Bevor du eine heruntergeladene BitBoxApp-Datei öffnest oder installierst, kannst du prüfen, ob Shift Crypto sie signiert hat und ob sie seitdem unverändert geblieben ist. Die Prüfung ist unter Windows, macOS und Linux möglich, auch für eine Android-APK.

Wir empfehlen die lokale Prüfung mit GnuPG, einem Programm zum Überprüfen digitaler Signaturen. Erfolgreich ist die Prüfung nur, wenn GnuPG für genau die Datei, die du installieren möchtest, eine gültige Signatur meldet und der vollständige Fingerabdruck des verwendeten Schlüssels mit der offiziellen Referenz von Shift Crypto übereinstimmt. Ein vertrauter Name allein reicht nicht aus.

Du musst dafür weder deine BitBox anschließen noch Wallet-Daten angeben. Die Prüfung erfordert niemals Wiederherstellungswörter, ein Wallet-Backup, ein Passwort, eine Passphrase, einen privaten Schlüssel, eine PIN oder einen Authentifizierungscode.

Wenn die Befehlszeile für dich eine Hürde ist, findest du am Ende eine optionale Methode mit KI-Unterstützung. Dabei musst du zusätzlich dem KI-Anbieter und seinem Bericht vertrauen. Möchtest du deinen Download nur mit einem veröffentlichten SHA-256-Wert vergleichen, folge der separaten Anleitung zum Überprüfen der BitBoxApp-Prüfsumme. Eine übereinstimmende Prüfsumme bestätigt für sich genommen nicht die Identität des Herausgebers.

Diese Anleitung prüft die heruntergeladene Installationsdatei, nicht eine bereits installierte App oder eine Installation aus einem App-Store.

1. Dateien vorbereiten

Für die Signaturprüfung brauchst du drei Dateien. Bewahre sie unverändert im selben Ordner auf:

• Die Installationsdatei der BitBoxApp: den Download, den du installieren möchtest, etwa eine .exe-Datei für Windows, eine .dmg-Datei für macOS, eine .AppImage-, .deb- oder .rpm-Datei für Linux oder eine .apk-Datei für Android.
• Die zugehörige Signaturdatei: eine kleine separate Datei, deren Name aus dem vollständigen Namen der Installationsdatei und der zusätzlichen Endung .asc besteht. Damit prüft GnuPG genau diese Installationsdatei.
• Die Datei mit dem öffentlichen Signaturschlüssel: shiftcryptosec-509249B068D215AE.gpg.asc. Mit diesem öffentlichen Schlüssel kann GnuPG Signaturen überprüfen, die mit dem zugehörigen Signaturschlüssel erstellt wurden. Die Datei enthält öffentliche Informationen, kein Wallet-Geheimnis.

Die Signaturdatei und die Schlüsseldatei enden beide auf .asc, haben aber unterschiedliche Aufgaben: Die Signatur gehört zu einer bestimmten Installationsdatei; der öffentliche Schlüssel identifiziert den Unterzeichner. Sein Fingerabdruck ist die vollständige Kennung, die du mit der offiziellen Referenz vergleichst.

1. Öffne die offizielle Release-Seite der BitBoxApp auf GitHub und suche das Release mit der Version aus dem Namen deiner heruntergeladenen Datei.
2. Öffne beim passenden Release den Bereich Assets und blende bei Bedarf die vollständige Dateiliste ein. Falls du die Installationsdatei noch nicht heruntergeladen hast, wähle die Datei für dein Betriebssystem und das gewünschte Paketformat. Wähle weder Source code (zip) noch Source code (tar.gz).
3. Lade die passende Signaturdatei herunter. Ihr Name muss dem vollständigen Namen der Installationsdatei mit der zusätzlichen Endung .asc entsprechen. Zu einer .dmg-Datei gehört beispielsweise die passende .dmg.asc-Datei aus demselben Release.
4. Lade die Datei mit dem öffentlichen Signaturschlüssel von Shift Crypto in denselben Ordner herunter.

