Seed bei einem anderen Hersteller wiederherstellen: Was BIP39 dir garantiert und was nicht

Wer Kryptowerte selbst verwahrt, kauft dafür meist ein Gerät von einem Unternehmen. Dieses Unternehmen kann Fehler machen, Kundendaten verlieren, ein Modell einstellen oder eines Tages nicht mehr existieren. Daraus folgt eine unangenehm konkrete Frage: Hängt dein Zugriff auf das Guthaben an diesem Unternehmen?

Die Antwort steht nicht im Marketing der Anbieter, sondern in drei technischen Spezifikationen, die seit über zehn Jahren öffentlich einsehbar sind. Diese Spezifikationen heißen BIP39, BIP32 und BIP44. Wer versteht, was darin festgeschrieben ist, kann die Herstellerfrage beantworten, ohne einem Werbeversprechen zu glauben. Und wer die Grenzen dieser Standards kennt, weiß auch, warum eine Wiederherstellung auf fremder Hardware in der Praxis trotzdem regelmäßig schiefgeht.

Dieser Text erklärt beides: was der Standard dir garantiert und an welchen Stellen er dich im Stich lässt. Am Ende steht ein Test, den du an einem ruhigen Abend durchführen kannst und der dir eine belastbare Antwort gibt, statt einer Vermutung.

Herstellerbindung bei Hardware-Wallets: Was tatsächlich am Anbieter hängt

Ein Hardware-Wallet ist ein kleiner Rechner mit genau einer Aufgabe. Er erzeugt einen Zufallswert, bewahrt ihn abgeschirmt auf und signiert damit Transaktionen, ohne den Wert je preiszugeben. Am Anbieter hängen dabei die Firmware, die Begleitsoftware auf dem Computer und der Kundendienst. Der Schlüssel selbst hängt am Anbieter nur dann, wenn das Gerät die offenen Standards verlässt.

Diese Unterscheidung ist der ganze Kern der Sache. Firmware, Begleitsoftware und Kundendienst sind ersetzbar. Ein Schlüssel, der ausschließlich in einem herstellereigenen Format existiert, wäre es nicht. Genau deshalb lohnt der Blick in die Spezifikation, bevor Geld auf ein Gerät wandert.

BIP39: Wie aus 128 bis 256 Bit Zufall zwölf bis 24 Wörter werden

BIP39 beschreibt, wie ein zufälliger Startwert in eine merkbare Wortfolge übersetzt wird. Die Spezifikation legt fest, dass die Ausgangsentropie ein Vielfaches von 32 Bit sein muss und zwischen 128 und 256 Bit liegt. Aus dieser Entropie wird eine Prüfsumme gebildet, indem die ersten ENT/32 Bit ihres SHA256-Hashwerts angehängt werden. Das Ergebnis zerfällt in Gruppen zu elf Bit, und jede Gruppe verweist als Zahl zwischen 0 und 2047 auf einen Eintrag in einer Wortliste mit 2048 Einträgen. Der Wortlaut der Spezifikation ist öffentlich und kurz genug, um ihn an einem Abend zu lesen.

Daraus ergeben sich die bekannten Längen. 128 Bit Entropie plus vier Bit Prüfsumme ergeben zwölf Wörter, 256 Bit plus acht Bit Prüfsumme ergeben 24 Wörter. Dazwischen liegen die selteneren Varianten mit 15, 18 und 21 Wörtern. Eine 24-Wort-Folge nutzt also dieselbe Technik wie eine 12-Wort-Folge, lediglich mit mehr Ausgangszufall.

Der entscheidende Satz für die Herstellerfrage kommt danach. Aus der Wortfolge wird der eigentliche Startwert über die Funktion PBKDF2 berechnet: die Wortfolge als Passwort, die Zeichenkette „mnemonic" samt optionaler Passphrase als Salz, 2048 Durchläufe, HMAC-SHA512 als Grundfunktion, 512 Bit als Ergebnis. Dieses Verfahren ist vollständig deterministisch und enthält an keiner Stelle eine Kennung des Geräts, der Firmware oder des Anbieters. Wer dieselben Wörter in ein anderes Gerät eingibt, das denselben Standard umsetzt, erhält denselben 512-Bit-Wert. Das ist die Garantie, um die es hier geht, und sie ist mathematischer Natur.

Die Prüfsumme fängt Tippfehler ab, korrigiert aber nichts

Die Prüfsumme ist kurz, und die Spezifikation sagt selbst, was daraus folgt: Etwa einer von 256 zufälligen Fehlern wird nicht bemerkt, und eine Korrekturhilfe bietet das Verfahren nicht. Praktisch heißt das, dass ein falsch abgeschriebenes Wort in aller Regel zu einer Fehlermeldung führt, eben nicht immer. Im ungünstigen Fall nimmt das Gerät die Eingabe an und erzeugt ein vollkommen anderes, leeres Wallet. Genau deshalb gehört zu jedem Backup eine Kontrolle, bei der die Wörter einmal tatsächlich eingelesen werden.

