Was passiert, wenn du in CardanoWall einen Passkey entfernst?

Entfernst du einen Passkey, verschlüsselt CardanoWall deinen aktuellen Identitäts-Tresor neu für die Faktoren, die du noch hast, und löscht dann den alten Chiffretext unwiderruflich. Der entfernte Passkey kann den danach existierenden Tresor nicht mehr öffnen. Das ist echter Widerruf für künftige Entsperrungen.

Was es nicht ist: rückwirkend. Wurde dieser Passkey bereits zum Öffnen des Tresors genutzt, solange er gültig war, kann das Entfernen das nicht zurückholen und ungeschehen machen. In diesem Fall behandelst du die Identität als kompromittiert – nicht bloß als „um einen Faktor reduziert“.

Dieser Artikel erklärt genau, was sich ändert, was gleich bleibt und wann ein Entfernen ausreicht – gegenüber dem Fall, in dem du eine neue Identität brauchst.

Was schützt der Passkey eigentlich?

Er schützt den Zugriff auf deinen gehosteten Identitäts-Tresor – nicht mehr und nicht weniger.

Der Tresor ist ein verschlüsseltes Bündel, das die Identity Seeds deines Kontos und die privaten Labels enthält, die du jedem davon gegeben hast. Jeder Passkey, den du registrierst, ist ein Entsperrfaktor für dieses Bündel. Der Server speichert nur Chiffretext, den er nicht lesen kann; deine Passkeys sind das Einzige, was ihn öffnen kann. (Das vollständige Bild davon, wie dieser Tresor aufgebaut ist, findest du unter wie CardanoWall deine Identität speichert und wie Passkeys deinen Identitäts-Tresor schützen.)

Die entscheidende Unterscheidung hier: Deine Identität ist der Seed, nicht der Passkey. Ein Passkey ist nur ein bequemer Weg, die verschlüsselte Kopie des Seeds zu öffnen. Ihn zu entfernen ändert, wer diese Kopie öffnen kann – nicht die Identität selbst.

Was passiert beim Entfernen?

Der Tresor wird neu für die verbleibenden Faktoren verschlüsselt. Der Ablauf ist:

1. Du entsperrst den Tresor mit einem gültigen Faktor.
2. CardanoWall entfernt den ausgewählten Passkey aus der Empfängermenge.
3. Dein Browser baut den Tresor-Chiffretext für die verbleibenden Faktoren neu auf.
4. Die aktuelle Tresor-Zeile wird durch den neuen Chiffretext und eine höhere Versionsnummer ersetzt.
5. Der alte Chiffretext wird unwiderruflich gelöscht.
6. Der Eintrag der entfernten Anmeldeinformation wird gelöscht.

Die Reihenfolge wird serverseitig erzwungen: Eine Anmeldeinformation, die noch in der Empfängermenge des Tresors auftaucht, kann nicht gelöscht werden. Der Widerruf muss echt sein – kein Chiffretext, den der entfernte Passkey öffnen kann, darf überleben – und niemals nur kosmetisch. Sobald der Aufruf zurückkehrt, öffnet der entfernte Passkey nichts mehr, was noch existiert.

Warum ist das Löschen des alten Chiffretexts so wichtig?

Weil alter Chiffretext sich weiterhin mit alten Faktoren öffnen lässt.

Würde jede historische Kopie des Tresors für immer aufbewahrt, wäre das Entfernen eines Passkeys reine Augenwischerei. Der entfernte Faktor könnte eine ältere Tresor-Version weiterhin entschlüsseln, und diese ältere Version enthält genau dieselben Seeds. Du hättest einen Schlüssel „entfernt“, der auf einer Kopie direkt nebenan im Speicher noch funktioniert.

Deshalb ist der gehostete Tresor eine einzige aktuelle Zeile, die ersetzt wird, und keine nur-anfügende Historie. Das unwiderrufliche Löschen ist das, was dem Entfernen eines Faktors erst Wirkung verleiht. Übliche Zeitfenster für Backup-Rotationen kann es in realer Infrastruktur geben, aber das Produkt ist so gestaltet, dass es historischen Tresor-Chiffretext niemals als Feature aufbewahrt.

