Non-Custodial Web3 Wallets: Who Really Controls the Funds?

Disclaimer: This article is for educational purposes only. It is not financial, legal, or investment advice.

Bei einer herkömmlichen App lässt sich der Zugang häufig per E-Mail, Telefonnummer oder Kundensupport wiederherstellen. Eine Non-Custodial Web3-Wallet verwendet ein anderes Modell: Kontrolle hängt von der Fähigkeit ab, eine gültige kryptografische Signatur zu erzeugen.

Besitzt nur der Benutzer den privaten Schlüssel, kann auch nur er Vorgänge von der zugehörigen Blockchain-Adresse autorisieren. Wallet-Entwickler, Plattform und Supportteam sollten diesen Schlüssel nicht kennen und können nicht einfach das „Blockchain-Passwort zurücksetzen“.

That is the core of a non-custodial, or self-custody, wallet: an intermediary does not hold the keys on the user’s behalf.

Wichtigste Erkenntnisse

Token existieren auf der Blockchain; eine Wallet verwaltet Schlüssel und zeigt Netzwerkdaten an.

Wer mit dem privaten Schlüssel signieren kann, kontrolliert die Adresse.

Eine Seed-Phrase stellt häufig alle daraus abgeleiteten Konten wieder her und darf niemals weitergegeben werden.

Ein App-Passwort schützt in der Regel ein einzelnes Gerät; es ersetzt nicht die Seed-Phrase.

Self-Custody ermöglicht direkte Kontrolle, schützt jedoch nicht vor Phishing, Schadsoftware oder unsicheren Signaturen.

Wo sich die Token tatsächlich befinden

Krypto-Assets werden nicht in einem Telefon, einer Browsererweiterung oder einem Hardwaregerät gespeichert. Die Blockchain speichert den gemeinsamen Zustand: welche Assets welchen Adressen zugeordnet sind und welche Vorgänge stattgefunden haben.

Eine Wallet erfüllt in der Regel folgende Aufgaben:

Schlüssel erstellt oder mit ihnen verbunden wird;
Salden und Verlauf aus einem Netzwerk abruft;
Transaktionen vorbereitet und signiert.

Durch das Löschen einer Wallet-App werden die Token nicht aus der Blockchain gelöscht. Ohne eine gültige Möglichkeit zur Wiederherstellung der Schlüssel kann der Benutzer jedoch dauerhaft die Kontrolle darüber verlieren.

Öffentliche Adresse, privater Schlüssel und Seed-Phrase

Diese Begriffe dienen unterschiedlichen Zwecken.

Public address

Sie kann einem Absender mitgeteilt und zur Prüfung öffentlicher Datensätze in einem Block Explorer verwendet werden. Die Kenntnis einer Adresse berechtigt nicht zu ausgehenden Transaktionen.

Privater Schlüssel

Dieses Geheimnis signiert Aktionen für ein bestimmtes Konto. Wer es erlangt, kann im Namen dieser Adresse handeln.

Seed-Phrase

Eine Seed-Phrase, auch geheime Wiederherstellungsphrase genannt, ist eine Wortfolge, mit der eine kompatible Wallet die zugehörigen Schlüssel und Konten wiederherstellen kann. Die genaue Wiederherstellung unterscheidet sich je nach Produkt; Benutzer sollten daher die offizielle Dokumentation ihrer Wallet befolgen.

One rule remains universal: never give a seed phrase or private key to support staff, a community administrator, a “verification” website, or someone promising to recover funds.

Zum Empfangen einer Übertragung wird nur eine öffentliche Adresse benötigt. Zur Prüfung einer Transaktion genügt eine Adresse oder ein Transaktionshash. Für keine dieser Aktionen ist eine Seed-Phrase erforderlich.

Passwort und Seed-Phrase im Vergleich

Das Passwort einer App oder Erweiterung sperrt normalerweise den lokalen Zugriff auf einem einzelnen Gerät. Es kann verhindern, dass jemand die Wallet auf diesem Gerät öffnet, ist jedoch kein allgemeiner Zugangsnachweis für die Blockchain-Adresse.

Gelangt ein Angreifer an die Seed-Phrase, entzieht ihm eine Änderung des lokalen Passworts nicht den Zugriff. Er kann die Schlüssel in einer anderen kompatiblen Wallet wiederherstellen.

Vergisst ein Benutzer das lokale Passwort, besitzt aber weiterhin die richtige Seed-Phrase und versteht den Wiederherstellungsprozess, lässt sich der Zugang meist wiederherstellen. Sind sowohl Wallet-Zugang als auch die Methode zur Schlüsselwiederherstellung verloren, kann ein Supportteam die fehlende Signatur nicht erzeugen.

