Mit Sicherheit

Ob Bargeld, Gold oder Bitcoins – Sicherheit ist hier wie da ein großes Thema. Beim Bitcoin wird die Sache dadurch erschwert, dass es sich um eine neue Technik handelt, die viele Nicht-Informatiker mit ihrer Komplexität überfordert. Aber es gibt Möglichkeiten, Bitcoins absolut sicher zu verwahren, und sofern Sie der glückliche Besitzer einer größeren Summe der virtuellen Währung sind oder dies zu werden planen, sollten Ihnen diese ans Herz gelegt sein.

Zwei Dinge, die Sie wissen sollten

Der erste Punkt ist: Das kryptographische Gerüst des Bitcoins ist absolut sicher. Dan Kaminsky hat versucht, ihn zu hacken, und er ist, wie so viele vor ihm, gescheitert. Wem es gelingt, den Bitcoin zu hacken, der findet einen Topf voll Gold; wäre es möglich, wäre es längst passiert. Kaminskys Urteil: „Die Kerntechnologie funktioniert tatsächlich, und sie funktioniert weiterhin in einem Ausmaß, die nicht jeder vorausgesagt hat.“

Im Prinzip ist der Bitcoin nicht mehr als ein Schlüsselpaar. Mit dem öffentlichen Schlüssel kann man in den Vorraum des Tresors, um in ihn hineinzuschauen. In den Tresor hinein und die Bitcoins herausholen kann jedoch nur der Besitzer des privaten Schlüssels, und dieser ist ausschließlich im Wallet gespeichert. Das Schlüsselpaar beruht auf dem kryptographischen SHA-2-Algorithmus, und es ist offensichtlich, dass Satoshi Nakamoto wußte, was er tat, als er ihn auswählte. Denn während andere kryptographische Algorithmen im Licht der Enthüllungen über die NSA als gefährdet gelten, scheint an SHA-2 weiterhin kein Makel zu sein. Es gibt nicht einmal in der Theorie ein Schlupfloch.

Wer den Schlüssel eines Bitcoins per Brute-Force knacken will, also indem er einfach so lange eine zufällige Hash nach der anderen generiert, bis die richtige dabei ist, müsste eine schrecklich große Menge an Hashes erzeugen: 2 hoch 256. Das ergibt eine Zahl mit 78 Stellen. Zum Beispiel:

115792089237316195423570985008687907852837564279074904382605163141518161494337

Mal angenommen, man würde alle Atome des Sonnensystems in einem Superrechner verbauen, der das thermodynamische Limit der Informationsverarbeitung ausschöpft – nur mal angenommen! – selbst dann würde es zu lange dauern, um energetisch möglich zu sein.

Der kryptographische Kern ist also sicherer als jede Bank. Dennoch kommt es immer wieder vor, dass Bitcoins geklaut oder verloren werden. Und damit sind wir bei der zweiten Sache, die Sie unbedingt wissen müssen: Wenn Ihr Bitcoin weg ist, ist er weg. Dann kann Ihnen keiner mehr helfen. Es gibt keine Möglichkeit, einen Bitcoin, der ihre Adresse verlassen hat, zurückzuzwingen. Keine.

Das Wallet

Die übliche Aufbewahrung Ihrer Bitcoins ist das Wallet, eine Art Brieftasche auf Ihrem Rechner. Das Wallet generiert und verwaltet ihr Schlüsselpaar. Bereits dabei kommt es zum ersten Risiko: Der private Schlüssel beruht auf Zufallszahlen. Da Prozessoren aber nicht fähig sind, eine im wahrsten Sinne des Wortes zufällige Zahl zu generieren, sondern nur Pseudozufallszahlen, können diese eine Schwäche haben. 2007 kam etwa heraus, dass der Zufallsgenerator von Windows XP Schwächen hat. Vor kurzem kam auch ein Fehler im Zufallsgenerator von Android-Systemen heraus, der eine gefährliche Sicherheitslücke für Wallets darstellte. Diese wurde aber von den Wallet-Entwicklern rasch behoben. Beim Stand der Dinge sollten die Zufallszahlen der gebräuchlichen Systeme jedoch ausreichend sicher sein.

Eine größere Gefahr für die Sicherheit ist der Nutzer selbst. Ob man den offiziellen Bitcoin-Clienten oder das leichtere Multibit verwendet – solange Ihr System unsicher ist, bleibt stets ein Restrisiko. Selbstverständlich ist dringend zu empfehlen, ein Backup zu machen, damit beim nächsten Festplattencrash nicht tausende von Euros mit kaputtgehen. Am besten Sie machen zwei Sicherheitskopien. Multibit bietet die Option „Privater Schlüssel exportieren“ an, beim QT-Clienten können Sie die in Ihrem Roaming-Ordner (i.d.R. benutzer/appdata/roaming/bitcoin) befindliche Datei wallet.dat kopieren. Sichern Sie zudem Ihr Wallet mit einem Passwort, so dass sich kein Dieb Ihres Laptops an Ihren Coins bereichern kann.

