Wallet-Hersteller Meldepflicht in der EU: Was der Cyber Resilience Act jetzt für Hardware-Wallets bedeutet

Seit dem 11. September 2026 gilt in der EU eine neue Pflicht für Hersteller von Produkten mit digitalen Elementen – und damit auch für viele Wallet-Hersteller. Wer eine vernetzbare Hardware-Wallet oder eine Wallet-App gewerblich auf dem EU-Markt anbietet, muss aktiv ausgenutzte Sicherheitslücken und schwere Sicherheitsvorfälle innerhalb von 24 Stunden melden. Grundlage ist Artikel 14 des Cyber Resilience Act. Hier erfährst du, was die Wallet-Hersteller Meldepflicht genau verlangt, welche Fristen gelten, welche Wallets betroffen sein können, wo die Grenzen der Regel liegen – und was sie für deine Selbstverwahrung konkret bedeutet.

Anzeige · Die verlinkten Produktnamen in der Modelltabelle sind Partnerlinks. Bei einem Kauf kann alarm.de eine Provision erhalten. Maßgeblich sind die Konditionen beim jeweiligen Anbieter.

Was die Wallet-Hersteller Meldepflicht in der EU ist

Die Cyberresilienzverordnung ist die Verordnung (EU) 2024/2847, meist Cyber Resilience Act oder kurz CRA genannt. Sie ist am 10. Dezember 2024 in Kraft getreten, gilt aber in vollem Umfang erst ab dem 11. Dezember 2027. Artikel 14 mit den Meldepflichten der Hersteller gilt seit dem 11. September 2026. Bereits seit dem 11. Juni 2026 gelten außerdem die Vorschriften über die Benennung von Konformitätsbewertungsstellen. Die wesentlichen Produktanforderungen folgen am 11. Dezember 2027.

Der CRA ist kein Kryptogesetz. Er ist ein horizontales Produktrecht für Hardware und Software mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden – von der Babyfon-App bis zur Smartwatch. Hardware-Wallets und Wallet-Apps fallen darunter, wenn sie die Voraussetzungen der Verordnung erfüllen. Wer in diesen Tagen liest, „der CRA gilt jetzt“, meint deshalb vor allem diese Meldepflicht – nicht die Produktanforderungen, die Konformitätsbewertung oder die CE-Kennzeichnung.

Die Meldepflicht umfasst zwei Arten von Ereignissen: aktiv ausgenutzte Schwachstellen, also Sicherheitslücken, die bereits tatsächlich angegriffen werden, und schwere Sicherheitsvorfälle, die sich auf die Sicherheit des Produkts auswirken. Eine bloß theoretische Lücke, die noch niemand ausnutzt, löst die 24-Stunden-Frist nach dieser Vorschrift nicht aus.

Die Fristen der Wallet-Hersteller Meldepflicht: 24 Stunden, 72 Stunden, Abschlussbericht

Die Meldung erfolgt in mehreren Stufen. Die Uhr beginnt, sobald der Hersteller Kenntnis von der ausgenutzten Lücke oder dem Vorfall erlangt:

← Tabelle seitlich scrollen →

Angaben nach der Darstellung der EU-Kommission zu Artikel 14 CRA.

Wichtig für die Einordnung: Die Frist gilt für die Meldung an die Behörden, nicht für die Behebung. Ein Update muss nicht innerhalb von 24 Stunden bereitstehen – aber die zuständigen Stellen sollen früh wissen, dass ein Produkt angegriffen wird. Artikel 64 sieht für Verstöße gegen Artikel 14 grundsätzlich einen Bußgeldrahmen von bis zu 15 Millionen Euro oder bei Unternehmen bis zu 2,5 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Die Meldepflicht gilt bereits seit September 2026; der Bußgeldartikel gehört dagegen zu den Vorschriften, die grundsätzlich erst ab Dezember 2027 anwendbar sind. Für Kleinst- und Kleinunternehmen sieht Artikel 64 Absatz 10 zudem eine Ausnahme von diesen Geldbußen vor, soweit sie ausschließlich die 24-Stunden-Frist für die Frühwarnung versäumen. Die Meldepflicht selbst bleibt bestehen.

Welche Wallets unter die Meldepflicht fallen können

Die EU-Leitlinien nennen keine Wallet-Marken und erklären nicht pauschal jede Wallet für erfasst. Entscheidend sind drei Fragen: Handelt es sich um ein Produkt mit digitalen Elementen? Wird es gewerblich auf dem EU-Markt bereitgestellt? Und umfasst die vorgesehene oder vernünftigerweise vorhersehbare Nutzung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netzwerk?

