Cyber Resilience Act und 24 Stunden Meldepflicht für Wallets

Die EU verschärft den Druck auf Hersteller von Krypto-Wallets: Mit dem Cyber Resilience Act rücken Sicherheitslücken, Update-Pflichten und schnelle Meldungen an Behörden in den Mittelpunkt. Wer Wallets, Hardware-Wallets oder dazugehörige Software in der EU anbietet, muss künftig deutlich strenger dokumentieren, testen und melden. Besonders im Fokus steht die 24-Stunden-Meldepflicht für aktiv ausnutzbare Schwachstellen und Vorfälle. Verstösse können teuer werden: Beim Cyber Resilience Act sind Bußgelder von bis zu 15 Millionen Euro oder einem höheren Anteil am weltweiten Umsatz möglich. Für Anbieter bedeutet das neue Compliance-Risiken, für Nutzer mehr Druck auf saubere Sicherheitsprozesse und transparente Kommunikation.

Cyber Resilience Act: Was die EU jetzt verlangt

Der Cyber Resilience Act ist die neue EU-Verordnung für Produkte mit digitalen Elementen. Gemeint sind nicht nur klassische Softwareprodukte, sondern auch Geräte und Anwendungen, die über das Internet oder andere digitale Schnittstellen funktionieren. Dazu zählen in vielen Fällen auch Krypto-Wallets, sofern sie als Hardware-, Software- oder Hybridlösung in der EU vertrieben werden. Das Ziel der Regulierung ist klar: Sicherheit soll nicht erst nach einem Vorfall entstehen, sondern bereits beim Design, bei der Entwicklung und über den gesamten Lebenszyklus eines Produkts hinweg.

Die Verordnung ist bereits in Kraft getreten; für die meisten Pflichten gelten jedoch Übergangsfristen. Entscheidend ist deshalb nicht nur das Gesetz selbst, sondern der Zeitpunkt, ab dem einzelne Anforderungen tatsächlich greifen. Für Wallet-Anbieter heisst das: Die Zeit bis zum vollständigen Anwendungsbeginn ist kein Schonraum, sondern die Phase, in der Prozesse, Dokumentation und Meldewege eingerichtet werden müssen.

Im Kern verlangt der Cyber Resilience Act von Herstellern, dass sie Sicherheitsrisiken systematisch erkennen, Schwachstellen schliessen und Sicherheitsupdates während des gesamten Supportzeitraums bereitstellen. Ausdrücklich gefordert sind unter anderem Schwachstellenmanagement, sichere Voreinstellungen, Verschlüsselung, Zugriffskontrollen und eine klare Reaktion auf Sicherheitsvorfälle.

Welche Krypto-Wallets und Anbieter unter die Regeln fallen

Für die Praxis ist die wichtigste Frage nicht, ob ein Produkt «Krypto» im Namen trägt, sondern ob es als digitales Produkt in den EU-Markt gelangt. Unter die Pflichten fallen grundsätzlich Hersteller, Importeuren und Händler von Wallet-Lösungen, wenn sie Produkte mit digitalen Elementen in der EU bereitstellen. Das betrifft Hardware-Wallets, Desktop- und Mobile-Wallets, Browser-basierte Wallets sowie begleitende Software und Firmware. Auch Anbieter von Wallet-Komponenten, etwa Signatur-Module, Sicherheitschips oder Backend-Services, können relevant sein, wenn sie Teil des Produkts oder seiner Sicherheitsfunktionen sind.

Besonders wichtig ist die Abgrenzung zwischen selbst gehosteten Lösungen und Angeboten mit zentralen Diensten. Reine Open-Source-Projekte ohne kommerzielle Bereitstellung können anders behandelt werden als ein Produkt, das von einem Unternehmen vermarktet, aktualisiert und unterstützt wird. Sobald ein Anbieter ein Wallet als Produkt in der EU vertreibt oder funktional kontrolliert, stehen Pflichten im Raum. Dazu gehören auch Drittanbieter, die Sicherheits- oder Wallet-Software unter eigenem Namen weitergeben.

