Eine DeFi-Sicherheits-Checkliste

Die meisten DeFi-Verluste auf individueller Ebene stammen nicht aus exotischen Protokollausfällen – sie stammen aus operativen Fehlern: eine bösartige Transaktion auf einer gefälschten Website zu signieren, alte Token-Freigaben offen zu lassen oder nicht zu bemerken, dass eine Position auf die Liquidation zudriftet. Die Lösung ist nicht mehr Wissen, sondern mehr Routine. Dieser Leitfaden ist diese Routine: was Sie prüfen sollten, bevor Sie sich verbinden, bevor Sie signieren, während eine Position offen ist, und in einem regelmäßigen Wartungsrhythmus.

Bevor Sie ein Protokoll anfassen: Prüfung

Zehn Minuten Prüfung vor Ihrer ersten Einzahlung filtern die meisten Katastrophen heraus.

• Prüfen Sie, ob Sie auf der echten Website sind. Phishing-Klone von DeFi-Front-Ends sind der mit Abstand häufigste Weg, auf dem Privatpersonen Geld verlieren – Angreifer kaufen Suchanzeigen, registrieren ähnlich aussehende Domains und kapern Discord- und X-Konten von Projekten, um gefälschte Links zu posten. Beziehen Sie die URL einmal aus zwei unabhängigen Quellen (die dokumentierte Domain des Projekts und ein Tracker wie DefiLlama), dann setzen Sie ein Lesezeichen und betreten Sie die Seite nur noch darüber. Niemals über Suchergebnisse, niemals über einen Link in einer DM, einem Chat oder einer „Support“-Antwort.
• Prüfen Sie Größe und Alter. Sehen Sie bei einem Aggregator nach dem TVL des Protokolls und danach, wie lange es schon in Betrieb ist. An keiner Schwelle passiert etwas Magisches, aber ein Contract, der zwei Jahre lang neunstellige Beträge gehalten hat, hat echtem Angriffsdruck standgehalten; ein eine Woche alter Fork nicht. Dimensionieren Sie Ihr Engagement nach diesem Unterschied.
• Suchen Sie nach Audits und einem Bug-Bounty-Programm – und rechnen Sie dann einen Abschlag ein. Mehrere Audits bekannter Firmen und ein laufendes Bug-Bounty-Programm sind für seriöse Protokolle das Mindeste. Ihr Fehlen ist ein Ausschlusskriterium; ihr Vorhandensein ist kein Beweis für Sicherheit.
• Identifizieren Sie die Admin-Schlüssel. Überfliegen Sie die Dokumentation: Wer kann Contracts upgraden, und liegen Upgrades hinter einem Timelock? Ein Protokoll, dessen Team-Multisig die Regeln sofort ändern kann, erfordert mehr Vertrauen als eines mit 48 Stunden Verzögerung und einem öffentlichen Governance-Prozess.
• Verstehen Sie die Rendite, bevor Sie ihr nachjagen. Können Sie nicht in einem Satz erklären, wer die Rendite zahlt und warum, sind Sie mit der Prüfung nicht fertig. Überdurchschnittlich hoher APY ist ein Risikosignal, kein Schnäppchen.

Vor jeder Signatur: Freigaben und Transaktionshygiene

Alles in DeFi geschieht über Transaktionen, die Sie signieren, was den Moment der Signatur zu Ihrer letzten Verteidigungslinie macht.