Eine kommerziell verkaufte Hardware-Wallet, die per USB, Bluetooth oder NFC mit einem Smartphone oder Computer spricht, kann diesen Test erfüllen. Dasselbe gilt für eine herunterladbare Wallet-App. Auch sogenannte air-gapped Wallets tauschen Daten aus – etwa per QR-Code oder Speicherkarte –, ob und wie das im Einzelfall als indirekte Datenverbindung zählt, hängt vom konkreten Produkt ab. Warum air-gapped ein Übertragungsweg und keine absolute Geräteeigenschaft ist, erklärt der Beitrag Air-gapped Wallet.

Der Firmensitz entscheidet dabei nicht allein: Der CRA knüpft daran an, ob ein Produkt auf dem EU-Markt bereitgestellt wird. Ein Hersteller aus der Schweiz, aus Hongkong oder den USA, der seine Wallets an Kunden in der EU verkauft, kann also ebenso betroffen sein wie ein Hersteller mit Sitz in der EU. Außerdem gilt die Meldepflicht auch für Produkte, die schon vor dem 11. Dezember 2027 in Verkehr gebracht wurden – also für bestehende Produktlinien, nicht nur für neue Geräte.

Open-Source-Wallets und die Meldepflicht

Viele Wallets setzen auf offenen Quellcode. Eine Open-Source-Lizenz schafft aber keine pauschale Ausnahme: Nach den Leitlinien der Kommission können auch kommerziell bereitgestellte Open-Source-Produkte Herstellerpflichten auslösen. Nicht monetarisierte Software, die ihr Hersteller ohne kommerzielle Absicht bereitstellt, soll dagegen nicht als gewerbliche Tätigkeit gelten. Einzelne Beitragende zu einem Projekt werden für Software außerhalb ihrer Verantwortung nicht als Hersteller behandelt.

Für sogenannte Open-Source-Software-Stewards – Organisationen, die freie Software dauerhaft unterstützen, ohne sie selbst kommerziell zu vertreiben – sieht der CRA eine eigene Kategorie vor. Ihre Meldepflichten beginnen erst am 11. Dezember 2027. Warum offener Quellcode allein noch kein Sicherheitsbeweis ist, beschreibt der Beitrag Open Source oder Closed Source Wallet.

Wohin Wallet-Hersteller melden: Single Reporting Platform, CSIRT und ENISA

Hersteller melden nur einmal – über die Single Reporting Platform (SRP), die die EU-Agentur für Cybersicherheit ENISA seit dem 11. September 2026 betreibt. Die Meldung richtet sich an das nationale Computer-Notfallteam (CSIRT) des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung hat. Die Information geht, von besonderen Ausnahmefällen abgesehen, gleichzeitig an ENISA. Das zuerst informierte CSIRT gibt die Meldung ohne Verzögerung an die CSIRTs aller Staaten weiter, in denen das Produkt bereitgestellt wird.

Für Hersteller ohne Hauptniederlassung in der EU bestimmt Artikel 14 Absatz 7 das zuständige CSIRT nach einer festen Reihenfolge. Maßgeblich ist zunächst der Mitgliedstaat, in dem der EU-Bevollmächtigte sitzt, der für die meisten Produkte des Herstellers tätig ist. Danach folgt der Mitgliedstaat des Importeurs, der die meisten Produkte dieses Herstellers in Verkehr bringt. Erst an dritter Stelle steht der Mitgliedstaat des Händlers, der die meisten Produkte bereitstellt. Lässt sich die Zuständigkeit darüber nicht bestimmen, ist der Mitgliedstaat mit den meisten Nutzern maßgeblich. Ein Hersteller außerhalb der EU meldet deshalb nicht automatisch an ein CSIRT seines Heimatstaats.

Für Ausnahmefälle gibt es eine Sicherung: Aus begründeten Cybersicherheitsgründen kann ein CSIRT die Weitergabe an andere CSIRTs verzögern. Die Kommission hat die Voraussetzungen dafür in einem delegierten Rechtsakt näher festgelegt. Damit soll verhindert werden, dass sensible Details einer noch offenen Lücke zu breit gestreut werden, bevor ein Schutz verfügbar ist.

