BIP39 Standard erklärt: Seed Phrases, Sicherheit und Funktionsweise

Was ist BIP39? Definition und Zweck des Standards

BIP39 – kurz für Bitcoin Improvement Proposal 39 – ist der weltweit anerkannte Standard für mnemonische Wiederherstellungsphrasen in Kryptowährungs-Wallets. Er löst ein fundamentales Problem: Private Schlüssel sind 256-Bit-Zahlen, also Zeichenketten wie e9873d79c6d87dc0fb6a5778633389f4453213303da61f20bd67fc233aa33262 – für Menschen schlicht nicht merkbar. BIP39 übersetzt diese kryptografischen Schlüssel in eine geordnete Folge gewöhnlicher Wörter.

Das Ergebnis ist eine sogenannte Seed Phrase oder Recovery Phrase: eine Abfolge von 12, 15, 18, 21 oder 24 Wörtern, mit der du eine Wallet auf jedem kompatiblen Gerät vollständig wiederherstellen kannst. In der Praxis dominieren 12 und 24 Wörter. Die anderen Längen sind technisch gültig, aber selten anzutreffen.

Der Standard hat sich zum echten Industriestandard entwickelt. Nahezu alle Non-Custodial Wallets unterstützen ihn: Hardware-Wallets wie Ledger (Nano S Plus, Nano X, Flex, Stax) und Trezor (Safe 3, Safe 5, Safe 7), aber auch Software-Wallets wie Electrum, Exodus, Mycelium und Atomic Wallet. Das bedeutet: Eine Seed Phrase, die auf einem Ledger erzeugt wurde, lässt sich grundsätzlich auch in Electrum importieren – vorausgesetzt, beide nutzen denselben Ableitungspfad.

Wichtig ist eine häufige Verwechslung: Die 20-Wörter-Phrasen, die neuere Trezor-Modelle wie der Safe 3 anbieten, folgen nicht BIP39. Sie basieren auf dem SLIP39-Standard, der Shamir’s Secret Sharing implementiert und eine andere Architektur hat. Wer eine 20-Wörter-Phrase besitzt, kann sie nicht einfach in eine BIP39-kompatible Wallet importieren.

BIP39 wurde entwickelt, um Wallet-Backups interoperabel und benutzerfreundlich zu gestalten. Vor diesem Standard gab es keine einheitliche Methode: Jeder Wallet-Anbieter nutzte eigene Formate, was Backups kompliziert und fehleranfällig machte. Mit BIP39 gibt es eine klare Spezifikation – von der Entropie-Erzeugung bis zur finalen Schlüsselableitung. Das macht Backups portabel und die Krypto-Welt ein Stück sicherer.

Die BIP39-Wortliste: 2048 Wörter und ihre Logik

Das Herzstück von BIP39 ist eine sorgfältig kuratierte Wortliste mit exakt 2048 Einträgen. Diese Zahl ist kein Zufall: 2 hoch 11 ergibt 2048. Jedes Wort in der Liste repräsentiert also eine eindeutige 11-Bit-Zahl – den Index seiner Position in der Liste. Das Wort „abandon“ steht an Position 0, „zoo“ an Position 2047.

Intern verarbeitet eine Wallet niemals die Wörter selbst. Sie arbeitet ausschließlich mit den numerischen Indizes. Die Wörter sind reine Benutzeroberfläche – sie machen die dahinterliegenden Zahlen für Menschen lesbar, schreibbar und merkbar. Das ist der eigentliche Witz von BIP39: Die Komplexität bleibt unter der Haube, die Oberfläche ist menschenfreundlich.

Die Wortliste wurde nach klaren Kriterien zusammengestellt. Erstens sind die Wörter so gewählt, dass die ersten vier Buchstaben jedes Wortes eindeutig sind. Kein anderes Wort in der Liste beginnt mit denselben vier Buchstaben. Das hat einen praktischen Vorteil: Wallets können Wörter bereits nach vier eingegebenen Zeichen eindeutig vorschlagen und identifizieren. Tippfehler werden früh erkannt.

