Ein Team oder eine kleine Organisation möchte Kryptowerte gemeinsam verwalten, ohne dass eine einzelne Person die volle Kontrolle hat. Der offensichtliche Weg wäre, die Recovery-Phrase zu teilen – alle Teilnehmer erhalten eine Kopie und können die Wallet wiederherstellen. Das funktioniert technisch, aber es löst ein fundamentales Sicherheitsproblem nicht: Jeder, der die vollständige Phrase kennt, kann alle Vermögenswerte unbegrenzt abziehen. Eine kompromittierte Person oder ein unzufriedener ehemaliger Mitarbeiter ist dann nicht länger ein theoretisches Risiko, sondern eine praktische Bedrohung.

Rabby Wallet ist als non custodial wallet für EVM-kompatible Blockchains wie Ethereum, Arbitrum und Polygon technisch robust konzipiert. Seine Transaktionssimulation schützt vor Phishing, das Multi-Chain-Dashboard vereinfacht die Verwaltung über mehrere Netzwerke hinweg, und die Verschlüsselung privater Schlüssel auf dem Gerät garantiert, dass nicht einmal Rabby selbst auf die Vermögenswerte zugreifen kann. Doch diese Stärken bedeuten nicht, dass Rabby für Teamkonten die beste Lösung ist. Der Grund liegt in der Architektur: Eine einzelne Recovery-Phrase, selbst wenn sie auf mehrere Personen verteilt ist, schafft ein zentrales Ausfallrisiko und ein Vertrauensproblem, das kryptographisch nicht gelöst werden kann.

Die Grenzen von einzelnen Recovery-Phrasen im Team-Kontext

Eine Recovery-Phrase ist ein Master-Secret. Wer sie besitzt, kann die gesamte Wallet wiederherstellen und alle Transaktionen signieren. Bei Rabby Wallet wird diese Phrase während der Erstellung verschlüsselt lokal gespeichert, aber die zugrundeliegende kryptographische Struktur bleibt unverändert: Es existiert ein einzelner privater Schlüssel, von dem alle anderen Schlüssel abgeleitet werden. Die Phrase teilen bedeutet, diesen Master-Secret zu duplizieren.

In kleinen Teams erscheint das praktisch. Alle Teilnehmer können bei Bedarf die Wallet wiederherstellen, niemand ist unersetzlich, und es gibt keine zentrale Verwahrstelle wie einen Custodian. Aber die Realität ist komplexer. Erstens: Wenn die Phrase auf fünf Personen verteilt ist und eine Person gehackt wird, sind alle Personen gefährdet. Die Sicherheit des gesamten Systems sinkt auf das Niveau des schwächsten Teilnehmers. Zweitens: Eine Person könnte unbemerkt die Phrase kopieren und später Vermögenswerte abziehen, ohne dass andere es verhindern könnten. Drittens: Im Fall eines internen Konflikts oder einer Kündigung ist es praktisch unmöglich, eine Person wirklich auszusperren, ohne die gesamte Wallet neu zu erstellen und alle Vermögenswerte zu migrieren.

Selbst wenn Rabby technisch perfekt wäre – und es ist sehr solide – ändert das nichts an dieser grundlegenden Asymmetrie. Die wallet security wird durch das menschliche Element dominiert, nicht durch die kryptographische Implementierung. Ein kompromittierter Laptop, ein notiertes Passwort auf einem Post-it oder eine Phrase, die versehentlich in einem Chat eingegeben wird, führen zu den gleichen Ergebnissen, unabhängig davon, wie sicher die Wallet-Software ist.

Warum Multisig-Wallets eine bessere Basis sind

Ein Multisig-Wallet (Multisignatur-Wallet) erfordert, dass mehrere unabhängige Private Keys vorhanden sind und dass eine bestimmte Anzahl von ihnen (z. B. 2 von 3 oder 3 von 5) eine Transaktion signieren muss, bevor sie gültig ist. Dies wird auf Protokollebene durchgesetzt, nicht durch Richtlinien oder gegenseitiges Vertrauen. Geldgier, Fahrlässigkeit oder Kompromittierung einer einzelnen Person kann eine Transaktion nicht allein ermöglichen.

