Secure Element

Anna verliert ihre Hardware Wallet. Ein Dieb muss nicht nur PINs ausprobieren: Er kann das Gerät zerlegen und versuchen, dessen Speicher auszulesen. Ein Secure Element soll den Zugriff auf geschützte Daten an feste Regeln binden und physische Eingriffe erschweren. Widerstandsfähigkeit wird aber immer gegenüber bestimmten Angriffen und Fähigkeiten bewertet. Ein Seitenkanal kann etwa bedeuten, ein Geheimnis aus Stromverbrauch oder Rechenzeit abzuleiten; fault injection erzeugt absichtlich einen Fehler in der Berechnung. Das sind andere Situationen als die normale Passworteingabe am Bildschirm. Der Chip soll Aufwand und Kosten erhöhen, nicht Unverwundbarkeit unter allen Umständen versprechen. [1] [2]

Ein Private Key ist ein geheimer Zahlenwert, mit dem die Wallet eine digitale Signatur zur Freigabe einer Bitcoin-Ausgabe erstellt. Manche Bauweisen können ihn direkt im Sicherheitschip speichern und verwenden. Andere halten dort ein Hilfsgeheimnis, das geschützte Daten an anderer Stelle entsperrt. Ein Secure Element kann außerdem Versuche zählen oder ein Zertifikat zur Geräteprüfung speichern. Deshalb braucht „Der Schlüssel verlässt den Chip nie“ eine Ergänzung: welcher Schlüssel und welches Modell? Der Hauptmikrocontroller ist der Prozessor, der die übrigen Gerätefunktionen steuert; ein zusätzlicher Chip beseitigt seine Rolle nicht. Dieselbe Aufschrift auf der Verpackung bedeutet daher noch nicht denselben Schutz. [1] [3] [5]

Laut Trezor-Dokumentation verwenden Safe 3 und Safe 5 OPTIGA Trust M (V3). Darin liegt ein Hilfsgeheimnis, das zusammen mit der PIN private Schlüssel auf dem Hauptchip schützt. Diese Verbindung soll Angriffe auf ein gestohlenes Gerät erschweren. Sie bedeutet nicht, dass sämtliche Bitcoin-Signaturen im Secure Element entstehen. Der Hersteller nennt außerdem hardwareseitige Versuchsbegrenzung, Echtheitsprüfung und einen Beitrag zur Zufälligkeit bei der Wallet-Erstellung. Zufälligkeit liefert hier unvorhersehbare Werte für Schlüssel. Das beschreibt diese konkreten Modelle, kein allgemeines Bauprinzip jeder Hardware Wallet. [1]

Nehmen wir an, Anna verliert statt des Geräts den Zettel mit ihrer Seed Phrase, den Wiederherstellungswörtern. Wer alle zur Wiederherstellung nötigen Angaben erhält, kann die Wallet anderswo wiederherstellen; Schutz und PIN des ursprünglichen Chips verhindern das nicht. Ebenso erkennt der Chip allein nicht, dass Anna die Adresse eines Betrügers statt des gewünschten Empfängers bestätigt. Sichere Aufbewahrung der Sicherung, Prüfung der vollständigen Adresse und des Betrags auf einem vertrauenswürdigen Display sowie die Firmware, das Programm im Gerät, bleiben wichtig. Auch Air-Gapped Wallet, eine Wallet ohne direkte Netzwerkverbindung im betreffenden Ablauf, sagt allein nichts über die Widerstandsfähigkeit des Chips aus. Getrennter Datentransfer und Schutz vor physischen Angriffen betreffen unterschiedliche Teile des Problems. [1] [4]

Device attestation prüft die Echtheit anhand eines Gerätezertifikats und der Antwort auf eine Prüfaufforderung. Innerhalb der Protokollgrenzen kann das eine Verbindung zum Hersteller belegen, sagt aber nicht, wen du bezahlen möchtest. Zeigt ein kompromittierter Computer eine andere Adresse, setzt eine erfolgreiche Echtheitsprüfung sie nicht zurück. Geräteprüfung, Firmwareprüfung und deine Zustimmung zu einer konkreten Zahlung sind deshalb getrennte Schritte. Einsteiger müssen die Kryptografie des Zertifikats nicht im Detail kennen, sollten aber verstehen, welche Frage der grüne Haken in der Anwendung gerade beantwortet. [1] [4]

Common Criteria ist ein Rahmen zur Bewertung eines definierten Gegenstands anhand festgelegter Sicherheitsanforderungen. EAL6+ bei einem Chip bedeutet nicht, dass das gesamte Gerät, sein Display oder jede künftige Firmwareversion gleich bewertet wurden. Ein Protection Profile beschreibt geforderte Sicherheitseigenschaften für eine bestimmte Produktart und Konfigurationen. Beispielsweise veröffentlichte GlobalPlatform Version 2.0 dieses Profils im Juli 2025, abgestimmt auf CC:2022. Die Kürzel helfen erst zusammen mit dem konkreten Zertifikat: Was wurde in welcher Konfiguration gegen welche Bedrohungen geprüft? Eine höhere Zahl in einer Anzeige beantwortet das allein nicht. [2] [1]

Tropic Square veröffentlicht Entwicklungsunterlagen für TROPIC01. Dazu gehören RTL, eine maschinenlesbare Beschreibung des Verhaltens digitaler Schaltungen, Anwendungsfirmware und Sicherheitsarchitektur. Der Chip nutzt einen Kern mit dem RISC-V-Befehlssatz und einen SPECT-Hilfsprozessor für kryptografische Operationen. Zum Zeitpunkt dieser Redaktion nennt das Repository aber auch einen unveröffentlichten Bootloader, das Programm zum Starten der Firmware, wegen Rechten von IP-Anbietern. IP meint hier lizenzierte Entwurfsbausteine, keine Internetadresse. Offenheit ermöglicht die Prüfung der tatsächlich veröffentlichten Teile. Sie beweist weder automatisch Fehlerfreiheit noch, dass jedes gefertigte Exemplar den Unterlagen entspricht. [3]

Trezor beschreibt einen Fund von Ledger Donjon vom Januar 2026 an einem separat getesteten TROPIC01. Laser fault injection, das Auslösen eines Fehlers mit einem Laser unter Laborbedingungen, umging die Firmwareprüfung und erschloss Geheimnisse dieses Chips. Dafür waren physischer Zugriff und Spezialausrüstung nötig. Laut veröffentlichter Analyse betraf das eine Schutzschicht im Safe 7; weitere liefern OPTIGA und STM32U5. Der Fund allein belegt keine vollständige Überwindung der Gerätesicherheit. Dennoch ist es eine reale Schwachstelle, die sich nicht mit „unknackbar“ wegreden lässt. Der Hersteller erklärt, dass sich die Hardwareursache dieses Problems nicht aus der Ferne durch ein Firmwareupdate beheben lässt. Eine sinnvolle Bewertung betrachtet daher das genaue Modell, den Umfang des Fehlers und die Herstellerreaktion, nicht nur das Vorhandensein eines Sicherheitschips. [4]