Meldepflicht für Wallet-Hersteller: Was seit dem 11. September 2026 gilt

Seit dem 11. September 2026 gilt in der gesamten EU eine Pflicht, die es vorher so nicht gab: Wer ein Produkt mit digitalen Elementen gewerblich auf dem europäischen Markt bereitstellt, muss eine aktiv ausgenutzte Sicherheitslücke binnen 24 Stunden den zuständigen Stellen melden und die betroffenen Nutzer über die Lücke und über die Gegenmaßnahmen informieren, die sie selbst ergreifen können.

Für dich als Halter von Kryptowährungen ist der zweite Teil der wichtigere. Er steht in Artikel 14 Absatz 8 der EU-Cyberresilienzverordnung und verschiebt, wer dafür sorgen muss, dass du von einem Problem in deiner Wallet erfährst. Bisher war das eine Frage der Firmenkultur. Ab jetzt ist es eine Rechtspflicht mit einem Bußgeldrahmen dahinter.

Dieser Text erklärt, was genau gilt, ab wann, für wen, und wo die Grenze zwischen belegter Rechtslage und Überinterpretation verläuft. Denn die Verordnung nennt keine einzige Wallet-Marke, und wer aus ihr eine Liste betroffener Hersteller ableitet, schreibt mehr, als dort steht.

Was seit dem 11. September 2026 gilt: Artikel 14 der EU-Cyberresilienzverordnung

Die Cyberresilienzverordnung ist die Verordnung (EU) 2024/2847, im Fachjargon meist Cyber Resilience Act oder kurz CRA genannt. Der CRA ist am 10. Dezember 2024 in Kraft getreten, gilt aber erst ab dem 11. Dezember 2027 in vollem Umfang. Artikel 71 Absatz 2 enthält dazu einen Satz, der den ganzen Zeitplan durcheinanderwirft: „Diese Verordnung gilt ab dem 11. Dezember 2027. Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026."

Artikel 14 trägt die Überschrift „Meldepflichten der Hersteller" und ist damit der Teil der Verordnung, der als Erster scharf geschaltet wurde. Alles andere – die Konformitätsbewertung, die CE-Kennzeichnung, die grundlegenden Cybersicherheitsanforderungen aus Anhang I – kommt erst 2027. Wer also gerade liest, der CRA gelte jetzt, meint diesen einen Artikel.

Der Kern in einem Satz: Ein Hersteller muss jede aktiv ausgenutzte Schwachstelle in seinem Produkt und jeden schwerwiegenden Sicherheitsvorfall gleichzeitig dem als Koordinator benannten CSIRT und der EU-Agentur für Cybersicherheit ENISA melden, über eine einheitliche Meldeplattform.

Was ist ein CSIRT? Ein Computer Security Incident Response Team ist die staatlich benannte Stelle eines Mitgliedstaats, die Sicherheitsvorfälle entgegennimmt, bewertet und weiterleitet. In Deutschland ist das CERT-Bund im Bundesamt für Sicherheit in der Informationstechnik das koordinierende CSIRT, und das BSI übernimmt zugleich die Marktüberwachung.

Was ist eine aktiv ausgenutzte Schwachstelle? Ein Sicherheitsfehler, von dem der Hersteller weiß, dass Angreifer ihn bereits verwenden. Eine theoretische Lücke, die jemand im Labor gefunden hat, löst die 24-Stunden-Uhr nicht aus. Der Missbrauch in der Praxis tut es.

Warum eine Produktverordnung deine Krypto-Wallet überhaupt betrifft

Der CRA ist kein Finanzrecht und kein Krypto-Recht. Er ist horizontales Produktrecht und interessiert sich nicht dafür, welche Vermögenswerte ein Gerät verwaltet, sondern nur dafür, ob es ein Produkt mit digitalen Elementen ist und ob es gewerblich auf dem EU-Markt bereitgestellt wird. Genau das macht ihn für die Krypto-Verwahrung relevant.

