Cybersicherheit in der Welt der Kryptowährungen

Eine Nachricht über eine verdächtige Anmeldung, ein gefälschter Kundensupport oder ein schädlicher Link können unsere Kryptowährungen innerhalb eines Augenblicks gefährden. Der Angreifer muss dabei weder die Blockchain knacken noch einen privaten Schlüssel erlangen. Manchmal genügt es, wenn er uns davon überzeugt, selbst Zugangsdaten preiszugeben, Mittel zu senden oder eine gefährliche Operation zu genehmigen.

Die Sicherheit von Kryptowährungen beruht daher nicht nur auf der Wahl der Wallet. Ebenso wichtig ist es, Konten, Geräte und Backups zu schützen und zu verstehen, was wir bei der Nutzung von Kryptowährungen bestätigen.

Sicherheit der Blockchain und unserer Mittel

Der Diebstahl von Kryptowährungen muss nicht bedeuten, dass das Blockchain-Netzwerk selbst geknackt wurde. Die Ursache kann ein kompromittiertes Konto bei einem Anbieter, eine preisgegebene Wiederherstellungsphrase oder eine schädliche Anwendung sein. Jedes dieser Risiken erfordert eine andere Art des Schutzes.

Bei der Verwahrung von Kryptowährungen durch einen Anbieter verlassen wir uns auch auf dessen Absicherung. Bei einer eigenen Wallet sind wir dagegen selbst für die Schlüssel und deren Backups verantwortlich. Die geeignete Lösung ist diejenige, die wir verstehen und sicher nutzen sowie wiederherstellen können.

Phishing: wenn sich ein Betrüger als Hilfe ausgibt

Phishing ist ein Betrug, bei dem ein Angreifer einen vertrauenswürdigen Dienst oder eine vertrauenswürdige Person nachahmt. Er kann eine gefälschte E-Mail über die Sperrung des Kontos senden, einen Bestätigungscode verlangen oder uns auffordern, Kryptowährungen in eine angeblich sichere Wallet zu übertragen.

Eine verdächtige Nachricht überprüfen wir nicht über den Link, den sie enthält. Stattdessen öffnen wir den Dienst auf eigenem Weg und kontaktieren gegebenenfalls den offiziellen Support. Wir teilen niemandem die Wiederherstellungsphrase oder Bestätigungscodes mit. Ein glaubwürdiges Logo, ein fehlerfreier Text oder eine sichere HTTPS-Verbindung garantieren für sich genommen nicht die Vertrauenswürdigkeit einer Website.

Passwörter, E-Mail und Mehr-Faktor-Authentifizierung

Das E-Mail-Postfach ist ein wichtiger Bestandteil der Absicherung, da wir darüber häufig den Zugang zu weiteren Konten wiederherstellen. Für jeden wichtigen Dienst sollten wir daher ein langes, einzigartiges Passwort verwenden; ein Passwortmanager kann dabei helfen.

Weiteren Schutz bietet die Mehr-Faktor-Authentifizierung. Eine Authentifizierungs-App ist in der Regel sicherer als eine SMS, doch auch ihren Code dürfen wir nicht auf einer betrügerischen Seite eingeben. Wenn ein Dienst passkeys oder FIDO-Sicherheitsschlüssel unterstützt, können diese eine höhere Widerstandsfähigkeit gegenüber Phishing bieten. Wichtig ist es auch, sicher aufbewahrte Backup-Codes für die Wiederherstellung des Zugangs zu haben.

Wiederherstellungsphrase und Hardware-Wallet

Die Wiederherstellungsphrase (Seed) ist kein gewöhnliches Passwort. Bei vielen Wallets ermöglicht sie es, die Schlüssel erneut abzuleiten und den Zugang zu den Mitteln wiederherzustellen. Wer sie erlangt, kann die Wallet unter bestimmten Bedingungen auch ohne das ursprüngliche Gerät kontrollieren. Deshalb speichern wir sie weder als Foto im Telefon noch in einem ungeschützten Cloud-Dokument. Das Backup muss sicher, zugleich aber für den Fall einer Wiederherstellung verfügbar sein.

Eine Hardware-Wallet schützt private Schlüssel, indem sie Operationen innerhalb des Geräts signiert. Sie verhindert jedoch keinen Verlust, wenn wir selbst eine Überweisung an einen Angreifer oder eine gefährliche Berechtigung bestätigen. Vor der Bestätigung prüfen wir stets, was das Gerät tatsächlich anzeigt.

