crackthe.net
Brauche ich eine Hardware-Wallet? Wovor sie schützt
Wovor eine Hardware-Wallet schützt und wovor nicht, was Ledgers Datenleck und der Angriff über Connect Kit zeigten und wie du sie sicher nutzt.
Das Wichtigste
- Eine Hardware-Wallet bewahrt die Schlüssel zu deiner Kryptowährung auf einem eigenen Gerät auf. Jede Überweisung bestätigst du auf seinem Bildschirm.
- Schadsoftware auf deinem Computer kann allein keine Überweisung signieren. Man kann dich aber dazu bringen, eine zu bestätigen oder deine Wiederherstellungsphrase herauszugeben.
- Coins auf einer Börse hängen von deren Sicherheit ab. Coins in deiner eigenen Wallet bleiben unberührt, wenn eine Börse gehackt wird.
Was eine Hardware-Wallet tut
Wer die privaten Schlüssel hat, verfügt über die Coins. Auf einer Börse verwahrt die Börse sie für dich. In einer Wallet-App liegen die Schlüssel auf einem Handy oder Computer, der online ist und sich Schadsoftware einfangen kann. Eine Hardware-Wallet hält sie auf einem kleinen eigenen Gerät. Dort signiert sie Überweisungen, und du prüfst die Angaben auf ihrem Bildschirm, bevor du bestätigst.
Laut Ledger zeigt der Bildschirm seiner Geräte immer die Adresse, an die eine Überweisung tatsächlich geht: „what you see is what you sign“. BitBox rät, die vollständige Adresse und den Betrag auf dem Bildschirm des Geräts mit der beabsichtigten Zahlung zu vergleichen.
Die beiden Hersteller bauen ihre Geräte unterschiedlich. Ledger speichert die Schlüssel in einem Chip, dem Secure Element. Sein Betriebssystem sei nur teilweise einsehbar, schreibt Ledger: Der Vertrag mit dem Chiphersteller verbietet, den Code zu veröffentlichen, der mit dem Chip spricht. BitBox lässt quelloffene Firmware auf einem Mikrocontroller laufen. Dazu kommt ein eigener Sicherheitschip, der laut BitBox die Schlüssel nie erhält. Jeder kann die Firmware aus dem veröffentlichten Quellcode bauen und mit der offiziellen Version vergleichen. BitBox fügt hinzu, dass Open Source nicht garantiert, dass jede Lücke gefunden wird.
Wovor sie nicht schützt
Die meisten Diebstähle knacken nicht das Gerät. Sie täuschen seinen Besitzer. Zwei Fälle bei Ledger zeigen, wie.
Das Kundendaten-Leck von 2020. Im Juni 2020 drang ein Unbefugter in die Datenbank für Onlineshop und Marketing von Ledger ein. Ledger zählte zunächst rund eine Million E-Mail-Adressen, bei 9.500 Kunden auch Namen, Postanschriften und Telefonnummern. Nachdem die Daten im Dezember 2020 in einem Forum veröffentlicht worden waren, sprach Ledger von den Angaben zu rund 272.000 Kunden. Laut Ledger betraf das Leck weder die Geräte noch das Guthaben der Kunden. Es führte aber zu Phishing per E-Mail und SMS. 2021 kamen gefälschte Briefe in Ledgers Namen dazu, verschickt mit einem Ledger-Gerät und einer gefälschten Anleitung, die nach den 24 Wörtern der Wiederherstellungsphrase fragte.
Der Angriff über Connect Kit im Dezember 2023. Ein Angreifer phishte einen früheren Ledger-Mitarbeiter, dessen Zugang zur Code-Plattform npm nie entzogen worden war. Am 14. Dezember 2023 bemerkte Ledger, dass dort manipulierte Versionen von Ledger Connect Kit veröffentlicht worden waren, einer Code-Bibliothek, die Krypto-Websites laden. Ledger sagt, es habe binnen 40 Minuten eine reparierte Version veröffentlicht. Geld sei weniger als zwei Stunden lang abgeflossen. Auf X bezifferte Ledger den Schaden auf rund 600.000 US-Dollar, erbeutet bei Nutzern, die blind signiert hatten: Sie hatten Transaktionen bestätigt, die das Gerät nicht lesbar anzeigen konnte. Die Geräte und die App Ledger Live waren laut Ledger nicht betroffen.
Die Regel, die beide Hersteller wiederholen: Gib deine Wiederherstellungsphrase nie in einen Computer, ein Handy oder auf einer Website ein. Laut Ledger gibt es nie einen guten Grund, sie in einen Computer zu tippen. BitBox zeigt die Wörter nur auf dem Gerät, nie in seiner App.
CVE-Einträge von Ledger und BitBox
Ein CVE-Eintrag ist ein öffentlicher Datensatz zu einer Sicherheitslücke. Dieses Archiv hat die Einträge in der US-Schwachstellendatenbank NVD gezählt, die die eigenen Geräte und Programme des jeweiligen Herstellers betreffen und seit 2021 veröffentlicht wurden:
| Tool | Eigene CVE-Einträge seit 2021 | Neuester Eintrag |
|---|---|---|
| Ledger | 3 | Mai 2026 |
| BitBox | 0 | – |
Brauchst du eine?
Das hängt davon ab, wo deine Coins liegen. Eine Hardware-Wallet hilft, wenn du Coins selbst verwahrst und die Schlüssel von Geräten fernhalten willst, die online sind. Für Coins auf einer Börse bringt sie nichts: Dort entscheidet die Sicherheit der Börse. Unter den größten Angriffen auf dieser Seite sind Diebstähle bei Börsen wie Bybit 2025 und Binance 2026.
So nutzt du sie sicher
- Kauf beim Hersteller oder bei einem offiziellen Händler und richte das Gerät selbst ein.
- Schreib die Wiederherstellungsphrase auf Papier und bewahre sie offline auf. Tipp sie nirgends ein außer auf dem Gerät selbst.
- Prüfe jede Überweisung auf dem Bildschirm des Geräts: die vollständige Adresse und den Betrag. Bestätige nur Überweisungen, die du selbst begonnen hast.
- Signiere nicht blind. Kann das Gerät nicht zeigen, was du bestätigst, brich ab. Laut Ledger ist blindes Signieren ab Werk aus, lässt sich aber einschalten.
- Ignoriere Anrufe, SMS und Briefe, die nach deiner Wiederherstellungsphrase fragen. Ledger sagt, es fragt nie nach den 24 Wörtern und meldet sich nie per SMS oder Anruf.
Nächster Schritt
Die Seite Hardware-Wallets im Vergleich zeigt Ledger und BitBox mit Firma und Sitz, Open Source, unterstützten Geräten und ihren CVE-Einträgen.
Die Zahlen in diesem Ratgeber stammen aus dem Archiv und ändern sich mit jeder Datenaktualisierung. Stand 8. November 2026.
Mit den Daten des Archivs prüfen
Weiterlesen: Ist ein Passwortmanager sicher? Was deinen Tresor schütztAlle Ratgeber