[Guide] Protect your Crypto: Sicherheitstipps für den Heimcomputer/ das Heimnetz

[sam00]

Ich habe meine KeePass DB nicht online aber zumindest an einem Ort den ich immer und von überall (per VPN) erreichen kann. Außerdem ist dieser YubiKey quasi das Passwortfile mit dem jeder Zugriff hat der auch weiß wo die DB liegt.

Das widerspricht sich irgendwie oder nicht ? Wenn du mit vpn in das Netzwerk kommst bzw. Zugriff auf deine KeePass bekommst, kann das ein Angreifer, der Zugriff über deine Geräte erlangt hat doch auch. Vielleicht habe ich es auch falsch verstanden oder du hast es kompliziert ausgedrückt aber offline bedeutet doch wirklich nur von dem Gerät erreichbar, auf dem es liegt und auch keinen Weg nach draußen zu haben.

[mole0815]

Offline beschreibst du natürlich richtig sam00.
Aber ich hatte auch nie behauptet, dass meine Version das ist… habe nur den Ist-Zustand beschrieben

Also meine aktuelle Lösung ist nicht zu 100% optimal und daher bin ich auf der Suche nach dieser einen perfekten (und trotzdem alltagstauglichen) Lösung. Bei solchen Themen muss man ja immer am Ball bleiben.

[sam00]

Offline beschreibst du natürlich richtig sam00.
Aber ich hatte auch nie behauptet, dass meine Version das ist… habe nur den Ist-Zustand beschrieben

Dann hat sich ein Fehler im nachfolgenden Satz bei dir eingeschlichen und daher kam die Verwirrung

Ich habe meine KeePass DB nicht online

Oder meinst du etwas anderes mit "nicht offline" aber eben auch "nicht online" ?
Ich kann dir leider nicht ganz folgen

Wie wäre es denn mit einem Offline Handy ?
Keine Sim-Karte, kein Wlan usw. und dort drauf die Keys, Wallets oder was auch immer ihr täglich gebrauchen könntet.
Die großen Wallets mit den Hauptbeständen sollten da natürlich nicht drauf sein

[mole0815]

Dann hat sich ein Fehler im nachfolgenden Satz bei dir eingeschlichen und daher kam die Verwirrung

Ich habe meine KeePass DB nicht online

Oder meinst du etwas anderes mit "nicht offline" aber eben auch "nicht online" ?
Ich kann dir leider nicht ganz folgen

Nein der Satz ist korrekt.
Und auch mit meiner Aussage gibt es kein Problem

Fakt 1 - Meine KeePass DB liegt in keiner Cloud sondern einem lokalen Netzwerk das ich per VPN erreichen kann.
Fakt 2 - Das ist nicht gut denn ein kompromittiertes System würde ausreichen um den Vollzugriff abzugeben.
Fakt 3 - Du hast beschrieben was "Offline" heißt und das ist auch korrekt.
Fakt 4 - Ich habe nie behauptet meine DB Offline zu haben. Das dachtest du nur

Aber egal um so Kleinigkeiten soll es hier ja nicht gehen


Heute Früh habe ich auf jeden Fall direkt 2 Verbesserungen umgesetzt.
1) Schlüsseldatei für den Programmstart und
2) AES-KDF Wert der Kennwortverschlüsselung (Iterationen) angepasst.
Quelle für mehr Infos.

Das war mal ein Schritt in die richtige Richtung. Weitere Vorschläge rund um KeePass bzw. andere Sicherheitsthemen sind herzlich willkommen

[wuclx]

Schlüsseldatei für Keypass auf einem USB-Stick als Ergänzung zum Master-Passwortist auf jeden Fall eine sinnvolle Zusatzoption, welche ich für einen Teil meiner Seeds, zumindest für die Hot Wallets, nutzen möchte.
Natürlich muss man dann Sorge dafür tragen, dass die Schlüsseldatei nicht verloren geht, d.h. davon sind Offline-Backups wieder essentiell.

