Web3-Sicherheit

Schütze dich und deine Wallet vor den häufigsten Betrugsmaschen im Web3.

Einführung

Digitales Eigentum ist das Neue am Web3. Mit Blockchains, Kryptowährungen und NFTs gibt Web3 Eigentum und Macht an die Nutzer zurück. Digitale Finanzprodukte selbst zu besitzen, ist für viele neu, und diese fehlende Erfahrung nutzen Betrüger aus, um anderen ihre Werte zu stehlen. Diese Maschen funktionieren so gut, weil die meisten Menschen nicht wissen, wie sie ablaufen.

Betrug gibt es aber nicht nur im Web3: Auch Web2-Dienste wie E-Mail und soziale Medien sind voll davon. Viele Web3-Werkzeuge hängen außerdem an Web2-Diensten wie Bankkonten oder zentralisierten Börsen, die du ebenfalls schützen musst. Glückwunsch also, Academy Explorer, dass du dir das Wissen aneignest, das dich auf deinem Weg ins Web3 schützt!

Diese Lektion behandelt:

Sicherheit in Web2 und Web3.
Die häufigsten Wege, auf denen Menschen ihr Geld verlieren, und wie du dich davor schützt.
Eine allgemeine Strategie für Wallet-Sicherheit.
Wie du dich erholst, wenn du Opfer eines Betrugs geworden bist.

Geld im Web2

Im Web2 verwahren Institutionen das Geld der Menschen. Wer an sein Geld will, muss sich gegenüber der Institution ausweisen. Genauso läuft es bei einem Bankkonto oder einer zentralisierten Börse (CEX): Man braucht eine Login-ID und ein Passwort.

Um an dein Geld zu kommen, braucht ein Betrüger genau diese Kombination. Weil die Institutionen für den Schutz deines Geldes zuständig sind, lassen sich betrügerische Zahlungen rückgängig machen, ähnlich wie bei einer Kreditkartenreklamation.

Geld im Web3

Im Web3 funktioniert Geld anders. Es ähnelt einer abgeschlossenen Bargeldbörse: einmal ausgegeben, ist das Geld weg. Deine Seed-Phrase (diese besondere Folge geheimer Wörter) öffnet deine privaten Schlüssel. Wer sie hat, kontrolliert deine Wallet. Gib sie niemals weiter und speichere sie nie digital; Fotos und Notiz-Apps können kompromittiert werden.

Deine Seed-Phrase ist aber nicht das einzige Ziel: Eine einzige schädliche Signatur (eine Transaktion oder Nachricht, die du freigibst) kann deine Token abfließen lassen, ganz ohne deine Seed-Phrase. Schütze deine Seed-Phrase und deine Signatur.

Wissens-Check 1

Richtig oder falsch? Betrüger können Token aus deiner Wallet abziehen, indem sie dich zu einer schädlichen Signatur verleiten, ohne deine Seed-Phrase zu kennen.

[ ] Richtig
[ ] Falsch

Seed-Phrase sicher aufbewahren

Es gibt viele Methoden, eine Seed-Phrase sicher zu lagern. Ein guter Anfang: auf physischem Material (laminiertes Papier oder Ähnliches) notieren und in einem wasser- und feuerfesten Safe bei dir zu Hause verwahren. Speichere eine Seed-Phrase nicht als Foto oder auf anderen digitalen Wegen, auch nicht im Passwort-Manager.

Schlechte Orte für Seed-Phrasen:

Im Aktenschrank
In einer digitalen Notiz-App
Am Arbeitsplatz
Als digitales Foto

Wo auch immer du deine Seed-Phrase aufbewahrst: Nur du solltest Zugriff haben, und sie muss vor Verlust und Zerstörung geschützt sein. Man weiß nie, was die Zukunft bringt!

Schütze deine Passwörter

Gute Passwörter und ein sauberer Umgang damit gehören zum Alltag im Internet.

Für jeden einzelnen Web2-Dienst solltest du ein eigenes Passwort nutzen: E-Mail, zentralisierte Börsen und alle anderen Konten. Es ist schon schlimm, wenn jemand ID und Passwort für ein Konto erbeutet. Viel schlimmer ist es, wenn diese Kombination alle deine Konten öffnet!

