Was ist ein Secure Element – und warum braucht eine Cold Wallet eines?

Wer sich mit Hardware-Wallets – auch Cold Wallets genannt – beschäftigt, stößt fast immer auf den Begriff „Secure Element“. Er taucht auf Produktseiten auf, wird in Sicherheitsvergleichen erwähnt und gilt als einer der Hauptgründe, warum Hardware-Wallets als sicherer als Software-Alternativen gelten. Doch was steckt wirklich dahinter?
 

Dieser Artikel beantwortet diese Frage von Grund auf. Am Ende weißt du genau, was ein Secure Element ist, warum es existiert, wie es funktioniert und warum es so entscheidend für den Schutz deiner Kryptowährungen ist.
 

Starten wir mit dem Problem

Um zu verstehen, warum ein Secure Element notwendig ist, musst du zunächst wissen, was du beim Besitz von Kryptowährungen eigentlich schützt.

Im traditionellen Finanzsystem liegt dein Geld bei einer Bank. Die Bank ist dafür verantwortlich, es zu schützen. Wird zum Beispiel deine Kreditkartennummer gestohlen, kann die Bank die Transaktion rückgängig machen und dir eine neue Karte ausstellen. Der Schutz basiert nicht auf einer geheimen Nummer, sondern auf dem Institut im Hintergrund.

Bei Kryptowährungen läuft es grundlegend anders: Es gibt keine Bank, keine Rückbuchungen und keinen Kundensupport. Deine Krypto-Assets werden durch einen privaten Schlüssel kontrolliert – eine sehr große Zufallszahl, meist als Zeichenkette wie diese dargestellt:

5KJvsngHeMpm884wtkJNzQGaCErckhHJBGFsvd3VyK5qMZXj3hS

Dieser private Schlüssel ist der einzige Nachweis, dass du deine Coins besitzt. Wer den Schlüssel kontrolliert, kontrolliert auch die Vermögenswerte – Punkt. Gelangt jemand anderes an eine Kopie, kann er deine Wallet sofort leeren, und es gibt keine Möglichkeit, die Coins zurückzubekommen.

Das stellt eine besondere Sicherheitsherausforderung dar: Wie bewahrt man einen privaten Schlüssel so auf, dass er praktisch unmöglich gestohlen oder verloren werden kann?

Der private Schlüssel ist alles. Ihn zu schützen ist die Hauptaufgabe einer Hardware-Wallet – und das Secure Element ist das Herzstück dieses Schutzes.

Was ist ein Secure Element?

Ein Secure Element (oft abgekürzt als SE) ist ein spezialisierter Mikrochip, der von Grund auf dafür entwickelt wurde, sensible Daten sicher zu speichern und zu schützen. Es ist kein Allzweck-Prozessor, führt keine Apps aus und surft nicht im Internet. Seine einzige Aufgabe ist es, Geheimnisse zu bewahren und kryptografische Operationen so auszuführen, dass Manipulation, Auslesen und Störungen verhindert werden.

Wahrscheinlich hast du schon oft ein Secure Element benutzt, ohne es zu wissen. Es steckt zum Beispiel in:

• Kredit- und Debitkarten – der kleine goldene Chip, den du ins Terminal steckst

• Reisepässen – der integrierte Chip, der biometrische Daten speichert

• SIM-Karten im Handy – sie authentifizieren deine Identität beim Mobilfunkanbieter

• Apple Pay und Google Pay – die Kartendaten werden sicher auf dem Gerät gespeichert

 In all diesen Fällen übernimmt das Secure Element dieselbe Kernaufgabe: Es bewahrt sensible Informationen (Kartennummer, biometrische Daten, Authentifizierungsdaten) so auf, dass sie nicht ausgelesen, kopiert oder manipuliert werden können – selbst von sehr erfahrenen Angreifern nicht.

Wie unterscheidet sich ein Secure Element von einem normalen Chip?

In Laptops, Smartphones und den meisten elektronischen Geräten stecken Standard-Mikroprozessoren. Sie sind extrem leistungsfähig und flexibel, führen Betriebssysteme aus, können tausende verschiedene Anwendungen starten und riesige Datenmengen verarbeiten.

