So verbinden Sie Ihre Wallet mit einer dApp (und bleiben sicher)

Um Ihre Wallet mit einer dApp zu verbinden, erreichen Sie die offizielle Seite der dApp selbst, klicken Sie auf deren Verbinden-Button und wählen Sie eine Methode: eine Browser-Erweiterung auf dem Desktop oder eine WalletConnect-QR-Sitzung, die Sie mit einer Mobile-Wallet scannen. Die Verbindung selbst ist sicher — sie teilt nur Ihre öffentliche Adresse und erlaubt der Seite, Ihre Guthaben zu lesen, und sie kann niemals von sich aus einen Token bewegen. Das Risiko beginnt in dem Moment, in dem Sie signieren: Genehmigen Sie deshalb zuerst die schreibgeschützte Verbindung, lesen Sie jede Signatur vor dem Bestätigen, begrenzen Sie Token-Genehmigungen auf exakte Beträge statt unbegrenzt, und widerrufen Sie alte Erlaubnisse danach. Mit WATS funktioniert derselbe Ablauf auf beiden Wegen — die WATS Chrome Extension übernimmt die Ein-Klick-Verbindung und das In-Browser-Signieren auf dem Desktop, und die WATS Mobile App verbindet sich auf dem Smartphone über WalletConnect — und weil WATS über Ethereum, Arbitrum, Optimism, Base, Polygon, BNB Chain, Solana und TON hinweg vollständig Non-Custodial ist, bleiben die Schlüssel und die endgültige Entscheidung zu bestätigen immer bei Ihnen.

Die sichere Reihenfolge ist immer dieselbe: Erreichen Sie die offizielle Seite selbst statt über eine Anzeige oder einen Link, den Ihnen jemand geschickt hat, klicken Sie auf den Verbinden-Button der dApp selbst, wählen Sie Ihre Verbindungsmethode, genehmigen Sie nur die schreibgeschützte Verbindung und lesen Sie dann jede Signatur und Token-Genehmigung sorgfältig, bevor Sie bestätigen. Eine einfache Verbindung ist harmlos und gibt der Seite keine Macht über Ihre Mittel. Das ganze Spiel besteht darin, den Unterschied zwischen Verbinden, Signieren und Genehmigen zu kennen und niemals eine Genehmigung zu erteilen, die Sie nicht verstehen.

Dieser Leitfaden erklärt, was das Verbinden tatsächlich bewirkt, die zwei wichtigsten Wege zu verbinden, was eine Token-Genehmigung ist und warum unbegrenzte gefährlich sind, wie Wallet-Drainer und gefälschte dApp-Seiten Menschen austricksen, eine nummerierte Checkliste für sicheres Verbinden und wie Sie Genehmigungen widerrufen, die Sie nicht mehr wollen.

Was das Verbinden mit einer dApp tatsächlich bewirkt

Eine dApp, oder dezentrale Anwendung, ist eine Website, die mit einer Blockchain spricht. Börsen, Kreditmärkte, NFT-Marktplätze und Spiele sind alle dApps. Um eine zu nutzen, verbinden Sie Ihre Wallet, die die Brücke zwischen der Seite und der Chain ist. Falls Ihnen die Idee dezentraler Apps neu ist, gibt die WATS-Übersicht zu was Web3 ist die Bühne vor, und der WATS-Grundlagenartikel zu was eine Krypto-Wallet ist erklärt das Werkzeug, das die Verbindung herstellt.

Das mit Abstand Wichtigste, das man verstehen sollte, ist, dass das Verbinden in drei sehr unterschiedlichen Schichten geschieht, und sie tragen sehr unterschiedliches Risiko.

1. Die schreibgeschützte Verbindung

Wenn Sie sich zuerst verbinden, erfährt die dApp einfach Ihre öffentliche Wallet-Adresse und liest Ihre Guthaben von der Chain. Das ist alles. Sie kann keinen einzigen Token bewegen, und sie kann nichts in Ihrem Namen signieren. Eine schreibgeschützte Verbindung ist ungefähr so sensibel wie jemandem Ihre Kontonummer zu nennen: Man kann Sie nachschlagen, aber man kann nichts abheben.

