MetaMask Phishing-E-Mails erkennen und Ihre Wallet schützen

Sie öffnen Ihr Postfach und finden eine E-Mail, die von MetaMask zu stammen scheint. Das Logo stimmt, das Layout ist sauber und die Nachricht ist dringend: Sie sollen Ihre Wallet verifizieren, eine Sperrung abwenden oder für ein Sicherheitsupdate Ihre geheime Wiederherstellungsphrase bestätigen. Dass sie echt wirkt, ist volle Absicht. Es ist eine Phishing-E-Mail, und die Seite hinter ihrer Schaltfläche ist darauf ausgelegt, die Kontrolle über Ihre Wallet zu übernehmen.

Vielleicht haben Sie gelesen, dass MetaMask nie E-Mails verschickt. Das ist zu pauschal. MetaMask kann Ihnen zu einem Support-Ticket schreiben, das Sie eröffnet haben, und verschickt Newsletter und Neuigkeiten zur MetaMask Card an alle, die sich dafür angemeldet haben. Was MetaMask nie tut: von sich aus den Kontakt aufnehmen. MetaMask verschickt keine unaufgeforderten E-Mails, fragt per E-Mail nie nach Ihrer geheimen Wiederherstellungsphrase, Ihrem Passwort oder den Zugangsdaten Ihres Google- oder Apple-Kontos und fordert Sie nie auf, Ihre Wallet zu verifizieren, upzugraden oder wiederherzustellen. Eine E-Mail, die etwas davon tut, ist Betrug, so echt sie auch aussieht.

Warum MetaMask Phishing-E-Mails funktionieren

MetaMask ist ein naheliegendes Ziel. Nach eigener Darstellung ist MetaMask die meistgenutzte Wallet zur Selbstverwahrung, mit mehr als 100 Millionen Downloads. Eine gefälschte E-Mail im Namen von MetaMask, die an eine große Verteilerliste geht, erreicht deshalb viele Menschen, die MetaMask tatsächlich nutzen.

Viele von ihnen kennen sich mit Konten bei Krypto-Börsen besser aus als mit Wallets. Eine Krypto-Börse, die Ihre Coins für Sie verwahrt (custodial), kennt deshalb Ihre E-Mail-Adresse, kann Ihr Konto einfrieren und schreibt Ihnen E-Mails zu diesem Konto. Bei einer Wallet zur Selbstverwahrung, auch non-custodial Wallet genannt, bleiben die Schlüssel bei Ihnen. Ihre Konten liegen auf der Blockchain und nicht bei MetaMask, also gibt es für MetaMask nichts zu sperren oder zu verifizieren. Betrüger setzen darauf, dass vielen dieser Unterschied nicht bewusst ist.

Außerdem spielen die E-Mails mit Emotionen. Eine Frist wie „your wallet will be locked in 24 hours“ (sinngemäß: Ihre Wallet wird in 24 Stunden gesperrt) drängt Sie zum Handeln, bevor Sie nachdenken. Ein Hinweis auf „suspicious activity“ (verdächtige Aktivität) lässt den Klick verantwortungsvoll erscheinen, und eine Aufforderung wie „update your security“ (Sicherheit aktualisieren) klingt vernünftig statt verdächtig. Jede dieser Maschen hält Sie von der Frage ab, an der der Betrug scheitert: Habe ich MetaMask diese E-Mail-Adresse je gegeben, und wofür?

So sehen MetaMask Phishing-E-Mails aus

Phishing-E-Mails rund um MetaMask greifen auf eine Handvoll Vorlagen zurück, und das Hilfecenter von MetaMask warnt vor denselben Vorwänden. Die Vorlage zu erkennen, ist der beste Schutz.

Die E-Mail mit „verify your wallet“

Diese Variante behauptet, MetaMask verlange eine Verifizierung Ihrer Wallet, damit Sie sie weiter nutzen können. Eine Schaltfläche wie „Verify Now“ oder „Confirm Wallet“ führt zu einer gefälschten MetaMask Website, die nach Ihrer geheimen Wiederherstellungsphrase fragt, also der Seed Phrase, mit der Ihre Wallet gesichert ist. Sobald Sie sie eingeben, liegt jedes aus dieser Phrase abgeleitete Konto in fremder Hand und kann vollständig geleert werden. MetaMask stellt klar, dass Sie nie zur Verifizierung Ihres Kontos aufgefordert werden.

