Seed-Phrases erklärt: So funktionieren sie, wie Sie sie aufbewahren und was sie nicht wiederherstellen können

Stellen Sie sich einen einzigen Generalschlüssel vor, der jede Tür in einem Gebäude öffnet: die Eingangstür, das Büro, den Tresor. Und nun stellen Sie sich vor, dieser Schlüssel lässt sich nicht ersetzen. Kein Schlüsseldienst kann eine Kopie anfertigen, und die Hausverwaltung hat keinen Ersatzschlüssel. Genau das ist eine Seed-Phrase in der Kryptowelt. Verlieren Sie sie, verlieren Sie alles, was sie schützt. Überlassen Sie sie jemand anderem, gehört ihm alles.

Dieser Leitfaden behandelt das Thema umfassend an einem Ort: was die 12 oder 24 Wörter tatsächlich codieren, wie daraus Schlüssel für Dutzende Blockchains entstehen, wie Sie sie aufbewahren, was sich damit wiederherstellen lässt und was nicht – und welche Fehler erst am Tag der Wiederherstellung sichtbar werden. Wenn Sie nur einen Artikel über die Sicherheit Ihrer Wallet lesen, dann diesen.

Einfach erklärt

Eine Seed-Phrase (auch Mnemonik oder Wiederherstellungsphrase genannt) ist eine Liste aus 12 oder 24 gewöhnlichen englischen Wörtern, etwa correct horse battery staple, die zusammen das Hauptgeheimnis Ihrer gesamten Krypto-Wallet codieren. Sie ist kein Passwort, das Sie selbst gewählt haben. Sie ist die menschenlesbare Form einer Zufallszahl, die so groß ist, dass sie sich rechnerisch unmöglich erraten lässt.

Wenn Sie eine Wallet auf einem neuen Gerät wiederherstellen, geben Sie die Wörter in der richtigen Reihenfolge ein. Daraufhin werden alle Adressen und privaten Schlüssel wiederhergestellt, die diese Wallet jemals erstellt hat. Keine Kontowiederherstellung, keine Supportanfrage, keine Wartezeit. Genau darum geht es – und genau darin liegt auch das ganze Risiko.

Was eine Seed-Phrase genau ist

Das Verfahren ist in BIP-39 (Bitcoin Improvement Proposal 39) standardisiert. Der Standard legt fest, wie Wallet-Software aus rohen Zufallsdaten eine Wortliste erstellt.

1. Die Wallet erzeugt eine Zufallszahl, die Entropie genannt wird: 128 Bit für eine Phrase mit 12 Wörtern, 256 Bit für eine Phrase mit 24 Wörtern. Insgesamt sind fünf Längen definiert (128 Bit ergeben 12 Wörter, 160 ergeben 15, 192 ergeben 18, 224 ergeben 21, 256 ergeben 24).
2. Eine kurze Prüfsumme wird angehängt. Die Wallet bildet mit SHA-256 einen Hash der Entropie und verwendet die ersten paar Bits des Ergebnisses: 4 Bit bei 128 Bit Entropie, 8 Bit bei 256 Bit.
3. Entropie und Prüfsumme werden in 11-Bit-Blöcke aufgeteilt. Jeder Block ist ein Index in einer festgelegten Liste mit 2.048 englischen Wörtern. Jedes Wort codiert also genau 11 Bit. Deshalb bestehen Seed-Phrases immer aus Wörterbucheinträgen und nie aus beliebigen Zeichenfolgen.
4. Das Ergebnis sind 12 Wörter bei 128 Bit Entropie oder 24 Wörter bei 256 Bit.

Zwei Details der Gestaltung sind in der Praxis wichtig. Die ersten vier Buchstaben jedes Wortes in der Liste sind eindeutig, sodass sich Wörter ohne Mehrdeutigkeit abgekürzt eingeben lassen. Außerdem macht die Prüfsumme Tippfehler erkennbar: Wenn eine Wallet eine Phrase beim Import zurückweist, bedeutet das, dass die Prüfsumme nicht stimmt. Meist ist dann ein Wort falsch oder steht an der falschen Stelle – die Guthaben sind deshalb nicht verschwunden.

