Technologien für das Schlüsselmanagement

Jedes Verwahrungsmodell läuft auf eine Frage hinaus: Wie wird eine gültige Signatur erzeugt, und wer kann sie erzeugen? Vier Technologiefamilien prägen das institutionelle Schlüsselmanagement, und die meisten Verwahrer kombinieren sie. Jede bringt unterschiedliche Kompromisse zwischen Transparenz, Flexibilität, Chain-Abdeckung und Abhängigkeit von einem Anbieter mit sich. Fachleute sollten diese Kompromisse einem Risikoausschuss erläutern können.

Hardware-Sicherheitsmodule

Ein Hardware-Sicherheitsmodul (HSM) ist ein manipulationssicheres Gerät, das Schlüssel erzeugt, speichert und verwendet, sodass privates Schlüsselmaterial das Gerät niemals im Klartext verlässt. Anwendungen senden dem HSM eine Nachricht zur Signatur und erhalten eine Signatur zurück. Banken verwenden HSMs seit Jahrzehnten für Zahlungskarten und PKI, und die meisten institutionellen Krypto-Verwahrer setzen sie an irgendeiner Stelle in ihrem Stack ein.

HSMs werden nach FIPS 140-3 validiert, dem US-amerikanischen und kanadischen Standard für kryptografische Module, der vom Cryptographic Module Validation Program (CMVP) des NIST verwaltet wird. FIPS 140-3 trat am 22. September 2019 in Kraft und ist auf ISO/IEC 19790:2012 (Anforderungen) und ISO/IEC 24759 (Testmethoden) abgestimmt. Der Standard definiert vier Sicherheitsstufen:

Bei der institutionellen Verwahrung wird in der Regel Stufe 3 angestrebt. Der ältere Standard FIPS 140-2 nahm im September 2021 keine neuen Einreichungen zur Prüfung mehr an. Am 21. September 2026 wurden alle noch gültigen FIPS-140-2-Zertifikate in die Historical List des CMVP verschoben. US-Bundesbehörden sollten für neue Systeme keine Module aus dieser Liste kaufen, und die meisten institutionellen Käufer wenden dieselbe Regel an. Ein neues HSM sollte daher über ein aktuelles FIPS-140-3-Zertifikat verfügen.

Ein Zertifikat gilt für ein einzelnes Modul, eine bestimmte Firmwareversion und einen bestimmten Betriebsmodus. Es zertifiziert nicht das gesamte Verwahrungssystem. Prüfen Sie bei der Bewertung eines HSM die Zertifikatsnummer, die Stufe, die Firmwareversion und ob die vom Unternehmen benötigten Algorithmen unterstützt werden: secp256k1 für Bitcoin und Ethereum, Ed25519 für Chains wie Solana. Ein einfaches HSM mit einem einzigen Schlüssel ist außerdem ein einzelner Kontrollpunkt. Jede Person, die sich beim HSM anmelden und Nachrichten übermitteln kann, kann Signaturen erzeugen lassen. Daher ist die Richtlinie dafür ebenso wichtig wie die Hardware.

Multisignatur-Wallets

Ein Multisignatur-Wallet (Multisig) benötigt Signaturen von m von n unabhängigen Schlüsseln, zum Beispiel 3 von 5. Die Regel wird von der Blockchain selbst durchgesetzt:

• Bei Bitcoin über native Skripte (P2WSH oder seit dem Upgrade von 2021 Taproot-Skripte).
• Bei Ethereum und anderen EVM-Chains über einen Smart Contract. Der am weitesten verbreitete ist Safe (früher Gnosis Safe).

