Dieses Kapitel beschreibt die technische Implementierung der Kryptoverwahrung der ecrop-Plattform und bietet Entwicklern und Systemarchitekten erste Informationen zur Architektur, den Komponenten, den Sicherheitsmechanismen und dem Schlüsselmanagement. Es dient als technische Hinführung für die Integration und den Betrieb der Plattform.

Die ecrop GmbH wird die Verwahrung von Kryptowerten gemäß den Anforderungen des KWG anbieten, sobald die notwendige Lizenz erteilt wurde.

​
Technische Architektur: Hot und Cold Storage für maximale Sicherheit

Die Architektur der Kryptoverwahrung basiert auf einer Kombination aus Hot und Cold Storage, um sowohl die Sicherheit als auch die operative Effizienz zu gewährleisten und die Anforderungen des KWG und der KryptoWTransferV zu erfüllen. Diese mehrschichtige Architektur stellt sicher, dass die privaten kryptografischen Schlüssel der Kunden optimal geschützt sind, während gleichzeitig ein schneller Zugriff für Transaktionen gewährleistet ist. Die Trennung von Hot und Cold Wallets erhöht die Sicherheit, da die Mehrheit der Kryptowerte offline in Cold Storage gehalten wird.

  • Hot Wallets (AWS KMS): Hot Wallets werden für den täglichen Betrieb und kleinere Transaktionen verwendet. Die privaten kryptografischen Schlüssel werden im AWS Key Management Service (KMS) verschlüsselt gespeichert und gemäß den Anforderungen der BAIT und MaRisk regelmäßig rotiert. AWS KMS bietet einen hohen Grad an Sicherheit und Skalierbarkeit und erfüllt die Anforderungen des KWG. Der Zugriff auf die Hot Wallets ist durch Multi-Faktor-Authentifizierung (MFA) und strenge, rollenbasierte Zugriffskontrollen (RBAC) geschützt.

  • Cold Wallets (Hardware Security Modules - HSMs): Cold Wallets werden für die sichere Langzeitverwahrung der Mehrheit der Assets verwendet. Die privaten kryptografischen Schlüssel werden offline in zertifizierten Hardware Security Modules (HSMs) generiert und gespeichert, die den höchsten Sicherheitsstandards entsprechen (z. B. FIPS 140-2 Level 3). HSMs sind manipulationssichere Hardwaregeräte, die einen hohen Grad an Sicherheit bieten und die Schlüssel vor unbefugtem Zugriff schützen. Der Zugriff auf die HSMs ist streng kontrolliert, protokolliert und erfordert die Anwesenheit mehrerer autorisierter Personen gemäß dem Vier-Augen-Prinzip.

  • Wallet Management System: Das Wallet Management System dient der zentralen Verwaltung und Überwachung aller Wallets und erfüllt die Anforderungen des KWG und der KryptoWTransferV hinsichtlich der sicheren Verwahrung von Kryptowerten. Es bietet Funktionen für die sichere Generierung, Speicherung, Rotation und Wiederherstellung von Schlüsseln. Das Wallet Management System ist durch strenge, rollenbasierte Zugriffskontrollen (RBAC), Multi-Faktor-Authentifizierung (MFA) und Verschlüsselung geschützt. Das System protokolliert alle Aktionen und Zugriffe auf die Schlüssel, um eine lückenlose Nachvollziehbarkeit zu gewährleisten.

  • API (REST-API): Eine REST-API ermöglicht den sicheren und effizienten Zugriff auf die Funktionen der Kryptoverwahrung. Die API ist versioniert, umfassend dokumentiert und bietet Entwicklern eine standardisierte Schnittstelle für die Integration mit anderen Systemen. Die API unterstützt JSON als Datenaustauschformat und verwendet JWT-basierte Authentifizierung und Autorisierung für den sicheren Zugriff. Die API-Dokumentation enthält detaillierte Beschreibungen aller Endpunkte, Parameter und Datentypen, sowie Code-Beispiele in verschiedenen Programmiersprachen.

  • Monitoring & Alerting System: Das Monitoring-System überwacht kontinuierlich die Wallets, die HSMs, den Systemstatus und die Netzwerkverbindungen, um Sicherheitsvorfälle und Störungen frühzeitig zu erkennen und zu beheben. Es verwendet Echtzeit-Monitoring und Anomaly Detection und generiert automatische Benachrichtigungen bei kritischen Ereignissen. Die Monitoring-Daten werden in einem zentralen SIEM-System (Security Information and Event Management) gespeichert und analysiert, um Bedrohungen zu identifizieren und die Sicherheit der Plattform zu verbessern.

​
Die Sicherheitsarchitektur der Kryptoverwahrung

Die Sicherheitsarchitektur der Kryptoverwahrung ist mehrschichtig und umfasst folgende Maßnahmen:

  • Cold Storage: Die Mehrheit der privaten Schlüssel wird offline in HSMs gespeichert (Cold Storage). Dies bietet einen hohen Grad an Schutz vor Cyberangriffen und unbefugtem Zugriff. Die HSMs werden in sicheren Rechenzentren verwahrt, die physisch vor unbefugtem Zugriff geschützt sind.