Zweitens wurden Wörter mit ähnlichem Klang oder ähnlichem Schriftbild bewusst vermieden, um Verwechslungen zu minimieren. Wörter wie „ill“ und „will“ oder „bare“ und „bear“ kommen nicht beide in der Liste vor. Das reduziert Fehler beim handschriftlichen Aufschreiben oder beim Vorlesen.

Drittens sind alle Wörter kurz und gebräuchlich – zwischen 3 und 8 Buchstaben lang, aus dem alltäglichen englischen Wortschatz. Das erleichtert die Schreibweise und das Merken erheblich.

Die englische Wortliste ist die Referenz, aber BIP39 existiert auch in anderen Sprachen: Japanisch, Spanisch, Chinesisch (vereinfacht und traditionell), Französisch, Italienisch, Koreanisch, Tschechisch und Portugiesisch. Technisch sind diese Listen untereinander austauschbar – solange die zugrunde liegenden Zahlenindizes übereinstimmen. Eine Phrase auf Spanisch kodiert dieselbe Entropie wie die entsprechende englische Phrase, wenn die Indizes identisch sind. In der Praxis empfiehlt sich jedoch die englische Liste, da sie die breiteste Wallet-Kompatibilität bietet.

Groß- und Kleinschreibung spielt bei BIP39 keine Rolle. „Abandon“, „ABANDON“ und „abandon“ werden identisch behandelt. Das macht die Eingabe robuster und verhindert Fehler durch versehentliche Großschreibung.

Wie BIP39 funktioniert: Der Erzeugungsprozess Schritt für Schritt

Der Weg von der zufälligen Bitfolge zur fertigen Seed Phrase und schließlich zu den Wallet-Schlüsseln ist ein präzise definierter, mehrstufiger Prozess. Jeder Schritt hat eine klare Funktion – und ein Fehler in einem einzigen Schritt macht die gesamte Wallet unzugänglich.

Schritt 1: Entropie-Generierung

Alles beginnt mit echter Zufälligkeit. Das Wallet-System erzeugt eine zufällige Bitfolge mit einer Länge von 128 bis 256 Bit – immer ein Vielfaches von 32 Bit. Für eine 12-Wörter-Phrase werden 128 Bit Entropie benötigt, für 24 Wörter 256 Bit. Hardware-Wallets nutzen dafür sogenannte True Random Number Generators (TRNGs), die physikalische Rauschquellen wie thermisches Rauschen oder radioaktiven Zerfall auswerten. Software-Wallets verwenden Cryptographically Secure Pseudorandom Number Generators (CSPRNGs), die vom Betriebssystem bereitgestellt werden. Die Qualität dieser Zufälligkeit ist entscheidend – eine vorhersehbare Entropie würde die gesamte Sicherheit der Wallet untergraben.

Schritt 2 und 3: Checksumme berechnen und anhängen

Vom SHA256-Hash der Entropie werden die ersten N Bits als Prüfsumme verwendet, wobei N gleich der Entropielänge geteilt durch 32 ist. Bei 128 Bit Entropie sind das 4 Prüfsummen-Bits, bei 256 Bit sind es 8 Bits. Diese Prüfsumme wird direkt an die Entropie angehängt. Das Ergebnis: Bei einer 12-Wörter-Phrase hat die kombinierte Bitfolge 132 Bits (128 + 4), bei 24 Wörtern sind es 264 Bits (256 + 8).

Schritt 4 und 5: Aufteilung und Zuordnung zur Wortliste

Die verlängerte Bitfolge wird in 11-Bit-Segmente aufgeteilt. Jedes Segment ist eine Zahl zwischen 0 und 2047 – ein Index in die Wortliste. 132 Bits ergeben 12 Segmente, also 12 Wörter. 264 Bits ergeben 24 Segmente, also 24 Wörter. Die Mathematik geht perfekt auf: Alle BIP39-Phrasenlängen sind so gewählt, dass die Gesamtbits exakt durch 11 teilbar sind.

