Kann die Blockchain das Finanzsystem sicherer machen?
Eine in einer Blockchain erfasste Zahlung lässt sich nur äußerst schwer ändern. Das bedeutet jedoch nicht, dass die Zahlung ordnungsgemäß autorisiert wurde, die Software wie vorgesehen ausgeführt wurde oder die Person, die das Konto kontrollierte, tatsächlich die war, für die sie sich ausgab.
Diese Unterscheidung gewinnt zunehmend an Bedeutung, da Banken, Zentralbanken und Marktinfrastrukturen über Experimente mit Kryptowährungen hinausgehen und damit beginnen, tokenisierte Einlagen, Wertpapiere und die Abwicklung von Großhandelsgeschäften zu testen. Die Distributed-Ledger-Technologie kann ein gemeinsames Eigentumsregister bereitstellen, Transaktionen automatisieren und einen Teil des Abstimmungsaufwands reduzieren, der entsteht, wenn mehrere Institutionen separate Datenbanken führen. Sie kann zudem ermöglichen, dass Finanzanlagen und Geld gemeinsam bewegt werden, wodurch sich der Zeitraum verkürzt, in dem eine Seite einer Transaktion bereits ihre Leistung erbracht hat, die andere Seite jedoch noch nicht.
Doch genau diese Technologie kann neue Konzentrationen von operationellen Risiken schaffen. Ein gestohlener kryptografischer Schlüssel könnte es einem Angreifer ermöglichen, eine scheinbar gültige Transaktion zu genehmigen. Ein Fehler in einem Smart Contract kann das falsche Ergebnis mit maschineller Geschwindigkeit automatisieren. Eine Brücke, die zwei Netzwerke verbindet, kann zu einem Single Point of Failure werden. Sobald eine fehlerhafte Transaktion abgeschlossen ist, kann die Widerstandsfähigkeit des Systems gegen Änderungen dazu führen, dass sich der Verlust schwerer statt leichter rückgängig machen lässt.
Die Blockchain beseitigt daher das Vertrauen aus dem Finanzwesen nicht. Sie verteilt das Vertrauen neu auf Softwareentwickler, Netzwerkbetreiber, Verwahrer, Validatoren, Governance-Gremien und die Institutionen, die den Zugang zum System kontrollieren.
Für Banken und Finanzmarktakteure stellt sich nicht mehr die Frage, ob die Blockchain abstrakt betrachtet sicher ist. Vielmehr geht es darum, ob eine bestimmte Umsetzung sicherer, widerstandsfähiger und wirtschaftlich vorteilhafter ist als die Infrastruktur, die sie ersetzen soll.
Das Ledger ist nur ein Teil des Sicherheitsmodells
Eine Blockchain schützt Datensätze durch Kryptografie, dezentrale Validierung und vereinbarte Regeln für die Aktualisierung des Hauptbuchs. In einem gut konzipierten Netzwerk kann kein einzelner Teilnehmer die Transaktionshistorie unbemerkt umschreiben, ohne dass dies entdeckt wird oder er über ausreichende Kontrolle über das System verfügt.
Dies kann die Datenintegrität verbessern. Mehrere Institutionen können auf der Grundlage eines gemeinsamen Datensatzes arbeiten, anstatt Nachrichten auszutauschen und separate Versionen derselben Transaktion abzugleichen. Eigentumsänderungen, Zahlungsanweisungen und Compliance-Bedingungen können in einer einheitlichen Reihenfolge erfasst werden. Wirtschaftsprüfer und Aufsichtsbehörden erhalten so möglicherweise einen klareren Überblick darüber, was wann geschehen ist.
Bei den meisten erfolgreichen Angriffen muss der Angreifer die Blockchain jedoch nicht umschreiben.
Sie zielen auf die Schnittstellen ab, an denen Menschen und herkömmliche Software mit dem System interagieren. Kriminelle stehlen private Schlüssel, kompromittieren Wallets, nutzen schlecht programmierte Smart Contracts aus, manipulieren Mitarbeiter oder greifen die Systeme an, die zur Genehmigung und Übermittlung von Anweisungen dienen. Das zugrunde liegende Ledger funktioniert möglicherweise weiterhin genau wie vorgesehen, während es eine Transaktion aufzeichnet, die niemals hätte autorisiert werden dürfen.