Eine Hardware-Wallet ist ein physisches Gerät mit Firmware, das über USB, Bluetooth oder QR-Code mit einer Begleitsoftware spricht. Eine Wallet-App ist Software, die ein Anbieter zum Download bereitstellt. Beide sind ihrer Bauart nach das, was Artikel 3 Nummer 1 als „ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen" beschreibt. Artikel 2 Absatz 1 zieht die Grenze über die Verbindung: Die Verordnung gilt für Produkte, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung „eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt".

Für die Verwahrung von Kryptowährungen ist das der Punkt, an dem sich etwas ändert. Wenn du dein Guthaben selbst verwahrst, hängt deine Sicherheit an genau zwei Dingen: an der Qualität des Geräts oder der Software und daran, ob du rechtzeitig erfährst, wenn damit etwas nicht stimmt. Über das erste sagt die Meldepflicht noch nichts, die entsprechenden Anforderungen greifen erst 2027. Über das zweite sagt sie ab sofort etwas. Welche Geräte überhaupt zur Auswahl stehen und worin sie sich unterscheiden, findest du in unserem Vergleich der Hardware-Wallets; für reine Software-Lösungen gelten dieselben Überlegungen mit anderer Angriffsfläche.

Produkt mit digitalen Elementen: Wer nach dem Rechtstest als Hersteller gilt

Ob ein konkretes Gerät oder eine konkrete App erfasst ist, entscheiden drei Prüfschritte. Eine Liste betroffener Produkte gibt es nicht. Erstens: Wird das Produkt auf dem EU-Markt bereitgestellt, also im Rahmen einer Geschäftstätigkeit zum Vertrieb oder zur Nutzung verfügbar gemacht? Zweitens: Ist es ein Software- oder Hardwareprodukt im Sinne von Artikel 3? Drittens: Schließt seine bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung ein?

Eine kommerziell vertriebene, verbundene Hardware-Wallet und eine von einem Unternehmen angebotene Wallet-App können diese drei Fragen erfüllen. Das ist eine Subsumtion unter den Rechtstest und keine amtliche Feststellung für ein bestimmtes Produkt. Wer daraus macht, dieser oder jener Anbieter müsse jetzt dieses oder jenes tun, behauptet etwas, das weder die Verordnung noch die Leitlinien der Kommission hergeben.

Wichtig ist außerdem, wo der Hersteller sitzt. Artikel 14 Absatz 7 regelt das ausführlich: Maßgeblich ist das CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung in der Union hat, also dort, wo die Entscheidungen zur Cybersicherheit seiner Produkte überwiegend getroffen werden. Hat er gar keine Niederlassung in der EU, greift eine Reihenfolge: zuerst der Mitgliedstaat des Bevollmächtigten, dann der des Einführers, dann der des Händlers, und zuletzt der Mitgliedstaat, in dem sich die meisten Nutzer befinden. Ein Anbieter außerhalb Europas ist also nicht automatisch außen vor, sobald er den europäischen Markt bedient.

24 Stunden, 72 Stunden, 14 Tage: die Fristenkette nach Artikel 14 Absatz 2

Die Verordnung verlangt drei aufeinander aufbauende Berichte. Alle Fristen starten in dem Moment, in dem der Hersteller Kenntnis erlangt.

1. Frühwarnung, spätestens 24 Stunden nach Kenntnis. Die Frühwarnung muss angeben, in welchen Mitgliedstaaten das betroffene Produkt nach Kenntnis des Herstellers bereitgestellt wurde. Mehr verlangt die Verordnung an dieser Stelle nicht, und das ist beabsichtigt: Die Frühwarnung soll schnell sein, nicht vollständig.
2. Schwachstellenmeldung, spätestens 72 Stunden nach Kenntnis. Jetzt kommen allgemeine Angaben zum betroffenen Produkt hinzu, zur Art der Ausnutzung und der Schwachstelle, zu bereits ergriffenen Korrektur- oder Risikominderungsmaßnahmen und ausdrücklich auch zu den „Korrektur- oder Abhilfemaßnahmen, die Nutzer ergreifen können".
3. Abschlussbericht, spätestens 14 Tage nachdem eine Abhilfemaßnahme zur Verfügung steht. Er enthält eine Beschreibung der Schwachstelle samt Schweregrad und Auswirkungen, sofern verfügbar Angaben zu den Angreifern, und Informationen zu der Sicherheitsaktualisierung oder anderen Korrekturmaßnahme.

