Verwahrte Wallet oder Selbstverwahrung? Richtig wählen, sicher bleiben

Zwei Arten, Krypto zu halten

Coins liegen nicht in einer Wallet-App. Sie sind auf einer Blockchain verzeichnet, und wer den passenden privaten Schlüssel kontrolliert, kann sie bewegen. Ein privater Schlüssel ist eine lange geheime Zahl. Die meisten Wallets sichern ihn als Seed-Phrase (auch Wiederherstellungsphrase), meist eine Liste von 12 oder 24 gewöhnlichen Wörtern, mit der sich die Schlüssel in jeder kompatiblen Wallet neu erzeugen lassen.

Bei einer verwahrten Wallet, etwa einem Konto bei einer Kryptobörse, kontrolliert der Anbieter die Schlüssel. Ihr Guthaben ist ein Eintrag in seinen Büchern, und Sie erreichen es per Login, ähnlich wie beim Online-Banking. Bei einer selbstverwahrten Wallet (Non-Custodial) entstehen die Schlüssel auf Ihrem eigenen Smartphone, Computer oder Hardware-Gerät, und niemand sonst hat eine Kopie.

Der Transparenz halber: nowcoin, der Herausgeber dieses Blogs, ist eine verwahrende Wallet. Wir halten die Schlüssel zu den Wallets hinter den Guthaben unserer Kundinnen und Kunden, sie selbst halten sie nicht. Dieser Leitfaden soll Ihnen helfen, in jedem Fall gut zu wählen.

Die Abwägung

Keine Spalte ist schlicht sicherer. Verwahrung verlagert das Risiko von Ihren eigenen Fehlern auf das Verhalten eines Unternehmens. Selbstverwahrung nimmt das Unternehmen heraus, macht aber jeden Fehler endgültig: Blockchain-Überweisungen lassen sich nicht rückgängig machen, und kein Helpdesk kann eine verlorene Seed-Phrase neu erstellen.

Eine hilfreiche Frage lautet: Was beunruhigt Sie mehr, ein Stück Papier zu verlieren oder dass ein Unternehmen Ihr Geld verliert? Sie können auch beides nutzen, etwa einen Verwahrer für ein aktives Guthaben und die Selbstverwahrung für längerfristige Bestände.

Wenn Verwahrer scheitern: FTX und Celsius

FTX war eine der größten Kryptobörsen. 2022 handelten ihre Kunden laut dem Berufungsgericht, das den Fall später prüfte, rund 10 bis 15 Milliarden US-Dollar pro Tag. Der Zusammenbruch dauerte keine zwei Wochen.

Im Prozess zeigte sich: Während FTX-Gründer Bankman-Fried den Kunden versicherte, ihr Geld sei sicher, verschob er Milliarden Dollar von Kundenkonten zu Alameda Research, seiner Handelsfirma. Das Geld floss in Beteiligungen, die mit den Kundeneinlagen nichts zu tun hatten, in Alamedas Verluste, in politische Spenden und in Immobilien. Am 7. November 2022 postete er „FTX is fine. Assets are fine“ (FTX geht es gut, das Vermögen ist in Ordnung); die US-Börsenaufsicht SEC nannte den Beitrag später falsch und irreführend. Am nächsten Tag stoppten die Auszahlungen.

Im September 2026 bat Bankman-Fried den Obersten Gerichtshof der USA, seinen Fall anzunehmen. Bei Redaktionsschluss hatte das Gericht darüber noch nicht entschieden.

Die Kunden warteten mehr als zwei Jahre auf ihr Geld. Bis Juli 2026 erreichten die Zahlungen an die wichtigsten Kundenklassen 105 % ihrer anerkannten Forderungen. Das US-Insolvenzrecht bewertete diese Forderungen allerdings in Dollar zu den Kursen vom November 2022. Die Kunden erhielten also Geld statt ihrer Coins und gingen bei späteren Kursanstiegen leer aus.

Nicht nur FTX

Celsius, eine Plattform für Krypto-Kredite, fror im Juni 2022 die Auszahlungen ein und meldete im Folgemonat Insolvenz an. Im Januar 2023 entschied das Gericht, dass Coins in den verzinsten Earn-Konten nach den eigenen Nutzungsbedingungen von Celsius in das Eigentum des Unternehmens übergegangen waren. Betroffen waren rund 600.000 Konten mit etwa 4,2 Milliarden US-Dollar. Ihre Inhaber wurden zu Gläubigern im Insolvenzverfahren, nicht zu Eigentümern der Coins.

Die Lehre daraus ist nicht, dass jeder Verwahrer betrügt. Sie lautet: Verwahrung heißt, der Ehrlichkeit, den Kontrollen und den Vertragsbedingungen eines Unternehmens zu vertrauen, und von außen lässt sich davon nur ein Teil prüfen.

Wenn Sie sich für einen Verwahrer entscheiden

Einige Fragen trennen sorgfältige Anbieter von riskanten:

• Ist der Anbieter dort zugelassen, wo Sie leben? Aufsichtsbehörden veröffentlichen Register. In der EU verlangt die MiCA-Verordnung von zugelassenen Anbietern, die Kryptowerte ihrer Kunden halten, diese von den eigenen zu trennen, auf der Blockchain wie rechtlich, sodass Gläubiger des Anbieters in einer Insolvenz nicht darauf zugreifen können. Die letzten Übergangsfristen endeten am 1. Juli 2026.
• Was steht in den Bedingungen? Prüfen Sie, ob Ihre Coins Ihr Eigentum bleiben und ob der Anbieter sie verleihen oder weiterverwenden darf. Gerade bei Zinsprodukten verloren Celsius-Kunden ihren Anspruch auf Eigentum.
• Was beweist ein „Proof of Reserves“? Manche Börsen veröffentlichen einen solchen Reservenachweis. Die US-Prüferaufsicht PCAOB warnt, dass diese Berichte keine Abschlussprüfungen sind und das Vermögen nur zu einem einzigen Zeitpunkt zeigen. Für sich allein belegen sie nicht, dass genug vorhanden ist, um alle Ansprüche der Kunden zu decken.
• Welche Sicherheitsfunktionen gibt es? Achten Sie auf die Anmeldung per Authenticator-App oder Sicherheitsschlüssel, ein Adressbuch für Auszahlungen, Benachrichtigungen und eine Liste angemeldeter Geräte.

