Mein Name ist Michael, und ich handele seit 2017 mit Kryptowährungen. Ich habe schon Bärenmärkte, Hacks und Exchange-Pleiten erlebt. Aber das Beängstigendste war nicht der Marktcrash von 2022 – sondern ein Mitarbeiter, dem ich vertraute. Ich betreibe einen kleinen OTC-Handelsschalter in Frankfurt. Kunden kommen zu mir, um größere Summen Bitcoin oder Ethereum zu kaufen oder zu verkaufen, oft ohne die üblichen KYC-Prozesse öffentlicher Börsen durchlaufen zu müssen. Meine Reputation basiert auf Diskretion. Eines Tages brauchte ich dringend meine Cold-Wallet-Seed-Phrase, um eine Transaktion im Wert von 200.000 Euro zu signieren. Normalerweise lag die Phrase sicher in einem Bankschließfach. Aber mein Partner im Geschäft, Marc, hatte Zugriff auf das Schließfach – und ich begann zu misstrauen, dass er hinter meinem Rücken Geschäfte auf eigene Rechnung machte. Ich konnte die Seed-Phrase nicht per E-Mail oder WhatsApp verschicken, denn Marc hatte Zugriff auf unsere Firmenkommunikation. Ich brauchte einen Weg, die Seed-Phrase von meinem Bankschließfach zu mir zu bekommen, ohne dass sie auf dem Weg abgefangen wurde.

Ein befreundeter IT-Sicherheitsberater flüsterte mir auf einer Konferenz zu: "Benutze message.fyi. Keine Konten, keine Protokolle, einmaliges Lesen." Ich hatte noch nie davon gehört. Also recherchierte ich. message.fyi ist ein webbasierter Dienst, der Ende-zu-Ende-verschlüsselte Nachrichten mit Einmal-Links erstellt. Man tippt seine Nachricht ein, setzt ein Ablaufdatum und optional ein Passwort. Die Seite generiert eine URL wie https://message.fyi/view/aB3cD9eF. Der Clou: Der eigentliche Entschlüsselungsschlüssel steckt im Fragment (#)-Teil der URL, der niemals an den Server gesendet wird. Selbst die Betreiber von message.fyi können den Inhalt nicht lesen. Und sobald der Link das erste Mal geöffnet wird, wird die Nachricht für immer gelöscht.

Ich machte einen Test mit einer harmlosen Notiz: "Testnachricht – bitte löschen". Ich öffnete den Link in einem anderen Browser – die Nachricht erschien. Ich aktualisierte die Seite – 404 Nicht gefunden. Perfekt. Also beschloss ich, die echte Seed-Phrase zu übertragen. Aber ich musste extrem vorsichtig sein. Ich bat meinen Rechtsanwalt (der Marc nicht mochte), die Seed-Phrase aus dem Bankschließfach zu holen und sie mir am Telefon zu diktieren – allerdings nicht direkt. Stattdessen sagte ich ihm: "Gehen Sie zu message.fyi, geben Sie dort den Text ein, setzen Sie ein Passwort, das ich Ihnen nenne, und schicken Sie mir den Link per SMS." Er tat es. Er tippte die 24 Wörter der Seed-Phrase ein, setzte das Passwort "Frankfurt2025", wählte "1-malige Ansicht" und Ablauf nach 30 Minuten. Er schickte mir den Link per SMS. Ich öffnete den Link auf meinem privaten Laptop (der mit einem Live-Linux-System gebootet war, um Keylogger auszuschließen), gab das Passwort ein – und die Seed-Phrase erschien für zehn Sekunden. Ich schrieb sie auf ein Blatt Papier, überprüfte sie zweimal, schloss den Browser. Dann zerriss ich das Papier und verbrannte die Schnipsel in der Spüle. Die Nachricht auf message.fyi war bereits gelöscht. Der SMS-Link war seit der Öffnung nutzlos. Selbst wenn Marc die SMS abgefangen hätte (unwahrscheinlich, aber möglich), hätte er den Link ohne Passwort nicht öffnen können. Und selbst wenn er das Passwort erraten hätte – er hätte nur eine tote Seite gesehen, weil die Nachricht nach dem ersten Öffnen verschwunden war.