Passwort-Manager wie 1Password, Bitwarden und KeePass speichern viele Passwörter verschlüsselt. Sie erzeugen sogar neue, sehr sichere Passwörter und legen sie automatisch ab. Du musst dir nur ein Master-Passwort merken.

Speichere eine Web3-Seed-Phrase nicht im Passwort-Manager: Ein einziger Einbruch reicht, um alle deine Web3-Werte zu verlieren, und niemand holt sie dir zurück.

Wissens-Check 2

Warum sind Passwort-Manager hilfreich?

[ ] Man muss sich nur das Master-Passwort merken.
[ ] Sie erzeugen und speichern starke, einzigartige Passwörter.
[ ] Sie verschlüsseln Passwörter und halten sie sicher.
[ ] Alles davon

Zwei-Faktor-Authentifizierung

Zwei-Faktor-Authentifizierung, kurz 2FA, ist eine zweite Sicherheitsebene im Web2.

Vielen wurden trotz starker Passwörter Konten gehackt oder Zugangsdaten gestohlen. Web2-Websites (und auch Passwort-Manager) bieten meist 2FA an: einen Nachweis von einem zweiten Gerät oder einer App, zusätzlich zum Passwort.

Nicht jede 2FA ist gleich gut:

🥉 SMS-Codes sind am schwächsten: Per Social Engineering ziehen Betrüger deine Nummer auf ihr eigenes Gerät um. Trotzdem besser als keine 2FA.

🥈 Authenticator-Apps (Google Authenticator, 2FAS, Aegis) erzeugen Codes auf deinem Gerät, eine solide Wahl.

🥇 Passkeys und Hardware-Sicherheitsschlüssel (etwa YubiKey) sind der Goldstandard: an die echte Website gebunden, versagen sie auf gefälschten Kopien.

Wissens-Check 3

Warum wird Zwei-Faktor-Authentifizierung dringend empfohlen?

[ ] Mit aktivem 2FA lässt sich ein Konto nicht mehr hacken.
[ ] Es fügt Web2-Konten eine weitere Sicherheitsebene hinzu.
[ ] Es macht Passwörter stärker.
[ ] Alles davon

In Web2 und Web3 nutzen Betrüger Phishing, um an Passwörter und Seed-Phrasen zu kommen oder dich zu einer schädlichen Transaktion zu bringen. Oft geben sie sich als Support aus, „Hallo, hier ist der Metamask-Support“, oder als Admin einer Community, „Neuer NFT-Mint, exklusiv für unsere Community“.

Mit Social Engineering setzen sie dich unter Druck. Beispiele:

„Die Zeit läuft ab!“ lässt dich hetzen.
„Glückwunsch, du hast unser Gewinnspiel gewonnen!“ lässt dich exklusiv fühlen.
„Sichere dir früh Zugang zum Pre-Mint!“ erzeugt FOMO beim Opfer.

Angst, etwas zu verpassen

FOMO steht für „Fear Of Missing Out“, die Angst, etwas zu verpassen. Es ist das stressige Gefühl, dass dir eine große Chance entgeht, wenn du nicht sofort handelst.

Die beste Verteidigung gegen FOMO: einen Schritt zurücktreten und eine Pause machen. Unter Stress denken Menschen nicht klar, genau deshalb funktioniert FOMO so gut. Mit etwas Abstand erkennst du Betrugsversuche viel leichter als das, was sie sind.

Wissens-Check 4

Wie nutzen Betrüger Social Engineering?

[ ] Sie geben sich als Autorität in einer Community aus.
[ ] Sie setzen Menschen mit knapper Zeit unter Druck.
[ ] Sie versprechen Gewinnspiele oder gratis NFTs für FOMO.
[ ] Alles davon

Sicherheit in sozialen Medien

Betrüger sind in sozialen Medien und in den Discord-Servern von Krypto-Projekten unterwegs. Meist ziehen sie das Gespräch in private Nachrichten, damit erfahrene Mitglieder nichts merken. Rede in öffentlichen Kanälen, gib deine Seed-Phrase niemals weiter und signiere nichts über einen Link aus einer DM.

