Wenn du dich mit Hardware-Wallets – auch Cold Wallets genannt – beschäftigst, bist du fast sicher schon auf den Begriff „Secure Element“ gestoßen. Er taucht auf Produktseiten auf, wird in Sicherheitsvergleichen erwähnt und als einer der Hauptgründe genannt, warum Hardware-Wallets sicherer sind als Software-Alternativen. Doch was bedeutet das eigentlich?
Dieser Artikel beantwortet diese Frage von Grund auf. Am Ende weißt du genau, was ein Secure Element ist, warum es existiert, wie es funktioniert und warum es so wichtig für den Schutz deiner Kryptowährungen ist.
Starten wir mit dem Problem
Um zu verstehen, warum ein Secure Element notwendig ist, musst du wissen, was du beim Besitz von Kryptowährungen eigentlich schützt.
Im traditionellen Finanzsystem verwahrt eine Bank dein Geld. Die Bank ist dafür verantwortlich, es sicher aufzubewahren. Wird zum Beispiel deine Kreditkartennummer gestohlen, kann die Bank die Transaktion rückgängig machen und dir eine neue Karte ausstellen. Dein Schutz basiert nicht auf einer geheimen Nummer, sondern auf dem Institut hinter dir.
Bei Kryptowährungen läuft das grundlegend anders. Es gibt keine Banken, keine Rückbuchungen und keinen Kundensupport. Deine Krypto wird durch einen privaten Schlüssel kontrolliert – eine sehr große Zufallszahl, typischerweise als Zeichenkette aus Zahlen und Buchstaben dargestellt, zum Beispiel:
Dieser private Schlüssel ist der einzige Beweis, dass du deine Krypto besitzt. Wer den Schlüssel kontrolliert, kontrolliert das Guthaben – Punkt. Gelangt jemand anderes an eine Kopie, kann er dein Wallet sofort leeren, und es gibt keine Möglichkeit, die Assets zurückzuholen.
Das stellt dich vor eine besondere Sicherheitsfrage: Wie bewahrst du einen privaten Schlüssel so auf, dass er praktisch nicht gestohlen oder verloren gehen kann?
Der private Schlüssel ist alles. Ihn zu schützen ist die zentrale Aufgabe einer Hardware-Wallet – und das Secure Element ist das Herzstück dieses Schutzes.
Was ist ein Secure Element?
Ein Secure Element (oft abgekürzt als SE) ist ein spezieller Mikrochip, der von Grund auf dafür entwickelt wurde, sensible Daten zu speichern und zu schützen. Es ist kein Allzweck-Prozessor, führt keine Apps aus und surft nicht im Internet. Seine einzige Aufgabe ist es, Geheimnisse zu bewahren und kryptografische Operationen so auszuführen, dass Manipulation, Auslesen und Störungen verhindert werden.
Wahrscheinlich hast du schon oft ein Secure Element genutzt, ohne es zu wissen. Es steckt zum Beispiel in:
Kredit- und Debitkarten – der kleine goldene Chip, den du ins Terminal steckst
Reisepässen – der eingebaute Chip mit deinen biometrischen Daten
SIM-Karten im Handy – zur Authentifizierung bei deinem Mobilfunkanbieter
Apple Pay und Google Pay – speichern Kartendaten sicher auf dem Gerät
In all diesen Fällen übernimmt das Secure Element die gleiche Kernaufgabe: Es hält sensible Informationen (Kartennummer, biometrische Daten, Zugangsdaten) sicher und sorgt dafür, dass sie selbst für hoch spezialisierte Angreifer nicht ausgelesen, kopiert oder manipuliert werden können.
Wie unterscheidet sich ein Secure Element von einem normalen Chip?
Dein Laptop, Smartphone und die meisten Elektronikgeräte enthalten Standard-Mikroprozessoren. Diese sind extrem leistungsfähig und flexibel, können Betriebssysteme ausführen, tausende verschiedene Anwendungen starten und riesige Datenmengen verarbeiten.
Doch sie sind nicht in erster Linie auf physische Sicherheit ausgelegt. Hat ein Angreifer physischen Zugriff auf ein Gerät mit einem Standard-Chip, gibt es gut dokumentierte Methoden, um Daten daraus zu extrahieren: Power-Analysis-Angriffe, Fehlerinjektion, Auslesen der Schaltkreise unter dem Mikroskop und mehr.
