Seed-Phrase sicher aufbewahren

Deine Wiederherstellungswörter gehören offline, körperlich und an zwei verschiedene Gebäude. Digital scheiden sie aus: kein Foto, keine Notiz-App, keine Cloud, kein Passwortmanager. Metall überlebt, was Papier nicht überlebt. Eine Sicherung, die nie zurückgespielt wurde, ist eine Vermutung.

Was folgt, erklärt, warum das so ist, was in den einzelnen Fällen passiert und wo die Grenzen liegen.

Was eine Seed-Phrase ist

Eine Seed-PhraseSeed-Phrase: Eine Liste von meist 12 oder 24 Wörtern, aus der sich alle Schlüssel einer Wallet wiederherstellen lassen. Wer sie hat, hat die Bitcoin. Wer sie verliert, verliert sie. ist eine Folge von meist 12 oder 24 Wörtern. Auf Deutsch heissen sie Wiederherstellungswörter, im Sprachgebrauch überwiegt der englische Begriff. Beide meinen dasselbe. Die Wörter stammen aus einer festgelegten Liste von 2048 Einträgen; der Standard dahinter heisst BIP-39 und sieht Längen von 12, 15, 18, 21 oder 24 Wörtern vor.

Hier fangen die meisten Missverständnisse an: Diese Wörter sind keine Sicherungskopie deiner Wallet. Sie sind deine Wallet.

Aus ihnen werden sämtliche privaten Schlüssel abgeleitet, deterministisch, mit einem festgelegten Verfahren. Das Gerät, also eine Hardware-Wallet oder eine App, ist ein Behälter, der diese Ableitung ausführt und die Schlüssel vor fremdem Zugriff schützt. Geht das Gerät kaputt, ersetzt man es und gibt die Wörter in ein neues ein. Gehen die Wörter an eine fremde Person, sind deine Bitcoin weg, und zwar sofort und unabhängig davon, wo dein Gerät gerade liegt.

Daraus folgt alles Weitere. Die Wörter zu sichern heisst, einen Gegenstand zu schützen, der gleichzeitig unersetzlich und vollständig übertragbar ist. Diese beiden Eigenschaften ziehen in entgegengesetzte Richtungen: Schutz vor Verlust verlangt Kopien, Schutz vor Diebstahl verlangt möglichst wenige. Jede Entscheidung in diesem Artikel wägt zwischen diesen beiden Seiten ab.

Warum die Wörter aus einer festen Liste stammen

Der Aufbau von BIP-39 erklärt mehrere Dinge, die sonst willkürlich wirken, und er entscheidet mit darüber, was bei einem Fehler noch zu retten ist.

Die Liste umfasst 2048 englische Wörter, von abandon bis zoo, jedes drei bis acht Buchstaben lang. Die Spezifikation verlangt, dass die ersten vier Buchstaben ein Wort eindeutig bestimmen. Nachgezählt trifft das zu: Die 2048 Einträge ergeben 2048 verschiedene Anfänge. Ein verwischtes Wortende auf deinem Zettel kostet dich deshalb nichts.

Die Zahl 2048 ist keine Willkür. Sie ist 2 hoch 11, und damit trägt jedes Wort genau elf Bit. Zwölf Wörter ergeben 132 Bit, vierundzwanzig ergeben 264.

Der Rest ist Prüfsumme. Nach der Spezifikation werden die ersten ENT / 32 Bit des SHA256-Hashwerts der Zufallszahl angehängt.

Daraus folgen drei praktische Dinge.

Eine falsch abgeschriebene Liste wird erkannt. Die Spezifikation verlangt von jedem Programm, die Prüfsumme zu berechnen und bei einem ungültigen Ergebnis zu warnen. Bei zwölf Wörtern kommt eine zufällig zusammengestellte Liste nur in einem von sechzehn Fällen durch. Wenn deine Wörter angenommen werden, hast du sie mit hoher Wahrscheinlichkeit richtig.

Ein einzelnes falsches Wort lässt sich eingrenzen. Weil die Liste feststeht und die Prüfsumme die meisten Kandidaten verwirft, bleibt eine überschaubare Menge übrig. Wie viele es je nach Fall sind, steht unter Zugang zur Wallet verloren.

Und du darfst dir die Wörter niemals selbst ausdenken. Der Zufall muss vom Gerät kommen. Eine Liste, die ein Mensch zusammenstellt, weil sie ihm besser merkbar erscheint, ist innerhalb kurzer Zeit zu erraten; Angreifer suchen solche Muster systematisch ab. Dasselbe gilt für Wörter aus einem Buch, einem Liedtext oder einem Geburtsdatum.

Wo die Wörter hingehören

Wohin nicht

Kein Foto. Ein Bild in deiner Galerie wandert in die Cloud-Sicherung des Telefons, oft ohne dass du das eingerichtet hättest. Damit liegen die Wörter bei einem Unternehmen, dessen Zugang an einem Passwort und einer Wiederherstellungsadresse hängt.

