Was sind Token-Genehmigungen?

Eine Token-Genehmigung ist eine Smart-Contract-Berechtigung, die einer dezentralen App (auch Dapp genannt) erlaubt, auf eine bestimmte Token-Art in einer Wallet zuzugreifen und diese zu bewegen. Ohne eine Genehmigung kann keine App die Token in einer selbstverwalteten Wallet berühren – selbst wenn die Wallet mit der Benutzeroberfläche der App verbunden ist. Die Genehmigung überbrückt die Lücke zwischen dem Verbinden einer Wallet und dem tatsächlichen Zugriff eines Protokolls auf die darin enthaltenen Assets.

Token-Genehmigungen sind für nahezu jede DeFi-Interaktion erforderlich: das Tauschen von Token auf einer dezentralen Börse, das Einzahlen in ein Lending-Protokoll, das Hinzufügen von Liquidität zu einem Pool oder das Anbieten eines NFTs auf einem Marketplace. Sie gehören jedoch auch zu den am häufigsten ausgenutzten Mechanismen in der Krypto-Sicherheit. MetaMasks monatliche Krypto-Sicherheitsberichte verfolgen diese Bedrohungen im Detail. Der Krypto-Sicherheitsbericht Februar 2026 beispielsweise dokumentierte einen Anstieg von 207 % bei „Signature-Phishing"-Exploits, auch bekannt als Approval-Phishing. Zu verstehen, was Token-Genehmigungen bewirken, wie sie fortbestehen und wie Angreifer sie ausnutzen können, ist für jeden, der eine selbstverwaltete Wallet nutzt, unerlässlich.

Haftungsausschluss: Dieser Inhalt dient ausschließlich zu Bildungszwecken. Er stellt keine Finanzberatung, keine Aufforderung dar und richtet sich nicht an ein britisches Publikum. Krypto-Wallets und digitale Assets sind risikoreich und nicht für alle Nutzer geeignet.

Wie Token-Genehmigungen funktionieren

Hier ist ein typisches Beispiel für Token-Genehmigungen: das Tauschen von USDC gegen ETH auf einer dezentralen Börse. Der Smart Contract der App benötigt die Erlaubnis, die USDC aus der Wallet zu entnehmen und den Handel auszuführen. Diese Erlaubnis ist die Token-Genehmigung.

Auf Contract-Ebene ruft der Nutzer eine Funktion namens approve() im USDC-Token-Contract auf. Diese Funktion nimmt zwei Eingaben entgegen: den Spender (die Smart-Contract-Adresse, die autorisiert wird) und den Betrag (wie viele Token der Spender bewegen darf). Sobald die Genehmigungstransaktion auf der Blockchain bestätigt ist, kann der Spender-Contract transferFrom() aufrufen, um bis zum genehmigten Betrag dieses Tokens aus der Wallet des Nutzers zu bewegen – ohne weitere Bestätigung durch den Nutzer.

Es gibt zwei wichtige Details zu Token-Genehmigungen, die jeder – insbesondere Einsteiger – kennen sollte. Erstens ist die Genehmigung auf einen Token und einen Spender beschränkt. Die Genehmigung für eine dezentrale Börse (DEX), USDC auszugeben, gewährt ihr keinen Zugriff auf ETH, BTC oder andere Token. Zweitens ist die Genehmigung eine Blockchain-Transaktion, die Netzwerkgebühren kostet – sie ist ein separater Schritt vom eigentlichen Tausch, weshalb DeFi-Interaktionen oft zwei Bestätigungen erfordern: eine für die Genehmigung, eine für die Ausführung.

Begrenzte vs. unbegrenzte Genehmigungen

Das Betragsfeld in einer Genehmigung legt fest, auf wie viele Token der Spender zugreifen kann.

Eine begrenzte Genehmigung autorisiert den Spender, nur eine bestimmte Anzahl von Token zu bewegen – etwa genau die 500 USDC, die für einen bestimmten Tausch benötigt werden. Sobald diese 500 USDC übertragen wurden, ist das Limit ausgeschöpft. Der nächste Tausch erfordert eine neue Genehmigung, was eine weitere Blockchain-Transaktion und eine weitere Netzwerkgebühr bedeutet.

Eine unbegrenzte Genehmigung autorisiert den Spender, den maximal möglichen Betrag dieses Tokens zu bewegen (technisch gesehen 2^256 − 1, eine Zahl, die weit größer ist als das Gesamtangebot eines jeden Tokens). Das bedeutet, der Contract kann jederzeit auf das gesamte Guthaben des Nutzers für diesen Token zugreifen – ohne jemals eine weitere Genehmigung zu benötigen. Die meisten Apps fordern standardmäßig unbegrenzte Genehmigungen an, da dies die Nutzungsreibung reduziert – eine Genehmigung, und jede zukünftige Transaktion mit diesem Token ist vorab autorisiert.

