Hersteller von Krypto-Wallets und anderen Produkten mit digitalen Elementen müssen ab dem 11. September aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, die Produkte betreffen, die in der Europäischen Union angeboten werden. Die erste Meldung muss über die von ENISA betriebene Single Reporting Platform an das CSIRT in dem Mitgliedstaat übermittelt werden, in dem der Hersteller seinen Hauptsitz hat, und unter normalen Umständen auch an ENISA.

Die Verpflichtung gemäß Artikel 14 des EU-Gesetzes über die Cyberresilienz (Cyber Resilience Act, CRA) beginnt vor dem Großteil der übrigen Verordnung. Der umfassendere CRA-Rahmen, einschließlich der Anforderungen an Produktdesign, Dokumentation und Konformität, gilt hauptsächlich ab dem 11. Dezember 2027. Die frühere Meldepflicht bedeutet jedoch, dass ein Wallet-Unternehmen bereits einer gesetzlichen Frist unterliegen kann, sobald ein Exploit aktiv ausgenutzt wird.

Die Regel gilt auch für Produkte im Anwendungsbereich, die bereits vor Dezember 2027 in der EU angeboten wurden, und nicht nur für künftige Geräte und Softwareversionen. Die Europäische Kommission hat zusätzliche Leitlinien zur Meldung von CRA-Schwachstellen und Sicherheitsvorfällen veröffentlicht.

Hardware- und Software-Wallets könnten in den Anwendungsbereich fallen

Der CRA gilt für Hardware- und Softwareprodukte, die in der EU kommerziell angeboten werden, wenn ihre bestimmungsgemäße oder vernünftigerweise vorhersehbare Nutzung eine direkte oder indirekte logische oder physische Verbindung zu einem Gerät oder Netzwerk umfasst. Kommerzielle Hardware-Wallets sowie Wallet-Anwendungen für Desktop- und Mobilgeräte könnten daher erfasst sein.

Die rechtliche Verpflichtung liegt beim Hersteller: also bei der Person oder dem Unternehmen, das ein Produkt entwickelt oder entwickeln lässt und es unter seinem eigenen Namen oder seiner eigenen Marke vermarktet. Ein Unternehmen, das ein Hardwaregerät verkauft oder Wallet-Software in der EU vertreibt, ist ein klareres Beispiel als eine Einzelperson, die zu einem nicht verbundenen Open-Source-Projekt beiträgt.

Da Krypto-Wallets im CRA nicht ausdrücklich genannt werden, kann die Einordnung eines bestimmten Produkts weiterhin eine rechtliche Prüfung erfordern.

Die erste Meldung muss innerhalb von 24 Stunden erfolgen

Die erste Einreichung ist eine Frühwarnung und keine abgeschlossene technische Untersuchung. Sobald ein Hersteller Kenntnis von einer aktiv ausgenutzten Schwachstelle erlangt, muss er die Behörden unverzüglich und spätestens 24 Stunden danach informieren. Falls zutreffend, muss die Frühwarnung die Mitgliedstaaten nennen, in denen das betroffene Produkt nach Kenntnis des Unternehmens angeboten wurde.

Dieselbe Frist gilt für einen schwerwiegenden Vorfall, der die Produktsicherheit betrifft. In diesem Fall muss die Frühwarnung zumindest angeben, ob der Hersteller vermutet, dass der Vorfall durch rechtswidrige oder böswillige Aktivitäten verursacht wurde, und die relevanten Märkte nennen, in denen das Produkt verfügbar ist.

Eine ausführlichere Meldung ist innerhalb von 72 Stunden fällig. Nach den Leitlinien der Europäischen Kommission muss sie verfügbare Informationen über das Produkt sowie die allgemeine Art des Exploits und der Schwachstelle enthalten. Außerdem muss die Meldung bereits ergriffene Korrektur- oder Abhilfemaßnahmen, Schritte zum Schutz der Nutzer und gegebenenfalls die Einschätzung des Herstellers zur Sensibilität der Informationen beschreiben.

Aktive Ausnutzung setzt die Frist in Gang

Die 24-Stunden-Frist beginnt nicht jedes Mal, wenn ein Forscher eine Schwachstelle vertraulich meldet. Sie gilt, sobald der Hersteller Kenntnis davon erlangt, dass eine Schwachstelle aktiv gegen das Produkt ausgenutzt wird, oder sobald er von einem schwerwiegenden Vorfall betroffen ist, der die Produktsicherheit beeinträchtigt.

Ein Unternehmen kann eine Schwachstellenmeldung erhalten, sie untersuchen und einen Patch vorbereiten, ohne automatisch in den Meldeprozess nach Artikel 14 einzutreten. Die gesetzliche Frist beginnt, sobald das Unternehmen erfährt, dass Angreifer die Schwachstelle ausnutzen, bevor die Fehlerbehebung abgeschlossen ist.

Die jüngste Berichterstattung zu Coldcard zeigt, warum diese Unterscheidung wichtig ist. Bei einer Warnung im Juli wegen möglicherweise schwacher Seed-Erzeugung ging das praktische Risiko über die Identifizierung der Schwachstelle hinaus. Betroffene Nutzer mussten feststellen, ob ihr Seed offengelegt worden war, und gegebenenfalls ihre Guthaben verschieben. Darüber berichtete Coindoo.

