Du sitzt am Meer, vor dir steht ein Kaffee. Zum ersten Mal seit Wochen schaust du nicht auf die Uhr. Dann vibriert dein Handy. Dein Nachbar schreibt: Bei dir wurde eingebrochen.

Wenig später kommen die Bilder. Aufgerissene Schubladen, Kleidung auf dem Boden. Und plötzlich denkst du nur noch an diese kleine Schachtel mit deinen 24 Wiederherstellungswörtern.

Stell dir vor, der Einbrecher kennt sich mit Bitcoin aus. Er stellt deine Wallet wieder her und überträgt die gefundenen 0,02 BTC auf seine Adresse. Was er in dieser Geschichte nicht weiß: Du besitzt noch einen ganzen Bitcoin. Dafür reichen die gestohlenen Wörter allein nicht.

Der Unterschied liegt in einer optionalen Passphrase. Sie kann deinen Bestand schützen, wenn jemand dein Wallet-Backup findet. Allerdings nur, wenn du verstehst, was sie tatsächlich macht, sie zuverlässig sicherst und den Zugang sorgfältig testest.

Warum dein Gerätepasswort ein gestohlenes Backup nicht schützt

Vielleicht hast du über Jahre regelmäßig Bitcoin zurückgelegt. Aus einem kleinen Experiment ist ein wichtiger Teil deiner Ersparnisse geworden. Seit der ersten Auszahlung auf deine Hardware-Wallet denkst du: Meine Bitcoin liegen jetzt bei mir. Darum habe ich mich gekümmert.

Dann fällt dir beim Aufräumen dein Backup in die Hände. Und eine unangenehme Frage taucht auf: Wenn ich mit diesen Wörtern meine Wallet wiederherstellen kann, kann das nicht auch jemand anderes?

Ja. Wer deine Wiederherstellungswörter besitzt, braucht dafür weder deine Hardware-Wallet noch deren Gerätepasswort. Die Wörter lassen sich auf einem anderen kompatiblen Gerät verwenden. Das Passwort schützt den Zugang zu deinem Gerät, nicht die Wiederherstellung anhand des Backups.

Ein Versteck im Schrank fühlt sich mit diesem Wissen plötzlich ziemlich gewöhnlich an.

Eine Passphrase erzeugt eine andere Wallet

Der Begriff klingt zunächst nach einem zusätzlichen Passwort. Noch ein Schloss vor die vorhandene Wallet, fertig. Genau das ist die optionale Passphrase aber nicht.

Zusammen mit deinen Wiederherstellungswörtern führt sie zu einer anderen Wallet mit eigenen Adressen. Diese Wallet ist zunächst leer. Deine bisherigen Bitcoin bleiben dort, wo sie vorher waren.

Das bedeutet: Nur die Funktion einzuschalten schützt deinen bestehenden Bestand noch nicht. Du musst die dafür vorgesehenen Bitcoin anschließend an eine geprüfte Empfangsadresse der neuen Wallet übertragen.

Die ursprünglichen Wiederherstellungswörter brauchst du weiterhin. Für die neue Wallet benötigst du die Kombination aus diesen Wörtern und der exakt richtigen Passphrase.

Eine starke Passphrase entsteht nicht aus persönlichen Ideen

Der Name deines Hundes, dein Geburtsjahr und vielleicht ein Ausrufezeichen? Klingt vertraut. Genau deshalb ist es keine gute Grundlage.

Wer dein Backup besitzt, kann mit einem Computer mögliche Passphrasen ausprobieren. Da sitzt kein Bankmitarbeiter, der nach drei Fehlversuchen den Zugang sperrt. Persönliche Informationen und vorhersehbare Kombinationen willst du dafür nicht verwenden.

Im Beispiel wählst du sechs Wörter vollständig zufällig aus einer geeigneten Wortliste. Entscheidend ist die echte Zufallsauswahl, Wort für Wort. Nicht sechs Lieblingswörter und auch kein selbst erfundener Satz. Das seltsame Wort, das dir überhaupt nicht gefällt, bleibt ebenfalls stehen.

