Seed-Phrasen, BIP-39 und Passphrasen

Warum Wiederherstellungsmaterial existiert

Eine deterministische Wallet kann aus einem gemeinsamen Startgeheimnis zahlreiche zusammengehörige Signaturschlüssel erzeugen und so eine kompakte Wiederherstellungsmethode ermöglichen. Eine Seed-Phrase, auch mnemonische Phrase oder Wiederherstellungsphrase genannt, ist eine Folge von Wörtern, die Wiederherstellungsmaterial nach einem bestimmten Verfahren darstellt oder codiert. Das weit verbreitete Verfahren BIP-39 definiert eine Möglichkeit, Zufallsdaten in Wörter umzuwandeln und daraus anschließend einen binären Seed abzuleiten. Die Wörter sind weder ein aus Bequemlichkeit gewähltes Passwort noch ein universeller Standard, der von jeder Blockchain-Wallet identisch verstanden wird.

Der Begriff „Seed“ wird oft umgangssprachlich sowohl für die Wörter als auch für den daraus abgeleiteten Binärwert verwendet. In einer präzisen technischen Diskussion sollte man zwischen der BIP-39-Mnemonik, dem daraus resultierenden 512-Bit-Seed und den nachgelagerten Wallet-Schlüsseln unterscheiden. Das ist nicht bloß eine Frage der Terminologie: Bei der Fehlerbehebung einer fehlgeschlagenen Wiederherstellung muss man wissen, welchen Bestandteil ein System erwartet und welche Konventionen seine Implementierung unterstützt.

Ein Standard bedeutet keine universelle Kompatibilität

BIP-39 (Mnemonic code for generating deterministic keys) ist weit verbreitet, aber manche Wallets verwenden andere Sicherungssysteme, Ableitungsschemata oder Kontostrukturen. BIP-32 (Hierarchical Deterministic Wallets) beschreibt einen Baum zusammengehöriger Schlüssel, die von einer Wurzel abgeleitet werden. BIP-44 (Multi-Account Hierarchy for Deterministic Wallets) schlägt eine gemeinsame Kontostruktur für kompatible Implementierungen vor. Eine korrekte Mnemonik allein führt in einer anderen Wallet nicht immer zu identischen Adressen, sofern Passphrase, Ableitungspfad, Netzwerk sowie Skript- oder Adresskonventionen nicht ebenfalls kompatibel sind.

Wie BIP-39 grundsätzlich funktioniert

BIP-39 beginnt mit computergeneriertem Zufall, auch Entropie genannt, und fügt dann eine kurze Prüfsumme hinzu, die aus einem kryptografischen Hash abgeleitet wird. Die kombinierten Bits werden in Gruppen unterteilt, die Wörter aus einer festgelegten Liste mit 2.048 Wörtern indizieren. Zulässige Entropielängen reichen von 128 bis 256 Bit in Schritten von 32 Bit und ergeben Phrasen mit 12, 15, 18, 21 oder 24 Wörtern. Zwölf und vierundzwanzig Wörter sind bekannte Beispiele, aber nicht die einzigen gültigen Längen in der Spezifikation. Die Prüfsumme hilft dabei, einige Übertragungsfehler zu erkennen; sie garantiert nicht, dass eine Phrase sicher oder korrekt erstellt wurde.

Die Phrase wird mit einer passwortbasierten Schlüsselableitungsfunktion, PBKDF2, mit HMAC-SHA512, 2.048 Iterationen und einer von BIP-39 definierten spezifischen Salt-Konstruktion verarbeitet. Daraus entsteht ein 512-Bit-Seed. PBKDF2 erweitert die Mnemonik und die optionale Passphrase zu standardisiertem Binärmaterial. Der abgeleitete Seed kann anschließend in ein deterministisches Schlüsselerzeugungssystem wie BIP-32 eingespeist werden. Die Details des Algorithmus sind für die Interoperabilität wichtig, aber für Einsteiger ist es vor allem wichtig, die Beziehung zwischen Entropie, Mnemonik, Passphrase, Seed und abgeleiteten Wallet-Konten zu verstehen.

