Was ist ein Krypto-Audit? Smart-Contract-Audits 2026 erklärt – Kosten, Ablauf und warum geprüfte Protokolle trotzdem gehackt werden

Was ist ein Krypto-Audit?

Ein Krypto-Audit ist eine zeitlich begrenzte, unabhängige Sicherheitsprüfung des Quellcodes von Smart Contracts oder Blockchain-Software, bei der spezialisierte Prüfer bis Oktober 2026 typischerweise ein bis mehrere Wochen nach Fehlern suchen und das Ergebnis in einem Bericht mit Schweregraden von „Informational“ bis „Critical“ festhalten.

Wenn in der Kryptoszene von einem Audit die Rede ist, meint fast jeder dasselbe: Ein Team von Sicherheitsforschern liest den Code eines Protokolls, testet ihn mit Werkzeugen und versucht, ihn zu brechen, bevor es ein Angreifer tut. Geprüft werden meist Smart Contracts, also Programme, die auf einer Blockchain wie Ethereum oder Solana laufen und dort Geld verwalten. Seltener geht es um den Code einer ganzen Blockchain, um Wallet-Software oder um Brücken zwischen Netzwerken.

Mit einer Wirtschaftsprüfung hat das wenig zu tun. Niemand zählt Geld, niemand bestätigt Bilanzen, niemand übernimmt eine Haftung. Ein Audit ist eher wie ein sehr gründliches Gutachten eines Bausachverständigen: Er schaut sich die Pläne und das Gebäude zu einem bestimmten Zeitpunkt an, schreibt auf, wo Risse sind, und gibt Empfehlungen. Ob der Bauherr die Risse danach wirklich repariert, ob später ein Anbau ohne Gutachten dazukommt und ob jemand den Haustürschlüssel verliert, steht nicht im Gutachten.

Genau diese Grenze ist 2026 der Kern des Themas. Die Branche hat gelernt, dass Code-Prüfungen nötig sind, aber nicht reichen. Deshalb erklären wir in diesem Artikel nicht nur den Ablauf, sondern vor allem, wie du als Anleger ein Audit richtig einordnest.

Was genau wird bei einem Smart-Contract-Audit geprüft?

Bei einem Smart-Contract-Audit prüfen die Auditoren nach Stand Oktober 2026 vor allem die Programmlogik, Zugriffsrechte, Rechen- und Rundungsfehler, Abhängigkeiten von Preis-Orakeln sowie wirtschaftliche Angriffsszenarien – und zwar ausschließlich für den Code-Stand, der im Auftrag festgelegt wurde.

Der wichtigste Begriff in jedem Audit-Auftrag heißt „Scope“, also Prüfumfang. Darin steht, welche Dateien in welcher Version (meist als Git-Commit-Hash) geprüft werden. Alles außerhalb dieses Rahmens bleibt unberührt. Das klingt nach Kleingedrucktem, ist aber entscheidend: Beim Balancer-Hack im November 2025 lag der verwundbare Code teils außerhalb früherer Prüfungen, dazu weiter unten mehr.

Innerhalb des Scopes schauen sich Prüfer typischerweise fünf Ebenen an. Erstens die reine Logik: Tut der Vertrag, was er laut Dokumentation tun soll? Zweitens die Zugriffsrechte: Wer darf Parameter ändern, Gelder bewegen, den Vertrag austauschen? Drittens die Arithmetik: Rundet eine Funktion in die richtige Richtung, kann eine Zahl überlaufen? Viertens externe Abhängigkeiten: Woher kommen Preise, welche anderen Verträge werden aufgerufen? Hier spielen Oracles eine große Rolle, weil manipulierte Preisquellen zu den klassischen Angriffswegen gehören. Fünftens die Ökonomie: Kann jemand mit geliehenem Kapital, etwa über einen Flash Loan, Preise kurzfristig verschieben und daraus Profit ziehen?

Was in der Regel nicht geprüft wird: die Frontend-Webseite, die Server und RPC-Knoten, über die Daten in die Blockchain fließen, die Geräte der Entwickler, die Verwahrung der Admin-Schlüssel und die Frage, ob die Unterzeichner einer Multisig-Wallet auf eine Täuschung hereinfallen. Viele große Schadensfälle der letzten zwei Jahre passierten genau in diesen Lücken.

Was ist der Unterschied zwischen Code-Audit, Proof of Reserves und Finanzprüfung?

Ein Code-Audit prüft, ob ein Programm sicher funktioniert, ein Proof of Reserves zeigt, ob eine Börse zu einem Stichtag genug Kundengelder hält, und eine Finanzprüfung testiert die Bilanz eines Unternehmens – drei völlig verschiedene Dinge, die im Krypto-Marketing 2026 noch immer gern vermischt werden.

Wenn eine zentrale Börse mit einem „Audit“ wirbt, ist fast nie ein Smart-Contract-Audit gemeint. Häufig handelt es sich um einen Proof of Reserves: Die Börse belegt mithilfe eines Merkle-Baums und Wallet-Adressen, dass sie zu einem bestimmten Zeitpunkt mindestens so viele Coins hält, wie ihre Kunden in Summe besitzen. Was ein solcher Nachweis leistet und wo seine Schwächen liegen, haben wir im Artikel CeFi, Proof of Reserves und der Kollaps 2022 ausführlich erklärt. Kurz gesagt: Er zeigt die Aktivseite, aber selten vollständig die Verbindlichkeiten.

