MPC-Wallet vs. Multisig: Welche Verwahrung ist sicherer?

Welches Problem versuchen MPC und Multisig eigentlich zu lösen?

Wenn du einen einzelnen privaten Schlüssel kontrollierst, kontrollierst du die Gelder. Verlierst du den Schlüssel, sind die Gelder weg. Wird der Schlüssel gestohlen, sind die Gelder weg. Für einen Hobbyisten, der ein paar hundert Dollar hält, reichen in der Regel eine Hardware-Wallet und disziplinierte Backups. Sobald jedoch Geld, ein Unternehmen oder geteilte Kontrolle ins Spiel kommen, wird dieser einzelne Fehlerpunkt unbequem. Zwei Fragen ergeben sich: Wer darf Gelder bewegen, und was passiert, wenn eine dieser Personen kompromittiert wird, verschwindet oder einfach einen Fehler macht?

Multisig (kurz für "Multi-Signatur") und MPC (kurz für "Multi-Party Computation") sind zwei unterschiedliche Antworten auf diese Fragen. Sie verfolgen dasselbe Ziel – nämlich sicherzustellen, dass ein einzelner Schlüssel, eine einzelne Person oder ein einzelnes Gerät nicht ausreicht, um Gelder zu bewegen –, erreichen dieses Ziel jedoch durch sehr unterschiedliche Mechanismen. Diese Mechanismen zu verstehen, ist der Unterschied zwischen einer vertretbaren Custody-Entscheidung und einer Marketingentscheidung.

Wie Multisig funktioniert, einfach erklärt

Eine Multisig-Wallet ist eine Wallet, die M-von-N-Signaturen benötigt, um eine gültige Transaktion zu senden. Beispielsweise bedeutet ein "2-von-3"-Setup, dass drei unabhängige Schlüssel existieren und zwei davon signieren müssen, bevor die Gelder bewegt werden. Die Regel wird von der Blockchain selbst durchgesetzt: Auf Bitcoin sperrt das ursprüngliche P2SH- (und später P2WSH-)Skript Gelder hinter einem Skript, das die Signaturschwelle wörtlich prüft. Auf Ethereum ist das Äquivalent eine Smart-Contract-Wallet wie Safe (ehemals Gnosis Safe), bei der die Ausgabenregeln in auditiertem Vertragscode leben und nicht in Bitcoin Script.

Da jede Signatur von einem separaten, vollständig ausgebildeten privaten Schlüssel stammt, kann jeder Signer air-gapped sein, von einer anderen Person gehalten, auf einem anderen Gerät in einem anderen Land gespeichert und mit einem anderen Betriebssystem betrieben werden. Eine einzelne Geräte-Kompromittierung, ein einzelner unter Druck gesetzter Mitarbeiter und eine einzelne verlorene Seed-Phrase allein können die Wallet nicht leeren. Der Preis ist Reibung: Jemand muss die Signer koordinieren, und On-Chain-Transaktionen sind etwas größer und teurer, da die Signaturdaten mit der Anzahl der Signer wachsen.

Das Rotieren von Signern ist ebenfalls eine transparente On-Chain-Aktion. Du musst einen Treasury-Manager entlassen? Bewege die Gelder in eine neue Multisig, die dessen Schlüssel ausschließt. Eine Hardware-Wallet verloren ist? Ersetze deren Platz in der Schwelle mit einer standardmäßigen On-Chain-Transaktion. Jede Änderung ist für immer in einem Block-Explorer überprüfbar.

Wie MPC funktioniert, einfach erklärt

MPC-Wallets nutzen einen kryptografischen Zweig namens Multi-Party Computation, um einen einzelnen privaten Schlüssel in mehrere „Anteile" aufzuteilen, die auf verschiedene Parteien (Geräte, Server oder Personen) verteilt werden. Das Geniale: Der vollständige Schlüssel wird nirgendwo vollständig zusammengesetzt, auch nicht beim Signieren. Stattdessen führen die Parteien gemeinsam ein Protokoll aus, bei dem jede einen Teilsignatur beiträgt, und das Ergebnis ist eine ganz normale Signatur auf der Blockchain. Für die Blockchain ist eine MPC-signierte Transaktion nicht von einer Transaktion zu unterscheiden, die von einer gewöhnlichen Wallet mit einem einzelnen Schlüssel signiert wurde.

