Eine Seed-Phrase – in der Regel zwölf oder vierundzwanzig Wörter, die bei der Ersteinrichtung eines Wallets erzeugt werden – ist der Generalschlüssel zu jedem Vermögenswert, den dieses Wallet jemals halten wird. Wer sie erlangt, kann Gelder dauerhaft, sofort und ohne Passwort, Gerät oder weitere Zustimmung des Eigentümers aus dem Wallet abziehen. Allein diese Tatsache erklärt, warum Seed-Phrase-Diebstahl Jahr für Jahr beständig zu den größten Kategorien von Kryptowährungsverlusten zählt.
Branchenforscher, die Wallet-Kompromittierungen verfolgen, berichten, dass Fehler bei der Zugriffskontrolle – also gestohlene Schlüssel und Phrasen statt gebrochener Blockchain-Kryptografie – 2025 für den Großteil der bei persönlichem Wallet-Diebstahl verlorenen Gelder verantwortlich waren. Die Blockchain selbst war nie die Schwachstelle. Die Schwachstelle war fast immer ein Mensch, der getäuscht, unter Druck gesetzt oder im Umgang mit zwölf oder vierundzwanzig Wörtern nachlässig wurde.
Warum die Seed-Phrase das eigentliche Ziel ist
Ein privater Schlüssel kontrolliert eine einzelne Wallet-Adresse. Eine Seed-Phrase hingegen ist die Wurzel, aus der jede Adresse und jeder private Schlüssel dieses Wallets mathematisch abgeleitet wird. Der Diebstahl der Seed-Phrase ist für einen Angreifer stets wertvoller als der Diebstahl eines einzelnen privaten Schlüssels, da er die gesamte Wallet-Struktur auf einmal übergibt – einschließlich Adressen, die der Eigentümer möglicherweise noch nicht einmal aktiv nutzt.
Das ist auch der Grund, warum kein seriöser Wallet-Anbieter, keine Börse, kein Kundensupport-Mitarbeiter und kein Wiederherstellungsdienst jemals danach fragen wird. Es gibt keinen Verifizierungsprozess, kein technisches Support-Ticket und keinen Kontowiederherstellungsablauf, der es rechtmäßig erfordert, dass ein Nutzer seine Wiederherstellungsphrase an jemand anderen weitergibt. Jede Aufforderung dazu, so offiziell sie auch klingen mag, ist das Signal, sofort abzubrechen.
Eine Seed-Phrase ist kein Passwort, das nach einer Kompromittierung zurückgesetzt werden kann. Sobald sie offengelegt ist, muss das Wallet als dauerhaft kompromittiert behandelt werden, selbst wenn noch keine Gelder bewegt wurden.
Die wichtigsten Wege, wie Seed-Phrasen tatsächlich gestohlen werden
Gefälschte Wallet-Apps und geklonte Websites
Eine der beständigsten Methoden ist eine gefälschte Wallet-Anwendung oder ein pixelgenauer Klon der Einrichtungsseite eines legitimen Wallets. Das Opfer glaubt, ein neues Wallet zu erstellen oder ein altes wiederherzustellen, gibt seine Seed-Phrase in ein scheinbar normales Wiederherstellungsfeld ein, und die Phrase wird unbemerkt an einen vom Angreifer kontrollierten Server übertragen. Gefälschte Apps sind bereits in offiziellen App-Stores unter Namen aufgetaucht, die echten Wallet-Marken stark ähneln, und geklonte Websites werden häufig über bezahlte Suchanzeigen oder kompromittierte Social-Media-Konten beworben, sodass sie neben oder sogar über dem echten Produkt erscheinen.
