Signal #09: Die Frist Das Ende der Haltefrist, das Vertrauen am Rand und das teure Geld.

Seit 2009 lebt jeder deutsche Bitcoin-Halter mit einer einfachen Regel: Wer länger als ein Jahr hält, verkauft steuerfrei. Diese Regel war nie als Geschenk an Bitcoin gedacht. Sie stammt aus § 23 des Einkommensteuergesetzes, dem Paragrafen für private Veräußerungsgeschäfte, der neben Grundstücken für „andere Wirtschaftsgüter“ gilt – Gold etwa oder Kunst; Gegenstände des täglichen Gebrauchs nimmt er ausdrücklich aus. Bitcoin passte hinein, weil der Gesetzgeber keine bessere Schublade hatte. Genau diese Schublade soll jetzt geschlossen werden.

Der Referentenentwurf, über den seit Anfang September berichtet wird und der bis heute nicht amtlich veröffentlicht ist, ordnet Gewinne aus sogenannten Tauschkryptowerten – also Bitcoin, Ether und vergleichbaren Werten – künftig den Einkünften aus Kapitalvermögen zu. Damit gilt für sie, was für Aktien seit 2009 gilt: 25 % Abgeltungsteuer, mit Solidaritätszuschlag 26,375 %, gegebenenfalls zuzüglich Kirchensteuer. Eine Haltefrist gibt es dort nicht. Erträge aus Staking und Verleihen sollen als laufende Kapitalerträge gelten. Verluste ließen sich nach der Darstellung von Ecovis im Verrechnungskreis für Kapitalerträge verrechnen; bisher sind sie nur gegen Gewinne aus anderen privaten Veräußerungsgeschäften verrechenbar.

Entscheidend ist der Stichtag. Nach den übereinstimmenden Berichten gilt die neue Regel nur für Bitcoin, die nach dem 31. Dezember 2026 angeschafft oder zugeflossen sind. Was bis dahin im Bestand liegt, bleibt im alten System und kann nach einem Jahr Haltedauer weiter steuerfrei verkauft werden. Den Steuerabzug sollen inländische Anbieter erst ab 2028 automatisch vornehmen. Für 2027 bliebe es, so lesen wir die Berichte, bei der Steuererklärung des Halters.

Eine Frage verschärft der Entwurf nach den bekannten Berichten: die nach dem Beleg. Wer die Anschaffungskosten eines Bitcoin nicht nachweisen kann, dem soll ein pauschaler Anteil des Verkaufserlöses als Gewinn angerechnet werden. Nach dem Bericht der WELT, den Blocktrainer wiedergibt, soll der Steuerabzug dann nach 50 % des Erlöses bemessen werden; bei Wertpapieren gilt in diesem Fall heute eine Ersatzbemessung von 30 %. Der Kern ist derselbe: Ohne Kaufbeleg wird es teuer, und zwar unabhängig davon, wie viel tatsächlich verdient wurde. Damit verschiebt sich, was Ordnung im eigenen Bestand bedeutet. Bisher genügte es, das Kaufdatum ungefähr zu kennen, um die Jahresfrist zu belegen. Künftig zählt für Neukäufe jeder Preis, jede Gebühr, jeder Zeitpunkt.

Warum das politisch geschieht, ist kein Geheimnis. Der Bundeshaushalt sucht Einnahmen, und eine steuerfreie Anlageklasse neben besteuerten Aktien war seit Jahren ein Ziel der Kritik. Im Mai hatten die Grünen mit der Drucksache 21/5752 einen eigenen Gesetzentwurf eingebracht: Haltefrist aufheben, Gewinne zum persönlichen Steuersatz besteuern. Der Finanzausschuss empfahl am 20. Mai die Ablehnung. Der Entwurf aus dem Ministerium geht einen anderen Weg – den der Abgeltungsteuer. Man kann den Wechsel als Gleichbehandlung lesen: Bitcoin wird besteuert wie jede andere Kapitalanlage. Man kann ihn auch als Ende eines Vorteils lesen, der Langfristigkeit belohnt hat – genau das Verhalten, das der Gesetzgeber bei der Altersvorsorge sonst fördern will. Beide Lesarten sind vertretbar. Für den Halter ändert die Wertung nichts an der Rechnung.

Wie weit der Entwurf noch wandern kann, zeigt der Zeitplan. Nach Angaben des ehemaligen FDP-Bundestagsabgeordneten Frank Schäffler hat das Ministerium den Entwurf am 30. September an die Verbände verschickt; Stellungnahmen sind bis zum 6. Oktober möglich, also sechs Tage. Das Kabinett soll am 14. Oktober beschließen. Danach folgen Bundesrat und Bundestag. Zwischen Referentenentwurf und Gesetz liegen erfahrungsgemäß Änderungen, manchmal grundlegende. Wer jetzt handelt, handelt auf einer Annahme.

