Mehrfachsignaturen, kurz Multisig, gelten neben der optionalen Passphrase als eine der besten Möglichkeiten, die Sicherheit von Bitcoin zu erhöhen. Doch Multisig hat versteckte Fallen. Wer die Grundregeln missachtet, gewinnt selbst mit mehreren teuren Hardware-Wallets kaum Sicherheit – und wiegt sich womöglich in falscher Sicherheit.
Dieser Beitrag setzt voraus, dass du weisst, was Multisig ist. Die Grundlagen erkläre ich in Multisig und Mnemonic Split. Hier geht es um die Fehler, die selbst erfahrenen Nutzerinnen und Nutzern passieren.
Warum Multisig?
Bei einer Multisig-Wallet braucht es mehrere Schlüssel, um eine Überweisung zu unterschreiben, zum Beispiel zwei von drei. Das bringt zweierlei:
- Schutz vor Diebstahl: Ein Dieb, der einen einzelnen Schlüssel erbeutet, kann damit nichts anfangen.
- Schutz vor Verlust: Geht ein Schlüssel verloren, sind die Bitcoin nicht weg, denn zwei der drei genügen.
Multisig wird auch für anderes genutzt, etwa im Lightning-Netzwerk. Hier geht es aber um die Sicherheit für normale Nutzerinnen und Nutzer. Die Inhaber der einzelnen Schlüssel nennt man Mitunterzeichner (englisch Cosigner).
Falle 1: Der gefährliche Mix
Drei Hardware-Wallets sind teuer. Da liegt die Idee nahe, zwei Hardware-Wallets mit einer Handy- oder Computer-Wallet als drittem Mitunterzeichner zu kombinieren. Das klingt harmlos: Eine Unterschrift von der Software allein kann ja keine Bitcoin bewegen.
Doch das greift zu kurz. Software auf Handy oder Computer gilt als nicht vertrauenswürdig, weil sie unbemerkt manipuliert sein kann – sonst bräuchte man gar kein Hardware-Wallet. Dieses Misstrauen muss auch für einen Software-Mitunterzeichner gelten.
Das Problem liegt bei der Entstehung der Adressen. Eine Multisig-Adresse wird aus den öffentlichen Schlüsseln aller Mitunterzeichner berechnet. Eine manipulierte Software kann beim Einrichten einen falschen öffentlichen Schlüssel unterschieben. Die Hardware-Wallets müssen die Schlüssel der anderen übernehmen, ohne sie selbst überprüfen zu können. Die Folge: Deine Bitcoin landen auf Adressen einer Wallet, auf die du keinen vollen Zugriff hast. Ein Angreifer könnte dann Lösegeld dafür verlangen, die fehlende Unterschrift zu liefern.
Ein mögliches Szenario: Du richtest eine 2-von-3-Wallet mit zwei Hardware-Wallets und einer Computer-Wallet ein. Ohne dass du es merkst, hat Schadsoftware auf deinem Computer beim Einrichten statt deines dritten öffentlichen Schlüssels einen Schlüssel des Angreifers eingesetzt. Alles scheint zu funktionieren, du zahlst Monat für Monat ein. Eines Tages möchtest du Bitcoin ausgeben und stellst fest: Deine beiden Hardware-Wallets allein genügen nicht, weil die Adressen in Wahrheit zu einer anderen Wallet gehören. Der Angreifer meldet sich und verlangt einen Teil deiner Bitcoin für seine Unterschrift.
Solche Angriffe wirken weit hergeholt. Aber genau gegen solche ausgeklügelten Angriffe ist Multisig ja gedacht – gegen alles andere genügt ein einzelnes Hardware-Wallet. Daraus folgt eine Grundregel: Eine Multisig-Wallet ist nur so sicher wie ihr schwächster Mitunterzeichner. Alle Mitunterzeichner sollten ein ähnlich hohes Sicherheitsniveau haben. Hot und Cold Wallets zu mischen, widerspricht dem Zweck.
Falle 2: Unvollständige Sicherungen
Die naheliegende Annahme bei einer 2-von-3-Wallet: Es gibt drei Sicherungen, und zwei davon genügen zur Wiederherstellung. Das stimmt nur halb.
Zum Unterschreiben reichen zwei Schlüssel. Um aber überhaupt zu wissen, auf welchen Adressen deine Bitcoin liegen, muss die Wallet die Adressen neu berechnen – und dafür braucht sie die öffentlichen Schlüssel aller drei Mitunterzeichner. Wer nur zwei Sicherungswort-Listen hat, kann zwar unterschreiben, findet aber seine Bitcoin nicht.
Ein Beispiel: Du hast drei Hardware-Wallets eingerichtet und von jedem nur die Sicherungswörter notiert. Jahre später geht eines der Geräte samt seiner Sicherung bei einem Wasserschaden verloren. Du stellst die beiden anderen aus ihren Wörtern wieder her – und die Wallet zeigt dir keinen einzigen Bitcoin an. Denn ohne den öffentlichen Schlüssel des dritten Geräts lassen sich die Adressen nicht berechnen, und ohne Adressen findet die Software die Bitcoin nicht. Sie sind noch da, aber du kommst nicht mehr heran.
Darum: Jede Sicherung sollte zusätzlich die erweiterten öffentlichen Schlüssel (xpubs) aller Mitunterzeichner enthalten – oder zumindest die der jeweils anderen. Was ein xpub ist, erkläre ich gleich. Mehr zur Gestaltung solcher Sicherungen in Multisig und Mnemonic Split.