Ein Secure Element ist so konstruiert, dass es genau diese Angriffe auf Hardware-Ebene abwehrt. Das geschieht so:
Manipulationssichere Bauweise
Der Chip ist von Materialien umgeben, die physisches Auslesen extrem erschweren. Versucht jemand, die äußeren Schichten zu entfernen oder mit einer Sonde interne Signale zu messen, wird der Chip meist zerstört oder löst Sicherheitsmechanismen aus – zum Beispiel eine automatische Selbstzerstörung, die alle gespeicherten Daten löscht. Der Chip ist also so gebaut, dass er beim Öffnen unlesbar wird.
Aktive Angriffserkennung
Secure Elements sind mit Sensoren ausgestattet, die ungewöhnliche Zustände überwachen: etwa abweichende Spannungen, plötzliche Temperaturschwankungen, elektromagnetische Störungen oder Lichteinfall (wie er beim Öffnen des Chips für eine Analyse auftreten kann). Werden solche Bedingungen erkannt, kann der Chip automatisch gesperrt oder sein Speicher gelöscht werden.
Isolierter Speicher
Private Keys und andere sensible Daten, die im Secure Element gespeichert sind, verlassen den Chip niemals in lesbarer Form. Muss eine Transaktion signiert werden, geschieht das direkt im Chip. Das Ergebnis – die signierte Transaktion – verlässt den Chip, aber der Schlüssel selbst bleibt für immer verborgen.
Dedizierte Kryptografie-Hardware
Secure Elements enthalten speziell entwickelte Schaltkreise für kryptografische Aufgaben wie das Generieren von Zufallszahlen, das Erstellen von Schlüsselpaaren oder das Signieren von Transaktionen. Diese Hardware ist darauf optimiert, diese Aufgaben sicherer auszuführen als Standard-Prozessoren.
Sicherheitszertifizierungen
Die meisten Secure Elements, die in ernsthaften Anwendungen wie Hardware-Wallets eingesetzt werden, durchlaufen strenge unabhängige Tests und erhalten formale Zertifizierungen von Sicherheitsprüfern. Der gängigste Standard ist Common Criteria (CC), und die wichtigsten Zertifizierungsstufen für Hardware-Wallets sind CC EAL5+ oder EAL6+. Diese Zertifikate bedeuten, dass Sicherheitsexperten versucht haben, den Chip mit modernsten Methoden zu knacken – und bestätigt haben, dass er einen definierten Sicherheitsstandard erfüllt.
Ein Standard-Chip ist wie ein verschlossener Aktenschrank. Ein Secure Element ist ein Tresor, der nach ganz anderen Maßstäben gebaut und gegen andere Bedrohungen getestet wurde – so, dass selbst die Entwickler nicht einfach an die Inhalte kommen.
Was passiert in einer Hardware-Wallet ohne Secure Element?
Schauen wir uns kurz die Alternative an, denn einige Hardware-Wallets und viele Software-Wallets nutzen kein Secure Element.
Software-Wallets (wie MetaMask, Trust Wallet oder jede Wallet-App auf deinem Handy oder Computer) speichern deinen privaten Schlüssel im allgemeinen Gerätespeicher. Dieser Schlüssel kann zwar mit einem Passwort verschlüsselt sein, liegt aber trotzdem auf einem internetfähigen Gerät, auf dem viele andere Apps laufen – und ist so potenziell Malware ausgesetzt.
Manche Hardware-Wallets nutzen einen Standard-Mikrocontroller, also einen Allzweck-Chip, statt eines dedizierten Secure Elements. Diese Geräte sind zwar „cold“, weil sie nicht mit dem Internet verbunden sind, was die Angriffsfläche deutlich reduziert. Aber der private Schlüssel liegt im normalen Speicher und ist bei physischem Zugriff womöglich anfälliger für Auslesetechniken.
Eine Hardware-Wallet mit Secure Element bietet eine grundlegend andere Sicherheitsebene: Selbst wenn jemand dein Gerät stiehlt und in ein spezialisiertes Elektroniklabor bringt, sollte der Schlüssel im Secure Element unzugänglich bleiben.
Ein privater Schlüssel im Secure Element
Um das greifbar zu machen, gehen wir Schritt für Schritt durch, was passiert, wenn du eine Hardware-Wallet mit Secure Element einrichtest und damit eine Transaktion durchführst.
Schritt 1: Schlüsselerzeugung
Beim ersten Einrichten des Geräts wird dein privater Schlüssel vollständig im Secure Element generiert. Der Schlüssel entsteht mit einem zertifizierten echten Zufallszahlengenerator direkt im Chip – nicht mit einer Software-Funktion, die vorhersagbar oder reproduzierbar wäre. Der Schlüssel bleibt im sicheren Bereich und wird nie übertragen.
