Das große Wallet ABC
Inhaltsverzeichnis - wallet vergleich
Was ist eine Wallet?
Eine Wallet für Kryptowährungen ist ein Software-Programm, welches Tokens bzw. Coins speichert. Also eine digitale Brieftasche. Um technisch korrekt zu sein, speichert die Wallet lediglich den privaten Schlüssel. Die Coins selber sind auf der Blockchain gespeichert und einer Wallet-Adresse zugewiesen. Diese Wallet Adresse wird dir in dem Programm angezeigt und ist mit einer IBAN vergleichbar. Somit kann diese genutzt werden um Zahlungen zu empfangen oder sich als Sender einer Zahlung auszuweisen. Wallets haben sich den Anwendungsgebieten entsprechend angepasst und erfüllen unterschiedliche Funktionen und besitzen verschiedene Eigenschaften.
Worauf sollte man bei der Wallet Wahl achten?
Der wichtigste Aspekt, welcher erfüllt sein musst, ist die Vertrauenswürdigkeit des Herausgebers der Software. Nur wenn dieser am Markt etabliert ist und bisher einwandfreie Produkte geliefert hat, kann man diesen sein Vertrauen schenken.
Folgende Fragen helfen bei der Einschätzung der Reputation des Wallet Herausgebers
Wer ist der Herausgeber der Software? Wie lange ist der Wallet schon am Markt? Gab es bisher Probleme oder Hacks des Wallets? Ist der Quellcode des Wallet verfügbar (Open Source)?
Generierung des privaten Schlüssels: Hier gibt es zwei Gruppen. Einmal die Handelsplätze, welche die Web-Wallets anbieten und die hieratischen und deterministischen (HD) Wallets, welche die Verantwortung über die Verwaltung des privaten Schlüssels komplett an den Nutzer abgeben. Das heißt, dass Anbieter von Web-Wallets die Obhut über dein Vermögen haben, um den Handel zu ermöglichen. Um jedoch nicht nur der Eigentümer, sondern auch der Besitzer der Coins zu sein, sollte man eine andere Alternative nutzten. Also eine Hardware-, Mobile– oder Desktop- Wallet.
Unterstützte Coins: Es gibt viele Wallets, welche nur einen Coin unterstützten. Falls man jedoch ein breiteres Portfolio an Kryptowährungen hat empfiehlt sich ein sogenanntes Multi-coin-wallet. Also eine Wallet, welche viele unterschiedliche Kryptowährungen verwalten kann.
Verfügbarkeit des Wallets
Je nach Herausgeber der Software sind die Programme auf unterschiedlichen Plattformen verfügbar. Manche sind nur auf mobilen Endgeräten also iOS und Android verfügbar und andere nur über Desktop Plattformen wie Windows oder Mac. Je nach deinen Anforderungen musst du dir eine Wallet suchen, welche genutzten Plattformen unterstützt.
Wie funktioniert die Sicherung bzw. das Backup des privaten Schlüssels?
Hat man sich für ein passenden Wallet entschieden muss dieser natürlich noch entsprechend abgesichert werden. Um diesen Prozess zu vereinfachen, wird der private Schlüssel anhand einer 12 oder 24-stelligen Passphrase abgebildet. Hier ein Beispiel eines privaten Ethereum Schlüssels mit der zugehörigen Passphrase.
2463dacefea03955f69738bac20fd3e4a51b507e
0e6a8503de964aa60020105a1f34f78e10d6f16fe895
3e982dd142c03f22d115fc028d4
oxygen march warrior almost slender found forget effort middle wrong provide elder
Wenn man die Wallet herunterlädt und diese einrichtet, gibt diese direkt die Passphrase an den Nutzer weiter. Diese sollte unbedingt notiert werden und einem sicheren Ort aufbewahrt werden. Um sich vor höherer Gewalt wie Feuer oder Wasserschäden zu schützen empfiehlt es sich diese an zwei verschieden Orten aufzubewahren. Hier sollte man darauf achten, dass unbefugte keinen Zugriff auf diese Informationen haben.
Sollte das Smartphone verloren gehen, kann man diese Passphrase nutzten um damit wieder Zugang zu seinem Kryptovermögen zu erlangen. Dazu wird einfach die App auf einem neuen Endgerät heruntergeladen und die Passphrase wieder eingepflegt. Die App generiert den privaten Schlüssel auf Basis der Passphrase. Nun kann der Wallet auch den öffentlichen Schlüssel (Wallet Adresse) wieder generieren und findet somit deine Coins auf der Blockchain und hat Zugriff auf diese.