Rabby Wallet selbst unterstützt Multisig-Wallets indirekt: Die Wallet kann als Hardware-Wallet-Interface für Multisig-Konten auf der Ethereum-Blockchain fungieren, indem sie mit Ledger oder Trezor verbunden wird. Allerdings muss der Multisig-Smart-Contract selbst (z. B. gnosis-safe oder ähnliche Protokolle) separat bereitgestellt werden. Das ist kein Bug, sondern eine Designentscheidung. Rabby konzentriert sich auf einzelne, nicht-verwahrte Konten mit starken Privacy- und Sicherheitsfeatures wie Transaktionssimulation. Für Teamkonten ist die Erstellung eines Multisig-Vertrags ein notwendiger zusätzlicher Schritt.

Ein praktisches Szenario: Ein Team von vier Personen braucht die Zustimmung von mindestens zwei Personen, um Mittel zu bewegen. Jede Person speichert ihren privaten Schlüssel isoliert – idealerweise auf einem hardware wallet wie Ledger oder Trezor. Selbst wenn zwei Personen gehackt oder böswillig handeln würden, könnten sie die Mittel nicht allein bewegen. Der Schaden ist auf 50 Prozent der erforderlichen Signaturen begrenzt. Im Vergleich dazu ermöglicht ein geteiltes Recovery-Phrase-Scenario, dass eine gehackte Person 100 Prozent der Vermögenswerte bewegt.

Shamir’s Secret Sharing und Schwellenwert-Kryptographie

Shamir’s Secret Sharing ist ein kryptographisches Schema, das ein Secret (z. B. einen privaten Schlüssel oder eine Recovery-Phrase) in n Anteile teilt, von denen nur k Anteile notwendig sind, um das Original zu rekonstruieren. Dies ist mathematisch völlig verschieden von der einfachen Aufteilung einer Phrase unter mehrere Menschen. Wenn ein Team beispielsweise die Phrase in fünf Teile mit einem Schwellenwert von drei teilt, können beliebige drei Personen das Original rekonstruieren, aber zwei oder weniger Personen können nicht, und eine einzelne Person kann nichts mit ihrem eigenen Teil anfangen.

Das Schema bietet mehrere Vorteile. Erstens reduziert es das Risiko eines einzelnen Kompromitterten Schlüssels: Ein Angreifer, der einen Teil stiehlt, kann das gesamte Secret nicht rekonstruieren. Zweitens macht es Ausfallzeiten tolerabel: Wenn eine Person nicht erreichbar ist, können andere immer noch weitermachen. Drittens ermöglicht es eine Verteilung, die nicht auf gegenseitigem Vertrauen beruht – die Mathematik erzwingt die Grenzen, nicht die Hoffnung auf ehrliches Verhalten.

Allerdings hat auch Shamir’s Secret Sharing Grenzen. Es ist ein statisches Schema: Die Shares werden einmal erstellt und bleiben dann gültig. Wenn eine Person das Unternehmen verlässt, muss die gesamte Phrase regeneriert werden und alle Shares müssen neu verteilt werden. Zudem existiert während der Rekonstruktion ein kritischer Moment: Alle k Anteile treffen sich irgendwo (üblicherweise auf einem Gerät), um das Secret zu rekonstruieren. Falls dieses Gerät kompromittiert ist, wird das vollständige Secret exponiert. Es ist nicht weniger sicher als ein einzelner Key unter Hochsicherheitsbedingungen, aber es verschiebt das Risiko, anstatt es zu eliminieren.

