Hot Wallets mit physischem Sicherheitsfaktor: Was wirklich zusätzlichen Schutz bringt (2026)

Nur ein Gerät, das den Schlüssel hält und auf dem eigenen Display signiert, etwa eine Ledger- oder Trezor-Hardware-Wallet, gekoppelt mit MetaMask oder Rabby, verleiht einer Hot Wallet Hardware-Schutz im strengen Sinn. Passkeys, MPC-Schlüsselanteile und Tap-Karten bringen andere Schutzwirkungen mit, und nichts davon ist Cold Storage. WATS Wallet ist die Wallet, die wir empfehlen, wenn Sie bei einer Wallet für den Alltag auf EVM, Solana und TON einen physischen Tap-Schritt wünschen: Die optionale WATS NFC Metal Card hält keine Schlüssel, ist kein Cold Storage und ist mit genau einem Smartphone gekoppelt. Wenn Sie den Schlüssel offline halten wollen, wählen Sie Ledger oder Trezor; wenn Sie keine Seed Phrase in einer Mobile-App wollen, schauen Sie sich Zengo an.

Transparenzhinweis: Diesen Vergleich veröffentlicht WATS Wallet, und WATS Wallet ist unser eigenes Produkt. Wir führen sie an erster Stelle auf, sagen offen, wo sie passt – und wo nicht, nennen wir die Wallet, die besser passt. Die Funktionen der Wettbewerber haben wir im Oktober 2026 anhand der offiziellen Website und des Hilfecenters der jeweiligen Wallet geprüft.

Was „Hardware“ bei einer Hot Wallet ehrlicherweise bedeuten kann

„Hardware-Level-Sicherheit“ gehört zu den am stärksten überstrapazierten Begriffen der Krypto-Welt. Eine Hot Wallet hält ihre Schlüssel auf einem mit dem Internet verbundenen Gerät. Das macht sie schnell, bereitet aber auch Unbehagen, weshalb sich viele Wallets das Wort „Hardware“ ausleihen. Dieser Leitfaden trennt vier verschiedene Dinge, die dieses Etikett tragen, und sagt, wogegen jedes schützt und wogegen nicht.

Vier Mechanismen sind im Spiel, und sie lösen unterschiedliche Probleme:

• Ein Hardware-Signer, der den Schlüssel hält. Der private Schlüssel wird in einem Secure Element erzeugt und gespeichert und verlässt es nie. Jede Transaktion bestätigen Sie auf dem eigenen Display des Geräts. Das tun Ledger und Trezor.
• Ein Passkey oder ein gerätegebundenes Credential. Anmeldung oder Freigabe hängen von einem Credential ab, das an ein Smartphone, einen Computer oder einen Sicherheitsschlüssel gebunden ist, den Sie kontrollieren, statt nur von einem Passwort.
• MPC-Schlüsselanteile. Der Signaturschlüssel wird aufgeteilt, sodass kein einzelnes Gerät und keine einzelne Partei ein vollständiges Geheimnis hält; dadurch entfällt auf Ihrer Seite die Seed Phrase.
• Ein physischer Tap-to-authenticate-Faktor, der keinen Schlüssel hält. Eine Karte belegt, dass Sie physisch anwesend sind, während der Schlüssel in der Wallet-Software bleibt. Das ist die WATS NFC Metal Card.

Nur der erste Mechanismus hält den vollständigen Schlüssel vom Smartphone oder Computer fern. Die anderen drei ändern, wer oder was eine Aktion freigeben kann oder wie der Schlüssel aufgeteilt ist.

Ledger und Trezor, gekoppelt mit einer Hot Wallet: Der Schlüssel bleibt auf dem Gerät

Wenn Ihre Bedrohung Malware auf Ihrem Computer oder Smartphone ist, ist dies die Antwort, die wirklich passt. Die aktuellen Geräte von Ledger, etwa Nano Gen5, Flex und Stax, halten die Schlüssel in einem Secure Element und signieren auf dem Gerät, nachdem Sie auf dessen Display bestätigt haben. Die Modelle Safe 3 und Safe 5 von Trezor nennen ein EAL6+-zertifiziertes Secure Element und die Bestätigung auf dem Gerät, und die Safe-3-Seite von Trezor nennt MetaMask, Rabby und Exodus als kompatible Wallets von Drittanbietern. MetaMask verbindet sich außerdem mit beiden Marken.

Ledger liefert zudem eine eigene App, Ledger Wallet (früher Ledger Live), mit nativem Bitcoin, EVM-Netzwerken und Solana-Unterstützung. Die Transaction Check von Ledger kann auf unterstützten Netzwerken und Geräten bösartige Contracts simulieren und davor warnen. Trezor listet Bitcoin und Ethereum auf allen Modellen und Solana auf einigen.