Die optionale BIP-39-Passphrase

BIP-39 erlaubt zusätzlich zur Mnemonik eine optionale Passphrase. Sie wird in den Ableitungsprozess einbezogen; sie ist nicht einfach eine App-Anmelde-PIN und sollte nicht mit dem Passwort verwechselt werden, mit dem ein bestimmtes Gerät entsperrt wird. Wird keine Passphrase angegeben, entspricht dies einer leeren Zeichenfolge. Dieselbe Mnemonik in Kombination mit verschiedenen Passphrasen erzeugt unterschiedliche abgeleitete Seeds und damit potenziell unterschiedliche Konten und Adressen. Wichtig ist, dass BIP-39 im Allgemeinen keine Warnung vor einer „falschen Passphrase“ ausgibt: Auch eine andere Passphrase erzeugt einen plausiblen Seed.

Dadurch entsteht ein erhebliches Spannungsverhältnis bei der Wiederherstellbarkeit. Eine Sicherung der Mnemonik ohne die erforderliche Passphrase stellt die vorgesehenen Konten nicht wieder her. Umgekehrt kann die gemeinsame Aufzeichnung beider Bestandteile den Sicherheitsvorteil ihrer getrennten Aufbewahrung verringern. Ob eine Passphrase geeignet ist, hängt vom Bedrohungsmodell, dem Risiko menschlicher Fehler und den Wiederherstellungsverfahren ab, nicht von der Behauptung, dass längere oder kompliziertere Konfigurationen automatisch sicherer seien. Für Institutionen ist entscheidend, wie autorisierte Personen geschützte Informationen verwenden und überprüfen können, ohne sie unnötig offenzulegen.

Drei verschiedene Geheimnisse nicht verwechseln

Eine Wallet-PIN regelt häufig den Zugriff auf eine bestimmte App oder ein bestimmtes Gerät. Eine BIP-39-Mnemonik kann die Rekonstruktion von Signaturmaterial in kompatibler Software ermöglichen. Eine BIP-39-Passphrase verändert den abgeleiteten Seed. Der Verlust oder die Änderung jedes dieser Elemente hat unterschiedliche Folgen. Ein zurücksetzbares Passwort für ein Online-Konto ist wiederum etwas anderes: Ein Dienst kann möglicherweise den Zugang zum Konto zurücksetzen, aber das bedeutet nicht, dass er einen unabhängigen Seed einer selbstverwahrten Wallet rekonstruieren kann.

Sicherungskonzept und Wiederherstellungssicherheit

Wiederherstellung ist ein Prozess und besteht nicht allein darin, dass ein handschriftlicher Zettel vorhanden ist. Ein solides Wiederherstellungsprogramm berücksichtigt, ob eine lesbare Aufzeichnung vorhanden ist, ob sie vollständig und korrekt ist, ob autorisierte Personen wissen, welcher Wallet-Standard und welche Netzwerkkonventionen gelten und ob sich die Wiederherstellung kontrolliert testen lässt, ohne aktive Geheimnisse offenzulegen. Standort, Zugänglichkeit und Integrität einer Sicherung sind ebenso wichtig wie die mathematischen Eigenschaften der Mnemonik. Eine perfekte Sicherung, auf die im Notfall nicht zugegriffen werden kann, bietet keine wirksame Wiederherstellungsmöglichkeit.

Die Eingabe von Wiederherstellungswörtern auf nicht vertrauenswürdigen Websites oder deren Weitergabe an vermeintliche Support-Mitarbeiter ist ein häufiger Weg zur Kompromittierung. Ein legitimer Wiederherstellungsprozess sollte nur über geeignete, verifizierte Software und organisatorische Verfahren erfolgen. In diesem Kurs enthalten die veranschaulichenden Diagramme absichtlich keine gültige Wiederherstellungsphrase. Lernende sollten Beispielwörter aus Lernmaterialien nicht als echte Sicherheitsinformationen verwenden.