Für Nutzer ist die Konsequenz direkt spürbar: Anbieter müssen künftig klarer ausweisen, wie lange ein Produkt unterstützt wird, wie Sicherheitsupdates verteilt werden und wie mit gemeldeten Lücken umgegangen wird. Das erhöht den Druck auf Hersteller, aber auch auf Plattformen, die Wallets in App-Stores, Marktplätzen oder über Gerätekanäle vertreiben.

Was als meldepflichtige Schwachstelle gilt

Die Meldepflicht knüpft nicht an jede Kleinigkeit an, sondern an relevante Sicherheitsprobleme. Meldepflichtig sind insbesondere Schwachstellen, die aktiv ausgenutzt werden könnten oder bereits zu einem Sicherheitsvorfall geführt haben. In der Wallet-Welt betrifft das etwa Fehler, durch die Private Keys offengelegt werden, Transaktionen manipuliert werden, Signaturen umgeleitet werden oder Authentifizierungsmechanismen versagen. Auch Supply-Chain-Probleme, kompromittierte Update-Pakete oder kritische Backend-Ausfälle können meldepflichtig werden, wenn sie die Sicherheit des Produkts beeinträchtigen.

24 Stunden: Wie die neue Meldefrist praktisch funktioniert

Die 24 Stunden sind der Punkt, an dem der Cyber Resilience Act besonders scharf wird. Sobald ein Hersteller eine aktiv ausnutzbare Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall erkennt, muss er innerhalb eines Tages die zuständige Stelle informieren. Praktisch heisst das: Die Uhr beginnt nicht erst nach einer langen internen Prüfung zu laufen, sondern ab dem Moment, in dem der Anbieter eine relevante Meldung, einen belastbaren Hinweis oder eine bestätigte Erkenntnis vorliegen hat. Wer zu spät reagiert, riskiert bereits wegen der Fristüberschreitung ein Verfahren.

Die 24-Stunden-Regel ist kein vollständiger Abschlussbericht, sondern die erste Alarmmeldung. Danach folgen weitere Schritte, etwa eine vertiefte Analyse, Informationen zu betroffenen Versionen, Massnahmen zur Eindämmung und am Ende eine detailliertere Nachmeldung. Für Wallet-Hersteller ist das eine operative Herausforderung, weil sie Vorfälle sofort priorisieren, technisch bewerten und rechtlich einordnen müssen. Ohne vorbereitete Incident-Response-Prozesse wird die Frist schnell knapp.

In der Praxis braucht es deshalb ein Meldesystem mit klaren Zuständigkeiten: Wer erkennt die Lücke? Wer bewertet die Kritikalität? Wer entscheidet über die Meldung? Und wer kommuniziert mit den Behörden, Sicherheitsforschern, Partnern und Nutzern? Gerade bei Wallets, bei denen ein Fehler direkt zu Vermögensverlusten führen kann, ist eine lückenlose Dokumentation entscheidend. Eine verspätete Meldung ist nicht nur ein rechtliches Problem, sondern kann auch Vertrauen zerstören und Folgevorfälle begünstigen.

Pflicht	Praktische Bedeutung für Wallet-Anbieter
24-Stunden-Meldung	Erste Benachrichtigung nach Erkennen einer kritischen Schwachstelle oder eines Vorfalls
Schwachstellenmanagement	Erfassen, bewerten, priorisieren und schliessen von Sicherheitslücken über den ganzen Lebenszyklus
Security-by-Design	Sichere Voreinstellungen, Schutz vor Missbrauch und robuste Entwicklungsprozesse
Update-Pflichten	Bereitstellung von Sicherheitsupdates während des Supportzeitraums
Dokumentation	Nachweis über Prozesse, Risiken, Tests und Reaktionen auf Vorfälle

