Ein Multisig-Wallet für einen Exchanger verwahrt Reserven so, dass kein einzelner Mitarbeiter allein Geld abheben kann — die Transaktion geht erst durch, wenn mehrere unabhängige Schlüsselinhaber sie separat unterschrieben haben. Das ist die Sicherheitsbasis für jeden Exchanger, der die manuelle Kontrolle eines einzigen Inhabers hinter sich gelassen hat. Wird das Signaturschema falsch aufgesetzt, entsteht daraus kein Schutz, sondern ein neuer Single Point of Failure — entdeckt im ungünstigsten Moment.
Wann ein normales Cold Wallet nicht mehr reicht
Ein einzelner privater Schlüssel funktioniert gut, solange es eine Person und ein Gerät gibt. Alles ändert sich, sobald ein Kassierer mit Auszahlungsrechten, ein Buchhalter, der Reserven abgleicht, und ein Partner, der Kapital ins Geschäft gesteckt hat, dazukommen.
Ein typisches Bild: Der Inhaber speichert die Seed-Phrase "sicherheitshalber" in einer Notiz-App, das Cold Wallet selbst liegt auf einem einzigen Gerät im Bürosafe. Geht dieses Gerät kaputt oder verloren, ist die gesamte Reserve eingefroren, bis sie über die Seed-Phrase wiederhergestellt wird — die inzwischen mehr als eine Person gesehen hat. Ein einzelner Schlüssel ist entweder bequem oder sicher. Selten beides zugleich.
Wie Multisig funktioniert: das Bankschließfach mit zwei Schlüsseln
Multisig ist ein Wallet, das zum Signieren einer Transaktion nicht einen, sondern mehrere Schlüssel aus einer vorab festgelegten Gruppe braucht. Das Schema wird als M-von-N notiert: 2-von-3 bedeutet, dass zwei beliebige der drei möglichen Unterzeichner genügen.
Das funktioniert wie ein Bankschließfach, das die Schlüssel zweier verschiedener Bankmanager braucht: Keiner kommt allein an den Inhalt, selbst wenn er wollte. Bei Krypto passiert das auf Protokollebene — eine Auszahlung lässt sich ohne die nötige Anzahl an Signaturen schlicht nicht erstellen, und im Nachhinein fälschen lässt sich das nicht.
Fünf Fehler, die den Multisig-Schutz leise aushebeln
Ein M-von-N-Schema schützt nur, wenn die Schlüssel wirklich auf unabhängige Personen und Geräte verteilt sind. In der Praxis heben Exchanger den Sinn von Multisig immer wieder mit einem dieser Fehler auf:
- Alle Schlüssel liegen im selben Safe oder auf den Geräten einer einzigen Person — "der Einfachheit halber".
- Ein 2-von-2-Schema ohne Ersatz-Unterzeichner: Eine Krankheit oder ein Streit mit dem Partner, und die Reserve ist blockiert.
- Freigaben werden ungeprüft durchgewunken, weil "wir das so jeden Tag machen" — das hebt den Schutz komplett auf.
- Es gibt kein schriftliches Verfahren für den Fall, dass ein Schlüsselinhaber kündigt oder nicht mehr erreichbar ist.
- Der Backup-Schlüssel liegt in einem Cloud-Speicher hinter einem gewöhnlichen Passwort, von überall aus erreichbar.
Das passende M-von-N-Schema für die Größe des Exchangers wählen
Die Regel ist einfach: Je größer der Umsatz und je mehr Personen beteiligt sind, desto mehr unabhängige Unterzeichner braucht es und desto strikter muss die Aufbewahrung getrennt sein. Ein kleiner Exchanger am Anfang kommt meist mit 2-von-3 aus — Inhaber, ein vertrauenswürdiger Mitinhaber oder technischer Leiter, und ein Ersatzschlüssel in einem separaten Banksafe oder bei einem Notar.
Ein mittelgroßer Exchanger, bei dem mehrere Personen entscheiden, fährt besser mit 3-von-5 und einer klaren Aufteilung: einige Schlüssel beim operativen Management, einige bei den Inhabern, einer in unabhängiger Verwahrung für den Notfall. Für den täglichen Zahlungsverkehr lohnt sich ein separates kleines Hot Wallet — dort ist Multisig meist überdimensioniert —, aber die Hauptreserve sollte nie ohne es auskommen.
Was tun, wenn ein Schlüsselinhaber nicht mehr erreichbar ist
Ehrlich gesagt: Multisig löst dieses Problem nicht von allein, es verschafft nur Zeit, es zu lösen. Ein Schlüsselinhaber kann erkranken, kündigen oder sich einfach mit den Partnern zerstreiten — und wenn das Schema keinen Austausch des Unterzeichners vorsieht, riskiert der Exchanger, genau dann mit einer unzugänglichen Reserve dazustehen, wenn das Geld am dringendsten gebraucht wird.
Der praktikable Weg ist, im Voraus ein Verfahren zur Schlüsselrotation festzulegen und ein dokumentiertes Notfall-Zugangsszenario zu führen, das nur ein begrenzter Personenkreis kennt. Das bedeutet mehr Verwaltungsaufwand und kostet Zeit — ist aber günstiger, als eine blockierte Reserve mitten im Arbeitstag zu entwirren.
Fazit
Ein Multisig-Wallet ist kein Häkchen auf einer Sicherheitscheckliste, sondern ein operativer Prozess, der genauso viel laufende Aufmerksamkeit braucht wie die Buchhaltung. Ein fehlerhaftes Signaturschema oder ein fehlender Plan für den Fall eines verlorenen Schlüssels hebelt still und leise den ganzen Sinn der Verantwortungsteilung aus.
Wer einen eigenen Exchanger betreibt oder startet und die Reserven ohne Vermittlergebühr selbst in der Hand behalten will, findet bei iEXExchanger mit iEXWallet ein eigenes Krypto-Wallet für Exchanger-Betreiber.