Keine Notiz-App und keine Textdatei. Beide werden durchsucht, von der Suchfunktion des Geräts, von Sicherungsprogrammen und im Schadensfall von Software, die genau danach sucht. Wörter aus der BIP-39-Liste in einer Reihe sind ein auffälliges Muster.

Keine Cloud. Sie ist der Ort, an dem das Backup-Problem gelöst scheint und das Zugriffsproblem entsteht.

Kein Passwortmanager. Diese Variante klingt am plausibelsten und ist deshalb die gefährlichste. Ein Passwortmanager ist gut für Zugänge, die sich zurücksetzen lassen. Hier trifft das nicht zu: Verlierst du das Hauptpasswort oder wird der Manager kompromittiert, hast du keinen zweiten Weg. Ausserdem hängen die Bitcoin damit wieder an einem Unternehmen, also an dem, was SelbstverwahrungSelbstverwahrung: Bitcoin liegen in einer Wallet, deren Schlüssel man selbst kontrolliert, statt bei einem Anbieter. Kein Ausfallrisiko Dritter, dafür trägt man die Verantwortung für die Sicherung allein. gerade beenden soll.

Nicht aufgeteilt nach Bauchgefühl. Zwölf Wörter an drei Orte zu je vier zu verteilen fühlt sich sicherer an. Es vervierfacht die Zahl der Stellen, an denen etwas verlorengehen kann, und wer zwei Drittel der Wörter findet, hat den Rest deutlich schneller. Verfahren, die eine Seed-Phrase kontrolliert aufteilen, gibt es; sie sind etwas anderes als vier Zettel in drei Schubladen.

Wohin dann

Auf ein Material, das Feuer und Wasser übersteht, an einem Ort, den nur wenige Menschen kennen, dazu eine zweite Kopie in einem anderen Gebäude. Mehr ist es im Kern nicht. Schwierig ist daran das Erledigen und nicht das Verstehen.

Papier gegen Metall

Fast alle fangen mit der Karte an, die dem Gerät beiliegt. Das ist ein vernünftiger Anfang und ein schlechtes Ende.

Der Vergleich ist deshalb eindeutig, weil die Gefahren, gegen die Metall schützt, keine Sonderfälle sind. Ein Wohnungsbrand oder ein Wasserschaden ist sehr viel wahrscheinlicher als ein gezielter Angriff, und er trifft beide Kopien in derselben Wohnung gleichzeitig.

Konkrete Produkte und Preise nennt diese Seite nicht, weil sie sich ändern und weil eine Empfehlung ohne belegte Grundlage wertlos ist. Das Prinzip trägt auch ohne: Ein Stahlträger, in den die Wörter geschlagen oder gestanzt sind, leistet, was er leisten soll. Bedruckte oder geklebte Lösungen leisten es nicht, weil Farbe und Klebstoff im Feuer zuerst aufgeben.

Der zweite Ort

Eine einzige Kopie schützt gegen genau ein Szenario: dass man die Wörter vergisst. Gegen Feuer, Wasser, Einbruch und Umbau schützt sie nicht.

Zweiter Ort heisst anderes Gebäude. Dein Kellerschrank ist kein zweiter Ort, wenn das Haus brennt. Was infrage kommt, hängt von den Umständen ab: Wohnung von Angehörigen, Zweitwohnsitz, Bankschliessfach, Tresor am Arbeitsplatz.

Für jeden dieser Orte gilt dieselbe Prüffrage, und sie lautet nicht «wie sicher ist es dort». Sie lautet: Wer kommt dort hin, und was passiert, wenn du es nicht mehr erklären kannst? Ein Ort, an den ausser einem selbst niemand gelangt, ist gegen Diebstahl ausgezeichnet und im Todesfall eine Sackgasse. Ein Ort, an den mehrere gelangen, ist umgekehrt.

Wer die zweite Kopie bei einer Person hinterlegt, sollte deren Rolle klar halten. Sie bewahrt einen versiegelten Umschlag auf und ist für den Inhalt nicht zuständig. Wissen muss sie nur, dass es sich um etwas Wichtiges handelt und an wen es im Ernstfall geht.

Die Passphrase

Zusätzlich zu den Wörtern lässt sich eine Passphrase setzen, gelegentlich «dreizehntes Wort» genannt. Sie geht in die Ableitung ein und erzeugt damit eine vollständig andere Wallet.

Das Wichtigste dazu steht in der Spezifikation selbst: Jede Passphrase ergibt eine gültige Wallet, aber nur die richtige öffnet die gewünschte. Es gibt keine Fehlermeldung. Vertippst du dich, siehst du eine leere Wallet und schliesst daraus im schlimmsten Fall, deine Bitcoin seien weg.

Daraus ergeben sich zwei Konsequenzen, die sich widersprechen und deshalb zusammen bedacht werden müssen:

• Sie ist ein sehr starker Schutz. Wer die Wörter findet, findet ohne die Passphrase nichts, was ihm nützt.
• Sie ist ein sehr wirksamer Weg, sich selbst auszusperren. Die Passphrase braucht ihre eigene Sicherung, an einem anderen Ort als die Wörter, und mit derselben Sorgfalt. Gross- und Kleinschreibung, Leerzeichen und Sonderzeichen müssen Zeichen für Zeichen stimmen.