Die genaue Schreibweise gehört zum Geheimnis. Die BitBox unterstützt für diese Eingabe ASCII-Zeichen und höchstens 149 Zeichen; deutsche Umlaute gehören nicht zu ASCII. Die offizielle BitBox-Anleitung zur optionalen Passphrase beschreibt Menüpfad und Grenzen. Nutze beispielsweise eine gedruckte EFF-Diceware-Wortliste für unabhängig erwürfelte Wörter. Erzeuge oder prüfe deine echte Passphrase niemals auf einer Webseite. Notiere sorgfältig:

• die Wörter in ihrer richtigen Reihenfolge,
• alle Großbuchstaben und Kleinbuchstaben,
• die genaue Position der Leerzeichen,
• gegebenenfalls weitere verwendete Zeichen.

Kontrolliere deine Aufzeichnung anschließend noch einmal. Dabei geht es nicht um Schönschrift, sondern darum, dieselbe Zeichenfolge später zuverlässig eingeben zu können.

Offline sichern und getrennt aufbewahren

Für die Einrichtung bleiben Stift und Papier auf dem Tisch. Das Handy bleibt weg. Du fotografierst weder deine Wiederherstellungswörter noch deine Passphrase und tippst sie nicht irgendwo ein, wo sie später in einer Cloud landen könnten.

Vielleicht überlegst du kurz, ob du dir die Passphrase einfach merken kannst. Aber gestern hast du fünf Minuten nach deiner Brille gesucht. Sie lag neben der Kaffeemaschine. Deine Bitcoin sollen auch in zehn Jahren noch erreichbar sein.

Ein zuverlässiges Offline-Backup ist deshalb wichtiger als Vertrauen in dein Gedächtnis. Bewahre die Passphrase an einem anderen geschützten Ort auf als deine Wiederherstellungswörter. Auch eine zusätzliche Kopie der Passphrase gehört nicht zusammen mit einem Wallet-Backup gelagert.

Sonst könnte jemand beide Geheimnisse auf einmal finden. Die zusätzliche Trennung wäre damit praktisch aufgehoben.

Passphrase auf der BitBox einrichten und mit einem kleinen Betrag testen

Die normale Einrichtung deiner Hardware-Wallet solltest du bereits beherrschen. Wenn du das Gerät erst auswählst, findest du Details zu Bedienung und Backups im ausführlichen BitBox02-Test.

Für die optionale Passphrase gehst du im beschriebenen BitBox-Ablauf schrittweise vor:

1. Öffne die Geräteverwaltung in der BitBoxApp und aktiviere die optionale Passphrase.
2. Lies die Hinweise und bestätige die Aktivierung am Gerät.
3. Verbinde die BitBox erneut und entsperre sie mit deinem Gerätepasswort.
4. Gib die Passphrase direkt auf der BitBox ein und vergleiche die Zeichen mit deiner Aufzeichnung.
5. Lass dir eine Empfangsadresse anzeigen und vergleiche die vollständige Adresse am Computer mit der Anzeige auf dem Gerät.
6. Sende zunächst nur einen kleinen Testbetrag aus deiner bisherigen Wallet. Prüfe vor der Bestätigung auch die Netzwerkgebühr.

Nach der Bestätigung im Netzwerk erscheint der Betrag. Gut. Trotzdem ist jetzt nicht der Moment, sofort alles hinterherzuschicken.

Notiere bereits vor der Testeinzahlung den Root Fingerprint aus der Geräteverwaltung der BitBoxApp für den späteren Vergleich. Prüfe ihn und den Testbetrag nach einem erneuten Anschließen noch einmal. Der Fingerprint ist eine kurze Kennung, kein absoluter Identitätsbeweis; kontrolliere weiterhin die vollständige Empfangsadresse am Gerät. Du möchtest nicht nur erfolgreich einzahlen, sondern dieselbe Wallet auch zuverlässig wieder öffnen können.

