Sicherheit
SICHERHEIT • PRAKTISCHER LEITFADEN
Eine Wallet für Digitalwerte absichern
Die meisten Verluste, die uns erreichen, gehen nicht auf eine technische Lücke zurück, sondern auf einen abgegebenen Zugang: eine Phrase, die auf einer Seite eingetippt wurde, eine zu schnell erteilte Signatur, ein Bildschirm, geteilt mit jemandem, der sich hilfsbereit gab. Hier stehen die tatsächlichen Risiken.
Eine Wallet „enthält" nichts. Sie hält die Schlüssel, mit denen sich eine Buchung anweisen lässt, und der Eintrag dieser Buchung in ein öffentliches Register ist endgültig. Genau darin liegt der Unterschied zum Bankkonto: Es gibt keine Stelle, die den Vorgang rückgängig machen oder den Zustand per Entscheidung wiederherstellen könnte. Die Sicherheit entscheidet sich daher vollständig vorher — daran, wer in Ihrem Namen eine Transaktion signieren lassen kann.
Wer die Schlüssel hat, hat das Geld
Zwei sehr verschiedene Lagen werden oft verwechselt. Auf einem Handelsplatz liegen die Schlüssel beim Anbieter: Sie haben eine Forderung gegen ihn, und Ihr Risiko ist seine Solidität, seine Führung und sein möglicher Wegfall. In einer eigenen Wallet gehören die Schlüssel Ihnen: Niemand kann Ihr Guthaben sperren — und niemand kann es an Ihrer Stelle zurückholen. Keine der beiden Lagen ist „die richtige"; entscheidend ist zu wissen, in welcher Sie sich befinden, denn die Vorkehrungen unterscheiden sich.
Online oder offline: wo die Risiken wirklich liegen
Eine verbundene Wallet — App auf dem Telefon, Erweiterung im Browser — ist bequem und teilt die Angriffsfläche des Geräts, auf dem sie läuft. Eine Hardware-Wallet hält den Schlüssel außerhalb des Rechners und verlangt eine körperliche Bestätigung, was den größten Teil der Schadsoftware wirkungslos macht. Sie schützt jedoch nicht vor dem, was Sie selbst freigeben: Signieren Sie auf einer betrügerischen Seite eine Erlaubnis, führt das Gerät Ihre Anweisung getreu aus. Die vernünftige Regel lautet, die Verwendungen zu trennen: kleine Beträge in der verbundenen Wallet, das Wesentliche offline, und niemals beides am selben Ort.
Die Wiederherstellungsphrase darf digital nirgends existieren
Die Wiederherstellungsphrase ist kein Passwort: Sie stellt die gesamte Wallet wieder her, auf einem beliebigen Gerät, ohne weitere Prüfung. Sie lässt sich nicht ändern. Deshalb darf sie nie fotografiert, in einen Passwortspeicher eingetragen, per Nachricht verschickt, in einem Online-Dienst abgelegt oder auf einer Seite eingegeben werden, die Ihre Wallet „prüfen" oder „synchronisieren" will — keine seriöse Anwendung verlangt das, unter keinem Vorwand. Schreiben Sie sie offline auf, bewahren Sie sie sicher, und wenn sie jemand anderes gesehen haben könnte, gilt die Wallet als offengelegt: Bringen Sie den Rest in eine neue.
Wie das Geld tatsächlich abfließt: Phishing und leerräumende Verträge
Der häufigste Ablauf kommt ganz ohne Einbruch aus. Eine Seite ahmt einen bekannten Dienst nach, bis auf einen Buchstaben in der Domain, und bittet Sie, Ihre Wallet zu verbinden, um eine Ausschüttung abzurufen, einen Fehler zu beheben oder an einem Verkauf teilzunehmen. Die Signatur, die man Ihnen vorlegt, ist keine Überweisung: Sie ist eine — oft unbegrenzte — Erlaubnis an einen Vertrag, über Ihre Token zu verfügen. Sie ist mit einer Geste erteilt und bleibt danach gültig. Lesen Sie, was das Bestätigungsfenster wirklich ankündigt, misstrauen Sie Freigaben ohne Obergrenze, und sehen Sie die erteilten Erlaubnisse regelmäßig durch, um nicht mehr benötigte zu widerrufen.
Sorgfalt beim Bestätigen
Prüfen Sie die Empfängeradresse vollständig, nicht nur die ersten und letzten Zeichen: Manche Schadsoftware ersetzt die kopierte Adresse in der Zwischenablage durch eine optisch ähnliche. Schicken Sie an jede neue Adresse zuerst einen kleinen Probebetrag. Installieren Sie Anwendungen nur aus der offiziellen Quelle, indem Sie die Adresse eintippen statt einem zugeschickten Link zu folgen. Und behalten Sie im Kopf, dass Eile der wichtigste Faktor ist: Nahezu alle später bereuten Signaturen sind unter dem Druck eines ablaufenden Angebots erteilt worden.
Wenn die „Gelegenheit" selbst die Falle ist
Die Technik ist manchmal nur Kulisse. Jemand, den Sie in einem Netzwerk kennenlernen, bietet Begleitung an, zeigt Ergebnisse und lädt dazu ein, auf einer Plattform einzuzahlen, deren Link er liefert. Die Gewinne erscheinen, dann stößt die Auszahlung auf eine Gebühr, auf eine im Voraus zu zahlende Steuer, auf ein Konto, das freigeschaltet werden müsse. Hier wurde keine Wallet gehackt: Die Zahlungen erfolgten freiwillig, im Vertrauen auf eine Oberfläche. Deshalb genügen technische Vorkehrungen nicht — die Prüfung der Plattform selbst bleibt der erste Schutz.
Wenn die Wallet offengelegen hat
Gehen Sie der Reihe nach vor: Bringen Sie den Rest in eine Wallet, die auf einem sauberen Gerät mit neuer Wiederherstellungsphrase angelegt wurde; widerrufen Sie die Erlaubnisse, die von der betroffenen Adresse erteilt wurden; ändern Sie das Passwort Ihres E-Mail-Kontos und schalten Sie die Zwei-Faktor-Anmeldung ein. Notieren Sie anschließend Transaktionskennungen, betroffene Adressen, Daten und Beträge: In einem öffentlichen Register bleiben diese Angaben lange einsehbar, und sie sind der Stoff einer Meldung ebenso wie einer Anzeige. Sie machen keine Buchung rückgängig, aber sie machen den Weg des Geldes lesbar — und genau das muss eine Akte belegen.
Dieser Beitrag dient der allgemeinen Information und stellt keine Rechts- oder Finanzberatung dar. Jeder Fall wird einzeln beurteilt: Was möglich ist, hängt vom Sachverhalt, den vorhandenen Unterlagen und dem anwendbaren Recht ab.