Malware zum Kapern von Zwischenablage und Formularen
Manche Schadsoftware wartet nicht darauf, dass ein Nutzer eine gefälschte Seite besucht. Sie sitzt still auf einem infizierten Gerät und beobachtet die Zwischenablage oder Eingabefelder auf alles, was einem Seed-Phrase-Muster ähnelt, und schleust es automatisch aus, sobald ein Wallet importiert oder wiederhergestellt wird. Diese Art von Schadsoftware ist häufig in raubkopierter Software, gefälschten Browser-Erweiterungen oder mit Trojanern versehenen Versionen legitimer Krypto-Tools versteckt, die außerhalb offizieller Quellen heruntergeladen wurden.
Vorbefüllte Hardware-Wallets
Eine noch trügerischere Variante zielt auf Hardware-Wallets ab, bevor sie überhaupt den Käufer erreichen. Ein Gerät kommt mit einer bereits auf einer beiliegenden Karte aufgedruckten Wiederherstellungsphrase an, mitunter mit offiziell wirkender Verpackung und Anweisungen, die nahelegen, einfach diese Phrase zum Einstieg zu verwenden. Ein legitimes Hardware-Wallet erzeugt seine Wiederherstellungsphrase stets selbst auf dem Bildschirm des Geräts während der Ersteinrichtung. Eine Phrase, die bereits vorgedruckt in der Verpackung ankommt, ist keine Abkürzung. Sie wurde bereits von demjenigen aufgezeichnet, der diese Phrase vorbereitet hat, und jegliche an dieses Wallet gesendeten Gelder sind für ihn ab der ersten Einzahlung sichtbar.
Social Engineering und gefälschter Support
Ein großer Teil des Seed-Phrase-Diebstahls kommt ganz ohne Schadsoftware aus. Es handelt sich um ein Gespräch. Ein Angreifer gibt sich als Wallet-Support, Vertreter einer Börse oder hilfsbereiter Fremder in einem Community-Kanal aus, führt das Opfer durch ein erfundenes technisches Problem und bittet es schließlich, seine Wiederherstellungsphrase laut vorzulesen oder in ein gemeinsam genutztes Support-Tool einzugeben, um sein Konto zu verifizieren. Mehr darüber, wie solche Gespräche typischerweise aufgebaut sind, erfahren Sie in unserem Leitfaden wie Phishing tatsächlich Kryptowährung stiehlt.
Physische Nötigung
Eine kleinere, aber zunehmend dokumentierte Kategorie umfasst unmittelbare physische Bedrohung. Da Käufe von Hardware-Wallets mit einer Lieferadresse verknüpft sein können und einige Nutzer öffentlich dafür bekannt sind, erhebliche Krypto-Bestände zu halten, häufen sich Fälle, in denen jemand zu Hause aufgesucht und unter Androhung von Gewalt gezwungen wird, ein Gerät und dessen Wiederherstellungsphrase herauszugeben. Dieses Risiko ist einer der Gründe, warum Sicherheitsforscher inzwischen davon abraten, Krypto-Bestände öffentlich zu machen oder eine schriftliche Seed-Phrase an einem Ort aufzubewahren, den ein Eindringling bei einem Einbruch sofort finden würde.
Bösartige QR-Codes und gefälschte NFC-Tags
Eine neuere Variante des Hardware-Wallet-Betrugs ersetzt die vorgedruckte Karte durch einen QR-Code oder einen NFC-Aufkleber, der an der Verpackung, einer Beilage oder einem Ladentheken-Display an einem scheinbar seriösen Verkaufsstand angebracht ist. Das Scannen des Codes oder Antippen des Tags öffnet eine scheinbar offizielle Einrichtungsseite der Wallet-Marke, die den Käufer dann auffordert, entweder über die betrügerische Seite eine neue Phrase zu erzeugen oder eine bestehende einzugeben, um das Gerät zu verknüpfen. Da der Code physisch an einer echten, ungeöffneten Verpackung angebracht ist, gehen Opfer häufig davon aus, dass es sich um einen authentischen Bestandteil des Einrichtungsprozesses des Herstellers handeln muss. Ein legitimes Hardware-Wallet verweist einen neuen Besitzer niemals auf eine externe Website, um eine Wiederherstellungsphrase zu erzeugen oder einzugeben. Dieser Schritt findet stets auf dem Bildschirm des Geräts selbst statt, ohne dass an irgendeiner Stelle ein QR-Code, Aufkleber oder Link beteiligt ist.