Die Wortliste ist bei allen BIP-39-Wallets gleich. Deshalb lässt sich eine Zelcore-Seed-Phrase auch in anderen kompatiblen Wallets wiederherstellen – und umgekehrt.

Eine Phrase mit 12 Wörtern bietet 128 Bit Sicherheit, genauso viel wie ein einzelner privater Bitcoin-Schlüssel. Eine Phrase mit 24 Wörtern bietet 256 Bit. Beide lassen sich mit heutiger oder absehbarer Hardware praktisch nicht durch Ausprobieren knacken. Bei der Wahl zwischen ihnen geht es daher um Ihr Bedrohungsmodell und darum, wie viele Wörter Sie aufschreiben möchten – nicht darum, dass eine Variante „unsicher“ wäre.

Von den Wörtern zur Master-Seed: PBKDF2 und die Passphrase

Die Wörter werden nicht direkt als Schlüssel verwendet. Sie dienen als Eingabe für eine Schlüsselableitungsfunktion.

PBKDF2 nimmt die Mnemonik als Zeichenfolge und führt darauf 2.048-mal HMAC-SHA512 aus. Als Salt dient das Wort mnemonic, gefolgt von einer optionalen Passphrase, die manchmal als 25. Wort bezeichnet wird. Das Ergebnis ist ein 512-Bit-Wert, die Master-Seed. Durch diesen Ableitungsschritt werden Angriffe durch Ausprobieren aufwendig, selbst wenn ein Angreifer den größten Teil der Phrase kennt.

Bei der Passphrase passieren vielen Menschen folgenschwere Fehler. Deshalb ist Genauigkeit hier besonders wichtig:

• Sie wird nirgendwo gespeichert: weder auf einer Hardware-Wallet noch in der App oder in der Sicherungskopie. Sie existiert nur in Ihrem Gedächtnis oder in einer separat notierten Aufzeichnung.
• Jede andere Passphrase, auch eine leere, erzeugt eine völlig andere Master-Seed und damit eine völlig andere Wallet. Zwei Wallets, die mit denselben Wörtern, aber unterschiedlichen Passphrasen erstellt wurden, haben kryptografisch nichts miteinander zu tun.
• Eine leere Passphrase ist gültig und erzeugt die Standard-Wallet, die die meisten Nutzer verwenden.

Das Sicherheitsmodell beruht auf zwei Faktoren: Wer die Wörter, aber nicht die Passphrase stiehlt, gelangt zur Standard-Wallet. Diese kann als Täuschungs-Wallet mit einem kleinen Guthaben dienen. Der Preis dafür ist hoch: Wenn Sie die Passphrase vergessen, lässt sich das nicht rückgängig machen. Es gibt weder eine Zurücksetzung noch Unterstützung bei der Wiederherstellung. Im Artikel Das 25. Wort erfahren Sie, wann sich diese Funktion lohnt. Kurz gesagt: Anfänger sollten zuerst den sicheren Umgang mit einer einfachen Seed-Phrase beherrschen.

Von der Master-Seed zu allen Schlüsseln: BIP-32 und BIP-44

Die 512-Bit-Master-Seed wird mit dem festgelegten Schlüssel Bitcoin seed als Eingabe für HMAC-SHA512 verwendet. Das Ergebnis wird in zwei Teile aufgeteilt: Die linken 256 Bit bilden den privaten Hauptschlüssel, die rechten 256 Bit den Chain Code – einen Entropiewert, der bei jedem weiteren Ableitungsschritt verwendet wird. Zusammen bilden sie die Wurzel einer hierarchisch deterministischen (HD-)Wallet, wie in BIP-32 festgelegt.

