Kryptowerte im Unternehmen verwahren: Risiken und Sorgfaltspflichten

Warum Verwahrung die eigentliche Frage ist

Ein Betrieb nimmt gelegentlich Zahlungen in Bitcoin an, ein Gesellschafter hat vor Jahren einen kleinen Bestand als Reserve gekauft, ein Kunde hat mit einem Stablecoin bezahlt, der noch nicht getauscht ist. In allen drei Fällen liegt im Unternehmen ein Vermögenswert, der anders funktioniert als ein Bankguthaben. Er existiert nur als Eintrag auf einer Blockchain, und wer über ihn verfügen kann, entscheidet allein der Besitz eines Schlüssels.

Die zentrale Frage lautet also: Welche Risiken entstehen, wenn ein Unternehmen Kryptowerte verwahrt, und welche Sorgfalt schuldet die Geschäftsführung dabei? Dafür klären wir zuerst die Begriffe, sehen uns an, wie Verluste in der Praxis entstehen, und vergleichen die Wege der Verwahrung mit einem Denkmodell. Danach wägen wir Selbstverwahrung und Verwahrer ab und leiten Regeln für den Betrieb ab. Ob Kryptowerte überhaupt in die Bilanz gehören, behandelt Bitcoin in der Bilanz, ob sich die Annahme als Zahlungsmittel lohnt, Krypto als Zahlungsmittel im Betrieb.

Schlüssel, Wallet, Verwahrung: die Begriffe

Ein privater Schlüssel ist eine geheime Zeichenfolge, mit der Transaktionen signiert werden. Wer ihn kennt, kann über den Bestand verfügen. Eine Wallet ist die Software oder das Gerät, das Schlüssel verwaltet. Oft werden die Schlüssel aus einer Folge von 12 oder 24 Wörtern abgeleitet, der Wiederherstellungsphrase. Wer diese Wörter besitzt, besitzt den Bestand.

• Hot Wallet: Die Schlüssel liegen auf einem Gerät mit Internetverbindung. Schnell nutzbar, aber angreifbar.
• Cold Wallet: Die Schlüssel liegen offline, etwa auf einem speziellen Hardwaregerät. Sicherer, aber langsamer im Zugriff.
• Mehrfachsignatur (Multisig): Eine Transaktion braucht die Signatur mehrerer Schlüssel, etwa zwei von drei. Das ist das technische Gegenstück zum Vier-Augen-Prinzip.
• Verwahrung (Custody): Ein Dienstleister hält die Schlüssel im Auftrag des Kunden. Der Kunde hat dann einen Anspruch gegen den Verwahrer, nicht den Schlüssel selbst.

Eine Analogie macht den Unterschied greifbar. Selbstverwahrung gleicht Bargeld im eigenen Tresor: Niemand anderes kommt heran, aber wenn der Tresor aufgebrochen wird oder die Kombination vergessen ist, hilft niemand. Ein Verwahrer gleicht einem Bankschließfach: Der Schutz ist professionell, aber man ist auf die Bank, ihre Öffnungszeiten und ihre Zahlungsfähigkeit angewiesen.

Wie Verluste in der Praxis entstehen

Das Analyseunternehmen Chainalysis wertet jährlich Diebstähle und Betrug mit Kryptowerten aus. Für 2025, mit Daten bis Anfang Dezember, kam es auf mehr als 3,4 Milliarden US-Dollar gestohlener Kryptowerte. Die Verluste waren stark konzentriert.

Für einen kleinen Betrieb sind spektakuläre Angriffe auf Handelsplätze nur ein Teil des Risikos. Häufiger sind Fehler im eigenen Haus: eine Wiederherstellungsphrase, die als Foto auf einem Mobiltelefon liegt, ein Mitarbeiter, der als Einziger den Zugang kennt und den Betrieb verlässt, eine gefälschte E-Mail, die zu einer Zahlung an die falsche Adresse führt. Weil Transaktionen auf der Blockchain nicht zurückgeholt werden können, gibt es nach einem solchen Fehler keine Reklamation.

Das zweite große Risiko liegt beim Anbieter. Im November 2022 brach die Kryptobörse FTX zusammen. Kundengelder waren nicht getrennt verwahrt, sondern für Geschäfte einer verbundenen Handelsfirma genutzt worden. Der Gründer wurde 2023 in den USA wegen Betrugs verurteilt und 2024 zu 25 Jahren Haft verurteilt, ein Berufungsgericht bestätigte das Urteil im Juni 2026. Den Fall schildert FTX: wie fehlende Kontrollen eine Kryptobörse zu Fall brachten.