Die Wortliste gehört zum Verfahren dazu

Weil aus der Wortfolge selbst gerechnet wird und nicht aus der ursprünglichen Entropie, erzeugt dieselbe Zahlenfolge in einer anderssprachigen Wortliste einen völlig anderen Startwert. Die Spezifikation weist ausdrücklich darauf hin und empfiehlt aus diesem Grund die englische Liste. Wer ein Backup in der französischen oder japanischen Wortliste angelegt hat, braucht später ein Gerät, das genau diese Liste kennt. Bei der englischen Liste stellt sich das Problem praktisch nie, weil jede ernstzunehmende Umsetzung sie unterstützt.

Die Passphrase ist ein Wort, das in keinem Backup steht

Die optionale Passphrase geht als Teil des Salzes in die Berechnung ein. Jede Passphrase erzeugt damit aus derselben Wortfolge ein eigenes, vollständig gültiges Wallet. Ein Tippfehler in der Passphrase erzeugt keine Fehlermeldung. Er erzeugt ein anderes, leeres Wallet, denn das Verfahren kann zwischen „falsch" und „anders" gar nicht unterscheiden.

Für die Wiederherstellung auf fremder Hardware ist das eine der häufigsten Stolperfallen. Das neue Gerät nimmt die Wortfolge an, zeigt ein leeres Wallet und wirkt damit wie ein Beweis, dass die Portabilität eben doch nicht funktioniert. Tatsächlich fehlt nur ein Bestandteil, den der Nutzer selbst gesetzt hat und der nirgends aufgeschrieben ist. Wie sich eine Passphrase sinnvoll aufbewahren lässt, ohne sie neben die Wörter zu legen, haben wir am 8. August 2026 in unserem Text zur sicheren Aufbewahrung der Seed Phrase beschrieben.

BIP32 und der Ableitungspfad: Warum derselbe Seed verschiedene Adressen liefert

Der 512-Bit-Startwert ist noch keine Adresse. BIP32 beschreibt, wie daraus hierarchisch beliebig viele Schlüsselpaare abgeleitet werden, und BIP44 gibt dieser Ableitung eine feste Ordnung mit fünf Stufen: Verwendungszweck, Münztyp, Konto, Wechselkennzeichen und Adressindex. Geschrieben wird das als Kette von Zahlen mit Schrägstrichen, der sogenannte Ableitungspfad.

Die fünf Stufen eines BIP44-Pfads

Ein typischer Pfad lautet 44'/0'/0'/0/0 und bezeichnet die erste Adresse des ersten Bitcoin-Kontos im klassischen Adressformat. Der Apostroph markiert eine gehärtete Stufe, aus der sich untergeordnete Schlüssel ohne den Startwert nicht berechnen lassen. Die erste Zahl steht für das Adressformat: 44 für die klassische Form, 49 für die verschachtelte SegWit-Variante, 84 für natives SegWit. Ändert sich diese eine Zahl, ändern sich sämtliche Adressen darunter.

Das ist der praktisch wichtigste Punkt dieses Textes. Zwei Geräte können denselben Seed vollkommen korrekt verarbeiten und trotzdem völlig verschiedene Adressen anzeigen, weil sie unterschiedliche Pfade voreingestellt haben. Der Seed ist dabei jedes Mal richtig. Sichtbar wird ein Guthaben nur auf dem Pfad, auf dem es tatsächlich liegt.

Der Ableitungspfad ist der häufigste Grund für ein scheinbar leeres Wallet

Wie weit die Praxis vom Standard abweicht, beschreibt ein Hersteller in seiner eigenen Entwicklerdokumentation bemerkenswert offen. In der Dokumentation zu Ableitungspfaden von Ledger Live heißt es, längst nicht jedes Wallet halte sich an BIP44, viele fragten den Nutzer direkt nach einem Pfad, und man habe über die Zeit zahlreiche Ausnahmen eingebaut, um diese Abweichungen aufzufangen. Für Ethereum durchsucht die Software deshalb Adressen unter 44'/60'/0'/x und zählt bis zu zehn leere Konten ab, bevor sie die Suche beendet.

Im selben Dokument steht der Satz, an dem die praktische Konsequenz hängt: Wer auf einem ungewöhnlichen Pfad festsitzt und die Software nutzen möchte, muss das Guthaben mit dem ursprünglichen Werkzeug auf einen üblichen Pfad umziehen. Das beschreibt keinen Fehler eines einzelnen Anbieters. Es beschreibt einen Zustand, mit dem die gesamte Branche arbeitet, weil sich Konventionen erst nach den ersten Umsetzungen durchgesetzt haben.