Ein Code-Audit sagt umgekehrt nichts darüber aus, ob eine Börse solvent ist. Und eine klassische Jahresabschlussprüfung durch eine Wirtschaftsprüfungsgesellschaft sagt nichts darüber, ob die Hot Wallets gut gesichert sind. Wie schnell das relevant werden kann, hat der Bitget-Hack mit 351,6 Millionen Dollar aus Hot Wallets im September 2026 gezeigt. Wer wissen will, was mit Kundengeldern im Ernstfall passiert, findet die rechtliche Seite in unserem Ratgeber Was passiert mit meinen Coins, wenn die Börse pleitegeht. Was nach einem Börsen-Hack mit Erstattung und Haftung passiert, zeigt unsere Analyse zum BigONE-Hack.

Eigene Einordnung von KryptoZukunft.com, Stand 13. Oktober 2026.

Wie läuft ein Smart-Contract-Audit 2026 ab?

Ein Smart-Contract-Audit läuft 2026 typischerweise in sechs Schritten ab: Scope festlegen, Code einfrieren, automatisierte Analyse und Fuzzing, manuelle Prüfung Zeile für Zeile, Bericht mit Schweregraden und eine Nachprüfung der Korrekturen („Fix Review“) vor dem Deployment.

1. Vorbereitung und Scope. Das Projektteam liefert Dokumentation, Architekturskizzen, Tests und den Code. Gute Teams beschreiben dabei ihre Invarianten, also Regeln, die immer gelten müssen, etwa „die Summe aller Guthaben ist nie größer als die Reserven im Vertrag“. Trail of Bits hat nach dem Balancer-Vorfall genau das betont: Jede Invariante rund um Rundung und Präzision sollte dokumentiert und begründet sein Trail of Bits, 07.11.2025.

2. Code-Freeze. Der zu prüfende Stand wird per Commit-Hash eingefroren. Ändert das Team während des Audits weiter, wird es teuer und unübersichtlich.

3. Automatisierte Analyse. Statische Analysewerkzeuge wie Slither, das nach eigenen Angaben rund 100 Detektoren für Solidity und Vyper mitbringt, finden typische Muster in Minuten Slither auf GitHub, abgerufen 13.10.2026. Dazu kommen Fuzzer, die Millionen zufälliger Eingaben durchspielen, und bei kritischen Komponenten formale Verifikation.

4. Manuelle Prüfung. Hier entsteht der eigentliche Wert. Erfahrene Prüfer lesen den Code, stellen Angriffshypothesen auf und schreiben kleine Exploit-Tests. Werkzeuge finden Muster, Menschen finden Denkfehler im Design.

5. Bericht. Jeder Fund bekommt eine Einstufung, meist Critical, High, Medium, Low und Informational, plus Beschreibung und Empfehlung.

6. Fix Review. Das Team behebt die Funde, die Prüfer kontrollieren die Korrekturen. Erst danach sollte der Code live gehen. Ein Report ohne Fix Review ist nur die halbe Geschichte.

Aus der Praxis: In vielen Projektdokumentationen steht „audited by …“, aber beim Klick auf den Bericht stellst du fest, dass die Prüfung einen älteren Code-Stand betraf oder dass mehrere „High“-Funde als „acknowledged“ markiert sind, also bekannt, aber bewusst nicht behoben. Darauf gehen wir beim Report-Check genauer ein.

Welche Tools nutzen Auditoren 2026 – und welche sind veraltet?

Auditoren nutzen 2026 vor allem statische Analyse wie Slither, Fuzzing-Frameworks wie Echidna oder Foundry-Invariant-Tests, formale Verifikation für Kernlogik und zunehmend KI-Agenten zur Vorprüfung, während ältere Werkzeuge wie MythX, Oyente und Securify keine praktische Rolle mehr spielen.

Der Werkzeugkasten hat sich in den letzten zwei Jahren spürbar verschoben. Statische Analyse bleibt die Basis, weil sie billig und schnell ist. Ihr Nachteil: viele Fehlalarme und keine echte Vorstellung davon, was der Code wirtschaftlich bewirken soll. Fuzzing ist dagegen zum Pflichtprogramm geworden, gerade für Rundungsfehler. Trail of Bits schreibt nach dem Balancer-Hack sinngemäß, Fuzzing sei aus ihrer Erfahrung die effektivste Technik für diese Art von Invariantentests – mit der Einschränkung, dass ein Fuzzing-Setup gepflegt werden muss, sonst übersieht es spätere Code-Änderungen Trail of Bits, 07.11.2025.

Formale Verifikation beweist mathematisch, dass bestimmte Eigenschaften immer gelten. Das ist teuer und deckt nur ab, was man vorher als Eigenschaft formuliert hat. Und dann gibt es KI: Sprachmodelle und Agenten lesen Code, schlagen Angriffe vor und schreiben Tests. Wie gut sie inzwischen sind, zeigen zwei Benchmarks, die wir weiter unten auswerten. Unsere Einschätzung: KI senkt die Kosten für die erste Sichtung deutlich, ersetzt aber 2026 noch keinen erfahrenen Prüfer, der das Geschäftsmodell eines Protokolls versteht.

Was kostet ein Krypto-Audit 2026?

Ein Smart-Contract-Audit kostet nach Angaben der Audit-Plattform Sherlock (September 2026) ab etwa 8.000 US-Dollar für einen einfachen Token, meist 15.000 bis 40.000 US-Dollar für eine Standardprüfung vor dem Launch, ab rund 60.000 US-Dollar für mittelgroße DeFi-Protokolle und 300.000 US-Dollar oder mehr für große, verflochtene Systeme.

