Coldcard-Sicherheitslücke: Wie ein Firmware-Fehler von 2021 zum 70-Millionen-Dollar-Bitcoin-Raub führte

Ein Firmware-Fehler aus dem Jahr 2021 blieb über fünf Jahre unentdeckt – mit verheerenden Folgen für Bitcoin-Halter weltweit. Was IT-Verantwortliche und Geschäftsführer in Deutschland daraus lernen müssen.

Was ist passiert? Der Angriff in 41 Minuten

Am 30. Juli 2026 erlebte die Kryptowährungsszene einen der koordiniertesten Diebstähle ihrer Geschichte: In gerade einmal 41 Minuten leerte ein unbekannter Angreifer 1.196 Bitcoin-Adressen und entwendete dabei 1.082,65 BTC – zum Tatzeitpunkt umgerechnet rund 70,2 Millionen US-Dollar.

Die Analyse des Vorfalls durch Galaxy Research kam zu einem erschreckenden Ergebnis: Ursache war kein Phishing-Angriff, kein Social Engineering und keine gestohlene Seed-Phrase im klassischen Sinne. Der Ursprung des Schadens lag in einem Firmware-Fehler des Coldcard Hardware-Wallets – einem Produkt des kanadischen Herstellers Coinkite, das in der Bitcoin-Community als besonders sicherheitsbewusste Lösung gilt.

Für IT-Verantwortliche und Geschäftsführer in Deutschland ist dieser Vorfall aus mehreren Gründen alarmierend: Kryptowährungen werden zunehmend als Unternehmensreserven, für Transaktionen oder im Rahmen von Web3-Projekten eingesetzt. Gleichzeitig zeigt der Fall, dass selbst vermeintlich sichere Hardware-Lösungen durch Implementierungsfehler in der Firmware zur Schwachstelle werden können – und dass solche Fehler jahrelang unbemerkt bleiben können.

Technischer Hintergrund: Der PRNG-Fehler einfach erklärt

Was ist ein Hardware-Wallet?

Ein Hardware-Wallet wie der Coldcard ist ein physisches Gerät, das private Schlüssel für Kryptowährungen offline speichert. Das Kernversprechen: Da der private Schlüssel das Gerät nie verlässt, ist er vor Online-Angriffen geschützt. Die Sicherheit des gesamten Systems steht und fällt jedoch mit der Qualität der Schlüsselgenerierung beim Setup.

Der entscheidende Fehler: Deterministischer PRNG statt echter Zufälligkeit

Bei der Erzeugung kryptografischer Schlüssel ist echte Zufälligkeit (Entropie) das A und O. Im März 2021 schlich sich bei einem Firmware-Update des Coldcard ein kritischer Fehler ein: Die Seed-Generierung – also der Prozess, bei dem der initiale Grundschlüssel erzeugt wird – wurde irrtümlich an einen deterministischen Software-PRNG (Pseudorandom Number Generator) weitergeleitet, anstatt den dedizierten Hardware-Zufallszahlengenerator des Geräts zu nutzen.

Der Unterschied ist fundamental:

Ein deterministischer PRNG erzeugt Pseudozufallszahlen auf Basis eines Anfangswertes (Seeds). Kennt oder kann ein Angreifer diesen Anfangswert rekonstruieren oder den Zustandsraum des Algorithmus ausreichend eingrenzen, lassen sich alle daraus generierten privaten Schlüssel systematisch berechnen. Genau das ermöglichte den koordinierten Sweep von über 1.000 Adressen in weniger als einer Stunde.

Der Fehler blieb rund fünf Jahre unbemerkt – ein drastisches Beispiel dafür, wie lange Schwachstellen in eingebetteter Software schlummern können, bevor sie ausgenutzt werden.

NIS2-Relevanz: Was bedeutet das für deutsche Unternehmen?

Kryptowerte als Unternehmensasset

Auch wenn der direkte Betroffenenkreis zunächst Privatpersonen und Krypto-affine Unternehmen umfasst: Der Fall hat direkte Implikationen für die NIS2-Richtlinie und ihre nationale Umsetzung im BSIG (IT-Sicherheitsgesetz 2.0 bzw. die geplante NIS2-Umsetzung in Deutschland).

Unternehmen, die Kryptowährungen als Zahlungsmittel, Unternehmensreserve oder im Rahmen von DeFi/Web3-Projekten nutzen, verwalten damit kritische digitale Assets. Unter NIS2 gelten für wichtige und wesentliche Einrichtungen unter anderem folgende Anforderungen:

• Artikel 21 NIS2-Richtlinie: Risikomanagement-Maßnahmen müssen die Sicherheit der Lieferkette einschließen – Hardware-Wallets sind Teil dieser Kette
• Meldepflichten (§ 8b BSIG): Erhebliche Sicherheitsvorfälle müssen dem BSI innerhalb von 24 Stunden gemeldet werden – ein 70-Millionen-Dollar-Verlust durch eine Firmware-Schwachstelle wäre zweifellos meldepflichtig
• Supply-Chain-Sicherheit: Die NIS2-Richtlinie verpflichtet Unternehmen ausdrücklich zur Überprüfung von Sicherheitspraktiken ihrer Lieferanten und technischen Dienstleister – einschließlich Hardware-Anbieter

BSI-Empfehlungen zu kryptografischer Sicherheit

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) betont in seinen technischen Richtlinien (u.a. BSI TR-02102) die Notwendigkeit kryptografisch sicherer Zufallszahlengenerierung. Die Verwendung von Software-PRNGs für sicherheitskritische Schlüsselgenerierungen widerspricht diesen Empfehlungen fundamental. Unternehmen, die Kryptowährungs-Hardware einsetzen, sollten prüfen, ob die genutzten Geräte die BSI-Empfehlungen zur Entropieerzeugung erfüllen.