Um die Passphrase noch besser zu schützen kann man auch spezielle Stahlgehäuse wie Cryptosteel oder Billfodl verwenden, welche vor äußeren Einflüssen schützen. Diese Stahl Sicherungen in Kombination mit einer Hardware Wallet bieten aktuell den höchsten Sicherheitsstandard.
Um deine Passphrase zu notieren, kannst du diese (LINK) Vorlage verwenden.
Wallet Arten
Im laufe der Zeit wurden unterschiedliche Wallet Arten entwickelt um die vielseitigen Bedürfnisse abzudecken. Im Folgenden möchten wir dich über die gängigen Arten aufklären und deren Anwendungsgebiete bzw. Eigenschaften näher erklären.
Hardware Wallets (HW)
Eine Hardware Wallet kann man sich vorstellen wie einen USB-Stick. Mit dem entscheidenden Unterschied, dass dieser einen Mikrocontroller enthält: eine besondere Partition, welche für die Speicherung des privaten Schlüssels genutzt wird. Der private Schlüssel wird vom Gerät selber erzeugt und verlässt dieses nie. Das heißt: die Signierung einer Transaktion wird vom Hardware Wallet selber übernommen, um den höchsten Sicherheitsstandard zu bieten.
Somit kann das Gerät auch im Internetcafe oder auf Opas Rechner genutzt werden, ohne die Angst zu haben, dass Schadprogramme Zugriff auf dein Vermögen haben. Aktuell gibt es drei große Anbieter von Hardware Wallets. Diese sind Trezor, Keepkey und Ledger.
- Der private Schlüssel wird vom Gerät erzeugt und nicht an andere Programme kommuniziert.
- Bei einer Transaktion signiert der Hardware Wallet diese selber.
- Computerviren wie Keylogger oder Trojaner haben somit keine Möglichkeit, deinen privaten Schlüssel auszulesen.
- Sie können sicher und interaktiv genutzt werden – im Gegensatz zu Papier Wallets, welche die Eingabe des Schlüssels in Software voraussetzen.
Web-Wallets für Börsen und Handelsplätze
Web Wallets werden dir von einer Börse oder einem Handelsplatz angeboten. Dies bedeutet, dass du nicht selber in der Obhut des privaten Schlüssels bist. Somit bist du zwar Eigentümer der Coins, jedoch nicht der Besitzer. Der private Schlüssel liegt dann auf den Servern des jeweiligen Anbieters. Diese Art der Aufbewahrung ist angebracht, wenn man mit den Währungen handeln möchte oder diese nur kurzfristig dort aufbewahrt. Von einer langfristigen Aufbewahrung seiner Kryptowährungen auf Web Wallets wird jedoch abgeraten. Dies hat den Hintergrund, dass Betrüger es immer wieder schaffen die Sicherheitsmechanismen der Anbieter zu überwinden und somit an das Vermögen der Anleger kommen.
Aber was ist eigentlich der Unterschied zwischen einer Börse und einem Handelsplatz? Die European Banking Authority (EBA) hat die Marktteilnehmer in einem ausführlichen Bericht klassifiziert. Laut dem Bericht bietet eine Börse die Möglichkeit Kryptowährungen, wie auch Fiat Währungen (Euro, Dollar etc.) zu tauschen. Deutschsprachige Beispiele sind Bitcoin.de oder Bitpanda.de.
Als internationaler Marktführer ist auch Coinbase.com zu empfehlen. Diese Börse bietet einen speziellen Vault (Eng.) bzw. Trezor (Ger.) Dienst an. Dieser Dienst kombiniert verschiedene Sicherheitsaspekte um das Sicherheitsniveau entsprechend anzupassen. Konkret werden hierfür die 2-Faktor-Authentifizierung und die Multi-Signatur-Funktion genutzt. Letztere wird später noch genauer erklärt.
Ein Handelsplatz hingegen bietet lediglich die Möglichkeit Krypto gegen Krypto zu tauschen. Ein Kauf von Bitcoin oder Ether durch Euro ist dort also nicht möglich. Beispiele für solche Handelsplätze sind Poloniex.com oder Kranken.com.
Mobile Wallets
Um Kryptowährungen wie Bitcoin, Litecoin o.Ä. bequem im Alltag nutzen zu können, ist eine Nutzeroberfläche auf dem Smartphone notwendig. Dies sind sogenannte Mobile Wallets, welche einfach über den iOS oder Android Store heruntergeladen werden können. Wenn man die App das erste Mal öffnet, erstellt diese einen zufälligen privaten Schlüssel, welcher für den Nutzer als Passphrase (auch recovery seed oder mnemonic seed genannt) dargestellt wird. Diese Phrase sollte man sich unbedingt aufschreiben und sicher verwahren. Empfehlungen hierzu findest du am Ende dieses Artikels.