[bct_ail]

Wenn man seine verschlüsselte Keypass-DB offline auf einem (evtl. zusätzlich verschlüsselten) USB-Stick speichert, dann sollte man nicht nur einen USB-Stick sondern mehrere Backups zur Verfügung haben und die an mehreren Orten verteilen. Die USB-Sticks sollten von unterschiedlichen Herstellern und dazu nicht am gleichen Tag gekauft worden sein (Fehler im Herstellungsprozess bei einer Serie).

Als Massterpasswort eignen sich gut Passwortkarten. Die kann man sich selber erstellen oder benutzt diese Seite https://www.passwordcard.org/en. Die generiert mit jedem neuen Laden eine neue Karte. Wenn man die verliert, kannn man mit der hinterlegten Nummer (2) die Karte neu generieren. Höchste Sicherheit: Generieren auf einem Offline PC und Offline Drucker, die noch nie das Internet gesehen haben.

Für die (laminierten) Karten merkt man sich eine Reihenfolge (z.B. Reihe 3 und nur jede 2. Spalte oder legt Gedanklich ein Muster wie z.B. Dreieck über die Karte).
Für den Urlaub macht man eine extra Karte für das Urlaubswallet.

[gdm41]

Nutze auch Keypass. Man kann den Seed übrigens auch noch in einem Text in der keypass db verstecken. Als beispiel jedes erste Wort des Satzes ist ein Wort aus dem Seed. Und dann halt 24 Sätze speichern. Das ist jetzt simplifiziert, da kann man sich ganz andere Kombis ausdenken. Dann steht der Hacker vor ner Wall of Text, und wenn dann noch random Text mitspeicherst, bist du noch mal sicher. Offline ist mir zu unsicher bzw. was mach ich wenns brennt? Ne anderen Problem wäre noch ein Schlaganfall, dann kannst sein, dass dein Kopf komplett resettet ist und man auch keine Zugriff auf ein Crypto hat....

[MishaMuc]

Danke für diese Übersicht, ich denke sie ist wirklich für viele hilfreich.
Wie sicher schätzt du die integrierten Passwortmanager von Safari/Firefox & Co ein? Ich meine, dass es bei Safari noch die Gefahr gibt, dass die Passwörter in der Cloud gespeichert werden. (MAC only?)

[thandie]

Nutze auch Keypass. Man kann den Seed übrigens auch noch in einem Text in der keypass db verstecken. Als beispiel jedes erste Wort des Satzes ist ein Wort aus dem Seed. Und dann halt 24 Sätze speichern. Das ist jetzt simplifiziert, da kann man sich ganz andere Kombis ausdenken. Dann steht der Hacker vor ner Wall of Text, und wenn dann noch random Text mitspeicherst, bist du noch mal sicher. Offline ist mir zu unsicher bzw. was mach ich wenns brennt? Ne anderen Problem wäre noch ein Schlaganfall, dann kannst sein, dass dein Kopf komplett resettet ist und man auch keine Zugriff auf ein Crypto hat....

Wobei offline ja nicht bedeutet, daß man die Sachen ausschließlich im Kopf oder auf Papier hat. Im Informatikbereich kann damit also auch ein USB-Stick, ein Laptop, ein Smartphone oder ein sonstiges Medium gemeint sein, daß keine Verbindung zu einem Netzwerk herstellt bzw. keinen Datenaustausch zulässt. So gesehen kann man einen Zettel oder die Seed-Plate vielleicht eher als nichtelektronische oder nichttechnische Speicherung bezeichnen.

