Warum das Secure Element kein Single Point of Trust ist

Der erste Artikel der Secure-Element-Serie hat erklärt, was ein Secure Element ist. Der zweite Teil zeigte, welche Angreifer es abwehrt – und welche nicht. In diesem Beitrag geht es um eine andere Frage: Selbst wenn der Chip perfekt sicher ist – reicht das aus?
 

  The short answer is no. And the reason has nothing to do with the chip's engineering. Most successful attacks against hardware wallet users do not break the secure element. They don't need to. They exploit the layers around it, the seed phrase written on a piece of paper, the firmware that tells the chip what to do, and the PIN that controls access to the device. The secure element can be technically impenetrable while the wallet it lives inside is thoroughly compromised.
 

Das bedeutet: Wallet-Sicherheit ist ein System – kein einzelner Chip. Das Secure Element ist die stärkste Komponente dieses Systems, seine innerste Verteidigung. Aber es ist nur ein Baustein. Wer es als alleinigen Schutz betrachtet, missversteht das Konzept – und genau das nutzen Angreifer aus.

Eine mittelalterliche Burg war mehr als nur der zentrale Turm (Keep). Sie bestand aus mehreren Verteidigungsschichten: Graben, äußere Mauern, innere Mauern, Torhaus – und schließlich der Keep im Zentrum. Jede Schicht hatte eine eigene Funktion und hielt unterschiedliche Angreifer auf. Das Durchbrechen einer Schicht beendete den Angriff nicht, sondern brachte den Angreifer nur näher an die nächste Verteidigung. Der Keep war der sicherste Punkt – aber eine Burg ohne intakte Außenmauern war schlecht geschützt, egal wie stark der Keep war.

Schicht eins: Firmware-Integrität und Secure Boot

Das Secure Element speichert und schützt den privaten Schlüssel. Aber das Element entscheidet nicht selbst, was damit geschieht – es folgt Anweisungen. Diese Anweisungen kommen von der Firmware des Geräts, also der Software, die auf dem Hauptprozessor der Hardware-Wallet läuft und deren Verhalten steuert.

Das wirft eine wichtige Frage auf: Woher weißt du, dass die Firmware, die dem Secure Element Befehle gibt, wirklich vom Hersteller stammt und nicht manipuliert wurde?
 

Was bedeutet Firmware-Integrität?

Firmware-Integrität heißt: Auf deinem Gerät läuft exakt der Code, den der Hersteller ausgeliefert hat – unverändert, nicht kompromittiert, authentisch. In einer Hardware-Wallet steuert die Firmware alles Sichtbare: wie das Gerät reagiert, wie Transaktionen erstellt und zur Signatur angezeigt werden.

Kann ein Angreifer die Firmware austauschen oder manipulieren, erhält er weitreichende Kontrolle. Manipulierte Firmware könnte eine andere Adresse anzeigen als tatsächlich signiert wird, Beträge heimlich verändern, die Benutzeroberfläche manipulieren, um die PIN auszulesen oder – je nach Architektur – Bedingungen schaffen, die den Schutz des Secure Elements schwächen. Für all das muss das Secure Element selbst nicht geknackt werden. Die Kontrolle erfolgt über die Kommunikation mit dem Chip und die angezeigten Daten.

Secure Boot

Die wichtigste technische Abwehr gegen manipulierte Firmware ist Secure Boot: Beim Start prüft das Gerät die kryptografische Signatur der Firmware. Nur wenn diese mit dem öffentlichen Schlüssel des Herstellers übereinstimmt, darf die Firmware ausgeführt werden. Jede legitime Firmware wird mit dem privaten Schlüssel des Herstellers signiert. Ist die Signatur ungültig – etwa weil die Firmware verändert, ersetzt oder beschädigt wurde – startet das Gerät nicht.

