So prüfst du 2026, ob deine Hardware-Wallet unmanipuliert ist

Zentrale Erkenntnisse

Supply-Chain-Angriffe auf Hardware-Wallets bedeuten, dass Geräte vor der Auslieferung an den Käufer manipuliert oder gefälscht werden – mit dem Ziel, die Sicherheit zu kompromittieren und Guthaben zu stehlen. Um solche Angriffe zu vermeiden, solltest du Hardware-Wallets immer nur bei offiziellen Quellen kaufen, die Verpackung prüfen, ausschließlich offizielle Apps nutzen und sicherstellen, dass das Gerät Wiederherstellungsdaten während der Einrichtung in deinem Beisein erzeugt. Tangem begegnet diesen Risiken mit automatischer kryptografischer Attestierung: Die Echtheit der Karten und Firmware wird vor der Nutzung automatisch geprüft. Der Kauf über verifizierte Kanäle bleibt jedoch für maximale Sicherheit unerlässlich.

Du hast eine Hardware-Wallet gekauft, um deine Krypto-Assets sicher aufzubewahren. Aber was, wenn die Gefahr schon vor dem Öffnen der Verpackung lauert? Supply-Chain-Angriffe auf Hardware-Wallets sind dokumentiert und real. Ein Gerät, das zwischen Hersteller und Käufer abgefangen wird, kann manipulierte Firmware, eine vom Angreifer bereits bekannte Seed-Phrase oder ein kompromittiertes Secure Element enthalten. Du lädst Guthaben auf – der Angreifer räumt das Wallet ab. Das Wallet selbst wird zum Angriffsvektor. Dieser Leitfaden zeigt, wie Supply-Chain-Angriffe in der Praxis aussehen, welche allgemeinen Schritte du vor der ersten Nutzung zur Prüfung deiner Hardware-Wallet gehen solltest und wie Tangem dieses Problem mit automatischer kryptografischer Attestierung löst.

Die Kurzfassung: Kaufe direkt beim Hersteller oder einem autorisierten Händler, prüfe die Verpackung vor der Einrichtung, nutze nur die offizielle App, führe den Echtheits-Check oder die Attestierung durch und lehne jedes Gerät ab, das bereits vorkonfiguriert geliefert wird. Eine neue Hardware-Wallet sollte Wiederherstellungsdaten erst während der Ersteinrichtung und in deinem Beisein erzeugen oder importieren. Gibt dir ein Verkäufer eine Seed-Phrase, ist das Wallet bereits unsicher. Bei Tangem ist der Echtheits-Check in den App-Ablauf integriert. Die App prüft Karte und Firmware automatisch vor der Nutzung – du brauchst kein separates Desktop-Tool oder eine manuelle Genuine-Check-Sequenz. Trotzdem gilt: Nur der Kauf über verifizierte Kanäle schützt wirklich. Die automatische Prüfung ist eine zweite Schutzebene, falls vor der Auslieferung etwas schiefgeht.

Was ist ein Supply-Chain-Angriff auf eine Hardware-Wallet?

Eine Hardware-Wallet speichert deine privaten Schlüssel auf einem speziellen Chip, der niemals mit dem Internet verbunden wird. Wenn du eine Transaktion signierst, geschieht das direkt auf dem Gerät – dein Smartphone oder Computer dient nur als Schnittstelle. Selbst wenn dein Laptop kompromittiert ist, kann ein Angreifer ohne physischen Zugriff auf die Hardware nicht signieren.

Dieses Konzept ist extrem sicher – solange das Gerät unversehrt bei dir ankommt. Ein Supply-Chain-Angriff zielt genau auf die Lücke zwischen Werk und Käufer. Das Gerät wird abgefangen oder gefälscht und vor der Auslieferung manipuliert. Häufige Methoden sind manipulierte Firmware, die Schlüssel ausleitet, vorab generierte Wallets mit einer dem Angreifer bekannten Seed-Phrase oder der Austausch gegen ein äußerlich identisches, aber funktional abweichendes Gerät.

Der Angriff ist bewusst geduldig: Das manipulierte Gerät wird ausgeliefert, du lädst Guthaben auf – und der Angreifer leert das Wallet mit der bekannten Seed-Phrase oder über die Hintertür in der Firmware. Bis du es bemerkst, ist das Guthaben weg. Hardware-Wallets mit CC EAL5+ oder EAL6+ certified Secure Elements sind gegen physische Manipulation und Side-Channel-Attacken geschützt. Doch physische Sicherheit hilft nicht, wenn das Gerät schon vor der Auslieferung kompromittiert wurde. Hier braucht es zusätzliche Schutzmechanismen.