Schritt für Schritt: Wie eine gefälschte Wiederherstellungsseite eine Phrase stiehlt
Die einzelnen oben beschriebenen Techniken zu verstehen ist hilfreich, doch erst der Blick darauf, wie sie sich in einem einzelnen Vorfall typischerweise verbinden, macht die Gefahr greifbar. Ein gefälschter Wallet-Wiederherstellungsbetrug folgt üblicherweise einer vorhersehbaren Abfolge – vom ersten Klick bis zu dem Moment, in dem die Gelder verschwinden.
- Das Opfer sucht nach einer Wallet-App oder gibt einen Wallet-Markennamen in eine Suchmaschine ein und klickt auf eine bezahlte Anzeige oder ein bestgeplatztes Ergebnis, das in Wirklichkeit eine geklonte Seite ist, häufig von einer Domain, die sich von der echten nur um ein einziges Zeichen oder ein zusätzliches Wort wie „app" oder „wallet-support" unterscheidet.
- Die geklonte Seite präsentiert eine optisch mit dem echten Onboarding-Ablauf des Wallets identische Oberfläche und bietet üblicherweise sowohl die Option „Neues Wallet erstellen" als auch „Bestehendes Wallet wiederherstellen" an – genau wie das echte Produkt.
- Ein Nutzer, der bereits ein Wallet besitzt, wählt „Wiederherstellen" und gibt seine bestehende Seed-Phrase in ein Textfeld ein, in dem Glauben, lediglich die bereits genutzte App auf einem neuen Gerät oder nach einem Update neu zu installieren.
- Die Phrase wird in dem Moment, in dem das Formular abgeschickt wird, an einen vom Angreifer kontrollierten Server übertragen – oft noch bevor die Seite überhaupt eine gefälschte Bestätigungsanzeige „Wallet erfolgreich wiederhergestellt" vollständig geladen hat, die dazu dient, Verdacht hinauszuzögern.
- Automatisierte Überwachungsskripte, die an die Infrastruktur des Angreifers gekoppelt sind, prüfen die neu erlangte Phrase innerhalb von Sekunden gegen bekannte Blockchains, und sämtliche gefundenen Gelder werden abgezogen – häufig, bevor das Opfer den Browser-Tab überhaupt geschlossen hat.
Der gesamte Ablauf – vom ersten Klick auf ein Suchergebnis bis zum Abfluss der Gelder aus dem Wallet – kann weniger als eine Minute dauern. Genau diese Geschwindigkeit ist der Grund, warum Prävention bei dieser spezifischen Bedrohung so viel schwerer wiegt als Reaktion. Zwischen der Eingabe der Phrase und dem Verlust der Gelder liegt in der Regel kein Zeitfenster, das groß genug wäre, um ein Warnsignal zu bemerken und darauf zu reagieren – anders als bei vielen anderen Formen von Kryptobetrug, bei denen ein Opfer Stunden oder Tage Zeit hat, es sich anders zu überlegen, bevor etwas gesendet wird.
Was das Risiko tatsächlich verringert
- Geben Sie niemals eine Seed-Phrase in eine Website, App, ein Chatfenster oder ein Support-Formular ein, unabhängig davon, wie offiziell es wirkt oder wie dringend die Anfrage erscheint.
- Kaufen Sie Hardware-Wallets ausschließlich direkt beim Hersteller oder einem autorisierten Händler, und erzeugen Sie bei der Einrichtung stets eine neue Phrase auf dem Gerät selbst.
- Bewahren Sie eine schriftliche Phrase offline auf, aufgeteilt auf separate sichere Orte, wenn der gehaltene Betrag dies rechtfertigt, und fotografieren oder tippen Sie sie niemals in ein mit dem Internet verbundenes Gerät ein.