Dies lässt sich mit der herkömmlichen Zahlungsdatenbank einer Bank vergleichen, die über das Konto eines kompromittierten Mitarbeiters übermittelte Anweisungen gewissenhaft verarbeitet. Die Integrität der Datenbank ist kein Beweis für die Rechtmäßigkeit der Anweisung.
Finanzinstitute sollten daher die Sicherheit der Hauptbücher von der durchgängigen Transaktionssicherheit trennen. Letztere umfasst Identitäts- und Zugriffsmanagement, Verwahrung, Transaktionsüberprüfung, Softwareentwicklung, Netzwerk-Governance, Reaktion auf Vorfälle sowie die rechtliche Befugnis, einen Fehler zu korrigieren.
Eine Institution, die sich in erster Linie auf die Unveränderlichkeit des Ledgers konzentriert, kann den Teil des Systems absichern, auf den Angreifer am wenigsten abzielen dürften.
Private und öffentliche Netzwerke bergen unterschiedliche Risiken
Der Begriff „Blockchain“ umfasst Systeme mit erheblich unterschiedlichen Sicherheits- und Governance-Regelungen.
Öffentliche Blockchains ermöglichen es in der Regel einer breiten Teilnehmergruppe, Transaktionen einzusehen, Aktivitäten einzureichen und – je nach Protokoll – an der Validierung teilzunehmen. Ihre Ausfallsicherheit profitiert von großen, verteilten Netzwerken, der Überprüfung durch die Open-Source-Community und dem Fehlen eines einzelnen Betreibers, der in der Lage wäre, Datensätze einseitig zu ändern.
Diese Offenheit bereitet dem regulierten Finanzsektor Schwierigkeiten. Banken müssen wissen, wer ihre Vertragspartner sind, verbotene Aktivitäten verhindern, vertrauliche Informationen schützen und Vorschriften in Bezug auf Sanktionen, Geldwäsche und Datenschutz einhalten. Auch Transaktionsgebühren und Netzwerkkapazitäten können je nach Nachfrage variieren.
In berechtigungsbasierten Netzwerken ist die Teilnahme auf zugelassene Institutionen beschränkt. Validatoren, Nutzer und der Datenzugriff lassen sich kontrollieren, wodurch sich das System leichter an regulatorische und geschäftliche Anforderungen anpassen lässt. Die Kinexys-Plattform von J.P. Morgan nutzt beispielsweise eine berechtigungsbasierte Infrastruktur, um institutionelle Zahlungen, tokenisierte Vermögenswerte und programmierbare Abwicklung zu unterstützen.
Ein genehmigungsgebundenes Netzwerk bietet nicht dieselbe Form der Dezentralisierung wie eine große öffentliche Blockchain. Die Kontrolle kann sich auf eine kleine Anzahl von Betreibern konzentrieren, und die Teilnehmer müssen sich auf die Governance, die Kontinuität und die technische Kompetenz der Institution verlassen, die die Plattform betreibt.
Das ist nicht unbedingt ein Mangel. Ein von Banken geführtes Netzwerk bietet möglicherweise eine strengere Rechenschaftspflicht, eine gründlichere Kundenüberprüfung und bessere Rechtsmittel als ein offenes Protokoll. Der Punkt ist, dass seine Sicherheit zum Teil auf regulierten Institutionen und vertraglichen Steuerungsmechanismen beruht und nicht allein auf der Dezentralisierung.
Finanzunternehmen sollten prüfen, wer die Software ändern, Teilnehmer zulassen, Aktivitäten rückgängig machen oder aussetzen, auf vertrauliche Daten zugreifen und festlegen kann, wie das Netzwerk auf einen Ausfall reagiert. Ein als dezentral beschriebenes System kann operativ dennoch von einer kleinen Anzahl von Administratoren, Cloud-Anbietern oder Technologieanbietern abhängig sein.