Der Steuerentwurf steht nicht allein. Er ist das sichtbarste Teil eines Umbaus, der Bitcoin in Deutschland in die gewöhnliche Finanzwelt holt. Die Sparkassen bereiten über die DekaBank den Handel mit Kryptowerten in ihrer App vor; nach Branchenberichten soll er ab Mitte Oktober beginnen, für 99 Cent je Order zuzüglich Spread, und jede Sparkasse entscheidet selbst, ob sie mitmacht. Anbieter erheben seit Januar 2026 die Daten für die europäische Meldepflicht DAC8; die erste Übermittlung an das Bundeszentralamt für Steuern ist für 2027 vorgesehen, für das Jahr 2026 bis zum 31. Juli 2027. Und ab dem 10. Juli 2027 gilt die europäische Geldwäscheverordnung (AMLR), die anonyme Konten bei regulierten Anbietern untersagt, auch anonyme Kryptowertekonten.

Bemerkenswert ist, wo diese Regeln ansetzen. Meldepflichtig nach DAC8 sind die Anbieter, nicht die Halter; eine eigene Hardware-Wallet ist keine meldende Stelle. Unsichtbar ist sie trotzdem nicht: Der Anbieter meldet auch, wie viel ein Kunde an Adressen überträgt, die keinem Anbieter zugeordnet sind – zusammengefasst nach Gesamtwert und Zahl. Das Verbot anonymer Konten der Geldwäscheverordnung gilt nach ihrem Erwägungsgrund 160 nicht für Anbieter von Hardware und Software für selbst verwahrte Wallets, solange sie keinen Zugriff darauf haben; Übertragungen dorthin müssen Anbieter aber auf ihr Risiko prüfen. Das ist kein Schlupfloch, denn steuerpflichtig bleibt der Halter in jedem Fall. Es ist eine Unterscheidung, die man kennen sollte: Die Meldewege laufen über die Anbieter, die Verantwortung für den Beleg liegt beim Halter.

Signal #08 hatte beschrieben, wie Angriffe sich von der Mathematik auf den Menschen verlagern. Der September hat das Bild erweitert. Er zeigte, wie viele Schichten zwischen einem Halter und der Bitcoin-Hauptkette liegen können – und dass jede dieser Schichten ein eigenes Vertrauensmodell hat, das unabhängig vom Protokoll versagen kann.

Am 6. September nutzte ein Angreifer einen Fehler in der Elements-Software, auf der das Liquid-Netzwerk läuft. Liquid ist eine Seitenkette, auf der Bitcoin als L-BTC schneller und vertraulicher bewegt werden können; gedeckt sind diese L-BTC durch echte Bitcoin, die ein Verbund von Funktionären verwahrt. Der Fehler lag nach Blockstreams Analyse im Zwischenspeicher, mit dem Liquid-Knoten bereits geprüfte Beweise wiederverwenden. Ein älterer Fehler an dieser Stelle stand seit 2018 im Code und war im August behoben worden; ausgenutzt wurde ein neuer Fehler in genau dieser Korrektur, dazu eine Lücke in der Signierkonfiguration eines Mitglieds. Damit ließen sich rund 4.000 L-BTC ohne Deckung erzeugen und über den regulären Rücktausch in echte Bitcoin wechseln. Die Reserve fiel nach Blockstreams Bericht von rund 4.205 auf 197 BTC, bevor das Netz angehalten wurde. Der Angreifer gab am Folgetag 3.400 BTC zurück; rund 602 BTC sind nach Blockstreams Stand vom 17. September weiter offen. Eine Lösegeldforderung dafür lehnte Blockstream nach einem Bericht von The Block ab.

Wichtig ist, was hier geschah und was nicht. Die Auszahlung von 3.996 BTC lief als gewöhnlicher, vom Verbund signierter Rücktausch über die Bitcoin-Hauptkette – die Hauptkette selbst wurde nicht angegriffen und hat korrekt getan, was sie tut. Versagt hat eine Software, der die Halter von L-BTC vertrauen mussten. Wer seine Bitcoin auf der Hauptkette selbst verwahrt hatte, war nicht betroffen.

Am 24. September meldete die Börse Bitget unbefugte Abflüsse aus ihren Hot Wallets. Ihre erste Schätzung lag bei 351,6 Mio. USD; am Folgetag korrigierte sie auf rund 387,5 Mio. USD. Nach den Gutachten, die Bitget am 30. September veröffentlichte, gelangten die Angreifer über eine Lücke in zugekauften Sicherheitsprodukten in die Wallet-Umgebung der Börse. Dass Nordkorea dahinterstehe, äußerte Bitgets Chefin gegenüber CNBC als Verdacht; einen unabhängigen Nachweis gibt es bislang nicht. Getroffen war die Verwahrung bei der Börse, nicht die Selbstverwahrung von Kunden. Die Auszahlungen ruhten mehrere Tage; die Kundenguthaben sind nach Bitgets Angaben gedeckt.

