Seed Phrase erklärt: Backup, Risiko und Wiederherstellung

Was eine Seed Phrase wirklich ist

Deine Bitcoin liegen nicht in der Wallet. Sie sind Einträge in der Bitcoin-Blockchain, und die Wallet ist das Werkzeug, mit dem du beweist, dass du über bestimmte Einträge verfügen darfst. Dieser Beweis läuft über private Schlüssel. Wie eine Wallet damit umgeht, steht kompakt im Überblick zu den Wallet-Grundlagen.

Moderne Wallets erzeugen diese Schlüssel nicht einzeln und zufällig, sondern leiten sie alle aus einem einzigen Startwert ab. Das Verfahren heißt hierarchisch deterministische Wallet und ist in BIP-32 beschrieben: Aus einem Seed entsteht ein ganzer Baum von Schlüsselpaaren. Deterministisch heißt, dass derselbe Startwert immer wieder exakt dieselben Schlüssel ergibt, auf jedem Gerät und zu jeder Zeit.

Die Seed Phrase ist die menschenlesbare Form dieses Startwerts. BIP-39 beschreibt sie als mnemonischen Code, also als Wortfolge, die sich leichter aufschreiben und vorlesen lässt als eine lange Zahlenkette. Genau deshalb sind es Wörter und nicht 64 Zeichen aus Ziffern und Buchstaben.

Woher die 12 oder 24 Wörter kommen

Am Anfang steht Zufall, nicht Sprache. Die Wallet erzeugt eine Zufallszahl, nach dem Standard zwischen 128 und 256 Bit lang. Erst daraus wird die Wortfolge gebildet, nicht umgekehrt. Deshalb ist eine selbst ausgedachte Wortfolge keine Seed Phrase, sondern nur ein schlecht gewähltes Passwort.

Der Weg von der Zahl zu den Wörtern hat drei Schritte. An die Zufallszahl wird eine kurze Prüfsumme angehängt, die aus ihrem SHA256-Hashwert stammt. Das Ergebnis wird in Blöcke zu elf Bit zerlegt. Jeder Block ergibt eine Zahl zwischen 0 und 2047 und zeigt damit auf genau ein Wort aus einer festen Liste mit 2048 Einträgen.

• Die englische Liste ist sortiert und so gebaut, dass bereits die ersten vier Buchstaben ein Wort eindeutig bestimmen. Deshalb vervollständigen viele Wallets beim Tippen.
• Ähnliche Wortpaare wurden bewusst vermieden, damit sich Wörter beim Abschreiben seltener verwechseln lassen.
• Die Reihenfolge ist Teil der Information. Dieselben Wörter in anderer Reihenfolge ergeben eine andere Wallet.

Die Prüfsumme ist auch der Grund, warum eine Wallet einen Tippfehler häufig sofort meldet, statt kommentarlos eine fremde, leere Wallet zu öffnen. Verlassen sollte man sich darauf trotzdem nicht: Die Prüfung ist knapp bemessen und erkennt nicht jeden Fehler.

12 oder 24 Wörter: der praktische Unterschied

Die Wortanzahl folgt direkt aus der Länge der Zufallszahl: 128 Bit plus vier Bit Prüfsumme ergeben 12 Wörter, 256 Bit plus acht Bit Prüfsumme ergeben 24. Der Standard kennt auch 15, 18 und 21 Wörter, in der Praxis begegnen dir fast nur die beiden Enden.

Rechnerisch ist die längere Variante die stärkere. Praktisch ändert das wenig, denn schon 128 Bit ergeben einen Zahlenraum, der sich nach heutigem Stand der Technik nicht durchprobieren lässt. Die Schwachstelle liegt damit weniger bei der Rechenkraft als beim Umgang mit dem Zettel: verlegt, unleserlich, wasserbeschädigt, beim Umzug verschwunden oder von der falschen Person gesehen.

Was bei einer Wiederherstellung passiert

Wiederherstellen heißt nicht herunterladen. Wenn du deine Wörter in eine neue Wallet eingibst, läuft im Hintergrund diese Kette ab:

• Die Wallet prüft die Prüfsumme und meldet, wenn die Wortfolge so nicht stimmen kann.
• Aus der Wortfolge berechnet sie den eigentlichen Seed, eine 512 Bit lange Zahl.
• Aus diesem Seed leitet sie den Schlüsselbaum ab und daraus deine Adressen.
• Erst danach fragt sie das Netzwerk, welche Beträge auf diesen Adressen liegen.