Aktuell gibt es mehrere Anbieter, welche sich schon am Markt etabliert haben und eine Multi-coin-wallet anbieten. Also eine Wallet, welche nicht nur Bitcoin, sondern eine Vielzahl an unterschiedlichen Kryptowährungen wie Ether, Dash, EOS, Civic uvm. verwalten kann. Diesbezüglich empfehlen wir folgende mobile Wallets:
Jaxx: Die Wallet wurde 2014 von Ethereum Mitgründer Anthony Di Iorio gegründet. Sie unterstützt eine Vielzahl von Coins und ist auf iOS, Android, Windows, Mac etc. verfügbar.
Infinito: Das Unternehmen wurde 2015 im Vietnam gegründet und ist ein Pionier im asiatischen Markt. Die Wallet ist für iOS und Android erhältlich und bietet auch eine deutsche Version.
Coinomi: Das Unternehmen wurde 2014 in London gegründet. Die Wallet ist auf iOS und Android erhältlich und überzeugt durch die Möglichkeit über 150 verschiedenen Coins verwalten zu können.
Desktop Wallets
Um seine Kryptowährungen bequem am Desktop PC oder Laptop verwalten zu können, sind diese auch für Windows, Linux oder Mac erhältlich. Wie auch beim Mobile Wallet generiert das Programm einen zufälligen privaten Schlüssel, aus dem die Wallet Adresse abgeleitet wird.
Im Bereich der Desktop Wallets gibt es eine Kategorie, welcher wir besondere Aufmerksamkeit schenken möchten. Dem Full-Nodes, welche die komplette Blockchain abspeichern und somit zur Stabilität und Verlässlichkeit des Netzwerks beitragen. Eine ausführliche Beschreibung findest du hier.
Funktionen:
Multi-Signatur-Wallets
Dies sind Wallets, welche mehrere private Schlüssel bzw. Signaturen benötigen um eine Transaktion durchzuführen. Um zu veranschaulichen, wie viele Schlüssel benötigt werden und wie viele verfügbar sind wird dies z.B. in dem Format 2-von-3 dargestellt. In diesem Beispiel sind drei Schlüssel verfügbar und zwei werden für eine gültige Transaktion benötigt.
Green Address: Ermöglicht die Erstellung von 2-von-2 und 2-von-3 Konten. Es empfiehlt sich die Nutzung einer 2-Faktor Authentifizierung, wie auch die Nutzung der Browser Erweiterung bzw. der Android App. Die Wallet unterstützt lediglich Bitcoin.
Electrum: Die Wallet existiert seit 2011 und läuft unter einer open Source Lizenz des MIT. Firmensitz der Electrum Technologies GmbH ist in Berlin. Die Wallet unterstützt eine Vielzahl von Schlüsselkombinationen bis hin zu 15-von-15. Des Weiteren unterstützt die Software Hardware Wallets wie Trezor, Ledger oder Keepkey. Die umfangreiche Dokumentation der Software ist hier einsehbar.
Shapeshift:
ShapeShift bietet die Möglichkeit, Krypto Tokens bzw. Coins untereinander zu tauschen. Der Dienst baut auf einer API-Schnittstelle auf und benötigt somit im Gegensatz zu vielen anderen Handelsplätzen keine Anmeldung des Nutzers. Der Handel selber ist als Funktion in den unterschiedlichen Wallets integriert und ist sehr nutzerfreundlich. Da das Unternehmen selber über Vorräte aller genutzten Kryptowährungen verfügt, ist eine sofortige Abwicklung des Handels möglich. Laut ShapeShift liegt die durchschnittliche Abfertigung eines Handels aktuell bei 450 Sekunden. Stand 06/2018.
Der Wechselkurs bzw. die Wechselgebühr ist verglichen mit zentralisierten Handelsplattformen wie Poloniex jedoch etwas teurer. Bevor man große Summen wechseln möchte, empfiehlt sich der Vergleich des Wechselkurses von mehreren Anbietern. Dieser kann je nach Coin bzw. Token und der jeweiligen Marktlage variieren.
Aktuell sind rund 50 Coins auf der Website von ShapeShift gelistet, die vom Dienst unterstützt werden. Natürlich kann eine Wallet, welche ein bestimmte Coin nicht unterstützt, diesen auch nicht über ShapeShift handeln. Somit sind nur die Coins über ShapeShift handelbar, welche sowohl von ShapeShift selber, als auch dem Wallet unterstützt werden.