Was Wallet-Nutzer erfahren: die Informationspflicht

Neben der Behördenmeldung verlangt Artikel 14 auch, die betroffenen Nutzer über die Schwachstelle oder den Vorfall zu informieren – und darüber, welche Maßnahmen sie selbst ergreifen können, um die Folgen zu begrenzen. Für dich als Nutzer ist das der eigentlich spürbare Teil der neuen Regel: Sicherheitshinweise sollen nicht mehr im Blogarchiv verschwinden, sondern bei den Betroffenen ankommen.

Genau hier liegt allerdings auch ein Risiko: Echte Sicherheitswarnungen erzeugen Aufmerksamkeit, die Betrüger ausnutzen. Gefälschte Mails im Namen eines Herstellers, die zu einem „dringenden Update“ oder zur Eingabe der Wiederherstellungsphrase auffordern, sind eine bekannte Masche. Wie echte Firmware-Updates ablaufen und woran du Fälschungen erkennst, zeigt der Beitrag Hardware-Wallet-Firmware sicher aktualisieren.

Meldepflicht, MiCA und DSGVO: was wofür gilt

Rund um Krypto gelten mehrere EU-Regelwerke nebeneinander. Sie verfolgen unterschiedliche Ziele und betreffen unterschiedliche Akteure:

← Tabelle seitlich scrollen →

Vereinfachte Gegenüberstellung; im Einzelfall können mehrere Regelwerke gleichzeitig greifen.

Die Unterscheidung ist praktisch wichtig: Wenn bei einem Wallet-Hersteller Kundendaten aus dem Onlineshop abfließen, betrifft das zunächst den Datenschutz – unabhängig davon gilt dafür die DSGVO. Ob ein solcher Vorfall zugleich ein meldepflichtiger schwerer Vorfall im Sinne des CRA ist, hängt davon ab, ob die Sicherheit des Produkts selbst betroffen ist. Welche Wallet-Anbieter in der Vergangenheit Kundendaten verloren haben, dokumentiert die Übersicht Krypto-Datenlecks: welche Anbieter Kundendaten verloren haben. Wie MiCA den Markt für Börsen verändert, zeigt der Beitrag zum MiCA-Stichtag.

Kritik und offene Fragen zur neuen Meldepflicht

• Frühe Meldung, offene Lücke: Kritiker sehen das Risiko, dass Informationen über eine ausgenutzte Lücke kursieren, bevor ein Update bereitsteht. Die Verzögerungsmöglichkeit für CSIRTs soll das begrenzen, beseitigt das Spannungsfeld aber nicht vollständig.
• Aufwand für kleine Hersteller: Für kleinere Wallet-Projekte bedeutet eine 24-Stunden-Bereitschaft organisatorischen Aufwand – etwa feste Zuständigkeiten und eingeübte Abläufe.
• Keine Markenliste: Weil die Leitlinien keine Wallets namentlich einordnen, müssen Hersteller selbst prüfen, ob und wie ihre Produkte erfasst sind.
• Abgrenzung bei Open Source: Die Grenze zwischen kommerzieller und nicht kommerzieller Bereitstellung ist nicht in jedem Einzelfall eindeutig.
• Mehr Transparenz für Nutzer: Befürworter betonen, dass Behörden und Betroffene schneller erfahren, wenn ein Produkt tatsächlich angegriffen wird – ein Vorteil gegenüber freiwilligen, oft späten Veröffentlichungen.

Wie unterschiedlich Hersteller bisher mit Schwachstellen umgegangen sind, zeigen zwei Beispiele aus dem Bestand: die TROPIC01-Schwachstelle bei Trezor und der Coldcard-Entropiefehler.

Was die Meldepflicht für dich als Wallet-Nutzer bedeutet

Die Meldepflicht ändert nichts daran, dass die Verantwortung für deine Schlüssel bei dir liegt. Sie kann aber dafür sorgen, dass du schneller von einem Problem erfährst. Damit das auch wirkt, helfen ein paar feste Gewohnheiten:

1. Offizielle Kanäle kennen: Notiere dir die offizielle Website, die Begleit-App und die Sicherheitsseite deines Herstellers, damit du Warnungen dort gegenprüfen kannst.
2. Kontaktdaten aktuell halten: Wenn du ein Konto beim Hersteller hast, kann eine aktuelle Mailadresse helfen, Sicherheitsinformationen zu erhalten – prüfe diese trotzdem immer über die offiziellen Kanäle.
3. Updates nur über die offizielle App: Firmware nie über Links aus Nachrichten oder von Drittseiten installieren.
4. Wiederherstellungsphrase schützen: Keine Warnung und kein Update verlangt die Eingabe deiner Wörter am Computer oder Smartphone.
5. Backup regelmäßig prüfen: Muss nach einem Vorfall ein neues Wallet-Geheimnis erzeugt werden, ist ein funktionierendes Backup-Verfahren entscheidend.