Die Transaktion wurde erfolgreich abgeschlossen. Aber die wahre Bewährungsprobe kam zwei Wochen später. Marc, der inzwischen wusste, dass ich ihn nicht mehr einweihte, versuchte herauszufinden, wie ich die Seed-Phrase erhalten hatte. Er beauftragte einen befreundeten IT-Admin, unsere Firmen-Logfiles zu durchsuchen. Was fanden sie? Ein paar DNS-Anfragen an message.fyi von meinem Anwalt und von mir. Mehr nicht. Kein Inhalt, kein Verlauf, keine gespeicherten Nachrichten. Der Admin sagte zu Marc: "Wir sehen, dass eine Verbindung zu dieser Domain bestand, aber der konkrete Link ist nur im Fragment, und das wird nie protokolliert. Außerdem haben wir kein Passwort. Tut mir leid, Chef, da gibt es nichts zu holen." Marc konfrontierte mich trotzdem. "Was hast du mit diesen message.fyi-Links gemacht?" Ich lächelte und sagte: "Nur harmlose Testnachrichten. Du kannst sie gerne selbst überprüfen – aber die Seite sagt, dass nichts mehr da ist." Er war machtlos.

Später fand ich heraus, dass Marc versucht hatte, über eine Phishing-Seite Zugang zu meiner Wallet zu bekommen. Er hatte eine E-Mail gefälscht, die angeblich von einem Wallet-Provider kam, mit einem Link zu einer gefälschten Login-Seite. Aber weil ich meine Seed-Phrase nie über normale Kanäle verschickte, fiel er durch. Hätte ich die Seed-Phrase per WhatsApp geschickt (selbst mit Ende-zu-Ende-Verschlüsselung), hätte Marc möglicherweise Zugriff auf das Backup meiner WhatsApp-Nachrichten gehabt – denn unsere Unternehmens-iPhones sicherten täglich in eine gemeinsame iCloud. Ein Albtraum. Aber message.fyi hinterließ keine Backups, keine Cloud-Kopien, nichts.

Seit diesem Vorfall verwende ich message.fyi für alle sensiblen kryptobezogenen Mitteilungen: zum Versenden von privaten Schlüsseln, Wiederherstellungsphrasen, API-Secrets für Trading-Bots oder sogar für die Koordination von Multisig-Transaktionen mit Mitgründern, die in verschiedenen Ländern sitzen. Einmal musste ich einem Kunden in der Schweiz eine Paper-Wallet als Bild schicken. Statt das Bild per E-Mail zu senden, lud ich es auf einen temporären Bildhost hoch, erstellte einen message.fyi-Link mit dem Pfad und dem Passwort, und der Kunde hatte genau eine Minute Zeit, es herunterzuladen. Der Kunde war begeistert von der Sicherheit.

Ist das System perfekt? Nein. Wenn der Rechner des Empfängers mit Malware infiziert ist, die Screenshots macht oder Tastatureingaben aufzeichnet, kann die Nachricht trotzdem abfließen. Deshalb benutze ich ausschließlich abgeschottete Geräte (z.B. ein altes Notebook ohne Festplatte, gebootet von einer Live-CD). Auch das Teilen der Links ist eine Schwachstelle – SMS und E-Mails können mitgelesen werden. Deshalb teile ich die Links immer über einen verschlüsselten Kanal (z.B. Signal) und das Passwort über einen völlig anderen Kanal (Telefonanruf oder persönliche Übergabe). Für die höchste Sicherheitsstufe kombiniere ich message.fyi mit einem Airgap: Der Link wird auf einem Papier übergeben, der Empfänger tippt ihn manuell ab – kein Netzwerkgerät außer dem finalen Lese-Computer.

Mein OTC-Geschäft floriert, weil Kunden wissen, dass ich ihre Daten nicht gefährde. Marc ist inzwischen aus der Firma ausgeschieden (wir haben uns getrennt). Ich habe aus dieser Geschichte gelernt: Vertrauen ist gut, aber kryptographische Selbstzerstörung ist besser. message.fyi ist nicht nur für Geheimagenten oder Aktivisten – es ist für jeden, der mit Bitcoin, Ethereum oder anderen Coins handelt und nicht möchte, dass seine Wiederherstellungsphrase in die Hände von Betrügern fällt. Die 200.000 Euro, die ich mit dieser Methode gerettet habe, sind ein echter Beweis. Seitdem empfehle ich message.fyi in jedem meiner Sicherheits-Workshops für Krypto-Investoren.

Also, falls du jemals einen privaten Schlüssel oder eine Seed-Phrase teilen musst, aber keine Lust auf Zettelwirtschaft oder riskante E-Mails hast: Probier message.fyi aus. Es ist kostenlos, unkompliziert und hinterlässt keine Spuren. Deine Coins werden es dir danken.

- Michael T. (Name geändert auf Wunsch des Autors, Frankfurt am Main)