Diese Spannen stammen aus einer Kostenübersicht von Sherlock Sherlock, 22.09.2026. Umgerechnet zum EZB-Referenzkurs vom 12. Oktober 2026 (1,1181 US-Dollar je Euro) EZB, 12.10.2026 sind das grob 7.200 Euro für den einfachsten Fall, 13.400 bis 35.800 Euro für den Standard und rund 268.000 Euro für die großen Brocken.

Was treibt den Preis? Vor allem die Menge an Code (gemessen in nSLOC, also Codezeilen ohne Kommentare und Leerzeilen), die Komplexität, die Zahl externer Abhängigkeiten und der Ruf der Prüffirma. Top-Firmen sind oft Monate im Voraus ausgebucht, was den Preis zusätzlich treibt. Dazu kommen Nachprüfungen, wenn der Code sich ändert, und gegebenenfalls ein öffentlicher Audit-Wettbewerb mit Preisgeld.

Nach Berechnung von KryptoZukunft.com liegt der mittlere Schaden pro Sicherheitsvorfall im ersten Halbjahr 2026 bei 138.703 US-Dollar (Median laut CertiK), also etwa 124.000 Euro. Ein Standard-Audit kostet damit nur rund ein Zehntel bis ein Viertel dessen, was ein typischer Vorfall vernichtet. Der Durchschnittsschaden lag mit 3,82 Millionen US-Dollar sogar beim Hundertfachen CertiK Hack3d H1 2026, 06.07.2026. Gespart wird trotzdem, vor allem bei kleinen Projekten und Meme-Token, die schnell auf den Markt wollen.

Spiel ruhig mit den Werten. Du wirst sehen, dass ein komplexes DeFi-Protokoll mit 6.000 Zeilen und zwei unabhängigen Audits schnell im sechsstelligen Bereich landet. Genau deshalb fragen sich Anleger zu Recht, ob ein Projekt mit Millionen-Marketingbudget, aber einem einzigen kleinen Audit für 5.000 Dollar, die richtigen Prioritäten setzt.

Wie lange dauert ein Krypto-Audit?

Ein einfacher Token lässt sich laut Sherlock in unter einer Woche prüfen, eine Standardprüfung vor dem Launch dauert meist ein bis drei Wochen, große DeFi-Systeme mit mehreren unabhängigen Audits und Nachprüfungen brauchen nicht selten zwei bis drei Monate.

Die reine Prüfzeit ist dabei oft nicht der Engpass. Viel Zeit geht für das Warten auf einen freien Slot, für Rückfragen und für die Korrekturrunde drauf. Seriöse Teams planen das ein und starten nicht am Tag nach dem Fix Review mit hohem Marketingdruck. Wenn du siehst, dass ein Protokoll zwei Tage nach Abschluss des Audits mit Millionenbeträgen live geht und in der Zwischenzeit noch neue Funktionen eingebaut wurden, ist das ein Warnsignal.

Schützt ein Audit vor Hacks?

Nein, ein Audit senkt das Risiko von Programmierfehlern, schützt aber nicht vor den Angriffen, die 2026 am meisten Geld kosten: Laut CertiK entfielen im ersten Halbjahr 2026 nur 151,6 Millionen von 1,32 Milliarden US-Dollar Schaden (11,5 Prozent) auf Code-Schwachstellen, während kompromittierte Wallets und Phishing zusammen über 810 Millionen US-Dollar ausmachten.

Diese Zahl ist für das Verständnis von Audits zentral. CertiK zählte im ersten Halbjahr 2026 insgesamt 344 Vorfälle mit 1,315 Milliarden US-Dollar Schaden. 204 dieser Vorfälle beruhten auf Code-Schwachstellen – das ist die häufigste Kategorie. Aber zusammen brachten sie „nur“ 151,6 Millionen US-Dollar. Kompromittierte Wallets verursachten 444,5 Millionen US-Dollar in nur 33 Fällen, Phishing 366,3 Millionen in 63 Fällen CertiK Hack3d H1 2026, 06.07.2026.

Unsere Rechnung: Ein Code-Vorfall kostete im Schnitt rund 0,74 Millionen US-Dollar, ein Wallet-Kompromiss dagegen 13,5 Millionen, also gut das Achtzehnfache. Code-Bugs sind die Taschendiebe der Branche, Schlüsselklau und Social Engineering die Bankräuber. Audits bekämpfen vor allem die Taschendiebe.

CertiK-Chef Ronghui Gu hat das im Juli 2026 gegenüber Forbes ungewöhnlich offen formuliert: Ein Protokoll könne ein makelloses Code-Audit bestehen und trotzdem Millionen verlieren, weil ein Admin-Schlüssel kompromittiert wurde. Außerdem werde ein Projekt oft einmal vor dem Start geprüft und den Code danach nie wieder angeschaut Forbes, 17.07.2026. Dass ausgerechnet der Chef einer der größten Audit-Firmen das sagt, sollte man ernst nehmen.

Warum wurden Kelp DAO und Drift trotz Prüfungen ausgeraubt?

Kelp DAO verlor am 18. April 2026 rund 290 Millionen US-Dollar und Drift am 1. April 2026 rund 285 Millionen US-Dollar, ohne dass in einem der beiden Fälle ein Fehler im Smart-Contract-Code die Ursache war – bei Kelp war es eine Brücken-Konfiguration mit nur einem Prüfer und manipulierte RPC-Knoten, bei Drift die Täuschung von Multisig-Unterzeichnern.