Die dritte Schicht sind Daten. Pocket Bitcoin, ein Sparplan-Anbieter, der Bitcoin direkt auf die Wallet seiner Kunden überweist, meldete am 21. August einen Vorfall und nannte am 31. August und 3. September den Umfang. Betroffen war das eigene Support-System, in dem auch Korrespondenz mit Partnerbanken lag. Insgesamt geht es um 5.411 Kunden; bei 291 davon lagen Namen, Adressen, Ausweiskopien, Nachweise über die Herkunft der Mittel und Bitcoin-Adressen offen. Schlüssel und Guthaben waren nicht betroffen. Aber für diese 291 Menschen ist die Verbindung zwischen ihrer Identität und ihren Adressen nun in fremden Händen – und damit die Pseudonymität, auf der ein Teil ihrer Sicherheit beruhte. BitAtlas hat Pocket Bitcoin nach diesem Vorfall delistet. Schon zuvor, am 28. August, war bei 21bitcoin (Partner von BitAtlas; für vermittelte Kunden erhalten wir eine Vergütung), dessen Sparplan wir empfehlen, über einen Dienstleister auf Supportdaten zugegriffen worden: Name, E-Mail, Telefonnummer, Geburtsdatum, teils Kontostände. Guthaben, Passwörter und Ausweisdokumente waren nach Angaben des Unternehmens nicht betroffen. Auch das gehört in dieses Bild.

Und dann ist da der Rand, der am wenigsten technisch ist. Am 1. September wurden in Atizapán de Zaragoza nahe Mexiko-Stadt vier Menschen getötet; nach Angaben der Staatsanwaltschaft des Bundesstaats México ging es den Tätern um Bitcoin im Wert von mehreren Millionen Dollar. Am 20. September musste in Nordfrankreich ein IT-Mitarbeiter einer Kryptofirma rund 40.000 € in Kryptowerten überweisen, während Täter seine Familie in ihrem Haus festhielten. CertiK zählte für das erste Halbjahr 52 solcher Angriffe mit Gewalt, nach 39 im Vorjahreszeitraum. Selbstverwahrung schützt vor dem Versagen von Börsen und Zusatznetzen. Sie schützt nicht davor, dass jemand weiß, wer verwahrt.

Was folgt daraus? Nicht, dass Selbstverwahrung gefährlich wäre und Börsen sicher – der September zeigt eher das Gegenteil. Sondern dass jede Schicht zwischen Halter und Hauptkette ein eigenes Risiko trägt, und dass Diskretion ein Teil der Verwahrung ist. Wer seinen Bestand auf eine eigene Wallet holt, schließt die Risiken von Börse und Zusatznetz aus. Wer zusätzlich wenig über diesen Bestand verrät, schließt einen Teil des menschlichen Risikos aus.

Die Notenbanken haben im September die Richtung gewechselt. Die EZB erhöhte am 10. September um 25 Basispunkte; der Einlagesatz liegt seit dem 16. September bei 2,50 %. Die Fed folgte am 16. September ebenfalls mit 25 Basispunkten auf ein Zielband von 3,75–4,00 %, einstimmig und zum ersten Mal seit Juli 2023. Anlass ist die Inflation: im Euroraum nach der Schnellschätzung 3,3 % im August, in den USA nach dem Verbraucherpreisindex 3,4 %.

Gleichzeitig wächst der Schuldenstand, dessen Bedienung mit jedem Zinsschritt teurer wird. Am 21. September lagen die US-Staatsschulden bei rund 40,11 Billionen USD. Am selben Tag stand die zehnjährige US-Rendite bei 4,96 %, die dreißigjährige bei 5,29 %; bis zum 29. September stiegen sie auf 5,26 % und 5,59 %. Nach der Monatsauswertung des Haushaltsbüros des Kongresses zahlte der Bund in den ersten elf Monaten des Haushaltsjahres 1.052 Mrd. USD Nettozinsen, nach 941 Mrd. im Vorjahr. Aufs ganze Jahr gerechnet sind das rund 1,15 Billionen – die Größenordnung, die Signal #08 aus zehn Monaten hochgerechnet hatte.

