Social Engineering: Die größte Gefahr für Halter

Die größte Gefahr für deine Bitcoin ist kein Hacker, der deine Verschlüsselung knackt, sondern jemand, der dich überredet. Social Engineering heißt: Ein Täter bringt dich dazu, selbst die Seed-Phrase zu verraten, eine App zu installieren oder Bitcoin zu senden. Keine Hardware-Wallet verhindert eine Zahlung, die du selbst bestätigst. Dagegen helfen drei Regeln: Niemand braucht je deine Seed-Phrase, du rufst nur über eine Nummer zurück, die du selbst nachgeschlagen hast, und du nimmst dir Zeit.

Warum Menschen leichter zu knacken sind als Bitcoin

Einen privaten Schlüssel durch Ausprobieren zu finden, ist mit heutiger Technik aussichtslos. Ein Gespräch dagegen dauert zehn Minuten. Deshalb greifen Täter fast nie die Kryptografie an, sondern den Menschen, der den Schlüssel hält.

Bitcoin macht das für sie besonders lohnend. Eine Zahlung ist nach der Bestätigung endgültig. Es gibt keine Bank, die eine Überweisung zurückruft, und keine Hotline, die ein Konto einfriert. Was du selbst sendest, ist weg. Diese Endgültigkeit ist eine Stärke von Bitcoin, aber sie gilt auch für Fehler.

Dazu kommt: Wer Bitcoin selbst verwahrt, ist seine eigene Bank. Er hat keinen Sachbearbeiter, der stutzig wird, wenn ein 70-Jähriger plötzlich alles an eine unbekannte Adresse schickt. Der Schutz, den bei einer Bank ein zweiter Mensch leistet, muss bei dir eine Gewohnheit leisten.

Die Hebel, mit denen Täter arbeiten

Social Engineering funktioniert, weil es normale menschliche Reaktionen ausnutzt. Die Psychologie kennt sie seit Jahrzehnten. Fast jede Masche nutzt zwei oder drei davon gleichzeitig:

• Autorität: Jemand tritt als Support, Bank, Polizei, Staatsanwaltschaft oder Hersteller auf. Wir folgen Anweisungen von Stellen, denen wir vertrauen.
• Dringlichkeit: „Dein Konto wird in 30 Minuten gesperrt.“ Unter Zeitdruck prüfen wir weniger.
• Angst: „Von deinem Konto gehen gerade Bitcoin ab.“ Wer Angst hat, will handeln, nicht nachdenken.
• Vertrauen und Zuneigung: Eine Bekanntschaft, die wochenlang freundlich schreibt, bittet irgendwann um einen Gefallen.
• Gier und Hoffnung: Ein Gewinn, der zu gut klingt, oder die Aussicht, verlorenes Geld zurückzubekommen.
• Hilfsbereitschaft: Ein „Kollege“ oder ein „Familienmitglied“ steckt in Not.

Wie diese Denkfehler auch deine Kauf- und Verkaufsentscheidungen verzerren, zeigt der Artikel Kognitive Verzerrungen beim Bitcoin-Investieren.

Woher Täter so viel über dich wissen

Ein überzeugender Anruf beginnt mit Wissen. Der Täter nennt deinen Namen, deine Börse, vielleicht die letzten Ziffern deiner Telefonnummer oder deine Postadresse. Das wirkt echt, weil es stimmt.

Die Quellen sind meist banal: Datenlecks bei Anbietern, öffentliche Beiträge in sozialen Netzwerken, Fotos mit erkennbarer Hardware-Wallet, Diskussionen in Foren mit Klarnamen. Zwei dokumentierte Fälle zeigen das Muster:

• Ledger, 2020: Nach einem Leck aus der Kunden- und Marketingdatenbank bekamen Käufer der Hardware-Wallet jahrelang gefälschte Mails, Briefe, Ersatzgeräte und Drohungen.
• Coinbase, 2025: Bestochene Mitarbeiter eines Support-Dienstleisters gaben Kundendaten weiter. Täter riefen damit Kunden an, gaben sich als Coinbase aus und überredeten sie, ihre Bitcoin auf ein angeblich sicheres Konto zu senden. Coinbase kündigte an, betroffene Kunden zu entschädigen.

