Wo bewahrt eine Börse deine Kryptowährungen auf, und was passiert nach einem Hack?

Wenn du Kryptowährungen bei einer Börse kaufst, sieht dein Guthaben aus wie Münzen in einer Schublade mit deinem Namen darauf. Das ist es nicht, und das spielt eine Rolle, wenn etwas schiefgeht. Am 29. Oktober 2026 erbeuteten Angreifer nach Angaben von Binance rund 6,3 Milliarden Dollar aus den „Hot Wallets“ der Börse, also aus ihren Online-Wallets. Binance setzte die Auszahlungen aus, bis sie am 1. November schrittweise wieder anliefen. So funktioniert die Verwahrung.

Das Wichtigste: Wo bewahrt eine Börse deine Kryptowährungen auf?

• Die Börse hält die Schlüssel; dein Guthaben ist ihre Aufzeichnung darüber, was dir gehört.
• Ein Teil der Gelder bleibt für Auszahlungen in „Hot Wallets“, die online sind und Angriffen stärker ausgesetzt sind.
• Ein Reservenachweis („Proof of Reserves“) ist eine Momentaufnahme, keine Prüfung. Fonds wie SAFU sind Reserven des Unternehmens, keine rechtliche Garantie.
• In der EU gelten die MiCA-Regeln zu Trennung und Haftung nur für zugelassene Unternehmen.
• Selbstverwahrung und die Verwahrung bei einem Unternehmen bergen unterschiedliche Risiken; keine der beiden Varianten ist risikofrei.

Was bedeutet es, dass eine Börse deine Kryptowährungen „hält“?

Eine Wallet speichert keine Coins. Die US-Börsenaufsicht SEC (Securities and Exchange Commission) sagt, Wallets „speichern die ‚privaten Schlüssel‘ oder Passcodes für deine Kryptowerte“. Ein privater Schlüssel ist wie ein Passwort, mit dem sich die Coins bewegen lassen. Geht er verloren, ist der Zugang für immer weg.

Bei einer Börse verwaltet das Unternehmen diese Schlüssel für dich: Das ist Verwahrung. Dein Guthaben ist seine Aufzeichnung darüber, was dir gehört, gedeckt durch Coins, deren Schlüssel es kontrolliert. Wenn der Verwahrer „gehackt wird, den Betrieb einstellt oder insolvent wird, kannst du den Zugang verlieren“, warnt die SEC. Neu hier? Starte mit den Grundlagen zu Kryptowährungen.

Was sind Hot Wallets und Cold Wallets?

Denk an ein Geschäft. Die Kasse vorne enthält, was der Tag braucht; der Tresor hinten enthält den Rest und ist schwerer zu erreichen.

Eine Hot Wallet („heiße“ Wallet) ist die Kasse: mit dem Internet verbunden, bequem, aber Cyberbedrohungen ausgesetzt. Eine Cold Wallet („kalte“ Wallet) ist der Tresor: typischerweise ein Offline-Gerät, etwa ein USB-Stick, oder sogar Papier. Die SEC bezeichnet Cold Wallets als weniger bequem, aber im Allgemeinen besser vor Cyberbedrohungen abgeschirmt. Geräte können allerdings verloren gehen, beschädigt oder gestohlen werden.

Viele Börsen sagen, dass sie die meisten Coins ihrer Kunden offline aufbewahren und einen Arbeitsbestand für Auszahlungen online halten. Selbst ein kleiner Online-Anteil einer großen Börse kann Milliarden bedeuten. Unser Kurs Kryptowährungen aufbewahren behandelt beides.

Wie sichern Börsen die Schlüssel ab?

Das große Risiko ist, dass eine einzige Person oder Maschine einen Schlüssel zu allem hat. Zwei verbreitete Techniken verteilen diese Macht:

• Multisig (Multi-Signature, mehrere Signaturen): Eine Transaktion braucht mehrere Schlüssel, zum Beispiel 2 von 3, wie eine Kiste, die sich nur öffnet, wenn zwei von drei Schlüsselinhabern ihren Schlüssel umdrehen.
• MPC (Multi-Party Computation, auch Schwellenwert-Kryptografie): Ein Schlüssel wird auf mehrere Parteien oder Maschinen aufgeteilt, sodass keine einzelne ihn vollständig hat.