Behältst du die Passphrase nur im Kopf, ist deine Sicherung eine Wette auf dein Gedächtnis über Jahrzehnte. Legst du sie neben die Wörter, hast du sie abgeschafft. Der Nutzen entsteht erst durch die Trennung, und mit ihm entsteht eine zweite Stelle, die ausfallen kann.

Die Wiederherstellungsprobe

Dieser Schritt wird am häufigsten übersprungen, und er beweist als einziger etwas.

Eine Sicherung, die nie zurückgespielt wurde, ist eine Vermutung. Sie kann an Kleinigkeiten scheitern, die man beim Aufschreiben nicht bemerkt: eine vertauschte Reihenfolge, ein Wort in der falschen Zeile, eine unleserliche Handschrift, ein Wort aus der falschen Sprachliste, eine Passphrase mit einem Leerzeichen am Ende.

Der Ablauf ist immer derselbe: einen kleinen Betrag auf die Wallet schicken, das Gerät zurücksetzen, aus deinen notierten Wörtern wiederherstellen, prüfen, ob der Betrag wieder da ist. Erst danach kommt der Rest. Die Probe kostet ein paar Franken Netzwerkgebühr und unterscheidet eine Sicherung, die funktioniert, von einer, von der man das annimmt.

Sinnvoll ist, sie nach längerer Zeit zu wiederholen, und immer dann, wenn sich etwas geändert hat: neues Gerät, neue Passphrase, neuer Aufbewahrungsort.

Verloren, was jetzt noch geht

Die Antwort hängt daran, was genau fehlt, und sie fällt sehr unterschiedlich aus.

Die dritte Zeile ist der Grund für alles davor. Es gibt bei Bitcoin keine Institution, die Zugänge zurücksetzt. Derselbe Umstand macht ihn unabhängig, und er wirkt in beide Richtungen.

Die übrigen Fälle stehen anderswo. Ein einzelnes unleserliches Wort, eine vertauschte Reihenfolge, eine vergessene PIN, eine verlorene Passphrase und die Frage, wie viele Kandidaten dabei zu prüfen sind: Das alles behandelt Zugang zur Wallet verloren, zusammen mit den Angeboten, die in dieser Lage auf dich zukommen.

Nachlass, in drei Sätzen

Ohne Vorkehrung sind deine Bitcoin im Todesfall für deine Erben weder auffindbar noch zugänglich, und niemand kann daran nachträglich etwas ändern. Nötig sind zwei Dinge: die Information, dass es diese Bitcoin überhaupt gibt, und ein geordneter Weg zu den Wörtern. Ob das über einen versiegelten Umschlag beim Notariat, ein Schliessfach oder eine Konstruktion mit mehreren Schlüsseln läuft, ist zweitrangig; die Entscheidung selbst ist es nicht.

Was in der Schweiz anders ist

An der Sache selbst: nichts. Eine Seed-Phrase kennt keine Landesgrenze, das Verfahren ist überall dasselbe, und auch die Suchbegriffe sind international identisch. Wer hier eine Schweizer Besonderheit behauptet, verkauft eine Selbstverständlichkeit als Spezialwissen.

Anders ist der Nachlassteil, und zwar überall dort, wo die Wörter an einem Ort liegen, den nicht die Wörter selbst öffnen: ein Bankschliessfach, ein Depot, ein Umschlag bei einer Amtsstelle. Sobald ein Dritter über den Zugang entscheidet, gilt für ihn das Erbrecht seines Landes samt der Nachweise, die es verlangt, und samt der Zeit, die deren Beschaffung braucht. Wie das Verfahren in der Schweiz konkret abläuft, welche Nachweise die Erben brauchen und wie lange es dauert, steht bewusst nicht auf dieser Seite: Diese Angaben liessen sich für diesen Artikel nicht aus einer amtlichen Quelle belegen, und eine ungeprüfte Auskunft wäre hier schlimmer als keine. Verbindlich ist die zuständige kantonale Behörde oder ein Notariat.

Für die Aufbewahrung folgt daraus eine Regel, die ohne Rechtskenntnis auskommt: Je mehr ein Aufbewahrungsort von einem Verfahren abhängt, desto weniger taugt er als einziger Ort. Ein Schliessfach ist eine gute zweite Kopie und eine schlechte einzige.

Was diese Seite nicht ist

Sie erklärt, warum die Dinge so sind. Ob bei dir alles steht, prüfst du schneller mit der Verwahrungs-Checkliste: zehn Punkte zum Abhaken, darunter mehrere, die hier nur gestreift sind. Wer noch gar nichts zu verwahren hat, findet die Wege zum ersten Kauf; wer den Bestand noch bei einer Bank hält, prüft unter Schweizer Banken mit Bitcoin-Angebot, ob er ihn überhaupt herausbekommt.