Was du tun kannst, damit über dich weniger bekannt ist, und wie du dich vor Drohungen und Gewalt nach einem Leck schützt, steht im Artikel Diskretion und physische Sicherheit. Hier geht es um das Gespräch selbst.

Die typischen Angriffe auf Bitcoin-Halter

Einen ausführlichen Katalog aller Maschen mit Erkennungszeichen findest du im Artikel Bitcoin-Betrug erkennen. Die Übersicht hier zeigt nur, welchen Hebel jeder Angriff nutzt und was die richtige Antwort ist.

Der letzte Fall richtet sich nicht gegen dich, sondern gegen den Mitarbeiter im Handyladen oder an der Hotline. Wie das abläuft und wie du deine Nummer absicherst, erklärt der Artikel SIM-Swapping und wie man sich schützt.

Der Anruf „Ihr Konto ist kompromittiert“

Dieser Angriff verdient einen genauen Blick, weil er besonders gut funktioniert. Er dreht die Rollen um: Der Täter warnt dich vor einem Betrug und begeht ihn dabei.

Echte Börsen rufen in solchen Fällen nicht an, um dich Coins verschieben zu lassen. Wenn ein Konto wirklich gefährdet ist, sperrt der Anbieter es selbst. Er braucht dafür weder deine Codes noch deine Bitcoin.

Warum Technik das nicht lösen kann

Gegen Hacker gibt es Werkzeuge: Hardware-Wallets, PINs, Passphrasen, Multisig. Gegen Überredung helfen sie nur begrenzt. Der Grund ist einfach: Sie schützen davor, dass jemand ohne deine Zustimmung handelt. Social Engineering holt sich deine Zustimmung.

• Die Hardware-Wallet zeigt dir korrekt an, an welche Adresse du sendest. Wenn der Täter dich überzeugt hat, dass das die richtige Adresse ist, bestätigst du sie.
• Die Seed-Phrase umgeht jedes Gerät. Tippst du sie auf einer Website ein, braucht der Täter dein Gerät gar nicht mehr.
• Zwei-Faktor-Codes schützen nur, solange du sie nicht vorliest.
• Datenschutz der Anbieter kann versagen, wie die Lecks zeigen. Darauf hast du keinen Einfluss.
• Echt wirkende Stimmen und Videos lassen sich heute mit wenig Aufwand fälschen. 2024 überwies ein Mitarbeiter des Ingenieurbüros Arup in Hongkong rund 25 Mio. US-Dollar, nachdem er in einer Videokonferenz mit gefälschten Kollegen und einem gefälschten Finanzchef gesessen hatte.

Selbst Profis fallen darauf herein. Im Juli 2020 riefen Täter Mitarbeiter von Twitter an, gaben sich als interne IT aus und erhielten so Zugang zu internen Werkzeugen. Danach posteten sie von Konten wie denen von Barack Obama, Elon Musk und Apple einen angeblichen Bitcoin-Verdopplungsaufruf. In wenigen Stunden gingen mehr als 100’000 US-Dollar in Bitcoin ein.

Was Technik aber kann: dich bremsen. Je mehr Zeit und Schritte eine große Zahlung braucht, desto eher fällt dir der Betrug auf. Liegt dein Hauptbestand in einer Multisig-Wallet, deren Schlüssel an zwei verschiedenen Orten liegen, kannst du am Telefon gar nicht in zehn Minuten alles senden. Diese Reibung ist ein Schutz, kein Mangel.

Die drei Regeln, die fast alles abwehren

Du musst nicht jede Masche kennen. Drei Regeln decken fast alle Fälle ab, weil sie nicht vom Inhalt der Geschichte abhängen, sondern vom Ablauf.

