Watch-Only Wallet für Cold Storage sicher einrichten

Was eine Watch-only Wallet eigentlich ist

Eine Watch-only Wallet ist eine Bitcoin Wallet, in die nur die öffentliche Hälfte deiner Keypair-Konfiguration geladen wurde. Sie kennt deine Adressen, dein Guthaben und deine Transaktionshistorie, hat aber keine privaten Schlüssel und kann daher keine Transaktion signieren. Wenn man darüber nachdenkt, ist das die perfekte Trennung der Aufgaben: Ein Gerät übernimmt die gefährliche Aktion des Signierens, und ein anderes übernimmt die leseintensive Aufgabe der Überwachung und Adressgenerierung.

Der Trick, der das ermöglicht, liegt in der Struktur einer Bitcoin Wallet. Moderne Wallets sind keine einzelnen Schlüsseldateien. Sie werden aus einer Master-Seed über einen Baum von untergeordneten Schlüsseln abgeleitet, und die öffentliche Seite dieses Baums kann als eine einzelne Zeichenfolge exportiert werden, die erweiterter öffentlicher Schlüssel heißt. Die gängigsten Formate sind xpub (Legacy), ypub (Native SegWit) und zpub (Taproot). Jeder, der diese Zeichenfolge besitzt, kann jede aktuelle und zukünftige Adresse ableiten, die deine Wallet jemals erzeugen wird, aber er kann von diesen Adressen nichts ausgeben, weil der private Zweig nie geteilt wird.

Eine Watch-only Wallet ist also im Grunde nur eine normale Wallet, die mit einem erweiterten öffentlichen Schlüssel statt mit einer Seed initialisiert wurde. Die Software kann den Unterschied nicht erkennen, außer dass alle Ausgabeschaltflächen ausgegraut sind. Du kannst beobachten, wie Guthaben eingehen, du kannst frische Empfangsadressen für den Sender erzeugen, und du kannst eine Transaktionsvorlage erstellen. In dem Moment, in dem du broadcasten willst, verweigert die Wallet den Vorgang, weil sie nichts zum Signieren hat.

Was schiefgehen kann: xpub-Leaks sind das eigentliche Risiko

Die meisten Einsteigerleitfäden behandeln Watch-only Wallets im Grunde als kostenlose Sicherheit. Das sind sie nicht. Der häufigste Fehler ist, einen xpub, ypub oder zpub beiläufig zu teilen und ihn wie einen öffentlichen Zahlungslink zu behandeln. Das ist er nicht. Ein erweiterter öffentlicher Schlüssel ist ein deterministischer Generator für jede Adresse, die deine Wallet jemals erzeugen wird, vergangene und zukünftige. Jeder, der ihn besitzt, kann deine gesamte Guthabenhistorie kartieren, jede Adresse in seiner eigenen Datenbank markieren und neue Einzahlungen in Echtzeit verfolgen.

Die Risiken lassen sich in drei Bereiche aufteilen. Erstens Verlust der Privatsphäre. Chain-Analytics-Unternehmen betrachten geleakte xpubs als Gold. Sobald einer in ihrer Datenbank ist, wird jede daraus abgeleitete Adresse für immer derselben Entität zugeordnet, was pseudonyme Holder oft de-anonymisiert. Zweitens Targeting. Wenn ein Angreifer ein großes Guthaben auf einer Adresse sieht, die er vorhersagen kann, hat er einen starken Anreiz, operative Fehler zu finden: eine Phishing-E-Mail, einen unvorsichtigen Custodian oder eine anfällige Software-Lieferkette. Drittens Social Engineering. Ein geleakter xpub in Kombination mit einem gestohlenen Benutzernamen oder einem Adressbucheintrag reicht aus, um überzeugende Impersonation-Angriffe gegen dich oder deine Gegenpartei zu starten.

Die ehrliche Zusammenfassung: Eine Watch-only Wallet ist sicher, weil sie deine Schlüssel nicht enthält. Sie ist aber auch ein Tool, das bei falscher Handhabung erstaunlich viele Informationen über deine Finanzen preisgibt. Behandle den erweiterten öffentlichen Schlüssel wie einen Kontoauszug, der sich automatisch aktualisiert. Füge ihn nicht in Webformulare ein, speichere ihn nicht in Cloud-Notizen und teile ihn nicht mit Personen, die ihn nicht zwingend benötigen.

Electrum vs Sparrow: Welche Wallet für Watch-only wählen?

Electrum ist die ältere und stärker praxiserprobte Option. Watch-only-Unterstützung ist dort fest integriert. Wenn du eine neue Wallet erstellst, fragt dich Electrum, wie du sie importieren möchtest, und eine der Optionen ist die Verwendung eines Master Public Key. Du fügst den xpub, ypub oder zpub ein, und Electrum rekonstruiert den Adressbaum und beginnt mit der Synchronisierung. Die Oberfläche ist eher funktional als hübsch, und sie funktioniert auf praktisch jedem Desktop-Betriebssystem.