Das ist ein wirksamer Schutz – aber mit Grenzen. Secure Boot garantiert, dass nur vom Hersteller signierte Firmware läuft. Es garantiert nicht, dass die Infrastruktur zum Signieren niemals kompromittiert wurde, dass die Firmware selbst keine Schwachstellen enthält oder dass ein künftiges Update keine neue Lücke einführt. Das sind Restrisiken – bei seriösen Herstellern aber meist gering.

Was diese Schicht nicht abdeckt

Secure Boot schützt nicht vor Schwachstellen in echter, korrekt signierter Firmware. Ein Fehler in der Original-Firmware – auch unbeabsichtigt eingebaut – kann ausgenutzt werden. Deshalb ist Update-Hygiene so wichtig: Nur aktuelle Firmware schließt bekannte Lücken, aber jede Aktualisierung erfordert auch Vertrauen in die neue Version.

Seriöse Hersteller von Hardware-Wallets veröffentlichen Firmware-Changelogs, machen die Firmware unveränderbar, lassen unabhängige Prüfungen zu und ermöglichen es in manchen Fällen, Firmware-Hashes vor der Installation selbst zu überprüfen.
 

Schicht zwei: PIN und Zugriffskontrolle

Setzt man voraus, dass Firmware und Secure Element intakt sind, ist die nächste Schutzschicht die Zugriffskontrolle: Wer darf dieses Gerät überhaupt nutzen?

Hardware-Wallets verlangen in der Regel eine PIN – einen Zahlencode, der direkt am Gerät eingegeben wird, bevor es auf Befehle reagiert. Die PIN verhindert, dass jemand, der das Gerät in die Hände bekommt, es einfach nutzen kann. Ohne die richtige PIN werden keine Transaktionen signiert, keine Adressen angezeigt und keine Funktionen freigegeben.

Wie PIN-Schutz mit dem Secure Element funktioniert

Die PIN wird direkt im Secure Element geprüft – nicht vom allgemeinen Prozessor des Geräts. Das ist ein entscheidendes Architekturmerkmal: Würde die PIN-Prüfung in der Software auf dem Hauptprozessor erfolgen, könnte ein Angreifer mit Zugriff auf diesen die Prüfung umgehen. Im Secure Element gilt derselbe Manipulationsschutz wie für die Schlüssel.

Die meisten zertifizierten Hardware-Wallets zählen PIN-Versuche ebenfalls im Secure Element. Nach einer festgelegten Zahl falscher Eingaben – meist drei bis zehn – löscht sich das Gerät selbst, sperrt dauerhaft oder, wie bei Tangem, verlängert die Sicherheitswartezeit. So wird Brute-Force-Raten verhindert: Selbst eine vierstellige PIN mit 10 Versuchen ist praktisch nicht zu knacken.

Wann PIN-Schutz stark ist

Gegen Gelegenheitsdiebstahl – jemand findet oder stiehlt dein Gerät, kennt aber die PIN nicht – ist die Kombination aus PIN-Prüfung im Gerät und Versuchslimit äußerst effektiv. Der Angreifer steht vor einem gesperrten Gerät, das sich löscht, bevor er den Code erraten kann. Das Torhaus erfüllt seine Aufgabe.

Wann PIN-Schutz schwach ist

Die PIN schützt das Gerät vor unbefugter Nutzung – aber nicht die Seed-Phrase. Das sind zwei getrennte Schichten der Burg, die unterschiedliche Dinge schützen.

Wird bei einem Einbruch sowohl das Gerät als auch die aufgeschriebene Seed-Phrase gestohlen, ist die PIN bedeutungslos. Die Angreifer brauchen das Gerät gar nicht – sie können die Wallet mit der Seed-Phrase in jeder kompatiblen Software-Wallet wiederherstellen. Das Torhaus wurde komplett umgangen.

PIN-Sicherheit hängt außerdem davon ab, dass die PIN nicht beobachtet wird. Wird sie in der Öffentlichkeit eingegeben, von einer Kamera aufgezeichnet oder von jemandem in der Nähe gesehen, ist sie kompromittiert – unabhängig von der Stärke des Secure Elements.

