Was sind dApps? 2026 erklärt: Architektur, Account Abstraction, Layer-2, Wallet-Drainer & Sicherheit

Eine dApp besteht typischerweise aus mehreren Schichten. Das Backend bilden Smart Contracts auf einer Blockchain, die die eigentliche Logik und das Geld verwalten – dieser Teil ist dezentral und unveränderlich. Das Frontend ist die Benutzeroberfläche, also die Website oder App, mit der du interagierst; sie wird oft auf klassischen Servern oder dezentral über IPFS gehostet. Hinzu kommen die Wallet als Login und Signatur-Werkzeug, RPC-Knoten, die die Verbindung zur Blockchain herstellen, sowie häufig Oracles für externe Daten und Indexer wie The Graph, um Blockchain-Daten durchsuchbar zu machen. Wichtig zu verstehen: Nur der Smart-Contract-Teil ist im engeren Sinne dezentral – das Frontend und die Infrastruktur können sehr wohl zentrale Komponenten enthalten.

Nein, in der Praxis selten vollständig. Dezentralität ist kein Schalter, sondern ein Spektrum. Der Smart Contract auf der Blockchain ist meist echt dezentral und zensurresistent. Aber das Frontend läuft oft auf zentralen Servern, die Domain hängt am klassischen DNS-System, und viele dApps nutzen zentrale RPC-Anbieter oder ein Team mit Admin-Rechten am Vertrag. Eine dApp kann also durchaus angreifbar oder teilweise abschaltbar sein – etwa, wenn die Website offline geht oder die Domain beschlagnahmt wird, selbst wenn der Smart Contract weiterläuft. Die pauschale Aussage 'dApps haben keine zentrale Schwachstelle' ist deshalb zu vereinfacht; man sollte für jede dApp prüfen, welche Teile tatsächlich dezentral sind.

Account Abstraction ist ein Wallet-Modell, bei dem nicht mehr ein einzelner privater Schlüssel das Konto kontrolliert, sondern ein programmierbarer Smart Contract. Der Ethereum-Standard ERC-4337 brachte das im März 2023 ohne Änderung der Konsensregeln auf die Blockchain. Ein solches Smart Account kann Dinge, die ein klassisches Konto nicht kann: Gas durch die dApp sponsern lassen (gasless), mehrere Aktionen in einer Transaktion bündeln, sich per Passkey statt Seed-Phrase anmelden, eine soziale Wiederherstellung über vertraute Kontakte ermöglichen und Ausgaberegeln durchsetzen. Bis April 2026 gab es laut Branchendaten rund 62 Millionen aktive Smart Accounts auf EVM-Chains, angeführt von Coinbase Smart Wallet und Safe. Account Abstraction gilt als einer der wichtigsten Hebel, um dApps alltagstauglich zu machen.

Nicht mehr zwingend. Lange galt: Ohne ETH im Wallet keine Ethereum-dApp, weil jede Transaktion Gas kostet. Mit Account Abstraction und sogenannten Paymastern hat sich das geändert. Eine dApp kann das Gas für ihre Nutzer übernehmen (gasless), oder du zahlst die Gebühr in einem anderen Token wie einem Stablecoin statt in ETH. Manche Wallets erlauben sogar, Gas per Kreditkarte in Euro zu begleichen, während im Hintergrund der Paymaster abrechnet. Auf günstigen Layer-2-Netzwerken sind die Gebühren ohnehin sehr niedrig. Für viele moderne dApps brauchst du also nicht mehr unbedingt vorab ETH – die ursprüngliche Hürde wird zunehmend abgebaut, auch wenn klassische Wallets weiterhin ETH für Gas benötigen.

Ein Smart Wallet ist eine Wallet, die als programmierbarer Smart Contract funktioniert, statt nur einen einzelnen privaten Schlüssel zu verwalten. Dadurch verhält sie sich eher wie eine App: Du kannst dich per Passkey oder biometrisch anmelden, den Zugang über vertraute Kontakte wiederherstellen (Social Recovery) statt über eine Seed-Phrase, mehrere Aktionen in einem Schritt bündeln, Ausgabelimits festlegen und einen gestohlenen Schlüssel rotieren. Bekannte Beispiele 2026 sind Coinbase Smart Wallet, Safe (der institutionelle Standard für DAOs und Treasuries) und Argent. Smart Wallets reduzieren typische Einsteigerfehler wie den Verlust der Seed-Phrase, bringen aber eigene Komplexität und Vertrauensannahmen mit sich, die man verstehen sollte.

