Sichere Wallet für Kryptos gratis erzeugen

Frage

Wie können wir eine Kryptowährungs-Wallet (Geldbeutel) erstellen, die nichts kostet und unsere Coins sicher aufbewahrt?

Antwort

Papier-Wallets sind altmodisch, umständlich und unsicher. Hier ist eine Methode, die ich für mich selbst entwickelt habe, die kostenlos ist. Hinweis: Dieses Verfahren eignet sich nur für fortgeschrittene Computerbenutzer. Es funktioniert auf Computern mit mindestens 8 GB RAM (besser 12+) und etwa 10 GB freiem Speicherplatz. Die Schritte wurden nur auf einem Windows-PC getestet, sollten aber auch auf anderen Betriebssystemen funktionieren. So macht man es:

1. Installieren Sie eine Antiviren-Software von Drittanbietern auf dem Hauptcomputer. Solch eine Software wird höchstwahrscheinlich jegwelche lauschenden Spionageprogramme erkennen. Bitte beachten: Erkennungsstatistiken zeigen, dass Windows Defender nicht gut genug ist!
   
   
2. Installieren Sie eine geeignete Firewall-Software wie ZoneAlarm, Comodo oder andere. Es gibt Ihnen die Möglichkeit, auch jede Verbindung zu stoppen, die eine Software ins Internet machen möchte. Hinweis: Die Windows-Firewall ist nicht gut genug. Sie stoppt keine Programme, die Daten von Innen ins Internet schicken wollen.
   
   
3. Laden Sie Oracle VirtualBox herunter
   
   
4. Laden Sie ein neues Windows-Image von Microsoft herunter, zum Beispiel von hier. Wichtig: Laden Sie NICHT von anderen Quellen als von Microsoft-Servern herunter und verwenden Sie immer 'https'.
   
   
5. Laden Sie neue Kopien der folgenden Softwarepakete direkt von den Herstellern herunter, NICHT aus Archiven. Wenn die Software auf der Website einen Fingerabdruck anzeigt (Abfolge von Bytecodes), kopieren Sie diese in eine Textdatei "Fingerprints.txt".
   • Ihre bevorzugte Cryptocurrency Wallet-Software
   • KeePass ab Version 2
     
     
6. Kopieren Sie die heruntergeladenen Dateien aus Schritt 5 und "Fingerprints.txt" in einen separaten Ordner mit dem Namen "Shared Folder".
   
   
7. Starten Sie VirtualBox. Wenn Ihre Firewall-Software nach einer Verbindung fragt, sagen Sie Nein. Fügen Sie das Windows-Abbild hinzu. Dadurch wird ein neuer Eintrag für eine virtuelle Maschine hinzugefügt.
   
   
8. Gehen Sie zu "Machine Setting->General->Advanced->Shared Clipboard" und wählen Sie "Disabled". Dadurch wird die Übertragung von Daten aus der Zwischenablage zwischen dem Hauptcomputer und der virtuellen Box unterbunden.
   
   
9. Gehen Sie zu "Machine Setting->General->Advanced->Drag'n'Drop" und wählen Sie "Disabled".
   
   
10. Gehen Sie zu "Geräteeinstellungen->Shared Folders" und fügen Sie unseren "Shared Folder" aus Schritt 6 hinzu. Dadurch können wir Daten zwischen dem Hauptcomputer und der virtuellen Box übertragen.
    
    
11. Gehen Sie zu "Geräteeinstellungen->Netzwerk->Verbunden mit" und wählen Sie "Nicht angeschlossen". Dadurch wird der Internetzugang der virtuellen Maschine unterbunden.
    
    
12. Starten Sie die virtuelle Maschine. Sie sollten nun den Inhalt des freigegebenen Ordners als Netzlaufwerk sehen können.
    
    
13. Vergleichen Sie die Fingerabdrücke jeder Software, indem Sie mit der rechten Maustaste darauf klicken und "Eigenschaften->Digitale Signatur->Zertifikat->Details->Zertifikat anzeigen->Details->Fingerabdruck" anzeigen.
    
    
14. Installieren Sie Ihre gesamte Software. Wenn Sie ein Passwort eingeben müssen, besteht die Möglichkeit, dass ein Tastaturspionageprogramm auf dem Hauptcomputer diese Tastenanschläge mitliest. Um dem entgegenzuwirken, können Sie folgende Methoden verwenden:
    
    
    • Geben Sie niemals Passwörter in einer Sequenz ein. Sie können die meisten Spionageprogramme austricksen, indem Sie das Passwort in Teilen eingeben. Geben Sie zuerst das Ende oder einen Mitteltein ein, klicken Sie auf ein anderes Programm innerhalb oder außerhalb der Virtual Box, geben Sie dort irgendwelche Tasten zum Schein ein, klicken Sie auf einen anderen Teil des Passworts (zum Beispiel den Start), geben Sie wieder einen Teil ein und wiederholen Sie dies mehrmals.
      