Für den schwerwiegenden Sicherheitsvorfall nach Artikel 14 Absatz 3 gilt dieselbe Zweiteilung aus 24 und 72 Stunden, der Abschlussbericht ist dort aber einen Monat nach der 72-Stunden-Meldung fällig. Wann ein Vorfall als schwerwiegend gilt, definiert Absatz 5: wenn er die Fähigkeit des Produkts beeinträchtigt, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler Daten und Funktionen zu schützen, oder wenn er zur Ausführung von Schadcode geführt hat oder führen kann.

Gemeldet wird über die CRA Single Reporting Platform, die die ENISA betreibt. Der Hersteller übermittelt einmal, und die Meldung wird dem zuständigen koordinierenden CSIRT und der ENISA gleichzeitig zugänglich gemacht. Nach dem Abschlussbericht kann die meldende Person die Meldung grundsätzlich nicht mehr bearbeiten.

Artikel 14 Absatz 8: Wann der Hersteller dich selbst informieren muss

Die Fristen gegenüber CSIRT und ENISA sind der Teil, über den die Industriepresse schreibt. Für dich als Nutzer steht der entscheidende Satz woanders, nämlich in Artikel 14 Absatz 8. Er lautet im amtlichen deutschen Wortlaut, leicht gekürzt: Nachdem der Hersteller Kenntnis von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall erlangt hat, „informiert er die betroffenen Nutzer des Produkts mit digitalen Elementen und gegebenenfalls alle Nutzer über diese Schwachstelle oder diesen schwerwiegenden Sicherheitsvorfall und erforderlichenfalls über jegliche Risikominderungsmaßnahmen und Korrekturmaßnahmen, die die Nutzer ergreifen können".

Drei Punkte daran lohnen die genaue Lektüre.

Erstens: Die Pflicht knüpft an dieselbe Kenntnis an wie die Behördenmeldung. Der Auslöser ist derselbe Moment. Die Verordnung nennt für die Nutzerinformation allerdings keine feste Stundenzahl. Verlangt wird die Information im Zusammenhang mit der Kenntniserlangung, und an anderer Stelle stellt der Text auf Rechtzeitigkeit ab. Wer aus den 24 Stunden für die Behörde eine 24-Stunden-Frist gegenüber Kunden macht, liest die Vorschrift falsch.

Zweitens: Informiert werden muss über die Gegenmaßnahmen, die du selbst ergreifen kannst. Das ist der praktische Kern. Eine Mitteilung, die nur sagt, dass es ein Problem gab, erfüllt den Wortlaut nicht, wenn es Maßnahmen gibt, die Nutzer selbst ergreifen können. Genau diese Maßnahmen sind bei einer Wallet die relevanten: Firmware aktualisieren, eine bestimmte Funktion vorübergehend nicht verwenden, Guthaben auf eine neue Adresse bewegen, eine Signatur vor der Bestätigung manuell prüfen.

Drittens: Die Verordnung wünscht sich ein maschinenlesbares Format. Der Text spricht von einem strukturierten, maschinenlesbaren Format, das leicht automatisch zu verarbeiten ist, und schränkt das mit „gegebenenfalls" ein. Für Sicherheitsforscher und für Portale, die Warnungen aggregieren, ist das die interessanteste Formulierung des ganzen Absatzes.

Was passiert, wenn der Hersteller schweigt? Die Rolle des CERT-Bund

Der zweite Satz von Absatz 8 ist der eigentlich neue Hebel: „Versäumt es der Hersteller, die Nutzer des Produkts mit digitalen Elementen rechtzeitig zu informieren, können die als Koordinatoren benannten CSIRTs diese Informationen den Nutzern zur Verfügung stellen, wenn sie dies für verhältnismäßig und erforderlich halten, um die Auswirkungen dieser Schwachstellen oder Sicherheitsvorfälle zu verhindern oder abzumildern."

