Seed aufteilen oder Multisig: Shamir, SLIP-39 und SSKR im Vergleich

„Man braucht mehrere Teile, um das Geld zu bewegen“ beschreibt zwei sehr unterschiedliche Konzepte. Das eine ist ein aufgeteilter Seed: ein einzelnes Geheimnis, das mit Shamirs Secret Sharing oder einem darauf aufbauenden Standard wie SLIP-39 oder SSKR in Anteile zerlegt wird. Das andere ist Multisig: mehrere unabhängige Schlüssel, wobei die Blockchain selbst Gelder nur bewegt, wenn genügend davon unterschreiben.

Beide verteilen das Risiko, schützen aber vor unterschiedlichen Dingen – und wer sie verwechselt, baut Setups, die schwächer sind, als sie aussehen.

So funktioniert Shamirs Secret Sharing

Shamirs Secret Sharing, 1979 von Adi Shamir veröffentlicht, teilt ein Geheimnis so in n Anteile auf, dass beliebige t davon es wiederherstellen können, während weniger als t überhaupt nichts verraten. Bei einer 2-von-3-Aufteilung stellen zwei beliebige Anteile das Geheimnis wieder her, und ein einzelner Anteil verrät einem Angreifer buchstäblich nichts darüber.

Zwei verbreitete Wallet-Standards bauen darauf auf:

• SLIP-39 von SatoshiLabs kodiert jeden Anteil als Phrase mit 20 oder 33 Wörtern und unterstützt Gruppen (zum Beispiel „zwei meiner drei Anteile, oder einer von meiner Familie und einer von meinem Anwalt“). Es steckt hinter dem Shamir-Backup von Trezor.
• SSKR (Sharded Secret Key Reconstruction) von Blockchain Commons erfüllt denselben Zweck mit eigener Kodierung und wird von einigen Offline-Signiergeräten genutzt.

SLIP-39-Anteile sind nicht mit einer gewöhnlichen BIP-39-Phrase austauschbar. Wallets mit SLIP-39-Unterstützung können eine bestehende 24-Wörter-Phrase in der Regel nicht in Anteile umwandeln; das Backup muss von Anfang an so erstellt werden.

Der Haken: Zum Signieren kommt der Schlüssel wieder zusammen

Shamir ist eine Backup-Technik. Die Anteile schützen das Geheimnis, solange es aufbewahrt wird. Ein Anteil kann aber nichts signieren. Zum Ausgeben werden die Anteile kombiniert und der vollständige Schlüssel wiederhergestellt – auf einem Gerät, in einem Stück.

Im Moment des Signierens ist eine per Shamir gesicherte Wallet also eine Wallet mit einem einzigen Schlüssel. Ist dieses Gerät kompromittiert oder wird die Person, die den Schlüssel zusammensetzt, unter Druck gesetzt, hilft die Aufteilung nicht. Oft wird der Schlüssel einmal zusammengesetzt und liegt danach auf einer einzigen Hardware-Wallet.

Multisig funktioniert umgekehrt. Jeder Unterzeichner hat seinen eigenen, separat erzeugten Schlüssel, und die Schlüssel kommen nie zusammen. Jeder signiert auf seinem eigenen Gerät, und die Blockchain prüft, ob genügend gültige Signaturen vorliegen. Es gibt keinen Moment, in dem ein Gerät alles hält. MPC-Wallets vs. Multisig behandelt einen dritten Ansatz, bei dem Schlüssel kryptografisch aufgeteilt werden, statt dass die Chain die Regel durchsetzt.

Schneide deine 24 Wörter nicht einfach in Drittel

Eine verlockende Eigenbau-Variante: die ersten acht Wörter auf eine Karte, die nächsten acht auf eine zweite und die letzten acht auf eine dritte. Das ist kein Shamir, und es hat zwei Probleme.

Erstens ist es kein Schwellenwertverfahren. Du brauchst alle drei Teile – verlierst du eine Karte, ist die Wallet verloren.

