Krypto-Risiken, die ein VaR-Modell nicht sieht

Fünf Kategorien decken ein Krypto-Buch ab, und die ersten zwei sind bekannt.

Marktrisiko sind Kurs und Schwankung, messbar mit den üblichen Werkzeugen und behandelt unter Bitcoin-Volatilität. Kontrahentenrisiko sind die Börse, der Kreditgeber und die Clearingstelle mit Ihrer Margin oder Ihrer Münze. Operationelles Risiko umfasst die Prozesse um eine Übertragung, den Signiervorgang eingeschlossen. Schlüsselrisiko ist der Besitz des Werts: Ist der Schlüssel weg, ist die Position weg, ohne Gegenpartei zum Einklagen und ohne Gericht, das sie zurückholt. Kettenrisiko ist das Register selbst: eine Reorganisation, eine Abspaltung, ein stehendes Netz oder der Ausfall einer Brücke.

Die nützliche Disziplin ist, diese durch die vorhandenen Rahmen zu führen statt eine Parallelstruktur zu erfinden, so wie Institutionen es angegangen sind, wie 3iQ in seiner Darstellung von Dimensionierung und Steuerung der Quote schreibt. Die wirklich neuen Kategorien bekommen neue Kontrollen, der Rest nutzt wieder, was funktioniert.

Eine Schlüsselzeremonie ist die Erzeugung von Schlüsselmaterial unter kontrollierten Bedingungen, ein einmaliges Ereignis, dessen Fehlschlag dauerhaft ist. Die Kontrollen sind physisch und prozedural: ein geskripteter Ablauf, benannte Teilnehmer, durchgehendes Vier-Augen-Prinzip, eine aufgezeichnete und bezeugte Sitzung und die entstehenden Teile so verteilt, dass keine Person und kein Ort allein zum Signieren reicht.

Die Signierung ist die tägliche Fassung desselben Risikos. Ein Institut braucht eine Übertragung, die mehr als eine Person verlangt, eine Freigabeliste von Zieladressen, damit eine falsche oder ausgetauschte Adresse nicht bezahlt wird, eine Schwelle, ab der die Genehmigung eskaliert, und einen getesteten Weg für den Fall, dass ein Signierer fehlt. MPC-Wallets behandeln die Technik dahinter, und die Technik ersetzt das Verfahren nicht: Ein Schwellenwertverfahren mit allen Teilen in der Hand eines Teams ist ein einzelner Ausfallpunkt mit besserem Namen.

Die Pleiten von 2022 haben eine Lehre hinterlassen, die heute Standard ist: Ein Börsenguthaben ist eine unbesicherte Forderung gegen diese Börse und kein Bestand. Jede Münze, die zum Handeln auf einem Platz liegt, ist Kreditexposure, und das Limitsystem muss sie so behandeln.

Vier Kontrollen folgen daraus. Eine Obergrenze je Handelsplatz für das gehaltene Guthaben, bemessen an dem, was Sie verlieren könnten, und nicht an dem, was dem Handel bequem ist. Eine Abzugsdisziplin, die Guthaben über der Grenze nach einem Plan in getrennte Verwahrung bringt, den niemand überspringen darf. Prüfung jedes Platzes auf Zulassung, Trennungspraxis und seine Reserveangaben. Und Konzentrationslimite je Wert und je Platz, dazu Obergrenzen für wenig liquide Token, bei denen Ihre eigene Position der Markt ist.

Eine abgewickelte Übertragung ist nicht immer endgültig. Eine Reorganisation ersetzt die letzten Blöcke und kann eine Transaktion zurücknehmen, die Sie als fertig behandelt haben, weshalb Verwahrer und Börsen eine Zahl von Bestätigungen abwarten, bevor sie gutschreiben. Diese Wartezeit ist ein Risikoparameter: zu niedrig gesetzt, schreiben Sie eine Zahlung gut, die verschwindet, zu hoch gesetzt, können Sie nicht rechtzeitig abwickeln.

Zwei weitere Kettenereignisse gehören in den Rahmen. Eine harte Abspaltung teilt einen Wert und erzeugt einen zweiten Bestand mit eigener Bewertungs-, Steuer- und Verwahrfrage. Ein Netzstillstand hält die Abwicklung an, während die Kurse anderswo weiterlaufen, und das ist der Fall, in dem eine Absicherung nicht nachgezogen werden kann. Beide brauchen ein geschriebenes Drehbuch, denn beide kommen ohne Vorwarnung und werden unter Zeitdruck schlecht gehandhabt.

Für ein beaufsichtigtes europäisches Haus ist die operative Seite eines Krypto-Buchs keine freiwillige Selbstdisziplin. Der Digital Operational Resilience Act legt Finanzunternehmen Pflichten zum IKT-Risikomanagement auf, von der Steuerung des IKT-Risikos über Einordnung und Meldung von Vorfällen bis zu Resilienztests und der Überwachung von IKT-Drittanbietern.

Zwei Folgen tun am meisten weh. Ein Verwahrer oder ein Node-Anbieter ist ein IKT-Dritter, braucht also die Vertragsklauseln, den Ausstiegsplan und die Überwachung, die DORA verlangt, und eine vor diesem Rahmen geschlossene Verwahrvereinbarung muss meist wieder aufgemacht werden. Und ein Vorfall im Schlüsselmanagement ist ein meldepflichtiger IKT-Vorfall nach DORAs Fristenplan und keine interne Angelegenheit. DORA in Deutschland stellt das Regime dar.

Ein auf ein Krypto-Buch angewandtes Aktienstressszenario greift zu kurz. Die Historie eines großen Krypto-Werts enthält Einbrüche von siebzig bis achtzig Prozent und Einzeltage mit zweistelligen Verlusten, das Szenario muss also aus der eigenen Geschichte von Krypto kommen und nicht aus einem skalierten Aktienschock.

Drei Szenarien gehören neben die Kursbewegung, denn sie zerlegen eine Position tatsächlich. Ein Liquiditätsszenario, in dem das Buch ausdünnt und Ihr Ausstieg mehrere Prozent Slippage kostet. Ein Kontrahentenszenario, in dem das größte Exposure zu einem Handelsplatz auf null geht. Und ein Korrelationsszenario, in dem die Krypto-Quote am selben Tag mit Aktien fällt, denn das Diversifikationsargument versagt genau dann, wenn man es braucht, was die Krypto-Allokation untersucht.

Die zweite Verteidigungslinie verantwortet es. Ein Krypto-Buch sitzt in der bestehenden Risikofunktion des Hauses, mit Limiten, die das Risikomanagement setzt und nicht der Handel, und diese Trennung lässt ein Limit überhaupt etwas bedeuten. Wo ein Haus eine eigene Einheit für digitale Werte aufgebaut hat, liegt die häufige Schwäche darin, dass diese Einheit auch ihre eigenen Limite setzt.

Der Vorstand sieht vier Dinge, und ein Berichtspaket mit nur Position und Bewertung ist unvollständig. Ausnutzung je Limit, mit benannten Überschreitungen. Kontrahentenexposure je Handelsplatz und Verwahrer. Die Stressergebnisse zu den Szenarien oben. Und die operativen Vorfälle der Periode, gescheiterte Übertragungen und Ereignisse im Schlüsselmanagement eingeschlossen. In Deutschland bilden die MaRisk-Erwartungen an Governance und Limitsetzung den Rahmen dafür, beschrieben unter Risikomanagement in Frankfurt.