Was, wenn es mein letzter Passkey war?

Dann wird der Tresor selbst gelöscht.

Bleibt kein Faktor übrig, bewahrt CardanoWall keinen Chiffretext auf, den nichts Registriertes öffnen kann. Das Konto fällt auf den Pfad der Seed-Eingabe zurück: Du erlangst den Zugang zurück, indem du deinen Identity Seed einfügst.

Das ist in Ordnung, wenn du deinen Seed gespeichert hast. Es ist gefährlich, wenn nicht. Deinen letzten Faktor ohne gespeicherten Seed zu entfernen, kann dich von der künftigen Nutzung dieser Identität aussperren – nicht weil etwas kaputtgegangen ist, sondern weil du jeden Weg zurück entfernt hast. Der Seed ist das eigentliche Backup; der Tresor ist nur eine Komfortschicht darüber. (Warum der Seed weiterhin zählt behandelt das ausführlich.)

Wirkt sich das Entfernen eines Passkeys auf meine veröffentlichten Nachweise aus?

Nein. Veröffentlichte Label 309-Einträge bleiben on chain und bleiben verifizierbar.

Die Gültigkeit eines Nachweises hängt weder von deinen aktuellen Passkeys noch von deinem aktuellen Konto noch vom aktuellen Zustand deines Tresors ab. Jeder mit der Transaktionsreferenz kann ihn verifizieren – allein anhand der on-chain Metadaten, der Inhaltsbytes, falls nötig, und eines öffentlichen Cardano-Explorers; kein CardanoWall-Login erforderlich. Hat ein Nachweis verifiziert, bevor du einen Passkey entfernt hast, verifiziert er danach genauso.

Das Entfernen eines Passkeys regelt den künftigen Zugriff auf deinen Identitäts-Tresor. Es schreibt nichts um, was bereits on chain ist.

Ich habe gerade einen Passkey verloren. Was sollte ich tun?

Entferne ihn umgehend.

Hast du ein Telefon, einen Laptop oder einen Hardware-Sicherheitsschlüssel verloren, ist das Entfernen des Passkeys der richtige erste Schritt. Nachdem der Tresor ohne diesen Faktor neu verschlüsselt wurde, kann das verlorene Gerät den aktuellen Tresor nicht mehr öffnen.

Bist du sicher, dass der verlorene Faktor nie von jemand anderem genutzt wurde – ein Schlüssel, der hinter einen Schreibtisch gefallen ist, ein vor dem Wiederverkauf gelöschtes Telefon –, reicht das Entfernen vielleicht aus. Keine Identitätsrotation erforderlich.

Kannst du nicht ausschließen, dass jemand ihn genutzt hat, lies weiter.

Was, wenn der Passkey gestohlen und benutzt worden sein könnte?

Nimm das Risiko ernst und sei genau dabei, was ein gestohlener Passkey allein kann und was nicht.

Ein gestohlener Passkey für sich genommen ist nicht dasselbe wie ein gestohlener Seed. Um deinen Tresor zu öffnen, braucht ein Angreifer außerdem den Tresor-Chiffretext (der nur innerhalb einer authentifizierten Sitzung übermittelt wird) und die Benutzerverifizierung, die der Authentifikator verlangt – eine Biometrie oder eine Geräte-PIN. Ein Passkey für sich hält einen Schlüssel, nicht den Chiffretext, den er entsperrt.

Aber wenn der Angreifer den Passkey vor dem Entfernen benutzt haben könnte – innerhalb einer gekaperten Sitzung, gegen den aktiven Tresor –, dann hat er den Tresor möglicherweise geöffnet und deinen Identity Seed gelesen. Sobald der Seed offengelegt ist, ist die Identität vollständig kompromittiert: Wer den Seed besitzt, kann jeden privaten Schlüssel ableiten, versiegelte Einträge entschlüsseln, die an diese Identität adressiert sind, und neue Einträge unter ihr signieren.

In diesem Szenario reicht das Entfernen des Passkeys nicht aus. Der Widerruf schützt den Tresor für die Zukunft; er kann einen Seed, der bereits weg ist, nicht wieder verbergen.

