Passwort-Manager und Krypto: Was du speichern solltest und was niemals

Ein Passwort-Manager ist ein guter Ort für deine Börsen- und E-Mail-Passwörter, aber nicht für Seed-Phrasen oder private Schlüssel: Diese sollten offline bleiben, denn wer sie in die Hände bekommt, kontrolliert deine Kryptowährungen für immer. Richtig eingesetzt macht ein Passwort-Manager deine Krypto-Konten deutlich sicherer; als Tresor für alles genutzt, kann er zum Single Point of Failure werden.

Die meisten Krypto-Diebstähle beginnen mit einer Kontoübernahme oder einem gestohlenen Geheimnis, nicht mit einer geknackten Blockchain. Dieser Leitfaden erklärt, wie Angreifer Passwort-Tresore und die darin enthaltenen Geheimnisse ins Visier nehmen, was du speichern und was du heraushalten solltest und was zu tun ist, wenn etwas schiefgeht.

Was du speichern solltest und was niemals

Der Leitgedanke: Der Passwort-Manager schützt den Zugang zu Konten, die weitere Schutzmechanismen haben (Auszahlungsverzögerungen, 2FA, Support-Teams). Eine Seed-Phrase hat überhaupt keine Schutzmechanismen. Lies was eine Seed-Phrase ist und wie Wiederherstellungsphrasen funktionieren, um zu verstehen, warum.

Wie Angreifer Tresore und Geheimnisse ins Visier nehmen

Wer die Angriffswege kennt, versteht die Regeln oben:

1. 1Infostealer-Malware. Eine gefälschte App, gecrackte Software oder eine bösartige Browser-Erweiterung kopiert Browserdaten, gespeicherte Passwörter und Dateien von deinem Computer. Ist dein Tresor entsperrt oder liegt deine Seed-Phrase in einer Notiz, kann sie in Sekunden abgegriffen werden.
2. 2Phishing nach dem Master-Passwort. Eine gefälschte Anmeldeseite oder eine gefälschte E-Mail mit einem „Sicherheitshinweis zum Tresor“ fordert dich auf, dich bei deinem Passwort-Manager anzumelden.
3. 3Datenlecks beim Anbieter. Anbieter von Passwort-Managern hatten bereits Sicherheitsvorfälle, bei denen verschlüsselte Tresordaten kopiert wurden. Die Verschlüsselung schützt dich nur so lange, wie dein Master-Passwort stark genug ist, um Rateversuchen standzuhalten.
4. 4Clipboard-Hijacking. Malware überwacht deine Zwischenablage und tauscht eine kopierte Wallet-Adresse gegen die des Angreifers aus oder fängt eine Seed-Phrase ab, die du kopierst.
5. 5Durchsuchen von Tresoren nach Stichwörtern. Sind Angreifer erst einmal im Tresor, suchen sie nach Wörtern wie „seed“, „mnemonic“, „wallet“ oder „private key“.

Ein hypothetisches Beispiel

Das Folgende ist ein veranschaulichendes, zusammengesetztes Beispiel, kein realer Fall. Stell dir vor, Alex speichert alles in einem einzigen Passwort-Manager, darunter eine Notiz mit dem Titel „MetaMask seed“. Alex installiert eine kostenlose Erweiterung als „Krypto-Kurstracker“, die sich als bösartig herausstellt. Sie fängt das Master-Passwort ab, während Alex es eintippt, und exportiert den Tresor. Der Angreifer sucht nach „seed“, importiert die Wallet und leert sie innerhalb einer Stunde. Alex’ Börsenkonto bleibt nur verschont, weil Auszahlungen einen Hardware-Sicherheitsschlüssel erfordern. Der Unterschied zwischen beiden Ergebnissen lag darin, wo das jeweilige Geheimnis aufbewahrt wurde.

Warnsignale, dass dein Tresor oder deine Konten ins Visier genommen werden

• E-Mails, die dich auffordern, deinen Passwort-Manager oder dein Börsenkonto zu „verifizieren“ oder „neu zu synchronisieren“.
• Anmeldebenachrichtigungen oder 2FA-Anfragen, die du nicht ausgelöst hast.
• Dein Passwort-Manager weigert sich, auf einer Seite automatisch auszufüllen, die du für deine Börse hältst.
• Neue Browser-Erweiterungen, an deren Installation du dich nicht erinnerst.
• Unerwartete E-Mails zum Zurücksetzen des Passworts deines E-Mail-Kontos.

So richtest du einen Passwort-Manager für Krypto sicher ein

1. 1Wähle einen seriösen Manager mit veröffentlichtem Sicherheitsmodell und Ende-zu-Ende-Verschlüsselung und lade ihn nur von der offiziellen Website oder aus dem App Store herunter.
2. 2Erstelle eine starke Master-Passphrase aus mehreren zufälligen Wörtern, die du nirgendwo sonst verwendest, und schreibe sie für den Notfall auf und bewahre sie an einem sicheren Ort auf.
3. 3Aktiviere eine starke Zwei-Faktor-Authentifizierung für den Tresor, idealerweise einen Hardware-Sicherheitsschlüssel oder eine Authenticator-App statt SMS.
4. 4Generiere einzigartige Passwörter für jede Börse, jedes E-Mail-Konto und jeden Krypto-Dienst. Gib deiner E-Mail Vorrang, denn darüber lässt sich alles andere zurücksetzen.
5. 5Nutze Autofill als Phishing-Check. Bietet er deine Zugangsdaten nicht an, prüfe die URL, bevor du irgendetwas eingibst.
6. 6Halte Wallet-Geheimnisse heraus. Bewahre Seed-Phrasen offline auf. Wenn du eine Erinnerung im Tresor möchtest, notiere nur, wo ein Backup liegt, nicht, was darin steht.
7. 7Sperre den Tresor automatisch nach kurzer Inaktivität und wenn das Gerät in den Ruhezustand geht.

Für eine umfassendere Routine sieh dir unseren Leitfaden zum Aufbau einer starken Krypto-Sicherheitsroutine und zur Sicherheit von E-Mail-Konten für Krypto-Nutzer an.

Was tun, wenn dein Tresor kompromittiert wurde

1. 1Geh davon aus, dass jedes Geheimnis darin offengelegt ist. Lag dort eine Seed-Phrase, verschiebe deine Gelder sofort in eine neue Wallet mit neuer Seed-Phrase; folge dem Leitfaden was du sofort tun solltest, wenn deine Wallet kompromittiert wurde.
2. 2Ändere zuerst dein E-Mail-Passwort, dann die Börsen-Passwörter, und zwar von einem sauberen Gerät aus.
3. 3Setze die Zwei-Faktor-Authentifizierung zurück und widerrufe unbekannte Sitzungen und API-Schlüssel bei Börsen.
4. 4Prüfe die Whitelists für Auszahlungsadressen auf Adressen, die du nicht hinzugefügt hast.
5. 5Scanne das betroffene Gerät oder installiere es neu, bevor du es wieder verwendest.
6. 6Melde Phishing-Seiten und Betrugsadressen dem jeweiligen Dienst und über unser Formular für Betrugsmeldungen.

Fazit

Ein Passwort-Manager ist eines der besten Sicherheitswerkzeuge, die ein Krypto-Nutzer haben kann – solange er die richtigen Dinge enthält. Nutze ihn für einzigartige Kontopasswörter und über Autofill als Phishing-Check, schütze ihn mit einer starken Passphrase und hardwaregestützter Zwei-Faktor-Authentifizierung und bewahre Seed-Phrasen und private Schlüssel offline auf, wo Malware und Datenlecks sie nicht erreichen.