DE EN ES FR IT TR

Die Evolution der Krypto-Verwahrung

Kurz gesagt:

Wallet-as-a-Service ermöglicht die sichere Verwaltung von Krypto-Keys ohne das Risiko physischen Verlusts, während volle Funktionalität für DeFi erhalten bleibt.

1. Eigenverwahrung: Versprechen und operative Realität

Krypto basiert auf einem zentralen Versprechen: Eigenverwahrung (Self-Custody). Kein Mittelsmann, keine Bank, keine Abhängigkeit. In der Praxis scheitert dieses Modell häufig an operativen Hürden.

Ein verlorener privater Schlüssel (Private Key) bedeutet unwiderruflichen Verlust der Assets. Es gibt keinen Kundenservice und keine Wiederherstellung. Die Sicherung der Wiederherstellungsphrase (Seed Phrase), einer Zeichenfolge, die den Zugang zum Wallet ermöglicht, erfordert Schutz vor Verlust, Feuer, Diebstahl und menschlichem Versagen.

Die häufigste praktische Lösung: Lagerung im Bankschliessfach. Das Versprechen der Unabhängigkeit vom Bankensystem endet damit genau dort, wo es begonnen hat.

2. Omni-Wallets: Wie Banken und Börsen verwahren

Banken und Börsen mit Kryptoangebot lösen das Verwahrungsproblem mit sogenannten Omni-Wallets: einer gemeinsamen Wallet für alle Kundenvermögen, intern buchhalterisch aufgeteilt.

Vorteile:

  • Geringere Transaktionskosten (interne Umbuchungen erfordern keine Blockchain-Transaktionen)
  • Reduktion des operativen Aufwands

Strukturelles Risiko:
Die Assets gehören dem Kunden nur in der Buchhaltung des Anbieters, nicht auf der Blockchain. Im Insolvenzfall werden sie als Bestandteil der Insolvenzmasse behandelt.

Fallbeispiel FTX (November 2022):

  • Kundenvermögen war nicht auf der Blockchain getrennt (On-Chain-Segregation)
  • Im Insolvenzverfahren wurden Krypto-Assets als Masse behandelt
  • Kunden standen als Gläubiger in der Schlange

3. Wallet-as-a-Service: Funktionsweise

Wallet-as-a-Service (WaaS) verbindet das Sicherheitsniveau institutioneller Verwahrung mit der Nutzbarkeit dezentraler Anwendungen. Es kommt ohne Omni-Wallet-Struktur und ohne Eigenverwahrung aus.

Grundprinzip (Multi-Party Computation / MPC):
Der private Schlüssel existiert nie vollständig an einem Ort. Er wird in Fragmente (Key-Shards) aufgeteilt, die auf getrennten Systemen liegen: beim Anbieter, beim Nutzer und teilweise bei unabhängigen Dritten.

Eine Transaktion wird nur ausgeführt, wenn ausreichend viele Fragmente zusammenwirken. Kein Beteiligter allein kann auf die Assets zugreifen. Der Schlüssel wird dabei nie rekonstruiert, sondern ausschliesslich zur Signatur verwendet.

Für den Nutzer ist die Oberfläche identisch zu einem herkömmlichen Wallet. DeFi-Protokolle, Smart Contracts und Token-Transfers sind vollständig nutzbar, da die Signatur auf der Blockchain (On-Chain) identisch zu einer Eigenverwahrung ist.

4. Die drei zentralen Risiken

4.1. Zugriffsverlust bei Anbieterausfall

Fällt der WaaS-Anbieter aus, hängt der Zugriff auf die Assets vom vertraglichen Recovery-Prozess ab. Die zentrale Frage: Kann der Nutzer unabhängig vom Anbieter wieder Zugriff auf seine Assets erhalten?

Bei vielen Anbietern ist dieser Prozess nicht definiert. Das ist das grösste operationale Risiko.

4.2. Insolvenz des Anbieters

Anders als bei Omni-Wallets sind bei WaaS mit dedizierter Wallet-Struktur die Assets auf der Blockchain dem Nutzer zugeordnet. Das verbessert die rechtliche Position im Insolvenzfall erheblich.

Automatischen Schutz bietet das jedoch nicht. Entscheidend ist die vertragliche und rechtliche Konstruktion, nicht die Technik allein.

