Risikomanagement Kryptowerte

Fünf Kategorien decken ein Krypto-Buch ab, und die ersten zwei sind bekannt.

Marktrisiko sind Kurs und Schwankung, messbar mit den üblichen Werkzeugen und behandelt unter Bitcoin-Volatilität. Kontrahentenrisiko sind die Börse, der Kreditgeber und die Clearingstelle mit Ihrer Margin oder Ihrer Münze. Operationelles Risiko umfasst die Prozesse um eine Übertragung, den Signiervorgang eingeschlossen. Schlüsselrisiko ist der Besitz des Werts: Ist der Schlüssel weg, ist die Position weg, ohne Gegenpartei zum Einklagen und ohne Gericht, das sie zurückholt. Kettenrisiko ist das Register selbst: eine Reorganisation, eine Abspaltung, ein stehendes Netz oder der Ausfall einer Brücke.

Institute wenden ihre bestehenden Risikorahmen auf diese Kategorien an, wie 3iQ in seiner Darstellung von Dimensionierung und Steuerung der Quote schreibt. Die neuen Kategorien bekommen neue Kontrollen, der Rest nutzt wieder, was funktioniert.

Eine Schlüsselzeremonie ist die Erzeugung von Schlüsselmaterial unter kontrollierten Bedingungen, ein einmaliges Ereignis, dessen Fehlschlag dauerhaft ist. Die Kontrollen sind physisch und prozedural: ein geskripteter Ablauf, benannte Teilnehmer, durchgehendes Vier-Augen-Prinzip, eine aufgezeichnete und bezeugte Sitzung und die entstehenden Teile so verteilt, dass keine Person und kein Ort allein zum Signieren reicht.

Die Signierung ist die tägliche Fassung desselben Risikos: Ein Institut braucht eine Übertragung, die mehr als eine Person verlangt, eine Freigabeliste von Zieladressen, damit eine falsche oder ausgetauschte Adresse nicht bezahlt wird, eine Schwelle, ab der die Genehmigung eskaliert, und einen getesteten Weg für den Fall, dass ein Signierer fehlt. MPC-Wallets setzen die Technik für diese Kontrollen um, und die Technik ersetzt das Verfahren nicht: Ein Schwellenwertverfahren mit allen Teilen in der Hand eines Teams ist ein einzelner Ausfallpunkt trotz des Schwellenwertverfahrens.

Die Pleiten von 2022 haben eine Lehre hinterlassen, die heute Standard ist: Ein Börsenguthaben ist eine unbesicherte Forderung gegen diese Börse und kein Bestand. Jede Münze, die zum Handeln auf einem Platz liegt, ist Kreditexposure, und das Limitsystem muss sie so behandeln.

Vier Kontrollen begrenzen dieses Exposure: eine Obergrenze je Handelsplatz für das gehaltene Guthaben, bemessen an dem, was Sie verlieren könnten, und nicht an dem, was dem Handel bequem ist; eine Abzugsdisziplin, die Guthaben über der Grenze nach einem Plan in getrennte Verwahrung bringt, den niemand überspringen darf; die Prüfung jedes Platzes auf Zulassung, Trennungspraxis und seine Reserveangaben; und Konzentrationslimite je Wert und je Platz, dazu Obergrenzen für wenig liquide Token, bei denen Ihre eigene Position der Markt ist.

Eine abgewickelte Übertragung ist nicht immer endgültig: Eine Reorganisation ersetzt die letzten Blöcke und kann eine Transaktion zurücknehmen, die Sie als fertig behandelt haben, weshalb Verwahrer und Börsen eine Zahl von Bestätigungen abwarten, bevor sie gutschreiben. Diese Wartezeit ist ein Risikoparameter: zu niedrig gesetzt, schreiben Sie eine Zahlung gut, die verschwindet, zu hoch gesetzt, können Sie nicht rechtzeitig abwickeln.

Zwei weitere Kettenereignisse gehören in den Rahmen: Eine harte Abspaltung teilt einen Wert und erzeugt einen zweiten Bestand mit eigener Bewertungs-, Steuer- und Verwahrfrage. Ein Netzstillstand hält die Abwicklung an, während die Kurse anderswo weiterlaufen, und das ist der Fall, in dem eine Absicherung nicht nachgezogen werden kann. Beide brauchen einen schriftlichen Ablaufplan, denn beide kommen ohne Vorwarnung und werden unter Zeitdruck schlecht gehandhabt.

Für beaufsichtigte europäische Unternehmen legt der Digital Operational Resilience Act Finanzunternehmen Pflichten zum IKT-Risikomanagement auf, von der Steuerung des IKT-Risikos über Einordnung und Meldung von Vorfällen bis zu Resilienztests und der Überwachung von IKT-Drittanbietern.

Ein Verwahrer oder ein Node-Anbieter ist ein IKT-Dritter, braucht also die Vertragsklauseln, den Ausstiegsplan und die Überwachung, die DORA verlangt, und eine vor diesem Rahmen geschlossene Verwahrvereinbarung muss meist wieder aufgemacht werden. Ein Vorfall im Schlüsselmanagement ist ein meldepflichtiger IKT-Vorfall nach den Fristen von DORA in Deutschland.

Ein auf ein Krypto-Buch angewandtes Aktienstressszenario greift zu kurz: Die Historie eines großen Krypto-Werts enthält Einbrüche von siebzig bis achtzig Prozent und Einzeltage mit zweistelligen Verlusten, das Szenario muss also aus der eigenen Geschichte von Krypto kommen und nicht aus einem skalierten Aktienschock.

Drei Szenarien untersuchen neben der Kursbewegung weitere Verlustursachen: ein Liquiditätsszenario, in dem das Buch ausdünnt und Ihr Ausstieg mehrere Prozent Slippage kostet; ein Kontrahentenszenario, in dem das größte Exposure zu einem Handelsplatz auf null geht; und ein Korrelationsszenario, in dem die Krypto-Quote am selben Tag mit Aktien fällt, denn das Diversifikationsargument versagt genau dann, wenn man es braucht, ein Risiko für die Krypto-Allokation.

Die zweite Verteidigungslinie verantwortet das Limitsystem, und ein Krypto-Buch sitzt in der bestehenden Risikofunktion des Hauses, mit Limiten, die das Risikomanagement setzt und nicht der Handel. Wo ein Haus eine eigene Einheit für digitale Werte aufgebaut hat, liegt die häufige Schwäche darin, dass diese Einheit auch ihre eigenen Limite setzt.

Der Vorstand sieht vier Dinge, und ein Berichtspaket mit nur Position und Bewertung ist unvollständig. Der Bericht enthält die Ausnutzung je Limit mit benannten Überschreitungen, Kontrahentenexposure je Handelsplatz und Verwahrer, Ergebnisse der genannten Stressszenarien sowie operative Vorfälle der Periode, einschließlich gescheiterter Übertragungen und Ereignisse im Schlüsselmanagement. In Deutschland bilden die MaRisk-Erwartungen an Governance und Limitsetzung den Rahmen dieser Aufgaben im Risikomanagement in Frankfurt.