Warnsignale in sozialen Medien:

🚩 Sprach- und Grammatikfehler: seit/seid, das/dass.

🚩 FOMO: „Verpass es nicht!“

🚩 Identitätsklau: ein Admin, der Support, Vitalik Buterin, Elon Musk.

🚩 Garantierte Renditen: In Krypto ist nichts garantiert.

🚩 Ungefragte Links und Angebote, besonders in privaten Nachrichten.

Gute Gewohnheiten in sozialen Medien

So bleibst du sicher:

✅ Wer sein Produkt per privater Nachricht verkaufen muss, hat meist keins, das du willst.

✅ Prüfe Follower- und Mitgliederzahlen, auch wenn sie weder Seriosität noch Qualität garantieren.

✅ Verifiziere alles über eine zweite Quelle, etwa einen anderen offiziellen Kanal des Projekts.

✅ Wenn du unsicher bist, frag angesehene Mitglieder einer großen Community, der du vertraust, und zwar öffentlich.

Scam-Token und Address Poisoning

Tauchen zufällige Token oder NFTs in deiner Wallet auf? Scam-Token gehen an tausende Wallets zugleich. Wer sie bewegen oder verkaufen will, löst versteckten Code im Smart Contract aus oder landet auf einer Phishing-Seite, die nach der Seed-Phrase oder einer schädlichen Signatur fragt. Die beste Antwort: gar nicht anfassen, liegen lassen oder in der Wallet ausblenden.

Verwandt ist Address Poisoning: Betrüger senden dir Kleinstbeträge von einer Adresse, die deiner fast gleicht, mit denselben ersten und letzten Zeichen. Kopierst du später eine Adresse aus deinem Verlauf, erwischst du vielleicht die Fälschung.

So schützt du dich:

Kopiere keine Adressen aus deinem Transaktionsverlauf.
Prüfe mehr als die ersten und letzten Zeichen.
Schicke vor großen Beträgen einen kleinen Test.

Heute geht Geld meist nicht durch gestohlene Seed-Phrasen verloren, sondern durch Signaturen, die man verschenkt. „Wallet Drainer“-Phishing zeigt dir eine Transaktion oder Nachricht, die harmlos aussieht, es aber nicht ist:

Schädliche Freigaben: Eine einzige Transaktion kann dem Vertrag eines Betrügers eine unbegrenzte Token-Freigabe für deine Token und NFTs erteilen.
Signatur-Phishing: Gaslose Freigaben per Signatur (wie Permit2) erlauben Token-Transfers, ganz ohne Transaktion.
Delegations-Angriffe: Eine neuere Wallet-Funktion (EIP-7702) lässt eine Signatur Code auf deinem Konto installieren. Drainer räumen Wallets damit automatisch leer.

Etwas zu signieren, das du nicht verstehst, heißt Blind Signing. Selbst Profis fallen darauf herein: Im Februar 2025 verlor die Börse Bybit rund 1,5 Milliarden Dollar, weil sie eine Transaktion freigab, deren Anzeige manipuliert war.

Deine Verteidigung: langsam machen, jede Signaturanfrage lesen, „Verifiziere deine Wallet“-Aufforderungen als feindlich behandeln und eine Wallet nutzen, die Transaktionen vorab simuliert.

Wissens-Check 5

Du bekommst eine DM: „Deine Wallet muss migriert werden: verbinde dich auf metamask-upgrade.app und signiere zur Prüfung deiner Werte.“ Die Seite verlangt eine gaslose Freigabe. Was stimmt hier nicht?

[ ] Nichts: Signaturen sind kostenlos und bewegen kein Geld.
[ ] Gefährlich wird es erst, wenn du die Seed-Phrase eintippst.
[ ] Es ist sicher, denn Support-Teams schreiben per DM.
[ ] Es ist Signatur-Phishing: Die Signatur kann Token abziehen.