      
    • Vermeiden Sie es, im Hauptcomputer Daten in die Zwischenablage zu kopieren. Die Zwischenablage ist wie ein Radiosender und sehr einfach abzuhören. Stellen Sie Ihre Passwörter besser in eine KeePass-Datenbankdatei, legen Sie diese in den 'Shared Folder' und öffnen Sie sie in der virtuellen Box. Innerhalb der virtuellen Box ist es sicher, Daten in die Zwischenablage zu kopieren, da wir in Schritt 8 sichergestellt haben, dass solche Daten nicht in die Zwischenablage des Hauptcomputers übertragen werden. Nutzen Sie generell immer die KeePass-Funktion "Perform Autotype" im Rechtsklick-Menü, die viel sicherer ist als die Zwischenablage. Wenn Sie die Zwischenablage nicht vermeiden können, kopieren Sie jeweils wie oben beschrieben nur Teile und übertragen Sie wenigstens die letzten drei/vier Zeichen von irgendeiner Stelle durch im Kopf behalten. Das gesamte Passwort wird so nie in der Zwischenablage erscheinen.
      
      
    • Noch ein Hinweis: Es gäbe ein Produkt, dass noch mehr vor dem Lauschen schützen würde: Keyscrambler. Aber keine der Produktvarianten schützt derzeit die Oracle Virtualbox [2018/04].
      
      
15. Machen Sie ein Backup der virtuellen Maschine, indem sie das Verzeichnis kopieren, in der sie liegt (nicht per Export-Funktion). Dadurch frieren Sie diesen Zustand so ein, wie er ist, und sie können das Image auch nach seinem Ablaufdatum weiterhin benutzen.
    
    
16. Speichern Sie eine Kopie Ihrer KeePass-Datenbankdatei an einem anderen Ort, zB. auf einem USB-Laufwerk, einem externen Laufwerk oder sogar einem Cloud-Laufwerk. Verwenden Sie eine zusätzliche Schlüsseldatei in Verbindung mit Ihrem Passwort, um es noch unknackbarer zu machen. Sie können deren Inhalt auf Papier schreiben (sehr sicher) oder einfach auf einem lokalen Laufwerk oder USB-Stick ablegen. Sie müssen die Datei in jedem Fall aus dem virtuellen Image herauskopieren, da das Image nach ein paar Monaten nicht mehr laufen wird. Sie können dann das Backup von Schritt 15 nochmals einspielen und die KeePass-Datenbankdatei hineinkopieren.
    

Sicherheitsanalyse

Wie sicher ist diese Methode? Es hängt von der Sicherheit jedes verwendeten Teils ab. Die Kombination von ihnen bestimmt die gesamte Sicherheit.

• Windows ISO-Image: Es ist sehr unwahrscheinlich, dass Microsoft Abhorch-Software in ein Windows-Image eingebettet hat. Aber es kann nicht ausgeschlossen werden. Es gibt Gerüchte, dass es eine Hintertür für die Regierung gibt [Edward Snowden]. Da wir es der virtuellen Maschine jedoch nicht erlaubt haben, über das Internet zu kommunizieren, ist nahezu garantiert, dass es sicher ist. Des weiteren ist es aufgrund der Größe des Images fast unmöglich, es schnell von Ihrem Computer wegzukopieren. Da es sich bei den Images um Test-Images handelt, kriegen wir netterweise nach einigen Monaten der Nutzung eine automatische Deaktivierungsfunktion gratis dazu. Man könnte auch sagen, die Images haben ein Verfalldatum, nur so für den Fall, dass das Laufwerk doch einmal in falsche Hände geraten würde.
  
  
• Oracle VirtualBox Software: Das gleiche wie für das Windows Image. Die Box könnte tatsächlich eine Kommunikation mit dem Internet herstellen, aber auch dies ist sehr unwahrscheinlich. Wenn Sie eine geeignete Firewall installiert haben, können Sie diese Verbindung auch blockieren. Aber: Im Jahr 2017 wurde ein Angriff präsentiert, bei dem ein böswilliger Prozess Daten abhören konnte, die in einer VM verarbeitet werden. Es ist aber sehr kompliziert und ich habe noch nie von einem Angriff gehört, der dieses Szenario benutzen würde.
  
  
• Übertragung von Daten über den "Shared Folder": Ja, jede Schadsoftware kann dies angreifen. Dem begegnen wir durch den Vergleich der Fingerabdrücke und speichern dort keine unverschlüsselten Passwörter.
  
