[{"data":1,"prerenderedAt":19},["ShallowReactive",2],{"blog-content-de-what-is-walletconnect":3},{"slug":4,"title":5,"excerpt":6,"description":7,"bodyHtml":8,"faqItems":9},"what-is-walletconnect","Was ist WalletConnect? Wie QR-Code-Wallet-Sessions funktionieren (und wie du sie widerrufst)","WalletConnect ist das Protokoll hinter dem QR-Code, den du scannst, um eine Wallet mit einer dApp zu verbinden. Hier erfährst du, was dieser Scan tatsächlich erzeugt, was eine Session kann und was nicht, und wie du Sessions sicher prüfst und beendest.","Eine verständliche Erklärung, wie WalletConnect-Sessions funktionieren: was der QR-Code kodiert, welche Berechtigungen eine dApp anfragt und wie du aktive Verbindungen prüfst und widerrufst.","\u003Cblockquote>WalletConnect ist ein Messaging-Protokoll, das verschlüsselte Nachrichten zwischen einer dApp und einer Wallet transportiert, sodass die dApp Signaturen anfragen kann, ohne jemals deinen Private Key zu berühren. Das Scannen des QR-Codes erzeugt ein Pairing; gibst du anschließend den Session-Vorschlag der dApp frei, entsteht eine Session, die die Chains und Methoden auflistet, die sie anfragen darf – die Erlaubnis zu fragen, nicht die Erlaubnis zu handeln; jede Bewegung von Assets braucht weiterhin deine Signatur. Das Trennen beendet die Session lokal, widerruft aber keine Onchain-Token-Approvals. Bei WATS werden Sessions in der WATS Mobile App freigegeben.\u003C\u002Fblockquote>\u003Ch2>Was WalletConnect wirklich ist – und was nicht\u003C\u002Fh2>\u003Cp>WalletConnect ist ein Messaging-Protokoll. Seine einzige Aufgabe besteht darin, Nachrichten zwischen einer dApp und einer Wallet zu transportieren, damit beide miteinander sprechen können, ohne dass die dApp jemals deinen Private Key berührt. Wenn eine Website einen QR-Code anzeigt und \u003Cem>Wallet verbinden\u003C\u002Fem> sagt, ist dieser Code in der Regel eine WalletConnect-Pairing-Einladung.\u003C\u002Fp>\u003Cp>Es ist keine Wallet, kein Verwahrer und keine Blockchain: Es hält keine Gelder und signiert nichts. Es ist auch keine Browser-Erweiterung, die einen Provider direkt in die Seite injiziert. Am bekanntesten ist es für den geräteübergreifenden Fall – Stand 2026 noch immer der häufigste Weg, auf dem eine Handy-Wallet mit einer Desktop-dApp spricht – aber es ist genauso der Standardweg auf ein und demselben Gerät, wenn eine dApp im Mobile-Browser per Deep Link in eine Wallet-App auf demselben Telefon springt.\u003C\u002Fp>\u003Ch2>Was passiert, wenn du diesen QR-Code scannst\u003C\u002Fh2>\u003Cp>Der QR-Code kodiert eine Pairing-URI: einen Topic-Identifier, einen Relay-Protokoll-Identifier und einen symmetrischen Schlüssel. Dieser Schlüssel wird wortwörtlich mitübertragen und nicht von der Wallet abgeleitet – deshalb ist eine geleakte oder abfotografierte Pairing-URI sensibel. Beide Seiten tauschen anschließend verschlüsselte Nachrichten auf dem Pairing-Topic aus.\u003C\u002Fp>\u003Cp>Das Pairing ist nur der Handshake. Die Session, die jede Signaturanfrage transportiert, läuft auf einem \u003Cem>separaten\u003C\u002Fem> Topic, unter einem eigenen Schlüssel, den dApp und Wallet direkt über einen X25519-Austausch mit HKDF-Expansion aushandeln. Der Pairing-Schlüssel schützt Nachrichten auf Pairing-Ebene, niemals deine Transaktionsanfragen.\u003C\u002Fp>\u003Cp>Das Relay wird am häufigsten missverstanden: Es leitet ausschließlich Ciphertext und Metadaten weiter und kann Payloads weder lesen noch verändern noch in deinem Namen signieren. Fällt es aus, funktioniert deine Session nicht mehr, aber deine Gelder bleiben unberührt – deine Keys haben dein Gerät nie verlassen. Danach schickt die dApp einen Session-Vorschlag, den deine Wallet als Freigabebildschirm darstellt; alles Weitere hängt davon ab, was du freigibst. Den Ablauf Klick für Klick findest du in unserem Leitfaden dazu, \u003Ca href=\"\u002Fblog\u002Fhow-to-connect-wallet-to-dapp\">wie du eine Wallet mit einer dApp verbindest\u003C\u002Fa>.