Die erste Hardware-Wallet einrichten

Die Einrichtung selbst dauert zwanzig Minuten. Was länger dauert und worauf es ankommt, ist die Reihenfolge — sie ist so gebaut, dass jeder Fehler auffällt, solange noch nichts darauf liegt.

Nehmen Sie sich die Zeit am Stück. Wer die Einrichtung in der Mitte unterbricht und Tage später weitermacht, weiß nicht mehr sicher, ob die Wörter auf dem Zettel zu diesem Gerätestand gehören.

Vorher

1. Bezugsweg

Das Gerät kommt vom Hersteller oder von einem Händler, den der Hersteller auf seiner Seite nennt. Nicht vom Marktplatz, nicht gebraucht, nicht aus einer Kleinanzeige — auch nicht „originalverpackt". Warum das keine Formsache ist, steht unter Betrugsmaschen rund um Wallets. Welche Hersteller infrage kommen und wo deren Seite liegt, steht in der Geräteübersicht.

2. Was bereitliegen sollte

Das Gerät und sein Kabel.
Ein Kugelschreiber oder Bleistift — kein Filzstift, der durchschlägt.
Die mitgelieferten Karten für die Wörter, besser zusätzlich eine Metallsicherung.
Ein Raum ohne Kamera. Auch ohne die eigene: Smartphones am Tisch, Videokonferenzen, Türklingelkameras.

Einrichten

3. Packung ansehen, bevor Sie sie öffnen

Siegel, Folie, Aufkleber: sitzt alles bündig, gibt es Klebereste oder doppelte Schnittkanten? Die Herstellerseite beschreibt, wie eine ungeöffnete Packung aussehen soll — das ist der Vergleichsmaßstab, nicht das Bauchgefühl.

Abbruchkriterium. Liegt im Karton eine Karte mit bereits eingetragenen Wörtern, geht das Gerät zurück. Ein neues Gerät erzeugt den Seed beim ersten Start selbst und zeigt ihn genau einmal. Ein mitgelieferter Seed gehört jemand anderem.

4. Firmware zuerst

Vor dem Erzeugen des Schlüssels die Firmware auf den aktuellen Stand bringen, über die offizielle Anwendung des Herstellers. Das Gerät prüft die Signatur der Firmware selbst; genau dafür ist sie da.

5. Seed erzeugen lassen

Das Gerät würfelt die Wörter aus und zeigt sie einzeln an. Sie werden nur auf dem Gerätedisplay angezeigt, nie am Rechner. Wenn eine Software Sie auffordert, die Wörter dort einzutippen, ist etwas falsch — brechen Sie ab.

6. Wörter mitschreiben

Wort für Wort, nummeriert. Bei Handschrift auf Eindeutigkeit achten: die BIP39-Liste enthält Paare, die sich in einem Buchstaben unterscheiden. Die ersten vier Buchstaben genügen zur Bestimmung eines Wortes — im Zweifel lieber zu deutlich schreiben als zu schön.

7. Rückwärts gegenlesen

Von Wort 24 nach Wort 1 gegen das Gerät prüfen. Vorwärts liest das Auge, was es erwartet; rückwärts liest es, was dasteht. Viele Geräte bieten danach eine eigene Prüfabfrage an — die zusätzlich mitnehmen, nicht stattdessen.

8. PIN setzen

Die PIN schützt das Gerät, nicht den Seed: Wer die Wörter hat, braucht das Gerät nicht. Sie verhindert, dass ein Finder das Gerät benutzt. Keine Geburtsdaten, und die PIN gehört nicht neben den Seed.

9. Passphrase — jetzt entscheiden oder bewusst lassen

Die Passphrase ist mächtig und gefährlich: es gibt keine falsche, jede Abweichung führt in ein anderes, leeres Wallet. Wer sie nutzt, muss sie getrennt vom Seed sichern und ab jetzt bei jedem Schritt mitführen — auch bei der Probe in Schritt 10.

Für den ersten Aufbau ist „nein" eine völlig vertretbare Antwort. Nachträglich hinzufügen geht jederzeit; man zieht dann auf ein neues Wallet um.

10. Ableitungspfad notieren

Neben den Seed gehören zwei Zeilen: der Ableitungspfad und ob eine Passphrase verwendet wird. Ohne diese Angaben erlebt der Nächste — im Zweifel ein Erbe — ein leeres Wallet bei richtigem Seed.

Belegen

11. Die Probe, die alles entscheidet

Erst diesen Schritt macht die Sicherung zu einer Sicherung. Alles davor ist eine Behauptung.

Einen kleinen Betrag an eine Empfangsadresse des Geräts senden und die Bestätigung abwarten.
Das Gerät vollständig zurücksetzen. Auf Werkszustand. Ja, wirklich.
Ausschließlich aus Ihrer Papier- oder Metallsicherung wiederherstellen — mit Passphrase, falls Sie eine gesetzt haben.
Steht der Betrag wieder da, ist die Kette belegt: Wörter, Reihenfolge, Pfad, Passphrase, Ihre Handschrift.

Steht er nicht da, haben Sie das zum bestmöglichen Zeitpunkt erfahren — es liegt fast nichts darauf. Meist ist nicht der Seed falsch, sondern der Pfad oder die Passphrase; die Prüfliste dafür steht unter Leeres Wallet trotz richtigem Seed.

Und erst danach

Jetzt den eigentlichen Betrag bewegen. Bei größeren Summen in zwei Schritten: erst ein Teil, Bestätigung abwarten, dann der Rest.

Was danach noch zu tun ist

Sicherungen verteilen. Zwei Kopien in derselben Wohnung sind eine Kopie — Feuer und Einbruch treffen beide.
Einen Termin setzen. Die Probe aus Schritt 11 einmal im Jahr wiederholen. Der Wächter führt darüber Buch, wenn Sie mögen.
Den Ernstfall mitdenken. Wer weiß, dass es etwas gibt? Siehe Krypto im Erbfall.
Nichts erzählen. Weder Betrag noch Aufbewahrungsort — der beste Schutz gegen Nötigung ist, dass niemand fragt.