Die Tokenisierung kann das Abwicklungsrisiko verringern
Eine der wichtigsten finanziellen Anwendungsmöglichkeiten der Distributed-Ledger-Technologie ist nicht die Ersetzung von Geld durch ungedeckte Kryptowährungen. Es ist vielmehr die Tokenisierung bestehender Forderungen wie Bankeinlagen, Staatsanleihen, Anteile an Investmentfonds und anderer regulierter Vermögenswerte.
Bei herkömmlichen Wertpapiergeschäften kann eine ganze Kette von Maklern, Verwahrstellen, zentralen Wertpapierverwahrstellen, Clearingstellen und Zahlungssystemen beteiligt sein. Jede dieser Institutionen erfasst und übermittelt einen Teil der Transaktion. Abweichungen zwischen diesen Aufzeichnungen müssen abgeglichen werden, während die Abwicklung erst nach Abschluss des Geschäfts erfolgen kann.
Eine tokenisierte Plattform kann Informationen über den Vermögenswert, dessen Eigentumsverhältnisse und die für dessen Übertragung geltenden Regeln miteinander verknüpfen. Dank der Programmierbarkeit können Zahlung und Lieferung als miteinander verbundene Bestandteile derselben Transaktion erfolgen.
Dies ist von Bedeutung, da ein Finanzgeschäft zwei Verpflichtungen beinhaltet. Der Käufer muss Geld liefern, und der Verkäufer muss den Vermögenswert liefern. Wenn diese Vorgänge nicht synchron ablaufen, kann es vorkommen, dass eine Partei ihre Verpflichtung erfüllt, während die andere dies nicht tut. „Delivery-versus-Payment“-Vereinbarungen sollen dieses Hauptrisiko verringern.
Tokenisiertes Geld und tokenisierte Vermögenswerte könnten eine solche Abwicklung schneller und programmierbar machen. Sicherheiten könnten zudem entsprechend vordefinierten Bedingungen verschoben oder freigegeben werden, was möglicherweise manuelle Eingriffe reduzieren und es den Instituten ermöglichen würde, ihre Liquidität effizienter zu nutzen.
Die Europäische Zentralbank ist bereits über die theoretische Diskussion hinausgegangen. An den Sondierungsarbeiten des Eurosystems waren 64 Marktteilnehmer beteiligt; im Rahmen von mehr als 50 Tests und Experimenten wurde die Abwicklung von Transaktionen auf Basis verteilter Hauptbücher in Zentralbankgeld untersucht. Seitdem hat sie ein zweigleisiges Programm verabschiedet, das darauf abzielt, Aktivitäten auf Basis verteilter Hauptbücher mit der bestehenden TARGET-Abwicklungsinfrastruktur zu verknüpfen und eine längerfristige integrierte Lösung zu erarbeiten.
Die Bank für Internationalen Zahlungsausgleich hat in ähnlicher Weise argumentiert, dass tokenisierte Zentralbankreserven, Geld der Geschäftsbanken und Finanzanlagen ein stärker integriertes Währungssystem unterstützen könnten.
Diese Initiativen bedeuten keine pauschale Befürwortung jedes einzelnen Blockchain-Modells. Sie deuten darauf hin, dass die Zentralbanken in der Programmierbarkeit und in gemeinsamen Hauptbüchern einen potenziellen Nutzen sehen, gleichzeitig aber darauf bestehen, dass die Abwicklung weiterhin auf reguliertem Geld und einer soliden Governance basiert.
Eine schnellere Abwicklung kann neuen Liquiditätsdruck verursachen
Die nahezu sofortige Abwicklung wird in der Regel als uneingeschränkter Vorteil dargestellt. In der Praxis verändert diese Schnelligkeit jedoch die Art und Weise, wie Finanzinstitute ihre Liquidität verwalten.
Bei einem verzögerten Abwicklungszyklus haben Unternehmen Zeit, die Finanzierung zu organisieren, Verpflichtungen zu verrechnen und Unstimmigkeiten zu klären. Eine Abwicklung in Echtzeit oder nahezu in Echtzeit kann das Gegenparteirisiko verringern, erfordert jedoch möglicherweise, dass Geld oder Wertpapiere genau in dem Moment verfügbar sind, in dem eine Transaktion abgewickelt wird.
