Kurz erklärt:
Whitelisting bezeichnet ein Sicherheits- und Kontrollverfahren, bei dem ausschliesslich zuvor ausdrücklich freigegebene Krypto-Adressen als zulässige Ziele für Auszahlungen oder Transaktionen akzeptiert werden. Alle nicht gelisteten Adressen werden automatisch blockiert.
Herkunft und Einordnung
Das Prinzip des Whitelistings stammt ursprünglich aus der allgemeinen IT-Sicherheit, wo Zulassungslisten (im Gegensatz zu Sperrlisten, dem sogenannten Blacklisting) seit den 1990er-Jahren zur Zugriffskontrolle eingesetzt werden. Mit dem Aufkommen zentralisierter Krypto-Handelsplätze (siehe Börsen) etwa ab 2013 wurde das Verfahren auf Auszahlungsadressen übertragen. Ziel war es, Vermögenswerte auch dann zu schützen, wenn Zugangsdaten eines Kontos kompromittiert wurden.
Technische Funktionsweise
Bei zentralisierten Diensten hinterlegt der Kontoinhaber eine oder mehrere Empfangsadressen in einer Zulassungsliste. Ausgehende Transaktionen sind anschliessend nur noch an diese Adressen möglich. Das Hinzufügen einer neuen Adresse ist in der Regel mit einer Zwei-Faktor-Authentifizierung und einer zeitlichen Sperrfrist (häufig 24 bis 72 Stunden) verbunden. Bei Wallets auf Basis von Smart Contracts, etwa Multisig-Lösungen, kann Whitelisting direkt im Vertragscode verankert sein, sodass Transfers an nicht gelistete Adressen bereits auf Protokollebene abgelehnt werden.
Zweck und Anwendungsbereiche
Whitelisting dient vorrangig der Absicherung gegen unbefugte Abflüsse. Selbst wenn Angreifer Zugriff auf ein Konto erlangen, können sie Guthaben nur an bereits freigegebene Adressen senden. In institutionellen Umgebungen, etwa bei Verwahrern (Custody) und im Rahmen von Compliance-Vorgaben, wird Whitelisting genutzt, um Transaktionen auf geprüfte Gegenparteien zu beschränken. Im Ermittlungs- und Aufsichtskontext können Zulassungslisten belegen, welche Zieladressen ein Nutzer bewusst autorisiert hat.
Grenzen
Whitelisting verhindert keine Kompromittierung des privaten Schlüssels bei selbstverwahrten Wallets ohne entsprechende Vertragslogik. Wird eine bereits gelistete Adresse selbst durch Angreifer kontrolliert, greift der Schutz nicht. Zudem können aufwendige Freigabeprozesse die Nutzbarkeit einschränken, weshalb das Verfahren meist mit weiteren Massnahmen wie Cold Storage kombiniert wird.
Häufige Fragen
Was ist der Unterschied zwischen Whitelisting und Blacklisting?
Whitelisting lässt nur ausdrücklich freigegebene Adressen zu und blockiert alle uebrigen. Blacklisting lässt umgekehrt grundsätzlich alles zu und sperrt nur einzelne, als unerwünscht markierte Adressen.
Schützt Whitelisting vor Diebstahl?
Es reduziert das Risiko, weil Auszahlungen nur an vorab bestätigte Adressen möglich sind. Es schützt jedoch nicht, wenn eine gelistete Adresse selbst von Angreifern kontrolliert wird oder der private Schlüssel bei fehlender Vertragslogik entwendet wird.
Warum gibt es beim Hinzufügen neuer Adressen eine Wartezeit?
Die Sperrfrist soll verhindern, dass Angreifer nach einer Kontoübernahme sofort eine eigene Adresse eintragen und Guthaben abziehen. In der Wartezeit kann der rechtmäßige Inhaber die Änderung bemerken und stoppen.
Kann Whitelisting auch auf Protokollebene umgesetzt werden?
Ja. Bei Smart-Contract-Wallets kann die Zulassungsliste im Vertragscode hinterlegt sein, sodass Transfers an nicht gelistete Adressen bereits durch das Protokoll selbst abgelehnt werden.
Ist Whitelisting für normale Nutzer sinnvoll?
Für Nutzer mit wiederkehrenden Zieladressen kann es die Sicherheit erhöhen. Bei häufig wechselnden Empfängern kann der Freigabeaufwand jedoch die Handhabung erschweren.
Zusammenfassung
Whitelisting von Adressen ist ein Kontrollverfahren, das Transaktionen ausschliesslich an zuvor freigegebene Empfangsadressen zulässt. Es stammt aus der IT-Sicherheit und wird bei Börsen, Verwahrern und Smart-Contract-Wallets eingesetzt, um unbefugte Abflüsse zu erschweren. Der Schutz ist wirksam, aber nicht vollständig und wird meist mit weiteren Sicherheitsmassnahmen kombiniert.
Weiterführende Quellen
- NIST Glossary: Whitelist: csrc.nist.gov
- Ethereum Developer Docs: Smart Contract Security: ethereum.org