So prüfst du 2026, ob deine Hardware-Wallet unmanipuliert ist

Zentrale Erkenntnisse

Supply-Chain-Angriffe auf Hardware-Wallets bedeuten, dass Geräte vor der Auslieferung an den Käufer manipuliert oder gefälscht werden – mit dem Ziel, die Sicherheit zu untergraben und Guthaben zu stehlen. Um solche Angriffe zu vermeiden, solltest du immer nur bei offiziellen Quellen kaufen, die Verpackung prüfen, ausschließlich offizielle Apps verwenden und sicherstellen, dass das Gerät die Wiederherstellungsdaten erst bei der Ersteinrichtung in deiner Anwesenheit generiert. Tangem begegnet diesen Risiken mit automatischer kryptografischer Attestierung: Die Echtheit von Karte und Firmware wird vor der Nutzung automatisch geprüft. Dennoch gilt: Für maximale Sicherheit immer über verifizierte Kanäle kaufen.

Du hast eine Hardware-Wallet gekauft, um deine Krypto-Assets sicher zu verwahren. Aber was, wenn die Gefahr schon vor dem Öffnen der Verpackung lauert? Supply-Chain-Angriffe auf Hardware-Wallets sind dokumentiert und real. Ein Gerät, das zwischen Hersteller und Käufer abgefangen wird, kann manipulierte Firmware, eine vom Angreifer bekannte Seed-Phrase oder ein kompromittiertes Secure Element enthalten. Du lädst Guthaben auf – der Angreifer räumt das Wallet leer. Das Wallet selbst wird zum Angriffsvektor. In diesem Leitfaden erfährst du, wie Supply-Chain-Angriffe in der Praxis aussehen, welche allgemeinen Prüfungen du vor der ersten Nutzung durchführen solltest und wie Tangem dieses Problem mit automatischer kryptografischer Attestierung adressiert.

Kurz gesagt: Kaufe direkt beim Hersteller oder einem autorisierten Händler, prüfe die Verpackung vor dem Setup, verwende ausschließlich die offizielle App, führe die Echtheitsprüfung oder Attestierung durch und lehne jedes Gerät ab, das bereits vorkonfiguriert ankommt. Eine neue Hardware-Wallet sollte Wiederherstellungsdaten ausschließlich während des Setups und in deiner Anwesenheit erzeugen oder importieren. Gibt dir ein Verkäufer eine Seed-Phrase, ist das Wallet bereits kompromittiert. Bei Tangem ist die Echtheitsprüfung direkt in den App-Flow integriert. Die App prüft Karte und Firmware automatisch vor der Nutzung – du brauchst kein separates Desktop-Tool oder eine manuelle Genuine-Check-Sequenz. Trotzdem ersetzt das nicht den Kauf über einen verifizierten Kanal. Es ist eine zusätzliche Sicherheitsebene, falls vor der Auslieferung etwas schiefgeht.

Was ist ein Supply-Chain-Angriff auf eine Hardware-Wallet?

Eine Hardware-Wallet speichert deine privaten Schlüssel auf einem speziellen Chip, der nie mit dem Internet verbunden ist. Beim Signieren von Transaktionen erfolgt die Signatur direkt auf dem Gerät; dein Smartphone oder Computer dient nur als Oberfläche. Selbst wenn dein Laptop komplett kompromittiert ist, kann ein Angreifer ohne physischen Zugriff auf die Hardware keine Transaktion signieren.

Diese Architektur ist extrem sicher – vorausgesetzt, die Hardware kommt unversehrt bei dir an. Ein Supply-Chain-Angriff nutzt die Lücke zwischen Fabrik und Käufer. Das Gerät wird abgefangen oder gefälscht und vor der Auslieferung manipuliert. Häufige Methoden sind manipulierte Firmware, die Schlüssel ausleitet, vorab generierte Wallets mit einer dem Angreifer bekannten Seed-Phrase oder der Austausch gegen ein äußerlich identisches, aber im Verhalten abweichendes Gerät.

Der Angriff ist auf Geduld ausgelegt: Das manipulierte Gerät wird an dich versendet, du lädst Guthaben auf, der Angreifer räumt das Wallet mit der bekannten Seed-Phrase oder Hintertür-Firmware leer. Wenn du es bemerkst, sind die Coins meist schon weg. Hardware-Wallets mit CC EAL5+ oder EAL6+ zertifizierten Secure Elements sind zwar gegen physische Manipulation und Side-Channel-Angriffe geschützt, aber nicht gegen Geräte, die schon vor der Auslieferung kompromittiert wurden. Das ist ein separates Problem, das eine eigene Lösung erfordert.