Ein einziger Buchstabe kann dich in die falsche Wallet führen

Am nächsten Morgen verbindest du das Gerät, entsperrst es und gibst deine Passphrase ein. Auf dem Bildschirm stehen null Bitcoin. Auch die Transaktionsansicht ist leer. Dein Puls geht hoch.

Bevor du hektisch alles neu eingibst, vergleichst du die Wallet-Kennung. Sie stimmt nicht mit deiner Notiz überein. Dann findest du den Unterschied: Der erste Buchstabe war gestern klein. Heute hast du ihn großgeschrieben.

Eine andere Passphrase führt zu einer anderen Wallet. Es erscheint keine Meldung über ein falsches Passwort. Du landest einfach woanders.

Nach der exakt richtigen Eingabe passen die Kennung und der Testbetrag wieder. Deshalb ist die kleine Testtransaktion so wertvoll. Ein leerer Kontostand allein bestätigt weder die richtige noch die falsche Wallet.

Das microSD-Backup enthält deine Passphrase nicht

Auch die microSD-Karte deiner BitBox gehört zu den schützenswerten Wallet-Backups. Deine zusätzliche Passphrase ist dort jedoch nicht mitgesichert. Um deren zuverlässige Aufbewahrung musst du dich selbst kümmern.

Erst nachdem du die neue Wallet wiederholt geöffnet und geprüft hast, überträgst du den restlichen vorgesehenen Betrag. Im Beispiel liegt dort nach Gebühren und bestätigten Übertragungen insgesamt ein Bitcoin. In der ursprünglichen Wallet bleiben 0,02 BTC.

Diese Aufteilung ist kein garantierter Trick gegen Diebe. Verlass dich niemals darauf, dass jemand nach dem ersten gefundenen Guthaben aufhört zu suchen.

Plane den Zugang für Angehörige und Notfälle

Du weißt, dass die zusätzliche Wallet existiert. Du kennst den Aufbewahrungsort der Passphrase und den richtigen Ablauf. Deine Angehörigen wissen das vielleicht nicht.

Ein geschützter Notfallplan sollte ihnen den Weg zu den notwendigen Informationen zeigen. Nicht alle Geheimnisse ungeschützt auf einem Blatt sammeln, sondern den Zugang nachvollziehbar organisieren.

Du sicherst jetzt zwei Geheimnisse. Geht eines dauerhaft verloren und besteht kein anderer Zugang mehr, hilft das andere allein nicht weiter. Niemand kann deine Passphrase zurücksetzen.

Für Einsteiger gilt: Erst das normale Backup beherrschen

Eine Passphrase ist nicht automatisch der richtige erste Schritt. Richte zunächst dein normales Backup sauber ein und teste, ob du damit wieder Zugriff bekommst. Danach entscheidest du, ob du den zusätzlichen Aufwand brauchst.

Eine starke, getrennt gesicherte Passphrase kann gegen ein gefundenes Backup helfen. Sie ersetzt aber weder eine zuverlässige Sicherung noch die Prüfung von Transaktionen, die du selbst bestätigst. Weitere Themen dazu findest du im Bereich Bitcoin-Sicherheit.

Nach einem Einbruch reicht Aufatmen nicht aus

In unserer Geschichte sind die 0,02 BTC weg, der zusätzliche Bitcoin ist noch da. Trotzdem befindet sich dein altes Backup nun in fremden Händen.

Richte deshalb in einer vertrauenswürdigen Umgebung eine neue Wallet mit einem vollständig neuen Backup ein. Prüfe sie und übertrage den verbliebenen Bestand dorthin.

Gute Selbstverwahrung bedeutet nicht nur, einen Diebstahl abzuwehren. Gerät und Backups müssen auch gegen Feuer und Verlust geschützt sein und im Notfall erreichbar bleiben. Eine geheime Wallet hilft dir nur, wenn sie nicht irgendwann auch für dich selbst unerreichbar wird.