Hardware-Wallets

Wie du aus unserer Lektion Wallet-Grundlagen weißt, hält eine Hardware-Wallet deine privaten Schlüssel auf einem eigenen Gerät, getrennt von deinem Computer. Das macht dein Guthaben viel sicherer: Schadsoftware kommt nicht an die Schlüssel, und ein Dieb müsste das Gerät stehlen und knacken. Bekannte Modelle sind Ledger, Trezor und Keystone. Kaufe immer direkt beim Hersteller.

Du kannst eine Hardware-Wallet sogar über Browser-Wallets wie MetaMask nutzen und so Bequemlichkeit mit Hardware-Sicherheit verbinden. Ledger hat dazu eine eigene Anleitung geschrieben.

Eine Grenze bleibt: Eine Hardware-Wallet signiert alles, was du freigibst. Blind Signing kostet dich auch hier dein Geld. Prüfe die Details immer auf dem Display des Geräts.

Wissens-Check 6

Richtig oder falsch? Eine Hardware-Wallet schützt dein Guthaben nur, wenn du jede Transaktion vor der Freigabe prüfst.

[ ] Richtig
[ ] Falsch

Wallet-Strategien

Nach der Hardware-Wallet ist es eine der besten Ideen, dein Guthaben auf mehrere Wallets zu verteilen. Eine bewährte Aufteilung mit drei getrennten Wallets:

Social Wallet: Eine Hot-Wallet mit wenig oder keinem Guthaben, für Logins, Mints und neue DApps. Nimm an, dass alles darin verloren gehen kann.
Trading Wallet: Eine Hot-Wallet für Handel und alles, was kurzfristig bewegt werden muss.
HODL Wallet: Eine Hardware-Wallet für den langen HODL. Nutze sie niemals für Smart Contracts oder unbekannte Websites.

👍 PRO: Ein Betrug bedroht nur das Guthaben in dieser einen Wallet, nicht alles.

👎 CONTRA: Etwas mehr Aufwand beim Überblick, aber viele Wallet-Apps lassen dich Wallets benennen.

Wissens-Check 7

Für mehr Sicherheit empfehlen wir, dein Guthaben _______________.

[ ] in mehreren Airdrops zu lagern
[ ] in mehreren NFTs zu binden
[ ] auf mehrere Wallets zu verteilen
[ ] in mehreren Adressen liquide zu halten

Nach einem Web2-Betrug

Hoffentlich bist du noch nie auf einen Betrüger hereingefallen. Falls doch, solltest du deine Konten wieder absichern.

Bei einem Betrug über einen Web2-Dienst wie Gmail oder Discord:

Ändere das Passwort des betroffenen Kontos.
Nutze, wenn vorhanden, „überall abmelden“, um die Betrüger hinauszuwerfen.
Aktiviere 2FA: am besten Passkey oder Hardware-Sicherheitsschlüssel, sonst eine Authenticator-App.
Melde den Betrug beim betroffenen Dienst.
Sichere auch dein E-Mail-Konto ab.
Sprich mit Freunden oder vertrauten Community-Mitgliedern darüber.

Nach einem Web3-Betrug

Auf Ethereum brauchen Verträge eine ausdrückliche Erlaubnis, um Token auszugeben. Die Freigabe legt fest, wie viel ein bestimmter Vertrag ausgeben darf. Niedrige Freigaben senken das Risiko für deine Werte.

Im Web3 gibt es keine Zentrale, bei der du Betrüger melden kannst, aber handeln kannst du trotzdem:

Schiebe verbliebenes Guthaben sofort auf eine andere Wallet-Adresse, die eine andere Seed-Phrase hat.
Prüfe und widerrufe deine Freigaben mit revoke.cash (funktioniert auf vielen Netzwerken) oder etherscan.io/tokenapprovalchecker. Widerrufen kostet Gas; revoke.cash hat eine Schritt-für-Schritt-Anleitung.
Prüfe bei revoke.cash auch den Tab „Delegations“ auf unbekannte Wallet-Delegationen und entferne sie in deiner Wallet-App.
Nutze künftig eine Hardware-Wallet und prüfe alles, was du signierst.
Warne andere und melde den Betrug in der betroffenen Community.
Sprich mit Freunden oder vertrauten Community-Mitgliedern darüber, wie ihr euch künftig besser schützen könnt.