Die Checksumme hat eine wichtige praktische Konsequenz: Bei einer 12-Wörter-Phrase ist statistisch nur jede 16. zufällig zusammengewürfelte Wortkombination checksummen-gültig. Bei 24 Wörtern ist es sogar nur jede 256. Wenn du also versehentlich ein Wort falsch eingibst, erkennt die Wallet das mit hoher Wahrscheinlichkeit sofort – bevor du versuchst, auf eine falsche Wallet zuzugreifen.

Schritt 6: Seed-Generierung via PBKDF2

Die mnemonische Phrase wird jetzt in den eigentlichen 512-Bit-Seed umgewandelt. Dafür kommt PBKDF2 (Password-Based Key Derivation Function 2) zum Einsatz – mit genau 2048 Iterationen und HMAC-SHA512 als Pseudozufallsfunktion. Als Salt dient die Zeichenkette „mnemonic“ gefolgt von der optionalen Passphrase. Ist keine Passphrase gesetzt, lautet der Salt einfach „mnemonic“. Die 2048 Iterationen verlangsamen Brute-Force-Angriffe erheblich: Wer die Phrase nicht kennt, muss für jeden Versuch 2048 Hashing-Runden durchlaufen.

Schritt 7: Schlüsselableitung via BIP32 und BIP44

Aus dem 512-Bit-Seed leitet BIP32 den Master-Private-Key und den Master-Chain-Code ab. Von dort aus werden per hierarchischer deterministischer Ableitung (HD-Wallet) beliebig viele private und öffentliche Schlüssel erzeugt – alle aus demselben Seed, alle reproduzierbar. BIP44 legt die Kontostruktur fest: Welcher Pfad für Bitcoin, welcher für Ethereum, welcher für weitere Coins. Das Ergebnis ist eine vollständige Wallet mit tausenden potenziellen Adressen, alle aus einer einzigen Seed Phrase.

Entropie und Sicherheit: 12 vs. 24 Wörter im Vergleich

Die Frage „12 oder 24 Wörter?“ ist eine der meistdiskutierten in der Krypto-Community. Die Antwort ist nuancierter, als sie auf den ersten Blick erscheint.

Eine 12-Wörter-Phrase basiert auf 128 Bit Entropie. Das entspricht ungefähr 3,4 × 10³⁸ möglichen Kombinationen – eine Zahl mit 38 Stellen. Eine 24-Wörter-Phrase nutzt 256 Bit Entropie, was rund 1,16 × 10⁷⁷ Kombinationen ergibt – eine Zahl mit 77 Stellen. Der Unterschied klingt astronomisch, und das ist er auch.

Aber hier kommt der entscheidende Kontext: 128-Bit-Sicherheit ist der weltweite Standard für AES-128 – dieselbe Verschlüsselung, die in Bankensystemen, militärischer Kommunikation und verschlüsselten Verbindungen eingesetzt wird. Selbst wenn eine Maschine 10¹² Kombinationen pro Sekunde testen könnte, würde das vollständige Durchsuchen aller 12-Wörter-Kombinationen länger dauern als das Alter des Universums. Mit heutiger und absehbarer Rechenleistung ist eine korrekt erzeugte 12-Wörter-Phrase nicht per Brute-Force knackbar.

Hinzu kommt ein technischer Fakt, der oft übersehen wird: Die elliptische Kurve secp256k1, auf der Bitcoin und die meisten anderen Kryptowährungen basieren, hat selbst nur eine Sicherheitsstärke von etwa 128 Bit. Das bedeutet: Selbst wenn du eine 24-Wörter-Phrase mit 256-Bit-Entropie verwendest, ist der schwächste Punkt im System die Kurve selbst – nicht die Phrase. 24 Wörter erhöhen den Suchraum zum Erraten der Phrase, ändern aber nicht die Sicherheit der zugrunde liegenden Kryptografie.

Warum dann überhaupt 24 Wörter wählen? Es gibt drei gute Gründe. Erstens bietet 256-Bit-Entropie einen größeren mathematischen Sicherheitsabstand für die Zukunft – falls Quantencomputer oder andere Rechenfortschritte die effektive Sicherheit von Algorithmen reduzieren sollten. Zweitens ist die Checksumme bei 24 Wörtern mit 8 Bit doppelt so lang wie bei 12 Wörtern (4 Bit), was Tippfehler zuverlässiger erkennt. Drittens ist es schlicht der Standard vieler Hardware-Wallets: Ledger generiert standardmäßig 24-Wörter-Phrasen, was für viele Nutzer die natürliche Wahl ist.