Wie sehen Supply-Chain-Angriffe typischerweise aus?

Das sind keine theoretischen Szenarien. Die Recherchen für diesen Artikel zeigen das typische Risiko: Eine Hardware-Wallet sollte Wiederherstellungsdaten nur während der Ersteinrichtung erzeugen oder importieren, und Käufer sollten immer beim Hersteller oder einem autorisierten Händler kaufen. Es gibt dokumentierte Fälle – etwa bei Ledger – mit Risiken durch Drittanbieter-Marktplätze und Geräten, die als Ersatz getarnt und authentisch verpackt verschickt wurden.

Das Muster ist immer ähnlich: Der Angreifer nutzt den Vertriebsweg, nicht die Kryptografie des Geräts. Ein Kauf bei einer unsicheren Quelle ist ein Risiko. Der typische gefährliche Ablauf ist simpel: Du bestellst bei einem Marktplatz-Händler, weil der Preis niedriger oder der Versand schneller ist. Die Box sieht echt aus. Im Inneren fordert das Gerät vielleicht auf, eine bestehende Wallet zu verwenden, oder es liegt eine gedruckte Seed-Phrase samt Anleitung bei. Diese Phrase ist keine Hilfe – sie ist der Angriff.

Der sichere Ablauf ist zwar oft langsamer, aber eindeutig: Kaufe über einen offiziellen Kanal, richte das Wallet selbst ein und prüfe das Gerät mit der Hersteller-App, bevor du Guthaben überträgst. Wenn sich dabei etwas falsch anfühlt, brich die Einrichtung ab.

Allgemeine Schritte zur Prüfung einer Hardware-Wallet

Diese Schritte gelten unabhängig davon, welche Hardware-Wallet du nutzt.

Step 1: Buy only from official sources.

Das ist der wichtigste Schritt. Bestelle direkt über die offizielle Website des Herstellers. Alle weiteren Maßnahmen in diesem Leitfaden senken das Risiko, können einen Kauf bei einer nicht verifizierten Quelle aber nie vollständig ausgleichen. Meide Angebote auf Amazon Marketplace, eBay und Social Media – auch wenn sie offiziell aussehen. Beim Ledger-Fall 2021 wurde authentisch wirkende Verpackung und ein angeblicher CEO-Brief genutzt. Visuelle Kontrolle reicht nicht aus.

Step 2: Check packaging integrity.

Bevor du das Gerät anschließt, prüfe die Verpackung genau:

• Sind Siegel unversehrt und nicht gebrochen?
• Entspricht die Verpackung den offiziellen Produktfotos auf der Hersteller-Website?
• Sind alle Zubehörteile vorhanden und unbeschädigt?
• Gibt es Hinweise auf erneutes Verkleben, Klebereste, schiefe Laschen oder abweichende Druckqualität?

Verpackungskontrollen sind ein erster Filter, aber keine Garantie. Ein erfahrener Angreifer kann Verpackungen täuschend echt nachbauen. Dieser Schritt grenzt das Risiko ein, schließt es aber nicht aus.

Step 3: Verify firmware or attestation using official software.

Jeder Hersteller hat hier eigene Abläufe. Wichtig ist: Nutze ausschließlich die offizielle App von der Hersteller-Website oder einem verifizierten App-Store und führe die angebotenen Echtheits- oder Attestierungsprüfungen durch.

Folge dem offiziellen Prüfablauf des Herstellers. Bei Ledger installierst du Ledger Live nur von ledger.com, verbindest das Gerät, gehst zum Genuine-Check oder in den Bereich „My Ledger“, bestätigst die Aufforderung auf dem Gerät und prüfst, ob Ledger Live das Gerät als echt erkennt.

Step 4: Check device behavior on first boot.

Eine neue Hardware-Wallet darf niemals vorkonfiguriert ausgeliefert werden. Beim ersten Start sollte das Gerät dich zwingen, eine neue Wallet zu erstellen. Es darf keine bestehende Wallet anzeigen und dich nicht auffordern, eine beiliegende Seed-Phrase einzugeben. Falls doch: Sofort stoppen. Dieses Gerät nicht nutzen und kein Guthaben übertragen. Eine Seed-Phrase vom Verkäufer ist immer kompromittiert.

