Die Prüfsumme besteht aus wenigen Bits, den grundlegenden Informationseinheiten, die aus den ursprünglichen Zufallsdaten berechnet werden. BIP39 nennt deren Länge ENT, ergänzt die ersten ENT/32 Bits ihres SHA-256-Fingerabdrucks und teilt das Ergebnis zur Wortauswahl in Gruppen von 11 Bits. Das prüft den Eintrag, erzeugt aber kein zusätzliches Geheimnis: Jeder mit denselben Daten kann dieselbe Summe berechnen.
Die Wörter stehen sowohl für die ursprünglichen Zufallsdaten, die Entropie, als auch für eine kurze Kontrolle dieser Daten. BIP39 erlaubt ENT = 128, 160, 192, 224 oder 256 Bits. Dazu kommen jeweils 4, 5, 6, 7 oder 8 Prüfbits; daraus entstehen 12, 15, 18, 21 oder 24 Wörter. Jede Gruppe mit 11 Bits wählt ein Wort mit einer Nummer im Bereich 0‑2047 aus einer Liste mit 2048 Wörtern. Bei der Wiederherstellung lässt sich dieser Eintrag zerlegen und auf Übereinstimmung seiner Teile prüfen. [1]
Das letzte Wort enthält auch einen Teil der ursprünglichen geheimen Daten. Bei einer Eingabe mit 128 Bits gilt 128 + 4 = 132 = 12 × 11: Im letzten Wort stecken 7 Entropiebits und 4 Prüfbits. Bei 24 Wörtern sind es 3 Entropiebits und 8 Prüfbits. Wer das letzte Wort verliert, verliert also mehr als die Kontrolle. Die vorherigen Wörter legen nicht genau eine richtige Endung fest; es gibt kein universelles Prüfwort zum bloßen Einsetzen. [1]
Die Prüfung ist kurz und kann deshalb nicht jede falsche Kombination zurückweisen. Von gleichverteilt zufälligen Folgen aus der richtigen Wortliste besteht bei 12 Wörtern ein Anteil von 1/16 und bei 24 Wörtern ein Anteil von 1/256. Diese Zahlen beziehen sich auf alle möglichen Folgen dieser Länge. Sie sagen nicht, wie zuverlässig gerade dein Tippfehler oder vertauschtes Wort erkannt wird. Eine grüne Bestätigung beweist daher nicht, dass du die Sicherung exakt abgeschrieben hast. [1]
Denk an eine Sicherung, die in einer Anleitung veröffentlicht wurde. Ihre Prüfsumme kann völlig stimmen, während ihre Verwendung für eigenes Geld unsicher ist. Das Prüfprogramm wandelt nur Wörter anhand der richtigen Liste in Bits um, trennt die ursprünglichen Daten ab und vergleicht die Prüfbits mit ihrem SHA-256. Ein Angreifer kann dasselbe berechnen. Die Prüfung erkennt weder den Urheber noch die Personen, die die Wörter kennen. Sie bestätigt keine Herkunft und kann eine falsche Sicherung auch nicht allgemein reparieren. [1]
Wenn du eine BIP39 passphrase, also ein zusätzliches Passwort, verwendest, wird sie von der Wort-Prüfsumme überhaupt nicht geprüft. Erst eine weitere Berechnung mit PBKDF2-HMAC-SHA512 wandelt Wortfolge und Passphrase in einen Seed mit 512 Bits um, die geheime Grundlage zur Schlüsselableitung. Ein Tippfehler in der Passphrase kann deshalb zu einer anderen Wallet führen, obwohl die Wörter die Prüfung bestehen. Bewahre die exakten Wörter, ihre Reihenfolge und die nötige Passphrase auf. Übersetze sie auch nicht in eine andere Wortliste: Das würde den Seed verändern. [1]
Eine unbekannte Website kann eine schnelle Prüfung versprechen. Doch schon durch die Eingabe erhält sie deine Wörter. Ein korrektes Ergebnis beweist nicht, dass die App sie nicht gespeichert oder gestohlen hat. Nutze zur Wiederherstellung deshalb das vertrauenswürdige Verfahren deiner Wallet. Softwaretests sollten öffentliche Testvektoren verwenden, also bekannte Eingaben mit erwarteten Ergebnissen, statt deiner geheimen Sicherung. Diese öffentlichen Beispiele dürfen niemals als Wallets für echtes Guthaben dienen. [1]
Für ein möglichst vollständiges Bild lies diesen Eintrag zusammen mit BIP 39, Seed Generation, BIP39 passphrase, Cryptographic Entropy. Auf diesen Eintrag verweisen außerdem BIP 39, BIP39 passphrase, COLDCARD RNG Incident (2026), SeedQR.