Multisig und Mnemonic Split – Sicherheit für Fortgeschrittene

Vorweg: Multisig ist nicht für alle geeignet und bringt eigene Risiken mit sich. Ein einzelnes Hardware-Wallet mit sicher aufbewahrten Sicherungswörtern bietet bereits einen sehr guten Schutz. Dieser Beitrag richtet sich an alle, die einen Schritt weiter gehen wollen.

Sicherungswörter aufteilen

Das Ziel: Die Sicherung deiner Wallet so auf mehrere Orte verteilen, dass ein Dieb, der einen davon findet – etwa bei einem Einbruch –, nichts damit anfangen kann.

Die naheliegende Idee ist, die 24 Wörter einfach zu halbieren und an zwei Orten aufzubewahren. Das hat einen Haken: Geht eine Hälfte verloren, ist alles weg. Man müsste jede Hälfte doppelt aufbewahren und hätte dann vier Teile an vier Orten. Besser ist eine Aufteilung, bei der zwei von drei Teilen genügen.

Die 2-von-3-Aufteilung

Dafür werden die 24 Wörter so auf drei Zettel verteilt, dass jeder Zettel 16 Wörter enthält und 8 fehlen – und zwar bei jedem Zettel andere. Je zwei Zettel ergeben zusammen alle 24 Wörter. Ein Beispiel:

So gehst du praktisch vor: Schreib die 24 Wörter mit ihrer Nummer auf drei Karten, sodass auf jeder Karte die Positionen fehlen, die in der Tabelle als «fehlen» markiert sind. Die Nummern sind wichtig, sonst lassen sich die Teile nicht richtig zusammensetzen. Kennzeichne jede Karte zudem mit A, B oder C, damit du später weisst, welche Teile du hast.

Wo bewahrt man die drei Karten auf? Bewährt haben sich getrennte, voneinander unabhängige Orte: zum Beispiel ein Versteck zu Hause, ein Bankschliessfach und eine vertrauenswürdige Person in der Familie oder ein Tresor am Arbeitsplatz. Wichtig ist, dass ein einzelnes Ereignis – ein Brand, ein Einbruch, ein Umzug – nie zwei Orte gleichzeitig trifft.

Wie sicher ist das? Ein Dieb, der einen Zettel findet, kennt 16 von 24 Wörtern. Die fehlenden 8 Wörter entsprechen rund 80 Bit Zufall – er müsste also etwa 2⁸⁰ Möglichkeiten durchprobieren. Zum Vergleich: Alle 24 Wörter entsprechen 256 Bit. Gegen Gelegenheitsdiebe genügt das gut, für die Ewigkeit ist es nicht gedacht, weil Rechenleistung mit den Jahren günstiger wird. Es ist aber weit besser, als alle 24 Wörter an einem einzigen Ort aufzubewahren.

Eine mathematisch stärkere Variante ist Shamirs Geheimnisteilung (Shamir's Secret Sharing), bei der einzelne Teile gar nichts über das Ganze verraten. Sie wird aber nicht von allen Wallets unterstützt und ist entsprechend weniger verbreitet. Eine Alternative zur Aufteilung ist die optionale Passphrase.

Kombination mit einer Passphrase

Wer es noch sicherer will, kombiniert die Aufteilung mit einer optionalen Passphrase. Selbst wenn ein Dieb zwei Zettel findet, braucht er dann zusätzlich die Passphrase. Umgekehrt steigt damit aber auch die Zahl der Teile, die du nicht verlieren darfst. Halte deshalb schriftlich fest, wie die Teile zusammengehören – ohne die Teile selbst zu verraten.

Der erweiterte öffentliche Schlüssel (xpub)

Zur Erinnerung: Aus den Sicherungswörtern entstehen private Schlüssel, daraus öffentliche Schlüssel und daraus Adressen. Um Adressen zu erzeugen, braucht man nur die öffentlichen Schlüssel. Ein xpub ist eine Art Generalschlüssel, aus dem sich alle öffentlichen Schlüssel und Adressen eines Kontos berechnen lassen.

Ein Beispiel: Du überträgst den xpub deines Hardware-Wallets in eine Handy-App, um unterwegs deinen Bestand zu sehen. Die App kann jetzt alle deine vergangenen und künftigen Adressen berechnen und zeigt dir jede ein- und ausgehende Überweisung an. Senden kann sie nichts, denn dafür fehlt der private Schlüssel, der sicher auf dem Hardware-Wallet bleibt.