Im Jahr 2016 konnte ein Hacker Zugriff auf die Online-Wallets der Handelsplattform erlangen und BTC, ETH und LTC im Wert von (damals) 230.000 Dollar erbeuten. Kurz darauf war die Plattform für kurze Zeit offline, um neue Sicherheitsfunktionen in den Dienst zu implementieren. Quelle
Laut Erik Voorhees, dem CEO von ShapeShift, ist das Unternehmen bzw. die Kunden noch gut davongekommen: Der Hacker hatte keine Möglichkeiten, private Daten der Nutzer abzugreifen. Dies betonte er in einer Podiumsdiskussion im Rahmen von der Veranstaltung Consensus 2016, dem weltgrößten Blockchain Meetup in New York. Die Tatsache, dass ShapeShift keine KYC (know your customer) Prozesse hat, um die Identität von den Nutzern zu bestätigen, schützt die Privatsphäre der Nutzer. Dies hat zur Auseinandersetzung zwischen der Firma und Regulierern des New Yorker Marktes geführt. Aktuell ist der Dienst nicht im Rechtsraum von New York verfügbar, da sich ShapeShift geweigert hat, die BitLicense zu erfüllen. Mit BitLicense ist eine unternehmerische Lizenz zur Verwendung von Kryptowährungen gemeint, welche von dem Staat New York ausgegeben wird.
Das Unternehmen selber wurde 2014 gegründet. Der Firmensitz befindet sich im sogenannten Crypto Valley, in Zug in der Schweiz. Des Weiteren hat die Firma eine strikte „no fiat“ Richtline. Dies bedeutet, dass alle Vermögenswerte und Tätigkeiten des Unternehmens in Kryptowährungen abgebildet werden.
Zwei Faktor Authentifizierung:
Ein sehr wichtiger Sicherheitsaspekt zum Schutz vor unbefugtem Zugriff Dritter ist die 2-Faktor-Authentifizierung (2FA). Diese wird für den Identitätsnachweis eines Nutzers verwendet und nutzt hierfür unabhängige Komponenten bzw. Faktoren.
Das klassische Beispiel einer 2FA ist die Nutzung einer Bankkarte. Hier ist nicht nur eine Bankkarte als physisches Objekt notwendig, sondern auch eine PIN als zweiter Faktor.
Für die Nutzung einer 2FA ist neben dem Benutzername und dem Passwort also ein zweiter Faktor nötig, um Zugang zu seinem Konto zu erhalten. Grundsätzlich gibt es drei Faktoren, welche genutzt werden können, um die eigene Identität zu bestätigen.
Wissen: PIN, Passwort, E-Mail-Zugang, Passworttabelle
Besitz: Smartphone (SMS), Physikalischer Token (Authentifizierungs-App), Bankkarte, Hardware Schlüssel (Yubikey, Ledger, Trezor)
Wesen: Fingerabdruck, Retina, Spracherkennung
Welche Arten der 2FA gibt es bzw. welche Nutzung ist sinnvoll?
Die Anwendungsgebiete, für die eine 2FA relevant ist, sind vor allem Handelsplätze und Dienste wie Dropbox, Facebook, Google etc. Viele Handelsplätze setzten mittlerweile eine 2FA voraus. Im Allgemeinen gibt es zwei Unterarten der 2FA. Dies ist das Zeit-basierende-Einmal-Passwort (TOTP) und die universelle Zwei-Faktor-Authentifizierung (U2F).
Viele sind wahrscheinlich schon mit dem Einmal-Passwort (TOTP) vertraut. Beim Login muss man einen Code aus der Smartphone-App, aus einer SMS oder einer speziellen Hardware eingeben. Dies ist zwar einfach, hat jedoch einen entscheidenden Nachteil. Beide Parteien erstellen einen Hash basierend auf dem Geheimnis, welches bei der Registrierung geteilt wird. Dies führt jedoch auch Sicherheitsbedenken mit sich, da der Anbieter das Geheimnis bei der Registrierung über das Internet kommuniziert und dieses zudem selber abspeichert.
Aufgrund dessen wurde von der FIDO die universelle 2-Faktor-Authentifizierung (U2F) entwickelt. Die FIDO-Allianz (https://de.wikipedia.org/wiki/FIDO-Allianz) ist ein Zusammenschluss aus vielen Technik- und Sicherheitsunternehmen. Diese entwickeln einen offenen und lizenzfreien Industriestandard für eine sichere Authentifizierung im Internet. Dieser Standard hat folgende Vorteile:
- Es gibt kein geteiltes Geheimnis (privater Schlüssel), welcher über das Internet kommuniziert wird.