Diese Werkzeuge sichern den Schlüssel ab, nicht den Freigabeprozess drumherum. Beim Bybit-Hack 2025, bei dem eine Multisig-Cold-Wallet leergeräumt wurde, kompromittierten die Angreifer laut dem Analyseunternehmen Elliptic die Menschen und Systeme rund um die Wallets, nicht die Kryptografie. Lies „Multisig“ oder „MPC“ also als „keine einzelne Person kann allein Gelder bewegen“, nicht als „Hacks sind unmöglich“. Mehr dazu in unserer Einführung in die Sicherheit.

Was ist ein Reservenachweis, und was zeigt er nicht?

Ein Reservenachweis ist der Bericht einer Börse über die Kryptowerte, die sie im Verhältnis zu den Kundenguthaben hält. Bei manchen kannst du prüfen, ob dein Guthaben enthalten war, und sie belegen, dass die Reserven die Guthaben mindestens eins zu eins decken, ohne das Guthaben einer einzelnen Person offenzulegen.

Mitarbeiter der US-Aufsicht für Wirtschaftsprüfer, PCAOB, schreiben, solche Berichte beziehen sich auf „einen bestimmten Zeitpunkt“, berücksichtigen wahrscheinlich nicht die Schulden des Unternehmens und geben keine Gewähr dafür, was danach mit den Vermögenswerten geschieht. „PoR-Aufträge sind keine Prüfungen“, schrieben sie. Es ist ein Kontoauszug für eine Sekunde. Eine Hot Wallet, die am 29. Oktober leergeräumt wurde, war laut CoinDesk in Binances Bericht vom 1. Oktober aufgeführt.

Was ist ein versicherungsähnlicher Fonds wie SAFU?

SAFU ist der Notfallfonds von Binance. Binance beschreibt ihn als Reserve, die im Juli 2018 für Extremfälle wie Sicherheitsverletzungen eingerichtet wurde und aus einem Prozentsatz der Handelsgebühren gespeist wird.

Ein solcher Fonds gehört dem Unternehmen selbst: Es entscheidet, ob und wie es ihn einsetzt, im Rahmen dessen, was es sich leisten kann. Kein öffentliches Sicherungssystem garantiert Kryptowährungen. MiCA verpflichtet Emittenten, in ihren Informationsdokumenten anzugeben, dass Kryptowerte nicht unter die Einlagensicherungs- oder Anlegerentschädigungssysteme der EU fallen, und die US-Einlagensicherung FDIC erklärt, dass ihre Versicherung nicht für Kryptowährungen gilt.

Was verlangt das EU-Recht von lizenzierten Unternehmen?

MiCA, das Krypto-Regelwerk der EU, gilt für lizenzierte Unternehmen, die Kryptowerte von Kunden oder die zugehörigen Schlüssel halten. Der MiCA-Text verlangt unter anderem:

• Sichere Aufbewahrung (Art. 70): „angemessene Vorkehrungen, um insbesondere im Falle der Insolvenz […] die Eigentumsrechte der Kunden zu schützen“, und keine Verwendung der Kryptowerte von Kunden „für eigene Rechnung“.
• Trennung (Art. 75): Kryptowerte von Kunden werden getrennt von den eigenen Kryptowerten des Unternehmens gehalten, auch auf der Blockchain, und die Gläubiger des Unternehmens können nicht darauf zugreifen, wenn es scheitert.
• Haftung (Art. 75): Das Unternehmen haftet für Kryptowerte, die bei einem ihm zuzuschreibenden Vorfall verloren gehen, begrenzt auf ihren Marktwert zum Zeitpunkt des Verlusts, aber nicht für Ereignisse, bei denen es nachweist, dass sie unabhängig von seinen Tätigkeiten eingetreten sind.

Der Haken: Das gilt nur für zugelassene Unternehmen. Die ESMA, die Marktaufsicht der EU, sagt, Kunden nicht zugelassener Anbieter „profitieren nicht von den Schutzvorkehrungen von MiCA, einschließlich des Schutzes von Kundenvermögen“, und führt ein öffentliches Register zugelassener Unternehmen. Eine Zulassung schließt Hacks nicht aus, aber sie zeigt dir, welche Regeln gelten. Mehr dazu in Krypto-Regeln in der EU.

Selbstverwahrung oder ein Unternehmen: Was sind die Vor- und Nachteile?