Dies kann den Bedarf an Intraday-Liquidität erhöhen. Ein Teilnehmer, der seine Nettoverpflichtung bisher am Ende eines Zyklus beglichen hätte, muss möglicherweise einzelne Transaktionen im Laufe des Tages finanzieren.
Die Programmierbarkeit kann dabei helfen, Zahlungen zu koordinieren und Liquidität gemäß vordefinierten Bedingungen freizugeben. Sie kann jedoch auch dazu führen, dass sich Fehler schneller ausbreiten, wenn die Bedingungen nicht stimmen. Ein Programmierfehler oder eine unzuverlässige externe Datenquelle könnte den Abschluss einer Kette miteinander verknüpfter Transaktionen verhindern.
Institute sollten daher die Auswirkungen auf die Liquidität und den Geschäftsbetrieb modellieren, anstatt davon auszugehen, dass „schneller“ immer auch „sicherer“ bedeutet. Eine geeignete Ausgestaltung könnte eine schnelle Ausführung mit Warteschlangen, Verrechnung, Mechanismen zur Liquiditätserhaltung und kontrollierten Eingriffen kombinieren.
Das System muss zudem die Endgültigkeit der Abwicklung gewährleisten: den rechtlich anerkannten Zeitpunkt, ab dem eine Übertragung unwiderruflich und bedingungslos wird. Eine technische Bestätigung in einem Hauptbuch reicht nicht aus, wenn das Insolvenzrecht, das Sachenrecht oder das Zahlungsrecht nicht dasselbe Ergebnis anerkennen.
Smart Contracts automatisieren sowohl Kontrollmechanismen als auch Fehler
Smart Contracts sind Programme, die vordefinierte Aktionen ausführen, sobald bestimmte Bedingungen erfüllt sind. Im Finanzbereich können sie Zinszahlungen, Sicherheitenbewegungen, Kapitalmaßnahmen, Compliance-Auflagen oder den Austausch von Vermögenswerten und Geld automatisieren.
Ihr Vorteil liegt in der Konsistenz. Ein gut konzipiertes Programm kann dieselbe Regel wiederholt anwenden, ohne auf eine manuelle Bearbeitung warten zu müssen. Außerdem kann es Kontrollmechanismen direkt in ein Asset einbetten, wodurch Übertragungen an unbefugte Teilnehmer verhindert oder bestimmte Genehmigungen vorgeschrieben werden können.
Das Problem ist, dass rechtliche und finanzielle Verpflichtungen selten so eindeutig sind, wie es die Software annimmt.
Ein Vertrag muss möglicherweise Fälle von Insolvenz, Betrug, höherer Gewalt, strittigen Daten oder behördlichen Anordnungen berücksichtigen. Ein externer Datenanbieter könnte einen falschen Preis oder ein falsches Ereignis melden. Der Code setzt die schriftliche Vereinbarung möglicherweise nicht vollständig um. Zwei fehlerfreie Softwareprogramme können auf unerwartete Weise miteinander interagieren.
Das Finanzinstitut muss entscheiden, welche Rechtsquelle Vorrang hat, wenn Gesetz, Vertragsunterlagen und gesetzliche Verpflichtungen zu unterschiedlichen Ergebnissen führen.
Die Sicherheit von Smart Contracts sollte daher über eine technische Prüfung vor der Inbetriebnahme hinausgehen. Institutionen benötigen formale Tests, kontrollierte Upgrades, Überwachung, eine Aufgabentrennung sowie eine Möglichkeit, den Betrieb bei auffälligem Verhalten zu unterbrechen. Änderungen an kritischem Code sollten einer unabhängigen Genehmigung bedürfen, und die Organisation sollte wissen, welche Programmversion für die jeweilige Transaktion maßgeblich war.
Durch die Automatisierung verkürzt sich die Zeit, die zur Erkennung eines Fehlers zur Verfügung steht. Je höher der Grad der Programmierbarkeit ist, desto wichtiger wird es, Notfallbefugnisse und die Verantwortung des Menschen im Voraus festzulegen.