Vorsicht bei Signaturen und Berechtigungen von Anwendungen

Bei der Nutzung dezentraler Anwendungen können wir nicht nur Überweisungen genehmigen, sondern auch Berechtigungen für Smart Contracts, über unsere Token zu verfügen. Wenn wir einem schädlichen Contract eine zu weit gefasste Berechtigung erteilen, können auch weitere Token gefährdet sein, auf die sich die Zustimmung bezieht.

Das Verbinden der Wallet mit einer Website, das Signieren einer Nachricht und das Erteilen einer Berechtigung sind nicht dasselbe. Das Schließen der Seite muss zudem eine zuvor erteilte Zustimmung nicht aufheben. Wenn wir die verlangte Operation nicht verstehen, bestätigen wir sie nicht; ältere Berechtigungen lassen sich bei unterstützten Netzwerken mithilfe verifizierter Tools überprüfen und widerrufen.

Bei einer Überweisung prüfen wir Adresse und Netzwerk

Angreifer können in die Transaktionshistorie eine Adresse einschleusen, die einer früher von uns verwendeten ähnelt. Dieses Vorgehen wird als address poisoning bezeichnet. Die Adresse des Empfängers beziehen wir daher aus einer verifizierten Quelle und überprüfen sie vor dem Senden vollständig.

Ebenso wichtig ist es, die Kryptowährung, das Blockchain-Netzwerk und etwaige weitere Angaben zu überprüfen, zum Beispiel memo oder tag. Eine fehlerhafte Überweisung lässt sich möglicherweise nicht rückgängig machen. Bei einem neuen Empfänger kann eine Testtransaktion eines kleinen Betrags helfen, doch auch sie ersetzt nicht die Überprüfung der nachfolgenden Überweisung.

Betrügerische Investitionsplattformen und Schutz der Geräte

Nicht alle Betrugsfälle erfordern den Diebstahl eines Passworts. Eine gefälschte Investitionsplattform kann erfundene Gewinne anzeigen und beim Versuch einer Auszahlung weitere Zahlungen für eine angebliche Steuer oder die Entsperrung des Kontos verlangen. Warnsignale sind Versprechen garantierter hoher Renditen, Druck zu einer schnellen Entscheidung und unaufgeforderte Hilfsangebote.

Das Risiko verringern auch Updates von Telefon und Computer, die Installation von Anwendungen aus verifizierten Quellen und die Ablehnung eines unaufgeforderten Fernzugriffs auf das Gerät. Bei häufigerer Nutzung von Blockchain-Anwendungen kann es sinnvoll sein, langfristig gehaltene Vermögenswerte von Mitteln zu trennen, die zum Experimentieren bestimmt sind.

Was tun bei Verdacht auf einen Angriff

Wir reagieren nicht mehr auf die verdächtige Person und kontaktieren den Dienst ausschließlich über einen verifizierten Kanal. Beim gefährdeten Konto ändern wir das Passwort von einem vertrauenswürdigen Gerät aus, überprüfen die Anmeldungen und informieren den Anbieter. Hängt der Betrug mit einer Banküberweisung zusammen, kontaktieren wir auch die Bank.

Bei einer eigenen Wallet kommt es auf die Ursache an. Eine schädliche Berechtigung muss möglicherweise widerrufen werden, doch beim Abfluss des privaten Schlüssels oder des Seeds ist es notwendig, auf eine neue Wallet mit unabhängig erstellten Schlüsseln umzusteigen und etwaige verbleibende Mittel sicher zu übertragen. Wir bewahren die Kommunikation und die Transaktionskennungen auf und melden den Verdacht auf eine Straftat der tschechischen Polizei. Vorsicht ist auch bei Betrügern geboten, die die Rückgabe von Kryptowährungen gegen eine Vorabgebühr versprechen.

Fazit

Die Sicherheit von Kryptowährungen ist eine Kombination aus geeigneten Technologien und alltäglichen Gewohnheiten. Starke Passwörter, Mehr-Faktor-Authentifizierung, sichere Backups und die Überprüfung von Transaktionen helfen, Risiken zu begrenzen, doch kein Werkzeug kann unsere eigene Entscheidung ersetzen.

Vor jeder Bestätigung sollten wir wissen, an wen wir was senden, welches Netzwerk wir verwenden und welche Berechtigungen wir erteilen. Wenn wir eine Aufforderung nicht verstehen, ist es sicherer, die Operation zu stoppen und sie unabhängig zu überprüfen.

Dieser Text dient ausschließlich zu Informations- und Bildungszwecken und stellt keine Anlageberatung dar. Krypto-Assets sind volatil, und Sie können den gesamten investierten Betrag verlieren.