Dein Einwand "Schlaganfall" ist trotzdem das beste Argument für eine solche Speicherform bzw. für offline + teilen.
Natürlich kann es dann sein, daß deine Sachen im Kopf erstmal weg sind.
Aber nehmen wir mal an, du hast als Eigenbrödler und Mehrfachabsicherer einen solchen Blackout, ein Totalreset. Dann liegen all die Trezors und Ledgers, die 20 verschlüsselten USB-Sticks, die Smartphones, die Nitrokeys, KeyPass, die PC's und Notebooks direkt vor dir auf dem Tisch und du kannst nichts damit anfangen. Überhaupt erstmal vorausgesetzt, man erinnert sich an seine Coins, dann braucht es ja auch noch die Zusammenhänge zu den Geräten und zu den Orten der Speicherung, ist ja auch alles weg. Und wenn du nun die Zugangsdaten online bzw. in Cloud, Netzwerk etc. gespeichert hast, dann brauchst du dafür auch wieder Zugangsdaten, die ebenfalls im Nebel verschwunden sind. Oder du brauchts die Orte, an denen deine Daten hinterlegt sind, die dir aber auch nicht einfallen. So oder so steckt man in der gleichen Situation.

Wenn man seine Angelegenheiten aber vorher mit seinen Liebsten wie Lebenspartner, Ehepartner, beste Geschwister, beste Eltern usw. geteilt hat, Vertrauensverhältnis vorausgesetzt, dann kommen diese Leute in einer solchen Situation von selbst auf dich zu und erklären dir, daß man dies und das hat. Sie füttern dich quasi mit den Infos, an die du sonst ohne Hilfe vielleicht irgendwann einmal oder vielleicht auch nie mehr herankommen würdest.

Ein Bankschließfach meldet sich nicht bei dir nach einem Schlaganfall.
Und die Bankmitarbeiter, selbst wenn sie dir die Sachen bringen würden, können dir auch nichts erklären.
Man müßte dann schon eine 1 zu 1 Anleitung hinterlegt haben, die für den absoluten Laien geschrieben ist.

Auch die geheimen Orte, an denen deine Sachen versteckt oder vergraben sind, senden kein Signal. Sie wissen ja nichts vom Schlaganfall.

[sam00]

Man müßte dann schon eine 1 zu 1 Anleitung hinterlegt haben, die für den absoluten Laien geschrieben ist.

Genau das ist wahrscheinlich auch das ausfallsicherste bzw. zuverlässigste. Es kann wie du schreibst eben so vieles schief gehen, egal wie/wo die Keys gespeichert sind.
Eine Schritt für Schritt Anleitung, wie man an die Coins ran kommt ist da einfach am sichersten. Ich habe so eine Anleitung geschrieben und sogar hier auf das Forum verwiesen, falls irgendwas unklar sein sollte

[gdm41]

Auf das Thema VPN wurde ja hier schon hingewiesen, wollte nur noch die zwei Links hier lassen und VPN abraten:

https://gist.github.com/joepie91/5a9909939e6ce7d09e29

https://www.youtube.com/watch?v=FMScV1Mkaok

[-doubleU-]

Ich habe so eine Anleitung geschrieben und sogar hier auf das Forum verwiesen, falls irgendwas unklar sein sollte

In groben Zügen wissen meine Familienmitglieder bescheid worum es geht (eine detaillierte Anleitung habe ich bisher nicht erstellt) und das man im Falle eines Falles in diesem Forum hier kompetente Unterstützung findet habe ich Ihnen auch erklärt.
Allerdings mit dem deutlichen Hinweis das es hier bei einer "unwissenden Nachfrage" auch Scammer anziehen wird und man nicht jeder Person hier im Forum sofort trauen sollte welche sich per PN meldet.
Hier in unserem Bereich gibt es ja zum Glück genug wachsame Augen, daher denke ich das im schlimmsten anzunehmenden Falle meine Familienmitglieder hier Unterstützung finden.