Einige moderne Wallets verwenden Social Login, verteilte Wiederherstellung oder Smart-Account-Mechanismen. Ihr Sicherungsmodell kann von der klassischen Seed-Phrase abweichen. Klären Sie vor der Nutzung:

Wer kann den Zugang wiederherstellen?
Wie viele Faktoren oder Beteiligte sind erforderlich?
Kann der Anbieter allein eine Transaktion signieren?
Was geschieht, wenn ein externes Konto gesperrt wird?
Kann die Kontrolle exportiert oder übertragen werden?

Die Bezeichnung „Web3-Wallet“ beantwortet diese Fragen nicht.

Verwahrter und selbstverwalteter Zugang

Question	Verwahrdienst	Non-Custodial Wallet
Wer verwahrt die Schlüssel?	Der Anbieter oder seine Infrastruktur	Der Benutzer oder ein vom Benutzer gewähltes Self-Custody-Verfahren
Wer signiert einen On-Chain-Vorgang?	Der Anbieter auf Anfrage des Benutzers	Die Wallet des Benutzers
Wie wird der Zugang wiederhergestellt?	Üblicherweise über ein Konto und den Support	Über eine Seed-Phrase, Schlüssel oder ein festgelegtes Wiederherstellungsverfahren
Kann der Dienst Auszahlungen begrenzen?	Ja, innerhalb des eigenen Systems	Eine Oberfläche kann ausfallen, während die Schlüssel in einer anderen kompatiblen Oberfläche weiterhin funktionieren
Hauptrisiko	Sicherheitsverletzung, Ausfall, Einschränkungen oder Insolvenz des Anbieters	Verlust oder Kompromittierung von Schlüsseln und unsicheres Signieren

Dieser Vergleich beschreibt Kontrollmodelle. Keine Option ist dadurch allgemein sicher; jede verteilt Risiko und Verantwortung anders.

Was „Ich kontrolliere meine Mittel“ tatsächlich bedeutet

Die Kontrolle über einen privaten Schlüssel ermöglicht Signaturen, bedeutet jedoch keine uneingeschränkte Kontrolle über jeden Token oder jede Anwendung.

Ergebnisse können außerdem von Folgendem abhängen:

Token-Vertragsregeln;
Funktionen des Emittenten zum Pausieren, Einfrieren oder Sperren;
zuvor erteilte Token-Freigaben;
die Logik eines Protokolls, das eingezahlte Assets hält;
Netzwerkverfügbarkeit und Gebühren;
Smart-Contract-Fehler;
Einschränkungen der Oberfläche, des RPC-Anbieters oder rechtliche Einschränkungen.

Ein Benutzer kann beispielsweise Token in einen Smart Contract einzahlen. Er kontrolliert weiterhin seinen Schlüssel, kann aber nur nach den Regeln dieses Vertrags auszahlen. Self-Custody beseitigt die Schlüsselverwahrung durch einen Vermittler, setzt den Code jedoch nicht außer Kraft.

Was während einer Transaktion geschieht

Die Wallet ruft Saldo und aktuelle Gebührenparameter ab.
Der Benutzer gibt Empfänger und Betrag ein.
Die App zeigt die vorbereitete Transaktion an.
Der Benutzer genehmigt sie.
Der private Schlüssel erzeugt die Signatur lokal oder auf einem Hardware-Signiergerät.
Die signierte Transaktion wird an das Netzwerk gesendet.
Das Netzwerk prüft Signatur und Ausführungsregeln.

Eine korrekt konzipierte Wallet veröffentlicht den privaten Schlüssel nicht auf der Blockchain. Sie übermittelt eine Signatur, die die Verfügungsberechtigung nachweist, ohne den Schlüssel selbst offenzulegen.

Kontrolle ist nicht gleich Sicherheit

Self-Custody verringert die Abhängigkeit von einem Verwahrer, überträgt die Verantwortung jedoch auf den Eigentümer.

Phishing

Eine gefälschte Website fordert den Benutzer auf, seine Wallet zu verbinden und eine schädliche Anfrage zu signieren. Verbinden und Signieren sind nicht dasselbe, doch jede Signaturanfrage muss sorgfältig geprüft werden.

Kompromittierung der Seed-Phrase

Hat eine andere Person die Phrase gesehen, gelten alle daraus abgeleiteten Adressen als kompromittiert. Eine Änderung des App-Passworts genügt nicht.