Die Interoperabilität könnte sich als das schwächste Glied erweisen
Es ist unwahrscheinlich, dass das Finanzsystem auf der Grundlage eines einzigen universellen Hauptbuchs funktioniert. Banken, Zentralbanken, Börsen, Verwahrstellen und Technologieunternehmen entwickeln unterschiedliche Netzwerke für unterschiedliche Zwecke.
Wert muss daher zwischen Blockchains sowie zwischen verteilten Hauptbüchern und herkömmlichen Systemen übertragen werden. Dies führt zu einem Interoperabilitätsproblem.
Eine Brücken- oder Messaging-Schicht kann ein Asset auf einem System sperren und es auf einem anderen System abbilden. Wird der Verbindungsmechanismus kompromittiert, könnte ein Angreifer möglicherweise Assets ohne entsprechende Deckung erstellen oder legitime Eigentümer daran hindern, ihr Eigentum zurückzuerhalten.
Interoperabilität kann zudem zu Rechtsunsicherheit führen. Ein Vermögenswert kann nach den Regeln eines Netzwerks anerkannt sein, nach denen eines anderen jedoch nicht. Transaktionen können Rechtsordnungen durchlaufen, die unterschiedliche Ansätze in Bezug auf Daten, Eigentumsrechte und die Endgültigkeit der Abwicklung verfolgen.
Je mehr Netzwerke ein Finanzinstitut miteinander verbindet, desto größer wird seine Angriffsfläche. Selbst ein hochsicheres internes Hauptbuch schützt das Institut nicht vor Schwachstellen in einer externen Schnittstelle, bei einem Wallet-Anbieter oder in einem Datenfeed.
Die Sicherheitsbewertung muss daher den gesamten Transaktionsweg abdecken. Die Geschäftsleitung sollte wissen, welche Dritten beteiligt sind, in welchen Systemen die maßgeblichen Daten gespeichert sind und was geschieht, wenn zwei Netzwerke nicht übereinstimmen.
Unveränderlichkeit kann im Widerspruch zu Korrekturen und Datenschutz stehen
Die Unmöglichkeit, historische Datensätze zu ändern, wird oft als der entscheidende Sicherheitsvorteil der Blockchain dargestellt. Finanzsysteme müssen jedoch manchmal Fehler korrigieren, Gerichtsentscheidungen durchsetzen und personenbezogene Daten schützen.
Eine betrügerische Zahlung muss möglicherweise gesperrt werden. Eine irrtümliche Vermögensübertragung muss möglicherweise rückgängig gemacht werden. Ein Gericht kann eine Änderung der Eigentumsverhältnisse anordnen. Datenschutzbestimmungen können die Speicherung oder Aufbewahrung personenbezogener Daten einschränken.
Institutionen können darauf reagieren, indem sie sensible Informationen außerhalb der Blockchain aufbewahren und im Ledger lediglich Verweise oder kryptografische Nachweise erfassen. Bei genehmigungsbasierten Systemen können autorisierte Parteien zudem die Befugnis erhalten, Transaktionen auszusetzen oder festgelegte Fehler zu korrigieren.
Diese Entscheidungen entkräften die vereinfachende Behauptung, das System sei gänzlich unveränderlich, könnten es jedoch für den regulierten Finanzsektor besser geeignet machen. Eine Plattform ohne Mechanismen für rechtmäßige Eingriffe kann für Kunden weniger sicher sein als eine Plattform mit sorgfältig geregelten Verwaltungsbefugnissen.
Bei der Frage zum Design geht es nicht darum, ob Eingriffe stattfinden. Es geht vielmehr darum, wer unter welchen Bedingungen und unter welcher Aufsicht eingreifen darf und ob jede Maßnahme eine nachprüfbare Aufzeichnung hinterlässt.
