Wichtige Punkte

Eine Hardware-Wallet kann Kryptowährungen vor Malware, Phishing und Remote-Diebstahl von Schlüsseln schützen, sie kann aber nicht verhindern, dass ein Eigentümer gezwungen wird, eine Transaktion zu genehmigen.

Für technisch versierte Inhaber mit langfristigen Ersparnissen von existenzieller Bedeutung ist ein korrekt getrenntes 2-von-3-Multisignatur-Setup ein praktischer Ausgangspunkt, aber keine allgemeingültige Regel.

Die Dokumentation von Safe und Coinbase zeigt, warum kritische Kontrollen vor einem Notfall konfiguriert werden müssen, anstatt sie während eines Notfalls zu ändern.

Anbieterunterstützte Wiederherstellung kann einige Verlustrisiken reduzieren, schafft aber auch operative, rechtliche und jurisdiktionelle Abhängigkeiten.

Keine Wallet-Architektur kann persönliche Sicherheit während einer gewaltsamen Konfrontation garantieren.

Eine Hardware-Wallet beseitigt viele Online-Angriffswege, aber sie beseitigt nicht die Befugnis der Person, die weiß, wie sie entsperrt und verwendet wird. Diese Unterscheidung ist zentral für das Risiko physischer Nötigung. Wenn eine identifizierbare Person ein gesamtes Portfolio sofort bewegen kann, kann es einfacher sein, diese Person zu bedrohen, als die Kryptografie selbst anzugreifen.

Der Zweck einer gegen Nötigung widerstandsfähigen Verwahrung besteht nicht darin, legitimen Zugriff unmöglich zu machen. Er besteht darin sicherzustellen, dass eine Person, ein Gerät und ein Standort nicht alles bereitstellen, was für eine sofortige Übertragung erforderlich ist.

Coindoo erklärte, es habe aktuelle Dokumentationen von Safe, Coinbase, Casa, Unchained und Trezor sowie Jameson Lopps öffentliche Datenbank physischer Krypto-Angriffe geprüft. Jedes Verwahrungsdesign wurde anhand eines vierteiligen Dokumentations-Stresstests betrachtet: was nach der Einrichtung nicht geändert werden kann, was ausfällt, wenn ein Unterzeichner oder ein Konto nicht verfügbar ist, was passiert, wenn der normale Wiederherstellungsweg versagt, und welche Kosten oder Reibungsverluste bestehen bleiben, wenn kein Notfall eintritt. Die Dokumentationsprüfung wurde am 25. Juli 2026 durchgeführt. Coindoo erklärte, es habe die beschriebenen Produkte weder erstellt noch getestet und keine Live-Auszahlung oder Wiederherstellungsübung durchgeführt.

Ein praktischer Standard für Bestände von existenzieller Bedeutung

Für die meisten technisch versierten Personen, die Bitcoin-Bestände von existenzieller Bedeutung halten, sollte Single-Signature-Cold-Storage nicht die Standardlösung sein.

Ein angemessener Ausgangspunkt ist eine 2-von-3-Multisignatur-Struktur mit drei separat kontrollierten Schlüsseln:

• Ein Signaturschlüssel, der am Hauptstandort des Inhabers verfügbar ist
• Ein unabhängig kontrollierter Schlüssel, der außer Haus in einer anderen Stadt aufbewahrt wird
• Ein Wiederherstellungsschlüssel, der von einem Verwahrungsanbieter oder einem sorgfältig ausgewählten Mitunterzeichner gehalten wird

In diesem Modell sollten die zwei selbst kontrollierten Schlüssel dem Inhaber ermöglichen, Gelder zu bewegen, ohne sich auf den Anbieter zu verlassen. Gleichzeitig sollten ein persönlicher Schlüssel plus der Wiederherstellungsschlüssel ausreichen, um den Zugriff wiederherzustellen, falls ein Gerät verloren geht.

Diese Struktur ist nur ein Ausgangspunkt. Sie kann für einen Inhaber ungeeignet sein, der häufigen Zugriff benötigt, mehrere Geräte nicht warten kann, den externen Standort nicht zuverlässig erreichen kann oder die rechtliche und operative Abhängigkeit durch einen vom Anbieter gehaltenen Schlüssel nicht akzeptiert.