  
• KeePass ab Version 2: KeePass verschlüsselt mit AES-256, das unter der Bedingung, dass es durch ein starkes Master-Passwort geschützt wird, als sicher gilt. Man sollte sich Passwörter möglichst nicht selber ausdenken, sondern den eingebauten Password-Generator verwenden. Idealerweise ist es mindestens 30 Zeichen lang. Manchmal gibt es aber leider noch ältere Software, die mit langen Passwörtern und/oder Sonderzeichen darin nicht gut zurande kommt. Das kann man leider häufig nur durch Testen herausfinden.
  
  Man sollte noch ein paar Verbesserungen in Tools->Options im Tab 'Security' vornehmen:
  
  • Lock workspace when locking the computer: Ein
  • Lock workspace when Computer suspended: Ein
  • Lock workspace when remote control changes: Ein
  • Clear clipboard when closing: Ein
  • Enter master key on secure desktop: Ein
  • Clear master key command line: Ein

  Die Sicherheit von KeePass kann erheblich vergrössert werden, wenn für das Master-Passwort eine zusätzliche Schlüsseldatei verwendet wird, die auf dem lokalen Computer gespeichert ist. Der Inhalt des Keyfiles kann auch auf Papier geschrieben werden, er ist sehr kurz, so dass ausgeschlossen werden kann, dass er irgendwo online zu sehen ist. Da der Quellcode von KeePass offen ist, ist es sehr unwahrscheinlich, dass Schadcode darin enthalten ist.
  

• Wallet-Software: Dies ist der schwächste Punkt. Es ist sehr unwahrscheinlich, dass eine Wallet-Software schädlich ist, wenn sie direkt vom Urheber heruntergeladen wird, weil dies dessen Geschäft ruinieren würde. Selbst wenn die Wallet sich entscheiden würde, Ihren privaten Schlüssel ins Netz zu senden, würde es keine Internetverbindung dafür geben.
  
  
• Allgemein: Es gibt stets noch das Risiko, dass eine Spyware auf dem Hauptcomputer andauernd Screenshots macht und diese nach Hause verschickt. Solche Mittel sollen zB. im Bundestrojaner eingebaut sein, und wohl auch in den von den Dreibuchstaben-US-Staatsfirmen hergestellten Tools. Gegen diese hat man generell keine Chance. Dies ist jedoch nichts Neues, dieses Risiko besteht mit oder ohne Cryptocurrency-Wallet. Gemäss obigem Bericht werden solche Spione jedoch von einer guten Antiviren-Software erkannt. Zudem sind die zu übertragenden Daten beachtlich gross, was wiederum einem aufmerksamen Beobachter auffallen kann. Danach müssen die Daten meiner Vermutung nach zurzeit immer noch durch Menschen interpretiert werden. So etwas wird wohl extrem selten eingesetzt. Wer zusätzlich zu seinem Antivirenprogramm auch selber mal auf die Pirsch gehen will, dem seien die zwei Tools Process Monitor und Process Explorer von Microsoft empfohlen. Man kann es nie genug betonen: Man lädt so etwas ausschliesslich direkt vom Hersteller herunter, niemals von einer Dritt-Webseite.
  
  

Weitere nützlichen Infos

• Viel bequemer geht das alles mit einem Crypto-Stick, aber nur mit Kosten von ca. 70 €/CHF/$. Es gibt da hauptsächlich die Trezor und die Ledger Produkte. Wir selber betreiben den Ledger Nano S, und der funktioniert sehr gut, wenn einmal die anfänglichen Probleme überwunden wurden. Kennt man unsere Problemlösungsinfos-Seite hier, ist alles ok.
  
  
• Wir haben einige nützliche Funktionen bezüglich Krypto-Wallets in unsere Freemium-Software Mighty Desktop eingebettet:
  
  • Mit Seed Enigma™ können Sie Ihre Wallet-Passphrase mit einem persönlichen Passwort verschlüsseln. Dies garantiert, dass Ihre kostbare Wallet nur von Ihnen, und nur von Ihnen, geöffnet werden kann.
    
    
  • Mit der Funktion Zufallszeichenkette erzeugen können Sie ein völlig zufälliges Passwort mit beliebigen Zeichen und beliebiger Länge erstellen
    
    
  • Mit der Funktion Zufällige Wörter auswählen des 'Textexperten' können Sie Wörter für eine Seed-Phrase aus einer beliebigen Tabelle mit Wörtern aus der ganzen Welt auswählen.
    
    
  • Mit der Registerkarte Datei-Protektor können Sie Ihre Wallets jederzeit gesperrt halten, bis Sie sie benötigen. Sobald Sie das Wallet-Programm starten, werden sie entsperrt, bis Sie das Programm wieder schließen.