Schädliche Freigaben

Ein Benutzer kann einem Vertrag erlauben, einen Token auszugeben. Das Risiko hängt vom Token, vom autorisierten Ausgeber und von der Höhe der Freigabe ab.

Austausch einer Adresse

Schadsoftware kann eine kopierte Adresse ersetzen. Prüfen Sie vor dem Signieren die Transaktionsdetails auf einem vertrauenswürdigen Bildschirm.

Verlorene Sicherung

Das Telefon fällt aus, die App wird entfernt und es gibt keine Wiederherstellungsmethode. Bei klassischer Self-Custody kann ein zentraler Support den Schlüssel nicht neu erzeugen.

Grundregeln für sichere Self-Custody

Installieren Sie Wallets nur über Links der offiziellen Website. Hüten Sie sich vor beworbenen Kopien und gefälschten Erweiterungen.
Sichern Sie Wiederherstellungsdaten gemäß den offiziellen Anweisungen der Wallet, vorzugsweise offline und vor unbefugtem Zugriff geschützt.
Geben Sie eine Seed-Phrase niemals über einen Link aus einer Nachricht ein. Verwenden Sie sie nur zur bewussten Wiederherstellung in einer verifizierten Wallet.
Erstellen Sie keinen Screenshot der Seed-Phrase und senden Sie sie weder per E-Mail noch über Messenger.
Prüfen Sie vor dem Signieren Netzwerk, Adresse, Asset, Betrag, Freigaben und Gebühr.
Ziehen Sie bei bedeutenden Beträgen ein Hardware-Signiergerät in Betracht, machen Sie sich jedoch mit dessen Wiederherstellungsmodell und Lieferkettenrisiken vertraut.
Verwenden Sie getrennte Adressen für unterschiedliche Zwecke, etwa alltägliche dApps und langfristige Aufbewahrung.
Prüfen Sie frühere Token-Freigaben regelmäßig mit einem vertrauenswürdigen Block Explorer oder einem offiziellen Netzwerkwerkzeug.
Testen Sie einen neuen Ablauf zunächst mit einem kleinen Betrag.
Erstellen Sie einen sicheren Nachlassplan, der geheime Daten nicht vorzeitig offenlegt.

Wenn etwas schiefgeht

Das App-Passwort ist verloren, die Seed-Phrase jedoch sicher

Geben Sie die Phrase nicht auf einer beliebigen Website ein. Suchen Sie die offiziellen Wiederherstellungsanweisungen Ihrer Wallet und verwenden Sie eine verifizierte App.

Die Seed-Phrase wurde möglicherweise offengelegt

Behandeln Sie alle zugehörigen Adressen als kompromittiert. Erstellen Sie auf einem sauberen Gerät eine neue unabhängige Wallet und übertragen Sie Assets nach Möglichkeit an neue Adressen; berücksichtigen Sie dabei Gas und aktive Freigaben. Eine Änderung des alten Passworts genügt nicht.

Eine verdächtige Freigabe wurde signiert

Prüfen Sie die Transaktion und aktive Freigaben in einem Block Explorer. Das Widerrufen einer Freigabe ist selbst eine On-Chain-Transaktion und benötigt Gas. Wurde die Seed-Phrase offengelegt, genügt der Widerruf allein nicht.

Ein Token wurde an die falsche Adresse gesendet

Eine Blockchain bietet keine Rückgängig-Funktion für eine bestätigte Übertragung. Nur der Verfügungsberechtigte der Empfängeradresse oder die anwendbare Vertragslogik kann Mittel zurückgeben. Geben Sie niemals eine Seed-Phrase an jemanden weiter, der verspricht, die Transaktion rückgängig zu machen.

So prüfen Sie die Aussage „Non-Custodial“

Fragen Sie den Anbieter:

Wer erstellt und speichert die privaten Schlüssel?
Kann das Unternehmen ohne mich eine Transaktion signieren?
Kann ich den Zugang wiederherstellen, ohne das Unternehmen zu kontaktieren?
Kann ich die Kontrolle in eine kompatible Wallet exportieren oder übertragen?
Was geschieht, wenn der Dienst eingestellt wird?

Die Antworten sollten die Architektur erklären und nicht nur „dezentral“ oder „sicher“ wiederholen.

Fazit

Eine Non-Custodial Wallet ist kein Bankkonto innerhalb einer App. Sie ist ein Werkzeug, mit dem ein Benutzer Schlüssel kontrolliert und Blockchain-Aktionen signiert.

Direct control removes the need to trust an intermediary with key custody, but makes the user responsible for backups, signature review, and device security. The most useful habit is simple: a public address can be shared; a seed phrase and private key must never be shared.

Wichtigste Erkenntnisse