Bußgeld Cyber Resilience Act 15 Mio: Welche Strafen drohen

Der Bußgeldrahmen ist hoch und soll klar abschrecken. Bei Verstössen gegen zentrale Pflichten sieht der Cyber Resilience Act Bußgelder von bis zu 15 Millionen Euro vor oder bis zu einem Prozentsatz des weltweiten Jahresumsatzes, falls dieser Betrag höher ausfällt. Für kleinere Anbieter kann das existenzbedrohend sein, für grosse Plattformen wird der Umsatzbezug besonders relevant. Die EU setzt damit ein deutliches Signal: Sicherheitsmängel in digitalen Produkten werden nicht länger als technisches Nebenthema behandelt, sondern als regulatorisches Risiko mit finanzieller Wucht.

Wichtig ist die Unterscheidung zwischen verschiedenen Pflichtverletzungen. Schwere Verstösse, etwa fehlende Konformität, mangelnde Sicherheitsanforderungen oder gravierende Versäumnisse bei der Meldung, können besonders teuer werden. Auch falsche oder unvollständige Angaben gegenüber Behörden sind riskant. Wer eine meldepflichtige Schwachstelle zu spät, unvollständig oder gar nicht meldet, setzt sich nicht nur einem Bußgeld aus, sondern auch Reputationsschäden, zivilrechtlichen Ansprüchen und möglichen Lieferkettenfolgen.

Die Haftungsfrage trifft in erster Linie den verantwortlichen Wirtschaftsakteur: Hersteller, Importeur oder in bestimmten Konstellationen derjenige, der das Produkt unter eigenem Namen in Verkehr bringt. In komplexen Lieferketten kann das zu Streit führen, wer die eigentliche Ursache gesetzt hat und wer am Ende zahlt. Für Wallet-Hersteller mit ausgelagertem Development, Third-Party-Komponenten oder externen Sicherheitsdienstleistern ist deshalb eine saubere vertragliche Abgrenzung zentral. Wer Zuständigkeiten nicht sauber regelt, trägt am Ende oft das volle Risiko.

Was Wallet-Hersteller jetzt tun sollten

Für Anbieter reicht es nicht, ein paar Sicherheitsupdates bereitzustellen. Wer im EU-Markt bleiben will, braucht belastbare Compliance-Strukturen. Der erste Schritt ist eine vollständige Produktinventur: Welche Wallet-Produkte, Firmware-Versionen, Apps, APIs und Dienste sind betroffen? Danach folgt eine Sicherheitsbewertung über den gesamten Lebenszyklus. Entscheidend ist, dass Schwachstellen nicht nur technisch behoben, sondern auch rechtlich und organisatorisch sauber verarbeitet werden.

Besonders wichtig ist ein 24/7-fähiger Incident-Response-Prozess. Der Prozess muss festlegen, ab wann ein Vorfall als meldepflichtig gilt, wer die Freigabe erteilt und über welchen Kanal gemeldet wird. Ebenso nötig sind interne Eskalationsstufen, klare Verantwortlichkeiten und eine Kommunikationslinie zu Sicherheitsforschern und betroffenen Kunden. Ohne diese Mechanik bleibt die 24-Stunden-Frist kaum einhaltbar.

Auch die Entwicklungsseite muss angepasst werden. Secure Coding, unabhängige Code-Reviews, Penetrationstests, Bug-Bounty-Programme und eine dokumentierte Schwachstellenpolitik gehören inzwischen zum Pflichtprogramm. Wer Hardware-Wallets produziert, sollte zusätzlich Supply-Chain-Risiken, Firmware-Signaturen und Hardware-Authentizität absichern. Nutzer erwarten nicht nur ein sicheres Produkt, sondern auch einen nachvollziehbaren Update-Pfad und eine klare End-of-Support-Politik.