Aus dieser Wurzel leitet die Wallet einen praktisch unbegrenzten Baum aus untergeordneten Schlüsseln ab. Bei jedem Schritt werden der übergeordnete Schlüssel, der Chain Code und eine Indexnummer durch einen weiteren HMAC-SHA512-Durchlauf miteinander verknüpft. Es gibt zwei Verfahren:

• Bei der gehärteten Ableitung wird der private übergeordnete Schlüssel verwendet. Selbst wer den erweiterten öffentlichen Schlüssel (xpub) des übergeordneten Schlüssels besitzt, kann daraus keine untergeordneten Schlüssel berechnen. So wird verhindert, dass ein offengelegter xpub zur Preisgabe privater Schlüssel führt.
• Bei der normalen Ableitung wird der öffentliche übergeordnete Schlüssel verwendet. Dadurch können Nur-Lese-Wallets und Börsen Einzahlungsadressen erstellen, ohne jemals einen privaten Schlüssel zu verwenden.

BIP-44 standardisiert den Ableitungspfad für verschiedene Coins:

m / 44' / coin_type' / account' / change / address_index

Der coin_type unterscheidet sich je nach Blockchain: Für Bitcoin ist es 0, für Ethereum 60 und für Hunderte weitere registrierte Coins gelten weitere Werte. Die Apostrophe auf den ersten drei Ebenen kennzeichnen eine gehärtete Ableitung. Dadurch sind Kontoschlüssel geschützt, selbst wenn ein xpub auf Adressebene offengelegt wird. So kann eine Seed-Phrase eine vollständige Multi-Chain-Wallet sichern: Jede Blockchain liegt unter derselben Wurzel an einem anderen Pfad. Auf diese Weise leitet Zelcore Konten für mehr als 80 Chains aus einer einzigen Phrase ab. Mehr dazu erfahren Sie im Artikel Das Problem der Multi-Chain-Verwahrung.

Da jeder Schritt deterministisch ist, erzeugt dieselbe Seed immer dieselben Schlüssel. Allein der private Hauptschlüssel gibt nicht alle untergeordneten Schlüssel preis, denn für jede Ableitung wird auch der Chain Code benötigt. Die Seed-Phrase enthält jedoch beides. Wer die Seed-Phrase besitzt, hat Zugriff auf alles.

Warum der Verlust endgültig ist

Bei Blockchains gibt es keine Möglichkeit, ein Passwort zurückzusetzen. Kein Unternehmen bewahrt eine Kopie Ihrer Schlüssel auf, und kein Support-Formular kann verlorene Guthaben wiederherstellen. Wenn Sie eine Blockchain-Transaktion signieren, verwenden Sie dafür einen privaten Schlüssel, der aus Ihrer Seed-Phrase abgeleitet wurde. Ist die Seed-Phrase verloren, sind auch die Schlüssel verloren, und die Guthaben an diesen Adressen bleiben dauerhaft gesperrt.

Forschende schätzen, dass zwischen 2.3 und 3.7 Millionen BTC dauerhaft unzugänglich sind. Ein großer Teil davon ging verloren, weil in den Anfangsjahren von Bitcoin Seed-Phrases und private Schlüssel nie richtig gesichert wurden.

Die PIN einer Hardware-Wallet schützt Sie in diesem Fall nicht. Nach zu vielen falschen PIN-Eingaben löscht sich die Hardware-Wallet selbst. Das Gerät ist dann unbrauchbar, aber mit Ihrer offline aufbewahrten Seed-Phrase können Sie die Wallet innerhalb weniger Minuten auf einem neuen Gerät wiederherstellen. Ohne die Phrase reicht es nicht, das physische Gerät zu besitzen.

Deshalb fordert jede seriöse Wallet-Einrichtung Sie auf, die Phrase sofort aufzuschreiben und zu überprüfen, bevor Sie auch nur einen einzigen Coin einzahlen.

