Nach dem EU-Cyber Resilience Act haben kommerzielle Crypto-Wallet-Hersteller nun 24 Stunden Zeit, um eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall bei den nationalen Cyber-Behörden zu melden. Das Schnellmeldungssystem trat am 11. September 2026 in Kraft und gilt für jedes 'Produkt mit digitalen Elementen' mit einer direkten oder indirekten Datenverbindung, wodurch kommerziell vertriebene Hardware-Wallets mit Netzwerkanschluss und herunterladbare Wallet-Apps in den Anwendungsbereich fallen. Die Meldungen laufen über ENISAs Single Reporting Platform an das koordinierende nationale CSIRT, wobei eine ausführlichere Benachrichtigung innerhalb von 72 Stunden und ein Schwachstellenbericht innerhalb von 14 Tagen nach einer Korrekturmaßnahme fällig sind.
Warum das wichtig ist
Der CRA wandelt Wallet-Sicherheit von einer branchenüblichen Best Practice in eine regulierte Produkthaftungsfunktion um. Wallet-Hersteller arbeiten nun mit einer behördenorientierten Frist, die den Offenlegungsnormen bei Konsumelektronik entspricht. Open-Source-Projekte erhalten keine pauschale Ausnahme: Kommerziell vertriebene freie und Open-Source-Produkte können weiterhin Herstellerpflichten unterliegen, während unbezahlte Beiträger und nicht monetarisierte Herstellersoftware ausgenommen bleiben. Open-Source-Verwalter bilden eine eigene Rechtskategorie, deren Meldepflichten erst am 11. Dezember 2027 beginnen. Die Regel erfasst auch bestehende Produktlinien: Alles, was vor dem 11. Dezember 2027 auf dem EU-Markt gebracht wurde, unterliegt derselben 24-Stunden-Frist.
Marktauswirkungen
Für Hardware-Wallet-Anbieter verengt das Zeitfenster die Kostenkalkulation beim stillen Patchen. Kleinere Betreiber mit dünn besetzten Incident-Response-Teams sehen sich nun derselben Frühwarnfrist wie multinationale Gerätehersteller gegenüber, und Wallet-Anbieter werden wahrscheinlich eigenes Compliance-Personal oder Beziehungen zu externen CSIRTs benötigen. Das ENISA-Portal zentralisiert die Sichtbarkeit für jede europäische Aufsichtsbehörde, sodass ein einzelner Offenlegungsvorfall innerhalb eines Tages von einem privaten Kundevertrauensproblem zu einem regulatorischen Ereignis in mehreren Rechtsgebieten wird. Bullish für Wallet-Marken mit sauberer Sicherheitsbilanz und öffentlichen Schwachstellen-Meldeerichtlinien; bearish für Anbieter, die sich historically auf stilles Patchen verlassen haben. Cyber-Versicherer, die Policen für in der EU vertriebene Wallets schreiben, werden die 24-Stunden-Frist wahrscheinlich in ihre Vertragsbedingungen einpreisen.
Häufig gestellte Fragen
-
Was verlangt die EU-24-Stunden-Meldepflicht für Crypto-Wallets konkret?
Nach dem Cyber Resilience Act müssen kommerzielle Wallet-Hersteller innerhalb von 24 Stunden nach Entdeckung einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Sicherheitsvorfalls eine Frühwarnung an die nationalen Cyber-Behörden melden, gefolgt von einer ausführlicheren Benachrichtigung innerhalb von…
-
Welche Crypto-Wallets erfasst der CRA?
Der CRA erfasst kommerziell vertriebene Hardware-Wallets mit Netzwerkanschluss und herunterladbare Wallet-Apps, die den Test als 'Produkt mit digitalen Elementen' erfüllen, also Produkte mit direkter oder indirekter Datenverbindung. EU-Leitlinien nennen keine konkreten Marken; die Erfassung hängt vom Produkt und…
-
Sind Open-Source-Crypto-Wallets von der 24-Stunden-Frist ausgenommen?
Nein. Die Open-Source-Leitlinien der Kommission behandeln kommerziell vertriebene freie und Open-Source-Produkte als erfasst, während unbezahlte Beiträger und nicht monetarisierte Herstellersoftware außerhalb der Definition bleiben. Open-Source-Verwalter bilden eine eigene Kategorie, deren Meldepflichten am 11.…
-
Wo melden Hersteller die 24-Stunden-Offenlegung?
Die Meldungen erfolgen über ENISAs Single Reporting Platform, die die Benachrichtigung an das benannte koordinierende nationale Computer Security Incident Response Team weiterleitet und an andere relevante nationale Teams sowie an ENISA selbst verteilt.
-
Gilt die 24-Stunden-Frist auch für Wallets, die bereits auf dem Markt sind?
Ja. Die Meldepflicht erfasst Produkte, die vor dem 11. Dezember 2027 auf den EU-Markt gebracht wurden, und zieht bestehende Produktlinien in das neue Regime, statt nur Wallets zu erfassen, die nach Inkrafttreten der Hauptanforderungen erstmals verkauft wurden.
WatcherGuru
WuBlockchain
CoinTelegraph
CoinDesk
TheBlock
Crypto Rank News