Gelder für regelmäßige Ausgaben oder aktiven Handel sollten in einer separaten Wallet verbleiben, die nur den für gewöhnliche Aktivitäten benötigten Betrag enthält. Die Multisignatur-Struktur eignet sich besser für langfristige Bestände, bei denen zusätzliche Reibung ein Merkmal und kein tägliches Hindernis ist.

Für langfristige EVM-Bestände kann ein ähnliches Prinzip über ein Safe-Konto mit getrennten Eigentümern und einem 2-von-3-Schwellenwert umgesetzt werden. Safe, früher als Gnosis Safe bekannt, ist eine der am weitesten verbreiteten Smart-Account-Plattformen im Ethereum- und EVM-kompatiblen Ökosystem und wird von DAOs, Treasury-Managern und einzelnen Inhabern genutzt, um On-Chain-Genehmigungsrichtlinien mit mehreren Eigentümern durchzusetzen. Diese Eigentümer müssen tatsächlich unabhängige Geräte, Konten und Standorte repräsentieren, nicht drei Zugangsdaten, die im selben Zuhause aufbewahrt werden. Die Dokumentation von Safe zu Smart-Account-Konzepten ist verfügbar unter

Multisignatur ist eine Richtlinie, nicht nur mehr Geräte

Eine Multisignatur-Wallet erfordert eine festgelegte Anzahl von Schlüsseln, um eine Transaktion zu genehmigen. Bei einer 2-von-3-Konfiguration gibt es drei autorisierte Schlüssel, und beliebige zwei davon sind erforderlich, um Gelder zu bewegen.

Der Schwellenwert verbessert die physische Sicherheit nur dann, wenn die Schlüssel unabhängig kontrolliert werden. Drei Signaturgeräte und ihre Backups, die im selben Zuhause aufbewahrt werden, behalten denselben Single Point of Failure bei einem Wohnungseinbruch bei.

Jameson Lopp, Mitgründer des Verwahrungsanbieters Casa und ein bekannter Bitcoin-Infrastrukturentwickler und -Bildungsvermittler, empfiehlt die geografische Trennung von Schlüsseln, weil der erzwungene Zugriff auf mehrere kontrollierte Standorte die Zeit und Schwierigkeit erhöht, die für die Durchführung eines Angriffs erforderlich sind. Seine Verbindung zu Casa ist relevant, weil geografisch verteilte Multisignatur-Verwahrung Teil des Produktmodells des Unternehmens ist. Der operative Punkt bleibt gültig, aber die Empfehlung sollte als praktische Anleitung von jemandem verstanden werden, der kommerziell mit diesem Modell verbunden ist, nicht als unabhängige Produktempfehlung. Casa hat dazugehöriges Material veröffentlicht unter

Geografische Trennung schafft auch gewöhnliche Ausfallmodi, die Produktbeschreibungen möglicherweise herunterspielen. Ein Schlüssel in einem Bankschließfach kann außerhalb der Filialöffnungszeiten unzugänglich sein. Ein Unterzeichner kann in ein anderes Land ziehen, erkranken oder schwer erreichbar werden. Tod, Geschäftsunfähigkeit oder Scheidung können ändern, wer Zugriff auf einen Standort hat. Ein Hardware-Gerät kann ausfallen, während sein entferntes Backup seit Jahren nicht geprüft wurde. Angehörige wissen möglicherweise, wo ein Schlüssel aufbewahrt wird, ohne zu verstehen, wie die Wiederherstellung funktioniert.

Aus diesem Grund benötigt ein Verwahrungsdesign einen Wiederherstellungs- und Nachlassprozess, nicht nur mehrere Verstecke.

Safe und Coinbase zeigen dieselbe strukturelle Regel

Safe und Coinbase verwenden unterschiedliche Architekturen, aber ihre Dokumentation verweist auf dasselbe Verwahrungsprinzip: Wichtige Kontrollen sollten konfiguriert werden, bevor sie benötigt werden.