Zweitens verrät jedes Teil einen Teil des Geheimnisses. Jedes BIP-39-Wort trägt 11 Bit; eine 24-Wörter-Phrase enthält 256 Bit Zufall plus eine 8-Bit-Prüfsumme. Eine Karte mit acht Wörtern verrät 88 dieser 256 Bit. Wer eine Karte hat, muss noch 168 Bit erraten – weiterhin außer Reichweite. Wer aber zwei Karten hat, muss nur noch 80 Bit erraten, weit unter der Sicherheitsmarge, für die die Phrase ausgelegt ist. Bei einer 12-Wörter-Phrase (128 Bit) lassen zwei von drei Teilen mit je vier Wörtern nur 40 Bit übrig – die sich mit gewöhnlicher Hardware per Brute Force knacken lassen.

Bei echtem Shamir verrät ein Anteil unterhalb der Schwelle nichts. Bei einer zerschnittenen Phrase erleichtert jedes Teil dem Angreifer die Arbeit. Wenn du einen Seed aufteilen willst, nutze einen richtigen Standard; Best Practices für die Seed-Phrase behandelt die üblicheren Optionen wie Metall-Backups und getrennte Aufbewahrungsorte.

Abwägungen: Sichtbarkeit und Chains

Beide Ansätze haben echte Vorteile:

• Spuren auf der Chain. Shamir ist on-chain unsichtbar: Die Wallet sieht aus und verhält sich wie jede Single-Key-Wallet, auf jeder Chain. Multisig ist sichtbar – eine Bitcoin-Multisig-Ausgabe legt ihr Skript offen, und auf kontobasierten Chains ist der Tresor ein Smart Contract oder Programm, das jeder einsehen kann.
• Chain-Unterstützung. Shamir funktioniert mit jeder Chain, die deine Wallet unterstützt, weil es nur das Backup betrifft. Multisig ist chainspezifisch: Bitcoin nutzt Skripte, EVM-Chains Smart-Contract-Konten, Solana ein Programm – jeweils mit eigenen Gebühren und Grenzen.
• Was geschützt wird. Shamir schützt das Backup vor Verlust und Diebstahl. Multisig schützt jede einzelne Transaktion, weil kein Gerät allein signieren kann.

Die beiden schließen sich nicht aus; entscheidend ist zu wissen, welches Risiko jeweils abgedeckt wird.

Wo SSP steht

SSP ist ein 2-von-2-Multisig. SSP Wallet, die Browser-Erweiterung, und SSP Key, die Smartphone-App, erzeugen jeweils ihre eigene Wiederherstellungsphrase mit 24 Wörtern. Auf UTXO-Chains wie Bitcoin wird die Tresoradresse aus einem 2-von-2-Multisig-Skript gebildet, das je einen öffentlichen Schlüssel von beiden enthält, und jede Transaktion braucht beide Signaturen. Die beiden Schlüssel werden nie auf einem Gerät zusammengeführt.

SSP implementiert weder Shamir noch SLIP-39 oder SSKR. Du sicherst zwei gewöhnliche 24-Wörter-Phrasen, und um den Tresor von Grund auf wiederherzustellen, brauchst du beide – beide Backups sind also gleich wichtig. 2-von-2 vs. 2-von-3 vs. M-von-N erklärt diese Abwägung, und Erbschaft und Notfallzugang zeigt, wie du sicherstellst, dass jemand anderes die Gelder im Ernstfall wiederherstellen kann.

Das ehrliche Fazit

Seed-Aufteilung und Multisig brauchen beide mehrere Teile, aber für unterschiedliche Momente. Auf Shamir basierende Standards wie SLIP-39 und SSKR schützen ein Backup: Anteile unterhalb der Schwelle verraten nichts, und die Wallet bleibt unsichtbar und chainunabhängig. Zum Signieren wird der vollständige Schlüssel aber wiederhergestellt, sodass das Signieren weiterhin einen einzigen Schwachpunkt hat. Multisig hält getrennte Schlüssel, die sich nie begegnen, und lässt die Chain die Regel durchsetzen – um den Preis, sichtbar und chainspezifisch zu sein.

Zerschneide eine Phrase nicht von Hand: Du brauchst jedes Teil, und jedes verrät geheime Bits. SSP nutzt 2-von-2-Multisig mit zwei getrennten 24-Wörter-Phrasen und bietet keine Seed-Aufteilung – bewahre also beide Backups sicher auf.