Wie Tangem die Echtheit automatisch prüft

Die meisten Hardware-Wallets verlangen einen manuellen Echtheits-Check. Tangem geht einen anderen Weg: Die Tangem app verifies the card's authenticity and its firmware automatically – und zwar vor jeder Aktion, auch bei der Ersteinrichtung.

Diese Prüfung läuft im Hintergrund, sobald du eine Tangem Card zum ersten Mal an dein Smartphone hältst. Du startest sie nicht aktiv – und musst auch nicht wissen, dass sie läuft. Schlägt die Prüfung fehl, meldet die App die Karte und blockiert die Nutzung. Grundlage ist eine kryptografische Attestierung über den Samsung S3D350A Secure Element Chip mit EAL6+ Common Criteria Zertifizierung. Derselbe Chip schützt deine privaten Schlüssel und bestätigt die Echtheit der Karte.

Die Firmware von Tangem ist ab Werk installiert und nicht updatefähig. Das ist eine bewusste Designentscheidung: So entfällt der Angriffsvektor „Remote Firmware-Update“, den Supply-Chain-Angreifer bei updatefähigen Geräten ausnutzen. Es gibt keinen Firmware-Update-Pfad, der abgefangen oder ersetzt werden könnte. Unabhängige Audits durch Kudelski Security (2018), Riscure (2023) und Cure 53 (2026) haben bestätigt, dass keine Schwachstellen in der Sicherheitsarchitektur von Tangem gefunden wurden. Der App-Code für iOS und Android ist als Open Source auf GitHub verfügbar.

So funktioniert die kryptografische Attestierung von Tangem

Das passiert tatsächlich, wenn du eine Tangem Card zum ersten Mal verwendest:

Jede Tangem Card wird im Werk mit einem einzigartigen asymmetrischen Schlüsselpaar ausgestattet, das direkt im Secure Element erzeugt wird. Der private Schlüssel bleibt auf dem Chip; der öffentliche Schlüssel und die Card-ID werden in der Verifizierungsinfrastruktur von Tangem registriert.

Bei der Ersteinrichtung hältst du Karte 1 eines 2er-Sets an dein Smartphone. Die App fordert den Chip heraus, prüft die Antwort und lässt die Einrichtung in Sekunden zu – oder blockiert die Karte. Der Tangem-Anti-Fraud-Schutz prüft die Echtheit von Karte und Firmware vor jeder Aktion. Bestehen Karte und Firmware den Check, läuft die Einrichtung normal weiter. Schlägt die Prüfung fehl, solltest du die Karte nicht verwenden. Das Ganze dauert nur wenige Sekunden und erfordert kein technisches Know-how. Die Prüfung läuft automatisch.

Warnsignale: Wann du eine Hardware-Wallet ablehnen solltest

Nutze diese Liste als schnelle Checkliste, bevor du ein neues Gerät aktivierst.

Eine Seed-Phrase vom Verkäufer ist das deutlichste Warnsignal. Eine echte Hardware-Wallet erzeugt die Seed-Phrase beim ersten Start – in deinem Beisein, im Gerät selbst. Seriöse Hersteller liefern niemals Geräte mit vorgedruckten Wiederherstellungsphrasen aus.

Wo du Tangem sicher kaufen kannst

Kaufe Tangem direkt auf tangem.com, dem offiziellen Shop. Tangem ist außerdem bei autorisierten Händlern erhältlich, die auf der offiziellen Website gelistet sind. Tangem verkauft Karten als 2er- oder 3er-Set. Das 3er-Set bietet maximale Backup-Redundanz: eine Karte immer dabei, eine zu Hause an einem sicheren Ort, eine bei einer Vertrauensperson oder im Bankschließfach. Geht das gesamte Set ohne Seed-Phrase-Backup verloren, sind die Guthaben dauerhaft unzugänglich – eine Wiederherstellung durch Tangem oder andere ist ausgeschlossen. Das ist der Kompromiss des seedlosen Modells, den du vor der Einrichtung kennen solltest.

Meide Amazon Marketplace, eBay oder Social-Media-Händler, sofern sie nicht ausdrücklich als autorisierte Händler auf tangem.com gelistet sind. Die oben beschriebene kryptografische Attestierung erkennt zwar eine gefälschte Karte, aber am sichersten ist es, das Problem durch den Kauf über einen verifizierten Kanal von vornherein zu vermeiden.