Die praktische Implementierung: Hardware-Wallets und dezentrale Signaturen

Die sicherste Konfiguration für Teams kombiniert mehrere Technologien. Erstens sollte jede Person ihren privaten Schlüssel auf einem dedizierten hardware wallet wie Ledger oder Trezor speichern. Zweite: Das Team erstellt einen Multisig-Smart-Contract mit einer Schwelle (z. B. 2-von-3 oder 3-von-5), nicht eine einzelne Wallet. Drittens: Rabby Wallet oder ein ähnlicher Browser-basierter Client dient als Benutzeroberfläche, um Transaktionen zu erstellen und zu überwachen, aber die Signatur selbst erfolgt auf dem Hardware-Gerät jeder Person.

Dieser Setup funktioniert so: Person A erstellt einen Transaktionsentwurf in Rabby und teilt die Transaktionsdaten mit Personen B und C. Diese öffnen den gleichen Entwurf in Rabby und signieren mit ihren Hardware-Geräten. Sobald zwei oder drei Signaturen vorhanden sind (je nach Regel), wird die Transaktion auf der Blockchain ausgelöst. Kein einzelner Punkt ist kritisch, und kein Laptop oder Telefon kann alle Vermögenswerte allein abziehen, selbst wenn es vollständig kompromittiert ist.

Ein häufiger Fehler ist die Vermutung, dass Hardware-Wallets Teamprobleme allein lösen. Ein Hardware-Wallet speichert den privaten Schlüssel sicher und erfordert physische Bestätigung für Transaktionen, aber wenn nur ein Hardware-Gerät existiert, gibt es weiterhin einen Single Point of Failure. Das Hardware-Gerät ist ein wichtiges Element, aber es ist nur ein Element. Die echte Sicherheit ergibt sich aus der Kombination: dezentrale Speicherung (mehrere Hardware-Geräte) plus dezentrale Signaturanforderungen (Multisig-Logik).

Warum Sie Rabby für Teamkonten über einen dedizierten Multisig-Service ergänzen sollten

Rabby ist hervorragend dafür ausgelegt, einzelne Non-Custodial-Konten sicher zu verwalten. Die Transaktionssimulation schützt vor Phishing-Versuchen, das Multi-Chain-Dashboard vereinfacht die Verwaltung über Ethereum, Arbitrum, Polygon und andere Netzwerke, und die Hardware-Wallet-Integration (Ledger, Trezor) bietet physische Kontrolle. Für ein individuelles Konto ist dies ein robustes Setup.

Für Teamkonten sollten Sie jedoch einen speziellen Multisig-Service wie Gnosis Safe, Zivoe oder Safe Smart Accounts verwenden. Diese Plattformen bieten Schnittstellen, die speziell für die Verwaltung von Multisig-Wallets konzipiert sind: Transaktionsentwürfe, Genehmigungsprozesse, Vorschlagshistorie und Governance-Tools. Sie können Rabby weiterhin als Signierungsgerät verwenden – tatsächlich werden Rabby und diese Plattformen oft zusammen verwendet – aber die zentrale Verwaltungslogik sollte bei einem System sein, das für mehrere Parteien konzipiert wurde.

Ein weiterer Grund: Multisig-Plattformen haben permanente On-Chain-Audit-Trails. Jeder Transaktionsentwurf, jede Genehmigung und jede ausgeführte Aktion ist in der Blockchain-Geschichte sichtbar. Dies schafft Transparenz und Verantwortlichkeit auf eine Weise, die ein geteiltes Recovery-Phrase-Szenario nicht bieten kann. Im Streitfall können Sie genau nachvollziehen, wer was genehmigt hat.

Recovery-Scenario: Was passiert, wenn kritische Personen ausfallen

Stellen Sie sich vor, ein Team mit 3-von-5-Multisig-Vertrag verliert den Zugang zu zwei Hardware-Geräten (z. B. durch Diebstahl oder Hardwarefehler). Mit einem 3-von-5-Setup können die verbleibenden drei Personen noch Transaktionen signieren und das Konto funktioniert normal. Die Schwelle macht das System ausfallsicher.