Was die Seed-Phrase wiederherstellt – und was nicht

„Ich habe meine Seed-Phrase, also ist alles in Ordnung“ stimmt bei standardmäßigen Konten. Für manches, das viele für abgedeckt halten, gilt das aber nicht.

Mit der Seed-Phrase allein wiederherstellbar:

• Guthaben auf der Blockchain und Transaktionsverlauf für jedes standardmäßige BIP-44-Konto
• Alle abgeleiteten Adressen auf allen unterstützten Blockchains
• Die Möglichkeit, Guthaben von jeder dieser Adressen auszugeben

Mit der Seed-Phrase nicht wiederherstellbar:

• PINs von Hardware-Wallets, benutzerdefinierte Kontonamen und Einträge im Adressbuch. Diese Metadaten sind nur auf dem Gerät gespeichert.
• Der Status von Lightning Network-Kanälen. Lightning funktioniert außerhalb der Blockchain; für Guthaben in offenen Kanälen benötigen Sie zusätzlich zur Seed-Phrase eine Datei mit einem statischen Kanal-Backup (SCB).
• Nur-Lese-Konfigurationen, die nicht standardmäßige Ableitungspfade verwendet haben.
• App-spezifische Daten wie Portfolio-Tags, Preisalarme und benutzerdefinierte RPC-Endpunkte. In Zelcore werden Kontakte und Einstellungen nach einer Wiederherstellung neu angelegt; Ihre Guthaben sind davon nicht betroffen.

Das Zurücksetzen einer Hardware-Wallet lässt sich vollständig rückgängig machen, wenn die Seed-Phrase noch vorhanden ist und Sie nur die PIN vergessen haben. Ist auch die Seed-Phrase verloren, ist das Gerät unbrauchbar.

So bewahren Sie Ihre Seed-Phrase auf

Sobald Sie wissen, was die Phrase ist, liegen die Regeln auf der Hand.

Tun Sie Folgendes:

• Schreiben Sie die Phrase in der angezeigten Reihenfolge auf Papier, sobald sie während der Einrichtung erscheint.
• Schließen Sie den von Ihrer Wallet verlangten Überprüfungsschritt ab und testen Sie anschließend eine echte Wiederherstellung, bevor Sie größere Guthaben einzahlen.
• Bewahren Sie mindestens zwei Kopien an räumlich getrennten, sicheren Orten auf: in einem feuersicheren Tresor, einem Bankschließfach oder an einem vertrauenswürdigen Ort außerhalb Ihres Zuhauses.
• Gravieren Sie die Phrase bei langfristigen Anlagen auf eine Metallplatte zur Sicherung. Stahl oder Titan hält den Temperaturen eines typischen Hausbrands und Überschwemmungen stand. Papier tut das nicht.

Tun Sie niemals Folgendes:

• Fotografieren Sie die Phrase nicht. Auf den meisten Smartphones werden Fotos automatisch mit Cloud-Diensten synchronisiert.
• Geben Sie sie in keine App, Erweiterung oder Website ein, außer wenn Sie bewusst eine Wallet wiederherstellen. Prüfen Sie auch dann die Herkunft der Software.
• Senden Sie sie nicht per E-Mail und speichern Sie sie weder in einer Notiz-App noch in einem Cloud-Dokument oder einem Online-Passwortmanager.
• Teilen Sie sie mit niemandem. Kein Wallet-Anbieter, keine Börse und kein Support-Mitarbeiter wird Sie jemals danach fragen. Wer das tut, versucht, Ihre Guthaben zu stehlen. Der Zelcore-Support wird Sie niemals nach Ihrer Seed-Phrase fragen.

Wählen Sie das Material nach der tatsächlichen Bedrohung

Die Frage lautet nicht „Welches Backup ist am besten?“, sondern „Wogegen muss ich mich schützen?“. Für die meisten Menschen sind gezielte Angriffe keine realistische Bedrohung. Wahrscheinlicher sind Hausbrände, Überschwemmungen, Einbrüche und die Gefahr, den Aufbewahrungsort des Backups zu vergessen.