Der Komfort ist real, aber auch das Risiko. Eine unbegrenzte Genehmigung läuft nie ab. Wenn der Contract, dem sie erteilt wurde, später ausgenutzt oder böswillig aktualisiert wird, oder wenn der Nutzer die Genehmigung auf einer Phishing-Seite unterzeichnet hat, die eine legitime App imitierte, kann der Angreifer jeden von der Genehmigung abgedeckten Token abschöpfen – ohne weitere Interaktion des Nutzers. Das Opfer bemerkt möglicherweise nicht einmal, dass die Genehmigung existiert, bis die Token verschwunden sind.

Wie Permit2-Token-Genehmigungen funktionieren

Im November 2022 stellte Uniswap Labs einen Contract namens Permit2 bereit, um die Reibung und das Risiko traditioneller Token-Genehmigungen zu reduzieren. Bis 2025 hatten mehr als 3,1 Millionen Ethereum-Mainnet-Adressen den Permit2-Contract autorisiert, und er war zum am weitesten verbreiteten Genehmigungssystem in DeFi geworden – genutzt von Uniswap, 1inch, CowSwap und vielen anderen Protokollen.

Die Grundidee: Anstatt jedem Smart Contract einer App eine separate Blockchain-Genehmigung zu erteilen, erteilt der Nutzer eine einzige Genehmigung an den Permit2-Contract. Von dort aus wird jede einzelne App-Interaktion durch eine Offchain-Signatur autorisiert – eine in der Wallet unterzeichnete Nachricht, die angibt, welche Token, wie viele, welcher Spender und eine Frist, nach der die Berechtigung abläuft.

Die Verbesserungen gegenüber herkömmlichen Genehmigungen sind bedeutsam. Permit2-Signaturen enthalten Fristen, sodass veraltete Berechtigungen automatisch ablaufen, anstatt dauerhaft zu bestehen. Nonces verhindern, dass dieselbe Signatur zweimal verwendet wird. Und der Nutzer unterzeichnet eine Genehmigung pro Token statt eine pro App, was die Gesamtzahl der Blockchain-Genehmigungstransaktionen und die damit verbundenen Netzwerkgebühren reduziert.

Der Kompromiss ist eine Verlagerung der Angriffsfläche. Herkömmliche Genehmigungen wurden durch ruhende Blockchain-Berechtigungen ausgenutzt – Contracts, die Monate oder Jahre zuvor genehmigt worden waren und später kompromittiert wurden. Permit2-Signaturen werden durch Phishing im Moment der Unterzeichnung ausgenutzt. Da Permit2-Autorisierungen EIP-712-typisierte Datensignaturen verwenden, erscheinen sie in der Wallet als Signierungsaufforderung und nicht als Transaktionsbestätigung. Eine bösartige Seite kann eine scheinbar routinemäßige „Nachricht unterzeichnen"-Anfrage präsentieren, die in Wirklichkeit eine Permit2-Signatur ist, die die Übertragung des gesamten Token-Guthabens des Nutzers autorisiert. Keine Blockchain-Transaktion. Keine Netzwerkgebühr auf Nutzerseite. Nur eine Signatur – und dann ruft der Angreifer transferFrom() auf.

Wie Drainer Token-Genehmigungen ausnutzen

Wallet-Drainer sind automatisierte Phishing-Toolkits, die darauf ausgelegt sind, Token-Genehmigungen – sowohl herkömmliche als auch Permit2 – von Opfern zu extrahieren. Sie operieren als Drainer-as-a-Service (DaaS): Ein Entwickler pflegt die bösartigen Smart Contracts, die Phishing-Infrastruktur und die Geldwäsche-Pipeline, während Affiliates den Dienst gegen einen Anteil der gestohlenen Gelder mieten (typischerweise behalten sie 75–95 % des Abgeschöpften).

Angriffsmuster von Wallet-Drainern folgen häufig einer konsistenten Abfolge:

Schritt 1: Köder. Das Opfer gelangt über ein gesponsertes Suchergebnis, einen gefälschten Airdrop-Link, einen kompromittierten Discord-Server oder eine geklonte App-Oberfläche auf eine Phishing-Seite. Die Seite sieht aus wie ein legitimes Protokoll: gleiche Markenidentität, gleiches Layout, oft eine nahezu identische URL.

Schritt 2: Signaturanfrage. Die Seite fordert die Wallet auf, eine Transaktion oder Permit2-Signatur zu unterzeichnen. Die Aufforderung kann wie eine Standard-App-Verbindung, ein Token-Tausch oder ein Airdrop-Claim aussehen. In Wirklichkeit autorisiert die Signatur den Contract des Drainers, die Token des Opfers zu bewegen.

Schritt 3: Abschöpfen. Der Angreifer ruft transferFrom() von einer separaten Wallet aus auf und zieht die genehmigten Token ab. Ausgefeilte Drainer-Kits bündeln mehrere Token-Transfers – ERC-20s, NFTs und Permit2-Autorisierungen – in einem einzigen Multicall und leeren die Wallet in Sekunden. Gelder werden über dezentrale Börsen und Cross-Chain-Bridges geleitet, um die Spur zu verschleiern.