\u003C\u002Fp>\u003Ch2>Sessions, Namespaces und Berechtigungen: Was eine dApp anfragen darf\u003C\u002Fh2>\u003Cp>Ein Session-Vorschlag ist strukturiert, nicht frei formuliert. Er listet \u003Cem>Namespaces\u003C\u002Fem> auf: die Chains, Methoden und Events, die die dApp haben möchte – Ethereum Mainnet, ein L2 oder Solana; Transaktionssignaturen und Typed-Data-Signaturen; Chain-changed- und Accounts-changed-Events.\u003C\u002Fp>\u003Cp>Achte auf die Richtung: Die dApp fragt Chains, Methoden und Events an, während die Accounts selbst in deiner Wallet ausgewählt und mit der Freigabe zurückgegeben werden. Auch die Aufteilung in v2 ist wichtig. \u003Cem>Required\u003C\u002Fem>-Namespaces sind alles oder nichts – entweder vollständig erfüllt oder der Vorschlag wird komplett abgelehnt – doch Stand 2026 ist das der Legacy-Weg, deprecated und nicht mehr empfohlen zugunsten der \u003Cem>optional\u003C\u002Fem>-Namespaces, die eine Wallet auch teilweise freigeben kann. Eine gute Wallet zeigt dir beides, damit du weißt, worüber sich verhandeln lässt.\u003C\u002Fp>\u003Cp>Die Freigabe einer Session bewirkt zweierlei: Sie teilt deine öffentlichen Adressen für die freigegebenen Chains, und sie erlaubt der dApp, \u003Cstrong>Anfragen zu senden\u003C\u002Fstrong> für die freigegebenen Methoden. Die Erlaubnis zu fragen ist nicht die Erlaubnis zu handeln.\u003C\u002Fp>\u003Ch2>Signaturanfragen: Warum eine Verbindung noch keine Freigabe ist\u003C\u002Fh2>\u003Cp>Sobald eine Session besteht, kommt jede relevante Aktion als eigene Anfrage, die du ausdrücklich freigeben musst: Ein Swap wird zu einer Transaktionsanfrage, ein Login zu einer Anfrage zum Signieren einer Nachricht, ein Marktplatz-Listing zu einer Typed-Data-Signatur.\u003C\u002Fp>\u003Cp>Das ist die entscheidende Sicherheitsgrenze. Eine verbundene dApp kann deine Assets nicht stillschweigend bewegen: Dafür braucht es eine Signatur, und eine Signatur braucht dein Gerät und deine Freigabe. Was sie sehr wohl \u003Cem>kann\u003C\u002Fem>, ist eine irreführende Anfrage stellen, deren Konsequenzen auf dem Bildschirm nicht offensichtlich sind.\u003C\u002Fp>\u003Cp>Zwei Kategorien verdienen besonderes Misstrauen: eine Token-Approval, die einem Contract eine dauerhafte Erlaubnis erteilt, einen Token auszugeben – lange nachdem die Session vorbei ist – und eine Offchain-Signatur, also die Variante ohne Gas-Kosten, die eine Order autorisieren oder eine Permit erteilen kann, die ein Contract später einlöst. Keine von beiden sieht dramatisch aus.\u003C\u002Fp>\u003Ch2>Wo WalletConnect schiefgeht: alte Sessions, gefälschte QR-Codes und Blind Signing\u003C\u002Fh2>\u003Cp>\u003Cstrong>Alte Sessions.\u003C\u002Fstrong> Sessions haben ein Ablaufdatum, aber viele sammeln Dutzende aktiver Verbindungen zu Seiten an, die sie ein einziges Mal genutzt haben. Jede davon ist ein Kanal, der jederzeit eine Anfrage an deine Wallet schicken kann – mehr Angriffsfläche für eine falsch gelesene Freigabe.\u003C\u002Fp>\u003Cp>\u003Cstrong>Gefälschte oder ausgetauschte QR-Codes.\u003C\u002Fstrong> Wer eine Seite kontrolliert – eine täuschend ähnliche Domain, ein gekapertes Frontend – kann seine eigene Pairing-URI statt der echten anzeigen. Du verbindest dich erfolgreich, nur eben mit ihm. Genau das ist die Falle in unserer Analyse dazu, \u003Ca href=\"\u002Fblog\u002Fwhat-is-a-wallet-drainer\">wie Wallet-Drainer funktionieren\u003C\u002Fa>: Die Verbindung klappt, und der Schaden kommt mit der darauffolgenden Signaturanfrage.\u003C\u002Fp>\u003Cp>\u003Cstrong>Blind Signing.\u003C\u002Fstrong> Wenn deine Wallet eine Anfrage nicht dekodieren kann und stattdessen Rohdaten anzeigt, vertraust du der Beschreibung, die die Seite von ihrer eigenen Transaktion gibt. Betrachte das als Grund anzuhalten, nicht als Formalie.\u003C\u002Fp>\u003Ch2>Wie du aktive Sessions prüfst und widerrufst (und warum Approvals davon getrennt sind)\u003C\u002Fh2>\u003Cp>Jede WalletConnect-fähige Wallet führt eine Liste aktiver Sessions, meist unter Verbindungen oder verbundene Apps. Lies sie wie ein Inventar: Jeder Eintrag nennt die dApp sowie die Chains und Accounts, die sie sehen kann.