- Einfache Nutzung. Es ist keine Eingabe von Einmal-Passwörtern notwendig.
- Privatsphäre. Es sind keine persönlichen Informationen mit dem Geheimnis verbunden
Der angefragte Dienst sendet dem Nutzer eine Aufgabe zu, welche vom Nutzer mit seinem privaten Schlüssel signiert wird. Diese Signatur wird dann zurück zum Server geschickt und überprüft. Da der Server über den öffentlichen Schlüssel des Nutzers verfügt, kann dieser seine Identität verifizieren. Im Falle eines Hacks des Servers kann der Angreifer mit dem öffentlichen Schlüssel jedoch keinen Schaden anrichten.
Folglich muss man keinem Dienstleister Vertrauen schenken, da man als einziges über den privaten Schlüssel für die Authentifizierung verfügt. Dies bedeutet jedoch auch, dass man eine höhere Verantwortung bezüglich der Sicherung dieses Schlüssels hat. Hier empfiehlt sich die Nutzung eines Hardware-Wallets wie dem Ledger oder Trezor. Diese haben die U2F Funktion integriert.
Übersicht: Welche 2FA kann ich als Krypto-Investor nutzten?
Der Vollständigkeit halber sind hier alle gängigen Möglichkeiten aufgelistet. Eine “schlechte 2FA” (TOTP) ist immer noch 100 Mal besser als keine 2FA.
Generell gilt: Yubikey > Authenticator App > Email > PW-Tabelle > SMS
FIDO U2F in Kombination mit einer Hardware Wallet bzw. dem Yubikey
Dies ist mit Abstand die sicherste Option. Die Funktion kann über den Manager der Hardware aktiviert werden. Zwar unterstützen nicht alle Dienste den Standard, jedoch kommen laufend neue hinzu.
Natürlich macht es keinen Sinn, seinen Hardware-Wallet überall mitzunehmen. Aufgrund dessen empfiehlt sich der Yubikey als on the go Lösung.
Achtung: Du alleine bist für das Backup des privaten Schlüssels verantwortlich. Schreibe diesen auf und verwahre ihn sicher!
Smartphone Apps – TOTP (Google Authenticator, Authy, Microsoft Authenticator etc.)
Da viele Handelsplätze noch keine U2F-Funktion bieten, benötigen wir noch andere Optionen. Die Nutzung einer Authentifizierungs-App hat keine Anschaffungskosten und eine leichte Handhabung. Falls du dich für diese Variante entscheidest, wird dir von dem Handelsplatz ein Code mitgeteilt, welchen du in die App überträgst. Dieser dient als Basis für eine Zahlenkombination, welche sich jede 30 Sekunden ändert. Bei einem Login wird dann diese 6-stellige Zahlenkombination abgefragt.
Achtung: Du alleine bist für das Backup des geheimen Codes verantwortlich, welcher zu Beginn von dem 2FA-Partner bereitgestellt wird. Schreibe diesen auf und verwahre ihn sicher!
Email:
Bei der Anmeldung wird eine E-mail an dich gesendet, welche ein Einmal-Passwort enthält. Dies wird zur Anmeldung mit angegeben und stellt somit eine weitere Sicherheitsbarriere dar. Hier ist jedoch die Frage, wie gut dein E-Mail Konto geschützt ist.
Passworttabelle:
Hierbei handelt es sich um eine Tabelle von Passwörtern, welche als zweiter Faktor genutzt werden kann. Falls man kein Gerät nutzen möchte, ist dies eine Alternative. Einen hohen Sicherheitsstandard bietet diese Option jedoch nicht.
SMS:
Hier bestehen eine Vielzahl von Problemen: Versandverzögerungen durch den Mobilfunkanbieter, Roaming im Ausland, Schnittstellen-Betrug, SIM-Karten-Tausch-Betrug, SS7-Protokoll Sicherheitslücken usw. Die Liste ist zu lang um auf die einzelnen Aspekte einzugehen, daher raten wir von dieser Methode ab.
Eine nützliche Übersicht, welche Arten der 2-Faktor-Authentifizierung von den verschiedenen Diensten angeboten wird findest du hier.
Falls noch Fragen offen sind, kann die Erklärung der 2-Faktor Authentifizierung von Bitcoin.de eventuell weiterhelfen.
Quelle: Trezor Blog
Eigenschaften:
Hierarchisch und deterministisch (HD)
Als erstes möchte ich die wichtigere der beiden Eigenschaften ansprechen: Deterministisch
Diese Eigenschaft basiert auf dem BIP-39 (Bitcoin improvement Protocol) und ermöglicht die standardisierte Verwendung von Passphrasen, welche genutzt werden, um den Zugang zu deiner Wallet wiederherzustellen.