Multisig hat klare Stärken. Die Richtlinie ist On-Chain sichtbar, sodass ein Prüfer bestätigen kann, dass 3 von 5 Signaturen erforderlich sind. Schlüssel können sich auf unterschiedlichen Geräten, bei unterschiedlichen Anbietern und in unterschiedlichen Ländern befinden, sodass ein einzelner Sicherheitsvorfall nicht ausreicht. Die Schwächen sind ebenso konkret. Jede Chain benötigt eine eigene Implementierung, und manche Chains unterstützen Multisig überhaupt nicht. Transaktionen sind größer und die Gebühren höher. Bei Bitcoin bedeutet ein Wechsel der Unterzeichner, dass Guthaben an eine neue Adresse übertragen werden muss. Bei EVM-Chains werden der Wallet-Vertrag und seine Benutzeroberfläche Teil der Angriffsfläche. Beim Diebstahl von Bybit im Februar 2025 wurde ein Safe-Multisig über seine Benutzeroberfläche angegriffen, nicht über seine Kryptografie (siehe die Lektion Operative Sicherheitsbedrohungen und Kontrollen).

MPC und Schwellenwertsignaturen

Ein Schwellenwert-Signaturschema (TSS) nutzt Multi-Party Computation (MPC), um die Signaturmacht auf mehrere Parteien aufzuteilen. Während der verteilten Schlüsselgenerierung (DKG) erstellt jede Partei ihren eigenen Schlüsselanteil, und der vollständige private Schlüssel existiert nirgends, auch nicht für einen Augenblick. Zum Signieren führen beliebige t von n Parteien ein Protokoll aus, das eine gewöhnliche Signatur ausgibt. On-Chain sieht das exakt wie eine Einzel-Schlüssel-Transaktion aus.

Zu den verbreiteten Protokollen für ECDSA (das Signaturschema von Bitcoin und Ethereum) zählen GG18, GG20 und CGGMP; für Schnorr- und EdDSA-Signaturen wird FROST verwendet. FROST wurde im Juni 2024 von der IETF als RFC 9591 veröffentlicht.

MPC bringt echte Vorteile:

• Chain-unabhängig: Jede Chain, die eine unterstützte Kurve verwendet, funktioniert damit, ohne dass diese Chain Multisig unterstützen muss.
• Niedrigere Gebühren und mehr Privatsphäre: Die Transaktion enthält eine einzelne Signatur.
• Erneuerung von Schlüsselanteilen: Anteile können rotiert oder das Quorum geändert werden, ohne Guthaben zu übertragen oder die Adresse zu ändern.

MPC bringt auch echte Nachteile mit sich. Das Quorum ist On-Chain unsichtbar, sodass Prüfer sich auf die Dokumentation des Anbieters und auf Prüfberichte verlassen müssen. Die Kryptografie ist komplex, und Implementierungen haben sich als fehlerhaft erwiesen. Im August 2023 legten Fireblocks-Forschende die „BitForge“-Schwachstellen in Implementierungen von GG18 und GG20 bei mehreren Wallet-Anbietern offen (eine davon wurde als CVE-2023-33241 erfasst); in einigen Fällen konnte ein Angreifer den vollständigen Schlüssel extrahieren. Die meisten Lösungen sind proprietär, was eine Abhängigkeit vom Anbieter schafft. Ein Verwahrer benötigt eine erprobte Methode, um Vermögenswerte wiederherzustellen, falls der Anbieter nicht mehr existiert.

Verwechseln Sie MPC nicht mit Shamir Secret Sharing (SSS). SSS teilt einen fertigen Schlüssel zur Sicherung in Teile auf, aber zum Signieren muss der Schlüssel an einem Ort wieder zusammengesetzt werden. MPC setzt ihn niemals wieder zusammen. Eine verwandte Idee für Bitcoin ist MuSig2 (BIP 327): Dabei können n Unterzeichner ihre Schlüssel kombinieren, sodass ein n-aus-n-Taproot-Ausgabeskript wie eine einzelne Signatur aussieht.

