie ein möglichst diskretes und geschütztes Umfeld. Ein einzelnes Gerät allein ist keine Lösung, sondern nur der erste dieser sieben Blöcke.
Was ist der wichtigste Punkt der Checkliste?
Der getestete Recovery-Vorgang. Ein Backup, das nie zurückgespielt wurde, ist keine Sicherung, sondern eine Annahme. Am sichersten prüfst du es mit der Backup-Funktion des Herstellers oder auf einem zweiten, leeren Gerät. Das eigene Gerät zurückzusetzen ist nur vertretbar, solange noch kein nennenswerter Betrag darauf liegt.
Reicht eine Hardware-Wallet nicht aus?
Sie erledigt eine wichtige Aufgabe: die privaten Schlüssel vom vernetzten Rechner isolieren und Transaktionsdaten auf einem getrennten Display kontrollierbar machen. Gegen verlorene Backups, vergessene Passphrasen, manipulierte Lieferketten, blindes Bestätigen und ungeregelte Nachlassfälle hilft sie nicht. Genau dafür gibt es die übrigen Blöcke.
Wie sichere ich die Seed-Phrase richtig?
Offline und niemals auf einem vernetzten Gerät – kein Foto, keine Cloud-Notiz, kein Passwortmanager, keine verschlüsselte Datei. Für einen Bestand, den du langfristig hältst, ist eine hochwertige Metallsicherung dem Papier in der Regel überlegen. Sinnvoll sind getrennte, jeweils eigenständig geschützte Lagerorte; eine verwendete Passphrase wird getrennt von der Seed-Phrase aufbewahrt. Sobald die Wörter ein vernetztes Gerät berühren, entsteht wieder ein Online-Angriffsweg.
Ist eine Passphrase Pflicht?
Nein. Eine starke und zuverlässig dokumentierte Passphrase kann den Schutz erheblich erhöhen, wenn jemand die Wörter findet. Sie erhöht aber auch die Komplexität und kann bei Verlust oder fehlerhafter Eingabe selbst zum Totalverlust führen. Sie muss lang, zufällig und nirgendwo sonst verwendet sein und getrennt aufbewahrt werden. Sie ist eine zusätzliche Schicht, kein Ersatz für eine saubere Seed-Erzeugung – und eine vergessene Passphrase ist ein Totalverlust ohne Wiederherstellung.
Ab wann lohnt sich Multisig?
Erst ab größeren Beständen. Der Schutz entsteht durch ein ausreichendes Quorum unabhängig erzeugter Schlüssel, die nicht alle von derselben Schwachstelle betroffen sind. Dafür steigen Kosten und Aufwand deutlich, und ohne dokumentierten Descriptor kann die Wiederherstellung trotz vorhandener Seeds scheitern. Für kleinere Bestände ist ein Gerät mit starker Passphrase und geprüftem Backup meist die sicherere Wahl.
Wie oft sollte ich die Checkliste durchgehen?
Die vollständige Liste einmal im Jahr, dazu immer dann, wenn sich etwas ändert: neues Gerät, Umzug, neue Vertrauensperson. Sicherheitsmeldungen des Herstellers gehören dagegen zeitnah geprüft, nicht erst zum Jahrestermin. Wer DeFi nutzt, sieht erteilte Freigaben mindestens vierteljährlich durch.
Was mache ich, wenn der Hersteller eine Sicherheitslücke meldet?
Nicht überstürzt handeln. Zuerst Meldung und Versionsnummer auf der offiziellen Herstellerseite verifizieren, dann prüfen, ob dein Seed überhaupt betroffen ist – dafür brauchst du die Notiz aus Punkt 2.1. Ein Update repariert keine bereits erzeugte Seed-Phrase; ist der Seed betroffen, führt der Weg über einen neu erzeugten Seed und den Umzug des Guthabens.
Brauchen meine Angehörigen Zugriff auf die Seed-Phrase?
Nicht automatisch. Bei gemeinsam verwaltetem Vermögen, bei Ehepartnern oder in einer Multisig-Konstruktion kann ein kontrollierter Zugriff zu Lebzeiten ausdrücklich gewollt sein. Entscheidend ist, dass keine einzelne Person unbeabsichtigt vollständigen Zugriff bekommt. Angehörige sollten in jedem Fall wissen, dass ein Bestand existiert und wo die Anleitung liegt. Seed und Passphrase lassen sich getrennt hinterlegen – Notar oder Bankschließfach sind mögliche Bausteine, aber kein Selbstläufer: Ein Notar verwahrt nicht automatisch Seed-Phrasen, und der Zugriff auf ein Schließfach kann im Todesfall dauern. Wichtig ist außerdem, dass Angehörige wissen, was sie im Fund-Fall nicht tun dürfen.
Wenn du nur einen Punkt heute erledigst
Dann teste deine Wiederherstellung. Die übrigen offenen Punkte kannst du danach systematisch abarbeiten – ein Backup, das nicht funktioniert, bemerkst du sonst möglicherweise erst im Ernstfall.
Zur Wiederherstellungsprobe →Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle Rechts-, Steuer- oder Sicherheitsberatung. Das gilt besonders für die Punkte zu Nachlass, Notar und Bankschließfach – dort hängt die passende Lösung von deiner persönlichen Situation ab.