Die GitHub-Kennzeichnung Verified bei einem Commit oder Tag ersetzt die Prüfung der Installationsdatei nicht. Im Folgenden prüfst du die konkrete heruntergeladene Datei. Installiere danach dieselbe geprüfte Datei und keine andere Kopie.

2. GnuPG installieren oder finden

GnuPG stellt den Befehl gpg bereit. Ist es bereits installiert, öffne ein Terminal und führe gpg --version aus. Sobald eine GnuPG-Version angezeigt wird, kannst du mit Abschnitt 3 fortfahren. Andernfalls folge den Anweisungen für das Gerät, auf dem du die Prüfung durchführen möchtest.

Windows

1. Lade Gpg4win von der offiziellen Gpg4win-Website herunter und installiere es.
2. Öffne die Eingabeaufforderung oder PowerShell. War das Fenster während der Installation bereits geöffnet, schließe es und öffne ein neues, damit der neu installierte Befehl gefunden werden kann.
3. Führe gpg --version aus. Fahre fort, sobald die installierte Version angezeigt wird.

macOS

Wenn du Homebrew bereits verwendest, öffne Terminal, führe brew install gnupg aus und anschließend gpg --version.

Ohne Homebrew kannst du auf der GnuPG-Downloadseite eines der unter den Binärversionen aufgeführten macOS-Installationsprogramme verwenden. Folge dessen Anweisungen, öffne Terminal und führe gpg --version aus. Fahre fort, sobald die installierte Version angezeigt wird.

Linux

Öffne ein Terminal und führe gpg --version aus. Ist der Befehl nicht verfügbar, installiere GnuPG über die Paketverwaltung deiner Distribution:

• Debian, Ubuntu oder Linux Mint: sudo apt install gnupg
• Fedora: sudo dnf install gnupg2

Verwende bei einer anderen Distribution deren offizielle Paketverwaltung. Führe nach der Installation erneut gpg --version aus.

Android-APK

Wir empfehlen, die APK auf einem Windows-, macOS- oder Linux-Computer mit den entsprechenden Anweisungen oben zu prüfen. Du überprüfst dabei die APK-Datei und installierst sie nicht auf dem Computer. Wenn du sie anschließend auf dein Android-Gerät überträgst, verwende dort dieselbe geprüfte APK.

Wenn du mit der Befehlszeile vertraut bist, kannst du alternativ Termux direkt unter Android 7 oder neuer verwenden:

1. Speichere die APK, die passende .apk.asc-Datei und die öffentliche Signaturschlüsseldatei im Android-Ordner Downloads.
2. Installiere Termux aus F-Droid und öffne es.
3. Führe termux-setup-storage aus und erlaube den Dateizugriff, wenn Android danach fragt.
4. Führe zuerst pkg update und danach pkg install gnupg aus. Bestätige die Rückfragen der Paketverwaltung, um die Aktualisierung und Installation abzuschließen.
5. Führe cd ~/storage/downloads aus und anschließend gpg --version. Fahre fort, sobald die installierte Version angezeigt wird.

Kann Termux nicht auf die Dateien zugreifen oder unterscheiden sich die Befehle oder der Speicherpfad auf deinem Gerät, führe die Prüfung stattdessen auf einem Computer durch.

Wenn der Befehl gpg weiterhin nicht verfügbar ist

Eine Meldung wie command not found oder gpg is not recognized bedeutet, dass das Terminal GnuPG nicht findet. Sie ist kein Ergebnis einer Signaturprüfung. Kontrolliere, ob die Installation abgeschlossen wurde, und versuche es in einem neuen Terminalfenster. Bleibt der Befehl nicht verfügbar, nutze die Hilfe des Installationsprogramms oder kontaktiere den BitBox Support, bevor du fortfährst.

3. Signaturschlüssel prüfen und importieren

Prüfe zunächst, ob der heruntergeladene öffentliche Schlüssel den erwarteten vollständigen Fingerabdruck hat. Lass das Terminal für diesen und die folgenden Abschnitte geöffnet.