Falle 3: Die Prüfung der Adressen
Die Sicherheit jeder Wallet steht und fällt mit der Prüfung der Empfangsadressen. Hardware-Wallets ohne eigenen Bildschirm bringen deshalb wenig: Was Computer oder Handy anzeigen, kann manipuliert sein. Bei Multisig reicht aber selbst der Bildschirm eines Hardware-Wallets nicht automatisch, denn die Schlüssel der anderen Mitunterzeichner erhält es über die Software.
Das xpub-Problem
Ein erweiterter öffentlicher Schlüssel, kurz xpub, ist eine Art Generalschlüssel für alle öffentlichen Schlüssel und Adressen eines Kontos. Bewegen kann man damit keine Bitcoin, aber man sieht alle Adressen und Bestände. Bei Multisig müssen die Mitunterzeichner ihre xpubs austauschen. Hardware-Wallets können aber nicht direkt miteinander sprechen. Die Software auf dem Computer überbringt die xpubs – und könnte sie dabei verändern. Das musst du bemerken.
So prüfst du richtig:
- Lass dir auf jedem Hardware-Wallet dessen eigenen xpub anzeigen und ordne jedem Mitunterzeichner den richtigen xpub zu.
- Vergleiche auf dem Gerät, mit dem du Adressen erzeugst, die xpubs der anderen Mitunterzeichner. Stimmen sie mit dem überein, was die anderen Geräte anzeigen, wurden sie korrekt übermittelt.
- Erst danach darfst du der Adresse vertrauen, die dieses Gerät anzeigt.
Im schlimmsten Fall tauscht eine manipulierte Software zwei der drei Schlüssel aus und kontrolliert damit die Adressen vollständig. Die Multisig-Wallet wäre dann nicht sicherer als eine einfache Handy-Wallet. Das Vertrauen in die Adressen hängt also von jedem einzelnen Mitunterzeichner und von der sicheren Übermittlung zwischen ihnen ab.
Weitere Stolperfallen
- Die Konfigurationsdatei verlieren: Viele Multisig-Wallets speichern die ganze Einrichtung – alle xpubs, das Schema und die Ableitungspfade – in einer sogenannten Descriptor-Datei. Wer diese Datei sichert, kann die Wallet später viel einfacher wiederherstellen. Bewahre sie zusammen mit den Sicherungen auf, aber bedenke: Wer sie findet, sieht – wie bei den xpubs – deinen gesamten Bestand.
- Software ohne Zukunft: Nicht jede Wallet-Software unterstützt jede Multisig-Variante. Wähle verbreitete Standards und Software, die du auch in einigen Jahren noch findest. Notiere dir, mit welcher Software die Wallet erstellt wurde.
- Geräte, die altern: Hardware-Wallets gehen kaputt, werden nicht mehr unterstützt oder der Hersteller verschwindet. Bei Multisig hast du mehrere davon – plane also, wie du ein einzelnes Gerät ersetzen kannst, ohne die ganze Wallet neu aufzusetzen.
- Erben, die nichts verstehen: Für Angehörige ist eine Multisig-Wallet ohne Anleitung kaum zu bedienen. Hinterlege eine verständliche Beschreibung, welche Teile wo liegen und wie man sie zusammenführt.
Die richtigen Hardware-Wallets
Nicht jedes Hardware-Wallet eignet sich für Multisig. Manche zeigen die xpubs der anderen Mitunterzeichner gar nicht an. Und jede Adresse von Hand zu prüfen, ist im Alltag unpraktisch – irgendwann wird man nachlässig.
Die Lösung sind Geräte, bei denen man die Multisig-Einrichtung einmalig registriert. Danach kennt das Gerät alle Mitunterzeichner und prüft jede Adresse automatisch. Das gilt auch für Wechselgeld-Adressen, die wegen des UTXO-Modells ständig entstehen und sonst ebenfalls von Hand geprüft werden müssten. Die BitBox02, die ich empfehle, unterstützt diese Registrierung, ebenso etwa der Jade von Blockstream.
Checkliste
- Alle Mitunterzeichner sind Hardware-Wallets mit eigenem Bildschirm.
- Jeder xpub wurde auf dem zugehörigen Gerät geprüft und den anderen Geräten richtig zugeordnet.
- Die Multisig-Einrichtung ist auf jedem Gerät registriert.
- Jede Sicherung enthält neben den eigenen Sicherungswörtern die xpubs der anderen Mitunterzeichner, den Ableitungspfad und das Schema.
- Die Wiederherstellung aus zwei Sicherungen wurde mit einem kleinen Betrag erfolgreich ausprobiert.
- Eine Anleitung für den Notfall ist hinterlegt.
Fazit
Multisig ist für Einsteiger nicht unbedingt die beste erste Wahl. Viele Fallen sind nicht offensichtlich, und wer sie nicht kennt, fühlt sich sicherer, als er ist. Wer Multisig nutzt, sollte wachsam bleiben und seine Einrichtung regelmässig überprüfen – etwa einmal im Jahr eine Wiederherstellung durchspielen.
Einfachere Alternativen, die ebenfalls sorgfältige Einarbeitung verlangen, sind eine optionale Passphrase oder das Aufteilen der Sicherungswörter, beschrieben in Multisig und Mnemonic Split. Für die meisten genügt ein einzelnes Hardware-Wallet mit sauber gesicherten Wörtern vollkommen.