Seed Phrase sicher aufbewahren: Was Stahl, Passphrase und Multisig für dein Wallet-Backup leisten

Seed Phrase als Schwachstelle: Warum die Aufbewahrung über dein Guthaben entscheidet

Der Angriff auf Coldcard-Geräte, der seit Ende Juli läuft, hat die Diskussion auf Hersteller, Firmware und Lieferketten gelenkt. Die Frage, wo das Backup der eigenen Wallet eigentlich liegt und in welchem Zustand, kam dabei kaum vor. Für die meisten Privatanleger ist sie die praktisch wichtigere.

Der Hersteller Coinkite hat in seinem Security Advisory vom 30. Juli 2026 selbst formuliert, worum es geht: Mittel aus betroffenen Seeds seien gefährdet, wenn der Seed nicht auf mindestens fünfzig unabhängigen, privat geworfenen Würfelwürfen beruhe. Das ist eine Aussage über die Entstehung eines Seeds, nicht über seine Lagerung. Sie führt aber zum selben Punkt: Ein Seed ist ein Stück Information, dessen Wert vollständig davon abhängt, wer es kennt. Wie hoch der Schaden ausfällt, ist offen; die Schätzungen bewegten sich in den ersten Augusttagen je nach Erhebung und Stichtag zwischen 86 und mehr als 130 Millionen US-Dollar. Den Fall und die Herstellerfrage haben wir in unserer Einordnung zum Coldcard-Angriff beschrieben.

Dieser Text behandelt die andere Hälfte des Problems: Wie lagerst du die zwölf oder vierundzwanzig Wörter so, dass sie einen Wohnungsbrand, einen Einbruch, einen Umzug und fünfzehn Jahre Zeit überstehen. Welche Geräte dafür überhaupt infrage kommen, steht in unserem Hardware-Wallet-Vergleich.

Was in den 12 oder 24 Wörtern einer Seed Phrase steckt

Die Wörter sind keine Passwörter und auch keine Abkürzung für einen Kontozugang. Sie sind eine lesbare Kodierung einer Zufallszahl. Wer das verstanden hat, trifft bei der Aufbewahrung fast automatisch bessere Entscheidungen.

Warum die Wortliste genau 2048 Einträge hat

Der Standard dahinter heißt BIP-39. Er definiert eine Liste von 2048 Wörtern, womit jedes Wort exakt elf Bit trägt. Aus der Länge der Phrase lässt sich damit direkt die zugrunde liegende Entropie ablesen: 128 Bit ergeben zwölf Wörter, 160 Bit fünfzehn, 192 Bit achtzehn, 224 Bit einundzwanzig und 256 Bit vierundzwanzig Wörter.

Ein Teil dieser Bits ist keine Zufallsinformation, sondern eine Prüfsumme, die BIP-39 aus den ersten ENT/32 Bit des SHA256-Hashwerts der Entropie bildet. Praktisch heißt das: Eine Phrase, in der ein Wort falsch abgeschrieben wurde, wird von jeder korrekt implementierten Wallet als ungültig zurückgewiesen, statt stillschweigend eine leere Wallet zu öffnen. Ein Abschreibfehler fällt deshalb beim ersten Wiederherstellungsversuch auf und nicht erst Jahre später.

Wie aus den Wörtern der Seed wird

Die Ableitung ist ebenfalls festgeschrieben: PBKDF2 mit HMAC-SHA512, 2048 Iterationen, als Salt die Zeichenkette "mnemonic" gefolgt von einer optionalen Passphrase, Ergebnis sind 512 Bit. Daraus folgen zwei Dinge, die für die Aufbewahrung erheblich sind.

Erstens braucht die Wiederherstellung kein Gerät eines bestimmten Herstellers. Wer die Wörter hat, rekonstruiert den Seed mit jeder Software, die den Standard umsetzt. Das ist die eigentliche Versicherung gegen einen Hersteller, der vom Markt verschwindet. Zweitens gibt es keine Rückfrage und keinen Zurück-Knopf. Wer die Wörter kennt, ist Eigentümer.

Drei Wege, ein Seed-Phrase-Backup zu verlieren

Bevor man über Material und Verfahren redet, lohnt sich eine nüchterne Aufstellung der Verlustwege. Maßnahmen gegen den einen erhöhen regelmäßig das Risiko des anderen.