\u003C\u002Fp>\u003Cp>Das Trennen kostet nichts: Deine Wallet veröffentlicht eine Session-Delete-Nachricht über das Relay und entfernt die Session aus ihrem eigenen Zustand – keine Transaktion, kein Gas, kein Onchain-Eintrag. Behandle den Abbau aber als Best Effort: Ist die Gegenstelle offline oder das Relay nicht erreichbar, kann die dApp die Session bis zur Zustellung oder zum Ablauf weiterhin als aktiv betrachten.\u003C\u002Fp>\u003Cp>Der Punkt, an dem viele stolpern: \u003Cem>Das Trennen einer Session widerruft keine Token-Approval\u003C\u002Fem>. Session-Berechtigungen liegen im lokalen Zustand deiner Wallet; Token-Approvals liegen onchain und wurden durch eine Transaktion erteilt, die du signiert hast. Das Beenden der Session stoppt neue Anfragen, lässt die Allowance aber unangetastet – sie zu widerrufen ist ein eigener Onchain-Schritt, beschrieben in unserer Anleitung zum \u003Ca href=\"\u002Fblog\u002Fhow-to-revoke-token-approvals\">Widerrufen von Token-Approvals\u003C\u002Fa>. Mach beides.\u003C\u002Fp>\u003Ch2>Wie WATS dApp-Verbindungen handhabt\u003C\u002Fh2>\u003Cp>Bei WATS werden WalletConnect-Sessions von der WATS Mobile App abgewickelt: Sie scannt den QR-Code und stellt jeden Vorschlag und jede Signaturanfrage zur Freigabe auf deinem Telefon dar. Die Verwahrung funktioniert bei allen WATS-Produkten gleich, einschließlich der \u003Ca href=\"\u002Fhot-wallet\">WATS Hot Wallet\u003C\u002Fa> – du hältst deine Keys, und WATS hält niemals einen Key, sodass keine verbundene dApp ohne deine Signatur Gelder bewegen kann.\u003C\u002Fp>\u003Cp>Was sich unterscheidet, ist die Gebührenebene. Jede Aktion – Transfers, Swaps, Staking – wird in einem einzigen Token abgerechnet, ATS, statt im nativen Gas-Token der Chain: auf EVM über einen ERC-4337-Paymaster, auf Solana und TON über einen gleichwertigen Fee-Payer\u002FRelayer. Da ATS ein LayerZero OFT ist, deckt ein einziges Guthaben alle drei Ökosysteme ab. Eingenommenes ATS wird verbrannt, von 100.000.000 in Richtung einer Untergrenze von 30.000.000. WATS ist die erste und einzige Wallet, die ERC-4337 + OFT-Gebühren in einem einzigen Token, die anstelle des nativen Gas berechnet werden, mit genau diesem Burn kombiniert.\u003C\u002Fp>",[10,13,16],{"q":11,"a":12},"Erhält eine dApp Zugriff auf meine Gelder, wenn ich eine Wallet per WalletConnect verbinde?","Nein. Eine Session erlaubt einer dApp, deine öffentlichen Adressen für die freigegebenen Chains zu sehen und dir Anfragen zu schicken. Jede Aktion, die Assets bewegt, erfordert eine Signatur, die du auf deinem eigenen Gerät freigibst – eine Verbindung allein kann also nichts ausgeben. Bei WATS werden diese Vorschläge und Signaturanfragen in der WATS Mobile App zur Freigabe dargestellt, und da WATS niemals einen Key hält, kann keine verbundene dApp ohne deine Signatur Gelder bewegen.",{"q":14,"a":15},"Widerruft das Trennen einer WalletConnect-Session meine Token-Approvals?","Nein, das sind zwei getrennte Dinge. Eine Session liegt im lokalen Zustand deiner Wallet und endet ohne Gas in dem Moment, in dem du sie dort trennst. Eine Token-Approval liegt onchain im Token-Contract und bleibt aktiv, bis du eine Widerrufs-Transaktion sendest.",{"q":17,"a":18},"Kann der WalletConnect-Relay-Server meine Transaktionen lesen oder meine Keys stehlen?","Nein. In WalletConnect v2 ist die Session, die deine Transaktions- und Signaturanfragen transportiert, unter einem Schlüssel verschlüsselt, den die dApp und deine Wallet direkt miteinander über einen X25519-Austausch aushandeln – dieser Schlüssel wird dem Relay nie offengelegt. Der symmetrische Schlüssel in der Pairing-URI schützt nur Nachrichten auf Pairing-Ebene. Das Relay leitet Ciphertext und Metadaten weiter, und dein Private Key verlässt deine Wallet an keiner Stelle des Ablaufs.",1786059354644]