Schritt 2: Schlüsselaufbewahrung
Der private Schlüssel wird im geschützten Speicher des Secure Elements abgelegt. Er ist verschlüsselt und isoliert. Der Hauptprozessor des Geräts, der zum Beispiel die Anzeige auf dem Bildschirm steuert, hat keinen direkten Zugriff darauf.
Schritt 3: Transaktion signieren
Wenn du Kryptowährungen versenden möchtest, wird der Hash der Transaktionsdaten (Empfängeradresse, Betrag) an das Secure Element übergeben. Du bestätigst die Transaktion, und der private Schlüssel im Chip signiert sie. Die signierte Transaktion verlässt den Chip – der Schlüssel bleibt im Inneren.
Schritt 4: Übertragung
Die signierte Transaktion wird an eine Begleit-App auf deinem Computer oder Smartphone übergeben, die sie dann ins Blockchain-Netzwerk sendet. Dein privater Schlüssel berührt dabei zu keinem Zeitpunkt ein internetfähiges Gerät.
Gegen welche Angriffe schützt ein Secure Element?
Das Bedrohungsmodell zu verstehen ist entscheidend. Ein Secure Element ist kein Wundermittel, sondern schützt gezielt vor bestimmten, klar definierten Angriffskategorien. Dagegen hilft es konkret:
Remote-Angriffe
Dein privater Schlüssel existiert nie auf einem internetfähigen Gerät. Deshalb haben Angreifer aus der Ferne, Malware, Phishing-Software, Keylogger oder Man-in-the-Middle-Angriffe keinen Zugriff. Es gibt keine Kopie des Schlüssels, die sie erreichen könnten.
Physische Extraktionsangriffe
Stiehlt jemand deine Hardware-Wallet und versucht, den Speicher des Chips direkt auszulesen, machen die manipulationssichere Bauweise und aktive Gegenmaßnahmen des Secure Elements das extrem schwierig. Auf höchster Zertifizierungsstufe wären dafür Ressourcen auf Nationenebene, spezielle Elektronenmikroskope und ausgefeilte Fehlerinjektions-Technik nötig – selbst dann ist Erfolg nicht garantiert.
Side-Channel-Angriffe
Bei Side-Channel-Angriffen versuchen Angreifer, durch das Messen äußerer Signale – etwa Stromverbrauch während einer Berechnung, elektromagnetische Abstrahlung oder die Dauer eines Vorgangs – Rückschlüsse auf interne Vorgänge zu ziehen. Secure Elements sind gezielt so gebaut, dass solche Signale minimiert und das Verhalten zufällig gestaltet wird, um diese Analysen zu verhindern.
Supply-Chain-Angriffe
Zertifizierte Secure Elements werden in kontrollierten Fabriken hergestellt und durchlaufen Prüfprozesse, die es sehr schwer machen, während der Produktion Hardware-Backdoors einzubauen. Das ist wichtig, denn ein kompromittierter Chip, der vor der Auslieferung manipuliert wurde, könnte deine Schlüssel unbemerkt weitergeben.
Wovor Secure Elements nicht schützen
Die Grenzen müssen klar sein.
Ein Secure Element schützt dich nicht, wenn du deine Seed-Phrase (das menschenlesbare Backup deines privaten Schlüssels) auf einer Phishing-Website eingibst.
Es schützt dich nicht, wenn dir jemand beim Aufschreiben deiner Wiederherstellungsphrase über die Schulter schaut.
Es schützt nicht vor einem „Wrench Attack“ – also physischer Gewaltandrohung.
Es kann keinen Verlust verhindern, das heißt: Wenn du deine privaten Schlüssel verlierst, hilft auch das Secure Element nicht.
Das Secure Element ist ein technischer Schutz gegen bestimmte Angriffe auf das Gerät selbst. Social Engineering und die eigene Sicherheitsroutine sind jedoch separate Herausforderungen.
Die Seed-Phrase: Hier trifft das Secure Element auf den Alltag
Die meisten Hardware-Wallets – unabhängig von ihrer Sicherheitsarchitektur – geben dir beim Einrichten eine Seed-Phrase, meist 12 oder 24 Wörter als menschenlesbares Backup deines privaten Schlüssels. Diese Seed-Phrase ist die größte Schwachstelle in den meisten Wallet-Setups – und sie liegt außerhalb des Secure Elements.
