Hersteller kommerzieller Krypto-Wallets, die in den Anwendungsbereich fallen, müssen gemäß dem Cyber Resilience Act der Europäischen Union innerhalb von 24 Stunden nach Kenntnis davon, dass eine Schwachstelle in ihrem Produkt aktiv ausgenutzt wird, eine Frühwarnung übermitteln. Die Vorgabe ist eine Meldepflicht und keine Verpflichtung, die Schwachstelle innerhalb eines Tages zu beheben. Sie gilt nur für Wallets, die in den kommerziellen Anwendungsbereich des Gesetzes fallen.

Die Maßnahme ist Teil des EU Cyber Resilience Act, offiziell Verordnung (EU) 2024/2847. Die Verordnung legt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest, die mit Geräten oder Netzwerken verbunden werden. Die Europäische Kommission stellt weitere Informationen in ihrem Meldeleitfaden zum Cyber Resilience Act und in der CRA-Zusammenfassung bereit.

Für Hersteller von Krypto-Wallets besteht die unmittelbarste Änderung in der kurzen Meldefrist, die beginnt, sobald der Hersteller Kenntnis davon erlangt, dass ein Angriff im Gange ist.

Was löst den 24-Stunden-Meldezeitraum aus?

Der Zeitrahmen beginnt, wenn ein Hersteller Kenntnis von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Vorfall erhält, der sein Produkt betrifft. Anschließend hat der Hersteller 24 Stunden Zeit, eine Frühwarnung zu übermitteln.

Der Auslöser ist eng gefasst. Er betrifft Schwachstellen, die Angreifer tatsächlich ausnutzen, und nicht jeden Fehler, der während der routinemäßigen Entwicklung oder Prüfung festgestellt wird. Rechtsexperten von Freshfields haben erklärt, dass eine aktive Ausnutzung zuverlässige Beweise dafür erfordert, dass ein böswilliger Akteur die Schwachstelle ohne die Erlaubnis des Systembetreibers ausnutzt.

Der 24-Stunden-Zeitraum ist daher eine Pflicht zur Information der Aufsichtsbehörden und keine Verpflichtung, bereits einen Patch bereitzuhalten. Ein Wallet-Hersteller kann einen laufenden Angriff melden, während er den Vorfall weiter untersucht und eine Abhilfemaßnahme entwickelt.

Die Frühwarnung ist nur die erste Meldestufe. Innerhalb von 72 Stunden nach Erlangung der Kenntnis muss eine vollständige Mitteilung eingereicht werden, getrennt von der ersten 24-Stunden-Warnung.

Bei einer aktiv ausgenutzten Schwachstelle muss der Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Abhilfemaßnahme eingereicht werden. Bei einem schwerwiegenden Vorfall muss der Abschlussbericht innerhalb eines Monats nach der 72-Stunden-Mitteilung eingereicht werden.

Diese Meldepflichten gelten seit dem 11. September 2026. Die weitergehenden Verpflichtungen des Cyber Resilience Act gelten ab dem 11. Dezember 2027. Die Verordnung trat am 10. Dezember 2024 in Kraft.

Welche Hersteller von Krypto-Wallets sind betroffen?

Die Regel gilt für Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden. Dazu gehören Produkte, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Nutzung eine Datenverbindung zu einem Gerät oder Netzwerk umfasst – eine Beschreibung, die auf die meisten Krypto-Wallets in Form von Software und Hardware zutrifft.

Der Begriff „kommerziell“ ist von Bedeutung. Ein Produkt wird auf dem Markt bereitgestellt, wenn es im Rahmen einer gewerblichen Tätigkeit geliefert wird, unabhängig davon, ob es kostenpflichtig oder kostenlos angeboten wird. Kostenlos verbreitete Software kann daher weiterhin in den Anwendungsbereich fallen, wenn sie im Rahmen einer gewerblichen Tätigkeit bereitgestellt wird.

