Wenn ein Teilnehmer in einer Multisignature‒Struktur dauerhaft ausfällt, wird ein strukturelles Problem sichtbar, das in der Theorie oft übersehen wird. Multisig gilt als robust, weil es keinen einzelnen Ausfallpunkt kennt. In der Praxis zeigt sich jedoch, dass Multisig nicht reparierbar ist. Fällt ein Schlüsselinhaber durch Tod, Krankheit, Demenz, Schlüsselverlust oder rechtliche Blockade aus, kann das bestehende System technisch nicht angepasst oder geheilt werden. Es gibt keinen Mechanismus zum Ersetzen eines Schlüssels, keine Möglichkeit zur nachträglichen Rollenänderung und keinen formalen Reset. Die Multisig‒Struktur bleibt so, wie sie initial aufgesetzt wurde. Jede strukturelle Veränderung erfordert ein vollständiges Neuaufsetzen der Wallet‒Landschaft.
Nehmen wir ein typisches Beispiel aus der Praxis:
Drei Personen halten gemeinsam Bitcoin in einem Zwei‒von‒drei‒Multisig. Eine Person fällt dauerhaft aus, etwa durch Tod oder Verlust des Schlüssels. Solange die beiden verbleibenden Personen kooperieren, können sie technisch weiterhin Transaktionen signieren. Das System ist also nicht sofort blockiert. Gleichzeitig ist die Struktur jedoch dauerhaft geschwächt. Sie bleibt abhängig von exakt zwei verbliebenen Personen, ohne Redundanz, ohne Ersatzmöglichkeit, ohne Anpassungsfähigkeit. Um wieder zu einer tragfähigen Struktur zu gelangen, bleibt nur ein einziger Weg: Die vollständige Migration auf eine neue Multisig‒Wallet mit neuer Schlüsselverteilung.
Dafür müssen zunächst neue Hardware‒Wallets beschafft werden, da jede neue Struktur saubere, neu generierte Schlüssel erfordert. Diese Beschaffung verursacht nicht nur Kosten, sondern auch organisatorischen Aufwand, neue Abhängigkeiten von Herstellern, Lieferketten und Firmwareständen sowie erneute Sicherheitsprüfungen. Anschließend müssen neue Seeds erzeugt, dokumentiert und gesichert werden. Jeder dieser Schritte birgt erneut menschliche Risiken, insbesondere in Stresssituationen oder bei komplexen Beteiligtenstrukturen. Fehler beim Abschreiben, unsaubere Sicherung oder unklare Zuständigkeiten sind in der Praxis keine Ausnahme, sondern ein wiederkehrendes Muster.
Der kritischste Punkt folgt mit dem Transfer des Vermögens. Das gesamte Bitcoin‒Guthaben muss on‒chain von der alten Multisig‒Wallet in die neue Wallet‒Struktur übertragen werden. Dieser Moment ist der einzige Zeitpunkt, an dem selbst perfekt gesicherte Bitcoin real gefährdet sind. Es entstehen Transaktionskosten, die je nach Netzwerklage erheblich sein können. Ein einziger Fehler bei der Zieladresse, beim Skript oder bei der Signatur führt zu irreversiblem Verlust. Die Transaktion ist öffentlich sichtbar, was in sensiblen Situationen zusätzlichen Druck erzeugt und potenziell Angriffsflächen für Social Engineering oder externe Einflussnahme eröffnet. Je komplexer die neue Struktur und je größer der Zeitdruck, desto höher ist das Risiko menschlicher Fehlbedienung.
Hinzu kommt, dass dieser Prozess selten isoliert bleibt. Ein Multisig‒Ausfall erzeugt meist eine Kaskade aus Folgeentscheidungen, Koordinationsbedarf und Kosten. Beteiligte müssen sich neu einigen, externe Berater oder technische Unterstützung werden hinzugezogen, zusätzliche Testtransaktionen werden durchgeführt, Dokumentationen müssen aktualisiert und gegebenenfalls gegenüber Banken, Prüfern oder Aufsichtsstellen neu erklärt werden. All das geschieht nicht aufgrund eines Angriffs oder technischer Schwächen, sondern allein deshalb, weil ein vorhersehbarer menschlicher Ausfall nicht strukturell berücksichtigt war.
In Trust‒Custody‒Strukturen stellt derselbe Ausfall keinen Notfall dar, sondern einen antizipierten Zustand. Schlüssel, Rollen und Entscheidungsgewalt sind voneinander getrennt. Der Ausfall einer Person führt nicht automatisch zu einer Schwächung der Struktur und zwingt nicht zur Bewegung des gesamten Vermögens. Ersatz, Rekonstruktion oder Übergang erfolgen nach vorher definierten Regeln, dokumentiert und nachvollziehbar, ohne dass eine neue Wallet‒Landschaft geschaffen oder ein riskanter Kompletttransfer durchgeführt werden muss. Die Verwundbarkeit konzentriert sich nicht auf einen einzelnen Moment, sondern wird über Struktur und Prozesse entschärft.
Der entscheidende Unterschied liegt daher nicht in der Anzahl der Signaturen, sondern in der Frage, wie oft ein System seine eigene Existenz aufs Spiel setzt, nur um strukturelle Mängel zu kompensieren. Multisig akzeptiert Stillstand oder Risiko als unvermeidliche Konsequenz technischer Reinheit. Trust Custody ersetzt diese Konsequenz durch vorausschauende Struktur. Genau deshalb endet Multisig dort, wo Verantwortung über Zeit, Menschen und Ausnahmesituationen hinweg getragen werden muss.