1. Gib den folgenden Befehl mit dem Pfad zur öffentlichen Schlüsseldatei ein und drücke die Eingabetaste:

gpg --show-keys --fingerprint "PATH-TO/shiftcryptosec-509249B068D215AE.gpg.asc"

2. Suche in der Ausgabe den primären Schlüssel, der mit pub gekennzeichnet ist. Vergleiche den vollständigen Fingerabdruck darunter mit der folgenden offiziellen Referenz. Die erwartete Identität lautet ShiftCrypto Security <security@shiftcrypto.ch>; Name und E-Mail-Adresse allein bestätigen die Echtheit des Schlüssels jedoch nicht.

DD09 E413 0975 0EBF AE0D EF63 5092 49B0 68D2 15AE

Dieser Fingerabdruck steht auch in den Verifizierungsanweisungen auf der offiziellen Release-Seite der BitBoxApp. Vergleiche alle 40 Zeichen in der richtigen Reihenfolge; Leerzeichen sowie Groß- und Kleinschreibung ändern den Wert nicht. Verwende keine verkürzte Schlüssel-ID als Ersatz.

3. Importiere dieselbe öffentliche Schlüsseldatei mit dem folgenden Befehl erst, nachdem der Fingerabdruck übereinstimmt. GnuPG sollte melden, dass der öffentliche Schlüssel importiert wurde oder bereits vorhanden ist.

gpg --import "PATH-TO/shiftcryptosec-509249B068D215AE.gpg.asc"

4. Installationsdatei überprüfen

Verwende die passende Signatur und genau die Installationsdatei, die du nutzen möchtest. Zuerst kommt der Pfad zur Signaturdatei, danach der Pfad zur Installationsdatei:

gpg --keyid-format none --verify "PATH-TO-SIGNATURE-FILE.asc" "PATH-TO-INSTALLATION-FILE"

1. Tippe gpg --keyid-format none --verify und danach ein Leerzeichen ein. Füge den Pfad zur Signaturdatei ein, dann ein weiteres Leerzeichen und anschließend den Pfad zur Installationsdatei.
2. Prüfe, ob die beiden Pfade auf die zusammengehörigen Dateien aus demselben Release verweisen, und drücke die Eingabetaste. GnuPG liest die Dateien und zeigt das Prüfergebnis an; die BitBoxApp wird dabei nicht installiert.

Die Option --keyid-format none zeigt einen vollständigen Fingerabdruck statt einer verkürzten Schlüssel-ID an. Prüfe die Ausgabe dieses Befehls im nächsten Abschnitt.

5. Signatur und Unterzeichner überprüfen

Bei erfolgreicher Prüfung erscheint eine Meldung über eine gültige Signatur, auf Englisch Good signature, zusammen mit dem erwarteten Fingerabdruck des Signaturschlüssels. Der folgende Auszug zeigt die relevanten Zeilen. Datum, Sprache und weitere Ausgaben können abweichen:

gpg:                using RSA key DD09E41309750EBFAE0DEF63509249B068D215AE
gpg: Good signature from "ShiftCrypto Security <security@shiftcrypto.ch>" [unknown]
Primary key fingerprint: DD09 E413 0975 0EBF AE0D EF63 5092 49B0 68D2 15AE

• Signatur prüfen: GnuPG muss für genau die in Abschnitt 4 angegebene Installationsdatei eine gültige Signatur melden.
• Tatsächlich verwendeten Signaturschlüssel prüfen: Vergleiche den primären Fingerabdruck in dieser Prüfausgabe, im englischen Beispiel Primary key fingerprint, mit der Referenz aus Abschnitt 3. Fehlt diese Zeile, muss der vollständige Fingerabdruck in der Zeile using RSA key exakt mit der Referenz übereinstimmen. Kannst du den erwarteten Schlüssel anhand keiner der beiden Zeilen bestätigen, fahre nicht fort und kontaktiere den Support.

Fahre nicht fort, wenn die Ausgabe zusätzlich eine ungültige Signatur oder einen anderen Verifizierungsfehler meldet. Das gilt auch bei einem abgelaufenen oder widerrufenen Schlüssel oder einer abgelaufenen oder widerrufenen Signatur. Nutze in diesen Fällen die Hinweise zur Fehlerbehebung weiter unten.