Für EVM-kompatible Assets führen Safe-Konten eine Liste von Eigentümern und einen Mindest-Signaturschwellenwert. Die technische Dokumentation von Safe besagt, dass die Änderung des Schwellenwerts selbst eine Safe-Transaktion ist. Das bedeutet, dass die aktuelle Genehmigungsrichtlinie die stärkere Richtlinie autorisieren muss. Ein Inhaber kann sich nicht darauf verlassen, einen schwachen 1-von-3-Schwellenwert auf 2-von-3 anzuheben, nachdem eine Bedrohung bereits begonnen hat. Die Schwellenwert-Dokumentation von Safe ist verfügbar unter

Coinbase, eine der größten regulierten Kryptobörsen in den Vereinigten Staaten, gelangt über sein Vault-Design zum selben Prinzip. Coinbase erklärt, dass die 48-stündige Auszahlungsverzögerung, Eigentümer-, Benachrichtigungs- und Sicherheitseinstellungen eines Vault nach der Erstellung nicht geändert werden können. Ein Nutzer, der andere Kontrollen möchte, muss einen weiteren Vault erstellen. Die Vault-FAQ von Coinbase ist verfügbar unter

Keine der beiden Einschränkungen ist zwangsläufig ein Fehler. Das Verhindern schneller Richtlinienänderungen kann einen Angreifer oder ein kompromittiertes Konto daran hindern, die Sicherheitsanordnung unbemerkt zu schwächen. Die operative Folge ist, dass eine schlecht gewählte Einstellung unbequem bleiben kann, bis der Inhaber bewusst auf eine neue Konfiguration migriert. Kontrollen, die Notfalländerungen widerstehen, widerstehen auch legitimen Notfalländerungen.

Der Dokumentations-Stresstest

Safe und Coinbase zeigen, warum Funktionslisten bei der Bewertung eines Verwahrungsprodukts nicht ausreichen. Die nützlicheren Fragen konzentrieren sich auf Ausfall und Umkehrbarkeit.

Die erste Frage lautet, was nicht rückgängig gemacht werden kann. Feste Auszahlungsverzögerungen, unveränderliche Eigentümer, gesperrte Sicherheitseinstellungen und Schwellenwertänderungen, die das bestehende Quorum erfordern, beeinflussen alle, ob ein schwaches Setup schnell repariert werden kann.

Die zweite Frage lautet, was ausfällt, wenn ein Teilnehmer nicht erreichbar ist. Ein Unterzeichner kann ein Gerät verlieren, ein Anbieter kann nicht verfügbar sein, ein E-Mail-Konto kann unzugänglich sein oder ein Schlüssel kann in einer Bankfiliale aufbewahrt werden, die am Wochenende geschlossen ist.

Die dritte Frage lautet, was passiert, wenn der normale Weg versagt. Ein Leitfaden oder eine Produktseite kann das gewöhnliche Signieren klar erklären, während verlorenen Telefonen, fehlgeschlagenen Identitätsprüfungen, fehlenden E-Mails, beschädigten Geräten und Support-Eskalationen weniger Aufmerksamkeit geschenkt wird.

Die vierte Frage lautet, was die Kontrolle kostet, wenn nichts schiefgeht. Verzögerungen, Abonnements, Reisen, Wartung, Geräteaustausch und Wiederherstellungstests bleiben reale Belastungen, selbst wenn kein Diebstahl oder Notfall eintritt.

Dieser Dokumentations-Stresstest kann nicht jedes Problem aufdecken, das die praktische Nutzung zeigen würde. Er kann jedoch designbedingte Einschränkungen identifizieren, bevor ein erheblicher Saldo von ihnen abhängt.

Anbieterunterstütztes Multisig tauscht ein Risiko gegen andere ein

Kollaborative Verwahrung gibt dem Inhaber einige Schlüssel, während ein Dienstanbieter einen weiteren Wiederherstellungs- oder Mitunterzeichnungsschlüssel kontrolliert.

Unchained beschreibt eine 2-von-3-Konfiguration, bei der der Kunde zwei Schlüssel hält und Unchained einen hält. Das Unternehmen kann die Bitcoin nicht allein bewegen, während der Kunde normalerweise ohne den Anbieter Transaktionen durchführen kann. Informationen zu Unchained Vaults sind verfügbar unter

Casa erklärt ebenfalls, dass es einen Wiederherstellungsschlüssel kontrolliert, aber niemals genügend Schlüssel, um Gelder einseitig zu bewegen. Die App-Dokumentation von Casa ist verfügbar unter

Diese Modelle reduzieren das Risiko, dass ein verlorenes Gerät den Zugriff dauerhaft zerstört. Sie schaffen aber auch eine Beziehung, die bei vollständig unabhängiger Multisignatur-Verwahrung nicht existiert.