Wenn ein Team stattdessen eine Recovery-Phrase unter fünf Personen verteilt hat und zwei Personen ihre Geräte verlieren, ist die Phrase selbst nicht beeinträchtigt – jede der drei verbleibenden Personen kann immer noch die vollständige Phrase rekonstruieren. Das ist oberflächlich betrachtet ein Vorteil, aber es bedeutet auch, dass die beiden Personen mit verlorenen Geräten das Konto nicht wirklich “entzogen” werden können, es sei denn, das Team erstellt die gesamte Wallet neu. Dies zeigt die grundsätzliche Asymmetrie: Recovery-Phrase-Sharing ist statisch, während Multisig-Konten flexibel sind.

Ein noch problematischeres Szenario: Eine Person verlässt das Unternehmen. Mit einer geteilten Recovery-Phrase muss das Team annehmen, dass diese Person immer noch eine Kopie hat, selbst wenn sie verspricht, sie zu löschen. Die einzige echte Möglichkeit, diese Person auszusperren, ist die Erstellung einer neuen Wallet und die Migration aller Vermögenswerte – ein teurer und fehleranfälliger Prozess. Mit einem Multisig-Konto können Sie die Hardware-Wallet oder den Signierungsschlüssel dieser Person einfach aus der Genehmigungsliste entfernen. Die Transaktion ist sofort wirksam und braucht keine Geheimnis-Regeneration.

Praktische Schritte zur Sicherung eines Teams mit Rabby und Multisig

Beginnen Sie damit, dass jede Person eine separate Hardware-Wallet (Ledger, Trezor) erhält und diese offline sicher speichert. Dann können Sie rabby wallet herunterladen und damit die Hardware-Geräte verbinden, um eine sichere Benutzeroberfläche zu erstellen. Allerdings sollten Sie nicht eine einzelne Rabby-Instanz als zentrale Verwaltung für Teamvermögen verwenden.

Stattdessen erstellen Sie einen Multisig-Smart-Contract auf der Blockchain (z. B. über Gnosis Safe). Dieser Vertrag registriert die Adressen der Hardware-Geräte aller Teamitglieder und legt fest, dass z. B. 3 von 5 Signaturen erforderlich sind. Jedes Teamitglied kann dann seine Hardware-Wallet mit Rabby verbinden und Transaktionen vorschlagen und signieren. Rabby wird zum Dateneingabetool, nicht zur Quelle der Wahrheit.

Wichtig: Speichern Sie Recovery-Phrasen physisch offline an mehreren Orten (z. B. in Safes oder Tresoren). Dies ist nicht für den alltäglichen Betrieb, sondern für die äußerste Notfallwiederherstellung einzelner Schlüssel. Sie sollten diese Phrasen nicht digital speichern, nicht in Cloud-Services, nicht in geteilten Dokumenten. Die Hardware-Wallet selbst ist das operative Werkzeug; die Phrase ist der letzte Ausweg.

Langfristige Governance und Skalierbarkeit

Wenn das Team wächst oder sich Rollen ändern, sollte das Governance-System mit wachsen können. Ein 2-von-3-Multisig ist für kleine Teams angemessen. Für größere Teams oder mehrere Abteilungen können Sie mehrschichtige Strukturen implementieren: Ein obergeordnetes Multisig-Konto verwaltet große Bewegungen, während Unter-Konten für routinemäßige Ausgaben eingesetzt werden. Jede Schicht hat ihre eigene Schwelle und ihre eigenen Signatoren.

Rabby und andere non custodial wallet-Implementierungen haben mit diesen komplexeren Setups keine Probleme, da die Blockchain selbst die Regeln durchsetzt. Solange die Hardware-Geräte separat gelagert sind und die Private Keys nicht kompromittiert werden, ist die Sicherheit nicht von der Wallet-Software selbst abhängig.

Ein letzter Punkt zur langfristigen Governance: Dokumentieren Sie klar, wer welchen Hardware-Wallet-Seed hat, wo er gelagert wird und wer im Notfall auf ihn zugreifen kann. Dies sollte in einem verschlüsselten Dokument festgehalten werden, das ebenfalls physisch gelagert ist. Falls eine Schlüsselperson ausfällt, kann das Team den Setup wiederherstellen, ohne monatelang im Unklaren zu sein.