Was Finanzinstitute vor der Einführung testen sollten
Ein glaubwürdiger Blockchain-Vorschlag sollte bei dem zu lösenden Problem ansetzen. Wenn die bestehende Infrastruktur bereits eine sichere und effiziente Abwicklung gewährleistet, könnte ihre Ersetzung durch ein verteiltes Hauptbuch zusätzliche Kosten verursachen, ohne einen nennenswerten Mehrwert zu schaffen.
Das Institut sollte ermitteln, welche Abstimmungsvorgänge, Verzögerungen, Gegenparteirisiken oder manuellen Prozesse durch das neue System entfallen werden. Es sollte diesen Nutzen mit den Kosten für die Integration, Cybersicherheit, rechtliche Prüfung, Governance, Schulungen und den weiteren Betrieb der Altsysteme abwägen.
Sicherheitstests sollten sich vom Ledger auf Wallets, Schlüssel, Anwendungsschnittstellen, Smart Contracts und externe Daten erstrecken. Die Organisation sollte testen, wie sich die Plattform verhält, wenn ein Teilnehmer kompromittiert wird, ein Validator ausfällt, unrichtige Informationen in das System gelangen oder zwei miteinander verbundene Netzwerke die Kommunikation unterbrechen.
Besondere Aufmerksamkeit verdient die Schlüsselverwaltung. Institutionen benötigen Kontrollmechanismen dafür, wie Schlüssel erstellt, gespeichert, gesichert, rotiert und wiederhergestellt werden. Bei Transaktionen mit hohem Wert können mehrere unabhängige Genehmigungen erforderlich sein, anstatt dass eine einzelne Person oder ein einzelnes System die alleinige Entscheidungsgewalt innehat.
Die Vorstände sollten sich zudem fragen, wer im Falle eines Vorfalls die Verantwortung trägt. In einem Netzwerk aus Banken, Technologieanbietern und Marktinfrastrukturen kann es zu einer Zersplitterung der Verantwortlichkeiten kommen. In Verträgen und Betriebsvorschriften sollte festgelegt werden, wer den Vorfall erkennt, wer das System außer Betrieb nehmen darf, wie die Kunden informiert werden und wie Verluste aufgeteilt werden.
Schließlich sollte das Institut prüfen, ob das System auch dann noch nutzbar ist, wenn die Blockchain-Komponente ausfällt. Die Finanzinfrastruktur erfordert Kontinuitätsmaßnahmen und darf nicht davon ausgehen, dass eine verteilte Architektur Unterbrechungen unmöglich macht.
Sicherheit entsteht durch das gesamte System
Die Blockchain kann die Integrität von Finanzunterlagen verbessern und einige der Risiken verringern, die durch fragmentierte Datenbanken, verzögerte Abwicklungen und manuelle Abstimmungen entstehen. Durch die Tokenisierung könnten zudem Geld, Wertpapiere und Vertragsbedingungen auf derselben programmierbaren Infrastruktur abgewickelt werden.
All dies macht die Blockchain jedoch nicht zu einem allgemeinen Schutz vor Cyberkriminalität.
Die Technologie kann zwar eine Form der Datenmanipulation verhindern, setzt die Institute jedoch dem Risiko von Datendiebstahl, Programmierfehlern, Mängeln bei der Netzwerkverwaltung und Abhängigkeiten von unbekannten Dritten aus. Ihre Unveränderlichkeit kann die Nachvollziehbarkeit verbessern, macht es jedoch gleichzeitig schwieriger, Fehler rückgängig zu machen. Ihre Fähigkeit zur sofortigen Abwicklung kann das Gegenparteirisiko verringern, erhöht jedoch gleichzeitig die Liquiditäts- und Betriebsanforderungen.
Die leistungsfähigsten Finanzanwendungen werden daher diejenigen sein, die verteilte Hauptbücher gezielt einsetzen – und zwar innerhalb eines rechtlichen und institutionellen Rahmens, der in der Lage ist, die damit verbundenen Risiken zu bewältigen.
Ein sicheres Finanzsystem entsteht nicht dadurch, dass Transaktionen in einer Blockchain erfasst werden. Es entsteht erst, wenn das Hauptbuch, die Software, das Geld, die Institutionen und die Regeln zur Behebung von Fehlern zusammenwirken.