Smart-Contract-Wallets und Account-Abstraktion

Bei Ethereum ist ein Smart-Contract-Konto ein Wallet, dessen Regeln als Code vorliegen. Es kann Ausgabenlimits, Rollenberechtigungen, Sitzungsschlüssel mit eingeschränkten Rechten, eine soziale oder institutionelle Wiederherstellung und die Zahlung von Gas durch Dritte durchsetzen. Zwei Standards sind wichtig:

• ERC-4337, seit 2023 im Ethereum-Mainnet aktiv, ermöglicht Account-Abstraktion, ohne das Protokoll zu ändern. Benutzer übermitteln „User Operations“, die Bundler über einen gemeinsamen EntryPoint-Vertrag zu Transaktionen bündeln. Optionale Paymaster können die Gasgebühren übernehmen.
• EIP-7702, am 7. Mai 2025 mit dem Pectra-Upgrade aktiviert, ermöglicht es einem gewöhnlichen extern kontrollierten Konto (EOA), auf Vertragscode zu verweisen. Das Konto erhält Funktionen eines Smart Accounts und behält seine Adresse.

Der Kompromiss besteht im Vertragsrisiko. Ein Fehler im Wallet-Code oder eine schlecht kontrollierte Upgrade-Funktion kann zum Verlust des gesamten Guthabens führen. Bei EIP-7702 kann eine einzige bösartige Autorisierungssignatur die Kontrolle über ein Konto an den Code eines Angreifers übertragen; Phishing-Kampagnen haben dies bereits gezielt ausgenutzt. Fragen zur Upgradefähigkeit und zu Administratorschlüsseln werden in der Lektion Bewertung von DeFi-Risiken behandelt.

Schlüsselgenerierung und Schlüsselzeremonien

Ein Schlüssel ist nur so vertrauenswürdig wie die Art und Weise, auf die er erstellt wurde. Institutionelle Verwahrer erzeugen hochwertige Schlüssel in einer Schlüsselzeremonie: einem protokollierten, beaufsichtigten und aufgezeichneten Verfahren.

Bei MPC sollte die DKG-Zeremonie jeden Anteil auf einer separaten Infrastruktur ausführen, die von unterschiedlichen Personen kontrolliert wird, sodass kein einzelnes Team jemals ein Schwellenwert-Quorum an Anteilen hält.

Auswahl und Kombination

Große Verwahrer verlassen sich selten auf nur eine Technologie. Ein verbreitetes Muster ist MPC für Hot- und Warm-Wallets, bei denen Geschwindigkeit und Chain-Abdeckung wichtig sind. Cold Storage wird in HSM-geschützten Schlüsseln oder einem Multisig mit geografisch verteilten Unterzeichnern verwahrt. Smart-Contract-Regeln ergänzen On-Chain-Limits, sofern die Chain sie unterstützt. Stellen Sie bei der Bewertung eines Anbieters vier Fragen:

1. Existiert jemals ein vollständiger privater Schlüssel, und wenn ja, wo und wie lange?
2. Kann ein Außenstehender die Signaturrichtlinie überprüfen, oder kann er nur die Beschreibung des Anbieters lesen?
3. Was geschieht, wenn der Technologieanbieter ausfällt, und wurde eine Wiederherstellung ohne den Anbieter getestet?
4. Welche Zertifizierungen decken welche Komponenten ab (ein FIPS-140-3-Zertifikat für das HSM, ein Prüfbericht für das Gesamtsystem)?

Prüfungsschwerpunkt: Was ein HSM leistet und welche vier Sicherheitsstufen FIPS 140-3 definiert (Stufe 3 ist bei der Verwahrung üblich); warum ein neues HSM jetzt über ein FIPS-140-3-Zertifikat verfügen sollte, da FIPS-140-2-Zertifikate auf die Historical List verschoben wurden; wie Multisig m-aus-n On-Chain durchsetzt und welche Kompromisse damit verbunden sind (sichtbare Richtlinie, chain-spezifisch, höhere Gebühren); wie MPC/TSS funktioniert (DKG, der Schlüssel existiert niemals, eine gewöhnliche Einzel-Signatur On-Chain) und welche Kompromisse damit verbunden sind (unsichtbare Richtlinie, Implementierungsrisiken wie BitForge, Abhängigkeit vom Anbieter); der Unterschied zwischen MPC und Shamir Secret Sharing; ERC-4337 und EIP-7702 (Pectra, Mai 2025) und ihr Vertragsrisiko; die Schritte und Nachweise einer Schlüsselzeremonie.