Für dich folgt daraus eine schlichte Regel: Der Ableitungspfad gehört zum Backup. Eine Wortfolge ohne Notiz darüber, welches Gerät und welches Adressformat im Einsatz waren, bleibt wiederherstellbar, kostet im Ernstfall aber Suchzeit. Welche Geräte welche Pfade voreinstellen und wie offen die jeweilige Begleitsoftware damit umgeht, lässt sich im Vergleich der Krypto-Hardware-Wallets nachsehen, bevor die Entscheidung für ein Modell fällt.

SLIP-0044 gibt jeder Kette ihre eigene Nummer im Pfad

Die zweite Stufe des Pfads ist der Münztyp. Welche Zahl zu welcher Kette gehört, steht in einer öffentlichen Liste namens SLIP-0044. Bitcoin trägt dort die 0, Litecoin die 2, Dogecoin die 3, Ether die 60, Bitcoin Cash die 145, Solana die 501 und die BNB-Kette die 714. Die Liste umfasst inzwischen mehrere tausend Einträge und wächst mit jeder neuen Kette weiter.

Praktisch bedeutet das zweierlei. Die Bestände verschiedener Ketten liegen aus demselben Seed in getrennten Zweigen, weshalb ein Gerät, das eine Kette nicht kennt, deren Guthaben auch nicht anzeigen kann. Und einige Ketten haben im Lauf ihrer Geschichte den Münztyp gewechselt oder führen mehrere Nummern parallel. Wer nach einem Gerätewechsel ein Guthaben vermisst, sollte diese Liste kennen, bevor er einen Verlust annimmt.

Das Gap Limit erklärt, warum eine Software vorhandenes Guthaben übersieht

Auch innerhalb des richtigen Pfads lauert eine Falle. Eine Wallet-Software sucht Konten und Adressen der Reihe nach ab und beendet die Suche, sobald eine bestimmte Zahl aufeinanderfolgender Adressen ohne Zahlungseingang bleibt. Diese Abbruchgrenze heißt Gap Limit. BIP44 schreibt dieses Verhalten ausdrücklich vor, weil die Suche sonst niemals enden würde.

Die Folge ist unangenehm. Wurde in der Vergangenheit von Hand eine weit hinten liegende Adresse benutzt, kann eine standardkonforme Software sie übersehen und ein leeres Konto anzeigen. Das Guthaben liegt weiterhin auf der Kette und ist über jeden Blockexplorer sichtbar; nur die Suchlogik reicht nicht weit genug. Abhilfe schafft eine Anwendung, in der sich das Gap Limit heraufsetzen oder ein Pfad von Hand eintragen lässt. Wer einmal in dieser Lage war, versteht, warum erfahrene Nutzer ihre Adressen nicht wahllos aus der Mitte einer Liste greifen.

Wo der Standard aufhört: Shamir-Anteile, Multisig und herstellereigene Formate

Nicht jedes Backup ist eine BIP39-Wortfolge, auch wenn es auf den ersten Blick so aussieht. Drei Fälle solltest du auseinanderhalten, weil sie die Portabilität unterschiedlich stark einschränken.

Der erste ist das Shamir-Verfahren nach SLIP-0039, bei dem das Geheimnis in mehrere Anteile zerlegt wird und eine Mindestzahl davon zur Wiederherstellung genügt. Solche Anteile sehen wie eine Wortfolge aus, folgen aber einem anderen Verfahren und funktionieren nur auf Geräten, die genau dieses Verfahren beherrschen. Der zweite Fall sind Multisig-Aufbauten, bei denen mehrere Schlüssel gemeinsam zeichnen: Dort brauchst du zusätzlich zu den Wörtern die Wallet-Beschreibung mit allen öffentlichen Schlüsseln und der Regel, wie viele Unterschriften nötig sind. Ohne diese Datei ist das Guthaben mit den Wörtern allein nicht erreichbar, und sie geht erfahrungsgemäß häufiger verloren als die Wörter selbst. Der dritte Fall sind Geräte, die den Schlüssel ausschließlich in einem eigenen Format sichern und ihn nie als lesbare Wortfolge herausgeben.

Vor dem Kauf lässt sich das in einer einzigen Frage prüfen: Gibt das Gerät eine BIP39-Wortfolge aus, die sich auf fremder Hardware einlesen lässt? Steht in der Anleitung nur ein herstellereigener Begriff für das Backup, ohne Verweis auf einen offenen Standard, ist das ein Grund, genauer hinzusehen.