Synonyme: Mnemonic Seed / Passphrase / Recovery Seed
Es wirkt wie Magie. Jede hoch entwickelte Gesellschaft ist in der Lage, Technologien zu entwickeln, die von außerhalb wie Magie erscheinen. Was wir in der Kryptographie erleben, der Mathematik der Verschlüsselung, erscheint oftmals wie genau diese: Magie.
Aber lasst uns doch einen genaueren Blick in die Funktionsweise von Mnemonic Seeds werfen. Dem Saatgut mit der Eselsbrücke. Der Seed besteht aus einer Phrase mit meist 12 Wörtern. 18 oder 24 Wörter sind, je nach verwendetem Protokoll, auch möglich. Diese Wörter werden auf Basis des privaten Schlüssels erzeugt und können diesen wiederherstellen. Somit ist diese Passphrase entscheidend um unter jeglichen Umständen den Zugang zu deinen Coins bzw. Tokens zu gewährleisten.
Solltest du also auf deinen Seed zurückgreifen müssen, weil deine Festplatte abgeschmiert ist, das Smartphone im Bus liegen geblieben ist oder sonstiges – die Passphrase ist deine Rettung!
Zur Wiederherstellung des Zugangs zu deinem Kryptovermögen kannst du direkt die Wallet nutzen, welche du ursprünglich verwendet hast. Diese wird nach der Eingabe der 12 Wörter deinen privaten Schlüssel wieder erzeugen und somit alle Adressen und deren zugehörigen öffentlichen Schlüssel (Wallet Adressen) erzeugen, welche du in dieser Wallet unterhältst. Je nach verwendetem Standard der Wallet kann diese deterministische Eigenschaft auch Wallet-übergreifend genutzt werden.
Aufgrund dessen erfreut sich diese Art von Zugangsverwaltung steigender Beliebtheit.
Zur Veranschaulichung hier ein Beispiel einer BIP-39 Passphrase mit dem zugehörigen privaten Schlüssel.
oxygen march warrior almost slender found forget effort middle wrong provide elder
2463dacefea03955f69738bac20fd3e4a51b507e0e6a8503de964aa60020105a1f34f78e10d6f16fe895
3e982dd142c03f22d115fc028d41e05b927d362dcfac
Die Wörter werden hierbei nicht vom Nutzer selbst ausgewählt, sondern auf Basis des privaten Schlüssels generiert. Der private Schlüssel wird, je nach Anbieter des Wallets, auf unterschiedliche Art durch einen Zufallsmechanismus generiert. Aber was bedeutet zufällig in diesem Bezug? Ein semi-sicherer Nummern-Generator? Aktuell genutzte Zufallszahlen, welche hardwareseitig generiert werden, sind vollkommen ausreichend, da uns bei BIP-39 unglaubliche 2048^12 verschiedene Möglichkeiten zur Auswahl stehen. Ein riesiger Zahlenraum mit 39 Nullen. Die 2048 steht hierfür für die Anzahl der Wörter aus dem genutzten Wörterbuch. Die 12 steht für die Anzahl der Wörter selber.
Abschließend lässt sich sagen, dass für die Passphrase dieselben Grundprinzipien der Aufbewahrung gelten wie für den privaten Schlüssel. Diese sind folgende:
- Gebe deine Passphrase und deinen privaten Schlüssel wenn überhaupt nur an vertrauenswürdige Personen weiter.
- Verwahre deine Passphrase in einer sicheren Umgebung auf, welche von anderen nicht einsehbar ist.
- Schütze dich vor Verlust der Passphrase durch höhere Gewalt; Feuer, Flut oder Diebstahl.
- Nutze die Möglichkeit einer 2-Faktor-Authentifizierung.
- Achte auf die Vertrauenswürdigkeit des Walletanbieters, wenn du deine Passphrase oder privaten Schlüssel zur Wiederherstellung nutzt.
Solltest du (noch) keinen Hardwarewallet zur sicheren Aufbewahrung haben, empfiehlt sich die schriftliche Sicherung mit folgender Vorlage.
Hierbei solltest du dir bewusst sein, dass deine Passphrase bei der Eingabe im Wallet von einem Keylogger (PC und Smartphone) oder einer Malware zur Bildschirmerfassung (Smartphone) ausgelesen werden könnte. Better safe than sorry – vertraust du deinem Smartphone bzw. PC?
Die zweite Eigenschaft ist die hierarchische Beschaffenheit der Wallets.
Diese basiert hauptsächlich auf den Standards BIP-32 und BIP-44.
