Die 24-Stunden-Hauptmeldung ist die einfache Seite der Sache. Das Cyber Resilience Act hat etwas geändert – was ein Wallet legal ist.

Der Schlagzeile sind das Datum und die Uhrzeit richtig angegeben – aber die Uhrzeit ist falsch.11. September 2026, Die Berichtspflichten nach dem EU-Cyber-Ressourcen-Sicherheitsgesetz sind nun verpflichtend geworden.Die komprimierte Version – „Kryptowallets haben jetzt 24 Stunden Zeit, um einen Hackerangriff zu melden“ – verheimlicht zwei Dinge, die man vor der Handlung überprüfen sollte. 24 Stunden sind nur der erste Schritt eines dreistufigen Zeitplans – nicht der gesamte Frist. Und die Verpflichtung liegt nicht bei der Person, die das Wallet hält, sondern bei der Person, die es erstellt hat.

Lesen Sie die tatsächlichen Zahlen – denn die Zahl, die Sie im Schlagzeile gesehen haben, ist nur eine begrenzte Schätzung einer viel größeren Verpflichtung.

Der Aufstieg wurde in der Schlagzeile vereinfacht.

Der Cyber Resilience Act – offiziellVorschriften (EU) 2024/2847Es erfordert, dass jeder Hersteller eines abgedeckten Produkts eine Anmeldung vornehmen muss.Eine einzige Plattform im gesamten EU-Raum, die die nationale Computer-Sicherheitsreaktionsgruppe sowie ENISA unterstützt.Die EU-Behörde für Cybersicherheit. Der Auslöser ist das Wissen – nicht die Bestätigung: Ein Hersteller wird „wachsam“, sobald er eine bestimmte Information erhält.Angemessener Grad von Sicherheit nach einer ersten BeurteilungOhne auf jede technische Details zu warten.

Von diesem Moment an läuft die Uhr in drei Phasen ab:

• 24 Stunden — Eine frühzeitige Warnung mit vorläufigen Informationen sowie die Feststellung, ob böswillige Aktivitäten vermutet werden.;
• 72 Stunden– Eine vollständige Benachrichtigung mit einer ersten Bewertung sowie Maßnahmen zur Minderung der Schäden.
• EndberichtFür eine aktiv ausgenutzte Schwachstelle: innerhalb von 14 Tagen nachdem die korrekten Maßnahmen verfügbar sind. Für schwere Vorfälle: innerhalb eines Monats.

„24 Stunden, um einen Hackerangriff zu melden“ ist zwar wahr – aber nicht vollständig. 24 Stunden reichen dem Entwickler nicht aus, um eine vollständige Meldung abzugeben; es wird nur ein Dokument erstellt. Die vollständige Meldung kommt erst Tage später, und der handlungsreiche Inhalt – also die Anweisungen zur Behebung des Problems – kann bis zu einem Monat dauern.

Auch die Reichweite der Regelung muss richtig angepasst werden – sie erstreckt sich nämlich weit über das, was in den Anzeigen angegeben ist. Die Regelung gilt für alle Hersteller, die Produkte mit digitalen Elementen auf dem EU-Markt anbieten.Unabhängig davon, wo der Hersteller ansässig ist.Ein Geldbörsenhersteller in Kalifornien, der auch nach Europa verkauft, wird hier als „Hersteller“ bezeichnet.Es muss ein EU-Kontaktpunkt ermittelt werden.Die Durchsetzung erfolgt ausdrücklich grenzüberschreitend. Eine spezielle Kategorie von Verstößen erfordert hohe Strafen: Die Verletzungen der Vorschriften bezüglich der Behandlung von Schwachstellen und der Meldung solcher Verstöße führen zu Geldstrafen bis zu…15 Millionen Euro oder 2,5 Prozent des gesamten weltweiten JahresumsatzesEgal welcher Wert höher ist.