Damit steht in europäischem Recht, dass eine Behörde die Öffentlichkeit über eine Produktschwachstelle unterrichten darf, wenn der Hersteller das nicht rechtzeitig tut. Für Deutschland heißt das konkret: CERT-Bund im BSI erhält die Meldung als koordinierendes CSIRT, und das BSI kann als Marktüberwachungsbehörde tätig werden. Eine Verpflichtung zur Warnung ist das nicht, die Formulierung lautet „können" und stellt auf Verhältnismäßigkeit und Erforderlichkeit ab. Für dich bedeutet es dennoch, dass es ab jetzt eine zweite Stelle gibt, an der Informationen über ein Produkt zusammenlaufen, das du benutzt.

Dass dieser Weg gebraucht wird, zeigt ein Blick auf die Fälle der vergangenen Wochen. Als im August eine Schwachstelle in einer Bitcoin-Lightning-Implementierung öffentlich wurde, hing die Information für Betreiber an einer Release-Notiz und an Fachmedien. Wir haben den Fall in unserem Beitrag zu der Core-Lightning-Schwachstelle und der Frage, wann ein Knoten offline muss, aufgearbeitet. Wie sich eine Wallet-Warnung überhaupt technisch überprüfen lässt, steht in unserem Beitrag zum Blind Signing und wie du es an deiner Hardware-Wallet abschaltest.

Was die Regel ausdrücklich nicht sagt: keine Liste von Wallet-Marken

Hier ist die Einschränkung, die in jeden ehrlichen Text zu diesem Thema gehört. Weder die Verordnung noch die Leitlinien der Europäischen Kommission nennen eine einzige Wallet-Marke, einen einzigen Gerätetyp aus dem Krypto-Umfeld oder einen bestimmten Anbieter. Der CRA arbeitet mit abstrakten Produktkategorien und einem Rechtstest, den jeder Wirtschaftsakteur für sich selbst durchführen muss.

Daraus folgen zwei Dinge. Zum einen kannst du aus der Verordnung nicht ablesen, ob ein bestimmtes Gerät, das du besitzt, erfasst ist. Das hängt davon ab, wie der Hersteller organisiert ist, wo er sitzt, wie er vertreibt und wie die zuständigen Behörden den Rechtstest im Einzelfall anwenden. Zum anderen wirst du in den nächsten Monaten Texte lesen, die diese Lücke mit Namen füllen. Wer schreibt, ein konkreter Anbieter „muss jetzt" dies oder jenes, formuliert eine rechtliche Bewertung, für die weder eine Behördenentscheidung noch eine Gerichtsentscheidung vorliegt.

Verlässlich ist an dieser Stelle nur das Verfahren. Wenn dich eine solche Aussage interessiert, prüfe zwei Dinge: Steht dahinter eine Selbstauskunft des Herstellers, oder eine Aussage einer Behörde? Und bezieht sie sich auf Artikel 14, der seit dem 11. September gilt, oder auf die Konformitätspflichten, die erst ab dem 11. Dezember 2027 greifen? Die beiden werden derzeit häufig vermischt.

Freie und quelloffene Software: die Ausnahme, die viele Krypto-Projekte betrifft

Ein großer Teil der Krypto-Infrastruktur ist quelloffen und wird von Einzelpersonen, Vereinen oder Stiftungen gepflegt. Für diese Konstellation enthält der CRA eine eigene Behandlung, und die ist für die Erwartungshaltung wichtig.

Freie und quelloffene Software ist nach Erwägungsgrund 18 Software, deren Quellcode offen geteilt wird und in deren Lizenz alle Rechte vorgesehen sind, um sie frei zugänglich, nutzbar, veränderbar und weiterverteilbar zu machen. Entscheidend für den Anwendungsbereich ist der gewerbliche Charakter der Bereitstellung: In den Anwendungsbereich fällt laut demselben Erwägungsgrund nur freie und quelloffene Software, die auf dem Markt bereitgestellt und damit zum Vertrieb oder zur Nutzung im Rahmen einer Geschäftstätigkeit verfügbar gemacht wird. Die bloßen Umstände der Entwicklung und die Art der Finanzierung sollen dabei ausdrücklich keine Rolle spielen.