  • Mehrstufige Zugriffskontrollen: Der Zugriff auf die Kryptowerte ist durch mehrstufige Zugriffskontrollen geschützt. Es werden rollenbasierte Zugriffskontrollen (RBAC), Multi-Faktor-Authentifizierung (MFA) und das Vier-Augen-Prinzip für kritische Operationen verwendet. Dies stellt sicher, dass nur autorisierte Personen mit den erforderlichen Berechtigungen auf die Kryptowerte zugreifen können.

  • Verschlüsselung: Alle Daten werden sowohl bei der Übertragung als auch bei der Speicherung verschlüsselt. Für die Übertragung wird TLS 1.3 verwendet, für die Speicherung AES-256. Die Schlüssel werden in HSMs verwaltet.

  • Regelmäßige Sicherheitsüberprüfungen: ecrop führt regelmäßig Sicherheitsüberprüfungen durch, um Schwachstellen zu identifizieren und zu beheben. Dazu gehören Penetrationstests, Sicherheitsaudits und Schwachstellen-Scans. Die Überprüfungen werden von internen und externen Experten durchgeführt.

  • Intrusion Detection & Prevention System (IDS/IPS): IDS/IPS überwachen den Netzwerkverkehr und die Systemaktivitäten in Echtzeit, um verdächtige Aktivitäten zu erkennen und zu blockieren. Das System wird regelmäßig aktualisiert, um neue Bedrohungsmuster zu erkennen.

  • Incident Response Plan: ecrop hat einen klaren Incident Response Plan für den Umgang mit Sicherheitsvorfällen definiert. Dieser Plan umfasst die Identifizierung von Sicherheitsvorfällen, die Analyse der Ursachen, die Einleitung von Gegenmaßnahmen und die Kommunikation mit den betroffenen Stakeholdern.

​
Schlüsselmanagement: Sichere Generierung, Speicherung und Rotation

Das Schlüsselmanagement ist ein kritischer Aspekt der Kryptoverwahrung und umfasst folgende Maßnahmen:

  • Schlüsselgenerierung: Die Schlüssel werden in HSMs unter Verwendung kryptografisch sicherer Zufallszahlengeneratoren (CSPRNGs) generiert. Die Generierung erfolgt offline und die Schlüssel verlassen das HSM niemals unverschlüsselt.

  • Schlüsselspeicherung: Die Schlüssel werden verschlüsselt in HSMs gespeichert.

  • Schlüsselrotation: Die Schlüssel werden regelmäßig rotiert, um das Risiko einer Kompromittierung zu minimieren. Die Rotationsintervalle sind abhängig vom Schlüsseltyp und dem Schutzbedarf.

  • Schlüsselwiederherstellung: ecrop hat einen sicheren und dokumentierten Prozess zur Wiederherstellung von Schlüsseln im Notfall definiert. Die Wiederherstellung erfordert die Anwesenheit mehrerer autorisierter Personen und die Eingabe von mehreren Geheimnissen (Shamir’s Secret Sharing).

​
API & Integration: Schnittstelle für den sicheren Datenaustausch

Die REST-API der Kryptoverwahrung ermöglicht den sicheren und effizienten Datenaustausch mit anderen Systemen. Die API ist dokumentiert und versioniert und bietet Entwicklern eine einfache Möglichkeit zur Integration:

  • Endpoints: Die API-Dokumentation enthält eine vollständige Beschreibung aller API-Endpunkte mit Beschreibung der Funktionen, Parameter, Datentypen und Rückgabewerte.

  • Authentifizierung: Die API verwendet JWT-basierte Authentifizierung und Autorisierung über API-Keys. Die Dokumentation enthält eine detaillierte Beschreibung des Authentifizierungsprozesses und Code-Beispiele für die Authentifizierung in verschiedenen Programmiersprachen.

  • Beispiele: Die Dokumentation enthält Code-Beispiele für die API-Integration in verschiedenen Programmiersprachen und für verschiedene Anwendungsfälle, z.B. die Abfrage von Wallet-Salden, die Initiierung einer Transaktion und die Abfrage von Transaktionsdetails.

​
Compliance-Features: Einhaltung regulatorischer Anforderungen

Die Kryptoverwahrung enthält verschiedene Compliance-Features, um die Einhaltung der regulatorischen Anforderungen zu gewährleisten:

  • Monitoring: Das System überwacht kontinuierlich alle Wallets und Transaktionen, um verdächtige Aktivitäten zu erkennen. Es generiert automatische Benachrichtigungen bei kritischen Ereignissen. Die Überwachung erfolgt in Echtzeit und die Daten werden in einem zentralen SIEM-System gespeichert.

  • Reporting: Das System ermöglicht die automatisierte Erstellung von Berichten für Kunden und Aufsichtsbehörden. Die Berichte können flexibel an individuelle Anforderungen angepasst werden.

  • Kontrollen: Das System enthält integrierte Kontrollmechanismen, um die Einhaltung der regulatorischen Anforderungen zu gewährleisten. Dazu gehören z.B. die Einhaltung von KYC/AML-Anforderungen und die Überprüfung der Transaktionsdaten.