Bei Kryptowerten ist die Verwahrung keine Nebensache des Besitzes. Sie ist der Besitz.

Was MiCA für Verwahrer regelt

Seit dem 30. Dezember 2024 brauchen Anbieter von Kryptodienstleistungen in der EU eine Zulassung nach der Verordnung über Märkte für Kryptowerte, kurz MiCA. Die längstmöglichen Übergangsfristen endeten am 1. Juli 2026, wie Stablecoins und MiCA beschreibt. In Deutschland ist die BaFin zuständig. Für die Verwahrung legt MiCA mehrere Pflichten fest.

Zwei Einschränkungen gehören dazu. Erstens schützt die Trennung nur, wenn sie tatsächlich eingehalten wird, was die Aufsicht prüft, aber nicht garantiert. Zweitens gibt es für Kryptowerte keine Einlagensicherung wie für Bankguthaben. Die Zulassung ist eine notwendige Bedingung für einen Verwahrer, kein Qualitätssiegel für sein Geschäftsmodell. Ob ein Anbieter zugelassen ist, lässt sich im Register der Aufsicht prüfen, wie es Due Diligence bei Geschäftspartnern für Finanzdienstleister beschreibt.

Das Denkmodell: das Verwahrungsdreieck

Brand und Karhu (2023) beschreiben die Wahl einer Verwahrungslösung für institutionelle Anleger als Abwägung zwischen Sicherheit, Effizienz und Verlässlichkeit. Ihre Grundlage ist eine Analyse der verfügbaren Lösungen und ein Interview mit einem nordischen Fonds, also eine schmale empirische Basis. Das Modell lässt sich aber gut auf einen Betrieb übertragen, wenn man Effizienz als Verfügbarkeit liest.

• Sicherheit: Wie gut ist der Bestand vor Diebstahl, Angriffen und Fehlern geschützt?
• Verfügbarkeit: Wie schnell und einfach kommt der Betrieb im Alltag an den Bestand, etwa für eine Zahlung oder einen Umtausch?
• Verlässlichkeit: Bleibt der Zugriff auch dann erhalten, wenn eine Person ausfällt, ein Gerät defekt ist oder ein Anbieter scheitert?

Keine Lösung ist auf allen drei Seiten stark. Wer maximale Sicherheit will, verliert an Verfügbarkeit. Wer sich auf einen Anbieter verlässt, tauscht das Risiko des eigenen Fehlers gegen das Risiko des Anbieters. Parry (2024) betont in einer Übersicht zur Verwahrung digitaler Werte zudem, dass vermeintliche Gewissheiten wie die sofortige und unumkehrbare Abwicklung nicht in jedem Fall gelten und dass Risikomanagement mit dem Bewusstsein für diese Unterschiede beginnt.

Selbst verwahren oder Verwahrer? Zwei Sichtweisen

Für die Selbstverwahrung spricht die Erfahrung mit FTX und anderen Zusammenbrüchen. Für den Verwahrer spricht, dass die häufigsten Fehler in kleinen Betrieben organisatorisch sind: eine Person, ein Gerät, keine Vertretung. Brand und Karhu (2023) weisen zudem darauf hin, dass für institutionelle Anleger oft schon das örtliche Recht die Nutzung eines Drittverwahrers vorgibt.

Ich halte für die meisten kleinen Betriebe den zugelassenen Verwahrer für den besseren Weg, aus einem einfachen Grund: Ein Betrieb, dessen Kerngeschäft nicht Kryptowerte sind, wird selten die Sorgfalt aufbringen, die eine sichere Selbstverwahrung über Jahre verlangt. Selbstverwahrung mit Mehrfachsignatur kann sinnvoll sein, wenn mindestens zwei Personen sich auskennen und die Abläufe schriftlich festgehalten sind. Eine einzelne Hardware-Wallet in der Schublade des Geschäftsführers ist es nicht.

Sorgfaltspflichten: Regeln für den Betrieb

Geschäftsführer einer GmbH müssen die Sorgfalt eines ordentlichen Geschäftsmanns anwenden. Was das bei Kryptowerten konkret bedeutet, ist gesetzlich nicht im Einzelnen geregelt. Aus den allgemeinen Grundsätzen ordnungsgemäßer Unternehmensführung lassen sich aber Regeln ableiten, die ich für das Mindestmaß halte.