Die Nutzung eines vom Anbieter gehaltenen Schlüssels kann vom Kontostatus, Identitätsprüfungen, Support-Verfügbarkeit, Vertragsbedingungen, dem fortbestehenden Betrieb des Unternehmens und dem Recht der Jurisdiktion abhängen, in der es tätig ist. Der Anbieter kann die Gelder nicht allein nehmen, aber der Inhaber kann während der Wiederherstellung dennoch auf die Kooperation des Anbieters angewiesen sein.

Die Dokumentation von Casa macht einige dieser Reibungsverluste ausdrücklich. Der Recovery Key hat eine verpflichtende Verzögerung und ist nicht für dringende Transaktionen geeignet. Standardkunden authentifizieren sich über Sicherheitsfragen, während einige höherstufige Kunden einen Video-Verifizierungsprozess nutzen. Die Recovery-Key-Dokumentation von Casa ist verfügbar unter

Das ist nicht unbedingt ein Grund, kollaborative Verwahrung abzulehnen. Es ist ein Grund, den Anbieter als operative und jurisdiktionelle Abhängigkeit zu behandeln, anstatt seinen Schlüssel als kostenlose zusätzliche Sicherheit zu beschreiben.

Bevor ein Inhaber eine anbieterunterstützte Struktur wählt, sollte er wissen, wer jeden Schlüssel kontrolliert, welche Schlüsselkombinationen Gelder bewegen können, was der Anbieter vor dem Signieren verlangt, ob eine Wiederherstellung ohne den Anbieter möglich ist, was passiert, wenn das Konto geschlossen oder der Dienst eingestellt wird, und welche Gesetze und Jurisdiktionen für den vom Anbieter gehaltenen Schlüssel gelten.

Auszahlungsverzögerungen schaffen Reibung, keinen persönlichen Schutz

Eine Auszahlungsverzögerung verhindert, dass eine sofortige Transaktion abgeschlossen wird. Sie garantiert nicht, dass ein Angreifer den Versuch aufgibt oder die Einschränkung versteht.

Bei einem standardmäßigen Coinbase Vault müssen erforderliche E-Mail-Genehmigungen abgeschlossen sein, bevor die 48-Stunden-Frist beginnt. Es kann jeweils nur eine Auszahlungsanfrage aktiv sein, und die Änderung fester Vault-Einstellungen erfordert die Erstellung eines neuen Vault.

Diese Einschränkungen können bei einer unautorisierten Auszahlung nützlich sein. Sie können aber auch zu Hindernissen werden, wenn ein verknüpftes E-Mail-Konto unzugänglich ist, eine Genehmigungsnachricht nicht eintrifft oder der Inhaber die Gelder berechtigterweise schnell benötigt.

Eine Auszahlungsverzögerung ist öffentliches Produktverhalten, keine geheime Verteidigung. Ein Angreifer, der das System versteht, weiß möglicherweise, dass eine Transaktion nicht sofort abgeschlossen werden kann. Die Verzögerung reduziert den unmittelbaren Zugriff auf Vermögenswerte, sollte aber nicht als Kontrolle beschrieben werden, die garantiert, dass die Person freigelassen wird oder dass der Vorfall nicht weitergeht.

Versteckte Wallets beseitigen keine einseitige Kontrolle

Passphrasengeschützte Wallets können separate Guthaben auf demselben Hardware-Gerät erstellen. Sie können zusätzliche Privatsphäre bieten, wenn eine unautorisierte Person die Wallet untersucht.

Trezor, einer der etabliertesten Hardware-Wallet-Hersteller in der Kryptowährungsbranche, erklärt, dass jede Passphrase eine separate Wallet öffnet und dass eine vergessene Passphrase nicht wiederhergestellt werden kann. Der Leitfaden von Trezor ist verfügbar unter

Die Funktion führt ein Risiko dauerhaften Verlusts ein, während weiterhin eine Person in der Lage bleibt, auf das Hauptguthaben zuzugreifen. Ein verstecktes oder als Köder dienendes Guthaben kann ebenfalls versagen, wenn Angreifer glauben, dass weitere Vermögenswerte existieren. Es sollte getrennte Autorität, getestete Wiederherstellungsverfahren oder einen breiteren Datenschutzplan nicht ersetzen.