• Jemand findet es. Der Zettel in der Schublade, das Foto in der Handygalerie, die Notiz im Passwortmanager. Der typische Fall ist kein gezielter Angriff, sondern ein gewöhnlicher Wohnungseinbruch, bei dem der Zettel zufällig auffällt.
• Es wird zerstört. Feuer, Wasser, Schimmel, verblassende Tinte. Auch der Umzug gehört hierher, bei dem eine Kiste nicht wieder auftaucht.
• Der eigene Kopf. Wer eine Passphrase nur im Gedächtnis behalten will oder eine eigene Verschlüsselung erfindet, deren Regel er nach acht Jahren nicht mehr rekonstruiert, verliert den Zugang ohne jedes äußere Ereignis. Dazu kommt der Erbfall.

Seed Phrase auf Papier: Wie lange ein Zettel wirklich hält

Fast jedes Hardware-Wallet liefert eine Karte aus Karton mit, auf der die Wörter notiert werden sollen. Für den ersten Tag ist das in Ordnung. Als Dauerlösung hat Papier neben der bekannten physischen Schwäche eine zweite, die seltener bedacht wird: die Schrift selbst. Kugelschreibertinte verblasst je nach Lichteinfall, und Handschrift wird nach Jahren mehrdeutig, besonders bei Wörtern, die einander ähneln. Die BIP-39-Liste ist zwar so gebaut, dass die ersten vier Buchstaben eindeutig sind, das hilft aber nur, solange sie lesbar bleiben.

Wer bei Papier bleibt, sollte mit dokumentenechtem Stift und in Druckbuchstaben schreiben und die Reihenfolge nummerieren. Die eigentliche Absicherung ist allerdings ein zweites Exemplar an einem anderen Ort, nicht das Material.

Stahlplatte für die Seed Phrase: Worauf es bei der Bauart ankommt

Metallbackups sind seit Jahren der Standardrat, und der Rat ist richtig. Nur ist "Stahl" keine Qualitätsaussage. Zwischen den Bauarten liegen erhebliche Unterschiede, und einige Produkte scheitern genau an dem Szenario, gegen das sie verkauft werden.

Was die Stresstests messen

Die brauchbarste öffentliche Datenbasis dazu ist das Open-Source-Projekt metal-bitcoin-storage-reviews von Jameson Lopp, das Backup-Geräte seit Jahren nach einheitlichem Verfahren bewertet. Die Ergebnisse werden in drei Noten zusammengefasst: eine für Hitze, eine für Korrosion und eine für Quetschung. Die Aufteilung ist sinnvoll, weil ein Gerät in einer Kategorie hervorragend und in einer anderen unbrauchbar sein kann.

Zwei Muster ziehen sich durch die Auswertung. Plattenkonstruktionen, bei denen die Information durch Loch- oder Stanzmuster im Vollmaterial festgehalten wird, schneiden durchgehend gut ab. Konstruktionen, die auf Versiegelung, Beschichtung oder eingelegte Träger setzen, fallen dagegen überdurchschnittlich häufig bei Hitze und Korrosion durch. Was im Metall selbst fehlt, kann eben abbrennen oder sich ablösen.

Prägen, stanzen, gravieren

Für die Praxis folgt daraus eine Rangfolge. Vorne liegen Verfahren, die Material entfernen oder verformen, also Stanzen, Prägen mit Schlagbuchstaben und tiefes Gravieren. Dahinter kommen Systeme mit einzelnen Buchstabenplättchen, die zwar hitzebeständig sind, sich aber bei Sturz oder Quetschung verschieben können. Am Ende stehen alle Varianten, bei denen die Schrift nur aufliegt.

Nach dieser Woche ist das aus unserer Sicht das wichtigere Kriterium: Nicht die Frage, ob ein Backup aus Metall besteht, entscheidet, sondern ob die Information im Metall steckt oder nur darauf. Wer bereits eine Platte besitzt, kann das in zwei Minuten prüfen, indem er mit dem Fingernagel über die Zeichen fährt.

Ein Hinweis zur Praxis: Präge nie die einzige Kopie. Schlagbuchstaben verrutschen, und ein falsch gesetztes Zeichen lässt sich nicht korrigieren. Übertrage die Reihenfolge erst von Papier und vernichte dieses Papier, sobald die Platte geprüft ist.

Die Passphrase: Das 25. Wort als zusätzlicher Schutz

Die optionale Passphrase aus BIP-39 ist das mächtigste und zugleich gefährlichste Werkzeug in diesem Feld. Sie geht als Teil des Salt in die Ableitung ein, verwandelt also dieselben zwölf Wörter in eine völlig andere Wallet.