Dazu kommt Artikel 64 Absatz 10 Buchstabe b. Danach gelten die dort geregelten Geldbußen nicht für Verwalter quelloffener Software, und zwar bei jedem Verstoß gegen die Verordnung. Das ist eine der deutlichsten Privilegierungen des gesamten Rechtsakts.

Für dich als Nutzer heißt das: Bei einer Wallet, die als offenes Projekt ohne kommerzielle Bereitstellung entsteht, solltest du nicht damit rechnen, dass jemand rechtlich verpflichtet ist, dich zu benachrichtigen. Bei einem Gerät oder einer App, die ein Unternehmen gewerblich anbietet, ist die Lage eine andere, auch wenn der Quellcode offen liegt. Die Frage, wer hinter einem Produkt steht und wie es vertrieben wird, war schon vorher eine gute Auswahlfrage. Ab dem 11. September 2026 hat diese Frage zusätzlich eine rechtliche Seite.

Bußgeld bis 15 Millionen Euro: Was ein Verstoß gegen Artikel 14 kostet

Eine Pflicht ohne Folge bleibt ein Appell. Artikel 64 Absatz 2 setzt den Rahmen: Bei Verstößen gegen die in den Artikeln 13 und 14 festgelegten Pflichten werden Geldbußen von bis zu 15 Millionen Euro verhängt oder, im Falle von Unternehmen, von bis zu 2,5 Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Damit liegt die Meldepflicht im obersten der drei Bußgeldbänder, die die Verordnung kennt.

Bei der Festsetzung im Einzelfall sind nach Absatz 5 Art, Schwere und Dauer des Verstoßes zu berücksichtigen, frühere Bußgelder gegen denselben Wirtschaftsakteur und die Größe des Unternehmens einschließlich seines Marktanteils. Kleinstunternehmen und kleine Unternehmen sind ausdrücklich genannt.

Für sie gibt es zusätzlich eine Erleichterung. Artikel 64 Absatz 10 Buchstabe a nimmt Hersteller, die als Kleinst- oder Kleinunternehmen gelten, von den in den Absätzen 3 bis 9 geregelten Geldbußen aus, soweit es um die Versäumung der 24-Stunden-Frist aus Artikel 14 Absatz 2 Buchstabe a oder Artikel 14 Absatz 4 Buchstabe a geht. Die Meldepflicht selbst entfällt dadurch nicht, nur die Sanktion für das Reißen dieser einen Frist. Für ein kleines Wallet-Startup mit drei Entwicklern und ohne Bereitschaftsdienst ist das der Unterschied zwischen einer anspruchsvollen und einer existenzbedrohenden Vorschrift.

Zuständig für die Durchsetzung sind die Marktüberwachungsbehörden der Mitgliedstaaten. In Deutschland ist das BSI dafür vorgesehen. Ein verhängtes Bußgeld muss die Behörde den Marktüberwachungsbehörden der anderen Mitgliedstaaten über das Informationssystem nach der Marktüberwachungsverordnung mitteilen.

Anhang III und Anhang IV: Warum Hardware-Wallets 2027 noch einmal an die Reihe kommen

Artikel 14 gilt für alle Hersteller von Produkten mit digitalen Elementen, unabhängig von einer Risikoklasse. Die Verordnung kennt darüber hinaus zwei Anhänge, die besonders sensible Produkte listen, und deren Rechtsfolgen greifen erst mit dem vollen Geltungsbeginn am 11. Dezember 2027. Ein Blick darauf lohnt trotzdem, weil er zeigt, wie der Gesetzgeber über diese Art von Geräten denkt.

Anhang IV führt unter der Überschrift „Kritische Produkte mit digitalen Elementen" drei Einträge: Hardwaregeräte mit Sicherheitsboxen; Smart-Meter-Gateways sowie „andere Geräte für fortgeschrittene Sicherheitszwecke, einschließlich der sicheren Kryptoverarbeitung"; und Chipkarten oder ähnliche Geräte einschließlich Sicherheitselemente. Anhang III nennt in Klasse I unter anderem Mikroprozessoren und Mikrocontroller mit sicherheitsrelevanten Funktionen und in Klasse II manipulationssichere Mikrocontroller.