Kelp DAO: Das Restaking-Protokoll nutzte für seine Brücke eine sogenannte 1-of-1-DVN-Konfiguration, also nur einen einzigen Verifizierer für Nachrichten zwischen den Chains. Laut Galaxy Research wurden zwei RPC-Knoten, über die dieser Verifizierer Daten bezog, so manipuliert, dass sie falsche Daten lieferten; die übrigen Knoten wurden per DDoS lahmgelegt. Ergebnis: 116.500 rsETH wurden aus dem Treuhandvertrag auf Ethereum freigegeben. Der Schaden schwappte in den Kreditmarkt über; bei Aave froren die Märkte ein, und über zwei Tage verließen rund 8,45 Milliarden US-Dollar das Protokoll Galaxy Research, 22.04.2026. Die Folgen für Aave-Nutzer beschreiben wir im Artikel Aave, V4 und der Kelp-Vorfall.

Drift: Bei der Solana-Börse für Derivate brachten Angreifer laut TRM Labs die Unterzeichner des Security Council dazu, Transaktionen vorab zu signieren, in denen Admin-Rechte versteckt waren. Über spezielle Solana-Konten („durable nonces“) blieben diese Signaturen gültig. Kurz zuvor war das Gremium auf eine Konfiguration ohne Zeitverzögerung (Timelock) umgestellt worden. Ein selbst geschaffener Token wurde als Sicherheit akzeptiert, und in rund zwölf Minuten flossen etwa 285 Millionen US-Dollar ab. TRM schreibt ausdrücklich, die kritische Schwachstelle sei kein Smart-Contract-Bug gewesen TRM Labs, 02.04.2026.

Nach Berechnung von KryptoZukunft.com machen diese beiden Fälle zusammen 43,8 Prozent des gesamten Halbjahresschadens aus. Ein klassisches Code-Audit hätte beide nicht verhindert. Was geholfen hätte, sind Dinge, die in keinem Audit-Siegel stehen: mehrere unabhängige Verifizierer, Timelocks auf Admin-Funktionen, sauber getrennte Signiergeräte und Prozesse, bei denen niemand blind unterschreibt.

Wie konnte Balancer v2 trotz vier Audits über 120 Millionen Dollar verlieren?

Balancer v2 verlor am 3. November 2025 über 120 Millionen US-Dollar durch einen Rundungsfehler in der Funktion „_upscale“, obwohl vier unabhängige Audit-Firmen den Code geprüft hatten – der verwundbare Code war laut OpenZeppelin erst nach deren Prüfungen hinzugekommen und lag außerhalb ihres Prüfumfangs.

Der Balancer-Fall ist das Lehrbuchbeispiel für die Grenzen von Audits, und er ist anders gelagert als Kelp und Drift: Hier war es tatsächlich ein Code-Fehler. Die Funktion rundete immer ab, obwohl die Skalierungsfaktoren inzwischen auch Wechselkurse von Token enthielten, wofür sie nicht gebaut war. Die Angreifer brachten Pools über Batch-Swaps in Zustände mit wenig Liquidität, in denen winzige Rundungsfehler groß genug wurden, um Gelder abzuziehen OpenZeppelin, 07.11.2025.

Trail of Bits legte offen, dass es das Rundungsverhalten bei Linear Pools schon 2021 erwähnt hatte, allerdings mit „undetermined severity“, also unklarer Schwere. Eine spätere Prüfung der Composable Stable Pools hatte die zugehörige Mathematik-Bibliothek nicht im Scope Trail of Bits, 07.11.2025. Unsere Einschätzung: Das ist kein Versagen einzelner Prüfer, sondern ein Systemproblem. Code wächst, Audits sind Momentaufnahmen, und ein Fund mit unklarer Schwere landet in der Praxis ganz unten auf der To-do-Liste.

Ähnlich lehrreich ist der Fall Cetus auf der Sui-Blockchain: Am 22. Mai 2025 verloren Nutzer 223 Millionen US-Dollar, weil eine Überlaufprüfung fehlerhaft war; Validatoren froren am selben Tag 163 Millionen ein Cointelegraph, 25.05.2025. Und dass selbst eine seit 2015 laufende Blockchain nicht frei von solchen Fehlern ist, zeigt der Fall, den wir in Elf Jahre alter Fehler im XRP Ledger beschrieben haben – dazu gleich mehr.

Was zeigen die Hack-Zahlen 2025 und 2026 über die Grenzen von Audits?

Die Hack-Zahlen zeigen, dass sich das Risiko seit 2025 von fehlerhaftem Code hin zu Schlüsseln, Infrastruktur und Menschen verlagert hat: Chainalysis zählte für 2025 über 3,4 Milliarden US-Dollar gestohlene Kryptowerte, davon rund 1,5 Milliarden allein beim Bybit-Angriff, und im ersten Halbjahr 2026 lagen die Verluste ohne den Bybit-Effekt rund 28 Prozent über dem Vorjahr.

Für 2025 meldete Chainalysis gestohlene Kryptowerte von über 3,4 Milliarden US-Dollar (Januar bis Anfang Dezember). Mindestens 2,02 Milliarden davon gingen auf das Konto nordkoreanischer Gruppen, also rund 59 Prozent. Der Bybit-Angriff im Februar 2025 allein brachte etwa 1,5 Milliarden Chainalysis, 18.12.2025. Der Bybit-Fall war ebenfalls kein Smart-Contract-Bug im klassischen Sinn, sondern eine Kompromittierung der Signatur-Infrastruktur.

Im ersten Halbjahr 2026 sanken die gemeldeten Verluste laut CertiK zwar um 46,8 Prozent auf 1,315 Milliarden US-Dollar. Rechnet man den Bybit-Ausreißer aus dem Vorjahr heraus, stehen 2026 aber etwa 28 Prozent mehr Schaden zu Buche als im vergleichbaren Zeitraum 2025 CertiK Hack3d H1 2026, 06.07.2026. Nach Berechnung von KryptoZukunft.com sind es exakt 28,5 Prozent mehr: 1.315,7 Millionen gegenüber 1.023,6 Millionen US-Dollar.