Ein gefundenes Backup allein nützt einem Dieb damit nichts mehr. Der Standard beschreibt die Eigenschaft ausdrücklich: Jede Passphrase erzeugt einen gültigen Seed und damit eine funktionierende Wallet, aber nur die richtige öffnet die gewünschte. Daraus ergibt sich die Möglichkeit, neben dem eigentlichen Bestand eine zweite, kleiner bestückte Wallet zu führen, die bei Nötigung vorgezeigt werden kann.

Der Preis dafür wird oft verschwiegen. Geht die Passphrase verloren, ist der Seed unwiederbringlich weg; der Standard sagt das in dieser Deutlichkeit. Eine Prüfsumme, die eine falsch erinnerte Passphrase meldet, gibt es nicht. Die Wallet öffnet sich einfach leer, was Betroffene regelmäßig zu der Annahme verleitet, ihr Gerät sei defekt.

Unsere Einschätzung dazu ist zurückhaltend: Eine Passphrase lohnt sich, wenn sie schriftlich fixiert und getrennt vom Wortbackup aufbewahrt wird. Wer sie ausschließlich im Kopf behalten will, tauscht ein Diebstahlrisiko gegen ein deutlich höheres Vergessensrisiko. Für Beträge, die im Alltag eine Rolle spielen, halten wir diesen Tausch für selten sinnvoll.

Multisig und SLIP-0039: Die Seed Phrase aufteilen statt verstecken

Wer mehr als einen kleinen Betrag verwahrt, stößt irgendwann an die Grenze des Einzelbackups. Ein Ort ist immer entweder zu zugänglich oder zu unzugänglich. Zwei etablierte Verfahren lösen das auf sehr unterschiedliche Weise.

Multisig

Bei einer Multisignatur-Wallet wird die Unterschriftsberechtigung aufgeteilt, nicht das Backup. Eine Ausgabe braucht dann beispielsweise zwei von drei Schlüsseln, die auf Geräten verschiedener Hersteller liegen können. Ein einzelnes kompromittiertes Gerät reicht damit nicht mehr aus, und genau das war die Lehre aus dem Coldcard-Fall. Der Nachteil ist der Aufwand: Du musst zusätzlich zu den Schlüsseln die Wallet-Beschreibung sichern, sonst lässt sich die Konstruktion später nicht rekonstruieren.

SLIP-0039

Der Shamir-Standard von SatoshiLabs teilt das Geheimnis selbst in mehrere Anteile; rekonstruiert wird erst, wenn genügend Anteile zusammenkommen. SLIP-0039 arbeitet auf zwei Ebenen: einer Gruppenschwelle über bis zu sechzehn Gruppen und einer Mitgliederschwelle von bis zu sechzehn Anteilen je Gruppe. So lassen sich Regeln abbilden wie: zwei von vier eigenen Anteilen, oder drei von fünf Freunden zusammen mit zwei von sechs Familienmitgliedern. Technisch nutzt der Standard eine eigene Wortliste mit 1024 Wörtern. Ein Anteil umfasst zwanzig Wörter bei einem 128-Bit-Geheimnis und dreiunddreißig Wörter bei 256 Bit; manipulierte Anteile werden über eine Digest-Prüfung erkannt.

Der Nachteil liegt auf der Hand: Das Verfahren wird längst nicht von allen Geräten unterstützt, und im Moment der Rekonstruktion liegt der vollständige Seed wieder auf einem einzigen Gerät. Wer vor allem Redundanz gegen Zerstörung sucht, fährt damit dennoch besser als mit drei identischen Kopien. Geht es um den Schutz gegen ein einzelnes fehlerhaftes Gerät, ist Multisig das passendere Werkzeug. Welche Software beide Verfahren beherrscht, steht in unserer Übersicht der Software-Wallets.

Wo das Seed-Phrase-Backup aufbewahrt werden sollte

Die Standortfrage entscheidet in der Praxis mehr als das Material. Eine kurze Orientierung:

• Mindestens zwei Standorte, die nicht vom selben Ereignis betroffen sein können. Wohnung und Keller desselben Hauses erfüllen das nicht.
• Kein Standort, an dem regelmäßig Fremde arbeiten, also weder Büro noch Ferienwohnung.
• Das Bankschließfach eignet sich für die zweite Kopie, nicht für die einzige. Der Zugang ist an Öffnungszeiten gebunden, und im Erbfall dauert die Freigabe.
• Ein Standort sollte ohne Reise erreichbar sein, sonst wird der jährliche Test nie gemacht.
• Passphrase und Wörter gehören nie an denselben Ort.
• Halte schriftlich fest, wo die Kopien liegen, und hinterlege diese Beschreibung bei einer Vertrauensperson oder im Testament, ohne die Wörter selbst zu nennen.

