Wirtschaftsprüfer: Bitcoin.de verwaltet Bitcoin-Bestände der Kunden korrekt
Seit dem Bankrott von MtGox im Februar dieses Jahres stellt sich für viele Kunden von Bitcoin-Handelsplätzen die Frage: Sind meine Bitcoins sicher? Kunden von bitcoin.de haben nun Gewissheit. Der größte regulierte Marktplatz Europas hat die Bitcoin-Bestände seiner Kunden von einer unabhängigen Wirtschaftsprüfergesellschaft prüfen lassen und dabei zusammen mit den Wirtschaftsprüfern ein bisher einmaliges Verfahren entwickelt.
Wie kontrolliert man, ob ein Marktplatz wie bitcoin.de tatsächlich im Besitz der Bitcoin-Bestände seiner Kunden ist? Über diese Frage haben die Wirtschaftsprüfer der RLT IT- und Systemprüfung GmbH aus Essen gemeinsam mit dem Team der Bitcoin Deutschland AG einige Wochen intensiv nachgedacht. Die Antwort war schließlich ein Prüfungsverfahren, das in mehreren Schritten ermittelt, ob die der Bitcoin Deutschland AG von den Kunden anvertrauten Bitcoins korrekt verwaltet werden. Es handelt sich dabei um das erste Bitcoin-Prüfungsverfahren, welches auf Grundlage der in Deutschland geltenden „Grundsätze ordnungsgemäßer Abschlussprüfung“ erfolgt ist.
Das Audit begann Ende August mit der Prüfung der von der Bitcoin Deutschland AG in der Datenbank ausgewiesenen Bitcoin-Kontostände vom 27. August 2014, 23:59 Uhr. Die von RLT für die Stichprobe ausgewählten Kunden wurden dabei in eine aktive und eine passive Gruppe unterteilt. Die aktive Gruppe wurde gebeten, ihre Bitcoin-Kontostände ausdrücklich zu bestätigen, die passive Gruppe, sich bei den Prüfern von RLT zu melden, wenn der ausgewiesene Kontostand nicht korrekt sein sollte.
Sämtliche Kundendaten, die RLT erhalten hat, wurden zuvor anonymisiert; die Bestätigungen durch die Kunden wurden von der Bitcoin Deutschland AG verschlüsselt an RLT weitergeleitet.
Anschließend musste die Bitcoin Deutschland AG nachweisen, dass sie über die Summe an Bitcoins verfügen kann, die der Summe aller Kundensalden entspricht. Dieser Nachweis erfolgte ebenfalls durch eine signifikante Stichprobe der „Hot-Wallets“ und der sogenannten „Cold-Wallets“, in denen der ganz überwiegende Teil aller Kunden-Bitcoins offline/physisch gelagert wird. Um zu beweisen, dass die Bitcoin Deutschland AG im Besitz der privaten Schlüssel der überprüften Wallets ist, mussten von der Bitcoin Deutschland AG durch RLT vorgegebene Nachrichten mit den privaten Schlüsseln signiert, also praktisch unterschrieben werden.
Nun ist das Audit abgeschlossen. Das Ergebnis von RLT: „Nach unserer Beurteilung aufgrund der bei der Prüfung gewonnen Erkenntnisse sind die von der Bitcoin Deutschland AG verwalteten Bestände in Bitcoin zum 27.08.2014 23:59 Uhr, korrekt verwaltet. Die von der Bitcoin Deutschland AG verwalteten Bestände reichen aus, die Ansprüche der Kunden der Bitcoin Deutschland AG zu erfüllen.“ Die Prüfung gilt nur für die Bestände vom 27. August 2014 um 23:59 Uhr und kann eventuelle Fehler nicht vollständig ausschließen, da nur eine Stichprobe überprüft wurde. Die Methodik führt jedoch laut RLT zu einer hinreichend sicheren Grundlage für eine Beurteilung, da der Umfang der Stichprobe geprüfter Kunden und Wallets statistisch betrachtet ausreichend groß war, um eine solche Aussage treffen zu können.
