Coldcard Q im Test

Coldcard-Geräte gelten in der Bitcoin-Szene seit Jahren als Werkzeug für Fortgeschrittene. Mit dem Coldcard Q hat die kanadische Coinkite Inc. 2024 ein größeres Modell vorgestellt: mit Farbdisplay, voller QWERTY-Tastatur, QR-Scanner und Batteriebetrieb. Im Coldcard Q Test haben wir uns angesehen, was das Gerät kann – und warum ein Firmware-Fehler aus dem Jahr 2026 zur Pflichtlektüre gehört.

Coldcard Q: eine Bitcoin Wallet, dafür kompromisslos

Der Coldcard Q unterstützt ausschließlich Bitcoin. Eine eigene App gibt es nicht; verwaltet wird das Guthaben über Bitcoin-Wallets wie Sparrow, Nunchuk oder BlueWallet, die den Q als Signiergerät einbinden. Das reduziert den Code auf dem Gerät und damit mögliche Fehlerquellen. Wer Ethereum, Solana oder andere Coins halten will, braucht eine zweite Wallet.

Air-gapped auf drei Wegen: QR-Codes, NFC und microSD-Karte

Der Q kann Transaktionen komplett ohne Kabel signieren: per QR-Code über den eingebauten Scanner mit LED-Beleuchtung, per NFC durch Antippen des Smartphones oder über zwei microSD-Slots, in die du die Transaktionsdatei steckst. Strom liefern drei AAA-Batterien oder ein USB-C-Kabel. Einen Akku, der mit den Jahren nachlässt, gibt es nicht – Batterien und Kabel musst du aber selbst besorgen.

Security-Features: zwei Secure Elements, QWERTY-Keyboard und Profi-Funktionen

Das Master-Secret liegt verteilt auf zwei Secure Elements verschiedener Hersteller, einem Microchip ATECC608 und einem Maxim DS28C36B. Dazu kommen Funktionen, die man bei Einsteigergeräten vergeblich sucht: Trick-PINs, die unter Zwang eine Ablenkungs-Wallet öffnen oder das Gerät unbrauchbar machen, Multisig-Richtlinien, Seed XOR, BIP-85 und verschlüsselte Notizen. Über die volle Tastatur lassen sich lange BIP-39-Passphrasen bequem eintippen. Die Firmware ist auf GitHub einsehbar, steht aber unter MIT-Lizenz mit Commons Clause und ist damit nicht frei Open Source; der Code der Secure Elements ist geschlossen.

Zwei Card Slots, QR-Code-Scanner und NFC im Alltag

Die beiden MicroSD-Card-Slots nutzt du für Transaktionsdateien, aber auch für verschlüsselte Backups deiner Wallet; mit zwei Slots musst du beim Sichern oder Klonen seltener die Karte wechseln. Der QR-Code-Scanner liest Transaktionen direkt vom Bildschirm deiner Wallet-Software ein, per NFC signierst du durch Antippen am Smartphone (Tap-to-Sign) und schickst die fertige Transaktion auf Wunsch mit PushTx ab. Laut Coinkite sind QR, MicroSD, NFC, USB und das virtuelle Laufwerk ab Werk ausgeschaltet; du aktivierst nur, was du brauchst. Für größere Datenmengen per QR nutzt Coldcard das eigene Format BBQr.

Self-Custody mit Anti-Phishing-Words, Trick-PINs und Spending Policies

Self-Custody heißt: Nur du hältst den Seed – und nur du schützt ihn. Beim Entsperren gibst du zuerst den vorderen Teil der PIN ein, dann zeigt der Coldcard Q zwei gerätespezifische Anti-Phishing-Words. Stimmen sie nicht mit deinen Notizen überein, hast du nicht dein Gerät in der Hand. Mit Coldcard Co-Signing (CCC) legst du außerdem Spending Policies fest: Der Q erhält einen zweiten Seed, den Spending Policy Key, und bildet zusammen mit deinem Haupt-Seed und Backup-Schlüsseln eine 2-von-N-Multisig, die Ausgaben nach deinen Regeln begrenzt. Wer den Seed auf mehrere Orte oder eine zweite Person aufteilen will, greift zu Seed XOR oder Codex32. Firmware-Updates spielst du über die MicroSD-Karte oder per USB-C ein.