Für den Alltag und für Beträge im mittleren Bereich ist eine 12-Wörter-Phrase vollkommen ausreichend. Für große Beträge oder als langfristiges Cold-Storage empfehlen sich 24 Wörter – nicht wegen eines konkreten Angriffsvektors heute, sondern als Zukunftssicherung.

Entropie- und Checksummen-Übersicht aller BIP39-Phrasenlängen

BIP39 definiert fünf gültige Phrasenlängen. In der Praxis begegnen dir fast ausschließlich 12 und 24 Wörter, aber alle fünf Varianten sind vollständig standardkonform. Die folgende Tabelle gibt dir einen direkten Überblick über alle Sicherheitsstufen.

Das Konstruktionsprinzip dahinter ist elegant: Entropie + Checksumme = Gesamtbits, und diese Summe muss immer exakt durch 11 teilbar sein – denn jedes Wort kodiert 11 Bit. Bei 12 Wörtern sind das 132 Bit (128 + 4), was durch 11 geteilt genau 12 ergibt. Bei 24 Wörtern sind es 264 Bit (256 + 8), geteilt durch 11 ergibt 24. Die Mathematik ist wasserdicht.

Die Checksumme wächst proportional mit der Entropie: Für je 32 Bit Entropie kommt 1 Bit Checksumme hinzu. Das bedeutet, dass längere Phrasen nicht nur mehr Entropie bieten, sondern auch Tippfehler zuverlässiger erkennen. Bei 24 Wörtern ist statistisch nur jede 256. zufällige Wortkombination checksummen-gültig – ein starker Schutz gegen versehentliche Fehleingaben.

Die 15-, 18- und 21-Wörter-Varianten sind in der Praxis selten anzutreffen. Manche älteren Software-Wallets haben sie genutzt, heute ist der Markt weitgehend auf 12 und 24 Wörter konsolidiert. Wenn du eine Wallet-Software findest, die eine dieser Zwischenlängen anbietet, ist das kein Fehler – es ist schlicht eine seltenere, aber vollständig gültige BIP39-Option.

Eine wichtige Einschränkung: Die Anzahl der möglichen Kombinationen beschreibt den Suchraum für einen Angreifer, der die Phrase erraten will. Sie sagt nichts darüber aus, wie viele dieser Kombinationen tatsächlich checksummen-gültig sind. Bei 12 Wörtern ist nur jede 16. zufällige Kombination gültig, bei 24 Wörtern nur jede 256. Der effektive Suchraum für einen Angreifer, der nur gültige Phrasen testet, ist entsprechend kleiner – aber immer noch astronomisch groß.

Das 25. Wort: Die optionale BIP39-Passphrase

BIP39 enthält eine oft übersehene Funktion, die in der Community als „25. Wort“ bekannt ist: die optionale Passphrase. Technisch gesehen ist sie kein 25. Wort aus der BIP39-Wortliste, sondern eine frei wählbare Zeichenkette beliebiger Länge und Komplexität – Buchstaben, Zahlen, Sonderzeichen, alles ist erlaubt.

Wie wirkt sie? Die Passphrase fließt als zusätzlicher Salt in die PBKDF2-Ableitung ein. Ohne Passphrase lautet der Salt „mnemonic“. Mit Passphrase lautet er „mnemonic“ + deine Passphrase. Das Ergebnis ist ein völlig anderer 512-Bit-Seed – und damit eine völlig andere Wallet mit anderen Adressen und anderen privaten Schlüsseln. Dieselbe Seed Phrase mit zwei verschiedenen Passphrasen ergibt zwei vollständig unabhängige Wallets.