Wie du dein Backup ohne Risiko testest, erklärt die Recovery-Simulation. Wie gefälschte Wallet-Apps aussehen, die gerade nach Sicherheitswarnungen gezielt beworben werden, zeigt Gefälschte Wallet-App erkennen. Und worauf du schon beim Kauf achtest, damit kein manipuliertes Gerät bei dir ankommt, beschreibt Gefälschte Hardware-Wallet erkennen.

Hardware-Wallets unserer Partner: Hersteller und Sitz

Die Meldepflicht knüpft nicht an den Firmensitz an, sondern an die Bereitstellung auf dem EU-Markt. Trotzdem ist die Herkunft für viele Käufer ein Kriterium. Die folgende Tabelle führt die Geräte der Hersteller auf, mit denen wir zusammenarbeiten – kein vollständiger Marktvergleich. Ob ein einzelnes Modell unter die Meldepflicht fällt, beurteilt der jeweilige Hersteller; eine behördliche Einordnung einzelner Marken gibt es nicht.

Anzeige: Die verlinkten Produktnamen sind Partnerlinks. Bei einem Kauf kann alarm.de eine Provision erhalten; für dich ändert sich am Preis nichts.

← Tabelle seitlich scrollen →

Aufgeführt sind die Geräte unserer Partner, kein vollständiger Marktvergleich. Sitz nach Angaben der Hersteller; einzelne Anbieter unterhalten weitere Standorte, und der Produktionsort kann abweichen – die Cypherock X1 wird laut Hersteller in Indien gefertigt.

Welches dieser Geräte zu deinem Einsatzzweck passt – etwa Bitcoin-only, air-gapped oder mit Fingerabdruck –, zeigt die ausführliche Übersicht. Einen neutralen Einstieg in die Frage, welches Gerät zu dir passt, bietet auch Hardware-Wallet kaufen: welches Gerät zu dir passt.

Zeitplan des Cyber Resilience Act bis Dezember 2027

← Tabelle seitlich scrollen →

Angaben nach der EU-Kommission.

Für Käufer bedeutet das: CE-gekennzeichnete Wallets nach CRA-Vorgaben und verbindliche Anforderungen an sicheres Design kommen erst mit dem vollständigen Geltungsbeginn. Die Meldeuhr für ernste Sicherheitsprobleme läuft dagegen bereits.

Fazit: Die Meldepflicht bringt Tempo, keine Garantie

Mit Artikel 14 des Cyber Resilience Act müssen Hersteller vernetzbarer Wallets, die ihre Produkte gewerblich in der EU anbieten, aktiv ausgenutzte Schwachstellen und schwere Vorfälle innerhalb von 24 Stunden melden und betroffene Nutzer informieren. Das schafft kürzere Wege zwischen Angriff, Behörden und Nutzern – verhindert aber keine Lücken und ersetzt kein eigenes Sicherheitsverhalten.

Für dich heißt das: Warnungen ernst nehmen, aber ausschließlich über die offiziellen Kanäle prüfen, die Wiederherstellungsphrase nie herausgeben und das eigene Backup funktionsfähig halten. Bei der Wahl einer neuen Wallet lohnt ein Blick darauf, wie offen ein Hersteller bisher mit Sicherheitsproblemen umgegangen ist.

Mehr zu Hardware-Wallets und Sicherheit

Das vollständige Sicherheitssystem für die Selbstverwahrung – Wie Gerät, Backup, Aufbewahrung und Notfallplan zusammenspielen, damit eine Sicherheitswarnung nicht zum Ernstfall wird.

Ledger oder Trezor: der ehrliche Vergleich – Die beiden großen Hersteller mit Sitz in der EU im direkten Vergleich, inklusive offener Kritikpunkte.

EU AI Act, NIS2 und DORA – Die weiteren EU-Regeln zu Cybersicherheit und KI im Überblick und was sie für kleinere Unternehmen bedeuten.

