Krypto sicher aufbewahren: 2FA und die Gewohnheiten, die wirklich schützen
Zwei aktuelle Sicherheitsvorfälle und was sie Nutzerinnen und Nutzer lehren: sechs Gewohnheiten, die Ihre Krypto und Ihre Konten wirklich schützen, beginnend mit der Zwei-Faktor-Authentifizierung.
Innert zehn Tagen sorgten zwei grosse Sicherheitsvorfälle für Schlagzeilen. Kein normaler Nutzer hätte einen davon verhindern können. Beide sind trotzdem eine gute Erinnerung daran, wie viel Sie selbst in der Hand haben.
Was geschah
PHP2Shell, 20. bis 21. Oktober 2026. PHP ist eine Programmiersprache, die hinter vielen Websites und Online-Diensten läuft. Details zu zwei kritischen Schwachstellen gelangten an die Öffentlichkeit, bevor ein Fix bereit war; PHP veröffentlichte am 21. Oktober die behobenen Versionen. Laut CERT-EU war jede PHP-Installation, die Web-Anfragen beantwortet, gefährdet, bis sie aktualisiert wurde. Website-Betreiber mussten patchen. Nutzer konnten nur warten.
Ein Rekord-Hack bei einer Börse, 29. Oktober 2026. Binance bestätigte einen Angriff, der rund 6,3 Milliarden US-Dollar betraf, wovon etwa 3 Milliarden eingefroren wurden. Die Börse vermutet, dass die Angreifer über den Laptop eines Mitarbeiters hineinkamen. Sie habe keine Hinweise auf ein Leck privater Schlüssel gefunden und werde alle Verluste decken. Die Zahlen können sich noch ändern (Blick hat die Schweizer Berichterstattung).
Zwei Arten von Risiko
Plattform-Risiko ist, was in den Systemen anderer passiert: einer Website, einer Börse, einer App. Sie können deren Server nicht patchen und deren Mitarbeiter-Laptops nicht absichern.
Konto-Risiko ist, wie jemand in Ihr Konto oder Ihre Wallet gelangt. Dieser Teil liegt weitgehend in Ihrer Hand – und hier machen gute Gewohnheiten den grössten Unterschied.
1. Zwei-Faktor-Authentifizierung aktivieren
Die Zwei-Faktor-Authentifizierung (2FA) verlangt neben dem Passwort einen zweiten Nachweis: etwas, das Sie haben, etwa Ihr Handy, oder etwas, das Sie sind, etwa Ihren Fingerabdruck. Das Nationale Zentrum für Cybersicherheit empfiehlt, sie überall dort zu nutzen, wo es möglich ist, und mindestens für E-Mail, Online-Banking und soziale Medien.
Nicht jede 2FA ist gleich gut:
- Am stärksten: Passkeys oder ein Hardware-Sicherheitsschlüssel. Sie funktionieren nur auf der echten Website, eine gefälschte Login-Seite kann sie nicht abgreifen.
- Gut: eine Authenticator-App. Sie erzeugt auf Ihrem Handy Codes, die sich alle paar Sekunden ändern.
- Am schwächsten: SMS-Codes. Sie können abgefangen werden, etwa wenn jemand Ihre Rufnummer übernimmt.
Beginnen Sie bei Ihrem E-Mail-Konto. Wer Ihren Posteingang kontrolliert, kann die meisten Ihrer anderen Passwörter zurücksetzen. Bewahren Sie Ihre Backup-Codes offline auf.
2. Überall ein anderes Passwort verwenden
Wird eine Website gehackt, werden gestohlene Passwörter auf anderen Seiten durchprobiert. Schwachstellen wie PHP2Shell sind genau die Art, die zu solchen Lecks führt. Ein Passwort-Manager macht einzigartige Passwörter mühelos: Sie merken sich eines, er merkt sich den Rest.
3. Geräte aktuell halten
Der Börsen-Hack begann Berichten zufolge mit einem einzigen kompromittierten Laptop. Zu Hause gilt dasselbe: Ihr Handy und Ihr Computer sind die Haustür zu Ihren Konten und Ihrer Wallet. Installieren Sie Updates zeitnah, nutzen Sie eine Bildschirmsperre und installieren Sie Apps nur aus offiziellen Stores.
4. Nach grossen Nachrichten mit Phishing rechnen
Betrüger nutzen Schlagzeilen. Nach einem grossen Hack ist mit gefälschten Nachrichten über «Entschädigung», «Rückerstattung» oder «Konto bestätigen» zu rechnen.
- Geben Sie niemals Ihre Wiederherstellungsphrase, Ihren privaten Schlüssel oder einen 2FA-Code weiter. Kein seriöser Anbieter fragt je danach.
- Öffnen Sie die Website oder App selbst, statt einen Link in einer Nachricht anzuklicken.
- Behandeln Sie Dringlichkeit als Warnsignal. Seriöse Anbieter geben Ihnen keine zehn Minuten Zeit zum Handeln.