Eine neuere Version verlangt ein „Upgrade“ auf ein Smart-Konto. MetaMask zeigt tatsächlich Hinweise an, ein Konto auf ein Smart-Konto umzustellen, aber nur in der Erweiterung oder der mobilen App selbst. Eine E-Mail oder Website, die zu diesem Upgrade drängt, stammt nicht von MetaMask.

Die E-Mail mit „security alert“

Diese Version warnt, in Ihrer Wallet sei unbefugte Aktivität festgestellt worden oder die Wallet sei eingeschränkt, gesperrt oder deaktiviert, und drängt Sie, sie über einen Link abzusichern. Der Link führt zu einer geklonten MetaMask Seite, die alles mitschneidet, was Sie eingeben. Nennt eine E-Mail echte Transaktionsdetails, beweist das nichts: Die Transaktionen jeder Adresse sind in einem öffentlichen Block Explorer für alle einsehbar.

Die E-Mail mit „KYC requirement“

Diese E-Mail behauptet, neue Vorschriften zwängen MetaMask, Ihre Identität zu prüfen (KYC, kurz für „Know Your Customer“). Sie sollen Dokumente hochladen und Ihre Wallet auf einer externen Website verbinden. MetaMask hat kein eigenes KYC-Verfahren. Zu einer Identitätsprüfung kann es kommen, wenn Sie in MetaMask Kryptowährungen kaufen oder die MetaMask Card beantragen. Solche Prüfungen gehören zum jeweiligen Kauf oder Kartenantrag und laufen über den beteiligten Anbieter; achten Sie deshalb darauf, ob sich eine Nachricht auf einen Dienst bezieht, den Sie tatsächlich angefordert haben. Keine Identitätsprüfung, ob echt oder gefälscht, ist ein Grund, Ihre Wiederherstellungsphrase oder Ihren privaten Schlüssel preiszugeben.

Die E-Mail mit „airdrop“ oder „reward“

Diese E-Mail verspricht kostenlose Token, einen rückwirkenden Airdrop oder eine Belohnung für die treue Nutzung von MetaMask, wenn Sie Ihre Wallet auf einer verlinkten Website verbinden. MetaMask verschenkt keine Vermögenswerte: keine Token, keine NFTs, keine Airdrops und keine zufälligen Giveaways. Die Claim-Seite fragt entweder nach Ihrer Wiederherstellungsphrase oder lässt Sie eine Token-Genehmigung signieren, mit der die Website Ihre Token abziehen darf, statt Ihnen welche zu schicken. Diese Genehmigung wird auf der Blockchain gespeichert und wirkt deshalb auch nach dem Schließen der Website weiter, bis Sie sie widerrufen.

Die gefälschte Antwort des Supports

Manche Betrugsmaschen zielen auf Menschen, die sich tatsächlich an MetaMask gewandt haben. MetaMask warnt, dass Personen mit offenen Tickets von Betrügern angeschrieben und nach ihrer geheimen Wiederherstellungsphrase gefragt wurden. Echte Ticket-E-Mails kommen nur von support@metamask.io, betreffen nur einen Fall, den Sie über den Chat im Hilfecenter eröffnet haben, und fragen nie nach Ihrer Phrase. Der MetaMask Support meldet sich nie von sich aus, hat keine Telefonnummer und kontaktiert Sie nicht über WhatsApp, Telegram, Instagram, SMS oder Direktnachrichten auf X.

So erkennen Sie eine gefälschte MetaMask E-Mail

Haben Sie kein Support-Ticket eröffnet, sind Sie nicht im Community-Forum angemeldet und haben Sie keine E-Mails von MetaMask abonniert, ist eine E-Mail, die angeblich von MetaMask stammt, gefälscht, so professionell sie auch aussieht. Trifft etwas davon auf Sie zu, helfen die folgenden Prüfungen, das Original von einer Kopie zu unterscheiden.

Vergleichen Sie den Absender mit den offiziellen Adressen von MetaMask

MetaMask nennt sechs Adressen, über die seine E-Mails verschickt werden. Klicken Sie auf den Absendernamen oder fahren Sie mit der Maus darüber, um die vollständige Adresse zu sehen, denn ein Anzeigename wie „MetaMask Support“ lässt sich beliebig festlegen.