4.3. Zugriff durch den Anbieter

MPC (Multi-Party Computation) bedeutet nicht automatisch, dass der Anbieter keinen Zugriff hat. Je nach Architektur kontrolliert der Anbieter mehrere Key-Shards und könnte theoretisch ohne Nutzerbeteiligung signieren.

Die relevante Frage: Wie viele Shards liegen beim Anbieter, und wie viele beim Nutzer oder einem unabhängigen Dritten?

5. Marktübersicht

Die folgende Übersicht vergleicht Anbieter nicht nur nach Zielgruppe, sondern auch nach operativen Freiheiten, DeFi-Nutzbarkeit und Verhalten bei Angriffen.

Kriterium Fireblocks Tangany Dfns / Web3Auth Privy
Zielgruppe Asset Manager, Banken Regulierte EU-Akteure Entwickler, Fintechs Consumer, dApp-Nutzer
DeFi-Nutzung Ja, via Policy Engine Eingeschränkt (Fokus Custody) Ja, vollständig integrierbar Ja, für einfache Interaktionen
Wallet-Struktur Dediziert pro Nutzer Dediziert pro Nutzer Konfigurierbar Nutzer-spezifisch
Key-Kontrolle MPC, Shards verteilt Anbieter verwahrt Keys MPC, Shards konfigurierbar Social Login, Key beim Anbieter
Social-Engineering-Schutz Policy Engine, Whitelisting, Zeitverzögerung Regulierte Prozesse, manuelle Prüfung Abhängig von Implementierung Gering (Social Login als Angriffsvektor)
Verhalten bei Hack Shards auf getrennten Systemen, kein einzelner Zugriffspunkt Regulierter Rahmen, Haftung des Anbieters Je nach Konfiguration variabel Höheres Risiko durch zentralisierte Authentifizierung

Institutionelle Akteure

Fireblocks ist der Marktführer für Asset Manager, Banken und Börsen. MPC-Architektur, Policy Engine für Transaktionsregeln, SOC 2 Type II zertifiziert. Hohe Mindestvolumina.

DeFi-Protokolle sind über die Policy Engine nutzbar. Transaktionen können mit Whitelisting (vorgenehmigte Empfängeradressen), Betragsgrenzwerten und mehrstufigen Freigabeprozessen abgesichert werden. Bei Social-Engineering-Angriffen verhindert die Kombination aus Policy Engine und verteilten Key-Shards unautorisierte Transaktionen.

SOC 2 Type II ist ein Prüfstandard des American Institute of Certified Public Accountants (AICPA). Er bestätigt, dass ein Anbieter über einen Zeitraum von mindestens sechs Monaten nachweislich Kontrollen für Datensicherheit, Verfügbarkeit und Vertraulichkeit einhält. Im Gegensatz zu Type I, der nur die Existenz von Kontrollen zu einem Stichtag prüft, bewertet Type II deren tatsächliche Wirksamkeit im laufenden Betrieb.

Regulierte Custody mit WaaS-Komponente

Tangany hält eine Kryptoverwahrlizenz und ist als Finanzdienstleister reguliert. Relevant für europäische Akteure, die MiCA-Konformität (EU-Regulierung für Krypto-Assets) sicherstellen müssen.

DeFi-Nutzung ist eingeschränkt. Der Fokus liegt auf sicherer Verwahrung und reguliertem Transfer, nicht auf Interaktion mit Smart Contracts. Im Falle eines Social-Engineering-Angriffs greifen regulierte Prozesse mit manueller Transaktionsprüfung. Bei einem Hack haftet der Anbieter im Rahmen seiner regulatorischen Pflichten.

Fintech und Entwickler

Dfns und Web3Auth richten sich an Unternehmen, die WaaS in eigene Produkte integrieren. Relevant für den Aufbau eigener Wallet-Infrastruktur, nicht für Eigennutzung.

DeFi-Nutzung ist vollständig integrierbar. Das Sicherheitsniveau hängt von der Implementierung ab. Die Verantwortung für Social-Engineering-Schutz und Hack-Resilienz liegt beim integrierenden Unternehmen, nicht beim WaaS-Anbieter. Ohne eigene Policy Engine und Transaktionsregeln besteht ein erhöhtes Risiko.

Consumer-Segment

Privy adressiert Endnutzer dezentraler Anwendungen (dApps) ohne technischen Hintergrund. Kein institutioneller Standard, aber relevant zum Verständnis des Marktspektrums.