Ersetze diesen Vergleich nicht durch eine separate Suche nach dem erwarteten Schlüssel: Dass er in deinem Schlüsselbund vorhanden ist, belegt nicht, dass er bei dieser Datei zur Signaturprüfung verwendet wurde. Auch eine gültige Signatur mit einem anderen Schlüssel besteht diese Prüfung nicht, selbst wenn derselbe Name angezeigt wird.

GnuPG kann außerdem This key is not certified with a trusted signature und die Vertrauensangabe [unknown] anzeigen. Diese Hinweise beziehen sich auf die lokale Vertrauensdatenbank von GnuPG und machen eine kryptografisch gültige Signatur nicht ungültig. Du musst die Vertrauenseinstellungen des Schlüssels nicht ändern, um die Warnung zu entfernen. Den vollständigen Fingerabdruck des tatsächlich verwendeten Signaturschlüssels musst du trotzdem vergleichen.

Die Verifizierung ist abgeschlossen, wenn beide Prüfungen erfolgreich sind. Du kannst anschließend dieselbe geprüfte Datei installieren, unter Beachtung der üblichen Sicherheitsprüfungen deines Betriebssystems. Bestätigt werden die Signatur und Unverändertheit der Datei. Die Prüfung belegt nicht, dass dein Computer frei von Schadsoftware ist oder jede Aktion in der App sicher wäre.

Die folgenden historischen Beispiele unter Windows und macOS zeigen, wo die Meldung zur gültigen Signatur und der primäre Fingerabdruck erscheinen. Die Ausgaben sind auf Englisch; Versionen, Dateinamen und Befehle sind veraltet. Verwende für deine eigene Prüfung den aktuellen Befehl mit zwei Dateien aus Abschnitt 4.

Wenn die Prüfung nicht erfolgreich ist

Datei nicht gefunden oder nicht lesbar

Meldet GnuPG No such file oder cannot open, kontrolliere zunächst, ob der Download vollständig ist. Prüfe anschließend die Pfade und Anführungszeichen. Verwende den Befehl mit zwei Dateien aus Abschnitt 4 mit der passenden Signatur und Installationsdatei. Ein Pfadfehler allein ist kein Grund, eine der Dateien zu löschen.

No valid OpenPGP data found oder no signature found kann bedeuten, dass du die falsche Datei angegeben oder statt des Schlüssels beziehungsweise der Signatur eine Webseite gespeichert hast. Prüfe, in welchem Abschnitt der Fehler aufgetreten ist, und lade die benötigte Datei über den offiziellen Link erneut herunter. Eine kleine Datei mit der Endung .asc ist nicht automatisch die richtige Signatur.

No public key

GnuPG fehlt der Schlüssel für diese Signatur. Kehre zu Abschnitt 3 zurück, prüfe die offizielle öffentliche Schlüsseldatei und importiere sie nur, wenn ihr Fingerabdruck übereinstimmt. Wiederhole danach Abschnitt 4. Wird für die Signatur ein anderer als der erwartete Schlüssel benötigt, fahre nicht fort.

BAD signature

Öffne, entpacke, installiere oder starte die Installationsdatei nicht. Prüfe zunächst, ob die Namen der Installations- und Signaturdatei zusammenpassen und beide zum selben Release gehören. Falls nicht, lade das richtige Dateipaar herunter und wiederhole die Prüfung.

Ergibt auch das passende Dateipaar eine ungültige Signatur, lösche diese beiden Downloads. Öffne die offizielle Release-Seite der BitBoxApp selbst erneut, lade ein frisches zusammengehöriges Dateipaar herunter und wiederhole die Verifizierung. Einen öffentlichen Schlüssel, dessen vollständigen Fingerabdruck du bereits überprüft hast, musst du nicht löschen.