Phishing-E-Mails kommen meist von Adressen, die dem Original zum Verwechseln ähnlich sehen: eine Domain, die dem Markennamen ein Wort wie „support“ oder „security“ hinzufügt, eine andere Endung wie .team statt .io oder eine lange Domain, die lediglich mit metamask.io beginnt (metamask.io.example.net gehört zu example.net, nicht zu MetaMask). Eine passende Adresse ist ein gutes Zeichen, beweist für sich allein aber nicht, dass eine E-Mail echt ist. Entscheidend ist, wozu die Nachricht Sie auffordert.

Prüfen Sie, wohin ein Link führt, und nutzen Sie ihn dann nicht

Fahren Sie mit der Maus über einen Link, bevor Sie klicken. Die meisten E-Mail-Programme zeigen dann das tatsächliche Ziel unten im Fenster oder in einem Tooltip an. Führt der Link woanders hin als zu metamask.io oder einer Subdomain davon wie support.metamask.io, ist Vorsicht geboten. Auch ein Link, der richtig aussieht, kann täuschen, weil manche Mail-Apps das echte Ziel nicht anzeigen. Echte E-Mails von MetaMask können Links enthalten, etwa zur Bestätigung eines neuen Community-Kontos, aber um Ihre Wallet zu verwalten, brauchen Sie nie einen.

Bestätigen Sie die Anfrage deshalb auf einem anderen Weg. Geben Sie support.metamask.io selbst im Browser ein oder nutzen Sie ein Lesezeichen, und gleichen Sie die Anfrage mit Ihrem bestehenden Supportfall oder dem genutzten Dienst ab. Passt sie nicht dazu oder sind Sie unsicher, starten Sie über die Schaltfläche „Contact Support“ auf der Startseite des Hilfecenters einen Chat und fragen Sie, ob die E-Mail echt ist.

Achten Sie auf Druck und unmögliche Drohungen

Seriöse Dienste setzen selten per E-Mail 24-Stunden-Fristen oder drohen mit einer Sperrung. Bei MetaMask ist die Drohung zudem leer: Ihre Konten existieren auf einer öffentlichen Blockchain, nicht auf den Servern von MetaMask, und laut MetaMask können sie weder gelöscht noch eingeschränkt werden. Zeitdruck rund um Ihre Wallet ist grundsätzlich ein Warnsignal.

Ist MetaMask selbst Betrug?

Nein. MetaMask ist eine seriöse Wallet zur Selbstverwahrung, die seit 2016 im Einsatz ist. Entwickelt wird sie von Consensys Software Inc., die heute unter dem Namen MetaMask firmiert, und der Quellcode der Browsererweiterung ist auf GitHub öffentlich einsehbar. Die Betrugsmaschen gehen nicht von MetaMask aus, sondern von Kriminellen, die sich als MetaMask ausgeben, um an Menschen heranzukommen, die diese Wallet verwenden.

Bei der Installation zählt dieser Unterschied am meisten. MetaMask gibt es nur als Browsererweiterung und als mobile App, und laut dem Unternehmen sollten Sie sie ausschließlich über die Schaltfläche „Install“ auf metamask.io/download oder aus dem offiziellen Store Ihres Browsers oder Smartphones beziehen. Eine Kopie aus einer anderen Quelle kann darauf ausgelegt sein, die eingegebene Phrase zu stehlen. Und keine Wallet, so gut sie auch gemacht ist, kann verhindern, dass Sie Ihre Wiederherstellungsphrase auf einer gefälschten Website eintippen.

Was tun, wenn Sie auf einen Phishing-Link geklickt haben?

Der nächste Schritt hängt davon ab, was nach dem Klick geschah. Eine Seite zu öffnen, eine Transaktion zu bestätigen und Ihre Phrase einzutippen, erfordern jeweils eine andere Reaktion.