Das entscheidende Detail: Aus Sicht der Blockchain ist jeder Schritt eine gültige, autorisierte Transaktion. Das Opfer hat die Genehmigung unterzeichnet. Der Contract hat ausgeführt, wozu er autorisiert war. Es gibt keinen Mechanismus auf Protokollebene, um dies rückgängig zu machen.

Einige Wallets simulieren nun Transaktionen und Signaturen, bevor der Nutzer sie bestätigt, und markieren bekannte Drainer-Contracts und verdächtige Genehmigungsbeträge. MetaMask tut dies durch seine Integration mit Blockaid. Dies eliminiert das Risiko nicht – ein neuartiger Drainer-Contract ist möglicherweise noch nicht in einer Erkennungsdatenbank erfasst –, fügt aber eine Schutzschicht zwischen der Phishing-Aufforderung und der Bestätigung des Nutzers ein.

So überprüft und widerruft man Token-Genehmigungen

Eine Token-Genehmigung zu widerrufen bedeutet, das Limit für einen bestimmten Spender auf null zurückzusetzen. Es handelt sich um eine Blockchain-Transaktion; sie kostet Netzwerkgebühren und muss in der Wallet bestätigt werden, entfernt aber dauerhaft die Fähigkeit dieses Contracts, den angegebenen Token zu bewegen.

Drei Konzepte sind wichtig:

Wann widerrufen. Nach Abschluss der Nutzung einer App, wenn keine Rückkehr geplant ist. Nach Erteilung einer unbegrenzten Genehmigung, die nicht mehr benötigt wird. Nach jeder Interaktion, die verdächtig wirkte – auch wenn unmittelbar nichts verloren ging. Als Routinepraxis: Regelmäßige Überprüfungen aktiver Genehmigungen erfassen Berechtigungen, die ihren Zweck überlebt haben.

Was der Widerruf kostet. Jeder Widerruf ist eine separate Blockchain-Transaktion mit eigener Netzwerkgebühr. Im Ethereum-Mainnet kostet dies typischerweise einige Dollar; in Layer-2-Netzwerken kann es Bruchteile eines Cents sein. Die Kosten sind gering im Vergleich zum potenziellen Verlust durch eine kompromittierte Genehmigung, summieren sich jedoch, wenn sich über Monate der DeFi-Aktivität Dutzende von Genehmigungen angesammelt haben.

Was der Widerruf nicht behebt. Das Widerrufen einer Genehmigung verhindert zukünftige Transfers im Rahmen dieser Berechtigung. Es kann eine bereits erfolgte Übertragung nicht rückgängig machen. Wenn ein Drainer transferFrom() bereits aufgerufen hat, sind die Token weg. Widerruf ist präventiv, nicht korrektiv.

Schritt-für-Schritt-Anleitungen zur Überprüfung und zum Widerruf von Genehmigungen in einer selbstverwalteten Wallet finden sich in MetaMasks Anleitung zum Widerrufen von Smart-Contract-Limits.

So reduziert man das Risiko von Token-Genehmigungen

Einige Praktiken reduzieren die Exposition, ohne den Komfort der DeFi-Interaktion zu beseitigen.

Begrenzte Genehmigungen setzen, wenn die Option vorhanden ist. MetaMask Extension zeigt beispielsweise den angeforderten Genehmigungsbetrag an und ermöglicht es Nutzern, das Ausgabelimit anzupassen, bevor sie bestätigen. Das Limit auf den tatsächlich für die Transaktion benötigten Betrag zu setzen, begrenzt den Schaden, falls der Contract später kompromittiert wird.

Die Signierungsaufforderung lesen. Permit2-Signaturen zeigen Token-Name, Betrag, Spender-Adresse und Frist an. Wenn eine „Nachricht unterzeichnen"-Aufforderung Token-Details enthält, handelt es sich nicht um eine Anmeldung – sondern um eine Autorisierung. Wenn der Betrag dem gesamten Guthaben des Nutzers entspricht statt der erwarteten Transaktionsgröße, ist das ein Warnsignal.

Die Seite vor dem Verbinden überprüfen. Drainer-Seiten replizieren legitime App-Oberflächen. Das Setzen von Lesezeichen für vertrauenswürdige URLs und das Navigieren über Lesezeichen – statt über Suchergebnisse, Social-Media-Links oder Direktnachrichten – beseitigt den häufigsten Köder-Mechanismus.

Genehmigungen regelmäßig überprüfen. Aktive Genehmigungen häufen sich über Monate der DeFi-Nutzung an. Eine vierteljährliche Überprüfung mithilfe des Genehmigungsprüfers eines Block-Explorers oder des Ausgabelimit-Dashboards erfasst Berechtigungen, die keinen Zweck mehr erfüllen.