5. Wissen, wer Ihre Schlüssel hält
Bei einem verwahrten (custodial) Dienst hält der Anbieter die Schlüssel zu Ihrer Krypto. Er kann Ihnen helfen, wenn Sie den Zugang verlieren, aber Ihre Mittel hängen davon ab, wie gut er seine eigenen Systeme schützt.
Bei einem selbstverwahrten (non-custodial) Dienst halten Sie die Schlüssel. Ein Einbruch in die Systeme des Anbieters übergibt den Angreifern nicht Ihre Schlüssel – dafür ist das Sichern Ihrer Wiederherstellungsphrase Ihre Aufgabe.
Kein Modell ist frei von Risiko. Entscheidend ist, dass Sie wissen, welches Sie nutzen und was das für Sie bedeutet.
6. Jede Adresse prüfen und zuerst testen
Krypto-Überweisungen lassen sich nicht rückgängig machen. Prüfen Sie die vollständige Empfängeradresse, nicht nur die ersten und letzten Zeichen, denn Betrüger erstellen täuschend ähnliche Adressen. Bei grösseren Beträgen senden Sie zuerst eine kleine Testüberweisung.
Ihre Checkliste
- 2FA für Ihr E-Mail-Konto, idealerweise mit Passkey oder Authenticator-App
- 2FA für jedes Krypto- und Bankkonto
- Ein einzigartiges Passwort für jedes Konto, gespeichert in einem Passwort-Manager
- Handy und Computer auf dem neusten Stand
- Wiederherstellungsphrase offline gesichert, nie als Foto oder in der Cloud
- Lesezeichen für die Seiten, die Sie nutzen, statt Links aus Nachrichten
Sicherheit ist nie eine einzelne Einstellung. Es sind ein paar Gewohnheiten, die man beibehält.
Bereit loszulegen?
Eröffnen Sie ein Konto zum Kaufen, Verkaufen und Verwahren von Krypto.
Mit Eti-Tech startenOffizielle Quellen
Nationales Zentrum für Cybersicherheit (Schweiz): Zugänge doppelt absichern
CERT-EU Security Advisory 2026-018: Kritische Schwachstellen in PHP (Englisch)
Zuletzt geprüft: 30. Oktober 2026. Dieser Artikel ist keine Anlageberatung.
Häufige Fragen
- Was ist Zwei-Faktor-Authentifizierung (2FA)?
- 2FA verlangt zusätzlich zum Passwort einen zweiten Identitätsnachweis, meist einen Code aus einer App oder eine Bestätigung auf dem Handy. Selbst wer Ihr Passwort stiehlt, kommt ohne diesen zweiten Faktor nicht hinein.
- Ist 2FA per SMS besser als nichts?
- Ja, klar. SMS-Codes können abgefangen werden, eine Authenticator-App oder ein Passkey ist also stärker – aber jede 2FA ist weit besser als ein Passwort allein.
- Was ist ein Passkey?
- Ein Passkey ersetzt Ihr Passwort durch einen auf Ihrem Gerät gespeicherten Schlüssel, der mit Fingerabdruck, Gesicht oder PIN entsperrt wird. Er funktioniert nur auf der Website, für die er erstellt wurde, eine gefälschte Login-Seite kann ihn nicht verwenden.
- Hätte mich 2FA beim Börsen-Hack geschützt?
- Nein. Dieser Angriff geschah in den eigenen Systemen der Börse, nicht über Kunden-Logins. 2FA schützt Ihr Konto vor Personen, die versuchen, sich als Sie anzumelden.
- Ich habe auf einen verdächtigen Link geklickt. Was soll ich tun?
- Ändern Sie das Passwort des betroffenen Kontos von einem anderen, vertrauenswürdigen Gerät aus und melden Sie alle aktiven Sitzungen ab. Falls Sie Ihre Wiederherstellungsphrase irgendwo eingegeben haben, behandeln Sie diese Wallet als kompromittiert und verschieben Sie Ihre Mittel sofort in eine neue Wallet.
- Wo sollte ich meine Wiederherstellungsphrase aufbewahren?
- Offline: auf Papier geschrieben oder in Metall graviert, an einem sicheren Ort. Nie als Foto, in einem Cloud-Ordner, in Ihrer E-Mail oder in einer Notiz-App, und teilen Sie sie mit niemandem.
- Was, wenn ich das Handy für 2FA verliere?
- Nutzen Sie die Backup-Codes, die Sie beim Einrichten der 2FA gespeichert haben. Falls Sie keine haben, wenden Sie sich an den Support des Anbieters, der vor der Wiederherstellung Ihre Identität prüfen muss.
Weiterlesen
Investitionen in Krypto-Assets sind mit erheblichen Risiken verbunden. Der Wert von Krypto-Assets kann steigen und fallen, und Sie können Ihr gesamtes investiertes Kapital verlieren. Eti-Tech AG ist VQF-SRO-Mitglied (VASP). Dies ist keine Anlageberatung.
Krypto. Schweizer Art.