Das sind exakt die Bauteile, aus denen eine Hardware-Wallet besteht: ein Secure Element, ein manipulationssicherer Mikrocontroller, eine abgeschirmte Umgebung für kryptografische Operationen. Ob ein bestimmtes Gerät unter einen dieser Einträge fällt, entscheidet wieder der Einzelfall. Die Richtung ist aber erkennbar, und sie bedeutet für Hersteller solcher Geräte ab Ende 2027 eine strengere Konformitätsbewertung, an der eine notifizierte Stelle beteiligt sein kann.

Was du als Wallet-Nutzer jetzt konkret prüfen kannst

Die Verordnung richtet sich an Hersteller. Handeln musst du deswegen nicht. Aber es gibt vier Dinge, die ab jetzt aussagekräftiger sind als vorher.

• Prüfe, ob dein Anbieter einen Sicherheitskanal hat, den du abonnieren kannst. Eine Security-Seite, ein Mailverteiler, ein Kanal in der App. Ein Hersteller, der Artikel 14 Absatz 8 erfüllen will, braucht so etwas. Wer keinen hat, wird dich im Ernstfall über eine Pressemitteilung erreichen wollen.
• Prüfe, wo der Anbieter seinen Sitz hat. Nach Artikel 14 Absatz 7 bestimmt die Hauptniederlassung in der Union, welches CSIRT zuständig ist. Bei Anbietern ohne EU-Niederlassung greift die Ersatzreihenfolge über Bevollmächtigten, Einführer, Händler und Nutzerzahl.
• Unterscheide zwischen gewerblichem Produkt und offenem Projekt. Bei einem offenen Projekt ohne kommerzielle Bereitstellung gilt die Meldepflicht regelmäßig nicht, und Verwalter quelloffener Software sind von den Geldbußen ausgenommen. Das macht solche Software nicht schlechter, verändert aber, worauf du dich verlassen kannst.
• Achte bei Warnungen auf die Quelle. Ab jetzt gibt es neben dem Hersteller eine zweite mögliche Absenderadresse, nämlich das koordinierende CSIRT. In Deutschland ist das CERT-Bund im BSI. Eine Warnung, die von dort kommt, ist keine Marketing-Meldung.

Den amtlichen Wortlaut der Verordnung findest du im Amtsblatt der EU als Verordnung (EU) 2024/2847 in der deutschen Fassung; Artikel 14 steht in Kapitel II, der Geltungsbeginn in Artikel 71 Absatz 2. Den deutschen Meldeweg samt Fristentabelle beschreibt das BSI auf seiner Seite zur CRA Single Reporting Platform.

Wallet-Meldepflicht prüfen: Was du daraus mitnimmst

1. Die Informationspflicht liegt ab sofort beim Hersteller, nicht mehr nur bei dir. Wenn ein Anbieter von einer aktiv ausgenutzten Lücke erfährt, muss er dich über die Lücke und über die Maßnahmen informieren, die du selbst ergreifen kannst. Nimm das als Auswahlkriterium: Ein Anbieter mit einem funktionierenden Sicherheitskanal ist die bessere Wahl. Welche Geräte überhaupt in Frage kommen, zeigt der Hardware-Wallet-Vergleich.
2. Prüfe, unter welcher Konstellation deine Wallet angeboten wird. Gewerbliches Produkt, offenes Projekt, Anbieter mit oder ohne EU-Niederlassung: Davon hängt ab, ob die Meldepflicht überhaupt greift und wer im Ernstfall zuständig ist. Für reine App-Lösungen lohnt der Blick in den Software-Wallet-Vergleich, weil dort Anbieterstruktur und Update-Weg auseinandergehen.
3. Wenn du nicht selbst verwahrst, verschiebt sich die Frage auf den Verwahrer. Dann hängt dein Zugriff an der Aufsicht über den Anbieter und an dessen Verwahrpraxis. Welche Plattformen in der EU eine Lizenz vorweisen, steht im Überblick der regulierten Krypto-Börsen.

(Stand: 13. September 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)