DSGVO-Tangente

Sofern kompromittierte Wallets im Unternehmenskontext auch personenbezogene Daten (etwa Transaktionshistorien mit Kundenbezug) enthielten oder zugänglich machten, können zusätzlich DSGVO-Meldepflichten gegenüber der Datenschutzbehörde greifen – innerhalb von 72 Stunden nach Bekanntwerden des Vorfalls.

Praktische Schutzmaßnahmen: Was Sie jetzt tun sollten

1. Sofortiger Firmware-Audit aller eingesetzten Hardware-Wallets

Überprüfen Sie unverzüglich, welche Firmware-Versionen auf im Unternehmen genutzten Hardware-Wallets installiert sind. Beim Coldcard-Vorfall war der fehlerhafte Zeitraum auf Geräte beschränkt, deren Seeds zwischen März 2021 und dem Zeitpunkt der Fehlerbehebung generiert wurden. Erstellen Sie ein Inventar aller Kryptowährungs-Hardware inklusive Anschaffungsdatum, Firmware-Version und Initialisierungszeitpunkt.

2. Schlüssel-Migration für betroffene Zeiträume

Wenn Sie Coldcard-Geräte im Einsatz haben und Ihre Seeds im kritischen Zeitraum generiert wurden: Migrieren Sie Ihre Guthaben auf neue Wallets mit frisch generierten Schlüsseln – und zwar auf Geräten, deren korrekte Zufallszahlengenerierung verifiziert ist. Diese Empfehlung gilt analog für alle Hardware-Wallets, bei denen ein PRNG-Fehler bekannt wird.

3. Firmware-Updates in Change-Management integrieren

Firmware-Updates für sicherheitskritische Hardware müssen denselben strengen Change-Management-Prozessen unterliegen wie Software-Updates für Server oder Netzwerkkomponenten. Etablieren Sie:
- Regelmäßige Update-Zyklen mit definierten Verantwortlichkeiten
- Signaturprüfung vor jeder Firmware-Installation
- Dokumentation aller Versionsänderungen im ISMS

4. Diversifikation und Schwellenwerte für Cold-Storage

Vermeiden Sie die Konzentration großer Kryptowährungs-Bestände auf einzelnen Geräten eines einzigen Herstellers. Praxisbewährte Ansätze:
- Multi-Signature-Setups mit Hardware von unterschiedlichen Herstellern
- Schwellenwerte definieren, ab denen zusätzliche Sicherheitsprüfungen greifen
- Cold-Storage-Trennung: Operative und strategische Bestände physisch getrennt verwalten

5. Lieferantenprüfung gemäß NIS2 Supply-Chain-Anforderungen

Integrieren Sie Hardware-Wallet-Hersteller in Ihre Lieferantenbewertung gemäß NIS2 Artikel 21. Relevante Fragen:
- Gibt es ein öffentliches Vulnerability-Disclosure-Programm?
- Wie transparent kommuniziert der Hersteller über Sicherheitsvorfälle?
- Sind Sicherheitsaudits durch Dritte (z.B. Penetrationstests, Code-Audits) verfügbar?
- Welche Firmware-Signierungsverfahren werden eingesetzt?

6. Notfallplan und Incident-Response für Krypto-Assets

Stellen Sie sicher, dass Ihr Incident-Response-Plan explizit den Verlust oder die Kompromittierung von Kryptowährungs-Assets abdeckt. Dieser sollte beinhalten:
- Kontaktdaten für BSI-Meldungen (CERT-Bund: cert@bsi.bund.de)
- Interne Eskalationswege
- Forensische Sicherung von Beweisen
- Kommunikationsplan für betroffene Stakeholder

Fazit: Vertrauen in Hardware ist kein Ersatz für Sicherheitsarchitektur

Der Coldcard-Vorfall ist kein Einzelfall – er ist symptomatisch für ein grundlegendes Problem: Sicherheitsversprechen auf Produktebene ersetzen keine systematische Sicherheitsarchitektur. Ein Firmware-Fehler, der fünf Jahre unbemerkt bleibt und dann in 41 Minuten 70 Millionen Dollar vernichtet, zeigt die Fragilität von Systemen, die auf singuläre Vertrauensanker setzen.

Für deutsche Unternehmen bedeutet das konkret: Die Anforderungen der NIS2-Richtlinie – Risikomanagement, Supply-Chain-Sicherheit, Incident Response und Meldepflichten – sind kein bürokratisches Overhead, sondern spiegeln genau die Art von Resilienz wider, die Vorfälle wie diesen entweder verhindert oder ihren Schaden begrenzt hätte.

Call-to-Action: NIS2-Compliance strukturiert angehen

Die Umsetzung der NIS2-Anforderungen – von der Lieferantenbewertung über das Risikomanagement bis hin zu strukturierten Meldewegen – ist für viele Unternehmen eine erhebliche organisatorische Herausforderung. Spezialisierte NIS2-Compliance-Software kann dabei helfen, Anforderungen zu strukturieren, Maßnahmenkataloge zu verwalten, Audits zu dokumentieren und Fristen für Meldepflichten im Blick zu behalten. Wenn Sie noch kein dediziertes Tool im Einsatz haben, lohnt sich ein Vergleich verfügbarer Lösungen – gerade im Hinblick auf die Integration von Supply-Chain-Risikobewertungen, wie sie der Coldcard-Fall exemplarisch illustriert.

Quellen: Galaxy Research (Vorfallanalyse, August 2026), BSI TR-02102 (Kryptografische Verfahren), NIS2-Richtlinie (EU) 2022/2555, BSIG (IT-Sicherheitsgesetz), ENISA Threat Landscape 2025