• Lesen Sie, was die Wallet tatsächlich anzeigt. Moderne Wallets simulieren Transaktionen und zeigen an, was Ihre Wallet verlässt und was ankommt. Gehen Sie langsam vor und lesen Sie es. Ein Swap sollte ausgehende und eingehende Token zeigen; zeigt eine „Belohnung einfordern“-Interaktion, dass Ihre NFTs oder Token abfließen, brechen Sie ab.
• Behandeln Sie Token-Freigaben (Approvals) als dauerhaftes Risiko. Bevor ein Contract Ihre Token bewegen kann, erteilen Sie ihm eine Freigabe. Oberflächen verlangten historisch aus Bequemlichkeit unbegrenzte Freigaben – das heißt, dieser Contract (oder wer ihn später ausnutzt) kann Ihr gesamtes Guthaben dieses Tokens bewegen, für immer, bis Sie widerrufen. Bevorzugen Sie Wallets und Oberflächen, die Ihnen einen exakten Freigabebetrag setzen lassen, und nutzen Sie ihn bei allem jenseits routinemäßiger Interaktionen mit großen Protokollen.
• Hüten Sie sich auch vor Off-Chain-Signaturen. Nicht jede gefährliche Signatur ist eine Transaktion. Signaturbasierte Freigaben und Order-Signaturen (der Mechanismus hinter vielen Wallet-Drainer-Kits) kosten kein Gas und können Überweisungen später autorisieren. Eine Website, die Sie bittet, etwas zu signieren, das Sie nicht verstehen – besonders lange Hexadezimal- oder strukturierte Daten mit der Adresse eines Dritten als Spender (spender) oder Operator –, ist ein Moment zum Anhalten und Recherchieren.
• Senden Sie bei neuen Wegen eine Testtransaktion. Erstmals per Bridge irgendwohin, erste Auszahlung an eine neue Adresse, erste Interaktion mit einem neuen Protokoll: Senden Sie einen kleinen Betrag, bestätigen Sie, dass er ankommt und sich wie erwartet verhält, und senden Sie dann den Rest. Die zusätzliche Gebühr ist die günstigste Versicherung im Kryptobereich.
• Trennen Sie Ihre Wallets. Halten Sie eine Hot Wallet mit begrenzten Mitteln für aktives DeFi und Experimente und eine separate Cold Wallet – idealerweise hardwaregestützt –, die langfristige Vermögenswerte hält und sich niemals mit beliebigen dApps verbindet. Eine geleerte Hot Wallet sollte ein Ärgernis sein, keine Katastrophe. (Die Einrichtung von Wallets selbst wird im Lernpfad „Sicherheit & Self-Custody“ ausführlich behandelt.)

Solange Positionen offen sind: Überwachung

DeFi-Positionen sind keine Sparkonten; sie ändern ihren Zustand, während Sie schlafen.

• Kennen Sie Ihre Liquidationsrechnung. Wenn Sie geliehen haben, notieren Sie Ihren Liquidationspreis und Ihren Health Factor und richten Sie den Alarm ein, bevor Sie ihn brauchen. Portfolio-Tracker (DeBank, Zapper und protokolleigene Dashboards) zeigen Health Factors an; mehrere Dienste können Benachrichtigungen senden, wenn ein Health Factor unter eine von Ihnen gewählte Schwelle fällt. Ein realistischer Puffer ist wichtig: Eine Position, die bei einem Kursrückgang von 25 % liquidiert wird, ist in einem Markt nicht konservativ, der das regelmäßig an einem einzigen Tag tut.
• Beobachten Sie die Kopplungen, von denen Sie abhängen. Wenn Ihre Position einen Stablecoin, einen Liquid-Staking-Token oder einen gewrappten Vermögenswert hält, leiht oder als Liquidität bereitstellt, verändert ein Kopplungsverlust Ihr Risiko sofort. Ein kurzer Blick auf die Kopplung gehört zur Prüfung der Position.
• Folgen Sie dem Ankündigungskanal des Protokolls. Exploits, Pausen, Migrationshinweise und Governance-Vorschläge, die Ihre Position betreffen, erscheinen dort zuerst. Für alles, was einen nennenswerten Teil Ihrer Mittel hält, ist das Monitoring, keine Fan-Verehrung. Governance-Timelocks schützen nur Nutzer, die hinschauen.
• Prüfen Sie die Rendite-Realität monatlich neu. Emissionen laufen aus, Anreize enden, die Pool-Zusammensetzung verschiebt sich. Die Position, in die Sie mit 12 % APY eingestiegen sind, zahlt womöglich nur noch 3 % bei gleichem Risiko – dann existiert der Handel, den Sie eingegangen sind, nicht mehr und verdient eine neue Entscheidung.

