Was eine digitale Geldbörse wirklich schützt

Eine Geldbörse „enthält“ nichts. Sie verwahrt die Schlüssel, mit denen sich ein Vorgang anweisen lässt, und die Eintragung dieses Vorgangs in ein öffentliches Register ist endgültig. Genau darin liegt der Unterschied zum Bankkonto: Es gibt niemanden, der den Vorgang aufheben oder den Zustand von Amts wegen wiederherstellen könnte. Die Sicherheit entscheidet sich deshalb vollständig im Vorfeld – daran, wer in Ihrem Namen eine Transaktion signieren lassen kann.

Eigene Verwahrung oder Handelsplatz: zwei Lagen

Zwei sehr verschiedene Lagen werden häufig verwechselt. Auf einem Handelsplatz gehören die Schlüssel dem Betreiber: Sie halten eine Forderung gegen ihn, und Ihr Risiko liegt in seiner Solidität, seiner Führung und seinem etwaigen Verschwinden. In einer eigenen Geldbörse gehören die Schlüssel Ihnen: Niemand kann Ihr Guthaben sperren – und niemand kann es an Ihrer Stelle zurückholen. Keine der beiden Lagen ist „die richtige“; worauf es ankommt, ist zu wissen, in welcher man sich befindet, denn die Vorkehrungen sind andere.

Verbundene Geldbörse, Hardware, getrennte Zwecke

Eine verbundene Geldbörse – eine Anwendung auf dem Telefon, eine Erweiterung im Browser – ist bequem und teilt die Angriffsfläche des Geräts, auf dem sie läuft. Eine Hardware-Geldbörse hält den Schlüssel außerhalb des Rechners und verlangt eine körperliche Bestätigung, was den größten Teil der Schadprogramme wirkungslos macht. Sie schützt dagegen nicht vor dem, was Sie selbst erlauben: Wenn Sie auf einer betrügerischen Seite eine Berechtigung signieren, führt das Gerät Ihre Anweisung getreu aus. Die vernünftige Regel lautet, die Zwecke zu trennen: kleine Beträge in der verbundenen Geldbörse, das Wesentliche offline, und niemals beides am selben Ort.

Die Phrase, die niemals digital wird

Die Wiederherstellungsphrase ist kein Passwort: Sie stellt die gesamte Geldbörse wieder her, auf jedem beliebigen Gerät, ohne weitere Kontrolle. Sie lässt sich nicht ändern. Deshalb darf sie nie abfotografiert, in einem Passwortverwalter abgelegt, in einer Nachricht verschickt, in einem Onlinedienst gesichert oder auf einer Seite eingegeben werden, die vorgibt, Ihre Geldbörse zu „prüfen“ oder zu „synchronisieren“ – keine ernstzunehmende Anwendung verlangt das, unter keinem Vorwand. Schreiben Sie sie offline auf, verwahren Sie sie sicher, und wenn jemand anderes sie gesehen haben könnte, halten Sie die Geldbörse für offengelegt: Bringen Sie den Rest in eine neue.

Die Signatur, die in Wahrheit eine Berechtigung ist

Der häufigste Ablauf verlangt kein Eindringen. Eine Seite ahmt einen bekannten Dienst nach, bis auf einen Buchstaben in der Adresse, und bittet Sie, Ihre Geldbörse zu verbinden, um eine Ausschüttung zu erhalten, einen Fehler zu beheben oder an einem Verkauf teilzunehmen. Die Signatur, die Ihnen vorgelegt wird, ist keine Überweisung: Sie ist eine Berechtigung – oft unbegrenzt – , mit der ein Vertrag über Ihre Bestände verfügen darf. Sie wird mit einer Bewegung erteilt und bleibt danach gültig. Lesen Sie, was das Bestätigungsfenster tatsächlich ankündigt, misstrauen Sie Freigaben ohne Obergrenze, und sehen Sie die erteilten Berechtigungen regelmäßig durch, um zu widerrufen, was nicht mehr gebraucht wird.

Adresse prüfen, Probebetrag senden

Prüfen Sie die Empfängeradresse vollständig und nicht nur ihre ersten und letzten Zeichen: Manche Schadprogramme ersetzen die kopierte Adresse in der Zwischenablage durch eine optisch ähnliche. Schicken Sie an jede neue Adresse zuerst einen kleinen Probebetrag. Installieren Sie Anwendungen nur aus der offiziellen Quelle, indem Sie die Adresse eintippen statt einem erhaltenen Link zu folgen. Und behalten Sie im Sinn, dass Eile der wichtigste Faktor ist: Fast jede später bereute Signatur wurde unter dem Druck eines ablaufenden Angebots erteilt.

Wenn die Technik nur die Kulisse ist

Manchmal ist die Technik bloß Kulisse. Jemand, den man in einem sozialen Netzwerk kennengelernt hat, bietet Begleitung an, zeigt Ergebnisse und lädt dazu ein, auf eine Plattform einzuzahlen, deren Link er liefert. Die Gewinne erscheinen, dann stößt die Auszahlung auf eine Gebühr, eine vorzustreckende Steuer, ein freizuschaltendes Konto. Hier wurde keine Geldbörse aufgebrochen: Die Zahlungen erfolgten freiwillig, im Vertrauen auf eine Oberfläche. Deshalb genügen technische Vorkehrungen nicht – die Prüfung der Plattform bleibt der erste Schutz.

Die Reihenfolge nach einem Vorfall

Gehen Sie der Reihe nach vor: Bringen Sie den Rest in eine Geldbörse, die auf einem sauberen Gerät angelegt wurde und eine neue Wiederherstellungsphrase hat; widerrufen Sie die von der betroffenen Adresse erteilten Berechtigungen; ändern Sie das Passwort des E-Mail-Kontos und schalten Sie die Zwei-Faktor-Anmeldung frei. Notieren Sie danach die Transaktionskennungen, die beteiligten Adressen, die Daten und die Beträge: In einem öffentlichen Register bleiben diese Angaben lange einsehbar, und sie sind der Stoff für einen Hinweis ebenso wie für eine Strafanzeige. Sie heben keinen Vorgang auf, aber sie machen den Weg des Geldes lesbar – und genau das muss eine Akte festhalten.

Dieser Beitrag dient der allgemeinen Information und ist weder Rechts- noch Finanzberatung. Jeder Sachverhalt wird einzeln beurteilt: Was möglich ist, hängt von den Umständen, den vorhandenen Unterlagen und dem anwendbaren Recht ab.