Sicherheitsprinzipien

Nicht-verwahrendes Design

TZUR Wallet ist vollständig nicht-verwahrend. Ihre privaten Schlüssel werden niemals auf Servern gespeichert, und TZUR hat keinerlei Möglichkeit, auf Ihre Gelder zuzugreifen, sie einzufrieren oder zu bewegen. Es gibt keine Konten zu erstellen, keine Cloud-Speicherung von Wallet-Daten und keinen serverseitigen Datensatz Ihrer Bitcoin-Bestände. Ihre Schlüssel existieren nur auf Ihrem Computer, geschützt durch die Windows-Sicherheit und, sofern aktiviert, durch das TPM Ihres Computers. Würden die Server von TZUR morgen verschwinden, blieben Ihre Bitcoin vollständig zugänglich. Sie können Ihre Wallet mit Ihrer Seed-Phrase und jeder BIP-39-kompatiblen Wallet-Anwendung wiederherstellen.

Schlüsselerzeugung und -ableitung

Private Schlüssel werden lokal auf Ihrem Computer erzeugt. Die kryptografische Zufälligkeit wird durch den sicheren Zufallszahlengenerator des Betriebssystems bereitgestellt (BCryptGenRandom unter Windows). TZUR folgt BIP-32 für die hierarchisch deterministische Schlüsselableitung, was bedeutet, dass Ihre gesamte Wallet aus einem einzigen Master-Seed abgeleitet wird. Für die Adresserzeugung implementiert TZUR BIP-84, um Native-SegWit-Adressen (bech32) unter Verwendung des Ableitungspfads m/84'/0'/0' zu erzeugen. Dies ist vollständig deterministisch: Derselbe Seed erzeugt immer dieselbe Abfolge von Adressen. Es wird niemals Schlüsselmaterial auf einem entfernten Server erzeugt oder an diesen übertragen.

Sicherheit der Seed-Phrase

Ihre 12-Wort-Seed-Phrase wird lokal nach dem BIP-39-Standard erzeugt. Diese Seed-Phrase ist der einzige Wiederherstellungsmechanismus für Ihre Wallet. TZUR speichert oder überträgt Ihre Seed-Phrase nicht und hat keinerlei Zugriff darauf. Die Phrase wird einmal während der Wallet-Erstellung angezeigt und kann zu Sicherungszwecken erneut in den Einstellungen eingesehen werden. Sie wird niemals über das Netzwerk gesendet, niemals in Serverprotokollen festgehalten und niemals in Analysedaten aufgenommen. Wenn Sie Ihre Seed-Phrase und Ihren Computer verlieren, können Ihre Bitcoin von niemandem wiederhergestellt werden, auch nicht von TZUR.

Speicherverwaltung

Privates Schlüsselmaterial wird als toxische Daten behandelt. Schlüssel werden nur dann aus dem sicheren Speicher geladen, wenn sie zur Signierung von Transaktionen benötigt werden. Sobald die Transaktion signiert ist, wird sämtliches Schlüsselmaterial unverzüglich aus dem Speicher gelöscht. Private Schlüssel werden niemals im Anwendungszustand zwischengespeichert, niemals in temporäre Dateien geschrieben, niemals protokolliert und niemals in ungeschütztem Speicher abgelegt.

Sichere Speicherung

Sensible Wallet-Daten, einschließlich des verschlüsselten Seeds, werden in einer lokalen Geheimnisdatei gespeichert, die mit Windows DPAPI (der Windows Data Protection API) versiegelt ist. DPAPI bindet die Daten an Ihr Windows-Benutzerkonto, sodass sie nicht auf einen anderen Rechner übertragen oder offline ausgetauscht werden können. Auf Computern, die mit einem Trusted Platform Module (TPM) ausgestattet sind, können Sie den verschlüsselten Seed zusätzlich an das TPM versiegeln. Der TPM-Schlüssel ist nicht exportierbar und verlässt niemals die Hardware, sodass eine kopierte Geheimnisdatei auch mit der PIN nicht offline auf einem anderen Rechner angegriffen werden kann. Die Anwendung ist durch eine PIN gesichert, gehärtet mit PBKDF2-HMAC-SHA256 bei 600.000 Iterationen, und, sofern verfügbar, durch Windows Hello. TZUR speichert keine sensiblen Daten in einfachen Dateien oder einem ungeschützten Speichermechanismus.

App-Sperre und Aufnahmeschutz

TZUR sperrt sich beim Start und nach einer Phase der Inaktivität hinter Ihrer PIN (und Windows Hello, sofern aktiviert). Das Intervall der automatischen Sperre ist konfigurierbar (1 Minute, 10 Minuten, 1 Stunde oder 6 Stunden). Die Anwendung aktiviert außerdem einen Bildschirmaufnahmeschutz auf sensiblen Bildschirmen, um das Risiko von Shoulder-Surfing und Bildschirmaufnahme-Malware zu verringern.

Netzwerk- und Electrum-Vertrauensmodell

TZUR kommuniziert mit öffentlichen Electrum-Servern, um Blockchain-Daten abzurufen. Electrum-Servern wird nicht vertraut. Sie dienen ausschließlich als Datenanbieter. Die gesamte Konstruktion und Signierung von Transaktionen erfolgt lokal auf Ihrem Computer. TZUR sendet niemals private Schlüssel, Seed-Phrasen oder personenbezogene Daten über das Netzwerk. Die Verbindungen verwenden TLS. Die Integrität von Transaktionen wird mithilfe von Merkle-Nachweisen überprüft.

Datenschutzfreundliche Analyse

TZUR Wallet kann anonyme Nutzungsanalysen erheben, um die Anwendung zu verbessern. Die Analyse ist vollständig optional und kann jederzeit in den Einstellungen deaktiviert werden.

Die Analyse umfasst niemals:

Wallet-Adressen oder öffentliche Schlüssel
Kontoguthaben oder UTXO-Daten
Transaktionsbeträge, -ziele oder -verlauf
Seed-Phrasen oder jegliches Schlüsselmaterial
Private Schlüssel oder Ableitungspfade
Persönliche Identität, Name oder Standort

TZUR Wallet enthält keine Werbe-SDKs, Tracking-Technologien von Drittanbietern oder Fingerprinting-Bibliotheken. Wir verkaufen, teilen oder monetarisieren keinerlei Nutzerdaten.

Verantwortungsvolle Offenlegung

Wenn Sie eine Sicherheitslücke in TZUR Wallet entdecken, melden Sie diese bitte an contact@tzur.live. Wir nehmen alle Meldungen ernst und werden umgehend reagieren.

Zuletzt aktualisiert: 4/6/2026