Mit einem xpub lassen sich keine Bitcoin ausgeben. Er verrät aber den gesamten Verlauf und den Bestand des Kontos. Behandle ihn deshalb vertraulich. Genutzt wird er zum Beispiel für sogenannte Watch-only-Wallets: Auf dem Handy siehst du deinen Bestand, ohne dass dort ein privater Schlüssel liegt. Auch die Begleit-App deines Hardware-Wallets, etwa die BitBox-App, erhält den xpub automatisch, um dir deine Überweisungen anzuzeigen.

Multisig

Bei Multisig braucht eine Überweisung m Unterschriften von insgesamt n Schlüsseln, zum Beispiel 2 von 3. Das ist eine Form der Mehr-Faktor-Sicherheit, wie man sie vom Online-Banking kennt. Jeder Schlüssel stammt aus eigenen Sicherungswörtern, die auf beliebige Weise entstehen können – auf einem Hardware-Wallet, in einer Software oder sogar mit Würfeln. Die Schlüssel haben nichts miteinander zu tun; gemeinsam sind nur die Adressen, die aus allen zusammen berechnet werden. Darum lassen sich auch Hardware-Wallets verschiedener Hersteller kombinieren.

Wichtig zu verstehen: Bei Multisig gibt es nicht eine Sicherung, sondern mehrere unabhängige. Jeder Mitunterzeichner hat seine eigenen Sicherungswörter, und jede dieser Wort-Listen ist für sich allein wertlos. Genau das macht den Reiz aus – und gleichzeitig die Komplexität.

Bei einer typischen 2-von-3-Wallet unterschreiben nur zwei Schlüssel, aber um die Adressen zu berechnen, braucht es alle drei öffentlichen Schlüssel. Drei Einsatzarten sind verbreitet:

• Verschiedene Geräte: Eine Person erzeugt die Schlüssel auf Hardware-Wallets verschiedener Hersteller. So gibt es keinen einzelnen Schwachpunkt; ein Fehler bei einem Hersteller allein gefährdet die Bitcoin nicht.
• Verschiedene Orte: Eine Person bewahrt die Schlüssel an unabhängigen Orten auf. Ein Angreifer müsste mehrere davon finden und zudem wissen, welche Adressen dazugehören.
• Verschiedene Personen: Die Schlüssel liegen bei mehreren Menschen, etwa in einer Familie. Ausgeben geht nur, wenn eine Mehrheit zustimmt.

Warum nicht einfach 3 von 3? Weil dann jeder verlorene Schlüssel zum Totalverlust führt. Bei 2 von 3 darf einer verloren gehen. Der Preis: Das Risiko, Bitcoin durch eigene Fehler zu verlieren, ist insgesamt etwas höher als bei einer einfachen Wallet, weil mehr Teile im Spiel sind.

Beispiele

• 2 von 2: ein gemeinsames Sparkonto für ein Paar, bei dem beide zustimmen müssen.
• 2 von 2: die Kanäle im Lightning-Netzwerk, in denen beide Seiten jede Änderung unterschreiben.
• 2 von 2: Handy-Wallets, bei denen der Anbieter einen Schlüssel hält und nur nach einer zusätzlichen Bestätigung, etwa per Zwei-Faktor-Code, mitunterschreibt.
• 2 von 3: ein Sparkonto der Eltern für ihr Kind. Solange das Kind klein ist, müssen beide Eltern zustimmen; später braucht das Kind nur noch einen Elternteil.
• 2 von 3: die eigene Langzeitverwahrung mit Sicherungen an getrennten Orten – der wichtigste Anwendungsfall in diesem Beitrag.

Die Bedingungen lassen sich beliebig verfeinern, etwa mit Zeitsperren: Nach einer bestimmten Zeit genügt ein einzelner Schlüssel, falls die anderen verloren gegangen sind.

Warum verschiedene Hersteller?

Wer alle drei Schlüssel auf Geräten desselben Herstellers erzeugt, ist einem Fehler dieses Herstellers ausgeliefert – etwa einer Schwachstelle im Zufallsgenerator oder in der Software. Kombiniert man Geräte verschiedener Hersteller, müsste ein Angreifer mehrere unabhängige Schwachstellen gleichzeitig ausnutzen. Das ist einer der stärksten Gründe für Multisig. Gleichzeitig bedeutet es mehr Aufwand: Du musst mehrere Geräte und ihre Bedienung kennen.