Abweichender Fingerabdruck oder andere Schlüsselwarnung

Akzeptiere keine Signatur mit einem anderen Schlüssel und ändere den erwarteten Fingerabdruck nicht, um eine Übereinstimmung zu erzielen. Weicht die heruntergeladene öffentliche Schlüsseldatei ab, lade sie erneut über den offiziellen Link herunter und prüfe sie vor dem Import. Bleibt die Abweichung bestehen, kontaktiere den BitBox Support, bevor du die Installationsdatei verwendest. Das gilt auch, wenn GnuPG meldet, dass der Schlüssel oder die Signatur abgelaufen oder widerrufen ist.

BitBox Support kontaktieren

Kannst du die Prüfung nicht mit Sicherheit abschließen, lass die Installationsdatei ungeöffnet und kontaktiere den BitBox Support. Nenne dein Betriebssystem, deine GnuPG-Version, die genauen Namen der Installations- und Signaturdatei und die Downloadquelle. Füge die Prüfausgabe einschließlich des Fingerabdrucks bei. Kontrolliere sie vor dem Teilen auf persönliche Ordnernamen.

Sende niemals Wiederherstellungswörter, Wallet-Backups, Passwörter, Passphrases, private Schlüssel, PINs oder Authentifizierungscodes.

Optional: Prüfung mit KI-Unterstützung

Wenn die lokale Prüfung über die Befehlszeile für dich eine Hürde ist, kann ein geeigneter KI-Dienst versuchen, die von dir hochgeladene öffentliche Installationsdatei zu prüfen. Er muss die vollständige Datei annehmen und verarbeiten, das offizielle Release im Internet abrufen und GnuPG ausführen können. Manche BitBoxApp-Pakete sind größer als 200 MB. Ob die Methode funktioniert, hängt daher von den Fähigkeiten und Grenzen des gewählten Dienstes ab.

1. Lade genau die ungeöffnete BitBoxApp-Installationsdatei hoch, die du verwenden möchtest.
2. Ersetze [VERSION] in der folgenden Anfrage durch die Version aus ihrem Dateinamen und sende die Anfrage.

Angehängt ist eine heruntergeladene Datei der BitBoxApp.

Öffne das offizielle GitHub-Release von BitBoxSwiss/bitbox-wallet-app für [VERSION], lade den Schlüssel und die passende Signatur herunter und überprüfe damit die hochgeladene Datei. Zeige den Befehl, das Ergebnis und den vollständigen Fingerabdruck des primären Schlüssels des tatsächlichen Unterzeichners. Falls du die vollständige hochgeladene Datei nicht verarbeiten oder die Prüfung nicht ausführen kannst, sage dies ausdrücklich.

Bevor du dich auf den Bericht verlässt, kontrolliere, ob er alle folgenden Angaben enthält:

• Den genauen Namen deiner hochgeladenen Datei und das passende offizielle Release.
• Den Namen der passenden .asc-Signaturdatei.
• Den ausgeführten GnuPG-Befehl mit der Signaturdatei und der hochgeladenen Installationsdatei sowie das Ergebnis einer gültigen Signatur von ShiftCrypto Security <security@shiftcrypto.ch>, auf Englisch Good signature.
• Den vollständigen primären Fingerabdruck des tatsächlich verwendeten Signaturschlüssels: DD09 E413 0975 0EBF AE0D EF63 5092 49B0 68D2 15AE. Vergleiche ihn selbst mit der Referenz auf der offiziellen Release-Seite.

Diese Angaben helfen dir, unvollständige oder widersprüchliche Berichte zu erkennen. Sie heben die Abhängigkeit vom KI-Anbieter jedoch nicht auf. Eine Prüfsummenberechnung oder die Prüfung einer anderen, vom Dienst heruntergeladenen Kopie verifiziert nicht die von dir hochgeladene Datei.

Öffne und installiere die Datei nicht, wenn der Dienst die vollständige Datei nicht verarbeiten oder die Prüfung nicht ausführen kann oder eine ungültige Signatur meldet. Fahre auch nicht fort, wenn Fingerabdruck, Dateiname oder Release abweichen oder unvollständig angegeben sind. Nutze in diesen Fällen die lokale Prüfung oder kontaktiere den BitBox Support. Eine beruhigende Antwort ersetzt keine abgeschlossene Verifizierung.