2. Eine Nachricht signieren

Viele dApps bitten Sie, eine Nachricht zu signieren, um zu beweisen, dass Sie die Adresse kontrollieren, oft „mit Ihrer Wallet anmelden“ genannt. Eine einfache Nachrichtensignatur kostet üblicherweise kein Gas und bewegt keine Mittel. Aber nicht alle Signaturen sind harmlos. Manche bösartigen Seiten bitten Sie, eine Off-Chain-Nachricht zu signieren, die in Wirklichkeit eine Erlaubnis ist, die Ihre Token weggibt. Die Gefahr ist, dass es wie ein harmloser Login aussieht, obwohl es in Wirklichkeit eine Autorisierung ist — deshalb müssen Sie lesen, was eine Signatur besagt. In WATS erscheint diese Anfrage im Erweiterungsfenster oder in der App, bevor irgendetwas gesendet wird, und nichts geschieht, bis Sie sie bestätigen.

3. Eine Transaktion oder Token-Erlaubnis genehmigen

Hier steht echtes Geld auf dem Spiel. Eine Transaktionssignatur führt tatsächlich etwas on-chain aus: einen Swap, einen Transfer, ein Mint oder eine Token-Genehmigung. Eine Token-Genehmigung ist diejenige, die man am genauesten beobachten muss, und sie verdient einen eigenen Abschnitt.

Was eine Token-Genehmigung ist und warum unbegrenzte riskant sind

Auf EVM-Chains wie Ethereum, Arbitrum, Optimism, Base, Polygon und BNB Chain kann eine dApp Ihre Token nicht ausgeben, es sei denn, Sie erteilen ihr zuerst eine Erlaubnis. Wenn Sie einen Token genehmigen, sagen Sie der Chain: Dieser bestimmte Vertrag darf bis zu so viel von diesem Token aus meiner Wallet bewegen. Diese Erlaubnis ist es, die zum Beispiel einer dezentralen Börse erlaubt, Ihr USDC in einen Swap zu ziehen.

Die Falle ist der Betrag. Viele dApps verlangen standardmäßig eine unbegrenzte Genehmigung, sodass Sie nur ein einziges Mal genehmigen müssen. Dieser Komfort ist auch das Risiko: Wird dieser Vertrag später ausgenutzt, oder war er von Anfang an bösartig, kann er das gesamte Guthaben dieses Tokens abziehen, wann immer er will, ohne Sie erneut zu fragen. Eine unbegrenzte Genehmigung ist eine dauerhafte Erlaubnis, die die einzelne Transaktion überdauert, von der Sie dachten, Sie würden sie durchführen.

• Genehmigungen bleiben bestehen. Sie laufen nicht ab, wenn Sie Ihre Wallet trennen oder den Tab schließen. Sie bleiben on-chain aktiv, bis Sie sie widerrufen.
• Unbegrenzt heißt unbegrenzt. Ein abgezogener oder kompromittierter Vertrag mit unbegrenzter Erlaubnis kann alles von diesem Token nehmen, sogar Token, die Sie später erwerben.
• Bevorzugen Sie exakte Beträge. Wo Ihre Wallet es zulässt, genehmigen Sie nur den Betrag, den Sie gerade ausgeben wollen. Sie werden etwas häufiger genehmigen, aber eine durchgesickerte Genehmigung kann immer nur diesen kleinen Betrag berühren.

Genehmigungen sind ein EVM-Konzept. Auf Solana und TON unterscheidet sich das Erlaubnismodell, aber dasselbe Bauchgefühl gilt überall: Lesen Sie, was Sie autorisieren, und erteilen Sie keine pauschale Macht, die Sie nicht brauchen. WATS deckt beide Welten ab — Ethereum, Arbitrum, Optimism, Base, Polygon und BNB Chain auf der EVM-Seite, dazu Solana und TON — sodass eine einzige Wallet dieselbe Gewohnheit über alle hinweg trägt. Diese Gewohnheit ist Kern der Best Practices für die Sicherheit von Krypto-Wallets.

