Lightning Wallet nach fünf Sicherheitswarnungen seit August: Das prüfst du jetzt

Eine Lightning Wallet ist so sicher wie der Server, auf dem ihre Schlüssel liegen. Wer Bitcoin über Lightning nur in einer verbreiteten App auf dem Handy hält, war von den Sicherheitswarnungen der vergangenen drei Monate nicht direkt betroffen. Wer dagegen selbst einen Lightning-Knoten, einen BTCPay Server, Alby Hub oder LNbits betreibt, hat seit Anfang August fünf Warnungen bekommen, und in mindestens zwei Fällen floss tatsächlich Geld ab. Die Lehre aus allen fünf ist dieselbe: Ein Update schließt die Lücke, aber erst neue Zugangsdaten und ein kleiner Bestand auf dem Server machen Lightning wieder sicher.

Lightning ist für Bitcoin das, was eine Girocard für das Sparbuch ist: ein schneller Zahlungsweg für kleine Beträge. Gerade deshalb liegen dort Schlüssel auf Rechnern, die ständig mit dem Internet verbunden sind. Dieser Text bündelt die Einzelfälle, erklärt das gemeinsame Muster und zeigt, wie viel Guthaben auf einem Lightning-Knoten überhaupt liegen sollte. Wie das Netzwerk technisch funktioniert, erklärt unser Grundlagentext Was ist Bitcoin Lightning und wie funktioniert es?.

Lightning-Sicherheitslücken seit August: Fünf Warnungen in drei Monaten

Die Reihe beginnt am 7. August 2026. BTCPay Server, eine verbreitete freie Software, mit der Händler Bitcoin-Zahlungen selbst annehmen, veröffentlichte die Version 2.4.2 als Notfall-Update. Nach der Sicherheitsmitteilung des Projekts konnte ein Angreifer ohne Anmeldung die Berechtigungsdateien eines angeschlossenen LND-Knotens abgreifen. Das Projekt bestätigt, dass Angreifer die Lücke ausgenutzt und Guthaben gestohlen haben.

Am 28. August folgte Core Lightning, eine der drei großen Umsetzungen des Lightning-Protokolls, mit der Version 26.06.7. Das Update schloss mehrere bestätigte Schwachstellen. Wer nicht sofort aktualisieren konnte, sollte den Knoten mit dem Schalter --offline neu starten. Verluste waren zu diesem Zeitpunkt nicht gemeldet. Für Docker-Nutzer gab es ein Nachspiel: Bis zum 1. September lieferten vier Abbilder eine Fassung aus, die sich als 26.06.7 meldete, die Korrekturen aber nicht enthielt. Die Einzelheiten stehen in unserem Beitrag zur Sicherheitslücke in Core Lightning.

Am 8. September meldete BTCPay Server erneut ein Risiko. Automatisierte Programme klopften gezielt Server ab, auf denen Betreiber den im August geschlossenen Zugang zur LND-Schnittstelle von Hand wieder geöffnet hatten. Einen Tag später warnte Alby Hub, eine Software für den eigenen Lightning-Knoten zu Hause oder auf einem Mietserver: Die Versionen v1.7.0 bis v1.18.5 waren angreifbar, wenn die Verwaltungsoberfläche aus dem offenen Internet erreichbar war. Bestätigt betroffen war ein Nutzer.

Der jüngste Fall betrifft LNbits. Am 8. November entdeckte das Projekt eine Lücke, über die Angreifer Guthaben aus selbst betriebenen Instanzen abzogen. Am 10. November erschien Version 1.7.0, verbunden mit der Aufforderung, keinen Server mehr mit einer älteren Fassung zu starten. Was dort genau geschah, beschreibt unser Artikel zur LNbits-Sicherheitslücke.

Die fünf Fälle im Überblick

• 7. August, BTCPay Server 2.4.2: Berechtigungsdateien von LND-Knoten abgreifbar, Diebstähle bestätigt.
• 28. August, Core Lightning 26.06.7: mehrere Schwachstellen, keine gemeldeten Verluste, fehlerhafte Docker-Abbilder bis 1. September.
• 8. September, BTCPay Server 2.4.4: Bots suchen nach wieder geöffneten LND-Zugängen, keine erfolgreiche Übernahme gemeldet.
• 9. September, Alby Hub: öffentlich erreichbare Verwaltungsschnittstelle angreifbar, ein bestätigter Fall.
• 8. bis 10. November, LNbits 1.7.0: Diebstähle aus Lightning-Wallets, Gesamtschaden unbekannt.