Meldungen gehen an Behörden und nicht automatisch an die Öffentlichkeit

Die 24-Stunden-Pflicht bedeutet nicht, dass ein Hersteller Details zu einer ungepatchten Wallet-Schwachstelle sofort veröffentlichen muss. Die erste Meldung wird über die Single Reporting Platform an das zuständige CSIRT und ENISA übermittelt. Sie ist weder automatisch eine öffentliche Warnung noch ein verpflichtender Blogbeitrag mit technischen Informationen zum Exploit.

Der CRA verpflichtet Behörden und andere an der Anwendung der Verordnung beteiligte Parteien, vertrauliche Informationen zu schützen. Dazu gehören Quellcode, Geschäftsgeheimnisse und Informationen, die eine Untersuchung beeinträchtigen könnten. Bei koordinierten Verfahren zur Offenlegung von Schwachstellen kann ein CSIRT die Weitergabe einer Meldung über eine ausgenutzte Schwachstelle an andere CSIRTs verzögern, wenn dafür berechtigte Gründe der Cybersicherheit bestehen.

Eine öffentliche Offenlegung bleibt möglich, wenn sie erforderlich ist, um einen schwerwiegenden Vorfall zu verhindern oder einzudämmen, einen laufenden Vorfall zu bewältigen oder dem öffentlichen Interesse zu dienen. Nach Rücksprache mit dem Hersteller kann ein CSIRT die Öffentlichkeit informieren oder den Hersteller dazu verpflichten. Wallet-Hersteller müssen den Behörden genügend Informationen zur Risikobewertung liefern und zugleich erklären, wie Nutzer sich schützen können, ohne Details preiszugeben, die einem Angreifer helfen könnten.

Open-Source-Wallets sind nicht automatisch ausgenommen

Der CRA gilt nicht für kostenlose Open-Source-Software, die nicht im Rahmen einer kommerziellen Tätigkeit auf dem Markt angeboten wird. Er gilt auch nicht für Personen, die lediglich Code zu Open-Source-Software beitragen, für die sie nicht verantwortlich sind.

Diese Bestimmungen schaffen jedoch keine pauschale Ausnahme für Open-Source-Wallet-Projekte. Die Leitlinien der Europäischen Kommission zu Open-Source-Software im Rahmen des CRA stellen klar, dass ein Hersteller, der ein kostenloses Open-Source-Produkt auf den Markt bringt, weiterhin den Herstellerpflichten unterliegt. Dass ein Produkt kostenlos ist, bedeutet nicht zwangsläufig, dass seine Bereitstellung nicht kommerziell erfolgt.

Der CRA schafft außerdem eine eigene Kategorie für sogenannte Open-Source-Software-Stewards: juristische Personen, die kontinuierliche Unterstützung für ein bestimmtes Open-Source-Produkt leisten, das für kommerzielle Aktivitäten bestimmt ist. Diese Stewards unterliegen keinen Verwaltungsstrafen nach dem CRA. Artikel 14 kann jedoch weiterhin eine Meldepflicht auslösen, wenn sie an der Entwicklung des Produkts beteiligt sind oder schwerwiegende Vorfälle die von ihnen bereitgestellten Entwicklungssysteme betreffen.

Ein Patch beseitigt bestehende Risiken für Wallet-Nutzer möglicherweise nicht

Bei Krypto-Wallets fällt das Ende eines technischen Vorfalls nicht zwangsläufig mit der Veröffentlichung eines Sicherheitsupdates zusammen. Ein Update kann eine neue Gefährdung verhindern, während unter der betroffenen Software erstellte Schlüssel, Seed-Phrasen oder Wallet-Konfigurationen weiterhin gefährdet sind.

Diese Unterscheidung wurde deutlich, als Coldcard ein Sicherheitsupdate für ein früheres Problem bei der Seed-Erzeugung veröffentlichte. Das Aktualisieren des Geräts machte bereits erzeugte betroffene Seeds nicht sicher; Nutzer mussten weiterhin neue Schlüssel erstellen und ihre Guthaben verschieben. Über die Mitteilung von Coldcard berichtete ebenfalls Coindoo.

Nach der Meldepflicht des CRA kann diese operative Reaktion nun parallel zu einer verpflichtenden Meldung an die Behörden erfolgen, sobald eine aktive Ausnutzung festgestellt wird. Wallet-Hersteller benötigen daher einen dokumentierten Prozess, um festzustellen, ob eine aktive Ausnutzung vorliegt, die Behörden innerhalb von 24 Stunden zu informieren, Abhilfemaßnahmen vorzubereiten und betroffene Nutzer zu warnen, während die Untersuchung und der vollständige Behebungsplan noch laufen. Dieser Prozess muss technische Vorfallsaufzeichnungen außerdem mit Informationen darüber verknüpfen, welche Produkte in welchen EU-Märkten angeboten wurden, da die Frühwarnung die Angabe dieser Mitgliedstaaten erfordern kann.

Der ursprüngliche Bericht „EU Crypto Wallet Makers Now Have 24 Hours to Report Exploits“ wurde von Coindoo veröffentlicht.