Sparrow Wallet ist die modernere Wahl und wird bei Self-Custody-Nutzern immer beliebter. Sie unterstützt denselben Watch-only-Import, fügt aber zwei Dinge hinzu, die für Cold Storage wichtig sind. Das erste ist ein klares visuelles Modell der Struktur deiner Wallet, einschließlich UTXO-Verwaltung und Coin Control. Das zweite ist ein integrierter Airgap-Mechanismus, bei dem unsignierte Transaktionen als PSBTs (Partially Signed Bitcoin Transactions) in eine Datei oder als QR-Code exportiert, offline signiert und mit angehängter Signatur wieder importiert werden können. Dieser Airgap-Ablauf ist der Goldstandard, um das Cold-Gerät dauerhaft vom Netzwerk getrennt zu halten.

Für die meisten langfristigen Holder ist Sparrow heute die bessere Standardwahl. Es bietet bessere Coin Control, bessere Gebührenschätzung und einen transparenteren Airgap-Mechanismus. Wenn du Electrum bereits nutzt und dich damit wohlfühlst, ist ein Wechsel nicht erforderlich. Wichtig ist, dass du unabhängig von deiner Wahl die Software auf einem gehärteten Rechner ausführst, die Download-Signatur prüfst und deinen Seed niemals in das Watch-only-Gerät eingibst.

Schritt für Schritt: Eine Watch-only-Wallet in Sparrow erstellen

Beginne auf dem Cold-Gerät. Das ist der Rechner, der deinen Seed enthält und nie wieder mit dem Internet verbunden wird. Installiere Sparrow von der offiziellen Website, verifiziere die Signatur des Entwicklers und erstelle dann eine neue Wallet. Wähle eine starke Passphrase zusätzlich zum Seed mit 12 oder 24 Wörtern, schreibe alles auf Papier oder Metall auf und lasse Sparrow die Wallet erzeugen. Sobald die Wallet erstellt ist, hast du einen einzigen Seed und einen erweiterten Master Public Key.

Exportiere nun vom Cold-Gerät aus die Wallet-Datei. Gehe in Sparrow zu File, dann zu Export Wallet, und wähle das Dateiformat. Diese Datei enthält den xpub, ypub oder zpub für jedes deiner Skripte, außerdem die Derivation Paths und alle Labels, die du gesetzt hast. Speichere diese Datei auf einem USB-Stick oder einer SD-Karte. Exportiere unter keinen Umständen den Seed. Nur die öffentlichen Daten zu exportieren, ist der ganze Zweck dieses Workflows.

Stecke den USB-Stick oder die SD-Karte in dein Online-Gerät. Installiere auch dort Sparrow, aber anstatt eine neue Wallet zu erstellen, wähle Import Wallet und gib die exportierte Datei an. Sparrow rekonstruiert den Adressbaum und beginnt mit der Synchronisierung mit dem Bitcoin-Netzwerk. Nach ein paar Minuten solltest du deinen Kontostand, deine UTXOs und deinen Transaktionsverlauf sehen. Die Schaltfläche Send ist sichtbar, aber deaktiviert.

Ab diesem Punkt ist das Online-Gerät dein Überwachungsterminal. Du kannst neue Empfangsadressen erzeugen, beobachten, wie eingehende Transaktionen bestätigt werden, und unsignierte PSBTs erstellen, wenn du etwas ausgeben möchtest. Das Cold-Gerät bleibt in einer Schublade und wird nur eingeschaltet, wenn du signieren musst.

Adressen in einem Block Explorer verifizieren

Eine Gewohnheit, die sorgfältige Holder von nachlässigen unterscheidet, ist die Adressverifikation. Jedes Mal, wenn du in deiner Watch-only-Wallet eine neue Empfangsadresse erzeugst, solltest du in einem Block Explorer prüfen, ob die Adresse tatsächlich zu deiner Wallet gehört. Das ist nicht paranoid. Es ist ein günstiger Schutz gegen eine reale Klasse von Angriffen, darunter Clipboard-Malware, Browser-Erweiterungen und kompromittierte Wallet-Software, die unbemerkt Adressen austauscht.

Der Prozess ist einfach. Erzeuge eine neue Empfangsadresse in deiner Watch-only-Wallet, öffne dann einen Block Explorer wie mempool.space oder einen Block Explorer, dem du vertraust. Füge die Adresse in die Suchleiste ein und bestätige, dass der erwartete Transaktionsverlauf angezeigt wird. Wenn die Adresse brandneu ist und noch keine Historie hat, ist das in Ordnung. Du prüfst, dass die Adresse tatsächlich eine gültige Bitcoin-Adresse ist, die deine Wallet zu kontrollieren vorgibt, und dass sie nicht durch einen bösartigen Prozess auf deinem Computer ersetzt wurde.

Für zusätzliche Sorgfalt kannst du die ersten paar Adressen aus deinem Seed auf einem separaten Gerät ableiten und bestätigen, dass sie übereinstimmen. Das ist besonders wichtig, wenn du zum ersten Mal eine neue Wallet einrichtest, denn jede Kompromittierung während der Einrichtung bleibt später für dich unsichtbar.