Das hat mehrere praktische Konsequenzen. Erstens erhöht die Passphrase die Sicherheit erheblich: Selbst wenn jemand deine 24 Wörter findet oder stiehlt, kommt er ohne die Passphrase nicht an deine Coins. Die Seed Phrase allein ist dann wertlos. Zweitens ermöglicht die Passphrase eine elegante Deniability-Strategie: Du kannst eine kleine Menge Krypto auf der Wallet ohne Passphrase halten (die du im Notfall „herausgeben“ könntest) und dein eigentliches Vermögen auf der Wallet mit Passphrase sichern.

Drittens – und das ist der kritische Punkt – gibt es bei der Passphrase keine Fehlerkorrektur. BIP39 akzeptiert jede Passphrase, auch eine falsch eingetippte. Wenn du „Passw0rd!“ eingibst, aber versehentlich „Passw0rd1“ tippst, landest du auf einer anderen, leeren Wallet. Es gibt keine Fehlermeldung, keinen Hinweis. Jede Passphrase ist per Definition korrekt – sie führt nur zu einer anderen Wallet.

Das bedeutet: Die Passphrase muss genauso sorgfältig gesichert werden wie die Seed Phrase selbst – aber getrennt von ihr. Viele Sicherheitsexperten empfehlen, die Passphrase an einem anderen physischen Ort aufzubewahren als die Seed Phrase. So müsste ein Angreifer beide Orte kennen, um Zugriff zu erhalten.

Geht die Passphrase verloren, ist die Wallet unwiderruflich verloren. Es gibt keine Wiederherstellungsmöglichkeit, keinen Support, keine Hintertür. Das ist der Preis der dezentralen Selbstverwahrung: absolute Kontrolle bedeutet absolute Verantwortung.

BIP39 vs. SLIP39: Die wichtigsten Unterschiede

Wer sich mit Hardware-Wallets beschäftigt, stößt früher oder später auf SLIP39 – und die Verwechslung mit BIP39 ist häufig. Beide Standards dienen der Wallet-Wiederherstellung, aber ihre Architektur und ihre Anwendungsfälle unterscheiden sich grundlegend.

SLIP39 steht für Satoshi Labs Improvement Proposal 39 und wurde von den Trezor-Entwicklern entworfen. Der entscheidende Unterschied: SLIP39 implementiert Shamir’s Secret Sharing. Das bedeutet, der Master-Seed wird in mehrere Teile (Shares) aufgeteilt, von denen nur eine Mindestanzahl benötigt wird, um den Seed zu rekonstruieren. Ein typisches Setup wäre 2-von-3: Du erhältst drei Shares, und zwei davon reichen zur Wiederherstellung. Das dritte Share kann verloren gehen oder zerstört werden, ohne dass der Zugang verloren geht.

SLIP39-Phrasen bestehen aus 20 Wörtern – eine Länge, die BIP39 nicht kennt. Das ist der einfachste Erkennungstest: Hast du eine 20-Wörter-Phrase, ist es SLIP39, kein BIP39.

Die Kompatibilität ist der größte praktische Unterschied. BIP39 wird von nahezu allen Non-Custodial Wallets unterstützt – Hardware- und Software-Wallets gleichermaßen. SLIP39 ist hauptsächlich auf Trezor-Geräte beschränkt. Eine SLIP39-Phrase lässt sich nicht einfach in Electrum, Exodus oder eine andere Standard-Wallet importieren.

Welcher Standard ist besser? Das hängt vom Anwendungsfall ab. BIP39 ist die richtige Wahl, wenn du maximale Kompatibilität und einfaches Handling willst. SLIP39 ist interessant für fortgeschrittene Nutzer, die ihr Backup auf mehrere physische Orte oder Personen verteilen wollen, ohne dass ein einzelner Ort den vollständigen Zugriff ermöglicht. Für die meisten Nutzer ist BIP39 die pragmatischere Entscheidung – einfacher zu verstehen, breiter unterstützt und gut dokumentiert.

Ein praktischer Hinweis für Trezor-Nutzer: Wenn du ein Trezor-Gerät mit SLIP39 einrichtest, stelle sicher, dass du alle Shares sicher aufbewahrst und weißt, wie viele du zur Wiederherstellung benötigst. Ein einzelnes SLIP39-Share ohne die anderen ist wertlos – und eine BIP39-Wallet damit nicht wiederherstellbar.