Wie Supply-Chain-Angriffe typischerweise ablaufen

Das sind keine hypothetischen Szenarien. Die für diesen Artikel herangezogene Recherche bestätigt das generelle Risiko: Eine Hardware-Wallet sollte Wiederherstellungsdaten ausschließlich bei der Ersteinrichtung generieren oder importieren, und Käufer sollten nur beim Hersteller oder autorisierten Händlern kaufen. Es gibt dokumentierte Fälle mit Ledger, bei denen das Risiko über Drittanbieter-Marktplätze und ein vermeintlich authentisches Ersatzgerät entstand.

Das Muster ist immer ähnlich: Der Angreifer nutzt den Vertriebsweg, nicht die Kryptografie des Geräts. Ein Kauf bei einer nicht verifizierten Quelle ist ein Risiko. Der typische Angriffsablauf ist simpel: Du bestellst bei einem Marktplatzanbieter, weil der Preis niedriger oder der Versand schneller ist. Die Verpackung sieht normal aus. Im Inneren fordert dich das Gerät vielleicht auf, ein bestehendes Wallet zu nutzen, oder es liegt eine gedruckte Seed-Phrase mit Anleitung bei. Diese Phrase ist kein Service – sie ist der Angriff.

Der sichere Ablauf ist zwar langsamer, aber sicherer: Kaufe über einen offiziellen Kanal, erstelle das Wallet selbst und prüfe das Gerät mit der Hersteller-App, bevor du Guthaben überträgst. Wenn sich in diesem Prozess etwas falsch anfühlt, brich das Setup ab.

Allgemeine Schritte zur Überprüfung einer Hardware-Wallet

Diese Schritte gelten unabhängig davon, welche Hardware-Wallet du verwendest.

Step 1: Buy only from official sources.

Das ist der wichtigste Schritt. Bestelle direkt auf der offiziellen Hersteller-Website. Alle weiteren Maßnahmen in diesem Leitfaden minimieren nur das Risiko, können einen Fehlkauf aber nicht vollständig ausgleichen. Vermeide Angebote auf Amazon Marketplace, eBay oder Social Media – auch wenn sie offiziell aussehen. Beim Ledger-Vorfall 2021 wurde eine täuschend echte Verpackung und ein angebliches CEO-Anschreiben verwendet. Die reine Sichtprüfung reicht nicht aus.

Step 2: Check packaging integrity.

Bevor du das Gerät anschließt, prüfe die Verpackung sorgfältig:

• Sind Sicherheits-Siegel unversehrt und nicht gebrochen?
• Entspricht die Verpackung den offiziellen Produktfotos auf der Hersteller-Website?
• Sind alle Zubehörteile vorhanden und unverändert?
• Gibt es Hinweise auf erneutes Verkleben, etwa Klebereste, schiefe Laschen oder abweichende Druckqualität?

Die Verpackungskontrolle ist ein erster Filter, aber keine Garantie. Ein versierter Angreifer kann Verpackungen täuschend echt nachbilden. Dieser Schritt grenzt das Risiko ein, beseitigt es aber nicht vollständig.

Step 3: Verify firmware or attestation using official software.

Jeder Hersteller hat hier eigene Prozesse. Wichtig ist: Verwende ausschließlich die offizielle App von der Hersteller-Website oder einem verifizierten App-Store und führe alle angebotenen Echtheits- oder Genuine-Checks durch.

Folge dem offiziellen Prüfablauf des Herstellers. Bei Ledger installierst du Ledger Live nur von ledger.com, verbindest das Gerät, gehst in den Genuine-Check oder den Bereich „My Ledger“, bestätigst die Aufforderung am Gerät und prüfst, ob Ledger Live die Echtheit bestätigt.

Step 4: Check device behavior on first boot.

Eine neue Hardware-Wallet darf niemals vorkonfiguriert ankommen. Beim ersten Start muss das Gerät dich auffordern, ein neues Wallet zu erstellen. Es darf kein bestehendes Wallet anzeigen und dich nicht auffordern, eine beiliegende Seed-Phrase einzugeben. Zeigt das Gerät ein bestehendes Wallet oder fordert dich der Verkäufer auf, eine Seed-Phrase einzugeben: Sofort stoppen. Gerät nicht verwenden, keine Guthaben aufladen. Eine Seed-Phrase, die du vom Verkäufer erhältst, ist dem Verkäufer bekannt.