- Begegnen Sie jeder unaufgeforderten Kontaktaufnahme, die vorgibt, Wallet- oder Börsen-Support zu sein, grundsätzlich mit Misstrauen, insbesondere wenn dabei verlangt wird, etwas mithilfe Ihrer Wiederherstellungsphrase zu verifizieren.
- Erwägen Sie die Nutzung einer passphrase-geschützten versteckten Wallet-Funktion, die von mehreren großen Hardware-Wallets unterstützt wird und ein deutlich schwierigeres Ziel schafft, selbst wenn die Basisphrase offengelegt wird.
Wurde eine Phrase bereits offengelegt – sei es durch einen Fehler, Schadsoftware oder Nötigung –, besteht die einzig verlässliche Reaktion darin, sämtliche Vermögenswerte aus diesem Wallet in ein brandneues Wallet mit einer frisch erzeugten Phrase zu verschieben, erstellt auf einem sauberen, vertrauenswürdigen Gerät. Es gibt keine Möglichkeit, eine Offenlegung selektiv rückgängig zu machen, so wie man ein Passwort zurücksetzen kann. Weiterführende Hinweise zu den Folgen einer Kompromittierung finden Sie in unserem Artikel was nach einem Krypto-Wallet-Hack geschieht.
Wie sich dies von der Offenlegung eines privaten Schlüssels unterscheidet
Es lohnt sich, Seed-Phrase-Diebstahl vom Diebstahl eines einzelnen privaten Schlüssels oder einer signierten Freigabe zu unterscheiden – einem verwandten, aber enger gefassten Problem. Ein gestohlener privater Schlüssel kompromittiert eine Adresse. Eine gestohlene Seed-Phrase kompromittiert den gesamten dahinterliegenden Wallet-Baum. Leser, die einen vermuteten Diebstahl eines einzelnen Schlüssels behandeln, statt einer vollständigen Offenlegung der Phrase, finden in unserem Leitfaden Warnzeichen für den Diebstahl eines privaten Schlüssels möglicherweise relevantere Informationen, da sich die Warnzeichen und Reaktionsschritte leicht unterscheiden.
Die Auswirkungen einer einzelnen offengelegten Phrase verringern
Passphrase-geschützte versteckte Wallets
Viele Hardware-Wallets unterstützen eine optionale Passphrase, manchmal als fünfundzwanzigstes Wort bezeichnet, die sich mit der Standard-Seed-Phrase kombiniert, um ein völlig separates verstecktes Wallet abzuleiten. Wer nur die Basisphrase erlangt, ohne auch die Passphrase zu kennen, erreicht bestenfalls ein Lockvogel-Wallet und nicht die tatsächlich im versteckten Wallet gehaltenen Gelder. Dies eliminiert das Risiko nicht vollständig, da eine zusammen mit der Phrase notierte Passphrase den Zweck vollständig zunichtemacht, doch eine getrennt memorierte und nirgendwo aufgezeichnete Passphrase bleibt auch dann wirksam, wenn die Basisphrase bereits offengelegt wurde – eine seltene Eigenschaft unter Wallet-Schutzmaßnahmen.
Multisignatur-Wallets
Ein Multisignatur- oder Multisig-Wallet erfordert Signaturen von mehr als einem unabhängigen Schlüssel, bevor eine Transaktion übermittelt werden kann, üblicherweise konfiguriert als zwei von drei oder drei von fünf. Da die Schlüssel in der Regel auf separaten Geräten, an separaten Orten oder sogar bei separaten Personen erzeugt und aufbewahrt werden, reicht eine einzelne gestohlene Seed-Phrase allein nicht mehr aus, um Gelder zu bewegen. Multisig-Konfigurationen bringen echte operative Komplexität mit sich und sind in der Regel größeren Beständen, Unternehmens-Treasuries oder langfristigem Sparen vorbehalten statt einem alltäglichen Ausgaben-Wallet, doch bei Beträgen, bei denen der zusätzliche Aufwand gerechtfertigt ist, beseitigen sie den einzelnen Ausfallpunkt, der gewöhnlichen Seed-Phrase-Diebstahl so verheerend macht.