Was ein Herstellerausfall praktisch bedeutet und was nicht

Im eigenen Bestand dieser Redaktion stehen aus den vergangenen Wochen mehrere Fälle, in denen ein Anbieter seine Kunden enttäuscht hat. Am 31. Juli 2026 haben wir über einen Firmware-Fehler berichtet, durch den erzeugte Seeds berechenbar wurden. Am 13. August 2026 ging es um ein Datenleck bei einem Dienstleister, durch das Namen und Wohnanschriften von Kunden eines Wallet-Herstellers offengelegt wurden. Auf der Verwahrseite bei Handelsplätzen stellt sich die Frage noch schärfer, weil dort neben der Technik das Insolvenzrecht hinzukommt; wann verwahrte Coins aussonderungsfähig sind, haben wir am 18. August 2026 gesondert aufgeschrieben.

Für die Selbstverwahrung lässt sich daraus eine nüchterne Bilanz ziehen. Ein Datenleck betrifft deine Privatsphäre und erhöht das Risiko gezielter Betrugsversuche per Post, Telefon oder Mail, an deinen Schlüssel rührt es nicht. Eine Insolvenz des Herstellers beendet Firmware-Pflege und Kundendienst, lässt einen standardkonformen Seed jedoch unberührt; das Gerät wird zum Auslaufmodell, das Guthaben nicht. Ernst wird es allein im dritten Fall, bei einem Fehler in der Erzeugung des Zufallswerts. Dagegen hilft kein Standard. Dort bleibt nur der Umzug auf einen frisch erzeugten Seed, und zwar zügig.

Der verbreitete Satz, die Coins lägen auf der Blockchain und nicht auf dem Gerät, ist deshalb richtig und zugleich unvollständig. Er stimmt genau dann, wenn der Seed sauber erzeugt wurde und dem offenen Standard folgt. Beides lässt sich prüfen, und zwar ohne Fachwissen.

Der Wiederherstellungstest: So prüfst du heute, ob dein Backup morgen trägt

Ein Backup, das nie eingelesen wurde, ist eine Vermutung. Der folgende Test macht daraus eine Feststellung. Er dauert etwa zwanzig Minuten und kostet nichts außer den Netzwerkgebühren einer Kleinstüberweisung.

Der Test mit einem leeren Konto

Besorg dir zunächst eine zweite, quelloffene Wallet-Software auf einem Gerät, das du anschließend zurücksetzt, und gib dort deine Wortfolge samt Passphrase ein. Wähle in dieser Software denselben Ableitungspfad, den dein Hauptgerät verwendet. Vergleiche danach die erste Empfangsadresse mit der Adresse, die dein Hauptgerät an derselben Stelle anzeigt. Stimmen beide Zeichenketten überein, ist die Portabilität bewiesen: Dein Guthaben hängt an der Wortfolge und am Pfad, an keinem Unternehmen.

Wer es schärfer haben will, überweist einen Kleinstbetrag an eine Adresse, die ausschließlich aus dem Backup abgeleitet wurde, und schickt ihn von dort wieder zurück. Damit ist auch die Signatur geprüft und nicht bloß die Adressanzeige. Setze das Testgerät danach zurück und entferne die Software.

Zwei Angaben notierst du am Ende zu den Wörtern dazu: den vollständigen Ableitungspfad und die Zahl der Wörter. Die Passphrase gehört an einen anderen Ort, sonst hebst du ihren Zweck auf. Wer ohnehin gerade regelt, was im Ernstfall mit dem Zugang geschehen soll, nimmt diese Notiz gleich in die Nachlassunterlagen auf.

Seed-Wiederherstellung pruefen: Was du daraus mitnimmst

1. Mach den Wiederherstellungstest, bevor du ihn brauchst. Lies deine Wortfolge einmal in eine zweite, unabhängige Anwendung ein und vergleiche die erste Empfangsadresse mit der deines Hauptgeräts. Welche Programme quelloffen sind und eigene Ableitungspfade zulassen, steht im Vergleich der Software-Wallets.
2. Notiere den Ableitungspfad zum Backup. Die Wörter allein reichen technisch, der Pfad spart dir im Ernstfall Stunden. Achte beim nächsten Gerätekauf darauf, dass der Anbieter übliche Pfade voreinstellt und eine BIP39-Wortfolge ausgibt; die Modelle im Hardware-Wallet-Vergleich unterscheiden sich darin deutlich.
3. Trenne Handelsbestand und Verwahrbestand. Was du langfristig selbst verwahren willst, gehört nicht dauerhaft auf ein Handelskonto, weil dort keiner der hier beschriebenen Standards für dich greift. Welche Handelsplätze reguliert sind und wie ihre Auszahlungswege aussehen, zeigt der Vergleich der Krypto-Börsen.

(Stand: 19. August 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)