Die zwei wichtigsten Wege zu verbinden

Es gibt zwei Wege, die die meisten Menschen nutzen, und der richtige hängt davon ab, ob Sie an einem Computer oder einem Smartphone sind. WATS unterstützt beide.

Browser-Erweiterung

Auf einem Desktop ist der sauberste Weg eine Wallet, die in Ihrem Browser lebt. Die WATS Chrome Extension funktioniert auf Chromium-Browsern (Chrome 120+, Edge und Brave), übernimmt die Ein-Klick-dApp-Verbindung und signiert Transaktionen im Browser. Sie ist kostenlos und vollständig Non-Custodial, das heißt, Sie halten Ihre eigenen Schlüssel und WATS hält niemals einen Schlüssel für Sie. Wenn eine dApp eine Verbindungsaufforderung zeigt, öffnet sich die Erweiterung, Sie wählen das Konto und Sie genehmigen die schreibgeschützte Verbindung. Jede spätere Signatur erscheint im selben Erweiterungsfenster, sodass Sie sie vor dem Bestätigen lesen können.

WalletConnect oder QR-Code

Auf dem Smartphone, oder wenn Sie eine Desktop-dApp mit einer Smartphone-Wallet nutzen wollen, ist WalletConnect der Standard. Die dApp zeigt einen QR-Code, Sie scannen ihn mit Ihrer Mobile-Wallet, und eine verschlüsselte Sitzung verbindet die beiden. Die WATS Mobile App (iOS und Android) verbindet sich auf diese Weise mit dApps. Wenn Sie lieber gar nichts installieren möchten, ist die WATS Hot Wallet eine separate, browserbasierte WATS-Wallet, die Sie einfach unter web.watswallet.com öffnen — dasselbe Non-Custodial-Modell, ohne Erweiterung und ohne App. Der entscheidende Sicherheitspunkt ist, nur einen QR-Code zu scannen, den Sie selbst auf der echten Seite hervorgerufen haben, und die Sitzung zu trennen, wenn Sie fertig sind, statt sie unbegrenzt offen zu lassen.

Methode	Am besten für	Wie sie verbindet	Worauf zu achten ist
Browser-Erweiterung	Desktop-Nutzung	In den Browser injiziert	Gefälschte Erweiterungen; nur aus offiziellen Quellen installieren
WalletConnect / QR	Mobile, oder Desktop-dApp mit einem Smartphone	Verschlüsselte QR-Sitzung	Nur einen QR scannen, den Sie auf der echten Seite hervorgerufen haben

Wenn Sie zusätzlich zur Software-Bestätigung einen physischen Bestätigungsschritt wollen, fügt die WATS NFC Metal Card eine Authentifizierung per Auflegen hinzu. Die Karte speichert Ihre privaten Schlüssel nicht — sie authentifiziert sich gegenüber den Schlüsseln, die in den WATS-Apps liegen, über eine eindeutige Karten-ID, die mit genau einem Gerät gekoppelt ist. Sie ist eher ein physischer Sicherheitsschlüssel als ein Cold-Storage-Tresor: ein bewusstes physisches Auflegen auf dem einen Gerät, mit dem die Karte gekoppelt ist, zusätzlich zu dem, was Sie auf dem Bildschirm lesen.

Wallet-Drainer und gefälschte dApp-Seiten

Wallets, die geleert werden, sind selten kryptografisch gebrochen. Weit häufiger wurde ihr Besitzer dazu verleitet, sich mit einer gefälschten Seite zu verbinden und eine einzige schlechte Genehmigung zu signieren. Es lohnt sich, offen darüber zu sprechen, wie das funktioniert.

