Krypto: Europa verlangt Meldung von Wallet-Schwachstellen binnen 24 Stunden

Vierundzwanzig Stunden, keine Minute länger. Seit dem 11. September sind Hersteller digitaler Produkte, die in der Europäischen Union vertrieben werden, dazu verpflichtet, aktiv ausgenutzte Schwachstellen oder schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden nach deren Entdeckung zu melden. Die Hersteller von Hardware-Wallets sowie Anbieter kostenpflichtiger Wallet-Software sind hiervon betroffen, sobald sie ihre Produkte auf den europäischen Markt bringen. Alle Details dazu im Folgenden.

Kernpunkte

• Ab dem 11. September 2026 muss jede aktiv ausgenutzte Schwachstelle in einem Wallet innerhalb von 24 Stunden an die ENISA und das zuständige nationale CSIRT gemeldet werden.
• Der Zeitplan sieht anschließend eine vollständige Meldung nach 72 Stunden sowie einen Abschlussbericht nach 14 Tagen oder einem Monat vor, je nach Fall.
• Hardware-Wallets und kommerzielle Software sind betroffen, während nicht-kommerzielle Open-Source-Projekte von einer Ausnahmeregelung profitieren.
• Maximalstrafe: 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes, noch bevor die Produktvorgaben im Dezember 2027 in Kraft treten.

Krypto-Wallets in Europa: Der 24-Stunden-Countdown läuft

Der Cyber Resilience Act trägt die offizielle Bezeichnung Verordnung (EU) 2024/2847. Sie trat am 10. Dezember 2024 in Kraft und wird in aufeinanderfolgenden Phasen umgesetzt – die erste davon konzentriert sich gezielt auf die Meldepflicht bei Sicherheitslücken.

Sobald ein Hersteller Kenntnis von einer aktiv ausgenutzten Schwachstelle in einem seiner Produkte oder von einem schwerwiegenden sicherheitsrelevanten Vorfall erlangt, muss er die ENISA (Agentur der Europäischen Union für Cybersicherheit) sowie das zuständige nationale CSIRT alarmieren. Der Begriff CSIRT steht für Computer Security Incident Response Team, die staatliche Stelle zur Reaktion auf IT-Sicherheitsvorfälle.

• 24 Stunden: Frühwarnung an die ENISA und das zuständige CSIRT.
• 72 Stunden: Vollständige Meldung mit technischen Details und dem Status der Korrekturmaßnahmen.
• 14 Tage: Abschlussbericht zur Schwachstelle, sobald der Patch oder die Abhilfemaßnahme verfügbar ist.
• 1 Monat: Abschlussbericht für schwerwiegende Vorfälle, gerechnet ab der 72-Stunden-Meldung.

„Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in einem Produkt mit digitalen Elementen enthalten ist, von der er Kenntnis erlangt, gleichzeitig dem benannten koordinierenden CSIRT und der ENISA.“

Artikel 14 der Verordnung (EU) 2024/2847 zur Cyberresilienz – Quelle: EU

Die Meldungen erfolgen über eine zentrale Plattform der ENISA, die diese dann an die zuständigen Behörden weiterleitet. Die Meldung bleibt zu diesem Zeitpunkt vertraulich: Der Gesetzestext erlaubt es dem empfangenden CSIRT, die Veröffentlichung der Information zurückzuhalten, falls eine sofortige Verbreitung die Nutzer einem zusätzlichen Risiko aussetzen würde.

Eine Sicherheitslücke diskret zu beheben, bevor sie publik gemacht wird – eine gängige Praxis bei Hardware-Wallet-Herstellern –, bleibt also möglich, jedoch unter der Aufsicht der Regulierungsbehörden. Im Gegenzug verpflichtet Artikel 14 dazu, betroffene Nutzer ohne ungebührliche Verzögerung über die Schwachstelle und die zu ergreifenden Maßnahmen zu informieren – eine neue Garantie für Bitcoin-Besitzer.

Welche Krypto-Wallets fallen unter den Cyber Resilience Act?

Die Verordnung zielt auf Produkte mit digitalen Elementen ab – also jegliche Hardware oder Software, die direkt oder indirekt mit einem Gerät oder Netzwerk verbunden ist und im Rahmen einer kommerziellen Tätigkeit auf dem europäischen Markt bereitgestellt wird. Hardware-Wallets fallen zweifellos darunter, von der französischen Firma Ledger über die tschechische Trezor bis hin zu den Schweizer Anbietern BitBox und Tangem oder dem Unternehmen Keystone aus Hongkong. Begleitsoftware ist ebenso betroffen, ebenso wie Browser-Erweiterungen, die durch Swap-Gebühren monetarisiert werden.

Der Gesetzestext hält jedoch ein Hintertürchen für freie Software offen. Ein Open-Source-Projekt, das außerhalb einer kommerziellen Tätigkeit entwickelt und bereitgestellt wird, entfällt aus dem Anwendungsbereich, und sogenannte Open-Source Software Stewards – typischerweise Stiftungen, die ein Projekt unterstützen – unterliegen einem erleichterten Regime.

Doch diese Nuance schützt die Mehrheit der Krypto-Wallets kaum: Sobald der offene Code als Grundlage für eine monetarisierte Aktivität dient (Hardwareverkauf, Abonnements, Handelsgebühren), wechselt der Herausgeber in das allgemeine Regelwerk.

Hersteller, die ihren Sitz außerhalb der Union haben, müssen zudem einen europäischen Bevollmächtigten benennen, während Importeure und Händler verpflichtet sind, die Konformität der Produkte zu prüfen, bevor sie diese in den Verkehr bringen. Die maximale Geldbuße steigt auf 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes, wobei der jeweils höhere Betrag gilt.

Die zweite Phase beginnt am 11. Dezember nächsten Jahres. Dieselben Hersteller müssen dann ein Verzeichnis ihrer Softwarekomponenten (SBOM) veröffentlichen, Sicherheitsupdates für die gesamte angekündigte Supportdauer gewährleisten – mit einer Mindestlaufzeit von fünf Jahren, sofern die Produktlebensdauer nicht kürzer ist – und ihre Geräte mit der CE-Kennzeichnung versehen. Hardware-Wallets werden sich somit in das Konformitätssystem einreihen, das bereits für Router und vernetzte Kameras gilt.

Die Nachrichten, die zählen – zusammengefasst in 2 Minuten. Von Montag bis Freitag direkt in Ihrem Posteingang.