Eine Token-Approval ist die Erlaubnis, die du einem Smart Contract gibst, eine bestimmte Menge deiner Token zu bewegen. Ohne sie kann eine dApp wie eine dezentrale Börse deine Token nicht tauschen. Das Problem: Viele dApps fordern unbegrenzte Approvals an, und diese Erlaubnis bleibt aktiv – auch nachdem du die dApp nicht mehr nutzt. Wird der Vertrag später kompromittiert oder war er von Anfang an bösartig, kann er deine Token jederzeit per transferFrom abziehen, ohne dass du erneut etwas signierst. Approval-basierte Angriffe verursachten 2024 und 2025 Verluste von über 200 Millionen Dollar. Deshalb gilt: Erteile möglichst nur begrenzte Approvals und widerrufe alte Erlaubnisse regelmäßig über Werkzeuge wie Revoke.cash.

Ein Wallet-Drainer ist ein bösartiger Smart Contract oder eine Betrugsseite, die darauf ausgelegt ist, dein Wallet leerzuräumen. Der häufigste Weg führt über Phishing: Du landest auf einer gefälschten, oft täuschend echten Kopie einer bekannten dApp und signierst dort eine scheinbar harmlose Transaktion oder Approval – in Wahrheit gibst du dem Angreifer Zugriff auf deine Token. Phishing war 2025 der häufigste Angriffsvektor nach Anzahl der Vorfälle. Tückisch ist, dass viele Drains keine verdächtige, vom Nutzer selbst ausgelöste Transaktion zeigen, weil der Angreifer eine zuvor erteilte Approval ausnutzt. Schutz bieten Wachsamkeit bei jeder Signatur, das Vermeiden unbekannter Links, der Einsatz von Sicherheits-Scannern und das konsequente Trennen von Beträgen, die man langfristig hält, von dApp-Interaktionen.

Nur teilweise. Eine Hardware-Wallet schützt sehr gut vor dem Diebstahl deines privaten Schlüssels, weil dieser das Gerät nie verlässt. Sie schützt aber nicht davor, dass du selbst eine bösartige Transaktion oder Approval freigibst – denn die bestätigst du ja bewusst per Knopfdruck auf dem Gerät. Wenn du also auf einer Phishing-Seite eine schädliche Approval signierst, hilft die Hardware-Wallet nicht. Der wirksamste Zusatzschutz besteht darin, jede Transaktion vor dem Bestätigen genau zu prüfen und große, langfristige Bestände in einer separaten Vault-Wallet zu halten, die niemals mit dApps verbunden wird. Hardware-Wallet und vorsichtiges Verhalten ergänzen sich – das eine ersetzt das andere nicht.

Nein, das ist ein weit verbreiteter Irrtum. Wenn du dein Wallet in der Benutzeroberfläche von einer dApp trennst (Disconnect), widerrufst du damit nicht die zuvor erteilten Token-Approvals. Die Erlaubnis, deine Token zu bewegen, bleibt auf der Blockchain bestehen, bis du sie aktiv widerrufst. Das bedeutet: Selbst eine dApp, die du seit Jahren nicht mehr genutzt hast, kann über eine alte Approval noch ein Risiko sein, wenn ihr Vertrag kompromittiert wird. Um Approvals tatsächlich zu entfernen, musst du sie über ein Werkzeug wie Revoke.cash, den Etherscan Token Approval Checker oder einen Block-Explorer aktiv widerrufen – das ist eine eigene On-Chain-Transaktion, die wiederum etwas Gas kostet.

Token-Approvals widerrufst du über spezialisierte Werkzeuge, die dir alle erteilten Erlaubnisse anzeigen. Verbreitet sind Revoke.cash, der Token Approval Checker von Etherscan sowie in Block-Explorer integrierte Lösungen. Du verbindest dein Wallet, siehst eine Liste aller aktiven Approvals pro Chain und kannst nicht mehr benötigte gezielt entfernen. Jeder Widerruf ist eine eigene On-Chain-Transaktion und kostet etwas Gas. Sinnvoll ist eine Routine: Approvals nach jeder Nutzung einer neuen dApp prüfen, nach jedem größeren Sicherheitsvorfall in einem Protokoll, das du genutzt hast, und ansonsten in regelmäßigen Abständen. Achte dabei unbedingt darauf, nur die offizielle Adresse des Revoke-Werkzeugs zu nutzen, da nach Vorfällen oft gefälschte Revoke-Seiten als Falle auftauchen.

Das dApp-Ökosystem hat sich stark ausdifferenziert. Die größte Kategorie ist DeFi (dezentrale Finanzanwendungen) mit Tausch-Protokollen wie Uniswap, Kredit-Protokollen wie Aave und Derivaten. Daneben gibt es NFT- und Gaming-dApps für digitale Sammlerstücke und Blockchain-Spiele, SocialFi für dezentrale soziale Netzwerke, DAOs für gemeinschaftliche Organisationen, Prediction Markets für Wetten auf Ereignisse sowie den wachsenden Bereich DePIN (dezentrale physische Infrastruktur) für Dinge wie Speicher- oder Mobilfunknetze. Hinzu kommt die Tokenisierung realer Vermögenswerte (RWA). Gemeinsam ist allen, dass sie Aufgaben über Smart Contracts abwickeln, die früher zentrale Anbieter übernahmen – mit unterschiedlichem Reifegrad und Risiko je Kategorie.

