Niemals blind signieren – was du vor jeder Krypto-Bestätigung prüfen musst
Die meisten Krypto-Verluste durch sogenannte Wallet-Drainer passieren nicht, weil jemand einen Schlüssel knackt. Sie passieren, weil das Opfer eine Bestätigung freigibt, ohne zu wissen, was sie wirklich auslöst. Diese Gewohnheit hat einen Namen: blind signieren.
Kurz erklärt
Blind signieren heißt: eine Transaktion oder Signatur bestätigen, ohne ihre Wirkung zu sehen und zu verstehen. Angreifer tarnen damit harmlos wirkende „Anmeldungen" oder „Claims" als das, was sie wirklich sind – eine unbegrenzte Freigabe oder eine Umleitung deiner Coins. Schutz: nichts bestätigen, dessen Wirkung du nicht liest, Empfänger und Betrag am Geräte-Display prüfen und die Blind-Signing-Funktion deaktiviert lassen.
Eine Signatur in der Krypto-Welt ist kein bloßes „OK". Sie ist eine verbindliche, oft unumkehrbare Anweisung an dein Vermögen. Wer sie blind erteilt, unterschreibt einen Vertrag, den er nicht gelesen hat – und genau darauf bauen die heutigen Angriffe.
Was am Signieren „blind" ist
Blind signierst du, wenn du eine Bestätigung gibst, ohne dass dir Empfänger, Betrag und Wirkung klar und vollständig angezeigt werden. Manchmal liegt das am Angreifer, manchmal an einer Wallet, die die Details gar nicht erst lesbar darstellt.
Bei einer einfachen Überweisung sind Empfänger und Betrag meist erkennbar. Schwieriger wird es bei Interaktionen mit Anwendungen und Verträgen: Dort verbirgt sich hinter einem Klick oft eine komplexe Anweisung, die deine Wallet nicht im Klartext zeigt. Du siehst dann nur „bestätigen" – und nicht, dass du damit zum Beispiel einer fremden Anwendung dauerhaften Zugriff auf deine Token einräumst.
Das Problem ist also doppelt: Du sollst etwas freigeben, dessen Inhalt entweder absichtlich verschleiert oder technisch nicht verständlich dargestellt ist. In beiden Fällen gilt dieselbe Regel – was du nicht verstehst, bestätigst du nicht.
Wie Angreifer das blinde Signieren ausnutzen
Der Trick ist immer derselbe: Eine bösartige Aktion wird als etwas Harmloses verpackt, damit du sie ungeprüft bestätigst. Was du erwartest und was wirklich passiert, klaffen dabei weit auseinander.
| Was angezeigt/versprochen wird | Was du denkst | Was wirklich passiert |
|---|---|---|
| „Mit Wallet verbinden / anmelden" | Eine harmlose Anmeldung bei einer Seite | Du erteilst einer fremden Anwendung eine Freigabe über deine Token – teils unbegrenzt |
| „Airdrop / Belohnung einsammeln" | Du holst dir ein Gratis-Guthaben ab | Du gibst einem Drainer die Erlaubnis, deine Bestände abzuziehen |
| „Transaktion bestätigen" | Du sendest den angezeigten Betrag | Empfänger oder Betrag wurden manipuliert, das Geld geht woandershin |
| Mehrere Bestätigungen hintereinander | Normale Schritte eines Vorgangs | Eine davon ist die bösartige Freigabe, im Ablauf versteckt |
Solche Drainer-Angriffe sind eng mit Phishing verwandt: Erst lockt dich eine Nachricht oder Anzeige auf eine präparierte Seite, dann sollst du dort „nur kurz bestätigen". Wie diese Köder aussehen, zeigt der Beitrag Krypto-Scams erkennen.
So prüfst du, bevor du bestätigst
Bestätige nur, was du vollständig liest und verstehst – Empfänger, Betrag und Wirkung – und lass die Blind-Signing-Funktion deiner Wallet ausgeschaltet. Im Zweifel lehnst du ab; eine abgelehnte Transaktion kostet nichts.
- Am Geräte-Display lesen. Bei einer Hardware-Wallet zeigt das Gerät selbst Empfänger und Betrag an – diese Anzeige kann Schadsoftware auf dem Computer nicht fälschen. Lies sie, statt blind zu klicken.
- Freigaben verstehen und begrenzen. Wenn du einer Anwendung Zugriff auf Token gibst, achte darauf, ob die Freigabe unbegrenzt ist. Erteile nur die Menge, die du wirklich brauchst – keine pauschale, unbegrenzte Erlaubnis.
