Seed-Phrase-Sicherheit: Was sie ist und wie du sie schützt
Eine Seed Phrase (Wiederherstellungsphrase) ist eine Liste aus 12, 20 oder 24 Wörtern, mit der sich jeder Schlüssel deiner Wallet neu erzeugen lässt. Wer sie sieht, kann dein Guthaben nehmen. Schreib sie also auf Papier oder Metall, bewahre sie offline und privat auf und gib sie niemals auf einer Website ein oder an irgendwen weiter, auch nicht an den Support.
Was ist eine Seed Phrase?
Eine Seed Phrase kodiert eine große Zufallszahl in lesbaren Wörtern. Deine Wallet leitet daraus jeden Private Key und jede Adresse ab, für jedes unterstützte Netzwerk. Die meisten Wallets nutzen den Standard BIP39, der Wörter aus einer festen Liste von 2.048 englischen Wörtern wählt. Stellst du dieselbe Phrase in einer kompatiblen Wallet wieder her, erscheinen dieselben Adressen und Guthaben.
Andere Namen für dasselbe: Recovery Phrase, Wiederherstellungsphrase, Mnemonic, Secret Recovery Phrase (MetaMask), Backup-Phrase, 24 Wörter (Ledger).
12 vs. 24 Wörter (und 20)
| Format | Sicherheit | Standardmäßig genutzt von (Beispiele) |
|---|---|---|
| 12 Wörter BIP39 | 128 Bit | Die meisten Software-Wallets, z. B. MetaMask, Trust Wallet, Phantom |
| 24 Wörter BIP39 | 256 Bit | Ledger-Geräte, Trezor Model One |
| 20 Wörter SLIP-39 (Single Share) | 128 Bit; zusätzliche Wörter speichern Metadaten und Prüfsumme | Trezor Safe 3 (ab Juni 2024), Safe 5, Safe 7 |
Trezors eigener Leitfaden nennt all diese Varianten „extrem sicher“: Eine echt zufällige 12-Wort-Phrase zu erraten, ist nicht machbar (Trezor, geprüft Okt. 2026). Die echten Risiken sind eine Phrase, die nicht zufällig war (ein schlechter Generator), oder eine Phrase, die jemand anderes sieht. Das letzte Wort einer BIP39-Phrase enthält eine Prüfsumme, daher fällt ein zufälliger Tippfehler bei der Wiederherstellung meist auf.
Schwache Zufälligkeit hat bereits echte Verluste verursacht: die Milk-Sad-Lücke im Tool bx seed (über 900.000 $, Aug. 2023), Trust Wallets WebAssembly-Entropie-Bug (rund 170.000 $, Apr. 2023) und der Build-Fehler in der Coldcard-Firmware 4.0.1, ausgenutzt ab dem 30. Juli 2026 (rund 116 Mio. $ laut TRM Labs). Nutze niemals eine Phrase, die eine Website erzeugt oder dir jemand anderes gegeben hat.
Die BIP39-Passphrase („25. Wort“)
Viele Wallets, darunter Ledger und Trezor, erlauben eine optionale Passphrase zusätzlich zur Seed Phrase. Jede andere Passphrase öffnet eine komplett andere Wallet. Sie schützt dich, falls jemand deine aufgeschriebene Phrase findet, und laut Trezor vereitelt sie den physischen Extraktionsangriff, den die Kraken Security Labs im Januar 2020 an älteren Geräten gezeigt haben (The Block, Jan. 2020).
- Vorteil: Eine gefundene Seed Phrase allein ist nutzlos.
- Nachteil: Vergisst du die Passphrase, ist das Guthaben weg. Niemand kann sie zurücksetzen.
- Bewahre die Passphrase getrennt von der Seed Phrase auf und teste die Wiederherstellung zuerst mit einem kleinen Betrag.