Damit sind Ihre Bitcoins aber noch nicht vor den Einbrechern und Taschendieben des Internets geschützt: Den Hackern und ihren Viren, Trojanern, Spyware und Key-Loggern. Wenn diese ein Stück Malware in Ihr System schleusen, könnte es passieren, dass dieses an den privaten Schlüssel kommt. Also: Halten Sie Ihr System so sicher wir möglich. Wir können dafür nur die üblichen Ratschläge geben. Aktualisieren Sie Viren- und Malware-Scanner, öffnen Sie keine Anhänge in unbekannten Emails, laden Sie nicht unbedacht Daten herunter, klicken Sie nichts an, was Ihnen nicht geheuer ist, updaten Sie regelmäßig Java und Flash, diese omnipräsenten, jedoch extrem anfälligen Module Ihres Browsers. Undsoweiter.

Dennoch gibt es keinen 100-prozentigen Schutz. Abgesehen vom Bitcoin-Gerüst gilt die Devise, dass man alles hacken kann. Wer wirklich paranoid ist, verteilt seine Bitcoins auf viele Adressen, so dass ein erfolgter Angriff – die Wahrscheinlichkeit ist sehr gering – nur einen minimierten Schaden nach sich zieht.

Das Online-Wallet

Die wohl einfachste und unkomplizierteste Art, Bitcoins zu lagern, ist ein Online-Wallet, sei es bei blockchain.info, input.io, coinbase oder bitcoin.de. So müssen Sie keine Software herunterladen und können bequem vom Browser heraus bezahlen.
Bei Online-Wallets werden Ihre Bitcoins in der cloud gelagert. Der Vorteil ist, dass ihre Sicherheit so nicht mehr vom eigenen System abhängt, sondern in den Händen von – idealerweise kompetenten – anderen liegt, die über mehr Ressourcen verfügen, um Angriffe abzuwehren. Kombiniert mit der 2-Factor-Authorisierung, bei der Sie entweder über eine externe App eine PIN erzeugen oder diese per SMS zugeschickt bekommen, bieten Online-Wallets durchaus Schutz vor Diebstahl. Zumindest bei bitcoin.de kam noch kein Nutzer zu Schaden.

Allerdings wird unter dem Aspekt der Sicherheit manchmal von ihnen abgeraten. Denn da nicht Sie, sondern der Betreiber den privaten Schlüssel verwaltet, ist das Online-Wallet nur so sicher, wie dieser vertrauenswürdig ist. Zum anderen gilt wieder, dass alles zu hacken ist und ein Online-Wallet prinzipiell ein heißeres Ziel darstellen sollte, da der Topf voll Gold am Ende des Hacks größer ist. Wenn Sie ein schwaches Passwort haben – zum Beispiel nur 6 oder 8 Buchstaben – kann Ihr Online-Wallet mit einer simplen Brute-Force-Attacke geknackt werden. Dagegen schützt etwa die 2-Factor-Authorisierung. Allerdings hilft diese auch nicht, wenn der Hacker nicht nur in ihr Konto, sondern in das System des Online-Wallets eindringt.
Wie gesagt: Die Betreiber von Online-Wallets wissen in der Regel, was sie tun und können ein hohes Maß an Sicherheit gewährleisten. Allerdings sind sie auch ein beliebtes Ziel für Hacker, weshalb ein Restrisiko bleibt.

Update: Input.io wurde gehackt. Dabei gingen rund 1.000 Bitcoins verloren, die der Besitzer nur zum Teil aus seinem eigenen Bestand erseten konnte.

Kalt speichern

Es gibt nur eine Möglichkeit, Bitcoins wirklich sicher aufzubewahren: Man muss den privaten Schlüssel vom Internet fernhalten. Solange kein Hacker an diesen kommt, kann Ihnen nichts passieren. Der Trick ist dabei überraschend einfach. Ausgehend von einem privaten Schlüssel kann man auch offline Adressen generieren. Und mithilfe der Signatur kann man die Adressen auch offline unterschreiben und dann durch einen USB-Stick auf einen mit dem Internet verbundenen Computer übertragen und von dort absenden. Gut, man braucht zwei Systeme, etwas Zeit und muss sich hineindenken. Armory, Electrum und MultiBit haben diese Option.

Darüber hinaus können Sie Paper-Wallets erstellen. Das ist ein Ausdruck Ihres privaten Schlüssels. Mit Armory kann man ein Paperwallet generieren, Electrum zeigt einen Seed an: Ein Brainwallet, durch das man als Passphrase den privaten Schlüssel wiederherstellen kann. Wenn das Paperwallet ausgedruckt ist, kann man das Wallet vom Computer löschen. Dann ist der privaten Schlüssel ebenfalls vom Internet weg. Und wo kein Internet ist, gibt es keine Hacker.

Es gibt auch Internetseiten, bei denen Sie Paperwallets generieren können. Diese sind allerdings mit Vorsicht zu wählen, da sie unter Umständen den privaten Schlüssel abgreifen können.

Trezor

Weil Bitcoiner ihre Sicherheit bis zur Grenze der Paranoia lieben, wurde Trezor zum Bitcoin-Projekt des Sommers 2013 gewählt. Hierbei handelt es sich um ein Hardware-Wallet. Wie Armory signiert Trezor die Transaktionen offline. Darüber hinaus operiert es in einer isolierten Umgebung, ist einfach zu handhaben und wartet mit einer Fülle weiterer Features auf. Das heiß erwartete Produkt ist noch in der Entwicklung, Vorbestellungen nehmen die tschechischen Entwickler jedoch bereits entgegen, erwartet wird die Auslieferung für Anfang 2014.