Konkrete Compliance-Schritte für Anbieter

• Produkt- und Versionen-Inventar erstellen
• Schwachstellenmanagement mit klaren Fristen einführen
• Meldeprozess für Vorfälle und Lücken definieren
• Verantwortliche Personen für Recht, Security und Kommunikation benennen
• Security-by-Design und Secure Development dokumentieren
• Update- und Supportdauer transparent ausweisen
• Lieferanten- und Drittparteirisiken vertraglich absichern

Was Nutzer jetzt von Wallets erwarten können

Für Anwender ist die neue Lage grundsätzlich positiv. Wallet-Produkte, die in der EU angeboten werden, müssen künftig strenger abgesichert sein. Das erhöht den Druck auf Hersteller, bekannte Lücken schneller zu schliessen und Sicherheitsinformationen transparenter zu kommunizieren. Nutzer profitieren von klareren Supportversprechen, nachvollziehbaren Update-Zyklen und im Idealfall von stabileren Wiederherstellungs- und Backup-Prozessen.

Gleichzeitig sollten sich Nutzer nicht allein auf die Regulierung verlassen. Eine Wallet bleibt nur so sicher wie ihre Konfiguration und ihr Umgang damit. Wer sein Gerät nicht aktualisiert, Phishing-Mails ignoriert oder Recovery-Seeds unsauber aufbewahrt, profitiert wenig von der besten Regulierung. Sinnvoll ist deshalb ein Blick auf mehrere Punkte: Wie lange werden Updates geliefert? Gibt es eine nachvollziehbare Herstellerhistorie bei Sicherheitsvorfällen? Werden kritische Fixes zügig verteilt? Und ist das Produkt bei offiziellen Kanälen noch aktiv gepflegt?

Gerade bei Hardware-Wallets lohnt ein Blick auf die Sicherheitsarchitektur. Offene Dokumentation, signierte Firmware, klare Wiederherstellungsprozesse und transparente Kommunikation im Fall einer Lücke sind starke Signale. Bei Software-Wallets zählt zusätzlich die Geschwindigkeit, mit der Updates auf iOS, Android, Desktop und Browser verteilt werden. Wer Wallets im grösseren Stil nutzt, etwa für Treasury-, Handels- oder Custody-Zwecke, sollte die eigenen Sicherheitsrichtlinien an die neue EU-Lage anpassen.

Wer vertieft prüfen will, wie Wallet-Sicherheit, Software-Härtung und regulatorische Vorgaben zusammenspielen, findet weiterführende Hintergründe in unseren Beiträgen zu Wallet-Sicherheit, Compliance in der Krypto-Branche und EU-Recht für digitale Produkte.

Fazit: Der Cyber Resilience Act setzt Wallet-Hersteller unter Zeitdruck

Mit dem Cyber Resilience Act verschiebt die EU die Verantwortung für Krypto-Wallet-Sicherheit klar in Richtung Anbieter. Die wichtigste Botschaft ist die 24-Stunden-Meldepflicht: Kritische Schwachstellen und sicherheitsrelevante Vorfälle müssen rasch erkannt, bewertet und gemeldet werden. Wer das verpasst, riskiert Bußgelder von bis zu 15 Millionen Euro und im Extremfall noch höhere Beträge auf Basis des Jahresumsatzes. Für Hersteller bedeutet das mehr Aufwand in Entwicklung, Monitoring und Incident Response. Für Nutzer bringt es vor allem eines: mehr Druck auf transparente, belastbare und besser gepflegte Wallet-Produkte. Wer jetzt Prozesse schärft, Dokumentation nachzieht und Sicherheitskommunikation ernst nimmt, reduziert nicht nur das Bußgeldrisiko, sondern stärkt auch das Vertrauen in die eigene Lösung.

Meta-Description: Cyber Resilience Act in der EU: 24-Stunden-Meldepflicht, betroffene Krypto-Wallets und Bußgelder bis 15 Millionen Euro im Überblick.