Shamir-Backups
Ein alternativer Ansatz, den einige Hardware-Wallet-Modelle unterstützen, teilt einen einzelnen Seed mithilfe von Shamir Secret Sharing in mehrere separate Anteile auf, sodass eine Mindestanzahl an Anteilen – zum Beispiel drei von fünf – kombiniert werden muss, um den ursprünglichen Seed zu rekonstruieren. Einzelne, an unterschiedlichen Orten aufbewahrte Anteile sind für sich genommen jeweils nutzlos, was sowohl vor dem Diebstahl eines einzelnen Anteils als auch vor dem Verlust eines einzelnen Aufbewahrungsorts schützt – auf Kosten eines aufwendigeren Sicherungs- und Wiederherstellungsprozesses als bei einer einzelnen schriftlichen Phrase.
Unternehmen, die Kryptowährungsdiebstahl untersuchen, darunter Coin Trace, sind gelegentlich in der Lage, nachzuverfolgen, wohin gestohlene Gelder nach einer Kompromittierung der Seed-Phrase geflossen sind, und einen Wiederbeschaffungsversuch zu unterstützen, sofern ein realistischer Weg besteht – wobei kein seriöser Ermittler garantieren kann, dass gestohlene Gelder zurückerstattet werden. Das realistisch beste Ergebnis beginnt damit, die Offenlegung von vornherein zu verhindern.
Häufig gestellte Fragen
Das kann sie, aber nur, wenn die Passphrase selbst memoriert und niemals zusammen mit der Basisphrase aufgeschrieben oder aufbewahrt wurde. Eine Passphrase, die im selben Notizbuch oder derselben Datei wie die Seed-Phrase aufbewahrt wird, bietet keinen echten Schutz, da jeder, der eine findet, in der Regel auch die andere findet.
Ja. Das Wallet selbst muss keinen Kontakt zum Internet haben, damit die Phrase gestohlen wird. Physischer Diebstahl, Nötigung, ein kompromittiertes Foto-Backup oder eine zu irgendeinem Zeitpunkt in ein internetverbundenes Gerät eingegebene Phrase sind allesamt gängige Wege, selbst bei einem ansonsten gut gesicherten Cold-Wallet.
Die meisten Sicherheitsforscher raten davon ab, da ein Passwort-Manager-Konto selbst einen einzelnen Ausfallpunkt darstellt, der durch Phishing oder einen Einbruch kompromittiert werden kann, wodurch die Phrase zusammen mit allem anderen im Tresor offengelegt wird. Eine physisch aufbewahrte, offline gespeicherte Kopie gilt für diesen spezifischen Zweck allgemein als sicherer.
Behandeln Sie dieses Wallet sofort als vollständig kompromittiert. Verschieben Sie verbleibende Vermögenswerte so schnell wie möglich in ein neues Wallet mit einer frisch erzeugten Phrase auf einem sauberen Gerät, da automatisierte Skripte offengelegte Wallets häufig innerhalb weniger Minuten leeren.
Sie verringern die Online-Gefährdung erheblich, beseitigen das Risiko jedoch nicht vollständig. Die Wiederherstellungsphrase selbst existiert weiterhin irgendwo auf Papier oder Metall, und vorbefüllte Geräte, gefälschte Händlerangebote und physische Nötigung umgehen die Hardware-Schutzmaßnahmen allesamt vollständig.
Quellen und weiterführende Informationen
- 2026 Crypto Crime Report · TRM Labs
- Seed phrase leaks and front-end hacks fuel major crypto losses in 2025 · Cryptopolitan
- What To Know About Cryptocurrency and Scams · Federal Trade Commission