COLDCARD

Was ist COLDCARD?

COLDCARD ist eine Reihe von Hardware-WalletsGlossarHardware-WalletEin eigenes kleines Gerät, das deine privaten Schlüssel offline aufbewahrt und Transaktionen intern unterschreibt. Der Schlüssel verlässt das Gerät nie – Schadsoftware auf deinem Computer kommt nicht an ihn heran.Im Lernpfad: Etappe 6 · Schritt 1 – Hardware-Wallets im Vergleich →Im Glossar →× von Coinkite, 2012 in Toronto gegründet; entwickelt und montiert werden die Geräte in Kanada.^[2] Aktuell verkauft Coinkite die COLDCARD Q mit großem Display, Tastatur und QR-Scanner sowie die kompakte Mk5 mit Ziffernblock. Beide sind nur für Bitcoin gebaut und nutzen zwei Secure ElementsGlossarSecure Element (Sicherheitschip)Ein besonders gegen physische Angriffe gehärteter Chip, wie er auch in Bankkarten und Reisepässen steckt. In vielen Hardware-Wallets schützt er PIN und Geheimnisse, falls das Gerät in falsche Hände gerät.Im Lernpfad: Etappe 6 · Schritt 1 – Hardware-Wallets im Vergleich →Im Glossar →× verschiedener Hersteller (Microchip und Maxim).^[1]

Funktionen

• Ohne Kabel signieren (Air-GapGlossarAir-Gap (Luftspalt)Ein Signiergerät mit Air-Gap hat keine Kabel- oder Funkverbindung zu anderen Geräten. Transaktionen wandern per QR-Code oder Speicherkarte hin und her – so bleibt der private Schlüssel vollständig offline.Im Lernpfad: Etappe 6 · Schritt 1 – Hardware-Wallets im Vergleich →Im Glossar →×): Transaktionen laufen per microSD-Karte, NFC oder – bei der Q – per QR-Code.^[1]
• Schutz bei Erpressung (Wrench-AttackGlossarWrench-Attacke ($5-Wrench-Attack)Ein Angriff mit Gewalt oder Drohung statt Technik: Täter zwingen Bitcoin-Besitzer, ihre Wallet zu entsperren oder Bitcoin zu überweisen. Der beste Schutz ist Diskretion – wer nicht als Besitzer bekannt ist, wird seltener zum Ziel.Im Lernpfad: Etappe 6 · Schritt 2 – Betrug erkennen →Im Glossar →×): Eine Täuschungs-PIN öffnet eine Ablenkungs-Wallet, eine weitere PIN macht das Gerät unbrauchbar.^[1]
• Zusammenspiel: mit Software-Wallets wie SparrowAnbieter · Software-WalletSparrow WalletDesktop-Wallet für Bitcoin ohne Kaufpreis, mit voller Transparenz: Coin Control, PSBT, Multisig und Anbindung fast aller Hardware-Wallets.Software ohne Verwahrung – keine Finanzlizenz nötig · geprüft 09/2026Preis: ohne Kaufpreis (Spenden möglich); beim Senden Netzwerkgebühr (Stand 09/2026)Im Lernpfad: Etappe 5 · Schritt 2 – Erste Wallet einrichten →Unser Profil →Offizielle Website ↗×, NunchukAnbieter · Software-WalletNunchukMultisig-Wallet für Smartphone und Desktop – ohne Abo zum Selbermachen, Abos für begleitetes Multisig und Erbschaft.Software ohne Verwahrung – keine Finanzlizenz nötig · geprüft 09/2026Preis: Basis 0 $; Abos 120 bis 2.100 $ pro Jahr (Stand 09/2026)Im Lernpfad: Etappe 5 · Schritt 2 – Erste Wallet einrichten →Unser Profil →Offizielle Website ↗× oder Specter, auch für MultisigGlossarMultisig (Mehrfachsignatur)Eine Wallet, bei der mehrere Schlüssel gemeinsam über die Bitcoin verfügen – etwa 2 von 3. Geht ein Schlüssel verloren oder wird gestohlen, bleiben die Bitcoin sicher. Dafür sind Einrichtung und Backup deutlich anspruchsvoller.Im Lernpfad: Etappe 6 · Schritt 4 – Erbschaft & Notfallplan →Im Glossar →×.^[1]