• Gefälschte Frontends. Betrüger klonen eine beliebte dApp Pixel für Pixel und kaufen Suchanzeigen, damit die gefälschte über der echten rangiert. Die Seite sieht perfekt aus, aber der Verbinden-Button ist mit einem Drainer-Vertrag verdrahtet.
• Drainer-Signaturen. Einmal verbunden, bittet Sie die gefälschte Seite, etwas zu signieren, das wie eine routinemäßige Aktion aussieht. In Wirklichkeit ist die Signatur eine Token-Erlaubnis oder eine Transfer-Genehmigung, die Ihre Assets mit einem einzigen Klick an den Angreifer übergibt.
• Dringlichkeit und Köder. Drainer leben von Druck: ein gefälschter Airdrop, der bald schließt, ein „Hol dir deine Belohnung“-Banner, eine Support-DM mit einem Link. Die Dringlichkeit existiert, um Sie davon abzuhalten, die Signatur zu lesen.

Die Verteidigung ist keine technische Zauberei. Sie besteht darin, langsamer vorzugehen, Seiten selbst zu erreichen und jede Aufforderung zu lesen, die Ihre Wallet Ihnen zeigt. Eine Non-Custodial-Wallet kann eine von Ihnen genehmigte Transaktion nicht rückgängig signieren — WATS eingeschlossen — der Schutz muss also geschehen, bevor Sie auf Bestätigen klicken.

So verbinden Sie sich sicher mit einer dApp: Schritt für Schritt

Befolgen Sie diese Schritte der Reihe nach, selbst bei einer dApp, die Sie täglich nutzen. Die Disziplin ist der Punkt.

1. Erreichen Sie die dApp über eine Quelle, der Sie vertrauen. Tippen Sie die URL selbst ein, nutzen Sie ein gespeichertes Lesezeichen oder folgen Sie einem Link aus den verifizierten Kanälen des Projekts. Klicken Sie niemals auf Anzeigen, ungeprüfte Suchergebnisse oder Links aus DMs. Bestätigen Sie die Domain Zeichen für Zeichen, bevor Sie sich verbinden.
2. Klicken Sie auf den Verbinden-Button der dApp und wählen Sie Ihre Methode. Nutzen Sie den Verbinden-Button auf der Seite selbst und wählen Sie dann Ihren Weg: die WATS Chrome Extension auf dem Desktop oder WalletConnect, indem Sie einen QR-Code mit der WATS Mobile App auf Ihrem Smartphone scannen. Stellen Sie sicher, dass die Verbindungsanfrage tatsächlich aus dem von Ihnen geöffneten Tab kam.
3. Genehmigen Sie zuerst nur die schreibgeschützte Verbindung. Die erste Aufforderung sollte nur Ihre Adresse teilen. Sie sollte nicht darum bitten, Token auszugeben. Wenn eine erstmalige Verbindung sofort eine Token-Genehmigung oder eine ungewöhnliche Signatur verlangt, hören Sie auf und schließen Sie den Tab.
4. Lesen Sie jede Signatur, bevor Sie bestätigen. Ihre Wallet zeigt Ihnen, was Sie signieren. Prüfen Sie, ob es eine einfache Nachricht oder eine Transaktion ist, welchen Vertrag sie berührt und welche Erlaubnis sie erteilt. Wenn die Anfrage eine Erlaubnis oder Genehmigung ist, die Sie nicht initiiert haben, signieren Sie sie nicht.
5. Begrenzen Sie Token-Genehmigungen auf das, was Sie brauchen. Wenn eine dApp eine Erlaubnis braucht, setzen Sie einen exakten Betrag statt unbegrenzt, wo Ihre Wallet es zulässt. Etwas häufiger zu genehmigen ist ein kleiner Preis dafür, zu begrenzen, wie viel ein einzelner Vertrag jemals berühren kann.
6. Trennen und widerrufen Sie, wenn Sie fertig sind. Trennen Sie die Sitzung oder Erweiterung, wenn Sie fertig sind, und überprüfen und widerrufen Sie regelmäßig Genehmigungen, die Sie nicht mehr nutzen. Das Trennen beendet die Sitzung, aber es entfernt keine Genehmigungen, das Widerrufen ist also ein separater, wichtiger Schritt.