1. Obergrenze festlegen

   Lege schriftlich fest, wie viel in Kryptowerten gehalten werden darf und wie lange Zahlungseingänge vor dem Umtausch liegen bleiben. Halte nur, was der Betrieb verlieren kann, ohne in Schwierigkeiten zu geraten.

2. Weg der Verwahrung wählen

   Entscheide anhand des Verwahrungsdreiecks und prüfe beim Verwahrer Zulassung, Vertrag, Trennung der Bestände und Haftung.

3. Vier Augen einrichten

   Keine Person darf allein Bestände bewegen. Beim Verwahrer über Freigaberechte, bei Selbstverwahrung über Mehrfachsignatur. Die Vertretung bei Urlaub und Krankheit gehört dazu.

4. Notfall regeln

   Halte fest, wo Wiederherstellungsphrasen und Zugänge hinterlegt sind, getrennt voneinander, und wer im Notfall Zugriff erhält. Dazu gehört auch der Ausfall des Inhabers.

5. Adressen und Zahlungen prüfen

   Zieladressen nur aus dem System übernehmen, bei größeren Beträgen eine kleine Testüberweisung vorab, Änderungen von Adressen nie per E-Mail akzeptieren. Wie Angreifer über gefälschte Nachrichten vorgehen, beschreibt Cyberangriffe auf kleine Betriebe.

6. Dokumentieren und abgleichen

   Monatlicher Abgleich der Bestände mit der Buchhaltung, Belege des Verwahrers ablegen, ungewöhnliche Zahlungseingänge nach den Regeln aus Geldwäschegesetz einstufen.

Reichweite und Grenzen

Die Verwahrung von Kryptowerten ist ein deutliches Beispiel für ein allgemeines Prinzip der Unternehmenskontrolle: Ein Vermögenswert ist nur so sicher wie der Ablauf, der ihn schützt. Dieselben Regeln aus Obergrenze, vier Augen und Notfallplan gelten für Bankzugänge, Zahlungsfreigaben und Zugangsdaten zu wichtigen Systemen. Der Unterschied ist nur, dass bei Kryptowerten niemand einen Fehler rückgängig macht.

Die Grenzen dieser Einordnung sind deutlich. Das Modell von Brand und Karhu stützt sich auf ein einzelnes Interview und eine Marktbeschreibung. Die Chainalysis-Zahlen beruhen auf beobachteten Transaktionen und werden laufend korrigiert. Wie Aufsicht und Gerichte die Haftungsregeln von MiCA im Ernstfall anwenden, ist noch wenig erprobt. Steuerliche und bilanzielle Fragen hängen vom Einzelfall ab und gehören zum Steuerberater.

Fazit: Was sichere Verwahrung im Betrieb verlangt

Zur Leitfrage: Wer im Unternehmen Kryptowerte verwahrt, trägt zwei Risiken, das Risiko des eigenen Fehlers und das Risiko des Anbieters. Verluste entstehen durch Angriffe, durch organisatorische Lücken wie fehlende Vertretung und durch Anbieter, die Kundengelder nicht trennen. MiCA verlangt von zugelassenen Verwahrern Trennung und Haftung, schützt aber nicht vor jedem Ausfall. Das Verwahrungsdreieck zeigt, dass keine Lösung Sicherheit, Verfügbarkeit und Verlässlichkeit zugleich maximiert.

Für die meisten kleinen Betriebe folgt daraus eine einfache Sorgfaltsregel: wenig halten, schnell umtauschen, zugelassen verwahren und keine Bewegung ohne zweite Person. Was sich darüber hinaus nicht schriftlich regeln lässt, sollte der Betrieb nicht halten.

• Eine schriftliche Obergrenze für gehaltene Kryptowerte festlegen.
• Den Weg der Verwahrung mit dem Verwahrungsdreieck begründen und festhalten.
• Beim Verwahrer Zulassung, Trennung der Bestände und Haftung prüfen.
• Das Vier-Augen-Prinzip für jede Bewegung einrichten.
• Einen Notfallplan mit getrennt hinterlegten Zugängen schreiben und jährlich testen.
• Bestände monatlich mit der Buchhaltung abgleichen.