DeFi ist für einfache Interaktionen nutzbar. Die Authentifizierung erfolgt über Social Login (E-Mail, Google, Apple). Das ist komfortabel, macht Social-Engineering-Angriffe aber zum primären Risikovektor: Wer Zugriff auf das Login-Konto erhält, kann potenziell Transaktionen auslösen. Die Key-Kontrolle liegt weitgehend beim Anbieter.

6. Due-Diligence-Checkliste für Finanzakteure

Vor dem Vertragsabschluss mit einem WaaS-Anbieter sind fünf Punkte zu prüfen:

  1. Wallet-Struktur: Dedizierte Wallet pro Nutzer oder Omni-Wallet? Auf der Blockchain nachprüfbar?
  2. Key-Kontrolle: Wie viele Shards kontrolliert der Anbieter, wie viele der Nutzer? Kann der Anbieter allein signieren?
  3. Recovery-Plan: Was passiert bei Insolvenz oder Ausfall? Ist der Prozess vertraglich geregelt und technisch ohne Anbieterbeteiligung umsetzbar?
  4. Regulierungsstatus: Ist der Anbieter als Verwahrer (Custodian) lizenziert oder nur als Technologieanbieter? Der Unterschied ist haftungsrelevant.
  5. Auditierung: SOC 2 Type II als Mindeststandard. Penetrationstests durch unabhängige Dritte durchgeführt?

7. Fazit

Eigenverwahrung und Omni-Wallet-Custody sind zwei Extreme. WaaS positioniert sich dazwischen, mit Vorteilen gegenüber beiden Modellen, aber ohne deren jeweilige Absolutheit.

Kein Anbieter eliminiert das Gegenparteirisiko vollständig. Ein strukturell sauber aufgesetztes WaaS mit dedizierter Wallet, unabhängigem Key-Shard und vertraglichem Recovery-Plan ist für professionelle Akteure derzeit die operativ sinnvollste Lösung.

Besser als die Wiederherstellungsphrase im Bankschliessfach. Strukturell sicherer als das Vertrauen in eine Omni-Wallet.

Die entscheidenden Fragen sind nicht technischer Natur. Sie stehen im Vertrag.

FAQ (Häufig gestellte Fragen)

Nein. Ein Exchange-Wallet ist typischerweise eine Omni-Wallet – die Assets sind buchhalterisch, nicht On-Chain getrennt. WaaS mit dedizierter Struktur weist die Assets direkt auf der Blockchain dem Nutzer zu.

Abhängig von der Architektur. Bei MPC-basierten Systemen existiert kein vollständiger Schlüssel beim Anbieter. Ob der Anbieter dennoch allein signieren kann, hängt davon ab, wie viele Key-Shards er kontrolliert. Das muss vertraglich und technisch geprüft werden.

Bei dedizierter Wallet-Struktur sind die Assets On-Chain dem Nutzer zugeordnet und sollten nicht in die Insolvenzmasse fallen. Entscheidend ist jedoch die vertragliche Konstruktion und ob ein Recovery-Prozess existiert, der unabhängig vom Anbieter funktioniert.

Für Privatpersonen mit überschaubaren Beständen kann ein Hardware-Wallet ausreichen. Für institutionelle Akteure mit mehreren Nutzern, Compliance-Anforderungen, regelmässigen Transaktionen und DeFi-Nutzung ist Hardware-Wallet-Verwahrung operativ nicht skalierbar.

WaaS-Technologie allein ist keine Lizenz. Entscheidend ist der Regulierungsstatus des Anbieters. Tangany beispielsweise ist als Custodian lizenziert. Andere Anbieter sind reine Technologieanbieter – die regulatorische Verantwortung verbleibt dann beim Nutzer.

Ja, sofern der Anbieter das unterstützt. Die Signatur ist On-Chain identisch zur Eigenverwahrung. Bei institutionellen Anbietern wie Fireblocks erfolgt DeFi-Zugriff über eine Policy Engine, die Transaktionen regelbasiert absichert.

Typischerweise eine Kombination aus monatlicher Grundgebühr und transaktionsbasierter Komponente. Institutionelle Anbieter wie Fireblocks setzen hohe Mindestvolumina voraus. Genaue Konditionen sind nicht öffentlich und werden individuell verhandelt.

Blog