Selbstverwahrung bedeutet, dass du deine eigenen Schlüssel hältst. Keine der beiden Varianten beseitigt das Risiko.

• Selbstverwahrung: alleinige Kontrolle und alleinige Verantwortung. Ein Hack oder eine Insolvenz einer Börse betrifft deine Coins nicht direkt. Verlierst du aber sowohl deine Wallet als auch ihre Wiederherstellungsphrase („Seed Phrase“, die Wörter, mit denen sie sich wiederherstellen lässt), ist der Verlust in der Regel endgültig. Die Einrichtung kann etwas Know-how erfordern, und die Verwahrungsregeln von MiCA gelten nicht.
• Ein Unternehmen: Ein Konto lässt sich in der Regel wiederherstellen, und ein zugelassener Verwahrer in der EU muss die MiCA-Regeln zu Trennung und Haftung einhalten. Du bist aber von seiner Sicherheit, seinen Abläufen und seiner Fähigkeit abhängig, einen Verlust zu decken, und Auszahlungen können ausgesetzt werden.
• In beiden Fällen: Phishing und Schadsoftware auf deinem eigenen Gerät bleiben ein Risiko.

Welche Gewohnheiten helfen?

• Gib deine privaten Schlüssel oder deine Wiederherstellungsphrase niemals weiter, sagt die SEC.
• Nutze starke Passwörter und Zwei-Faktor-Authentifizierung (2FA), eine zweite Prüfung zusätzlich zu deinem Passwort. Die US-Cybersicherheitsbehörde CISA rät dringend zu „Phishing-resistenten“ Varianten.
• Erwäge eine „Allowlist“ für Auszahlungen, falls angeboten: Auszahlungen gehen dann nur an Adressen, die du vorab freigegeben hast.
• Rechne nach großen Nachrichten mit Phishing. Gefälschte „Entschädigungs“-Nachrichten tauchen schnell auf, manchmal neben echten Aktionen. Prüfe also nur in der offiziellen App oder auf der offiziellen Website, nie über einen Link in einer Nachricht.
• Sei vorsichtig bei Angeboten, verlorenes Geld „zurückzuholen“. Das IC3 des FBI nennt sie „eine List, um Menschen, die bereits Geld verloren haben, erneut zu Opfern zu machen“.

Was du daraus mitnehmen kannst

Bei einer Börse sind deine Kryptowährungen ein Guthaben, gedeckt durch Schlüssel, die jemand anderes kontrolliert, und Angriffe treffen oft die Menschen und Systeme rund um diese Schlüssel. Ein Reservenachweis zeigt einen Moment, Notfallfonds sind eine Entscheidung des Unternehmens, und die Pflichten nach EU-Recht gelten nur bei zugelassenen Unternehmen.

Was du jetzt tun kannst

• Lerne in unserem Kurs zum Erkennen von Betrug, gefälschte Erstattungs- und Rückholnachrichten zu erkennen.
• Bring deine Fragen zu Wallets und Schlüsseln in unsere Workshops mit.

Fragen unserer Leser

Bekomme ich meine Kryptowährungen zurück, wenn meine Börse gehackt wird?

Das kommt darauf an. Eine Börse kann Verluste aus eigenen Mitteln decken, aber das ist ihre Entscheidung. Eingefrorene gestohlene Gelder (vom Emittenten eines Tokens gesperrt) werden nicht automatisch zurückgegeben; eine Rückholung kann Monate oder Jahre dauern. In der EU haftet ein zugelassener Verwahrer für Verluste, die ihm zuzuschreiben sind.

Ist eine Cold Wallet hacksicher?

Nein. Sie ist Online-Angriffen im Allgemeinen weniger ausgesetzt, aber das Gerät kann verloren gehen, beschädigt oder gestohlen werden.

Beweist ein Reservenachweis, dass eine Börse genug Geld hat?

Nicht für sich allein: Er zeigt die Vermögenswerte zu einem bestimmten Zeitpunkt und wahrscheinlich nicht die Schulden des Unternehmens.

Kryptopreise können stark steigen und fallen, und du könntest einen Teil oder dein gesamtes eingesetztes Geld verlieren. Kryptowährungen fallen nicht unter die Einlagensicherung. Dieser Artikel dient der Bildung und ist keine Finanzberatung.