Kurz gesagt ermöglicht die hierarchische Eigenschaft die Schaffung von Haupt- und Unterwallets. Dies ermöglicht die Verteilung von unterschiedlichen Zugriffsrechten innerhalb von Unternehmen, Institutionen und Vereinen. Durch die Kombination von verschiedenen Schlüsseln und Hash-Funktionen lassen sich neue Unterkonten, sogenannte Child Keys ableiten.
Für die Verwendung von dieser Eigenschaft für die genannten Anwender (Institutionen etc.) empfehlen wir die Kontaktierung eines Experten.
Full Node und thin Client
Jeder Client bzw. Computer, welcher mit einem Blockchain Netzwerk verbunden ist, wird als Node bezeichnet. Ein Full Node Wallet verfügt über die kompletten Daten der Blockchain, um nicht von externen Quellen abhängig zu sein. Hierfür ist natürlich der Download der kompletten Blockchain notwendig. Im Fall von Bitcoin sind das aktuell 179 GB. Stand 07/2018.
Bitcoin Core: Dies ist der originale Programm Code (Source Code), welcher mittlerweile öfter angepasst wurde. In diesem ist das Regelwerk des Konsensus-Protokolls eindeutig definiert und wird verwendet, um die Sicherheit und Unabhängigkeit des Netzwerks und des einzelnen Nutzers weiter zu erhöhen. Die Software kann direkt über Github oder Bitcoin.org heruntergeladen werden.
Ein Thin Client lädt eine Kopie aller Block Header (Kopfdaten) der Blockchain herunter. Aufgrund dessen wird eine kleinere Datenmenge heruntergeladen und weniger Speicherplatz verbraucht. Satoshi erklärt die Funktion im Bitcoin Whitepaper unter Paragraph 8 wie folgt:
Ein Thin Client kann die Transaktion selber nicht überprüfen. Durch den Verweis auf die Platzierung in der Kette wird jedoch die Garantie geliefert, dass ein Full Node diese validiert hat. Durch das Hinzufügen von zusätzlichen Blöcken nach dem Block, in welchem sich die entsprechende Transaktion befindet, signalisiert das Netzwerk zudem seine Zustimmung an der Transaktion. Umso höher die Anzahl der folgenden Blöcke ist, die auf den Block mit der entsprechenden Transaktion folgen, desto höher ist der Aufwand diese zu fälschen. Somit erhöht sich die Sicherheit mit der Anzahl der danach folgenden Blöcke.
Eine Full Node kann somit alle Transaktionen des Netzwerks selber überprüfen und stellt somit ein höheres Sicherheitsniveau dar. Jeder Miner benötigt einen Full Node um Mining zu betreiben. Jedoch muss man hier hinzufügen, dass es aktuell keinen bekannten Fall gibt, welcher nachweist, dass ein Thin Client aufgrund dieser Eigenschaft angreifbar ist.
Open source:
Unter dem Begriff Open Source ist die öffentliche Zugänglichkeit des Quellcodes der Programmierung gemeint. Anstatt die Software zu kompilieren und die fertige Maschinensprache als Download bereit zu stellen, ist hier die Programmierung in der ursprünglichen Programmiersprache für jeden einsehbar und somit theoretisch größerer Kontrolle ausgesetzt.
Jeder, der über die entsprechenden Programmierkenntnisse verfügt, kann den Code auf mögliche Schadsoftware überprüfen. Ein weiterer Vorteil der Verwendung von Open Source Software im Bereich der Kryptoszene ist, dass dies Programmierern hilft, zusätzliches Wissen und Einsicht in die Programmierung von entsprechenden Anwendungen zu gewinnen. Eine beliebte Plattform für Zusammenarbeit zwischen Programmierern ist GitHub.
Eine der Devisen war lange „Vertraue nur dem Code, der von dem Core Team kommt.“
Mit dem „Core Team“ ist eine öffentliche Community an Entwicklern gemeint, die zusammen an der Weiterentwicklung des Programmcodes der (Blockchain-) Anwendungen arbeiten. Eine ausführlichere Beschreibung findest du auf der Seite von Bitcoincore.
Dieses Team besteht jedoch auch nur aus begrenzt bekannten Individuen ohne jegliche Haftpflicht. Somit ist Open Source auch keine Garantie für einwandfreien Programmcode.
Ein Argument von Krypto-Enthusiasten ist, dass Open Source Teil der Krypto-Bewegung ist, welche für die Demokratisierung des Geldes und auch Informationen steht. In Realität kann ein Großteil der Nutzer den Programmcode nicht verifizieren.