Dein Guthaben kommt also nicht aus dem Backup, sondern aus der Blockchain. Das Backup liefert nur die Schlüssel, mit denen die Wallet weiß, wonach sie suchen soll. Genau deshalb funktioniert eine Wiederherstellung auch dann noch, wenn das alte Gerät zerstört, verkauft oder zurückgesetzt wurde.

Die Kehrseite benennt die österreichische Finanzmarktaufsicht klar: Wer Kryptowerte selbst verwahrt, behält die volle Kontrolle über seine Bestände, trägt aber auch die gesamte Verantwortung für die Zugangsdaten. Gehen sie verloren oder geraten sie in falsche Hände, lässt sich der Zugriff in der Regel nicht wiederherstellen. Wer das nicht tragen möchte, kann die Verwahrung einem regulierten Anbieter überlassen, für den seit der EU-Verordnung MiCAR festgelegte Anforderungen an Sicherheit und Organisation gelten. Selbstverwahrung ist eine bewusste Entscheidung und kein Automatismus.

Für viele wird die Seed Phrase genau dann zum ersten Mal wichtig, wenn die ersten Bitcoin von einer Börse auf die eigene Wallet wandern. Wie der Kauf davor abläuft, steht im Leitfaden Bitcoin kaufen in Österreich.

Wenn die Wallet trotz richtiger Wörter null zeigt

Das ist ein Moment, der erschreckt: Die Wörter werden angenommen, die Wallet öffnet sich, und der Kontostand steht auf null. Häufig ist dabei nichts verloren, sondern die Wallet sucht an einer anderen Stelle im Schlüsselbaum. Drei Ursachen kommen dafür besonders häufig infrage.

Der Grund liegt jedes Mal darin, dass die Wallet einen anderen Schlüsselbaum durchsucht als den, in dem deine Adressen liegen. Beim Ableitungspfad ist es dieselbe Wurzel an einer anderen Position, bei einer Passphrase und bei einer anderen Sprachliste entsteht sogar ein anderer Seed und damit ein völlig anderer Baum. Für die verbreiteten Adressen, die mit bc1q beginnen, ist die Position nach BIP-84 der Pfad m/84'/0'/0'. Dass eine Wallet mit einem anderen Pfad diese Konten gar nicht entdeckt, nennt die Spezifikation ausdrücklich als beabsichtigtes Verhalten.

Der ruhige erste Schritt ist deshalb nicht, die Wörter erneut einzutippen, sondern sich zu erinnern, mit welcher Wallet das Backup ursprünglich erstellt wurde. Diese eine Information beantwortet in den meisten Fällen schon, welcher der drei Fälle zutrifft.

Was die Seed Phrase nicht leistet

Drei Erwartungen an das Backup gehen regelmäßig zu weit.

• Sie korrigiert keine Fehler. Die Prüfsumme ist kurz. Die Spezifikation hält selbst fest, dass etwa einer von 256 zufälligen Fehlern unentdeckt bleibt und dass sie beim Korrigieren ausdrücklich nicht hilft. Ein falsch abgeschriebenes Wort kann also durchrutschen.
• Sie ersetzt kein zweites Backup. Ein einziger Zettel an einem einzigen Ort ist ein einzelner Ausfallpunkt, gegen Feuer, Wasser und Umzug gleichermaßen.
• Sie schützt nicht davor, gelesen zu werden. Wer die Wörter sieht, kann die Wallet auf dem eigenen Gerät nachbauen. Niemand braucht deine Seed Phrase, um dir Bitcoin zu senden. Wer danach fragt, sollte als Risiko behandelt werden, unabhängig davon, wie seriös die Anfrage wirkt.

Drei Dinge, die neben die Wörter gehören

Viele Anleitungen enden bei den Wörtern. In der Praxis scheitert eine Wiederherstellung aber selten an der Wortfolge selbst, sondern am fehlenden Kontext darum herum. Diese drei Angaben entscheiden im Ernstfall darüber, ob aus einem Backup wieder eine funktionierende Wallet wird.

Diese drei Angaben verraten für sich genommen nichts über deine Bestände und dürfen deshalb getrennt von den Wörtern liegen. Sie kosten fünf Minuten und ersparen im Ernstfall die Frage, ob das Geld weg ist oder nur der Pfad nicht stimmt.