Wiederherstellung testen, nicht nur Ausgaben

Eine Verwahrungsstruktur sollte mit einem kleinen Betrag getestet werden, bevor ein erheblicher Saldo von ihr abhängt.

Der Test sollte klären, ob der Inhaber eine Transaktion mit jeder vorgesehenen Schlüsselkombination abschließen kann, nach Verlust oder Zerstörung eines Geräts wiederherstellen kann, externe Schlüssel innerhalb des erwarteten Zeitrahmens erreichen kann, einen Unterzeichner ersetzen kann, ohne die Richtlinie zu schwächen, den Wiederherstellungsweg des Anbieters nutzen kann, wenn der normale Weg versagt, und das Nachlassverfahren dem vorgesehenen Empfänger erklären kann.

Eine einfache Funktions- oder Gesundheitsprüfung ist nicht dasselbe wie eine vollständige Wiederherstellungsübung. Sie kann bestätigen, dass ein Schlüssel signieren kann, ohne zu beweisen, dass der Inhaber das Setup nach dem Verlust eines Geräts, einem Telefonwechsel oder dem Verlust des Zugriffs auf ein normales Konto neu aufbauen könnte.

Bei langfristigen Beständen von existenzieller Bedeutung sollte der vollständige Wiederherstellungsprozess mindestens einmal pro Jahr und nach jeder wesentlichen Änderung in Bezug auf Gerät, Unterzeichner, Standort, Telefonnummer, E-Mail-Adresse oder Anbieter getestet werden.

Die Nachlassdokumentation von Casa liefert ein konkretes Beispiel für den Wartungsaufwand. Das System verwendet einen benannten Empfänger und verlangt wiederkehrende Gesundheitsprüfungen gemeinsamer Mobil- und Hardwareschlüssel. Das Unternehmen erklärt, dass diese Prüfungen alle sechs Monate abgeschlossen werden sollten. Die Nachlass-FAQ von Casa besagt außerdem, dass ein Empfänger, der Zugriff beantragt, mit einer sechsmonatigen Verifizierungsperiode konfrontiert sein kann. Die Dokumentation ist verfügbar unter

Diese Kontrollen können unautorisierten Zugriff reduzieren, verlangen aber auch, dass Eigentümer und Empfänger Geräte, Kontaktdaten und gemeinsame Schlüssel über Jahre hinweg aktuell halten.

Privatsphäre kann Risiken reduzieren, bevor Verwahrungskontrollen relevant werden

Verwahrungskontrollen greifen erst, nachdem ein Angreifer ein Ziel ausgewählt hat. Privatsphäre reduziert die Informationen, die während dieses Auswahlprozesses verfügbar sind.

Lopps öffentliche Datenbank bekannter physischer Krypto-Angriffe, die von Casas Produktdokumentation getrennt ist, erfasst Wohnungseinbrüche, Entführungen, Lieferanten-Imitationen, irrtümliche Zielauswahl und Vorfälle, bei denen Angreifer feststellten, dass das beabsichtigte Opfer keine Kryptowährungen hielt. Lopp erklärt, dass die Datenbank nicht vollständig ist, weil viele Vorfälle nie öffentlich gemeldet werden. Die Datenbank ist verfügbar unter https://github.com/jlopp/physical-bitcoin-attacks.

Ihr Wert für diese Analyse liegt nicht in einer exakten globalen Gesamtzahl. Sie zeigt, dass wahrgenommener Wohlstand und durchgesickerte persönliche Informationen physische Risiken schaffen können, selbst wenn Angreifer die tatsächlichen Bestände des Opfers missverstehen.

Blockchain-Transaktionen in Netzwerken wie Bitcoin und Ethereum sind pseudonym: Sie sind öffentlich in einem dauerhaften Ledger sichtbar und mit Adressen statt mit rechtlichen Namen verknüpft. Diese Transparenz bedeutet, dass jeder, der eine reale Identität mit einer On-Chain-Adresse verbinden kann, Bestände ohne Zustimmung des Inhabers schätzen kann, wodurch operative Privatsphäre zu einem ergänzenden Anliegen neben der Verwahrungsarchitektur wird.