Wenn jemand deine Seed-Phrase kennt, braucht er deine Hardware-Wallet gar nicht. Er kann den privaten Schlüssel rekonstruieren und über jede kompatible Software-Wallet auf deine Gelder zugreifen. Das Secure Element schützt den digitalen Schlüssel im Gerät, aber die Seed-Phrase – auf Papier geschrieben oder in Metall gestanzt, irgendwo zu Hause – wird von keinem Chip geschützt.
Deshalb ist es genauso wichtig, wie du deine Seed-Phrase aufbewahrst, wie die Wahl der Hardware-Wallet selbst. Das Secure Element ist eine Sicherheitsschicht. Die Aufbewahrung der Seed-Phrase ist eine weitere, ebenso entscheidende Ebene.
Neuere Hardware-Wallet-Designs wie die Tangem Wallet gehen hier neue Wege. Sie setzen zum Beispiel auf Multi-Card-Backup-Schemata, um das Risiko zu streuen, falls eine einzelne Seed-Phrase kompromittiert wird. Doch bei den meisten klassischen Hardware-Wallets ist das Verständnis und der Schutz der Seed-Phrase essenziell.
Wie man das Secure Element einer Hardware-Wallet bewertet
Nicht alle Secure Elements sind gleich. Wenn du Hardware-Wallets vergleichst, achte auf folgende Punkte:
Zertifizierungsstufe: Achte auf CC EAL5+ oder EAL6+. Das sind die höchsten Common Criteria-Bewertungen für Consumer-Hardware-Wallets. Niedrigere Stufen oder fehlende Zertifikate sollten kritisch hinterfragt werden.
Chip-Hersteller: Zu den renommiertesten Secure-Element-Herstellern zählen NXP Semiconductors, STMicroelectronics, Samsung Semiconductors und Infineon. Diese Unternehmen haben jahrzehntelange Erfahrung mit Chips für Banken, Behörden und Verteidigung.
Ort der Schlüsselerzeugung: Wird der private Schlüssel direkt im Secure Element generiert oder wandert er erst durch einen Standard-Chip? Die Antwort sollte immer ersteres sein.
Transparenz: Seriöse Hersteller veröffentlichen Dokumentationen zu ihrer Sicherheitsarchitektur. Ist ein Unternehmen vage, welcher Chip verwendet wird oder wie das Schlüsselmanagement funktioniert, ist das ein Warnzeichen.
Alles auf einen Blick
Hier die Zusammenfassung:
Kryptowährungen werden durch private Schlüssel kontrolliert. Wer den Schlüssel hat, hat das Geld. Es gibt keine Rückbuchungen und keinen Support.
Ein Secure Element ist ein spezialisierter Chip – wie er auch in Bankkarten und Pässen steckt – der entwickelt wurde, um Geheimnisse zu speichern und kryptografische Aufgaben gegen physische und digitale Angriffe abzusichern.
In einer Hardware-Wallet verwahrt das Secure Element deinen privaten Schlüssel. Der Schlüssel wird im Chip erzeugt, gespeichert und genutzt. Er verlässt ihn nie – wird weder angezeigt, übertragen noch auf weniger sicheren Komponenten verarbeitet.
Gleichzeitig ist das Secure Element nur eine Ebene einer umfassenden Sicherheitsstrategie. Deine Seed-Phrase, deine physischen Aufbewahrungsgewohnheiten und deine Aufmerksamkeit gegenüber Phishing und Social Engineering sind ebenso entscheidend.
Eine Hardware-Wallet mit zertifiziertem Secure Element ist das robusteste Werkzeug zum Schutz privater Schlüssel. Zu verstehen, warum sie funktioniert, ist der erste Schritt für eine sichere Nutzung.
Fragen Sie die KI, ob Tangem zu Ihren Bedürfnissen passt
Recherchieren Sie die Tangem Wallet mit KI, um herauszufinden, ob unsere Sicherheit und Benutzerfreundlichkeit zu Ihren individuellen Anwendungsfällen passen
Fragen Sie die KI, ob Tangem zu Ihren Bedürfnissen passt
Recherchieren Sie die Tangem Wallet mit KI, um herauszufinden, ob unsere Sicherheit und Benutzerfreundlichkeit zu Ihren individuellen Anwendungsfällen passen
Oder öffnen Sie es in
Noch unentschlossen?
Entdecken Sie die Grundlagen, vergleichen Sie die verschiedenen Optionen oder sparen Sie Geld, wenn Sie bereit sind, Tangem zu kaufen.