Produkte, die nicht im Rahmen einer gewerblichen Tätigkeit bereitgestellt werden, fallen nicht unter diesen spezifischen Anwendungsbereich. Ob die Regel auf eine einzelne Wallet anwendbar ist, bleibt eine Einzelfallfrage. Materialien der Kommission klassifizieren keine bestimmten Wallet-Produkte, und keine zitierte Quelle bestätigt, ob eine namentlich genannte Hardware-Wallet, Software-Wallet oder ein gehosteter Dienst erfasst oder ausgenommen ist.

Open-Source-Projekte werden gesondert behandelt. Für Verwalter von Open-Source-Software gelten ab dem 11. Dezember 2027 eigene Meldepflichten nach Artikel 24 Absatz 3. Diese Verwalter unterliegen keinen Sanktionen wegen Verstößen gegen den Cyber Resilience Act.

Die Verordnung sieht außerdem eine größenabhängige Regelung vor. Laut der Zusammenfassung der Kommission werden Hersteller, die als Kleinstunternehmen oder kleine Unternehmen gelten, möglicherweise nicht mit einer Geldbuße belegt, wenn sie die 24-Stunden-Frist versäumen. Dies hebt ihre Meldepflicht jedoch nicht auf.

Die Regel gilt auch für Produkte, die bereits vor dem 11. Dezember 2027 auf dem EU-Markt bereitgestellt wurden.

Operative Auswirkungen für Wallet-Hersteller

Eine Frist von 24 Stunden lässt einem Unternehmen nur wenig Zeit, nach Beginn eines Angriffs einen Prozess zur Reaktion auf Vorfälle einzurichten. Analysten von Freshfields haben darauf hingewiesen, dass die kurzen Meldefristen nur begrenzten Spielraum lassen, Verfahren erst nach Eintritt eines Vorfalls zu etablieren.

Die Frist läuft auch an Wochenenden und gesetzlichen Feiertagen weiter. Freshfields hat erklärt, dass diese Tage den Meldezeitraum nicht unterbrechen.

Daher müssen Wallet-Teams möglicherweise im Voraus Verfahren einrichten, um den genauen Zeitpunkt des Bekanntwerdens zu dokumentieren, die Angelegenheit an ein zuständiges Team weiterzuleiten und die erforderlichen Informationen zum Vorfall schnell zusammenzustellen.

Regulatorische Meldung, Untersuchung des Vorfalls und Behebung sind getrennte Aufgaben. Ein Hersteller kann die Aufsichtsbehörden informieren, während er weiterhin das Ausmaß des Angriffs ermittelt und eine Lösung entwickelt oder einsetzt. Der Meldeprozess selbst setzt keine Frist für den Abschluss der Behebung innerhalb von 24 Stunden.

Hersteller reichen Meldungen über die zentrale Meldeplattform des Cyber Resilience Act ein. Die Meldung wird an das zuständige nationale Computer Security Incident Response Team beziehungsweise CSIRT adressiert. Die Informationen werden gleichzeitig der Agentur der Europäischen Union für Cybersicherheit, beziehungsweise ENISA, zur Verfügung gestellt, außer unter besonders außergewöhnlichen Umständen.

Für Wallet-Nutzer bedeutet die Abgabe einer Meldung nicht, dass eine Wallet sicher ist oder dass Kundengelder geschützt sind. Sie verschafft den Behörden eine frühzeitige Kenntnis von einem aktiven Angriff. Die erforderlichen Angaben, Einreichungsverfahren und etwaige Pflichten zur Kundeninformation sollten anhand offizieller Leitlinien geprüft werden, bevor sie als endgültig betrachtet werden.

Für einen Krypto-Nutzer, der eine Wallet eines in der EU tätigen Unternehmens verwendet, besteht die praktische Auswirkung darin, dass der Hersteller die Aufsichtsbehörden nun möglicherweise schnell informieren muss, wenn Angreifer eine Produktschwachstelle ausnutzen. Diese zusätzliche Meldestufe gilt seit dem 11. September 2026.

Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Kryptowährungs- und Märkte für digitale Vermögenswerte sind mit erheblichen Risiken verbunden. Führen Sie stets eigene Recherchen durch, bevor Sie Entscheidungen treffen.