Sie haben die E-Mail nur gelesen oder die Seite geöffnet

Allein dadurch werden Ihre Schlüssel nicht offengelegt. Die Gefahr liegt in dem, was Sie auf der Seite eingeben oder bestätigen, und die Seite ist oft darauf ausgelegt, Ihre geheime Wiederherstellungsphrase abzugreifen. Haben Sie nichts eingegeben und nichts bestätigt, ist Ihre Wallet höchstwahrscheinlich in Ordnung. Schließen Sie die Seite. Haben Sie eine Datei heruntergeladen, öffnen Sie sie nicht und prüfen Sie den Computer auf Malware. Notieren Sie, was wann passiert ist, und behalten Sie die Aktivitäten Ihrer Konten in den nächsten Tagen im Blick.

Sie haben Ihre Wallet verbunden oder eine Transaktion bestätigt

Eine Verbindung ist nicht dasselbe wie eine Erlaubnis, Token auszugeben. Über die Verbindung sieht eine Website Ihre öffentliche Adresse und Ihre Kontostände und kann Ihnen Transaktionen vorschlagen, die Sie selbst bestätigen müssen. Eine Token-Genehmigung geht weiter: Mit ihr darf ein Smart Contract einen bestimmten Token aus Ihrer Wallet bewegen, oft in unbegrenzter Höhe, bis Sie die Genehmigung widerrufen. Eine bösartige Website kann damit diese Token abziehen, ohne Ihre Phrase je zu kennen.

Prüfen Sie, was Sie signiert haben und welche Genehmigungen noch aktiv sind. Das Trennen einer Website widerruft keine Genehmigung. Der Widerruf ist eine eigene Blockchain-Transaktion, die eine Netzwerkgebühr (Gas) kostet, und er macht bereits erfolgte Übertragungen nicht rückgängig. Die Anleitung von MetaMask zum Widerrufen von Token-Genehmigungen verweist auf die Genehmigungsprüfung von Block Explorern wie Etherscan und auf Tools wie Revoke.cash. Rufen Sie diese über die Anleitung auf oder tippen Sie die Adresse selbst ein, nie über einen „revoke“-Link in der verdächtigen Nachricht.

Sie haben Ihre Wiederherstellungsphrase bereits auf einer verdächtigen Website eingegeben

Gehen Sie davon aus, dass die Phrase und jedes Konto, das sie kontrolliert, kompromittiert sind. Das lokale MetaMask Passwort zu ändern, hilft nicht, denn wer die Phrase besitzt, kann die Wallet auf einem eigenen Gerät wiederherstellen. Ein privater Schlüssel, den Sie eingetippt haben, legt das zugehörige Konto auf dieselbe Weise offen. Zahlen Sie nichts mehr auf die betroffenen Konten ein. Die Schritte von MetaMask für eine kompromittierte Wallet lassen sich so zusammenfassen:

1. Installieren Sie MetaMask in einem anderen Browser oder Browserprofil oder auf einem zweiten Mobilgerät.
2. Erstellen Sie dort eine neue Wallet mit einer neuen geheimen Wiederherstellungsphrase. Lief die alte Wallet über ein Google- oder Apple-Konto, verbinden Sie dieses Konto nicht mit der neuen Wallet.
3. Schreiben Sie die neue Phrase in der richtigen Reihenfolge auf und bewahren Sie sie offline auf.
4. Senden Sie alles, was noch in der alten Wallet liegt, an die neue.
5. Nutzen Sie die alte Wallet und alle Konten, die an der kompromittierten Phrase hängen, nicht mehr.

Tempo zählt, doch ein Skript ist schneller als Sie. Manche Angriffe nutzen Sweeper-Bots, die eingehende Guthaben fast sofort von einer kompromittierten Adresse abziehen. Vermuten Sie einen solchen Bot, senden Sie kein ETH an die alte Wallet, um Gas zu bezahlen; der Bot nimmt es ebenfalls mit. Die Anleitung von MetaMask zu Sweeper-Bots behandelt diesen Fall, und unser Ratgeber zur Wiederherstellung einer MetaMask Wallet erklärt, was nach einer Kompromittierung zu tun ist.