[mole0815]

Genau das ist wahrscheinlich auch das ausfallsicherste bzw. zuverlässigste. Es kann wie du schreibst eben so vieles schief gehen, egal wie/wo die Keys gespeichert sind.
Eine Schritt für Schritt Anleitung, wie man an die Coins ran kommt ist da einfach am sichersten. Ich habe so eine Anleitung geschrieben und sogar hier auf das Forum verwiesen, falls irgendwas unklar sein sollte

Ich habe meine Daten (relativ) sicher verwahrt aber werde da demnächst Zeit investieren und das nochmal von 0 weg perfekt erledigen.
Also komplett offline, zusätzliches non-elektro-Seedplatten-Backup etc.
Meine Top3 sind sicher aber ich habe eine ordentliche Menge an anderen Wallets und Zugangsdaten für die ich nicht meine Hand ins Feuer legen würde.

Ich hätte auch 1-2 Personen denen ich absolut blind vertraue und die ich auch einweihen möchte.
Aktuell scheitert es noch an dieser "Anleitung für Dummys" um auch die passenden Infos weiterzugeben.

Wie hast du das mit deiner Anleitung gemacht? Ist das eine kurze Info zu allen relevanten Tools wie eine kleine FAQ oder ein kompletter Fahrplan der im absoluten Notfall den Zugriff ermöglicht?

[sam00]

Wie hast du das mit deiner Anleitung gemacht? Ist das eine kurze Info zu allen relevanten Tools wie eine kleine FAQ oder ein kompletter Fahrplan der im absoluten Notfall den Zugriff ermöglicht?

Es ist eine Schritt für Schritt Anleitung, die in etwa so aussieht:
1. Registriert euch bei einer Börse (z.B Kraken)
2. Ledger einstecken (ggf. mit Seedphrase wiederherstellen), Pin eingeben, Bitcoin an Einzahlungsadresse bei Kraken senden

Das alles natürlich viel detaillierter und mit vielen wichtigen Hinweisen (Privatekeys, Seedphrases usw. niemals weitergeben, zur Not hier nachfragen)

Ich werde heute Abend mal meine Version hochladen, wenn ich dran denke

[mole0815]

Ich werde heute Abend mal meine Version hochladen, wenn ich dran denke

DAS wäre natürlich perfekt
Es gäbe ja Anleitungen wie z.B. https://bitcoinelectrum.com/restoring-your-standard-wallet-from-seed/ oÄ. aber als Anfänger findet man sich da mMn. nicht zurecht und wird vermutlich von Infos erschlagen. Ist ja schon mit einiger Erfahrung nicht immer ganz easy.

Dann noch Exchange finden, KYC, AML etc.
Vielleicht bekommen wir ja hier gemeinsam eine Version hin die wir dann alle für unsere Nachkommen (bzw. den Notfall) verwenden können.

[sam00]

Vielleicht bekommen wir ja hier gemeinsam eine Version hin die wir dann alle für unsere Nachkommen (bzw. den Notfall) verwenden können.

Das wäre eine großartige Idee!
Ich schreibe hier heute Abend mal meine aktuelle Version rein und erstelle dazu dann vielleicht einen separaten Thread mit einer Version, die jeder seinen Geliebten hinterlassen kann oder eben leicht abändern kann
Für diesen Thread würden wir sonst vielleicht zu sehr abdriften  

[mole0815]

Ich schreibe hier heute Abend mal meine aktuelle Version rein und erstelle dazu dann vielleicht einen separaten Thread mit einer Version, die jeder seinen Geliebten hinterlassen kann oder eben leicht abändern kann
Für diesen Thread würden wir sonst vielleicht zu sehr abdriften

Gute Idee. Gehört zwar zum Thema Sicherheit aber driftet eher in Cryptoguthaben vererben ab und daher hat es sich einen eigenen Thread verdient.
Es gab ja div. Beiträge zu dem Thema aber eine fertige Anleitung hätte sich mMn. schon was eigenes verdient denn das sollte auch für so ziemlich alle User hier relevant sein. Das Thema ist sehr wichtig und eigentlich sind alle die das nicht zu 100% geregelt haben ziemlich fahrlässig unterwegs... aber wir werden das nun ändern