Doch sie sind nicht mit Fokus auf physische Sicherheit gebaut. Hat ein Angreifer physischen Zugriff auf ein Gerät mit Standard-Chip, gibt es bekannte Methoden, um Daten auszulesen: Power-Analysen, Fehler-Injektion, Auslesen der Schaltkreise unter dem Mikroskop und mehr.

Ein Secure Element ist so konstruiert, dass es genau diese Angriffe auf Hardware-Ebene abwehrt. So funktioniert das:

Manipulationssicheres physisches Design

Der Chip ist von Materialien umgeben, die physisches Auslesen extrem erschweren. Wer versucht, die äußeren Schichten zu entfernen oder mit einer Sonde interne Signale zu messen, zerstört meist den Chip oder löst Sicherheitsmechanismen aus – etwa eine automatische Selbstzerstörung, die alle gespeicherten Daten löscht. Der Chip ist so gebaut, dass er beim Öffnen praktisch unlesbar wird.

Aktive Angriffserkennung

Secure Elements sind mit Sensoren ausgestattet, die auf ungewöhnliche Bedingungen achten: abweichende Spannungen, plötzliche Temperaturänderungen, elektromagnetische Störungen oder Lichteinfall (z. B. beim Öffnen des Chips für eine Analyse). Wird so etwas erkannt, sperrt oder löscht der Chip seinen Speicher automatisch.

Isolierter Speicher

Private Keys und andere sensible Daten verlassen das Secure Element nie in lesbarer Form. Muss eine Transaktion signiert werden, findet die Signatur direkt im Chip statt. Das Ergebnis – die signierte Transaktion – verlässt den Chip, der Schlüssel selbst bleibt für immer verborgen im Inneren.

Dedizierte Kryptografie-Hardware

Secure Elements enthalten speziell entwickelte Schaltkreise für kryptografische Aufgaben wie das Erzeugen von Zufallszahlen, das Erstellen von Schlüsselpaaren und das Signieren von Transaktionen. Diese Hardware ist darauf optimiert, diese Aufgaben sicherer als herkömmliche Prozessoren auszuführen.

Sicherheitszertifizierungen

Die meisten Secure Elements, die in sicherheitskritischen Anwendungen wie Hardware-Wallets eingesetzt werden, durchlaufen strenge unabhängige Tests und erhalten formale Zertifizierungen von Prüfstellen. Am verbreitetsten ist der Standard Common Criteria (CC); für Hardware-Wallets sind die Stufen CC EAL5+ oder EAL6+ relevant. Diese Zertifikate bedeuten, dass Sicherheitsexperten versucht haben, den Chip mit modernsten Methoden zu knacken – und bestätigt haben, dass er einem definierten Sicherheitsstandard entspricht.

Ein Standard-Chip ist wie ein verschlossener Aktenschrank. Ein Secure Element ist ein Tresor – nach ganz anderen Standards gebaut, gegen andere Bedrohungen getestet und so konzipiert, dass selbst die Entwickler nicht einfach an die Inhalte kommen.
 

Was passiert in einer Hardware-Wallet ohne Secure Element?

Schauen wir uns kurz die Alternative an: Manche Hardware-Wallets und viele Software-Wallets verzichten auf ein Secure Element.
 

Software-Wallets (wie MetaMask, Trust Wallet oder jede Wallet-App auf deinem Handy oder Computer) speichern den privaten Schlüssel im allgemeinen Speicher deines Geräts. Dieser Schlüssel kann zwar durch ein Passwort verschlüsselt sein, liegt aber dennoch auf einem Gerät, das mit dem Internet verbunden ist, auf dem viele andere Anwendungen laufen und das potenziell Malware ausgesetzt ist.
 

Einige Hardware-Wallets nutzen einen Standard-Mikrocontroller, also einen Allzweck-Chip, statt eines dedizierten Secure Elements. Diese Geräte sind zwar „cold“, da sie nicht mit dem Internet verbunden sind, was die Angriffsfläche deutlich reduziert. Doch der private Schlüssel liegt im normalen Speicher, der bei physischem Zugriff durch den Angreifer leichter ausgelesen werden könnte.
 