Glossar: Begriffe zur Meldepflicht für Wallet-Hersteller

Häufige Fragen zur Meldepflicht für Wallet-Hersteller in der EU

Was ist die Wallet-Hersteller Meldepflicht?

Nach Artikel 14 des EU-Cyber-Resilience-Act müssen Hersteller von Produkten mit digitalen Elementen seit dem 11. September 2026 aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden. Das kann viele Hardware-Wallets und Wallet-Apps betreffen, die gewerblich auf dem EU-Markt angeboten werden.

Welche Fristen gelten für Wallet-Hersteller?

Eine Frühwarnung ist spätestens 24 Stunden nach Kenntnis fällig, eine ausführlichere Meldung spätestens nach 72 Stunden. Der Abschlussbericht folgt bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme, bei schweren Vorfällen innerhalb eines Monats nach der 72-Stunden-Meldung.

Gilt die Meldepflicht für alle Hardware-Wallets?

Nicht automatisch. Entscheidend ist, ob ein Produkt mit digitalen Elementen gewerblich auf dem EU-Markt bereitgestellt wird und seine Nutzung eine direkte oder indirekte Datenverbindung umfasst. Die EU-Leitlinien nennen keine Marken; die Einordnung hängt vom konkreten Produkt ab.

Sind Open-Source-Wallets ausgenommen?

Nicht pauschal. Kommerziell bereitgestellte Open-Source-Produkte können Herstellerpflichten auslösen. Die Bereitstellung freier und quelloffener Software, die vom Hersteller nicht monetarisiert wird, gilt nach den CRA-Regeln grundsätzlich nicht als gewerbliche Tätigkeit. Entscheidend ist die konkrete Form der Bereitstellung. Für Open-Source-Software-Stewards beginnen Meldepflichten erst im Dezember 2027.

Betrifft die Meldepflicht auch Hersteller außerhalb der EU?

Maßgeblich ist, ob ein Produkt auf dem EU-Markt bereitgestellt wird. Auch Hersteller mit Sitz außerhalb der EU können deshalb betroffen sein, wenn sie ihre Wallets an Kunden in der EU verkaufen.

Wohin melden Wallet-Hersteller Sicherheitslücken?

Über die Single Reporting Platform der EU-Agentur ENISA. Die Meldung geht an das nationale CSIRT der Hauptniederlassung und in der Regel gleichzeitig an ENISA; das CSIRT informiert die CSIRTs der übrigen betroffenen Staaten. Für Hersteller ohne Hauptniederlassung in der EU bestimmt Artikel 14 Absatz 7 eine feste Reihenfolge: zuerst der Mitgliedstaat des EU-Bevollmächtigten mit den meisten Produkten, dann der des Importeurs mit den meisten in Verkehr gebrachten Produkten, dann der des Händlers mit den meisten bereitgestellten Produkten und zuletzt der Mitgliedstaat mit den meisten Nutzern.

Werde ich als Nutzer über Sicherheitslücken informiert?

Artikel 14 sieht vor, dass Hersteller betroffene Nutzer über die Schwachstelle oder den Vorfall und über mögliche eigene Schutzmaßnahmen informieren. Prüfe solche Hinweise immer über die offiziellen Kanäle des Herstellers, weil Betrüger Sicherheitswarnungen gezielt fälschen.

Was hat die Meldepflicht mit MiCA zu tun?

Wenig. MiCA regelt Anbieter von Kryptowerte-Dienstleistungen wie Börsen und Verwahrer. Die Meldepflicht aus dem Cyber Resilience Act betrifft dagegen die Produktsicherheit von Hardware und Software, unabhängig von einer MiCA-Zulassung.

Wann gelten die übrigen Regeln des Cyber Resilience Act?

Die grundlegenden Cybersicherheitsanforderungen, die Konformitätsbewertung und die CE-Kennzeichnung gelten ab dem 11. Dezember 2027. Bis dahin ist vor allem die Meldepflicht aus Artikel 14 anwendbar.

Quellen u. a.: EU-Kommission (Cyber Resilience Act, Reporting obligations, Leitlinien und FAQ zur Umsetzung), Verordnung (EU) 2024/2847, Berichte von CryptoSlate und weiteren Fachmedien. Dieser Beitrag dient der allgemeinen Information und ist keine Rechtsberatung. Produktfunktionen, Firmware-Versionen und Sicherheitshinweise können sich kurzfristig ändern. Maßgeblich sind deshalb vor Einrichtung oder Update immer die aktuellen Angaben des jeweiligen Herstellers.