Quelle der Rohdaten: CertiK Hack3d H1 2026 (06.07.2026). Schaden je Vorfall und Anteile: eigene Berechnung von KryptoZukunft.com. Die übrigen rund 27 Prozent verteilen sich auf weitere Kategorien.

Was heißt das für dich? Wenn du nur darauf achtest, ob ein Protokoll „auditiert“ ist, prüfst du den Teil des Risikos, der im Schnitt am wenigsten Geld kostet. Die großen Verluste entstehen dort, wo Menschen Schlüssel halten, Infrastruktur betreiben und Entscheidungen treffen. Für dich als Privatanleger kommt eine dritte Ebene dazu: deine eigene Wallet. Wie Lieferkettenangriffe auf Hardware aussehen, zeigt der Fall manipulierte Ledger-Geräte über den Händler CryptoBilis, und dass auch Firmware Fehler haben kann, der Coldcard-Firmware-Fehler.

Was lernt man aus dem elf Jahre alten Fehler im XRP Ledger?

Der im September 2026 gemeldete Überlauf-Fehler im XRP Ledger, der laut Crypto Briefing vermutlich seit etwa 2015 im Zahlungssystem steckte und theoretisch XRP über die 100-Milliarden-Grenze hinaus hätte erzeugen können, zeigt, dass selbst jahrelang laufender und vielfach geprüfter Code kritische Fehler enthalten kann.

Die Chronologie: Gemeldet wurde der Fehler am 22. September 2026 über das Bug-Bounty-Programm, am 25. September erschien die Notfallversion xrpld 3.4.1, öffentlich gemacht wurde er am 9. Oktober. Es handelte sich um einen Ganzzahl-Überlauf beim Addieren von XRP-Beträgen über mehrere Angebote im Orderbuch. Hinweise auf eine Ausnutzung im öffentlichen Netz gab es nicht Crypto Briefing, 10.10.2026.

Zwei Lehren daraus. Erstens: „Lindy“, also die Idee, dass lange laufender Code sicher sein muss, ist ein schwaches Argument. Zweitens: Bug-Bounty-Programme funktionieren. Ein einzelner Forscher hat gefunden, was Jahre an Betrieb und Prüfung übersehen hatten. Das bringt uns zum nächsten Baustein.

Wie liest man einen Audit-Report richtig?

Einen Audit-Report liest du richtig, indem du zuerst Datum, geprüften Commit und Scope mit dem live laufenden Code abgleichst, dann prüfst, ob alle Funde der Stufen „Critical“ und „High“ behoben und nachgeprüft wurden, und erst danach auf die Zusammenfassung schaust – denn das Audit-Logo allein beweist gar nichts.

Die meisten Anleger lesen nur das Deckblatt. Das ist verständlich, denn ein Report hat schnell 40 Seiten Fachsprache. Du musst aber kein Entwickler sein, um die wichtigsten Punkte zu prüfen. Geh in dieser Reihenfolge vor:

Ist der Report echt? Lade ihn von der Webseite der Prüffirma herunter, nicht nur aus dem Projekt-Discord. Gefälschte Audit-Berichte und kopierte Logos gehören zu den bekannten Maschen, die wir im Ratgeber Krypto-Betrug erkennen: Rug Pulls, Wallet-Drainer und Phishing beschreiben.

Passt der Code? Im Report steht der geprüfte Commit-Hash. Bei Open-Source-Projekten kannst du auf GitHub nachsehen, ob seitdem größere Änderungen dazugekommen sind. Viele Block-Explorer zeigen zudem, ob der Vertrag verifiziert ist und wann er zuletzt aktualisiert wurde.

Was ist mit den Funden passiert? „Fixed“ und „Resolved“ sind gut. „Acknowledged“ heißt: Das Team kennt das Problem, behebt es aber nicht. Bei Low-Funden ist das oft vertretbar, bei High-Funden solltest du die Begründung lesen.

Wer kontrolliert die Admin-Rechte? Viele Reports enthalten einen Abschnitt zu „Centralization Risks“. Dort steht, ob ein einzelner Schlüssel den Vertrag austauschen, Gelder einfrieren oder Gebühren ändern kann. Genau diese Rechte wurden bei Drift zum Einfallstor.

Welche Warnsignale gibt es in Audit-Berichten?

Die wichtigsten Warnsignale in Audit-Berichten sind ein veralteter Code-Stand, offene High- oder Critical-Funde mit dem Status „Acknowledged“, ein auffällig kleiner Scope, fehlende Nachprüfung der Korrekturen und weitreichende Admin-Rechte ohne Timelock.

Ein weiteres Signal ist die Sprache. Wenn ein Projekt schreibt „fully audited, 100 % safe“, verspricht es etwas, das kein seriöser Prüfer unterschreiben würde. Jeder ernsthafte Report enthält einen Haftungsausschluss, der genau das Gegenteil sagt: Das Audit garantiert keine Fehlerfreiheit. Ebenfalls skeptisch machen sollte dich ein Report, der fast keine Funde enthält. Das kann ein Zeichen für exzellenten Code sein – oder dafür, dass sehr wenig Zeit in die Prüfung geflossen ist. Die Zahl der Prüfertage steht oft im Report; bei einem großen Protokoll sind drei Tage zu wenig.