Lightning Wallet und Hot Wallet: Wo die Schlüssel liegen

Eine Lightning Wallet ist eine Wallet, die Bitcoin über das Lightning-Netzwerk sendet und empfängt, statt jede Zahlung einzeln in die Blockchain zu schreiben. Dafür öffnet ein Knoten Zahlungskanäle zu anderen Knoten. Ein Zahlungskanal ist ein Betrag, den zwei Beteiligte gemeinsam in einer Bitcoin-Transaktion sperren und über den sie danach beliebig oft hin und her zahlen.

Damit der Knoten Zahlungen in Sekunden weiterleiten kann, muss er jederzeit unterschreiben können. Seine Schlüssel liegen deshalb auf einem Rechner mit Internetverbindung. Genau das ist eine Hot Wallet: eine Wallet, deren Schlüssel online verfügbar sind. Das Gegenstück ist die Cold Wallet, deren Schlüssel auf einem Gerät ohne dauerhafte Verbindung liegen, etwa einer Hardware-Wallet.

Daraus folgt der wichtigste Unterschied zur langfristigen Verwahrung. Eine Bitcoin-Rücklage auf einer Hardware-Wallet kann niemand über das Internet bewegen, solange der Seed sicher liegt. Ein Lightning-Knoten kann dagegen alles bewegen, was in seinen Kanälen und seiner On-Chain-Wallet liegt, sobald ein Angreifer die passenden Zugangsdaten hat. LNbits schreibt das in seiner Mitteilung ausdrücklich: Die Software sei eine Hot Wallet, und mit KI-gestützten Angriffen sei das Risiko höher als je zuvor.

Verwahrte Lightning Wallet oder eigener Knoten: Wen die Lücken trafen

Lightning gibt es in zwei Bauformen. Bei einer verwahrten Lightning Wallet betreibt ein Anbieter den Knoten, du siehst nur ein Guthaben in der App. Bei einer selbst verwahrten Wallet betreibst du den Knoten selbst oder lässt eine App einen kleinen Knoten auf dem Handy laufen. Alle fünf Warnungen betrafen Software, die Betreiber selbst installieren: auf einem Heimserver, einem Fertigpaket wie Umbrel oder Start9 oder einem gemieteten Rechner.

Dazwischen liegt eine dritte Gruppe, die leicht übersehen wird. Wer bei einem Bitcoin-Stammtisch eine Bolt Card bekommen hat, in einem Café über eine Lightning-Kasse bezahlt oder eine Wallet per Link geschenkt bekam, nutzt oft ein Konto auf dem LNbits-Server eines anderen. Diese Nutzer können kein Update einspielen und hängen davon ab, dass der Betreiber reagiert hat.

Für die drei Gruppen ergibt sich eine einfache Zuordnung:

• Nur App-Wallet oder Börse: nicht direkt betroffen. Ein Update der App schadet trotzdem nie.
• Konto auf einem fremden LNbits-Server: beim Betreiber nachfragen, ob Version 1.7.0 läuft und die Schlüssel neu ausgegeben wurden. Bis dahin nur Kleinbeträge.
• Eigener Knoten, BTCPay Server, Alby Hub oder LNbits: Version prüfen, Zugänge schließen, Zugangsdaten tauschen.

Offene Verwaltungszugänge: Das gemeinsame Muster hinter BTCPay, Alby Hub und LNbits

Die fünf Fälle haben verschiedene technische Ursachen, doch die drei Warnungen von BTCPay und Alby Hub folgen demselben Muster. Eine Schnittstelle, die nur für den Betreiber gedacht war, war aus dem Internet erreichbar oder ließ sich ohne Anmeldung ansprechen. Bei BTCPay waren es im August die Berechtigungsdateien des LND-Knotens, im September ein Endpunkt zum Passwortwechsel, den manche Betreiber selbst wieder nach außen geöffnet hatten. Bei Alby Hub war es die Verwaltungsoberfläche. Bei LNbits ist der Angriffsweg noch nicht offengelegt, ein eigener Bericht soll folgen. Bekannt ist, dass Angreifer nach dem Bericht von Cointelegraph neue Konten anlegten und darüber rund 2,3 Millionen Satoshi aus einer einzigen Instanz abzogen, das sind 0,023 Bitcoin.

Ein Satoshi ist der hundertmillionste Teil eines Bitcoin. Der bekannte Einzelschaden ist also klein. Der Schaden, der möglich gewesen wäre, ist es nicht: Wer die Zugangsdaten eines Knotens hat, kann im Rahmen der Kanäle das gesamte ausgehende Guthaben bewegen, nicht nur das eines einzelnen Unterkontos.