Die Optionen für 100 % sicheren Schutz vor fremden Schadcode sind folgende:
- Software selber schreiben oder
- Download vom Open Source Code, Überprüfung der Programmierung, Kompilierung und Ausführung der Anwendung.
Da dies für 99,99 % der Nutzer nicht möglich ist, brauchen wir andere Optionen:
- Core Team, welches den Quellcode öffentlich publiziert und zum Download anbietet.
- Stiftungen, Gründungen und Vereine mit transparenter Verbindung zum Projekt
- Individuum oder Unternehmen, welche ihren Quellcode veröffentlichen
- Individuum oder Unternehmen, welche keine Einsicht in die Programmierung gewähren
oder nur bestimmte Teile veröffentlichen.
Nr. 1: Die Zusammenarbeit einer Entwicklergemeinschaft auf Plattformen wie GitHub erfreut sich steigender Beliebtheit. Es ist für jeden möglich neuen Programmcode als Vorschlag zu deklarieren. Dieser wird dann von der Gemeinschaft angenommen oder abgelehnt. In der Vergangenheit hat dies sehr gut funktioniert. Microsoft als neuer Eigentümer von Github wird weiterhin viel Wert auf Sicherheitsstandards legen um Endnutzer zu schützen.
Nr. 2: Das beste Beispiel für eine Stiftung fokussiert auf die Entwicklung eines wirtschaftlichen Ökosystems, welches auf der Blockchain Technologie basiert ist die Ethereum Foundation. Diese hat ihren Sitz in Zug in der Schweiz. Der Quellcode ist auf Github einzusehen. Die Mission der Stiftung ist es die Ethereum Plattform zu unterstützen und die Entwicklung der Grundstruktur der Software und deren Forschung voranzutreiben.
Nr. 3: Im Falle, dass die Software eines Wallets durch den Herausgeber öffentlich gemacht wird, kann potenzieller Schadcode sofort entdeckt werden. Jedoch kann man sich auch erst ab einer bestimmten größe der Community darauf verlassen, dass jemand die Programmierung überprüft hat. Auch sollte man darauf achten, dass die fertige Software, welche man herunterlädt, mit dem veröffentlichten Code übereinstimmt. Hier empfiehlt sich ein Download direkt über GitHub. Dies bringt zwar Transparenz, jedoch auch das Problem, dass Dritte die Software kopieren und mit zusätzlichem Schadcode auf anderen Plattformen veröffentlichen können. Dies sind dann sogenannte Fake Wallets.
Nr. 4: Diese Wallets basieren zwar auf Open Source, jedoch werden bestimmte Teile der Programmierung nicht veröffentlicht. Der Hintergrund sind die in Nr. 3 erwähnten Fake Wallets. Für Betrüger wird der Prozess der Erstellung eines Fake Wallets wesentlich erschwert. Dies schützt den Endnutzer vor Wallet Software, welche nicht vom ursprünglichen Herausgeber publiziert wurde. Closed Source – also Software, deren Quellcode nicht öffentlich einzusehen ist – kann also nicht einfach kopiert, mit Schadsoftware ausgestattet und auf anderen Plattformen verbreitet werden.
Diese Scams bzw. Betrugsfälle sind schon häufig vorgekommen und werden weiterhin ein großes Problem darstellen. Hier sind Mechanismen für den Verbraucherschutz notwendig, welche Nutzer von Wallets vor der Integrierung von Schadsoftware schützen. Aktuell sind vor allem Mobile Wallets von diesem Problem betroffen.
Konkret heißt dies, dass z.B. der angegebene Public Key, sprich die mit einer IBAN vergleichbare Wallet-Adresse, zum Betrug genutzt wird. Diese wird dann nicht durch einen hardwareseitigen Zufallsgenerator erzeugt, sondern direkt durch die Wallet-Adresse des Betrügers ersetzt.
Bekannte Vorfälle von Fake Wallets: BitcoinGold (BTG), breadwallet im iOS AppStore und zahlreiche Mobile Wallets auf Android Basis.
Am Ende stellt sich die Frage, wem man sein Vertrauen schenkt. Einem anonymen Core-Entwicklerteam, einem (identifizierten) Individuum oder einer Gesellschaft mit beschränkter Haftung. Die Entscheidung, welchen Wallet man nutzt, sollte immer mit angemessener Sorgfalt getroffen werden.
Unser Auftrag von Bitcoin Wallet Vergleich ist es, Aufklärungsarbeit zu leisten, über aktuelle Schadsoftware zu berichten und Verbraucherschutzorganisation dabei zu unterstützen Maßnahmen gegen Betrug einzuleiten.