Die Kunden von bitcoin.de können sich nach einer Bestätigung der Allgemeinen Auftragsbedingungen (AAB) für Wirtschaftsprüfer die von der RLT IT- und Systemprüfung GmbH erstellte Bescheinigung herunterladen. Die Bestätigung der AAB ist für die Kunden der Bitcoin Deutschland AG nicht mit Kosten verbunden, aber aus haftungstechnischen Gründen erforderlich.
Mit der Saldenprüfung kam die Bitcoin Deutschland AG dem Bedürfnis der Kunden nach, das durch die Insolvenz der Bitcoin-Börse Mt. Gox allgemein beschädigte Vertrauen in Bitcoin-Handelsplattformen weltweit durch eine unabhängige Bestätigung der Bitcoin-Bestände wieder zu stärken. Als bisher einzige Plattform weltweit hat bitcoin.de ein solches Audit von einer anerkannten Wirtschaftsprüfungsgesellschaft durchführen lassen. Dabei wurde erstmals eine Methodik zur Prüfung von Bitcoin-Plattformen entwickelt, die den deutschen Grundsätzen ordnungsgemäßer Abschlussprüfung entspricht. Dies könnte ein Prototyp für die Bitcoin-Branche sein, um den Kunden Gewissheit über die Sicherheit ihrer Bitcoins zu verschaffen.
Sehr gut gemacht, liebes bitcoin.de Team. Das bringt mehr Vertrauen als ein staatliche Regulierung. 😉
Was ich nicht ganz verstehe: „Die Bestätigung der AAB ist für die Kunden der Bitcoin Deutschland AG nicht mit Kosten verbunden, aber aus haftungstechnischen Gründen erforderlich.“ Was sind das für Gründe? Warum kann nicht jeder, also Kunden und (noch nicht) Kunden, einfach den Bericht oder zumindest eine Zusammenfassung anschauen?
Nicht das ich Misstrauen gegen bitcoin.de hätte – sonst hätte ich hier keinen Account. Aber gibt es eine Garantie, das dieser Zustand auch so bleibt? Reicht nicht ein unehrlicher Programmierer, um die ganzen Bestände auf einen Schlag auf ein anderes Wallet zu buchen?
Hallo Heinz, hier eine Antwort von unserem Vorstand Oliver Flaskämper:
„Das von Ihnen geschilderte Beispiel können wir ausschließen, da sämtliche
uns von Kunden anvertrauen Bitcoins offline – also ohne Verbindung zum
Internet oder einem sonstigen Computernetzwerk – gelagert werden. Zugriffe
auf diese Bitcoins sind nur möglich sind, wenn mehrere Personen
zusammenarbeiten (Mehr-Augen-Prinzip). Dieses Vorgehen ist weitgehend
internationaler Standard bei kritischen Prozessen, nicht nur im Umgang mit
Vermögenswerten.
Eine 100%ige Sicherheit können aber auch wir nicht versprechen. Unsere
Sicherheitsmaßnahmen werden jedoch regelmäßig von externen, unabhängigen
Unternehmen geprüft, um einen Verlust von Bitcoins mit an Sicherheit
grenzender Wahrscheinlichkeit ausschließen zu können. Jeder
Bitcoin-Besitzer muss sich also in Bezug auf die Lagerung seiner Bitcoins
die Frage stellen, ob er den Sicherheitsvorkehrungen (s)eines
Dienstleisters mehr vertraut als den eigenen Fähigkeiten.“
Ich stelle mir eher die Frage, ob die bitcoins gegen Diebstahl versichert sind. Dann wäre das ja halb so wild.
Wie gasagt ich habe großes Vertrauen in bitcoin.de und diese Antwort gefällt mir ausgesprochen gut. Danke für die schnelle Antwort. Das man Bitcoin versichern könnte ist sicher möglich aber wer will das bezahlen? Jeder der das möchte kann es ja selber tun. Das muss nicht zentral erledigt werden.
Noch ein Vorschlag von mir.
Man könnte die Wallets (ich nehme an es sind Paperwallets) in mehrere Teile zerschneiden und die Teile jeweils in Bankschließfächern unterschiedlicher Banken deponieren. Auf jedes der Bankschließfächer dürfte dann nur jeweils eine Person Zugriff haben. Um die Bitcoins wieder herstellen zu können müsste die zerschinittenen Wallets wieder zusammen gesetzt werden.