Der Wiederherstellungstest für die Hardware Wallet

Ein Backup, das nie geprüft wurde, ist eine Annahme. Der Test ist unaufwendig und sollte einmal im Jahr stattfinden, am besten mit festem Termin.

Setze ein zweites, günstiges Gerät oder eine Wallet-Software auf einem sauberen Rechner zurück und stelle ausschließlich aus dem Backup wieder her, nicht aus dem Gedächtnis. Vergleiche dann die erste Empfangsadresse mit der deiner produktiven Wallet. Stimmen beide überein, ist das Backup vollständig, inklusive Passphrase. Danach löschst du das Testgerät wieder.

Wer mit einer Passphrase arbeitet, prüft dabei gleich die Schreibweise mit. Ein zusätzliches Leerzeichen oder ein großer Anfangsbuchstabe führt zu einer anderen Wallet, und solche Abweichungen fallen sonst erst im Ernstfall auf.

Häufige Fehler bei der Aufbewahrung der Seed Phrase

Die folgende Aufzählung stammt aus Leserzuschriften und Foren-Fällen der vergangenen Monate. Sie ist nicht repräsentativ, aber die Muster wiederholen sich auffällig.

1. Das Foto der Wörter auf dem Smartphone, das automatisch in die Cloud synchronisiert wird. Das ist der mit Abstand häufigste Fehler.
2. Die Eingabe der Phrase auf einer Webseite, die eine Prüfung der Gültigkeit anbietet. Solche Formulare sind ein bekanntes Angriffsmuster.
3. Der Ausdruck aus dem Bürodrucker, der die Datei im Gerätespeicher behält.
4. Die Aufteilung der Phrase in zwei Hälften an zwei Orten.
5. Die eigene Verschlüsselung, etwa jedes Wort um drei Positionen verschoben. Nach Jahren erinnert sich niemand an die Regel.
6. Das Backup, das die Partnerin oder der Partner zwar besitzt, aber nicht bedienen kann.

Punkt vier verdient eine Anmerkung, weil er einer Shamir-Aufteilung ähnelt, ohne eine zu sein. Wer zwölf Wörter halbiert, senkt den Aufwand für einen Angreifer, der eine Hälfte findet, erheblich. Gleichzeitig steigt das Verlustrisiko, weil nun zwei Orte funktionieren müssen statt einem.

Was du daraus mitnimmst

1. Prüfe heute, worauf deine Wörter stehen. Liegt die Phrase auf der Karton-Karte aus der Verpackung, plane den Umstieg auf ein Metallbackup, bei dem die Zeichen im Material sitzen. Welche Geräte dazu passen und was sie kosten, steht im Hardware-Wallet-Vergleich.
2. Lege einen zweiten Standort fest und trage den Testtermin ein. Zwei Kopien an voneinander unabhängigen Orten, dazu einmal im Jahr eine Wiederherstellung auf einem Testgerät. Wenn du dabei auf Multisig oder SLIP-0039 umsteigen willst, hilft die Software-Wallet-Übersicht bei der Auswahl der passenden Anwendung.
3. Dokumentiere den Bestand getrennt von den Wörtern. Halte fest, welche Wallets es gibt und wo die Backups liegen, ohne die Phrase selbst zu notieren. Für die laufende Übersicht und den Steuerexport eignen sich die Werkzeuge aus unserem Vergleich der Portfolio-Tracker und Steuer-Tools.

Transparenz: Die verlinkten Vergleichsseiten enthalten Partnerlinks. Schließt du über einen solchen Link ab, können wir eine Vergütung erhalten. Auf die Bewertung der hier beschriebenen Verfahren hat das keinen Einfluss; die technischen Angaben stammen aus den verlinkten Standards.

Die technischen Parameter in diesem Text stammen aus den Originalspezifikationen: BIP-39 und SLIP-0039.

(Stand: 7. August 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)

Transparenzhinweis: Dieser Beitrag wurde unter Zuhilfenahme künstlicher Intelligenz erstellt und vor der Veröffentlichung redaktionell geprüft. Alle Zahlen und Angaben wurden gegen die im Text verlinkten Primärquellen abgeglichen. Das Beitragsbild wurde mit KI erzeugt.