- Blind-Signing-Funktion aus lassen. Manche Wallets bieten an, komplexe Anweisungen ungeprüft zu bestätigen. Lass diese Option deaktiviert, solange du nicht genau weißt, was du tust.
- Unerwartetes ablehnen. Verlangt eine Seite eine Bestätigung, die du nicht ausgelöst hast oder nicht erwartest, brich ab. „Schnell bestätigen, sonst verfällt das Angebot" ist ein klassisches Druckmittel.
- Trenne dein Vermögen. Probiere unbekannte Anwendungen nicht mit der Wallet aus, in der dein Vermögen liegt. Eine separate Wallet mit kleinem Bestand begrenzt den Schaden, falls doch etwas schiefgeht.
Die Haltung dahinter: Eine Bestätigung ist eine Unterschrift, kein Wegklicken. Was du nicht liest, unterschreibst du nicht – bei deinem Vermögen gibt es kein „wird schon passen".
Viele dieser Angriffe brauchen außerdem ein verwundbares Gerät, um dich überhaupt auf die präparierte Seite zu bringen. Warum dein Alltags-Computer der falsche Ort für Krypto-Transaktionen ist, gehört deshalb zur selben Schutzschicht.
Schon blind bestätigt – was tun?
Geh davon aus, dass die betroffene Wallet kompromittiert ist: bewege dein Vermögen weg und widerrufe erteilte Freigaben. Je schneller, desto besser, denn eine erteilte Freigabe bleibt aktiv, bis du sie zurücknimmst.
Hast du eine verdächtige Freigabe erteilt, bringe verbliebene Bestände auf eine neue, saubere Wallet in Sicherheit und entziehe der fremden Anwendung die erteilten Berechtigungen wieder. Ist bereits Guthaben abgeflossen, geht es vor allem darum, weiteren Schaden zu stoppen. Die konkreten Sofortmaßnahmen stehen unter Wallet gehackt – was jetzt?.
Sicher bestätigen ist Teil eines Systems
Das Lesen jeder Signatur ist eine von vielen Gewohnheiten, die zusammen dein Vermögen schützen. Der Praxisleitfaden „Krypto sicher aufbewahren" bringt sie in eine klare Routine – von der Wallet über sichere Transaktionen bis zu Backups, Notfall und Nachlass.
Zum Praxisleitfaden →Häufige Fragen
Was bedeutet „blind signieren“?
Eine Transaktion oder Signatur zu bestätigen, ohne ihre tatsächliche Wirkung zu sehen und zu verstehen. Angreifer nutzen das, um schädliche Aktionen – etwa unbegrenzte Token-Freigaben – als harmlose „Anmeldungen" oder „Claims" zu tarnen.
Schützt eine Hardware-Wallet vor blindem Signieren?
Sie hilft, weil sie Empfänger und Betrag auf ihrem eigenen Display anzeigt, das Schadsoftware nicht fälschen kann. Schutz entsteht aber erst, wenn du diese Anzeige auch liest. Bei komplexen Anweisungen, die das Gerät nicht klar darstellt, solltest du im Zweifel ablehnen.
Was ist eine Token-Freigabe (Approval) und warum ist sie gefährlich?
Eine Freigabe erlaubt einer Anwendung, in deinem Namen über bestimmte Token zu verfügen. Ist sie unbegrenzt, kann ein bösartiger Empfänger später deine gesamten Bestände dieser Token abziehen. Erteile Freigaben nur begrenzt und nur Anwendungen, denen du vertraust.
Wie kann ich eine erteilte Freigabe wieder zurücknehmen?
Erteilte Berechtigungen lassen sich widerrufen, indem du der Anwendung den Zugriff wieder entziehst. Tu das im Zweifel sofort und bringe verbliebene Bestände zusätzlich auf eine neue, saubere Wallet in Sicherheit.
Wie vermeide ich das Risiko bei unbekannten Anwendungen?
Nutze für unbekannte Anwendungen nicht die Wallet, in der dein Vermögen liegt, sondern eine separate Wallet mit kleinem Bestand. So bleibt der Schaden begrenzt, falls eine Bestätigung doch bösartig war.
Weiterlesen: Krypto-Scams erkennen · Wallet gehackt – was jetzt? · Das vollständige Sicherheitssystem für die Selbstverwahrung