Aus der Praxis: Ein Muster, das wir häufig sehen, ist ein ordentliches Audit des Kernprotokolls, während später nachgereichte Erweiterungen wie neue Pools, Brücken oder Belohnungsverträge nie geprüft wurden. Prüf deshalb, ob die Verträge, in die dein Geld konkret fließt, im Scope standen. Bei DeFi-Plattformen wie Uniswap mit vielen Versionen und Erweiterungen ist das nicht trivial. Wie viel Schaden genau solche ungeprüften Bauteile anrichten, zeigt unsere Auswertung der Krypto-Hacks im dritten Quartal 2026.

Was sind Audit-Wettbewerbe und Bug-Bounties?

Audit-Wettbewerbe sind zeitlich begrenzte öffentliche Prüfungen, bei denen viele unabhängige Sicherheitsforscher um einen Preispool konkurrieren, während Bug-Bounties dauerhafte Belohnungsprogramme für gemeldete Schwachstellen sind; die Plattform Immunefi hat nach eigenen Angaben bis Oktober 2026 über 140 Millionen US-Dollar an Prämien für mehr als 650 Protokolle ausgezahlt.

Klassische Audits haben einen Engpass: Es prüfen zwei oder drei Personen. Wettbewerbsplattformen wie Code4rena, Sherlock oder Cantina drehen das Prinzip um. Das Projekt stellt einen Preispool bereit, und Dutzende bis Hunderte Forscher suchen parallel. Bezahlt wird nach Schwere der bestätigten Funde. Das bringt mehr Perspektiven, allerdings auch mehr Rauschen, und die Qualität schwankt.

Bug-Bounties setzen nach dem Launch an. Immunefi gibt an, über 85.000 Sicherheitsforscher in seiner Community zu haben und über 140 Millionen US-Dollar ausgezahlt zu haben Immunefi, abgerufen 13.10.2026. Unsere Einschätzung: Ein Protokoll, das Hunderte Millionen verwaltet und nur eine Bounty von 10.000 Dollar anbietet, setzt falsche Anreize. Für einen Angreifer ist die Rechnung dann einfach.

Was ist der SEAL Safe Harbor?

Der SEAL Whitehat Safe Harbor der Security Alliance ist eine Vereinbarung, mit der ein Protokoll ethische Hacker vorab autorisiert, bei einem laufenden Angriff Gelder zu retten, die sie dann innerhalb von 72 Stunden an vorher festgelegte Adressen zurückgeben müssen, im Gegenzug für eine vorab definierte Prämie und rechtlichen Schutz.

Das Problem, das Safe Harbor löst: Wenn ein Whitehat während eines Angriffs selbst Gelder aus einem verwundbaren Vertrag zieht, um sie in Sicherheit zu bringen, sieht das technisch genauso aus wie ein Diebstahl. Ohne vorherige Erlaubnis riskiert er rechtliche Probleme. Die Security Alliance empfiehlt, die Safe-Harbor-Prämie maximal so hoch wie die bestehende Bug-Bounty anzusetzen, und betont, dass das Modell kein Ersatz für Bounties ist Security Alliance, abgerufen 13.10.2026. Für dich als Nutzer ist die Teilnahme an Safe Harbor ein kleines, aber positives Signal, dass ein Team über den Ernstfall nachgedacht hat.

Kann KI Smart Contracts prüfen – oder hacken?

KI kann 2026 beides: In Anthropics Benchmark SCONE-bench vom 1. Dezember 2025 fanden KI-Agenten zwei bislang unbekannte Schwachstellen bei durchschnittlichen Kosten von 1.738 US-Dollar je gefundenem verwundbaren Vertrag, und im EVMbench von Paradigm und OpenAI vom 18. Februar 2026 nutzte das beste Modell über 70 Prozent kritischer Code4rena-Fehler aus.

Anthropic hat für SCONE-bench 405 real ausgenutzte Smart Contracts aus den Jahren 2020 bis 2025 gesammelt und zusätzlich 2.849 neu veröffentlichte Verträge untersucht. Auf Verträgen nach dem Wissensstichtag der Modelle erzeugten die Agenten simulierte Beute von rund 4,6 Millionen US-Dollar. Ein einzelner Agentenlauf kostete im Schnitt 1,22 US-Dollar. Besonders bemerkenswert: Die simulierten Exploit-Erlöse verdoppelten sich laut Anthropic etwa alle 1,3 Monate Anthropic, 01.12.2025.

Paradigm und OpenAI haben mit EVMbench ein offenes Testverfahren vorgestellt, das Erkennen, Reparieren und Ausnutzen von Schwachstellen misst. Das damals beste Modell nutzte über 70 Prozent der kritischen Code4rena-Fehler aus; frühere Spitzenmodelle lagen unter 20 Prozent Paradigm, 18.02.2026.

Unsere Rechnung, mit großer Vorsicht zu lesen: Würde sich die Verdopplung alle 1,3 Monate ein Jahr lang fortsetzen, ergäbe das einen Faktor von rund 600. Solche Trends halten selten so lange an, und Benchmarks sind keine echte Welt. Die Richtung ist trotzdem klar. Wenn ein Angreifer für den Preis eines Abendessens Tausende Verträge automatisch abklopfen kann, wird ungeprüfter oder schlecht gepflegter Code noch schneller gefunden. Gleichzeitig profitieren Verteidiger: Ein Team kann jeden neuen Commit für ein paar Dollar automatisch vorprüfen lassen, statt ein Jahr bis zum nächsten Audit zu warten. Was KI und Krypto sonst verbindet, haben wir im Artikel KI und Krypto 2026 zusammengefasst.