So bewahrst du eine Seed Phrase auf
| Methode | Bewertung |
|---|---|
| Papier, handschriftlich, privat aufbewahrt | Guter Anfang; vor Wasser und Feuer schützen |
| Metallplatte oder gestanzter Stahl | Am besten für langfristige Bestände; übersteht Feuer und Hochwasser |
| Zwei Kopien an verschiedenen sicheren Orten | Gut gegen Verlust; jede Kopie ist ein weiterer Ort, an dem sie gefunden werden kann |
| Foto, Screenshot, Cloud-Notizen, E-Mail, Chat | Vermeiden: Malware und Account-Übernahmen zielen genau darauf |
| Passwort-Manager | Bei nennenswerten Beträgen vermeiden; Online-Tresore wurden schon gestohlen und geknackt |
| In zwei Hälften teilen | Vermeiden: Das schwächt die Sicherheit; nutze stattdessen eine Passphrase, SLIP-39-Shares oder Multisig |
Bei größeren Summen solltest du den Single Point of Failure ganz beseitigen: Trezors Multi-Share-Backup (SLIP-39), ein Multisig-Smart-Account wie Safe oder ein Erbschaftsplan, der einer Vertrauensperson verrät, wo das Backup liegt, ohne ihr heute schon die Wörter zu geben.
Betrugsmaschen, die es auf deine Seed Phrase abgesehen haben
- Falscher Support. Accounts auf X, Telegram und Discord antworten auf Beschwerden und schicken dich zu einem „Validierungs“-Formular.
- Briefe und E-Mails. Echte Briefe mit gefälschtem Ledger- und Trezor-Briefkopf forderten eine „verpflichtende“ Prüfung per QR-Code (The Block, Apr. 2025; BleepingComputer, Feb. 2026). Im September 2026 verschickten Angreifer, die Trezors E-Mail-Dienstleister Brevo kompromittiert hatten, Phishing von Trezors echter Support-Adresse; Trezor nahm die Seite innerhalb von etwa 20 Minuten vom Netz (BleepingComputer, Sep. 2026).
- Fake-Apps. Gefälschte Ledger-Live-Apps im Microsoft Store (rund 768.000 $, Okt. 2023) und im Mac App Store (rund 9,5 Mio. $, Apr. 2026) forderten Nutzer auf, mit ihrer Phrase „wiederherzustellen“. Siehe gefälschte Wallet-Apps.
- Manipulierte Geräte. Vorausgefüllte Recovery-Karten in der Verpackung oder Geräte von inoffiziellen Händlern. Eine echte Wallet erzeugt immer eine neue Phrase für dich.
- Foto-scannende Malware. SparkCat nutzte Texterkennung auf dem Gerät, um Fotos von Wiederherstellungsphrasen zu finden (The Hacker News, Feb. 2025).
Die Regel: Der einzige Ort, an dem du deine Seed Phrase jemals eintippen solltest, ist die Wallet selbst bei einer Wiederherstellung, die du selbst gestartet hast, idealerweise auf einer Hardware Wallet. Niemand Seriöses wird jemals danach fragen. Glaubst du, dass sie gesehen wurde, erstelle sofort eine neue Wallet und zieh alles um.
Häufig gestellte Fragen
Ist eine Seed Phrase mit 12 Wörtern sicher genug?
Ja, wenn sie von einer seriösen Wallet zufällig erzeugt wurde. Eine 12-Wort-Phrase nach BIP39 hat 128 Bit Sicherheit, was Trezor als extrem sicher bezeichnet. Die echten Risiken sind Diebstahl und Verlust, nicht Erraten.
Was ist der Unterschied zwischen Seed Phrase und Private Key?
Ein Private Key kontrolliert eine Adresse. Eine Seed Phrase erzeugt viele Private Keys über viele Netzwerke hinweg und sichert damit die ganze Wallet.
Kann ich eine Wallet ohne Seed Phrase wiederherstellen?
Nur wenn die Wallet eine andere Wiederherstellungsmethode nutzt, etwa MPC-Shares, Backup-Karten oder einen Smart Account. Bei einer normalen Seed-Phrase-Wallet nicht: Niemand kann sie zurücksetzen.
Sollte ich eine BIP39-Passphrase nutzen?
Sie bietet starken Schutz, falls jemand deine aufgeschriebene Phrase findet. Vergisst du sie aber, ist dein Guthaben verloren. Nutze sie nur, wenn du sie zuverlässig und getrennt sichern kannst.
Was tun, wenn ich meine Seed Phrase auf einer Website eingegeben habe?
Geh davon aus, dass sie kompromittiert ist. Erstelle auf einem sauberen Gerät eine brandneue Wallet mit neuer Phrase und verschiebe sofort dein gesamtes Guthaben, angefangen mit dem Wertvollsten.
Kann ich meine Seed Phrase in einem Bankschließfach aufbewahren?
Viele machen das. Es schützt vor Feuer und Einbruch zu Hause, aber bedenke Zugangsverzögerungen und wer es sonst öffnen könnte, und bewahre eine zweite Kopie woanders auf.