Außerdem schützt die PIN nur vor unbefugter Nutzung. Sie schützt nicht vor erzwungener Herausgabe unter Zwang. Wird eine Person bedroht und zur Herausgabe der PIN gezwungen, kann auch der Chip nicht helfen. Das ist kein Designfehler – sondern liegt außerhalb technischer Schutzmöglichkeiten.
 

Schicht drei: Seed-Phrase-Aufbewahrung

Die Seed-Phrase – die 12 oder 24 Wörter, die bei der Einrichtung einer Hardware-Wallet generiert werden – ist die menschenlesbare Darstellung des privaten Schlüssels. Sie dient als Backup: Verlierst oder zerstörst du dein Gerät, kannst du dein Wallet mit diesen Wörtern auf einem neuen Gerät wiederherstellen. Jedes Wort ist ein Baustein; zusammen ergeben sie den Schlüssel, den das Secure Element geschützt hat.

Dieses Design ist einerseits essenziell, andererseits die größte strukturelle Schwachstelle bei den meisten Hardware-Wallets.

Warum die Seed-Phrase die Burg-Metapher durchbricht

Alles bisher Beschriebene – Secure Boot, PIN-Schutz, Manipulationsresistenz des Secure Elements – basiert auf der Annahme: Der private Schlüssel bleibt im Chip, und nur der Chip gibt Zugriff.
 

Die Seed-Phrase unterläuft diese Annahme. Sie ist eine Kopie des Schlüssels – im Klartext, als Wörter, außerhalb des Chips: auf Papier, auf Metall, im Haus, vielleicht an mehreren Orten. Wer sie findet, kann den privaten Schlüssel rekonstruieren – ohne das Gerät je zu berühren. Jeder Schutz des Chips ist in dem Moment irrelevant, in dem die Seed-Phrase in fremde Hände gerät.
 

Das ist kein Fehler im Hardware-Wallet-Design, sondern ein bewusster Kompromiss: Der Verlust des Geräts soll nicht zum Totalverlust der Gelder führen. Das Backup eröffnet zwangsläufig eine neue Schwachstelle. Entscheidend ist, wie mit diesem Risiko umgegangen wird.

Bedrohungsszenarien für Seed-Phrases

Seed-Phrases sind Angriffen ausgesetzt, gegen die Chips nicht schützen können:

• Physical theft: Eine auf Papier notierte Seed-Phrase, die bei einem Einbruch gefunden wird, ist für jeden nutzbar – ganz ohne technisches Wissen, nur mit einer kompatiblen Wallet-App.
   

• Fire and water damage: Im Gegensatz zur Hardware-Wallet, die ersetzt werden kann, führt eine zerstörte Seed-Phrase zum unwiederbringlichen Verlust der Gelder.
   

• Inadvertent exposure: Wer die Seed-Phrase fotografiert, in einer Cloud-Notiz speichert oder irgendwo digital eingibt, setzt sie dem Risiko des Diebstahls aus der Ferne aus.
   

• Inheritance and estate: Gibt es keinen Notfallplan, wie vertrauenswürdige Personen an die Seed-Phrase kommen, sind die Mittel nach Tod oder Handlungsunfähigkeit des Besitzers dauerhaft verloren.

Wie Seed-Phrase-Aufbewahrung gehärtet wird

Der Standard ist ein physisches Backup auf haltbarem Material – mindestens Papier, für größere Beträge spezielle Metallplatten – an einem sicheren Ort (Tresor, Bankschließfach), möglichst ohne offensichtlichen Bezug zur Identität des Besitzers.

Darüber hinaus gibt es verschiedene Ansätze, das Risiko zu verringern:

• Passphrase protection (25th word): Viele Seed-Phrase-Standards erlauben eine zusätzliche Passphrase, die mit der Seed-Phrase kombiniert wird. Wer nur die Seed-Phrase kennt, aber nicht die Passphrase, hat keinen Zugriff auf die Gelder. Die Passphrase muss auswendig gelernt oder separat gesichert werden – sie ist ein weiteres Geheimnis, das geschützt werden muss.
   