Für die Praxis heißt das: Die wirksamste Schutzmaßnahme kostet nichts. Eine Verwaltungsoberfläche, die nur im Heimnetz oder über einen verschlüsselten Tunnel wie Tor oder WireGuard erreichbar ist, war in keinem der Fälle von Alby Hub oder BTCPay im September angreifbar. Wie das bei Alby Hub konkret aussieht, zeigt unser Beitrag zur Alby-Hub-Sicherheitslücke, für BTCPay Server die Anleitung zum Absichern des Lightning-Zugriffs.

Macaroons, API-Schlüssel und Wallet-Keys: Warum ein Update allein nicht reicht

Ein Update schließt den Weg, über den ein Angreifer hereingekommen ist. Was er vorher mitgenommen hat, bleibt gültig. Auf diesen Punkt weisen BTCPay Server und LNbits gleichermaßen hin. LNbits schreibt in seiner Mitteilung zu Version 1.7.0, dass Zugangsdaten, die vor dem Update abgeflossen sind, einem Angreifer auch danach noch Zugriff geben können.

Bei LND heißen diese Zugangsdaten Macaroons. Ein Macaroon ist eine Schlüsseldatei mit abgestuften Rechten. Das Admin-Macaroon ist der Generalschlüssel, mit ihm lassen sich Zahlungen auslösen und Kanäle schließen. LNbits arbeitet zusätzlich mit eigenen Wallet-Schlüsseln für jedes Unterkonto und mit den Zugangsdaten zur Geldquelle, also zum Knoten oder Zahlungsdienst, über den die Instanz ihr Guthaben bewegt.

Die Nacharbeit nach einem Vorfall folgt deshalb immer derselben Reihenfolge. Zuerst kommt das Update, danach werden alle Schlüssel widerrufen und neu erzeugt, erst dann nimmt der Server wieder Zahlungen an. LNbits nennt sechs Erweiterungen, deren Verbindungen Betreiber löschen und neu anlegen sollen: NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat und FOSSA. Hinter NWC steht Nostr Wallet Connect, ein Verfahren, mit dem Apps eine Wallet aus der Ferne zum Bezahlen anstoßen dürfen. Eine vergessene NWC-Verbindung kann eine offene Tür bleiben, obwohl der Server längst aktuell ist.

Bei Verdacht auf einen Einbruch raten beide Projekte zu einem frischen System. LNbits empfiehlt, die Software auf einem neuen Server zu installieren und vorher die Logdateien des alten zu sichern. BTCPay Server rät, ausgehende Zahlungen, unerwartete Kanalschließungen und unbekannte Gegenstellen zu prüfen und die Salden mit den eigenen Aufzeichnungen zu vergleichen.

KI-gestützte Fehlersuche: Lightning-Software steht unter mehr Druck

Ein Faktor verbindet die Fälle über die Technik hinaus. Das Team von Core Lightning berichtete Ende August, es habe über Wochen eine ungewöhnlich hohe Zahl von Schwachstellenmeldungen bearbeitet, die mit KI-Werkzeugen erzeugt worden waren, und mehrere davon seien echt gewesen. LNbits begründet seine Empfehlung, nur wenig Geld online zu halten, im November ausdrücklich mit der Zunahme KI-gestützter Angriffe.

Für Betreiber verschiebt sich damit der Takt. Fehler, die früher Monate unentdeckt blieben, tauchen schneller auf, bei Verteidigern wie bei Angreifern. Freie Lightning-Software wird oft von kleinen Teams gepflegt. Bei LNbits lagen zwischen Entdeckung und Korrektur zwei Tage, und in dieser Zeit liefen die Angriffe bereits. Wer einen eigenen Knoten betreibt, braucht deshalb einen Weg, solche Meldungen mitzubekommen: die Ankündigungskanäle der eingesetzten Software abonnieren, automatische Updates prüfen und den Server nicht monatelang unbeaufsichtigt laufen lassen.

Für die meisten Anleger in Deutschland ist das ein Argument gegen den eigenen Server. Wer Lightning nur zum gelegentlichen Bezahlen nutzt, ist mit einer gut gepflegten App meist besser bedient. Welche Programme sich dafür eignen, zeigt der Vergleich der Software-Wallets.

Hot Wallet und Cold Wallet: Wie viel Bitcoin auf einen Lightning-Knoten gehört

Die vielleicht wichtigste Regel steht am Ende der LNbits-Mitteilung und gilt für jede Lightning Wallet: Online gehört nur das Geld für den laufenden Betrieb. Salden und ausgehende Zahlungen regelmäßig prüfen, Überschüsse auf eine On-Chain-Wallet verschieben, deren Schlüssel offline liegen.