Wie Tangem die Echtheit automatisch prüft

Bei den meisten Hardware-Wallets musst du eine manuelle Echtheitsprüfung durchführen. Tangem geht einen anderen Weg: Die Tangem App verifiziert die Echtheit der Karte und der Firmware automatisch – noch vor dem Setup oder einer anderen Funktion.

Diese Prüfung läuft im Hintergrund, sobald du die Tangem Card zum ersten Mal an dein Smartphone hältst. Du startest sie nicht selbst und musst nicht wissen, wie sie funktioniert. Schlägt die Prüfung fehl, wird die Karte in der App gesperrt und die Nutzung blockiert. Die technische Grundlage ist eine kryptografische Attestierung, abgesichert durch den Samsung S3D350A Secure Element Chip mit EAL6+ Common Criteria Zertifizierung. Dieser Chip schützt auch deine privaten Schlüssel und belegt die Echtheit der Karte.

Die Tangem-Firmware ist ab Werk installiert und nicht updatefähig. Das ist bewusst so gewählt: Damit entfällt der Angriffsvektor „Firmware-Update“, den Supply-Chain-Angreifer bei updatefähigen Geräten ausnutzen. Es gibt keinen Updatepfad, der abgefangen oder ersetzt werden könnte. Unabhängige Prüfungen durch Kudelski Security (2018), Riscure (2023) und Cure 53 (2026) haben bestätigt, dass keine Schwachstellen in der Sicherheitsarchitektur von Tangem gefunden wurden. Der App-Code für iOS und Android ist Open Source auf GitHub.

So funktioniert die kryptografische Attestierung bei Tangem

Das passiert, wenn du eine Tangem Card zum ersten Mal verwendest:

Jede Tangem Card erhält im Werk ein einzigartiges asymmetrisches Schlüsselpaar, das direkt im Secure Element erzeugt wird. Der private Schlüssel bleibt auf dem Chip; der öffentliche Schlüssel und die Karten-ID werden in der Tangem-Verifizierungsinfrastruktur registriert.

Beim ersten Setup hältst du Karte 1 eines 2er-Sets ans Gerät. Die App fordert den Chip heraus, prüft die Antwort und lässt das Setup entweder in Sekunden weiterlaufen oder blockiert die Karte. Der Anti-Fraud-Schutz von Tangem prüft die Echtheit von Karte und Firmware vor jedem Vorgang. Besteht die Karte die Prüfung, läuft das Setup normal weiter. Schlägt die Verifizierung fehl, verwende die Karte nicht. Der gesamte Prozess dauert nur Sekunden und erfordert kein technisches Vorwissen. Die Prüfung läuft automatisch ab.

Warnsignale: Wann du eine Hardware-Wallet ablehnen solltest

Nutze diese Liste als schnelle Referenz, bevor du ein neues Gerät aktivierst.

Eine Seed-Phrase, die du vom Verkäufer erhältst, ist das deutlichste Warnsignal. Eine seriöse Hardware-Wallet generiert die Seed-Phrase beim ersten Start, in deiner Anwesenheit und direkt im Gerät. Hersteller versenden keine Geräte mit vorab geschriebenen Wiederherstellungsphrasen.

Wo du Tangem sicher kaufen kannst

Kaufe Tangem direkt auf tangem.com, dem offiziellen Shop. Tangem ist außerdem bei autorisierten Händlern erhältlich, die auf der offiziellen Website gelistet sind. Die Karten werden im 2er- oder 3er-Set verkauft. Das 3er-Set bietet maximale Backup-Redundanz: Eine Karte bleibt bei dir, eine zu Hause an einem sicheren Ort, eine bei einer Vertrauensperson oder im Bankschließfach. Geht das gesamte Set ohne Seed-Phrase-Backup verloren, sind die Mittel dauerhaft unzugänglich – eine Wiederherstellung durch Tangem oder Dritte ist nicht möglich. Das ist der Kompromiss des Seedless-Modells und sollte vor dem Setup verstanden werden.

Vermeide Amazon Marketplace, eBay oder Social-Media-Anbieter, sofern sie nicht ausdrücklich als autorisierte Händler auf tangem.com gelistet sind. Die oben beschriebene kryptografische Attestierung erkennt zwar Fälschungen, aber der sicherste Weg ist, das Problem durch den Kauf über einen verifizierten Kanal ganz zu vermeiden.