1. Niemand braucht je deine Seed-Phrase

Kein Hersteller, keine Börse, kein Support, keine Behörde und kein Anwalt. Es gibt keinen legitimen Grund, deine Wörter irgendwo anders einzugeben als in dein eigenes Gerät, wenn du selbst eine Wallet wiederherstellst. Wer danach fragt, ist ein Täter. Ohne Ausnahme.

Dasselbe gilt für das „sichere Konto“: Niemand, der dich schützen will, bittet dich, deine Bitcoin an eine Adresse zu senden, die er dir gibt.

2. Du rufst an, nicht sie

Die Nummer, die dein Telefon anzeigt, kann gefälscht sein, ebenso der Absender einer Mail oder SMS. Leg auf und ruf die Stelle über einen Weg an, den du selbst gefunden hast: die offizielle App, die Website, die du selbst eintippst, die Nummer auf deiner Bankkarte. Nicht über den Link oder die Nummer in der Nachricht.

Bei Familie und Freunden gilt dasselbe. Bittet „deine Tochter“ per Sprachnachricht um Geld, ruf sie unter der Nummer an, die du gespeichert hast. Ein vereinbartes Familien-Codewort, das nirgends aufgeschrieben steht, hilft gegen gefälschte Stimmen.

3. Langsam machen

Druck ist das sicherste Warnzeichen. Echte Probleme halten eine Stunde aus. Mach dir eine feste Regel: Keine Zahlung und keine Eingabe, die du nicht selbst geplant hast, am selben Tag. Sprich vorher mit einer Person, der du vertraust.

Weitere Gewohnheiten, die dich schützen

Neben den drei Regeln helfen ein paar einfache Gewohnheiten:

• Keine Fernwartung auf Zuruf. Programme wie AnyDesk oder TeamViewer geben einem Fremden die Kontrolle über deinen Rechner. Installiere sie nie, weil ein Anrufer dich darum bittet.
• Keine Codes vorlesen. Ein Bestätigungscode ist nur für dich. Wer ihn hören will, will sich als du anmelden.
• Hilfe nie in Kommentaren suchen. Wer öffentlich auf X, Reddit oder Telegram nach Hilfe fragt, bekommt Minuten später Nachrichten von „Support-Mitarbeitern“. Echter Support schreibt dich nicht von sich aus privat an.
• Software nur von der Herstellerseite. Lade Wallet-Apps über die Adresse, die du selbst eintippst, nicht über Anzeigen in Suchmaschinen.
• Deinen Bestand nicht zeigen. Je weniger Fremde wissen, dass du Bitcoin hast, desto seltener wirst du zum Ziel.
• Familie einweihen. Ältere Angehörige sind häufig Ziel. Erkläre ihnen die drei Regeln, auch wenn sie selbst keine Bitcoin haben. Sie bekommen vielleicht den Anruf, der dich betrifft.

Wenn es doch passiert ist

Hast du eine Seed-Phrase verraten, zählt jede Minute. Richte sofort auf einem vertrauenswürdigen Gerät eine neue Wallet mit neuer Seed-Phrase ein und sende alles, was noch da ist, dorthin. Die alte Seed-Phrase ist für immer verbrannt.

Hast du einem Täter Zugang zu deinem Börsenkonto gegeben, ändere Passwort und zweiten Faktor, melde den Vorfall über die App beim Anbieter und lass dir bestätigen, dass Abhebungen gesperrt sind. Danach erstattest du Anzeige bei der Polizei, in der Schweiz kannst du den Fall zusätzlich dem Bundesamt für Cybersicherheit melden.

Schäm dich nicht. Social Engineering trifft Ingenieure, IT-Leute und erfahrene Anleger, weil es nicht Wissen angreift, sondern menschliche Reaktionen. Wer offen darüber spricht, warnt andere. Was du nach einem Betrug sonst noch tun kannst, steht ebenfalls im Artikel Bitcoin-Betrug erkennen.