Clear Case und Farben: das Gehäuse als Teil der Sicherheit

Das durchsichtige Gehäuse (Clear Case) gehört laut Coinkite zum Sicherheitsmodell: Du kannst hineinsehen und prüfen, ob jemand ein fremdes Bauteil eingesetzt hat. Eine solche Sichtprüfung ersetzt aber nicht den Abgleich der Nummer auf dem Sicherheitsbeutel. Inzwischen verkauft Coinkite den Q auch in mehreren Farben. Läuft das Gerät mit Batterien, brauchst du kein USB-Kabel; per USB-C lässt es sich aber ebenso mit Strom versorgen und auf Wunsch als virtuelles Laufwerk mit dem Computer verbinden.

Coldcard Q oder Mk5? Zwei Hardware Wallets im Vergleich

Coinkite stellt den Q selbst dem kleineren Mk5 gegenüber: Beide teilen dasselbe Sicherheitsmodell mit zwei Secure Elements. Der Mk5 ist kreditkartengroß, signiert per MicroSD und NFC und kostet weniger. Der Q passt laut Hersteller besser zu allen, die regelmäßig signieren, Passphrasen nutzen oder eine Multisig-Wallet koordinieren, weil Tastatur, großer Screen und QR-Scanner die Bedienung erleichtern. Wer schon einen Mk4 besitzt, kann laut Coinkite-Anleitung auf den Q umziehen.

Firmware-Update und Backup: so hältst du den Coldcard Q aktuell

Ein Firmware-Update ist beim Q kein Nebenthema, sondern Pflicht, wie der Seed-Fehler von 2026 gezeigt hat. Die Update-Datei lädst du von der Coldcard-Website und spielst sie per MicroSD-Karte oder USB-C-Kabel ein; die Release Notes zum Q führt Coinkite öffentlich auf GitHub. Vor jedem Update solltest du ein verschlüsseltes Backup auf eine SD-Karte schreiben, damit Seed, Passphrase-Einstellungen und Multisig-Konfiguration erhalten bleiben. Für die Seed Phrase selbst gilt: offline auf Papier oder Metall notieren, nie fotografieren und nie in eine Wallet-Software eintippen. Wer die Entropie selbst erzeugt, nutzt dafür mindestens 50 echte Würfelwürfe (Dice Rolls) direkt am Gerät.

Der Fehler bei der Seed-Erzeugung 2026

Im Juli 2026 musste Coinkite einen schweren Fehler einräumen: Die Zufallszahlen bei der Seed-Erzeugung waren bei mehreren Coldcard-Modellen geschwächt, beim Q in allen Versionen vor 1.5.0Q und auf der separaten Edge-Firmware vor 6.6.0QX; laut Coinkite hatten die Seeds etwa 72 statt 128 Bit Zufall. Laut Coinkite haben Angreifer schwache Seeds nachberechnet und Bitcoin gestohlen. Wer seine Seed Phrase ohne 50 eigene Würfelwürfe und ohne starke Passphrase erzeugt hat, muss auf aktueller Firmware eine neue anlegen und die Coins umziehen. Der Vorfall drückt den Trust Score deutlich – und zeigt, warum Profis ihre Entropie ohnehin selbst mit Würfeln erzeugen.

Setup, Bedienung und Kauf des Coldcard Q

Das 3,2-Zoll-LCD mit 320 × 240 Pixeln und die Tastatur machen den Q komfortabler als die kleineren Coldcards, die Menüs bleiben aber technisch. Einrichten heißt: Sicherheitsbeutel prüfen, zweiteilige PIN und Anti-Phishing-Wörter notieren, Firmware aktualisieren, Seed mit Würfeln erzeugen. Der Q kostet im Shop 319 US-$ statt regulär 369 US-$ (Stand 09.10.2026) und wird aus Kanada verschickt; in Europa gibt es autorisierte Händler.

Unser Fazit: Der Coldcard Q ist eine der vielseitigsten Bitcoin-Hardware-Wallets für erfahrene Nutzer, die Air-Gap, Multisig und Trick-PINs wirklich einsetzen. Einsteiger sind mit einem Trezor oder einer BitBox einfacher und günstiger bedient, und wer einen Q besitzt, sollte zuerst prüfen, ob sein Seed vom Fehler 2026 betroffen ist.