Der Airgap-Signatur-Workflow in der Praxis

Wenn es Zeit wird, Coins auszugeben, ist der Airgap-Workflow das, was deine Schlüssel schützt. Beginne auf dem Online-Gerät und erstelle die Transaktion in Sparrow wie gewohnt. Wähle die UTXOs aus, die du ausgeben möchtest, gib Zieladresse und Betrag ein und lege die Gebühr fest. Anstatt auf Sign and Broadcast zu klicken, klicke auf Save PSBT to File oder Show as QR.

Übertrage die PSBT per USB, SD-Karte oder QR-Code auf das Cold-Gerät. Öffne auf dem Cold-Gerät Sparrow, lade die Cold Wallet und importiere die PSBT. Sparrow zeigt dir die Transaktionsdetails, damit du Zieladresse und Betrag auf einem Gerät prüfen kannst, das nie online war. Das ist der wichtigste Verifikationsschritt. Wenn du die Zieladresse auf dem Cold-Gerät nicht prüfst, vertraust du darauf, dass das Online-Gerät ehrlich ist, obwohl genau dieser Teil des Systems derjenige ist, dem du ursprünglich nicht vertrauen wolltest.

Nach der Prüfung klickst du auf Sign. Sparrow erzeugt eine signierte PSBT. Exportiere sie auf demselben Weg zurück auf das Online-Gerät und lade sie dort. Sparrow erkennt die Signaturen, vervollständigt die Transaktion und sendet sie an das Netzwerk. Das Cold-Gerät hat sich nie mit dem Internet verbunden. Die privaten Schlüssel haben es nie verlassen. Das Online-Gerät hat sie nie gesehen. Genau das ist das Versprechen von Cold Storage, und Watch-only-Wallets machen es im Alltag für Menschen praktikabel, die nicht jedes Mal eine Hardware Wallet an einen normalen Computer anschließen möchten, wenn sie einen Kontostand prüfen müssen.

Häufige Fehler, die du vermeiden solltest

Der erste Fehler ist, eine xpub als harmlos zu behandeln. Das ist sie nicht. Der zweite ist, den Seed versehentlich vom Cold-Gerät zu exportieren. Die meiste Wallet-Software macht den Export des Seeds möglich, und das ist eine gefährliche Falle. Deaktiviere oder ignoriere diese Schaltfläche. Der dritte ist, dieselbe Online-Wallet sowohl für Watch-only- als auch für Ausgabenfunktionen zu verwenden. Wenn dein Online-Gerät kompromittiert ist, sollte es nicht zusätzlich eine Hot Wallet mit echten Guthaben enthalten.

Der vierte Fehler ist, die Adressverifizierung zu überspringen. Der fünfte ist, Adressen unnötig wiederzuverwenden. Selbst mit einer Watch-only-Wallet ist es gute Praxis, für jede eingehende Transaktion eine neue Adresse zu generieren, und es verbessert die Privatsphäre. Der sechste ist, nicht nur den Seed, sondern auch den Wallet-Deskriptor nicht zu sichern. Wenn du die Wallet jemals auf einem neuen Gerät wiederherstellen musst, teilt der Deskriptor der Software genau mit, wie die Adressen abgeleitet wurden. Ohne ihn kannst du den Seed haben und die Wallet trotzdem falsch rekonstruieren.

Gehe schließlich nicht davon aus, dass Watch-only risikofrei bedeutet. Ein kompromittiertes Online-Gerät kann dich dennoch täuschen. Es kann dir ein gefälschtes Guthaben anzeigen, eine gefälschte Adresse generieren oder eine Transaktion erstellen, die einen Angreifer bezahlt. Das Cold-Gerät ist deine einzige verlässliche Quelle. Deshalb ist die Airgap-Verifizierung wichtig.

So überwachst du Bitcoin-Cold-Storage auf clevere Weise

Watch-only-Wallets verändern, wie langfristige Halter mit ihren Coins interagieren. Sie ermöglichen es dir, Guthaben zu prüfen und Empfangsadressen von einem bequemen Gerät aus zu generieren, ohne jemals die privaten Schlüssel zu berühren, und sie machen Airgap-Signaturen für den Alltag praktikabel. Die Einrichtung funktioniert jedoch nur, wenn du den erweiterten öffentlichen Schlüssel als sensible Daten behandelst, Adressen in einem Block Explorer verifizierst und dem Cold-Gerät bei jeder Transaktion für die endgültige Prüfung vertraust.

Bitcoin-Nachrichten und On-Chain-Signale ändern sich schnell, und sie manuell zu überwachen ist ein aussichtsloses Unterfangen. Zippfeed zeigt Bitcoin-Schlagzeilen mit Sentiment-Bewertung (bullish, neutral oder bearish) und einer Wichtigkeitsbewertung an, damit du das Rauschen filtern und dich auf das konzentrieren kannst, was deine These tatsächlich beeinflusst.