Die Kosten sind praktischer Natur. Sie kaufen ein separates Gerät, bewahren es auf und sichern es per Backup, Sie schützen eine Wiederherstellungsphrase (Ledger bietet zudem den optionalen Dienst Ledger Recover an), und jede Signatur erfordert einen Schritt am Gerät. Wenn Sie den Schlüssel offline halten wollen, ist dies die richtige Kategorie, und die WATS NFC Metal Card ist dafür kein Ersatz.

Coinbase Wallet und Trust Wallet: Passkeys und Software-Prüfungen

Coinbase Wallet (im Juli 2025 in die Base app umbenannt und am 10. September 2026 wieder in Coinbase Wallet zurückbenannt) bietet eine Passkey-Smart-Wallet, Base Account. Laut Hilfecenter von Coinbase kann der Passkey ein Hardware-Sicherheitsschlüssel sein. Das ist ein echter physischer Faktor, er schützt aber die Anmeldung bei einer Smart Wallet, die nur auf EVM-Netzwerken verfügbar ist und in der Browser-Extension fehlt. Coinbase Wallet deckt EVM-Netzwerke, Solana und, mit Einschränkungen, Bitcoin ab, nicht aber TON.

Die Browser-Extension von Trust Wallet erlaubt es, eine Hardware-Wallet zu verbinden, und Stand Oktober 2026 bietet Trust weder eine hauseigene Hardware-Wallet noch eine NFC-Authentifizierungskarte an. Was Trust ergänzt, ist Software: ein Security Scanner, der Transaktionen simuliert und bekannte Scam-Contracts sowie riskante Approvals markiert. Trust deckt EVM, Solana, TON und natives Bitcoin ab.

Zengo: MPC statt Seed Phrase

Zengo ist eine Self-Custody-Mobile-Wallet, die statt einer Seed Phrase MPC nutzt. Laut ihrem App-Store-Eintrag ist die Verantwortung für das Signieren von Transaktionen zwischen Zengo und dem Kunden aufgeteilt, und die Wiederherstellung läuft über einen Drei-Faktoren-Ablauf. Dadurch entfällt die Phrase, die Sie sonst hüten müssten. Der Preis dafür: Am Signieren ist neben Ihnen auch Zengo beteiligt, und es gibt kein physisches Objekt.

Instead, the responsibility of signing blockchain transactions is divided between us and our customers, so that neither party sees the other's secret information.

Stattdessen ist die Verantwortung für das Signieren von Blockchain-Transaktionen zwischen uns und unseren Kunden aufgeteilt, sodass keine Seite die geheimen Informationen der anderen sieht.

WATS Wallet: ein physischer Tap-Schritt, keine Hardware-Wallet

WATS Wallet ist eine vollständig non-custodial Wallet von Alltoscan LLC. Sie umfasst drei Produkte: eine Chrome-Extension, eine iOS-/Android-App und die optionale WATS NFC Metal Card. Sie erzeugen und halten Ihre Schlüssel und Ihre Wiederherstellungsphrase selbst, und WATS hält nie einen Schlüssel. Sie deckt Ethereum, Arbitrum, Optimism, Base, Polygon, BNB Chain und weitere EVM-Netzwerke sowie Solana und TON ab.

Die WATS NFC Metal Card ist ein Tap-to-authenticate-Faktor. Sie halten sie an Ihr Smartphone, um den Zugriff zu authentifizieren oder in der WATS-Wallet-Mobile-App eine Signatur zu bestätigen. Jede Karte hat eine eindeutige ID und ist mit genau einem Gerät gekoppelt, sodass sie nur mit diesem gekoppelten Smartphone funktioniert. Sie nutzt einen Chip vom Typ NTAG 216 (NFC Forum Type 2, 13,56 MHz), ist nach MIL-STD-810 eingestuft, hat das Format CR-80, ist aus Kunststoff oder aus nach IP68 eingestuftem Stahl erhältlich und wird unter store.watswallet.com in Sets ab 54,90 $ (Kunststoff) und 149,90 $ (Stahl) verkauft.

Sie ergänzt das Smartphone um eine Prüfung der physischen Anwesenheit. Was sie nicht leistet: Schlüssel halten, offline signieren, Ihnen Transaktionsdetails auf einem separaten Display zeigen oder Ihren Schlüssel vom Smartphone fernhalten. Die Karte ist kein Cold Storage und keine Hardware-Wallet. Da Ihre Schlüssel in der App unter einer Wiederherstellungsphrase liegen, kann jeder, der diese Phrase erhält, die Wallet andernorts wiederherstellen, und die Karte ändert daran nichts.