Neben dem Ethereum-Mainnet sind 2026 vor allem Layer-2-Netzwerke (L2) wichtig, weil sie Transaktionen deutlich günstiger und schneller machen. Verbreitet sind unter anderem Arbitrum, Optimism und Base, das von Coinbase betriebene Netzwerk, das stark zur Verbreitung von Smart Wallets beigetragen hat. Diese Rollups bündeln viele Transaktionen und sichern sie über Ethereum ab. Außerhalb der Ethereum-Welt ist Solana eine wichtige Plattform für schnelle, günstige dApps, daneben Polygon (mit dem Token POL), die BNB Smart Chain und Avalanche. Für Nutzer bedeutet die Layer-2-Welt vor allem niedrigere Gas-Gebühren, erfordert aber etwas Aufmerksamkeit, auf welcher Chain man sich gerade bewegt und welche Brücken man nutzt.

Gefälschte dApps imitieren bekannte Protokolle oft täuschend echt – mit identischer Optik und einer leicht abgewandelten Domain. Sie werden häufig über Social-Media-Posts, Suchanzeigen oder gefälschte Governance-Vorschläge verbreitet. Schütze dich, indem du dApps nur über offizielle, selbst gespeicherte Links aufrufst statt über Anzeigen oder fremde Links, die Domain genau prüfst und bei jeder Signaturanfrage innehältst und liest, was du eigentlich bestätigst. Besondere Vorsicht gilt nach großen Hacks: Betrüger registrieren dann gezielt gefälschte Revoke- oder Migrations-Seiten und fluten soziale Medien mit Beiträgen, die echte Sicherheitshinweise nachahmen. Wer in Panik schnell handelt, landet so auf einer Falle. Im Zweifel lieber kurz innehalten und die offizielle Quelle des Projekts prüfen.

dApp-Nutzung kann steuerlich relevant sein, und zwar einzelfallabhängig. Tauschst du auf einer dezentralen Börse einen Token gegen einen anderen, gilt das grundsätzlich als Veräußerung und kann einen steuerpflichtigen Vorgang nach Paragraf 23 EStG auslösen, wenn die einjährige Haltefrist noch nicht abgelaufen ist. Erträge aus DeFi-Anwendungen wie Lending oder Liquiditätsbereitstellung können als sonstige Einkünfte zu erfassen sein. Auch das Beanspruchen von Belohnungen oder Airdrops kann steuerliche Folgen haben. Weil die Bewertung komplex und von der konkreten Transaktion abhängig ist, lohnt sich eine saubere Dokumentation aller dApp-Interaktionen und im Zweifel die Beratung durch einen auf Krypto spezialisierten Steuerberater. Diese Angaben sind allgemein und keine Steuerberatung.

DeFi ist eine Teilmenge der dApps. Eine dApp ist allgemein jede dezentrale Anwendung, die über Smart Contracts auf einer Blockchain läuft – das kann ein Spiel, ein soziales Netzwerk oder ein Finanzdienst sein. DeFi (dezentrale Finanzen) bezeichnet speziell jene dApps, die Finanzdienstleistungen ohne Banken oder Broker anbieten, etwa Tauschen, Verleihen, Leihen oder Sparen. Jede DeFi-Anwendung ist also eine dApp, aber nicht jede dApp ist DeFi. Eine NFT-Plattform oder ein Blockchain-Spiel sind dApps, gehören aber nicht zu DeFi. Diese Unterscheidung hilft, weil DeFi-dApps wegen der direkt verwalteten Geldsummen tendenziell ein höheres finanzielles Risiko tragen als etwa eine reine Gaming- oder Social-dApp.

Beginne klein und vorsichtig. Richte zunächst eine Wallet ein und mache dich mit den Grundlagen vertraut, bevor du nennenswerte Summen einsetzt. Nutze für erste Experimente nur einen kleinen Betrag und idealerweise eine separate Wallet, nicht die, in der du langfristig größere Bestände hältst. Rufe dApps ausschließlich über offizielle, selbst gespeicherte Links auf, lies jede Signaturanfrage genau, und vermeide unbegrenzte Token-Approvals. Halte langfristige Bestände in einer Vault-Wallet, die nie mit dApps verbunden wird, idealerweise abgesichert über eine Hardware-Wallet. Prüfe und widerrufe Approvals regelmäßig. Und akzeptiere, dass im dezentralen Raum niemand Fehler rückgängig machen kann – Sorgfalt ist der wichtigste Schutz. Beginne mit etablierten, gut geprüften Anwendungen statt mit unbekannten Hochrisiko-Projekten.