Wenn man diese beiden Fakten nebeneinander betrachtet, verschwindet das vage Verständnis des Themas. Es geht nicht darum, dass „dein Portemonnaie jetzt Dokumente ausfüllt“. Es geht vielmehr darum, dass der Hersteller deiner Portemonnaie eine verbindliche, überörtliche Pflicht hat, dem Regulator einen Bericht zu erstellen – mit der Folge, dass dieser Regulator möglicherweise nie mit dem Hersteller deiner Portemonnaie in Kontakt stand.

Identitätsumschaltung

Das ist die wichtige Veränderung für jede Person, die ein Wallet-Unternehmen betreibt oder bewertet. Es handelt sich dabei um eine Veränderung der rechtlichen Identität – nicht um eine Veränderung im Marketing. Zeichnen Sie das „Vorher“ und das „Nachher“ in zwei Spalten auf.

Vor dem wirksamen Datum.Eine Wallets ist ein Code, den man ausführt. „Nicht deine Schlüssel, nicht deine Münzen“ war mehr als nur ein Slogan – es war die rechtliche Realität. Die Sicherheit ist dein Problem, und die Verantwortung des Herstellers gegenüber dir ist eine Frage der Produktgarantie, nicht eine Angelegenheit der Regulierungsbehörden. Ein unsicherer, nicht-kustodialer Wallet kann deine Schlüssel beeinträchtigen. Der Hersteller ist rechtlich verpflichtet, sich an das Zivilrecht zu halten – falls überhaupt jemand existiert – und nicht an irgendeine EU-Behörde innerhalb eines festgelegten Zeitraums.

Nach dem wirksamen Datum.Soweit das Produkt in den Umfang fällt, ist der Hersteller ein Hersteller eines regulierten Produkts. Er muss eine 24-Stunden-Warnung an das nationale CSIRT und ENISA geben, sobald eine betroffene Schwachstelle aktiv ausgenutzt wird. Der Hersteller erhält eine Möglichkeit zur Meldung von Problemen – außerdem hat er eine Mindeststandardsicherheit, wodurch er mit Geldstrafen rechnen kann.

Die ganze Frage – diejenige, die entscheidet, wie viel das eigentlich kostet – ist…Wer ist in der „Hersteller“-Kategorie?.

Hardware-Wallets sind die einfachste Lösung. Es handelt sich dabei um physische Geräte mit digitalen Elementen – und diese Geräte werden in der EU verkauft.Es handelt sich dabei um ein Produkt mit digitalen Elementen.Die Einheit, die es auf den Markt bringt, ist ein Hersteller. Das ist nicht unklar – und es ist auch nicht neu. Diese Unternehmen erteilen bereits Sicherheitszertifikate.

Software-Konten, die vermarktet werden, fallen ebenfalls unter dieses Kriterium. Ein Wallet, das über eine App-Store verteilt wird und Gebühren einnimmt oder eine Premium-Version anbietet, wird im Rahmen einer kommerziellen Tätigkeit angeboten. Software ist somit ein Produkt mit digitalen Elementen.

Die offene-Quell-Version ist der ehrliche Grenzpunkt. Free und offene-Quell-Software, die zur Verteilung oder Nutzung bereitgestellt wird –Nicht in Geld umgewandelt, nicht dazu bestimmt, Gewinne zu erzielen.– Das liegt außerhalb des Kernbereichs. Doch der Test betrifft „kommerzielle Aktivitäten“. Es ist jedoch fraglich: Sobald eine Wallet einen Preis festlegt, oder eine Absicht zur Kommerzialisierung signalisiert, oder Spenden erhält, die die Kosten übersteigen, kann es in den Bereich der Anwendung fallen. Eine „Gemeinschaftszuweisung“ ist nicht dasselbe wie ein „Keine kommerziellen Aktivitäten“-Ergebnis. Die Befreiung schützt das reine dezentralisierte Modell – und nichts Besseres.