Preise (Stand: September 2026)

Coinkite listet die Q für 319 $ und die Mk5 für 219 $ – Aktionspreise statt regulär 369 $ bzw. 269 $. USB-Kabel liegen nicht bei, bei der Q auch keine Batterien.^[4] Beim Direktkauf bei Coinkite in Kanada können in der EU Einfuhrabgaben anfallen. Coinkite nennt auch autorisierte Händler, unter anderem in Deutschland.^[5]

Offener Code, eingeschränkte Lizenz

Coinkite nennt die Firmware quelloffen und reproduzierbar: Fortgeschrittene können prüfen, was auf dem Gerät läuft.^[1] Die Lizenz (MIT mit „Commons Clause“) verbietet aber den Verkauf von Produkten oder Diensten, deren Wert im Wesentlichen auf diesem Code beruht – im engeren Sinn ist das kein Open Source, sondern offen einsehbarer Code.^[3]

Sicherheitswarnung Juli 2026

Coinkite warnte am 30.07.2026 (Update 01.08.2026): Ein Firmware-Fehler hatte die Zufälligkeit bei der Erzeugung neuer Seeds geschwächt – bei Mk4, Mk5 und Q auf rund 72 statt 128 Bit, bei den älteren Mk2/Mk3 noch stärker.^[7],[6] Angreifer rechneten die privaten Schlüssel offline nach und stahlen Guthaben; die Geräte selbst wurden nicht aus der Ferne übernommen.^[6]

Betroffen sind Seeds, die mit dieser Firmware erzeugt wurden:^[7],[6]

• Mk2/Mk3: Firmware 4.0.1 bis 4.1.9
• Mk4/Mk5: vor 5.6.0 (Edge-Firmware vor 6.6.0X)
• Q: vor 1.5.0Q (Edge-Firmware vor 6.6.0QX)

Ein Firmware-Update repariert einen bereits erzeugten Seed nicht. Coinkite rät Betroffenen: Firmware aktualisieren, einen neuen Seed erzeugen, Backup und Empfangsadresse prüfen, eine Testtransaktion senden, dann das Guthaben umziehen – ohne Hast, und das alte Backup erst nach dem Umzug aufgeben.^[7] Eine starke, einzigartige BIP-39-PassphraseGlossarPassphrase („25. Wort“)Ein frei gewähltes Zusatzwort zur Seed-Phrase. Aus denselben Wörtern entsteht damit eine völlig andere Wallet. Das schützt, falls jemand deine Wörter findet – vergisst du die Passphrase, ist der Zugriff aber für immer verloren.Im Lernpfad: Etappe 5 · Schritt 3 – Seed-Phrase sichern →Im Glossar →× senkt das akute Risiko, ersetzt den Umzug aber nicht. Als nicht gefährdet durch diesen Fehler gelten nur Seeds, bei deren Erzeugung mindestens 50 faire, unabhängige Würfelwürfe hinzugefügt wurden, deren Reihenfolge nie notiert oder offengelegt wurde.^[7],[6]

Für Mk2/Mk3 ist 4.2.0 die letzte Firmware; Coinkite empfiehlt, die langfristige Verwahrung auf eine aktuelle Mk4, Mk5 oder Q zu verlegen.^[6] Neue Geräte werden laut Shop mit korrigierter Firmware ausgeliefert; Coinkite rät trotzdem, nach Erhalt sofort zu aktualisieren.^[4] Einfacher zu bedienende Geräte für den Einstieg zeigt Hardware-Wallets im Vergleich.