Sie haben Ihr Passwort oder Ihre Google- oder Apple-Anmeldung eingegeben

Das Risiko hängt davon ab, wie Sie MetaMask eingerichtet haben. Haben Sie die Wallet nur mit einer geheimen Wiederherstellungsphrase erstellt, entsperrt das Passwort MetaMask auf Ihrem eigenen Gerät und verschafft für sich allein niemandem Zugriff auf Ihre Konten. Ändern Sie es trotzdem. Haben Sie die Wallet mit einem Google- oder Apple-Konto erstellt, öffnet dieses Konto zusammen mit Ihrem MetaMask Passwort alle Ihre Konten. Hat eine gefälschte Seite beides abgegriffen, folgen Sie den Schritten für eine kompromittierte Wallet oben und sichern Sie auch das Google- oder Apple-Konto ab.

Melden Sie die E-Mail und einen etwaigen Diebstahl

Melden Sie eine Phishing-E-Mail über den Chat „Contact Support“ im Hilfecenter an MetaMask und geben Sie dabei die Absenderadresse und den verwendeten Link an. Markieren Sie die E-Mail anschließend in Ihrem E-Mail-Programm als Phishing und löschen Sie sie. Haben Sie Guthaben verloren, finden Sie in der Anleitung von MetaMask zum Melden von Betrug, wie Sie die betrügerische Adresse auf Etherscan markieren und an welche Behörden für Cyberkriminalität Sie sich wenden können; in den USA ist das IC3 des FBI zuständig. Beschreiben Sie, was offengelegt wurde, aber geben Sie die Phrase oder den Schlüssel selbst nie mit an.

Crypto Recovers übernimmt keine Fälle von gestohlenen Kryptowährungen oder Betrug. Eine bestätigte Blockchain-Transaktion lässt sich nicht rückgängig machen, und das FBI warnt, dass hinter dem Versprechen, Ihre Guthaben nach einem Betrug zurückzuholen, ein weiterer Betrug stecken kann; unser Ratgeber, wie Sie seriöse von unseriösen Wiederherstellungsfirmen unterscheiden, zeigt, wie solche Angebote funktionieren. Crypto Recovers stellt den Zugang für rechtmäßige Eigentümer wieder her, die ausgesperrt sind, etwa nach einem vergessenen MetaMask Passwort, und verwahrt oder bewegt nie Guthaben seiner Kundschaft. Trifft das auf Sie zu, lesen Sie mehr über die MetaMask Wallet Wiederherstellung.

So schützen Sie sich in Zukunft

Der wirksamste Schutz ist zugleich der einfachste: Geben Sie Ihre Wiederherstellungsphrase nirgendwo online ein, weder in einem Formular in einer E-Mail noch auf einer Website, in einem Chatfenster oder in einem Pop-up. MetaMask nennt nur zwei legitime Momente für die Eingabe: wenn Sie eine Wallet erstellen und bestätigen, dass Sie die Phrase aufgeschrieben haben, und wenn Sie die Wallet in der offiziellen Erweiterung oder App wiederherstellen oder ihr Passwort zurücksetzen. Alles andere ist wahrscheinlich Betrug.

Der Rest ist Gewohnheit:

• Lassen Sie MetaMask über Ihren Browser oder den App-Store aktualisieren. Ein echtes Update fordert Sie nie per E-Mail auf, Ihre Wallet zu verifizieren oder wiederherzustellen.
• Speichern Sie metamask.io und support.metamask.io als Lesezeichen und öffnen Sie die Seiten darüber, nicht über Suchergebnisse, Anzeigen oder Links. Betrüger kaufen Anzeigen, die über dem echten Suchergebnis erscheinen, wie unser Artikel über Warnsignale von Krypto-Betrug zeigt.
• Bewahren Sie Ihre geheime Wiederherstellungsphrase offline auf, auf Papier geschrieben oder in Metall gestanzt, an einem sicheren Ort, zu dem nur Sie Zugang haben. MetaMask rät davon ab, die Phrase in einem Cloud-Speicher oder einem Passwortmanager abzulegen.
• Nutzen Sie für größere Beträge eine Hardware Wallet. MetaMask empfiehlt sie für Konten mit hohem Wert, weil die Schlüssel offline bleiben und jede Transaktion das physische Gerät erfordert.
• Haben Sie MetaMask mit einem Google- oder Apple-Konto eingerichtet, geben Sie diesem Konto ein eigenes Passwort, das sich von Ihrem MetaMask Passwort unterscheidet.
• Prüfen Sie Ihre Token-Genehmigungen regelmäßig. MetaMask schlägt dafür eine feste Gewohnheit vor, etwa einmal im Monat.
• Betrachten Sie jede unaufgeforderte Nachricht zu Ihren Kryptowerten, ob per E-Mail, Direktnachricht, Anruf oder Kommentar in sozialen Medien, als Betrug, bis Sie sie über die eigenen Kanäle von MetaMask geprüft haben.