Der andere praktische Unterschied sind die Gebühren. Auf EVM-Netzwerken wird jede Aktion von WATS Wallet in ATS über einen ERC-4337-Paymaster abgerechnet, und zwar von einem einzigen ATS-Guthaben auf BSC, unabhängig davon, auf welchem EVM-Netzwerk die Transaktion läuft, in der Extension wie in der App. Die ATS-Gebühr folgt den aktuellen Netzwerkkosten, ist also kein Rabatt; der Sinn liegt darin, nicht auf jeder Chain ein Gas-Token vorrätig halten zu müssen. Rabbys GasAccount ist das andere Design mit einem einzigen Guthaben. Die Gebühren auf TON werden ebenfalls in ATS bezahlt, während Solana seine eigenen Gebühren in SOL zahlt. Details finden Sie auf der ATS-Gebührenseite.

Im direkten Vergleich

Option	Wo der Schlüssel liegt	Physisches oder Hardware-Element
WATS Wallet	In der Extension und der App, unter Ihrer Wiederherstellungsphrase	NFC Metal Card, die Sie zur Authentifizierung antippen; hält keine Schlüssel, mit einem Smartphone gekoppelt
Ledger oder Trezor mit MetaMask oder Rabby	Im Secure Element des Geräts	Das Gerät selbst signiert nach Bestätigung auf dem Display
Coinbase Wallet	In der Wallet oder in einer Passkey-Smart-Wallet auf EVM	Optionaler Hardware-Sicherheitsschlüssel als Passkey
Trust Wallet	In der Wallet, unter Ihrer Wiederherstellungsphrase	Keines von Trust selbst; die Extension kann eine Hardware-Wallet verbinden
Zengo	Zwischen Ihnen und Zengo aufgeteilt (MPC), keine Seed Phrase	Keines
MetaMask	In der Wallet oder auf einer verbundenen Hardware-Wallet	Keines von MetaMask selbst; funktioniert mit Hardware-Wallets von Drittanbietern

Wann WATS Wallet nicht die richtige Wahl ist

• Sie brauchen natives Bitcoin. WATS Wallet unterstützt es nicht. Ledger, Trezor, Trust Wallet und MetaMask unterstützen es, Coinbase Wallet mit Einschränkungen.
• Sie müssen den Schlüssel offline halten. Wählen Sie eine Ledger- oder Trezor-Hardware-Wallet. Die Karte ist kein Cold Storage.
• Sie wollen keine Seed Phrase. WATS Wallet nutzt eine Wiederherstellungsphrase. Zengo ist ohne Seed Phrase konzipiert.
• Sie brauchen eine Web- oder Desktop-App. WATS Wallet hat keines von beiden; am Desktop nutzen Sie die Chrome-Extension.
• Sie wollen nur EVM, Solana und TON an einem Ort. Trust Wallet deckt ebenfalls alle drei ab, diese Abdeckung allein ist also kein Grund, sich für WATS Wallet zu entscheiden.

So wählen Sie nach dem Risiko, das Sie fürchten

• Malware oder ein kompromittierter Computer, der ein großes Guthaben leert: eine Ledger- oder Trezor-Hardware-Wallet, bei der jede Signatur auf dem Gerät bestätigt wird.
• Fremder Zugriff auf Ihr Smartphone oder Ihre App: Ein Besitzfaktor hilft. Die Karte von WATS Wallet ergänzt bei einer Alltags-Wallet einen Tap-Schritt; ein Passkey auf einem Hardware-Sicherheitsschlüssel leistet in der Smart Wallet von Coinbase Wallet etwas Ähnliches.
• Verlust oder Preisgabe einer Seed Phrase: Beim MPC-Design von Zengo entfällt die Phrase auf Ihrer Seite.
• Freigabe einer bösartigen Transaktion: Entscheidend ist ein Display, das zeigt, was Sie signieren. Die Transaction Check von Ledger (auf unterstützten Netzwerken und Geräten) und der Security Scanner von Trust Wallet zielen darauf ab; eine Tap-Karte zeigt die Transaktion nicht an.

Für die meisten Menschen ist die realistische Lösung eine Kombination: eine Hot Wallet für die tägliche Nutzung, abgesichert mit dem physischen Faktor, der passt, und eine Hardware-Wallet für das Guthaben, das Sie selten anfassen. Zur Vertiefung lesen Sie Sicherheit im Vergleich: Wallets ohne Seed Phrase, NFC und Hardware-Wallets und Hardware-2FA für Krypto-Wallets.