Und dann gibt es noch die Kategorie, die nicht den eigenen Annahmen des Gesetzes entspricht. Der CRA wurde für Produkte entwickelt, die versendet werden, aktualisiert werden und eine definierte Unterstützungsperiode haben. Smart-Contracts sowie vollständig auf der Kette basierende Sicherheitsmechanismen haben von Anfang an keine „Patch-Button“. Das ist das eigentliche Problem im System: ein unveränderliches Produkt unter einem Gesetz, das auf Aktualisierbarkeit beruht. Wie die Umsetzungsrichtlinien der Kommission…Veröffentlicht im Juli dieses Jahres.Und es ist ausdrücklich nicht verbindlich – die Konflikte sind also die Variablen, auf denen die gesamte Auslegung dieser Gesetzgebung beruht.

Was es mit dem Geld macht

Ohne die dramatischen Aspekte – und ohne die wirtschaftlichen Aspekte – bleibt nur noch eine Geschichte über die Kosten der Einhaltung von Vorschriften. Die Kosten der Einhaltung dieser Vorschriften werden als fixe Kosten angesprochen, die auf die einzelnen Einheiten verteilt werden.

Die 24-Stunden-Berichterstattungspflicht, die Aufgabe der Bedrohungenbewältigung, die Verpflichtung während der Unterstützungsphase sowie die Anforderungen bezüglich der Konformität – all das kommt zusammen.Vollständige Anwendbarkeit im Dezember 2027Alles führt dazu, dass die Kosten für den Verkauf in der EU-Markt steigen. Für ein großes, gut finanziertes Unternehmen – wie zum Beispiel ein Hardware-Anbieter mit ausreichenden Ressourcen oder eine Wallet-Unit eines Exchanges innerhalb eines bereits regulierten Systems – sind diese Kosten zu tragen. Für ein kleines, selbstverwaltetes Projekt hingegen sind diese Kosten so hoch, dass das Produkt nicht auf dem EU-Markt verkauft werden kann. Diese Asymmetrie ist eine Vorteilsperspektive: Die Regulierung macht die regulierten Anbieter für Nutzer relativ günstiger, während das kleine Projekt relativ teurer wird.

Zwei wichtige Einschränkungen halten die Analyse korrekt. Erstens ist die direkte Marktpräsenz in den USA eher gering – die großen Hardware-Anbieter sind privat, und die auf dem Markt vertretenen Unternehmen haben daher noch eine weitere Kostenstruktur im Hinblick auf das MiCA-Regime zu berücksichtigen, anstatt dass es sich dabei um einen eigenständigen Faktor handelt. Es geht hier um strukturelle, mehrjährige Kosten und Barrieren – nicht um einen einzelnen Aktienanstieg. Zweitens bleiben die oben genannten Fragen ungelöst: Was gilt als kommerzielle Tätigkeit für Open-Source-Wallets? Und können on-Chain-Smart-Contract-Wallets überhaupt eine solche Anpassbarkeit bieten? Die nicht bindenden Richtlinien sind keine Gesetze – und daher auch nicht endgültig.

Bedingung für die Pause

Bleiben Sie bei einer einzigen Tatsache: Wenn die endgültige Richtlinie der Kommission formell bestätigt, dass softwarebasierte, nicht monetisierte Wallets außerhalb der „Produkte mit digitalen Elementen“ liegen – eine Ausnahme, die ausreicht, um die Kosten- und Schutzfunktionen des dezentralen Segments zu reduzieren – dann ist die Theorie der Konzentration noch nicht zutreffend. Die Hardware sowie der monetisierte Softwareteil des Marktes fallen in jedem Fall unter diese Regelung.

Bis dahin ist die Kette stabil und verifizierbar. Der Termin ist der 11. September 2026 – die Berichtspflicht gilt 24 Stunden bis zu 72 Stunden oder einen Monat lang. Die Geldstrafen können bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Umsatzes betragen. Das Gesetz bindet alle Hersteller, die in der EU Produkte verkaufen, aus jedem Teil der Welt. Die Überschrift gibt bereits die Zahl an. Die Tabelle zeigt, wer die Strafe zahlen muss. Lesen Sie die zweite Spalte, bevor Sie entscheiden, was die erste Spalte für Ihren Geldbeutel bedeutet – oder für das Unternehmen, das Sie überwachen.