Bitcoin schloss den Monat bei rund 83.600 USD, 6,4 % über dem Augustschluss; in Euro waren es am 30. September rund 73.800 €. Das Monatstief lag am 15. September bei knapp 75.000 USD, das Hoch am 21. September bei rund 87.400 USD. Die zwölf börsengehandelten Spot-Bitcoin-Fonds in den USA verzeichneten im September Zuflüsse von rund 2,6 Mrd. USD; zählt man Fonds aus Hongkong und auf Terminkontrakte mit, sind es rund 2,9 Mrd. Gold verlor im gleichen Zeitraum rund 6 %. Es liegt nahe, darin eine Botschaft zu lesen. Die Quellen tragen das nicht: Am Tag der Fed-Entscheidung fiel Gold, während Bitcoin leicht zulegte, aber ein Zusammenhang zwischen Zinswende und Kurs ist nicht belegt. Ein Monat ist kein Beweis.

Das Netz selbst lief, wie es läuft. Die Schwierigkeit erreichte am 19. September mit 132,76 Billionen einen Höchststand, die Rechenleistung lag im Mittel der Tageswerte des Monats bei rund 945 EH/s. Die Gebühren waren niedrig; am 1. Oktober genügte 1 sat/vB für die Aufnahme in einen Block. Die BIP-110-Kette, die sich im August abgespalten hatte, kam über wenige Blöcke nicht hinaus.

Zur Ehrlichkeit gehört, was diese Zahlen nicht zeigen. Niedrige Gebühren sind für Nutzer angenehm, für die Sicherheit langfristig eine offene Frage: Im September machten Gebühren nach unserer Rechnung aus den Blockdaten nur rund 0,6 % der Einnahmen der Miner aus. Börsennotierte Miner arbeiteten nach Zahlen von CoinShares im zweiten Quartal insgesamt unter der Gewinnschwelle. Die Belohnung für neue Blöcke halbiert sich weiter alle vier Jahre; irgendwann müssen Gebühren die Sicherheit tragen. Dazu kommt eine Frage der Steuerbarkeit: Seit Taproot ist keine weitere Protokollerweiterung aktiviert worden. Der Entwickler Paul Sztorc hielt es im September für ausgeschlossen, dass auf absehbare Zeit überhaupt eine gelingt. Das ist eine Einzelmeinung, aber sie berührt Projekte wie den Schutz vor künftigen Quantencomputern, die irgendwann eine Änderung brauchen werden. Und für Unternehmen wie Strategy, das vom 14. bis 27. September weitere 2.615 BTC kaufte und danach 847.666 BTC hielt, prüft der Indexanbieter MSCI eine Regel, die solche Firmen aus Indizes nehmen könnte; das Ergebnis soll bis zum 16. Oktober feststehen. Bitcoin ist robust. Unverwundbar ist es nicht.

Der September hat zwei Fristen gesetzt. Die eine ist politisch: Bis zum 31. Dezember 2026 gekaufte Bitcoin sollen nach dem Entwurf in der alten Regel bleiben. Die andere ist praktisch und gilt unabhängig davon, was der Bundestag beschließt: Wer seine Bestände nicht belegen kann, wird es künftig schwerer haben.

Daraus folgen keine Kaufempfehlungen. Ob jemand vor dem Jahreswechsel mehr kauft, hängt an seiner eigenen Lage, seinen Zielen und am Ausgang eines Gesetzgebungsverfahrens, das noch läuft. Was sich unabhängig davon lohnt, ist Ordnung. Jeder Kauf mit Datum, Preis und Gebühr dokumentiert. Die Exporte der Börsen gesichert, solange die Konten bestehen. Die eigenen Adressen einem Bestand zugeordnet, sodass sich später nachvollziehen lässt, welcher Bitcoin aus welchem Jahr stammt. Das klingt nach Buchhaltung, und es ist Buchhaltung. Aber es ist auch die einzige Antwort, die in jeder Fassung des Gesetzes trägt.

Der zweite Teil der Antwort ist älter als jeder Entwurf. Die Vorfälle des Monats haben gezeigt, dass Werte dort verloren gingen, wo Halter einer weiteren Schicht vertrauen mussten – einer Börse, einem Zusatznetz, einem Datenspeicher. Wer selbst verwahrt, vermeidet diese Schichten. Wer wenig über seinen Bestand verrät, vermeidet einen Teil der übrigen. Beides hat mit Steuern nichts zu tun und gilt trotzdem für dieselben Menschen.

Bitcoin wird in Deutschland normal. Normal heißt besteuert, gemeldet, bald über die Sparkasse kaufbar. Es heißt aber auch: Die Regeln werden gerade geschrieben, die Pflichten werden bekannt, und wer sie kennt, kann sich darauf einstellen. Die Frist läuft. Sie ist kein Grund zur Eile, aber einer zur Ordnung.

Nächster Report: November 2026.