Eine Hardware-Wallet mit Secure Element bietet hier eine ganz andere Schutzebene: Selbst wenn jemand das Gerät stiehlt und in ein professionelles Elektronik-Labor bringt, bleibt der Schlüssel im Secure Element unerreichbar.

Ein privater Schlüssel im Secure Element

Um das greifbar zu machen, gehen wir Schritt für Schritt durch, was passiert, wenn du eine Hardware-Wallet mit Secure Element einrichtest und damit eine Transaktion durchführst.

Schritt 1: Schlüsselerzeugung

Beim ersten Einrichten erzeugt das Gerät den privaten Schlüssel komplett im Secure Element. Dafür kommt ein zertifizierter Zufallszahlengenerator zum Einsatz, der direkt im Chip integriert ist – kein Software-Algorithmus, der vorhersagbar oder reproduzierbar wäre. Der Schlüssel wird im sicheren Bereich generiert und niemals nach außen übertragen.

Schritt 2: Schlüsselspeicherung

Der private Schlüssel wird im geschützten Speicher des Secure Elements abgelegt. Er ist verschlüsselt und isoliert. Der Hauptprozessor des Geräts, der z. B. das Display steuert, hat keinen direkten Zugriff darauf.

Schritt 3: Transaktionssignatur

Wenn du eine Kryptowährung versenden möchtest, wird der Hash der Transaktionsdetails (Empfängeradresse, Betrag) an das Secure Element übergeben. Nach deiner Bestätigung signiert der private Schlüssel im Chip die Transaktion. Die signierte Transaktion verlässt den Chip – der private Schlüssel bleibt im Inneren.

Schritt 4: Übertragung

Die signierte Transaktion wird an eine Begleit-App auf deinem Computer oder Smartphone übergeben, die sie ins Blockchain-Netzwerk sendet. Zu keinem Zeitpunkt gelangt dein privater Schlüssel auf ein mit dem Internet verbundenes Gerät.

Gegen welche Angriffe schützt ein Secure Element?

Das Bedrohungsmodell zu verstehen ist wichtig. Ein Secure Element ist kein Allheilmittel, sondern schützt gezielt gegen klar definierte Angriffsarten. Dazu zählen:

Remote-Angriffe

Dein privater Schlüssel existiert nie auf einem mit dem Internet verbundenen Gerät. Deshalb haben Angreifer, Malware, Phishing-Software, Keylogger oder Man-in-the-Middle-Attacken keine Chance, den Schlüssel zu stehlen. Es gibt keine Kopie, die sie erreichen könnten.

Physische Extraktionsangriffe

Wird deine Hardware-Wallet gestohlen und versucht jemand, direkt auf den Chip-Speicher zuzugreifen, machen das manipulationssichere Design und aktive Gegenmaßnahmen des Secure Elements dies extrem schwer. Auf höchstem Zertifizierungsniveau braucht es dafür Ressourcen auf Regierungsniveau, spezielle Elektronenmikroskope und ausgefeilte Fehler-Injektionsgeräte – und selbst dann ist Erfolg nicht garantiert.

Side-Channel-Angriffe

Bei Side-Channel-Angriffen wird versucht, durch Beobachtung äußerer Signale (z. B. Stromverbrauch, elektromagnetische Abstrahlung oder Zeitverhalten) Rückschlüsse auf interne Vorgänge zu ziehen. Secure Elements sind speziell darauf ausgelegt, solche Signale zu minimieren und ihr Verhalten zu randomisieren, um diese Analysen zu erschweren.

Supply-Chain-Angriffe

Zertifizierte Secure Elements werden in kontrollierten Fabriken hergestellt und durchlaufen Prüfprozesse, die es erschweren, während der Produktion Hardware-Backdoors einzubauen. Das ist wichtig, denn ein kompromittierter Chip, der schon vor der Auslieferung manipuliert wurde, könnte Schlüssel unbemerkt weitergeben.

Wogegen Secure Elements nicht schützen

Die Grenzen müssen klar sein. 

• Ein Secure Element kann dich nicht schützen, wenn du deine Seed-Phrase (das menschenlesbare Backup deines privaten Schlüssels) auf einer Phishing-Webseite eingibst.
   
• Es schützt dich nicht, wenn dir jemand beim Aufschreiben deiner Recovery-Phrase über die Schulter schaut. 
   