Ableitungspfade und institutionelle Bestandsverzeichnisse

Ein Ableitungspfad ist eine strukturierte Beschreibung der Position eines bestimmten Kontos oder Schlüssels innerhalb eines deterministischen Schlüsselbaums. Zwei Systeme können dieselben BIP-39-Wörter verwenden und dennoch unterschiedlichen Pfadkonventionen oder Adressdarstellungen folgen. Für eine Organisation bedeutet dies, dass ein Wiederherstellungsverzeichnis die Wallet-Familie, unterstützte Netzwerke, Kontokonventionen und alle weiteren nicht geheimen Konfigurationsdaten enthalten sollte, die für eine autorisierte Wiederherstellung erforderlich sind. Solche Informationen ersetzen nicht die tatsächlichen geschützten Geheimnisse. Sie helfen, einen Notfall zu verhindern, bei dem Mitarbeitende zwar die richtige Phrase besitzen, aber die erwarteten Adressen nicht zuordnen können.

Umgang mit einer vermuteten Offenlegung

Wenn Wiederherstellungsmaterial möglicherweise offengelegt wurde, ist nicht entscheidend, ob die Mnemonik-Prüfsumme weiterhin gültig ist, sondern ob eine andere Person nutzbare Signaturzugangsdaten rekonstruieren könnte. Die Folgen hängen von allen relevanten Bestandteilen ab, einschließlich einer etwaigen Passphrase, zusätzlichen Kontorichtlinien und den verfügbaren Transaktionsberechtigungen. Reaktionspläne auf Sicherheitsvorfälle sollten sich darauf konzentrieren, Beweise zu sichern, betroffene Konten zu bestätigen und autorisierte Personen erforderliche Schutzmaßnahmen festlegen zu lassen. Lediglich einen App-Entsperrcode zu ändern, macht eine offengelegte Wiederherstellungsphrase normalerweise nicht ungültig. Ein Wiederherstellungsplan sollte vor einem Notfall mit einer kontrollierten Testumgebung und entsprechend autorisierten Beteiligten geübt werden.

Was eine Wiederherstellung nicht garantiert

Eine Wiederherstellung anhand eines Seeds kann die Kontrolle über übereinstimmende Schlüssel zurückgeben, nicht aber Transaktionsbezeichnungen, historische Notizen, Kontakte, lokale Entwürfe oder Einstellungen von Drittanbieterkonten, die nur in der ursprünglichen Anwendung gespeichert sind. Sie garantiert auch nicht, dass jedes Netzwerk, jeder Tokenbestand oder jedes vertragsbasierte Konto automatisch angezeigt wird. Bevor Salden sichtbar werden, muss bei einer wiederhergestellten Wallet möglicherweise die passende Kontenerkennung, Netzwerkkonfiguration oder kompatible Kontenimplementierung eingerichtet werden. Das Ledger selbst bleibt durch den Wiederherstellungsprozess unverändert.

Eine Prüfsumme bestätigt nicht, dass die Phrase der Person gehört, die die Wiederherstellung versucht. Eine gültige Phrase garantiert auch nicht, dass die gewünschten Vermögenswerte noch an den abgeleiteten Adressen vorhanden sind. Prüfende und Auditoren sollten den Nachweis einer gültigen BIP-39-Codierung, den Nachweis eines bestimmten abgeleiteten Schlüssels und den Nachweis der Kontrolle über eine angegebene Adresse unterscheiden. Dies sind unterschiedliche Tatsachenbehauptungen.

Standards und professioneller Kontext

BIP-39 spezifiziert die Erstellung von Mnemoniken und die Seed-Ableitung; BIP-32 beschreibt hierarchisch-deterministische Schlüssel; und BIP-44 beschreibt eine Organisationskonvention für mehrere Konten. NIST SP 800-57 Part 1 Revision 5 bietet allgemeine Leitlinien zur Wiederherstellung kryptografischer Schlüssel und zu deren Schutz während des gesamten Lebenszyklus. Diese technischen Dokumente dienen unterschiedlichen Zwecken: Interoperabilitätsspezifikationen behandeln Berechnungen, während Managementleitlinien Schutz und Betriebskontinuität betreffen.

Prüfungsschwerpunkt: Erläutern Sie die Abfolge von zufälliger Entropie über eine BIP-39-Mnemonik und eine optionale Passphrase bis hin zu einem abgeleiteten Seed und deterministischen Schlüsseln. Beachten Sie, dass BIP-39 weder Wallet-Kompatibilität noch eine sichere Wiederherstellung garantiert, und unterscheiden Sie Wiederherstellungswörter von einer App-PIN oder einem Passwort für ein Online-Konto.