Die wiederkehrende Wartungsroutine

Tragen Sie eine echte wiederkehrende Erinnerung in Ihren Kalender ein; Gedächtnis ist kein System.

Monatlich (15–30 Minuten):

1. Freigaben prüfen und widerrufen. Nutzen Sie ein seriöses Tool zur Freigabeverwaltung – Revoke.cash ist der weit verbreitete Standard, und Etherscan bietet einen Token-Approval-Checker –, um jeden Contract aufzulisten, der noch berechtigt ist, Ihre Token zu bewegen, auf jeder Chain, die Sie nutzen. Widerrufen Sie alles, was Sie nicht aktiv nutzen, unbegrenzte Freigaben an Protokolle, die Sie einmal ausprobiert haben, und alles, was Contracts erteilt wurde, die Sie nicht erkennen. Jeder Widerruf kostet eine kleine Gas-Gebühr; auf Layer 2 sind das Centbeträge.
2. Positionen inventarisieren. Listen Sie jedes Protokoll auf, das derzeit Ihre Gelder hält, auf jeder Chain. Vergessene Positionen sind unüberwachtes Risiko – verwaiste LP-Positionen und Kleinsteinlagen sammeln sich überraschend schnell an.
3. Zustand der Positionen prüfen. Health Factors, Kopplungsstatus, aktuelle reale Rendite im Vergleich zu dem, wofür Sie sich angemeldet haben.

Vierteljährlich:

• Ausmisten. Steigen Sie aus Positionen aus, die zu klein sind, um sie sinnvoll zu überwachen, fassen Sie Kleinstbeträge zusammen, schließen Sie Konten bei Protokollen, die Sie nicht mehr nutzen.
• Größte Engagements neu prüfen. Ist der TVL des Protokolls eingebrochen? Ist das Team gegangen? Wurden Admin-Schlüssel geändert? Wurden Audit-Befunde veröffentlicht? Die Prüfung, die Sie beim Einstieg gemacht haben, veraltet.
• Wiederherstellung üben. Bestätigen Sie, dass Ihre Seed-Phrase-Backups dort sind, wo sie sein sollten, und dass Sie den Zugriff tatsächlich wiederherstellen können – bevor ein Notfall es für Sie testet.

Wenn etwas schiefgeht

Legen Sie das Drehbuch fest, bevor Sie in Panik geraten.

• Wenn ein von Ihnen genutztes Protokoll ausgenutzt wird: Heben Sie ab, was abhebbar ist, falls der Exploit noch läuft, widerrufen Sie sofort Ihre Freigaben für die betroffenen Contracts und verlassen Sie sich für die nächsten Schritte auf den offiziellen Kanal des Protokolls – nicht auf Discord-DMs. Wer Ihnen per DM Hilfe bei der Wiederbeschaffung anbietet, ist ein zweiter Betrüger; dieses Muster ist nahezu universell.
• Wenn Sie etwas Bösartiges signiert haben: Bringen Sie die verbleibenden Vermögenswerte sofort aus dieser Wallet in eine saubere, beginnend mit den wertvollsten und liquidesten. Widerrufen Sie dann die Freigaben der kompromittierten Wallet. Gehen Sie davon aus, dass die Wallet dauerhaft verbrannt ist.
• Akzeptieren Sie die Grenzen der Wiederherstellung. On-Chain-Überweisungen sind endgültig. Realistische Maßnahmen nach einem Vorfall sind Eindämmung und Meldung – es gibt keine Support-Hotline, die Transaktionen rückgängig macht, und jeder Dienst, der etwas anderes behauptet, ist ein Betrug.