Hersteller von Krypto-Wallets müssen aktiv ausgenutzte Sicherheitslücken künftig innerhalb von 24 Stunden an die Behörden melden. Grundlage ist der Cyber Resilience Act der EU, der am Freitag in Kraft getreten ist. Das teilte die Europäische Kommission mit.
Sobald ein Hersteller von einer Lücke erfährt, beginnt die Uhr zu ticken: Nach einer ersten Frühwarnung bleibt ein Zeitfenster von 72 Stunden für die vollständige Meldung. Ist die Gegenmaßnahme erst einmal verfügbar, läuft die 14-tägige Frist für den Abschlussbericht; bei schweren Vorfällen muss dieser spätestens nach einem Monat vorliegen.
Bußgelder bis zu 15 Millionen Euro
Wer gegen die Vorgaben verstößt, muss mit empfindlichen Strafen rechnen. Nach Artikel 64 der Verordnung drohen bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ausfällt. Unvollständige oder irreführende Angaben können zusätzlich mit bis zu fünf Millionen Euro geahndet werden.
Betroffen sind sämtliche Produkte mit digitalen Elementen, die in der EU angeboten werden. Für Hersteller gilt das unabhängig davon, ob sie Hardware- oder Software-Wallets anbieten.
Mehrere Sicherheitsvorfälle
Die neuen Fristen treffen eine Branche, die zuletzt mehrfach mit Sicherheitsvorfällen zu tun hatte. Anfang September teilte Trezor mit, dass durch einen Vorfall beim Versanddienstleister ShipMonk Daten von 67.000 US-Kunden betroffen sind, deutlich mehr als zunächst angenommen. Vergangene Woche warnte Trezor erneut und ebenfalls BitBox vor Phishing-Mails, die als dringende Sicherheitshinweise getarnt waren.
BitBox hatte erst im August mehrere Schwachstellen in der eigenen Firmware behoben, die das Unternehmen bei internen Prüfungen gefunden hatte. Unter dem Cyber Resilience Act wären solche Funde künftig meldepflichtig, sobald sie aktiv ausgenutzt werden.