Die meisten modernen Wallet-MPC-Verfahren basieren auf Threshold-Signaturverfahren wie ECDSA GG20/GG20+, Threshold EdDSA für Chains wie Solana und Schnorr-basierte Verfahren für Bitcoin über Protokolle wie FROST. Die Aufteilung ist für Außenstehende unsichtbar. Es gibt kein Multisig-Skript, keinen Smart Contract und keinen On-Chain-Fußabdruck, der darauf hindeutet, dass mehr als eine Partei beteiligt war.

Für den Nutzer fühlt sich MPC meist wie eine ganz normale Wallet-App mit vertrautem Recovery-Ablauf an. Im Hintergrund arbeiten die Server des Anbieters, das Gerät des Nutzers und manchmal eine Backup-Partei zusammen, um Signaturen zu erzeugen. Wiederherstellung und Schlüsselrotation erfolgen durch eine neue „Resharing"-Zeremonie, die frische Anteile erzeugt, ohne den zugrundeliegenden Schlüssel jemals offenzulegen, und die alten Anteile ungültig macht.

Welche realen Risiken birgt jeder Ansatz?

Beide Setups verringern das Single-Point-of-Failure-Risiko einer normalen Wallet, führen aber jeweils eigene neue Risiken ein. Es ist hilfreicher, die Marketingbroschüren zu überspringen und zu schauen, was in der Praxis tatsächlich gescheitert ist, als jede Feature-Vergleichstabelle zu studieren.

Multisig-Risiken, die du ernst nehmen solltest

Das größte, nicht offensichtliche Risiko von Multisig ist koordinierter Signer-Kompromittierung. Der Ronin-Bridge-Hack von 2022, bei dem rund 625 Millionen US-Dollar gestohlen wurden, war im Grunde ein 5-von-9-Multisig, dessen Signer in einer kleinen Gruppe von Validatoren gebündelt waren, die ein Angreifer nach und nach kompromittierte. Das Threshold-Design war auf dem Papier korrekt; die betriebliche Realität war, dass zu viele Schlüssel im selben organisatorischen Explosionsradius lagen.

Zu weiteren wiederkehrenden Fehlermodi gehören schlecht konzipierte Signaturzeremonien (Signer senden teilweise signierte Transaktionen aus demselben Netzwerk), Signer-Kollusion (vor allem in kleinen DAOs, in denen dieselben wenigen Personen jeden Schlüssel kontrollieren) und Bugs auf Chain-Ebene in der Smart-Contract-Implementierung. Safe selbst wurde umfassend auditiert, aber Varianten und Forks erben weniger Prüfung. Bei Bitcoin ist das Risiko einfacher: Ein schlecht konstruiertes Skript kann Gelder dauerhaft sperren, und das Ändern des Signer-Sets erfordert eine neue On-Chain-Transaktion, die Gebühren kostet und für die Welt sichtbar ist.

MPC-Risiken, die du ernst nehmen solltest

Die Risiken von MPC liegen größtenteils in Software und Betrieb, denn die Kryptografie selbst läuft nicht auf einer Chain. Eine fehlerhafte Implementierung kann Schlüsselmaterial über Anteile hinweg leaken, und historische Verfahren wurden bereits gebrochen. Frühe Threshold-ECDSA-Protokolle hatten subtile Bugs im Abbruchverhalten; einige Forschungsarbeiten zwischen 2020 und 2022 fanden Wege, partielle Schlüsselinformationen zu extrahieren, indem sie Protokollnachrichten über viele Signatur-Sitzungen hinweg beobachteten. Seriöse Anbieter nutzen moderne Verfahren, formale Audits und kontinuierliche Forschung, aber die Beweislast liegt bei der Implementierung, nicht bei der Blockchain.

Dann gibt es das Betriebsrisiko des Anbieters selbst. MPC wird überwiegend als Service angeboten, was bedeutet, dass der Kunde den Servern, den Mitarbeitern und der Update-Pipeline des Anbieters vertraut. Wenn ein Custody-Anbieter kompromittiert wird, konzentriert sich der Schaden. In der breiteren Custody-Branche gab es mehrere Vorfälle, darunter hochkarätige Fälle bei Drittanbietern für Custody und bei Börsen, bei denen Angreifer gezielt die Infrastruktur des Anbieters anvisierten statt einzelne Nutzer. Das katastrophalste recente Beispiel ist der FTX-Kollaps von 2022, bei dem ein Custody-Stack aus Hot Wallets, Multisig und verschiedenen internen Kontrollen versagte, weil die menschlichen und unternehmensweiten Kontrollen rundherum zusammenbrachen, nicht weil die Kryptografie versagt hätte.