[sam00]

Ich mache mir gerade schon einmal ein paar Gedanken über die Anleitung und mir stellt sich nun schon ein kleines Problem:
Es gibt ja so viele verschiedene Wallets, Hardwarewallets etc.
Sollen wir dann eine riesenlange Anleitung schreiben für alle Fälle (Ledger, Trezor, Electrum etc.) oder geben wir eher allgemeinere Infos, welche sich dann jeder personalisieren kann ?

[-doubleU-]

Vielleicht bekommen wir ja hier gemeinsam eine Version hin die wir dann alle für unsere Nachkommen (bzw. den Notfall) verwenden können.

Ich schreibe hier heute Abend mal meine aktuelle Version rein und erstelle dazu dann vielleicht einen separaten Thread mit einer Version, die jeder seinen Geliebten hinterlassen kann oder eben leicht abändern kann

Klasse Idee und eine super Sache das du deine Version als Diskussionsgrundlage hier zur Verfügung stellen willst. Daraus dann eine Community Version erstellen, hat den großen Vorteil das alle die sich hier aktiv daran beteiligen voll im Bilde sind was an welcher Stelle gemeint ist, so das diese User dann auch bei eventuell doch noch offenen Fragen von Erben/Familienangehörigen (welche hier Rat suchen) sehr einfach und gut helfen können.

~das sollte auch für so ziemlich alle User hier relevant sein. Das Thema ist sehr wichtig und eigentlich sind alle die das nicht zu 100% geregelt haben ziemlich fahrlässig unterwegs...

Ich hatte mich ja bereits geoutet das ich es auch nicht 100% geregelt habe und noch eine Schritt für Schritt Anleitung fehlt. Ich denke das viele dies wie beim Thema Testament zumindest in jungen Jahren vor sich her schieben. Aber wie oft ist es dann zu spät...
Dieser neue Thread von sam00 sollte dann eigentlich meiner Meinung nach sogar unter "Anfänger und Hilfe" oben angepinnt werden, so wichtig wie dieses Thema ist.
 

Sollen wir dann eine riesenlange Anleitung schreiben für alle Fälle (Ledger, Trezor, Electrum etc.) oder geben wir eher allgemeinere Infos, welche sich dann jeder personalisieren kann ?

Ich denke es wäre günstig wenn wir es nicht zu lang gestalten, sondern es individuelle Versionen gibt. Fange am besten mit deiner Version an (z.b. Ledger) Danach kann man für die alternativen Varianten bei Wallets/Börsen und was es noch so an Unterschieden geben mag, alternative Absätze der Anleitung erstellen, so das jeder dann das passende für sich auswählen kann. Ähnlich wie bei im Netz angebotenen Vorsorgevollmachten, die man auch der individuellen Situation anpassen kann.
Am ende könnten man aus den Textbausteinen dann sogar einen Anleitungsgenerator programmieren 

[mole0815]

Klar wenn wir da einen schönen Leitfaden hinbekommen können wir das sehr gerne anpinnen.
Muss auf jeden Fall übersichtlich gestaltet sein denn eine textwall schreckt wieder ab bzw. überfordert die Beteiligten dann auch gleich wieder

Bekommen sicher eine DAU-gerechte Anleitung hin.
Gibt ja auch verschiedene Möglichkeiten und jeder kann es dann so detailliert wie notwendig verwahren.
Es soll ja ein Dokument sein, dass man asap mit den Personen des Vertrauens durchgeht und Details bespricht.
Zum Unterschied zu einer Anleitung die man jemandem mit absolut 0 Hintergrundinfos zur Verfügung stellt wenn man selbst ggf. nicht mehr da ist

Während ich das so schreibe überlege ich aber was besser ist... eig. benötigen wir beide Versionen