Außerdem hilft es, bei einem einzelnen Anbieter nur so viel zu halten, wie Sie dort tatsächlich brauchen.

Wenn Sie Ihre Schlüssel selbst halten

Selbstverwahrung beginnt mit der Seed-Phrase. Schreiben Sie sie auf Papier oder Metall, bewahren Sie sie offline und vor fremden Blicken geschützt auf, und tippen Sie sie niemals in eine Website ein. Fotografieren Sie sie nicht und speichern Sie sie weder in E-Mails noch in Cloud-Notizen. Wer sie sieht, kann alles nehmen. Verlieren Sie sie und fällt Ihr Gerät aus, sind die Coins für immer verloren.

Hardware-Wallets

Eine Hardware-Wallet ist ein kleines Gerät, das Ihre Schlüssel offline erzeugt und speichert und Transaktionen im Gerät selbst signiert. Schadsoftware auf Ihrem Computer kann die Schlüssel deshalb nicht kopieren. Jede Zahlung bestätigen Sie auf dem Display des Geräts, das der Hersteller Trezor „the source of truth“ nennt, die maßgebliche Quelle. Kaufen Sie das Gerät neu beim Hersteller oder bei einem autorisierten Händler: Ein Gerät, das durch unbekannte Hände ging, könnte manipuliert sein.

Multisig und MPC

Eine Multisig-Wallet braucht mehrere Schlüssel, um eine Überweisung freizugeben, geschrieben als „m-von-n“. Eine 2-von-3-Wallet etwa bewegt Coins nur, wenn zwei ihrer drei Schlüssel signieren. So können Sie die Schlüssel an verschiedenen Orten aufbewahren und den Verlust eines Schlüssels verkraften.

MPC (Multi-Party Computation, auf Deutsch Mehrparteienberechnung) erreicht ein ähnliches Ziel auf anderem Weg. Der Schlüssel wird in Anteile zerlegt, die verschiedene Geräte oder Parteien halten, und eine festgelegte Zahl davon signiert gemeinsam, ohne dass eine einzelne Stelle den ganzen Schlüssel besitzt. Manche Verwahrer und Wallet-Apps nutzen das; wer die Anteile hält, entscheidet, ob es wirklich Selbstverwahrung ist. Beide Ansätze bringen mehr Sicherheit, aber auch mehr Komplexität. Halten Sie deshalb schriftlich fest, wie sich Ihr Setup wiederherstellen lässt, für sich selbst und für Ihre Familie.

Gute Gewohnheiten für beide Fälle

Viele Verluste entstehen nicht durch raffinierte Hacks, sondern durch gestohlene Logins, eine ausgetauschte Adresse oder einen überzeugenden Fremden. Diese Gewohnheiten schützen Sie bei jeder Art von Wallet. Unser Leitfaden zu Krypto-Betrug und Phishing behandelt die Maschen selbst.

Sicher anmelden

Nutzen Sie für die Zwei-Schritt-Anmeldung eine Authenticator-App oder, noch besser, einen Passkey oder Sicherheitsschlüssel, aber keine SMS. Die US-Cybersicherheitsbehörde CISA rät von SMS-Codes ab, weil SMS nicht verschlüsselt sind und Telefonnummern per SIM-Swapping gekapert werden können. Sobald die App funktioniert, schalten Sie SMS ab. Denken Sie daran, dass auch App-Codes abgefischt werden können: Geben Sie sie nur auf einer Seite ein, die Sie selbst aufgerufen haben.

Geben Sie jedem Konto ein eigenes langes Passwort, laut CISA mindestens 16 Zeichen, und lassen Sie einen Passwortmanager sie sich merken. Ein Passwort, das bei einem Dienst geleakt wurde, probieren Angreifer oft als Erstes bei anderen aus.

Prüfen Sie ab und zu die Liste der angemeldeten Geräte, melden Sie unbekannte ab und ändern Sie Ihr Passwort. Bei einer selbstverwahrten Wallet heißt das: verbundene Websites prüfen und Token-Freigaben widerrufen, die Sie nicht mehr brauchen.

Sicher senden

Prüfen Sie vor jeder Auszahlung drei Dinge: den Coin, das Netzwerk und die Adresse. Derselbe Coin, etwa USDT oder USDC, kann auf mehreren Netzwerken existieren. Senden Sie ihn über ein Netzwerk, das der Empfänger nicht unterstützt, kommt das Geld womöglich nie an. Vergleichen Sie die ganze Adresse, nicht nur die ersten und letzten Zeichen, denn Betrüger erzeugen täuschend ähnliche Adressen.

Ein Adressbuch macht aus einer sorgfältigen Prüfung eine dauerhafte. Manche Dienste lassen Sie außerdem Auszahlungen an nicht gespeicherte Adressen sperren, teils mit einer Wartezeit für neue Einträge. Das gibt Ihnen Zeit zu reagieren, falls sich jemand Zugang zu Ihrem Konto verschafft.