Schließlich gibt es ein strukturelles Problem: Bei On-Chain-Multisig ist die Ausgabenregel öffentlich und selbstausführend. Bei MPC lebt die Regel innerhalb des Software-Stacks des Anbieters. Wenn der Anbieter verschwindet, ist der Nutzer vom Recovery-Verfahren des Verfahrens, der Qualität der Dokumentation und der Offenheit des zugrundeliegenden Protokolls abhängig. Einige MPC-Systeme sind Open Source und reproduzierbar, viele jedoch nicht.

Wie schneiden sie bei Chain-Unterstützung, Recovery und Rotation ab?

Die Chain-Kompatibilität ist der sichtbarste Unterschied im Alltag. Bitcoin unterstützt natives Multisig auf Skript-Ebene und mittlerweile Taproot, wodurch Multisig-Transaktionen auf der Chain aussehen wie Single-Sig-Transaktionen (gut für Privatsphäre und Gebühren), während sie unter der Haube weiterhin mehrere Schnorr-Signaturen erfordern. Ethereum hat keinen Multisig-Opcode in demselben Sinne; es gibt Smart-Contract-Wallets, von denen Safe das dominierende Muster ist. Andere Chains variieren: Solana etwa hat kein On-Chain-natives Multisig im Bitcoin-Sinne und erforderte historisch entweder ein Multisig-Programm auf Protokollebene oder einen Smart-Contract-Ansatz.

MPC hingegen ist chain-agnostisch. Da die Blockchain immer nur eine Standardsignatur sieht, kann dasselbe MPC-Setup für BTC, ETH, SOL und jede andere Chain signieren, die ein kompatibles Signaturverfahren verwendet. Für Organisationen, die viele Vermögenswerte über viele Chains hinweg verwahren müssen, ist das eine echte betriebliche Vereinfachung. Multisig-Nutzer betreiben oft mehrere verschiedene Multisig-Setups parallel, eines pro Chain, jeweils mit ihren Eigenheiten und Signer-Prozessen.

Recovery und Signer-Rotation erzählen die gegenteilige Geschichte. Bei Multisig ist das Ersetzen eines verlorenen Signers eine On-Chain-Aktion: Eine neue Transaktion bewegt die Gelder in eine neue Wallet, die das neue Schlüsselset erkennt. Sie ist sichtbar, auditierbar und in sich abgeschlossen. Bei MPC erfordert die Rotation, dass die Parteien eine frische Distributed-Key-Generation- oder Resharing-Zeremonie durchführen und dann die alten Anteile ungültig machen. Gut gemacht, ist sie unsichtbar und schnell. Schlecht gemacht, oder bei einem Anbieter, dessen Software sich so verändert hat, dass die alte Zeremonie nicht mehr funktioniert, kann sie ein fragiler, manueller, Offline-Prozess sein, der von einer Dokumentation abhängt, die in zwei Jahren möglicherweise nicht mehr existiert.

Welches Setup passt zu welchem Nutzertyp?

Es gibt keine universell „sicherere" Antwort. Die richtige Wahl hängt davon ab, vor wessen Bedrohung du dich am meisten fürchtest und wie viel betriebliche Komplexität du tatsächlich stemmen kannst.

Einzelnutzer und kleine Halter. Für eine Einzelperson, die über eine einzelne Hardware-Wallet hinausgeht, ist MPC oft die pragmatische Standardwahl: einfacher zu nutzen, unterstützt mehr Chains und lässt sich tendenziell in Mobile- und Browser-Wallets integrieren, wo On-Chain-Multisig umständlich wäre. Die wichtigste Vorsichtsmaßnahme ist, einen MPC-Anbieter zu wählen, dessen Verfahren dokumentiert, auditiert und idealerweise Open Source ist, und vor dem Einzahlen von Geldern genau zu verstehen, wie die Recovery funktioniert.