Was sollte ich nach einer möglichen Seed-Offenlegung tun?

Wechsle zu einer neuen Identität. Die Antwort auf eine Kompromittierung ist eine frische Identität, kein In-Place-Reset der alten – weil Seed und Identität dauerhaft aneinander gebunden sind, gibt es keine Operation „Seed ändern“.

Wenn du eine Seed-Offenlegung nicht ausschließen kannst:

• erstelle eine frische Identität und speichere ihren neuen Identity Seed;
• registriere neue Passkey-Faktoren darauf;
• deaktiviere die kompromittierte Identität in CardanoWall (das blockiert neues Signieren und Veröffentlichen, lässt dich aber weiterhin alles entschlüsseln, was an sie versiegelt wurde);
• teile die alten Empfangsadressen nicht mehr;
• veröffentliche deine neuen öffentlichen Schlüssel überall dort erneut, wo du die alten veröffentlicht hast – öffentliche Profile, deine eigene Website, DNS-Einträge, .well-known und deine Kontakte;
• veröffentliche einen ablösenden Eintrag, wo das nachgelagerten Lesern hilft.

Ein Seed ist eine Identität. (Aktiv, deaktiviert, gelöscht geht jeden Lebenszyklus-Zustand durch.) Beachte die ehrliche Grenze: Alles, was bereits an die kompromittierten Schlüssel versiegelt wurde, bleibt für jeden entschlüsselbar, der sie besitzt – Cardano und Arweave kennen kein Widerrufsprimitiv für bereits veröffentlichte Inhalte. Die Deaktivierung und ein ablösender Zeiger sind Signale an vertrauende Parteien, kein Rückruf vergangener Daten.

Was ist der Versions-Pin und warum gibt es ihn?

Er ist eine Verteidigung dagegen, dass ein Server einen veralteten Tresor erneut einspielt.

Die Tresor-Zeile trägt eine Versionsnummer, die nur steigt. Dein Browser merkt sich die höchste Version, die er gesehen hat. Versuchte ein kompromittierter Server, einen älteren Tresor-Chiffretext zurückzugeben – einen, den ein seither entfernter Passkey noch öffnen könnte –, kann der Client bemerken, dass die zurückgegebene Version niedriger als erwartet ist, und ihn verweigern.

Das ist Verteidigung in der Tiefe, kein Ersatz für die Verwahrung des Seeds. Es schließt eine ganz bestimmte Lücke: das erneute Einspielen eines veralteten Tresors gegen einen entfernten Faktor. Es hilft dir in keiner Weise, wenn du den Seed und jeden Entsperrfaktor auf einmal verlierst.

Die Kurzfassung

Wenn du einen Passkey entfernst, verschlüsselt CardanoWall deinen aktuellen Identitäts-Tresor neu für die verbleibenden Faktoren und löscht den alten Chiffretext unwiderruflich. Der entfernte Passkey kann den Tresor, der nach dem Entfernen existiert, nicht mehr öffnen.

Der eine Vorbehalt: Wurde dieser Faktor möglicherweise schon benutzt, solange er gültig war, geh davon aus, dass der Seed offengelegt wurde, und wechsle zu einer neuen Identität. Der Widerruf schützt die Zukunft. Er kann die Vergangenheit nicht ändern.

Weiterführende Lektüre

• Deine Identität ist ein Seed und warum der Seed weiterhin zählt – das dauerhafte Artefakt hinter jedem Passkey.
• Wie CardanoWall deine Identität speichert und wie Passkeys deinen Identitäts-Tresor schützen – die Tresor-Konstruktion im Detail.
• Synchronisierte Passkeys vs. Hardware-Schlüssel – die Wahl der Faktoren und das Verständnis ihrer Wiederherstellungsmodelle.
• Aktiv, deaktiviert, gelöscht – der Identitäts-Lebenszyklus, den du bei einer Kompromittierungsreaktion nutzt.
• Der Label 309-Standard und seine Open-Source-Implementierungen leben unter github.com/cardanowall; der Standard ist in den Cardano-CIP-Prozess eingereicht und wird von den CIP-Editoren geprüft.