Portfolio-Screenshots, öffentliche Wallet-Adressen, Konferenzpläne, Fotos des Zuhauses und Live-Reiseposts können eine Identität mit wahrgenommenem Wohlstand und vorhersehbaren Aufenthaltsorten verbinden. Familienmitglieder, Mitarbeiter und Assistenten können ebenfalls zu Stellvertreterzielen werden, selbst wenn sie keinen Zugriff auf die Vermögenswerte haben.

Eine Sicherheitsprüfung sollte daher berücksichtigen, wer von den Beständen weiß, was diese Personen offenlegen und welche Adressen oder Routinen öffentlich zugänglich sind. Coindoos Bericht über den Anstieg verifizierter Krypto-Wohnungseinbrüche im H1 2026 untersuchte, wie die öffentlichen Daten gesammelt wurden, warum die ausgewiesene finanzielle Gesamtsumme von Ausreißern dominiert wird und warum Frankreich sowohl ein echter Hotspot als auch ein Land mit stärkerer offizieller Erfassung sein könnte: https://coindoo.com/crypto-crime-moves-offline-home-invasions-rise/.

Wann ein 2-von-3-Setup möglicherweise nicht passt

Eine geografisch getrennte 2-von-3-Struktur ist ein starker Ausgangspunkt für technisch versierte Inhaber mit langfristigen Ersparnissen von existenzieller Bedeutung, sollte aber nicht mechanisch übernommen werden.

Eine einfachere Struktur kann angemessener sein, wenn der Saldo ersetzbar ist, der Inhaber voraussichtlich nicht mehrere Geräte korrekt warten wird oder die Komplexität ein größeres Risiko eines versehentlichen Verlusts schaffen würde als die adressierte Bedrohung.

Eine restriktivere Struktur kann gerechtfertigt sein, wenn der Inhaber öffentlich identifizierbar ist, Unternehmensvermögen verwaltet, regelmäßig Branchenveranstaltungen besucht oder einen Betrag kontrolliert, der einen erheblichen Anreiz für organisierte Zielauswahl schaffen würde.

Aktive Trader und DeFi-Nutzer sollten nicht alle Aktivitäten durch tiefes Cold Storage zwingen. Sie sollten das Kapital, das für regelmäßige Transaktionen erforderlich ist, von den Beständen trennen, deren Verlust existenzielle Folgen hätte.

Das Ziel ist nicht maximale Komplexität. Es ist ein System, in dem der wahrscheinliche Ausfall eines Geräts, einer Person, eines Kontos oder eines Standorts nicht das gesamte Verwahrungsdesign außer Kraft setzt.

Kein Verwahrungsdesign garantiert physische Sicherheit

Multisignatur-Wallets, Anbieterschlüssel, Transaktionslimits und Auszahlungsverzögerungen können den unmittelbaren einseitigen Zugriff reduzieren. Sie können nicht garantieren, dass ein Angreifer die Einschränkung versteht oder akzeptiert.

Diese Systeme sollten vor einem Vorfall konfiguriert werden, um die Befugnis zu reduzieren, die eine Person allein trägt. Sie sollten nicht als Anweisungen für das Verhalten während einer gewaltsamen Konfrontation behandelt werden.

Persönliche Sicherheit und die Sicherheit der Familie müssen Vorrang vor dem Erhalt von Vermögenswerten haben. Wer einer unmittelbaren Bedrohung ausgesetzt ist, sollte die zuständigen Notfalldienste kontaktieren, sobald die Umstände dies sicher zulassen.

Der endgültige Test einer hochwertigen Verwahrungsstruktur ist nicht nur, ob jemand sie hacken kann. Er besteht darin, ob eine verängstigte Person gezwungen werden kann, das gesamte System allein auszuhebeln.

Dieser Leitfaden dient ausschließlich Informations- und Sicherheitsbewusstseinszwecken. Er empfiehlt keinen Verwahrungsanbieter und garantiert keinen Schutz vor Diebstahl oder physischer Kriminalität. Inhaber sollten aktuelle Produktdokumentationen prüfen, Verfahren mit kleinen Beträgen testen und qualifizierte Beratung zu Verwahrung, Sicherheit und Recht einholen, bevor sie eine hochwertige Struktur ändern.