DAOs und kleine Treasuries. Ein Safe auf Ethereum (oder ein natives Multisig auf Bitcoin) ist meist die am besten verteidigbare Option für eine Treasury, die jede Ausgabenregel in einem Block-Explorer sichtbar haben möchte. Unabhängige Signer in verschiedenen Jurisdiktionen, auf verschiedenen Geräten, ohne gemeinsamen Arbeitgeber oder Anbieter, geben dir die maximale Trennung der Explosionsradien. Die Ronin-Pleite ist die Lehre: Die kryptografische Schwelle ist nicht der schwierige Teil; die betriebliche Unabhängigkeit der Signer ist es.

Aktive Trading-Desks und institutionelle Treasuries. Hier gewinnt MPC oft in puncto Policy-Ausdrucksstärke: Rollen, Ausgabenlimits, Time-Locks, Allowlist-Adressen, automatische Schlüsselrotation und Genehmigungsworkflows lassen sich in einem Custody-Produkt leichter abbilden als in einem statischen On-Chain-Skript. Der Trade-off ist, dass du nun einem Vendor-Stack vertraust, sodass die Beschaffungs-Checkliste eher einer Enterprise-Software-Prüfung ähnelt (SOC-2-Berichte, Penetrationstests, Key-Management-Zertifizierungen, Versicherungen, Business Continuity) als einer krypto-nativen.

Nutzer mit strengen Souveränitätsanforderungen. Wenn „keine Drittpartei kann meine Gelder jemals bewegen, unter keinen rechtlichen oder technischen Umständen" eine harte Anforderung ist, kommt On-Chain-Multisig diesem Ideal am nächsten. Die Regel wird von der Chain durchgesetzt, nicht von einem Unternehmen, das subpoenaed, übernommen oder geschlossen werden könnte.

Wie Sie wählen, ohne auf Vendor-Marketing hereinzufallen

Die nützlichste Übung vor der Wahl eines Custody-Setups ist, drei Dinge aufzuschreiben: welche Vermögenswerte, auf welchen Chains, kontrolliert von wem, mit welcher Recovery-Story, wenn ein Signer verloren geht. Die Antworten machen die Entscheidung meist offensichtlich. Eine Multi-Chain-Treasury mit häufigen Transaktionen und aktiver Policy wird mit der Reibung von On-Chain-Multisig zu kämpfen haben. Ein langfristiges Bitcoin- oder Ethereum-Cold-Storage-Setup wird kaum einen Grund finden, sich die Software- und Vendor-Abhängigkeiten von MPC aufzubürden.

Es lohnt sich auch, die Behauptungen der Anbieter einem Stresstest zu unterziehen. „Non-custodial" ist eher ein Marketingwort als ein technischer Begriff. Die entscheidenden Fragen sind: Wer kann die Signing-Zeremonie durchführen, was passiert, wenn der Anbieter morgen verschwindet, ist das zugrunde liegende MPC-Protokoll offen und reproduzierbar, und wurden die Implementierungen unabhängig auditiert und über einen längeren Zeitraum untersucht. Ein Anbieter, der alle vier Fragen konkret beantworten kann, ist seltener – und vertrauenswürdiger – als ein Sales-Deck, das auf jeder Folie das Wort „institutionell" verwendet.

Behandeln Sie Custody schließlich als Defense in Depth. Weder Multisig noch MPC machen Hardware-Wallet-Level-Schlüsselisolierung, Transaktionsprüfung, Adress-Allowlists und menschliche Prozeduren rund um das Signieren überflüssig. Die Kryptografie setzt den Boden. Die operative Disziplin der Personen, die sie nutzen, setzt die tatsächliche Decke.

Wie Sie Custody-Entwicklungen auf smarte Weise verfolgen

Custody-Technologie entwickelt sich rasant: Neue Threshold-Signature-Schemata, neue Safe-Module, neue MPC-Anbieter und neue hochkarätige Sicherheitsvorfälle landen im Nachrichtenzyklus, und ein Großteil der Berichterstattung ist entweder anbieterfinanziert oder oberflächlich. Zu verfolgen, welche Entwicklungen tatsächlich relevant sind und welche nur neu verpacktes Marketing sind, ist eine Aufgabe für sich. Zippfeed zeigt Wallet- und Custody-Schlagzeilen mit Sentiment-Scoring – bullish, neutral oder bearish – sowie einer Wichtigkeitsbewertung, damit Sie bedeutende Protokoll-Upgrades und Offenlegungen von Sicherheitsvorfällen vom Rauschen unterscheiden können, bevor diese Ihr eigenes Setup betreffen.