So schlecht sind deine Bitcoins bei Schweizer Banken versichert
Zwischen Ende Juli und Anfang August leerte ein Hacker 5000 Bitcoin-Depots. Die betroffenen Adressen hatten eine Gemeinsamkeit: Ihre Zugangsschlüssel waren alle mit Coldcard-Geräten erstellt worden, die eigentlich für eine sichere Selbstverwahrung konzipiert wurden – sogenannte Hardware Wallets.
Schuld war ein Fehler in der Firmware der Geräte. Er sorgte dafür, dass schwache Zugangsschlüssel entstanden, die mit einem entsprechenden Programm und etwas Geduld geknackt werden konnten. Bruteforcing nennt sich die Technik. Bei normalen Bitcoin-Wallets hat man damit keine Chance.
Trotzdem ging ein Ruck durch die Szene. Coldcard Wallets galten als speziell sicher. Dies vor allem, weil Hersteller Coinkite im Gegensatz zur Konkurrenz seine Codes öffentlich machte (source-available). Der fehlerhafte Programmteil war fünf Jahre lang öffentlich auf GitHub einsehbar gewesen. Bemerkt wurde er von niemandem. Laut Coinkite auch von keiner der diversen KIs, die den 2021 geschriebenen Code später prüften.
Der Fall sorgte für eine kleinere Vertrauenskrise. Könnten sich auch bei anderen Herstellern von Hardware Wallets Fehler eingeschlichen haben? Bei Ledger? Bei BitBox? Und wie steht es um die Sicherheit von Schweizer Banken, die Bitcoin-Depots anbieten? Könnten auch dort Fehler dafür sorgen, dass Kunden ihre Investitionen verlieren? Was dann?
Klar ist: Egal, ob man auf ein High-Tech-Gerät von Coldcard, Ledger, Bitbox usw. oder auf ein Papier-Wallet setzt: Wer selbst verwahrt, trägt auch das Risiko selbst.
Vielen Konsumenten wird aber weniger klar sein: Auch wer nicht selbst verwahrt – und einer Schweizer Bank vertraut – trägt das Risiko selbst.
Diese Erkenntnis liefert eine watson-Umfrage bei elf Schweizer Finanzinstituten, die den Kauf und die Verwahrung von Bitcoin anbieten. Keine einzige Bank gab eine konkrete Versicherungsleistung im Fall eines Diebstahls oder eines anderen Verlustevents (nicht Wertverlust) an. Zwar sind die Sicherheitsmassnahmen durchs Band rigoros und nicht zu vergleichen mit dem Coldcard-Fall – viele hiesige Banken setzen auf internationale Prüfstandards und regelmässige Audits externer Firmen –, Kryptodepots bei Schweizer Banken sind aber vergleichbar mit Bankschliessfächern: Bei beiden haften die Banken bei Diebstahl nicht.
Am verständlichsten äussert sich die Valiant Bank: «Unsere Kundinnen und Kunden profitieren von hohen Sicherheitsstandards bei der Verwahrung. Sollte es dennoch zu einem Verlustereignis kommen, prüfen wir den konkreten Fall und leiten die notwendigen Massnahmen ein.» Darüber, wie diese aussehen könnten, schweigt sich die Bank aus. Ähnlich tönt es bei der Postfinance: «Die Haftungssituation ist bei solchen Verlustereignissen mitunter komplex und muss deshalb unter Berücksichtigung der konkreten Umstände individuell und einzeln geprüft werden.»
Schwammig, aber immer noch deutlicher als viele andere Anbieter nimmt das VZ Vermögenszentrum Stellung: «Der erwähnte Fall bei Coldcard betrifft eine Schwachstelle bei bestimmten Hardware Wallets. Die Verwahrungslösung unseres Anbieters basiert auf einem anderen Sicherheitsdesign und ist von dieser Schwachstelle nicht betroffen. Sollte es dennoch zu einem Verlustereignis kommen, würde der konkrete Fall gemäss den vertraglichen Regelungen und den bestehenden Versicherungsdeckungen behandelt. Kunden werden vorab über die entsprechenden Bedingungen und Risiken informiert.» Das VZ deutet so etwas wie eine Versicherungslösung an – unklar bleibt, ob diese zusätzlich erworben werden muss.
Die Luzerner Kantonalbank gilt als Krypto-Vorreiterin und bietet als eine der wenigen auch Bitcoin-Transaktionen von und auf Bitcoin-Adressen an – und eine hauseigene Verwahrlösung. Doch auch bei der LUKB sind die Kunden im Verlustfall nicht versichert: «Obwohl die LUKB strenge Sorgfaltsprüfungen durchführt und hohe Standards einhält, liegt die endgültige Verantwortung für das Verständnis und die Akzeptanz der mit digitalen Vermögenswerten verbundenen Risiken bei den Kund:innen.»
Nicht direkt auf unsere Versicherungsfrage eingegangen sind die Zürcher Kantonalbank, Swissquote, die Zuger Kantonalbank, die St.Galler Kantonalbank und die Thurgauer Kantonalbank, die auf ihre Zusammenarbeit mit der ZKB verwies – und auch gleich auf deren Antwort. Von diesen Instituten erhielten wir aussagenarme Standardmails ohne direkten Bezug auf die Frage, ob ihre Kunden versichert sind.
Raiffeisen bietet nur ETFs an.
Die Antworten von Vontobel ist noch ausstehend.