So widerrufen Sie Token-Genehmigungen

Das Widerrufen ist der Aufräumschritt, den fast jeder vergisst. Weil Genehmigungen on-chain leben, bis Sie sie entfernen, ist eine alte Erlaubnis für einen Vertrag, den Sie vor Jahren einmal genutzt haben, heute noch ein lebendiges Risiko. Sie zu beseitigen ist unkompliziert.

• Finden Sie Ihre Genehmigungen. Nutzen Sie ein seriöses Genehmigungsprüf-Tool oder die Token-Genehmigungsansicht eines Block-Explorers. Verbinden Sie sich schreibgeschützt und sehen Sie sich die Liste der Verträge an, die derzeit die Erlaubnis haben, jeden Ihrer Token auszugeben.
• Erkennen Sie die gefährlichen. Achten Sie am genauesten auf unbegrenzte Erlaubnisse und auf jeden Vertrag, den Sie nicht erkennen oder nicht mehr nutzen. Das sind die offenstehenden Türen, die Sie schließen wollen.
• Senden Sie eine Widerrufs-Transaktion. Das Widerrufen setzt die Erlaubnis auf null zurück. Es ist eine On-Chain-Transaktion, kostet also einen kleinen Betrag an Gas, und es entfernt die Fähigkeit dieses Vertrags, Ihre Token zu bewegen, sofern Sie ihn nicht bewusst erneut genehmigen.
• Machen Sie es zur Routine. Überprüfen Sie Ihre Genehmigungen ab und zu, und besonders nach der Nutzung einer neuen oder unbekannten dApp. Ein paar Minuten Aufräumen schließen den häufigsten Weg, den ein künftiger Exploit nutzen würde.

Ein ehrlicher Hinweis: Das Widerrufen kostet Gas, weil es eine echte Transaktion ist, und wenn Ihre Genehmigungen über mehrere Chains verteilt sind, brauchen Sie normalerweise von jeder Chain ein wenig des nativen Gas-Tokens, nur um aufzuräumen. WATS nutzt ERC-4337 Account Abstraction auf EVM-Chains, wobei LayerZero OFT ATS omnichain macht, sodass Netzwerkgebühren in ATS bezahlt werden können, statt pro Chain einen eigenen nativen Token vorzuhalten. Das ist eine Änderung daran, welcher Token zahlt, kein Rabatt — die zugrunde liegenden Netzwerkkosten sind dieselben — aber es beseitigt die Ausrede „Ich habe kein Gas auf dieser Chain“, die veraltete Genehmigungen jahrelang am Leben lässt.

Fazit

Ihre Wallet mit einer dApp zu verbinden, ist das alltägliche Tor zu Web3, und die Verbindung selbst ist sicher, weil sie nur Ihre öffentliche Adresse teilt. Das Risiko liegt vollständig in dem, was Sie danach signieren, besonders Token-Genehmigungen, die on-chain bestehen bleiben und ausgenutzt werden können, wenn Sie einem Vertrag, der bösartig wird, unbegrenzte Macht erteilen. Schützen Sie sich, indem Sie dApps über vertrauenswürdige Quellen erreichen, zuerst nur die schreibgeschützte Verbindung genehmigen, jede Signatur lesen, Genehmigungen auf exakte Beträge begrenzen und Erlaubnisse widerrufen, die Sie nicht mehr brauchen. In der Praxis heißt das: die WATS Chrome Extension für die Ein-Klick-Verbindung und das In-Browser-Signieren auf dem Desktop installieren, die WATS Mobile App für WalletConnect-Sitzungen auf Ihrem Smartphone nutzen und die browserbasierte WATS Hot Wallet öffnen, wenn Sie gar nichts installieren wollen — alle vollständig Non-Custodial, sodass die Schlüssel und die endgültige Entscheidung zu signieren nie aus Ihren Händen gehen.