Ein neues Risiko kommt hinzu: KI-Agenten mit Zugriff auf eine Wallet. CertiK-Chef Gu nannte einen solchen Agenten gegenüber Forbes „im Grunde eine neue Art privilegierter Schlüsselinhaber“; ein Trading-Bot verlor im Juni 2026 rund 7,5 Millionen US-Dollar, weil Angreifer ihn mit gefälschten Arbitrage-Pools köderten Forbes, 17.07.2026. Wer sich für automatisierte Strategien interessiert, findet die Mechanik im Artikel Was ist Krypto-Arbitrage.

Gibt es in der EU eine Pflicht zum Smart-Contract-Audit?

Eine allgemeine Pflicht zum Smart-Contract-Audit gibt es in der EU auch im Oktober 2026 nicht, aber drei Regelwerke greifen indirekt: MiCA für Krypto-Dienstleister, DORA mit Vorgaben zur IT-Sicherheit seit dem 17. Januar 2025 und der EU Data Act, der seit dem 12. September 2025 Sicherheitsanforderungen an bestimmte Smart Contracts stellt.

MiCA: Die MiCA-Verordnung regelt vor allem Emittenten und Dienstleister wie Börsen und Verwahrer. Ein dezentrales Protokoll ohne zentrale Betreiberfirma fällt grundsätzlich nicht darunter, und eine Code-Audit-Pflicht steht nicht im Text.

DORA: Der Digital Operational Resilience Act gilt laut BaFin seit dem 17. Januar 2025 und umfasst ausdrücklich nach MiCAR zugelassene Krypto-Dienstleister BaFin, abgerufen 13.10.2026. Damit müssen Börsen ein IKT-Risikomanagement mit Tests nachweisen. Das ist kein Smart-Contract-Audit, betrifft aber genau die Schlüssel- und Infrastruktur-Risiken, an denen 2026 die großen Summen hingen.

EU Data Act: Er gilt seit dem 12. September 2025 EU-Kommission, abgerufen 13.10.2026. Artikel 36 verlangt von Anbietern von Smart Contracts, die Datenteilungsvereinbarungen ausführen, Robustheit gegen Fehler und Manipulation, Mechanismen zum sicheren Beenden und Unterbrechen, Datenarchivierung und strikte Zugriffskontrolle. Anbieter müssen eine Konformitätsbewertung durchführen und eine EU-Konformitätserklärung ausstellen; in Deutschland ist die Bundesnetzagentur zuständig Bundesnetzagentur, abgerufen 13.10.2026. Für typische DeFi-Protokolle gilt das in der Regel nicht, weil sie keine Datenteilungsverträge im Sinne des Gesetzes ausführen. Die Debatte um den „Kill Switch“ haben wir in unserem bereits verlinkten Smart-Contract-Ratgeber aufgegriffen.

Unsere Einschätzung: Regulierung wird Audits nicht zur Pflicht machen, wohl aber die Erwartungen an Börsen erhöhen, die DeFi-Produkte anbieten oder eigene Token ausgeben. Für dich als Anleger heißt das: Bei regulierten Anbietern greifen Aufsicht und Haftungsregeln, bei DeFi trägst du das Risiko weitgehend selbst.

Wie viel Rendite muss DeFi bringen, damit sich das Hack-Risiko lohnt?

Nach Berechnung von KryptoZukunft.com bleiben von 6 Prozent Rendite auf 10.000 Euro nur noch 4 Prozent übrig, wenn du eine jährliche Totalverlust-Wahrscheinlichkeit von 2 Prozent ansetzt – und bei drei übereinander gestapelten Protokollen mit je 2 Prozent Risiko steigt die Ausfallwahrscheinlichkeit bereits auf 5,9 Prozent.

Renditen in DeFi werden fast immer brutto angezeigt, also ohne das Risiko, dass das Protokoll gehackt wird. Das ist ungefähr so, als würde eine Bank Zinsen bewerben, ohne zu sagen, dass die Einlagensicherung fehlt. Eine einfache Faustformel hilft: Erwarteter Verlust gleich Einsatz mal Ausfallwahrscheinlichkeit mal Verlustquote. Die Ausfallwahrscheinlichkeit kennt niemand genau, aber du kannst Szenarien durchspielen.

Besonders tückisch ist das Stapeln. Wer Liquid-Staking-Token in einen Kreditmarkt legt und die geliehenen Stablecoins in einen dritten Pool schiebt, ist von allen drei Protokollen abhängig. Kelp DAO war genau so ein Fall: Wer rsETH als Sicherheit bei Aave hinterlegt hatte, hatte plötzlich ein Problem, obwohl Aave selbst nicht gehackt wurde.

Ein Rechenbeispiel aus dem Alltag: Du legst 10.000 Euro für 6 Prozent in einen Stablecoin-Pool. Ohne Risiko wären das 600 Euro im Jahr. Setzt du 2 Prozent Ausfallwahrscheinlichkeit an, beträgt der erwartete Verlust 200 Euro, risikobereinigt bleiben 400 Euro oder 4 Prozent. Das ist kaum mehr, als ein Tagesgeldkonto mit Einlagensicherung zeitweise gebracht hat. Bei drei gestapelten Protokollen liegt das Gesamtrisiko bei 5,9 Prozent, der erwartete Verlust bei 588 Euro – die Rendite ist praktisch weg. Die 2 Prozent sind eine Annahme, keine Statistik. Sie sollen nur zeigen, wie empfindlich das Ergebnis reagiert.

Was sollten Privatanleger prüfen, bevor sie Geld in ein Protokoll legen?