• Papier ist günstig und gut lesbar, wird aber mit der Zeit beschädigt und übersteht weder Feuer noch Wasser.
• Metall hält beidem stand, kostet mehr und ist aufwendiger herzustellen. Sobald der Verlust eines Guthabens schmerzen würde, ist Metall die praktische Wahl.
• Digitale Kopien (Fotos, Cloud-Speicher, Notizen im Passwortmanager) machen die Seed-Phrase bei einem einzigen kompromittierten Konto zum Risiko eines Totalverlusts. Für die Seed-Phrase selbst nicht empfohlen.

Die Phrase aufzuteilen ist eine Falle

Die Wörter zur Hälfte an einem und zur Hälfte an einem anderen Ort aufzubewahren, ist weit verbreitet und schwächt die Sicherheit. Wer die Hälfte einer 12-Wörter-Phrase findet, verkleinert den Suchraum so weit, dass ein Brute-Force-Angriff möglich wird. Wenn Sie das Risiko auf mehrere Orte verteilen möchten, bewahren Sie vollständige Kopien an getrennten Orten auf oder verwenden Sie Shamirs Secret Sharing (SLIP-39). Dabei wird das Geheimnis in N Teile aufgeteilt, von denen beliebige M Teile zur Wiederherstellung ausreichen, ohne dass ein einzelner Teil dadurch unsicherer wird. Trezor unterstützt SLIP-39; die Unterstützung ist bei anderen Anbietern nicht allgemein gegeben.

Fehler bei der Wiederherstellung, vor denen Sie niemand warnt

Diese Probleme zeigen sich erst bei der Wiederherstellung, wenn besonders viel auf dem Spiel steht.

Passphrase vergessen. Die Wörter werden korrekt eingegeben. Die Wallet leitet Adressen ohne Guthaben ab. Es erscheint keine Fehlermeldung. Die Guthaben liegen weiterhin in der durch die Passphrase geschützten Wallet, auf die Sie nicht mehr zugreifen können. Dies ist der häufigste nicht behebbare Fehler bei Menschen, die eine Passphrase aktiviert und sie nur im Gedächtnis behalten haben.

Falscher Ableitungspfad. Eine Wallet, die BIP-49 (wrapped SegWit) oder BIP-84 (native SegWit) verwendet hat und in einer App wiederhergestellt wird, die standardmäßig BIP-44 nutzt, zeigt mit derselben Seed-Phrase andere Adressen an. Es sieht aus, als würden Guthaben fehlen. Wenn Sie wissen, wo Sie suchen müssen, können Sie das beheben, indem Sie in den erweiterten Einstellungen der neuen App den Ableitungspfad ändern.

Inkompatible Wallet. Nicht jede Wallet unterstützt alle BIP-39-Sprachen oder jeden Coin-Typ. Wenn Sie die Wallet in einer Software wiederherstellen, die den Ableitungspfad der ursprünglichen Blockchain nicht kennt, wird nichts angezeigt. Die Guthaben sind nicht verloren, sondern bleiben unsichtbar, bis Sie eine Software verwenden, die diese Blockchain unterstützt.

Lightning-Kanäle ohne SCB. Mit der Seed-Phrase lässt sich das Guthaben auf der Blockchain wiederherstellen. Für eine einvernehmliche Schließung offener Kanäle benötigen Sie die SCB-Datei. Ohne sie können Kanäle zwangsweise geschlossen werden, und mit einem veralteten Backup kann die Gegenpartei eine Straftransaktion beanspruchen.

Mit einer Kamera lesbare Speicherung. Ein QR-Code der Seed-Phrase oder ein Foto in einer mit der Cloud synchronisierten Galerie genügt, damit ein einziges kompromittiertes Konto zum Totalverlust führt. Die Seed-Phrase darf niemals in einer Form vorliegen, die eine Kamera oder Bildschirmaufnahme an einen Server senden kann.