Wie viel Betriebsgeld angemessen ist, hängt vom Zweck ab. Für eine private Lightning Wallet reicht, was du in den nächsten Wochen ausgeben willst, vergleichbar mit dem Bargeld im Portemonnaie. Ein Händler mit Lightning-Kasse braucht genug ausgehende Kapazität für Rückerstattungen und Wechselgeld, der Rest wandert abends oder wöchentlich auf die Cold Wallet. Ein Knoten, der Zahlungen für andere weiterleitet, braucht mehr Kanalkapazität und damit auch mehr Aufmerksamkeit.

Die Cold Wallet selbst sollte eine Hardware-Wallet sein, deren Seed getrennt vom Gerät liegt. Welche Geräte sich dafür eignen, vergleicht unser Hardware-Wallet-Vergleich. Wichtig ist die Trennung: Der Seed der Rücklage hat auf dem Lightning-Server nichts verloren, auch nicht als Datei in einem Sicherungsordner.

Lightning im Alltag: Bolt Card, Ladenkasse und App-Wallet ohne eigenen Server

Wer Lightning bezahlt, ohne einen Server zu betreiben, nutzt meist eine von drei Formen. Eine App-Wallet auf dem Handy hält den Knoten selbst oder verbindet sich mit einem Dienst. Eine Bolt Card ist eine NFC-Karte, mit der du an einer Kasse per Lightning zahlst; das Guthaben liegt auf dem Server, der die Karte ausgegeben hat. Eine Lightning-Kasse im Laden läuft beim Händler.

Bei der Bolt Card und bei geschenkten Wallets per Link liegt das Risiko beim Betreiber. Hat er nach dem LNbits-Vorfall neue Schlüssel ausgegeben, sind alte Karten und Links wertlos. Im ungünstigsten Fall kennt sie auch ein Angreifer. Eine neue Karte oder ein neuer Link vom Betreiber ersetzt deshalb immer die alte Fassung. Bleibt die Rückmeldung aus, gehört auf ein solches Konto nicht mehr als ein Kaffeebetrag.

Wer Bitcoin dagegen bei einer Börse kauft und dort hält, ist von Lightning-Lücken in selbst betriebener Software nicht betroffen. In Deutschland braucht ein solcher Anbieter seit Ende der Übergangsfrist eine Zulassung nach der europäischen MiCA-Verordnung. Welche Börsen sie haben, zeigt der Vergleich der regulierten Krypto-Börsen. Die Verwahrung beim Anbieter ersetzt die Selbstverwahrung nicht, das Risiko liegt dann bei einem beaufsichtigten Unternehmen.

Lightning-Knoten absichern: Fünf Einstellungen nach Prüfreihenfolge

Aus den fünf Warnungen lässt sich eine feste Reihenfolge ableiten, die für jede selbst betriebene Lightning-Software gilt:

1. Version: BTCPay Server ab 2.4.4 mit LND ab 0.21.1, Core Lightning ab 26.06.7 mit geprüftem Docker-Abbild, Alby Hub ab v1.24.0, LNbits ab 1.7.0.
2. Erreichbarkeit: Verwaltungsoberflächen und LND-Schnittstellen nur im Heimnetz oder über einen Tunnel, selbst gebaute Weiterleitungen entfernen.
3. Zugangsdaten: nach jedem Vorfall Macaroons, API-Schlüssel, Wallet-Keys und Passwörter neu erzeugen, Verbindungen von Apps neu anlegen.
4. Bestand: nur Betriebsgeld auf dem Knoten, Überschüsse regelmäßig auf die Cold Wallet.
5. Kontrolle: Ausgehende Zahlungen, neue Konten und Kanalschließungen einmal pro Woche ansehen.

Diese Liste ersetzt nicht die Mitteilung des jeweiligen Projekts, sie ordnet sie nur. Bei einem neuen Vorfall gilt immer zuerst, was die Entwickler selbst schreiben.

Lightning Wallet sicher nutzen: Nur Betriebsgeld gehört auf den Server

1. Bring deine Lightning-Software auf den aktuellen Stand und tausche danach alle Zugangsdaten. Für die Rücklage außerhalb des Servers findest du ein passendes Gerät im Hardware-Wallet-Vergleich.
2. Prüfe, ob du überhaupt einen eigenen Knoten brauchst. Für gelegentliche Zahlungen reicht oft eine gepflegte App aus dem Software-Wallet-Vergleich.
3. Halte größere Bestände bei einem beaufsichtigten Anbieter oder offline. Börsen mit MiCA-Zulassung listet der Vergleich der regulierten Krypto-Börsen.

(Stand: 12. November 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)