Privatanleger sollten vor jeder DeFi-Einzahlung mindestens fünf Dinge prüfen: Alter und Historie des Protokolls, Anzahl und Aktualität der Audits, Höhe der Bug-Bounty, Kontrolle über Admin-Schlüssel samt Timelock und die Abhängigkeit von Brücken, Orakeln oder anderen Protokollen – und nie mehr einzahlen, als sie im schlimmsten Fall verlieren können.

Fang bei der Zeit an. Ein Protokoll, das seit Jahren mit hohen Einlagen läuft, ist nicht sicher, aber es hat einen echten Stresstest hinter sich. Ein Pool, der letzte Woche live ging und 80 Prozent Rendite verspricht, hat das nicht. Dann die Audits: Wie viele, von wem, wie alt, und passen sie zum Code, in den du einzahlst? Danach die Bounty und die Governance. Prüf außerdem, ob ein Governance-Token so konzentriert ist, dass wenige Wallets über Upgrades entscheiden können.

Der letzte Punkt sind Abhängigkeiten. Brücken waren über Jahre die verwundbarste Stelle im Ökosystem, und 2026 ist da keine Ausnahme, wie der Fall Cronos und der Tectonic-Exploit zeigt. Auch Layer-2-Netzwerke bringen eigene Annahmen mit, etwa zu Sequencern und Upgrade-Rechten; die Grundlagen findest du unter Ethereum Layer 2.

Und dann bleibt deine eigene Sicherheit. Das beste Audit hilft nicht, wenn du eine gefälschte Webseite bestätigst oder deine Seed Phrase in ein Formular tippst. Unser Leitfaden Krypto-Sicherheit 2026 geht das Schritt für Schritt durch, und im Wallet-Vergleich 2026 findest du die passende Verwahrung.

Welche Audit-Firmen gibt es – und woran erkennt man eine gute?

Bekannte Audit-Anbieter sind 2026 unter anderem Trail of Bits, OpenZeppelin, ConsenSys Diligence, CertiK, Spearbit, Quantstamp und Hacken sowie die Wettbewerbsplattformen Code4rena, Sherlock und Cantina; eine gute Prüffirma erkennst du an öffentlichen, detaillierten Reports, nachvollziehbaren Post-Mortems und daran, dass sie ihre Grenzen offen benennt.

Wir geben bewusst keine Rangliste ab. Jede bekannte Firma hat Protokolle geprüft, die später gehackt wurden, und jede hat Katastrophen verhindert, von denen nie jemand erfahren hat. Hilfreicher sind Qualitätsmerkmale. Gute Firmen veröffentlichen ihre Reports vollständig, nennen Prüfertage und Scope, schreiben nach Vorfällen offene Analysen, auch wenn sie selbst betroffen sind, wie Trail of Bits und OpenZeppelin nach Balancer. Vorsicht bei Anbietern, die sehr viele Audits in sehr kurzer Zeit zu sehr niedrigen Preisen abwickeln und deren Siegel vor allem als Marketing-Badge dienen.

Für dich als Anleger ist der Name der Firma ein Puzzleteil, mehr nicht. Ein Report von einer kleinen, spezialisierten Firma mit 20 Prüfertagen kann mehr wert sein als ein Drei-Tage-Check eines großen Namens.

Quiz: Hast du Krypto-Audits verstanden?

Häufige Fragen zum Krypto-Audit

Weiterlesen

Quellen

• CertiK: Hack3d H1 2026 Report (06.07.2026)
• Forbes: Fewer but far more surgical crypto hacks hit $1.3 billion in 2026 (17.07.2026)
• Chainalysis: Crypto hacking and stolen funds (18.12.2025)
• Galaxy Research: KelpDAO/LayerZero exploit (22.04.2026)
• TRM Labs: Drift Protocol heist (02.04.2026)
• OpenZeppelin: Understanding the Balancer v2 exploit (07.11.2025)
• Trail of Bits: Balancer hack analysis (07.11.2025)
• Cointelegraph: Cetus hack post-mortem (25.05.2025)
• Crypto Briefing: XRP Ledger overflow bug (10.10.2026)
• Sherlock: Smart contract audit cost (22.09.2026)
• Anthropic: AI agents and smart contract exploits (SCONE-bench) (01.12.2025)
• Paradigm: EVMbench (18.02.2026)
• Immunefi (abgerufen 13.10.2026)
• Security Alliance: SEAL Whitehat Safe Harbor (abgerufen 13.10.2026)
• Slither (GitHub) (abgerufen 13.10.2026)
• MythX Sunset (abgerufen 13.10.2026)
• BaFin: DORA (abgerufen 13.10.2026)
• EU-Kommission: Data Act (abgerufen 13.10.2026)
• Bundesnetzagentur: Smart Contract (Data Act) (abgerufen 13.10.2026)
• EZB: Euro-Referenzkurs USD (12.10.2026)

Zitiervorschlag: Rieger, Felix (2026): Was ist ein Krypto-Audit? Smart-Contract-Audits 2026 erklärt – Kosten, Ablauf und warum geprüfte Protokolle trotzdem gehackt werden. KryptoZukunft.com, aktualisiert am 13. Oktober 2026. https://kryptozukunft.com/2025/06/05/was-ist-krypto-audit/

Disclaimer: Dieser Artikel dient ausschließlich der Information und stellt keine Anlage-, Steuer- oder Rechtsberatung dar. Kryptowerte und DeFi-Protokolle sind hochriskant, ein Totalverlust ist möglich. Alle Zahlen beziehen sich auf die angegebenen Quellen und Stichtage; eigene Berechnungen von KryptoZukunft.com beruhen auf vereinfachten Annahmen. Investiere nur Geld, dessen Verlust du verkraften kannst.