Die häufigsten Fehler

• Digitale Speicherung. Screenshots, Notiz-Apps, Entwürfe und Cloud-Dokumente sind für Schadsoftware zugänglich und können bei Datendiebstählen offengelegt werden. Die Seed-Phrase gehört offline aufbewahrt.
• Social Engineering. Wenn sich jemand als „Support“ ausgibt und nach Ihrer Phrase fragt, um Ihr Konto zu „überprüfen“ oder „wiederherzustellen“, handelt es sich immer um Betrug. Ihre Angriffsfläche beschreibt die verschiedenen Varianten.
• Nur eine Kopie. Eine einzelne Papierkopie an einem Ort kann durch einen Brand, eine Überschwemmung oder einen Einbruch für immer verloren gehen.
• Wiederherstellungstest übersprungen. Jetzt fünf Minuten investieren, statt später alles zu verlieren.
• Seed-Phrase und privater Schlüssel verwechselt. Ein privater Schlüssel kontrolliert eine Adresse. Aus der Seed-Phrase werden alle Schlüssel abgeleitet. Einen einzelnen Schlüssel zu verlieren ist schmerzhaft; mit der Seed-Phrase verlieren Sie alles.

Was Sie als Nächstes tun sollten

• Überprüfen Sie Ihr Backup noch heute. Suchen Sie die Phrase heraus und stellen Sie sicher, dass jedes Wort lesbar ist.
• Notieren Sie Ihren Ableitungspfad, wenn Ihre Wallet einen nicht standardmäßigen Pfad verwendet. Bei BIP-44 können Sie ihn unausgeschrieben lassen.
• Bewahren Sie die Passphrase getrennt auf und testen Sie sie. Wenn Sie eine verwenden, führen Sie mindestens eine vollständige Wiederherstellung mit beiden durch.
• Bewahren Sie ein statisches Kanal-Backup auf, wenn Sie Lightning nutzen. Lagern Sie es an einem anderen Ort als die Seed-Phrase und aktualisieren Sie es nach jedem Öffnen oder Schließen eines Kanals.
• Wählen Sie das Material passend zum Guthaben. Papier für kleinere Beträge bei geringem Risiko; Metall, sobald es um ein erhebliches Guthaben geht.
• Erstellen Sie einen Plan für die Verwahrung. Ihr persönlicher Verwahrungsplan macht aus diesen Regeln konkrete Richtwerte, an die Sie sich halten können. Die Anleitung Wallet sichern und wiederherstellen führt Sie Schritt für Schritt durch die Vorgehensweise in Zelcore.

Die wichtigsten Erkenntnisse

• Eine Seed-Phrase ist eine menschenlesbare Codierung der Master-Entropie, aus der alle Schlüssel Ihrer Wallet erzeugt werden. Sie ist durch BIP-39, BIP-32 und BIP-44 standardisiert.
• 12 Wörter entsprechen 128 Bit Entropie, 24 Wörter 256 Bit. Beide Varianten sind praktisch unmöglich zu erraten.
• Geht die Phrase verloren, ist der Verlust endgültig und unumkehrbar. Dasselbe gilt, wenn Sie eine Passphrase vergessen.
• Mit der Seed-Phrase lassen sich Guthaben und Adressen wiederherstellen. PINs, Bezeichnungen, Lightning-Kanäle oder nicht standardisierte Ableitungspfade werden damit nicht wiederhergestellt.
• Bewahren Sie mindestens zwei Offline-Kopien an getrennten, sicheren Orten auf. Verwenden Sie bei größeren Beständen vorzugsweise Metall. Teilen Sie die Wörter niemals auf und bewahren Sie sie niemals an Orten auf, die eine Kamera oder das Internet erreichen kann.