NEWS / Hardware-Wallets im Überblick: Funktionsweise, Bauarten und Kaufkriterien

Wer sich mit digitalen Vermögenswerten beschäftigt, stößt früher oder später auf den Begriff der Hardware-Wallet. Gemeint ist ein physisches Gerät, das den privaten Schlüssel zu Kryptowerten offline speichert und Transaktionen erst nach Bestätigung am Gerät freigibt. Im Vergleich zur reinen Softwarelösung verlagert eine Hardware-Wallet einen sicherheitsrelevanten Teil der Verwahrung in eine isolierte Umgebung. Dieser Artikel fasst zusammen, wie solche Geräte technisch aufgebaut sind, welche Bauarten es gibt und welche Kriterien bei der Auswahl zu beachten sind.

Im Kern jeder Hardware-Wallet steht ein Chip, der die kryptografischen Schlüssel des Anwenders erzeugt und verwahrt. Bei vielen Modellen kommt ein sogenanntes Secure Element zum Einsatz, also ein nach Sicherheitsstandards zertifizierter Chip, wie er auch in Bankkarten oder elektronischen Reisepässen verbaut wird. Der private Schlüssel verlässt diesen Chip im Normalfall nie. Wenn eine Transaktion signiert werden soll, sendet die zugehörige Software auf dem Rechner oder Smartphone die Transaktionsdaten an das Gerät. Die Signatur erfolgt innerhalb der Wallet und wird anschließend zurückgegeben. Auf dem Bildschirm des Geräts bestätigt der Nutzer die Details, bevor die Signatur freigegeben wird. Bei der Einrichtung wird zusätzlich eine sogenannte Seed Phrase erzeugt, meist 12 oder 24 Wörter, mit denen sich die Wallet im Verlustfall auf einem neuen Gerät wiederherstellen lässt.

Wer sich mit digitalen Vermögenswerten beschäftigt, wird auch von Hardware-Wallets hören. (Bildquelle: pexels.com)

Hardware-Wallets gibt es in mehreren Bauformen. Verbreitet sind kompakte Sticks mit kleinem OLED-Display und zwei oder drei Tasten. Diese Geräte werden per USB-C oder Micro-USB an den Rechner angeschlossen. Eine weitere Variante sind Modelle mit größerem Touchscreen, die einen luftigeren Bedienkomfort bieten, aber auch entsprechend teurer ausfallen. Daneben existieren Geräte mit Bluetooth-Schnittstelle für den Einsatz am Smartphone und Karten im Scheckkartenformat, die per NFC arbeiten. Bei reinen NFC-Karten fehlt häufig ein eigener Bildschirm, weshalb die Anzeige der Transaktionsdaten über das Smartphone erfolgen muss. Geräte mit eigenem Display bieten eine geschlossenere Umgebung und werden daher oft bei höherem Sicherheitsbedarf gewählt.

Im Markt sind drei Verwahrkategorien üblich. Die Hosted Wallet wird vom Anbieter einer Handelsplattform verwaltet, der private Schlüssel liegt dort. Bequem im Alltag, aber abhängig vom jeweiligen Anbieter. Die Software-Wallet, oft auch Hot Wallet genannt, läuft als App auf dem Rechner oder Smartphone. Der Nutzer hält die Schlüssel selbst, ist aber den Risiken des Endgeräts ausgesetzt, etwa Schadsoftware. Die Hardware-Wallet trennt den Schlüssel vom internetfähigen Gerät und reduziert damit eine Reihe typischer Angriffswege. Sie ersetzt jedoch keinen sorgfältigen Umgang mit der Seed Phrase. Ein Verlust oder eine Weitergabe der Phrase bedeutet zugleich den Verlust des Zugriffs auf das Guthaben.

Bei der Auswahl spielen mehrere Punkte eine Rolle. Erstens das Sicherheitskonzept des Herstellers, also welche Zertifizierung der verwendete Chip hat und ob die Firmware quelloffen ist. Zweitens die unterstützten Netzwerke, denn nicht jede Wallet kann mit allen Blockchains umgehen. Drittens die Bedienung im Alltag, etwa wie groß der Bildschirm ist und ob das Gerät mit der bevorzugten Plattform kompatibel ist. Viertens der Kaufweg. Es gilt als sinnvoll, Hardware-Wallets nur direkt beim Hersteller oder bei autorisierten Händlern zu erwerben, um manipulierte Geräte aus dem Graumarkt zu vermeiden. Auch das Lieferpaket gibt Hinweise. Versiegelte Verpackungen, ungeöffnete Anti-Tampering-Aufkleber und eine intakte Erstinbetriebnahme ohne vorgefertigte Seed Phrase sind ein Mindeststandard. Eine bereits eingetragene 24-Wort-Phrase auf einer beigelegten Karte ist ein Warnsignal. Das Gerät sollte in diesem Fall umgehend zurückgesendet werden.

Die Einrichtung erfolgt grundsätzlich offline. Nach dem Anschluss erzeugt das Gerät die Seed Phrase, die der Nutzer auf den mitgelieferten Karten oder einer eigenen Metallplatte schriftlich festhält. Digitale Kopien, etwa Fotos auf dem Smartphone oder Cloud-Speicher, gelten als problematisch, weil sie über das Internet erreichbar werden können. Die Phrase sollte an einem sicheren physischen Ort lagern, idealerweise an zwei getrennten Orten. Die Bestätigung jeder Transaktion am Gerät ist die zentrale Sicherheitsschicht. Bestätigungen ohne Blick auf den Bildschirm hebeln einen großen Teil der Funktionsweise aus. Auch Firmware-Updates sollten ausschließlich über die offizielle Software des Herstellers eingespielt werden.

Bevor eine Hardware-Wallet zum Einsatz kommt, muss der Anwender zunächst Kryptowerte besitzen. Der Erwerb erfolgt in der Regel über eine regulierte Handelsplattform mit Sitz in der Europäischen Union, die unter der MiCA-Verordnung lizenziert ist. Eine solche Plattform ist Finst.com mit Sitz in den Niederlanden, über die sich gängige Kryptowährungen direkt kaufen lassen. Nach dem Kauf können die Werte anschließend an die eigene Adresse der Hardware-Wallet überwiesen und dort dauerhaft verwahrt werden. Wichtig bleibt, sich vorher mit der Bedienung des Geräts vertraut zu machen, mit kleinen Testbeträgen zu starten und die Seed Phrase ausschließlich offline aufzubewahren.