Offizielle Dokumentation

• Is this email really from MetaMask?
• MetaMask’s official support channels
• How to revoke smart contract allowances/token approvals
• I’ve been hacked or scammed (unauthorized transactions on my account)

Häufig gestellte Fragen zu MetaMask Phishing-E-Mails

Verschickt MetaMask E-Mails?

Ja, aber nur in wenigen Situationen und nie unaufgefordert. MetaMask schreibt Ihnen zu einem Support-Ticket, das Sie eröffnet haben, zu Aktivitäten im Community-Forum, sofern Sie dort angemeldet sind, und mit Newslettern oder Neuigkeiten zur MetaMask Card, die Sie abonniert haben. Nie schreibt MetaMask Ihnen, um nach Ihrer geheimen Wiederherstellungsphrase, Ihrem Passwort oder den Zugangsdaten Ihres Google- oder Apple-Kontos zu fragen, und nie mit der Aufforderung, Ihre Wallet zu verifizieren. Jede andere E-Mail, die angeblich von MetaMask stammt, ist Phishing.

Was sollte ich tun, wenn ich eine E-Mail von MetaMask bekomme?

Klicken Sie nicht auf die Links, öffnen Sie keine Anhänge und antworten Sie nicht. Vergleichen Sie den Absender mit den offiziellen Adressen von MetaMask. Haben Sie kein Ticket eröffnet und nichts abonniert, markieren Sie die E-Mail als Phishing und löschen Sie sie. Sind Sie unsicher, geben Sie support.metamask.io im Browser ein und fragen Sie über den Chat „Contact Support“ nach.

Können Betrüger ohne meine Seed Phrase auf meine MetaMask Wallet zugreifen?

Ohne die Phrase können sie nicht die gesamte Wallet übernehmen, es sei denn, die Wallet wurde mit Google oder Apple eingerichtet und sie verfügen über dieses Konto samt Ihrem MetaMask Passwort. Ein privater Schlüssel, den Sie weitergegeben haben, legt das zugehörige Konto offen. Token-Genehmigungen sind die Ausnahme, auf die Sie achten sollten: Ein bösartiger Smart Contract, den Sie genehmigen, kann die genehmigten Token ohne Ihre Phrase bewegen. Auch Malware kann eine Phrase stehlen, die auf Ihrem Computer gespeichert ist. Widerrufen Sie Genehmigungen, die Sie nicht kennen, und halten Sie die Phrase von Geräten fern, die mit dem Internet verbunden sind.

Ich habe meine Seed Phrase an Betrüger weitergegeben. Bekomme ich mein Guthaben zurück?

Ob gestohlene Gelder durch Ermittlungen oder rechtliche Schritte zurückgegeben werden können, hängt vom Einzelfall ab und ist nicht garantiert. Blockchain-Transaktionen sind unumkehrbar, und MetaMask erklärt, selbst weder Transaktionen rückgängig machen noch verlorene Guthaben wiederherstellen zu können. Auch Crypto Recovers übernimmt keine Fälle von gestohlenen Kryptowährungen oder Betrug. Übertragen Sie alles, was noch in der Wallet liegt, sofort in eine neue Wallet mit einer neuen Phrase, melden Sie den Diebstahl und seien Sie misstrauisch gegenüber allen, die anbieten, die Guthaben zurückzuholen, vor allem wenn dafür eine Vorabgebühr verlangt wird.

Kann MetaMask meine Wallet sperren oder deaktivieren?

Nein. MetaMask ist eine Wallet zur Selbstverwahrung: Ihre Konten existieren auf öffentlichen Blockchains, und laut MetaMask können sie weder gelöscht noch eingeschränkt werden. Eine E-Mail, die droht, Ihre Wallet zu sperren, zu deaktivieren oder zu schließen, falls Sie nicht handeln, ist Betrug.