Die Risiken

Sicherheit hat ihren Preis. Wer mehrere Faktoren kombiniert, kombiniert auch deren Nachteile. Das gilt für Multisig ebenso wie für aufgeteilte Sicherungswörter:

• Je mehr Orte, desto grösser die Gefahr, dass mehrere verloren gehen. Gehen mehr Teile verloren, als das Schema verkraftet, ist alles weg.
• Die Komplexität bringt eigene Fehlerquellen mit sich, und der Alltag mit Multisig ist umständlicher.
• Je mehr Sicherungen, desto komplexer wird das Ganze.
• Fehlen die öffentlichen Schlüssel eines Mitunterzeichners, findet man die Adressen nicht mehr, selbst wenn genug private Schlüssel zum Unterschreiben vorhanden sind. Mehr dazu in Die Stolperfallen von Multisig-Wallets.

Die Sicherungen richtig gestalten

Die grösste Hürde: Jede Sicherung muss so beschaffen sein, dass zwei davon genügen, um alles wiederherzustellen – also nicht nur zu unterschreiben, sondern auch die Adressen zu finden. Dafür braucht es alle drei xpubs. Mit nur zwei Sicherungswort-Listen kann man zwar unterschreiben, findet aber seine Bitcoin nicht.

Gleichzeitig gibt es ein Privatsphäre-Problem: Wer eine einzige Sicherung mit allen drei xpubs findet, sieht deinen gesamten Bestand und Verlauf.

Die Lösung: Verteile auch die xpubs zwei von drei. Jede Sicherung enthält die eigenen Sicherungswörter und die xpubs von zwei Mitunterzeichnern. So ergeben zwei Sicherungen zusammen alle drei xpubs, während eine einzelne nur zwei verrät. Wer es mit der Privatsphäre ganz genau nimmt, notiert auf jeder Sicherung nur einen fremden xpub – denn der eigene lässt sich aus den Sicherungswörtern ohnehin neu berechnen.

So könnte eine Sicherung aussehen:

Mit jeweils zwei dieser Sicherungen hast du zwei Wort-Listen zum Unterschreiben und alle drei xpubs, um die Adressen zu finden.

Weitere Tipps:

• Notiere auf jeder Sicherung den Ableitungspfad, zum Beispiel m/48'/0'/0'/2', und das Schema (2 von 3).
• Prüfe jeden xpub auf dem Bildschirm des Hardware-Wallets, bevor du ihn notierst.
• Kontrolliere deine Abschrift, indem du aus den notierten xpubs eine Watch-only-Wallet erstellst und prüfst, ob dieselben Adressen erscheinen.
• xpubs dürfen ausgedruckt werden, auch als QR-Code – sie sind lang und von Hand fehleranfällig abzuschreiben.

Wie oft prüfen?

Eine Sicherung, die niemand je ausprobiert hat, ist eine Hoffnung, keine Sicherung. Kontrolliere deshalb regelmässig – etwa einmal im Jahr –, ob alle Teile noch vorhanden und lesbar sind. Eine vollständige Wiederherstellung mit einem kleinen Betrag ist der beste Test. Prüfe dabei auch, ob die verwendete Software noch funktioniert und ob deine Hardware-Wallets die neueste Firmware haben. Nach einem Umzug oder wenn sich in der Familie etwas ändert, lohnt sich ein zusätzlicher Blick.

Die passende Software

Die Begleit-Apps der Hardware-Wallets genügen für Multisig meist nicht. Fange erst damit an, wenn du das Thema wirklich verstanden hast – auf dem Weg gibt es viele Möglichkeiten für Fehler.

Empfehlenswert sind zwei Computer-Wallets: Electrum, der Klassiker, und Sparrow, die modernere und für Multisig einsteigerfreundlichere Wahl. Beide funktionieren mit der BitBox02, die ich empfehle, und mit vielen anderen Hardware-Wallets. In Sparrow wählst du beim Erstellen einer neuen Wallet «Multi Signature» und legst dann Anzahl der Schlüssel, Adresstyp und Mitunterzeichner fest. Ein Assistent führt dich durch die Einrichtung der einzelnen Hardware-Wallets.

Moderne Wallets wie Sparrow können die ganze Einrichtung zudem als sogenannte Descriptor-Datei exportieren, oft auch als QR-Code. Darin stehen alle xpubs, das Schema und die Ableitungspfade in einem standardisierten Format. Eine ausgedruckte Kopie davon bei jeder Sicherung erleichtert die Wiederherstellung enorm – mit dem bekannten Nachteil, dass sie den Bestand verrät.

Spiele die Wiederherstellung einmal mit einem kleinen Betrag vollständig durch, bevor du grössere Summen anvertraust. Erst wenn du aus zwei Sicherungen allein deine Bitcoin wiederfindest und ausgeben kannst, weisst du, dass deine Einrichtung funktioniert.