• Shamir's Secret Sharing: Die Seed-Phrase kann mit kryptografischen Methoden in mehrere Teile (Shares) aufgeteilt werden, von denen erst eine bestimmte Anzahl gemeinsam den Schlüssel wiederherstellt (z. B. drei von fünf). So wird das Risiko auf mehrere Orte und Personen verteilt.
   

• Multi-signature wallets: Statt einer einzelnen Seed-Phrase werden mehrere unabhängige Schlüssel für Transaktionen benötigt. Das Kompromittieren eines einzelnen Schlüssels oder einer Seed-Phrase reicht nicht aus. Das ist ein grundsätzlich anderes Sicherheitsmodell – nicht bloß eine bessere Aufbewahrung.

Was keine Technik vollständig löst

Am Ende hängt die Sicherheit der Seed-Phrase immer vom Menschen ab: Wo wird sie aufbewahrt? Wer kennt sie? Wird sie regelmäßig überprüft und bei Bedarf aktualisiert? Kein Chip kann dafür sorgen, dass ein Zettel am richtigen Ort liegt. Diese Ebene der Burg hängt am stärksten vom Nutzer ab – nicht von der Hardware.

Das System als Ganzes

Die Burg-Metapher über diese drei Schichten zeigt, wie Hardware-Wallet-Sicherheit in der Praxis funktioniert – und wo sie scheitern kann.

The secure element is the keep: der am besten geschützte Punkt, an dem der Schlüssel tatsächlich liegt – abgesichert durch Technik, die direkte Angriffe der meisten Angreifer verhindert. Oft die härteste Schicht, die es zu überwinden gilt.

Firmware integrity and secure boot are the outer walls: Sie bestimmen, welcher Code überhaupt bis zum Keep vordringen darf – und stellen sicher, dass der Chip nur legitime Anweisungen erhält. Eine Burg ohne Außenmauern ist nicht geschützt, egal wie stark der Keep ist.

The PIN and access controls are the gatehouse: die menschlich bediente Kontrollstelle, die Unbefugte am Zugang hindert. Effektiv gegen Gelegenheitsangriffe – weniger gegen gezielte Attacken.

The seed phrase is the secret passage: der geheime Zugang, der im Notfall genutzt werden kann – aber alle anderen Schutzmechanismen aushebelt, wenn er in falsche Hände gerät. Die Sicherheit dieses Zugangs hängt fast ausschließlich davon ab, wo er liegt und wer davon weiß.
 

Die praktische Folge dieser Architektur: Die effektive Sicherheit des Systems wird nicht durch die stärkste, sondern durch die schwächste Schicht bestimmt – und zwar im Kontext der realen Bedrohung. Wer ein Secure Element mit EAL6+ Zertifizierung nutzt, aber die Seed-Phrase unverschlüsselt in einer Notiz-App auf dem Handy speichert, hat letztlich nur den Schutz der Notiz-App – ganz gleich, wie sicher der Chip ist.

Wallet-Sicherheit ist ein System. Das Secure Element ist das wichtigste Bauteil dieses Systems. Aber: „Das Secure Element ist stark“ heißt nicht „die Wallet ist sicher“. Das sind zwei verschiedene Aussagen.

Das Secure Element verdient seine zentrale Rolle: Es löst das schwierigste Problem – den Schutz des privaten Schlüssels vor technischen Angriffen aus der Ferne und vor Ort. Aber es arbeitet immer im Kontext eines Gesamtsystems aus Firmware, Zugriffskontrolle und Backup, das ebenfalls ernst genommen werden muss.

Das Verständnis für das Gesamtsystem ist kein Argument gegen Hardware-Wallets oder das Secure Element – sondern dafür, alle Ebenen ernst zu nehmen. Das beginnt damit, zu verstehen, was jede Schicht leistet – und was nicht.