• Es schützt nicht vor einem sogenannten „Wrench Attack“ – also physischer Erpressung.
   
• Es kann keinen Verlust verhindern, d. h. es hilft dir nicht, wenn du deine privaten Schlüssel verlierst.

Das Secure Element ist ein technischer Schutz gegen bestimmte Angriffsarten auf das Gerät selbst. Social Engineering und „OpSec“ (operative Sicherheit) sind eigene Herausforderungen.

Die Seed-Phrase: Hier trifft das Secure Element auf die Praxis

Die meisten Hardware-Wallets – unabhängig von ihrer Sicherheitsarchitektur – geben dir beim Einrichten eine Seed-Phrase, meist 12 oder 24 Wörter als menschenlesbares Backup deines privaten Schlüssels. Diese Seed-Phrase ist die größte Schwachstelle der meisten Wallet-Setups und liegt außerhalb des Secure Elements.
 

  If someone gets your seed phrase, they don't need your hardware wallet at all. They can reconstruct your private key and access your funds from any compatible software wallet. The secure element protects the digital key inside the device, but the seed phrase, written on paper or stamped on metal somewhere in your home, is not protected by any chip.   This is why how you store your seed phrase matters as much as which hardware wallet you buy. The secure element is one layer of security. Your seed phrase storage is another, equally important layer. Newer hardware wallet designs, such as the Tangem Wallet, have updated this approach. They use methods such as multi-card backup schemes to spread the risk if a single seed phrase is compromised. But for most standard hardware wallets, understanding and protecting your seed phrase is essential. How to evaluate a hardware wallet's secure element Not all secure elements are equal. If you're comparing hardware wallets, here are the specific things to look for: Certification level

• Zertifizierungsstufe: Achte auf CC EAL5+ oder EAL6+. Das sind die höchsten Common Criteria Ratings für Hardware-Wallets im Privatgebrauch. Niedrigere Stufen oder fehlende Zertifikate sollten skeptisch machen.
   

• Chip-Hersteller: Zu den renommiertesten Herstellern von Secure Elements zählen NXP Semiconductors, STMicroelectronics, Samsung Semiconductors und Infineon. Diese Unternehmen haben jahrzehntelange Erfahrung mit Chips für Banken, Behörden und Verteidigung.
   

• Ort der Schlüsselerzeugung: Wird der private Schlüssel direkt im Secure Element erzeugt oder läuft er zunächst über einen Standard-Chip? Die Antwort sollte immer das Secure Element sein.

• Transparenz: Seriöse Hersteller veröffentlichen Dokumentationen zu ihrer Sicherheitsarchitektur. Ist ein Anbieter vage, welcher Chip verbaut ist oder wie das Key Management funktioniert, ist Vorsicht geboten.

Das Wichtigste zusammengefasst

Hier die Zusammenfassung aller wichtigen Punkte:

• Kryptowährungen werden durch private Schlüssel kontrolliert. Wer den Schlüssel hat, hat das Geld. Es gibt keine Rückbuchungen und keinen Support.

• Ein Secure Element ist ein spezialisierter Chip, wie er in Bankkarten und Pässen steckt. Er speichert Geheimnisse und führt kryptografische Operationen so aus, dass physische und digitale Angriffe abgewehrt werden.

• In einer Hardware-Wallet verwahrt das Secure Element deinen privaten Schlüssel. Der Schlüssel wird im Chip erzeugt, gespeichert und genutzt – er verlässt ihn nie, wird weder angezeigt noch übertragen oder auf weniger sicheren Komponenten verarbeitet.

Gleichzeitig ist das Secure Element nur eine Schicht deiner Sicherheitsstrategie. Deine Seed-Phrase, deine physischen Sicherheitsmaßnahmen und dein Bewusstsein für Phishing und Social Engineering sind ebenso entscheidend.

Eine Hardware-Wallet mit zertifiziertem Secure Element ist das robusteste Werkzeug, um private Schlüssel zu schützen. Zu verstehen, warum sie funktioniert, ist der erste Schritt, sie richtig einzusetzen.

Weiter in dieser Serie: Vor wem das Secure Element schützt – und vor wem nicht