SSP Enterprise: Multisig-Vaults für Teams
Die meisten Krypto-Aufbauten in Unternehmen haben ein Loch in Form eines Menschen. Jemand hat die Hardware-Wallet. Jemand weiß, wo die Seed-Phrase liegt. Die Kontrollen sind echt — Freigaben in einer Tabelle, ein Richtliniendokument, die Regel, dass zwei Personen im Call sein müssen —, aber keine davon wird von irgendetwas durchgesetzt außer davon, dass sich alle daran halten.
SSP Enterprise schließt dieses Loch, indem es die Regel in die Adresse selbst verlegt. Ein Vault ist ein M-von-N-Multisig, bei dem die Schwelle Teil der Adressableitung ist, sodass das Netzwerk sich weigert, eine Transaktion abzuwickeln, die sie nicht erreicht hat. Kein Maß an internem Druck, kein kompromittierter Laptop und kein ausscheidender Mitarbeiter ändert an dieser Arithmetik etwas.
Dieser Artikel ist die Landkarte des ganzen Systems: wie Organisationen, Vaults, Rollen, Vorschläge und Richtlinien zusammenpassen — und, wichtig, welche dieser Dinge eine Transaktion tatsächlich aufhalten und welche sie bloß formen.
Das Problem, wenn eine Person die Schlüssel hat
Das Einzelunterzeichner-Problem handelt nicht wirklich von Vertrauen. Es handelt von Konzentration.
Ein einzelner Schlüssel bedeutet: Ein kompromittierter Rechner leert die Kasse. Es bedeutet: Eine Person im Urlaub blockiert die Gehaltsläufe. Es bedeutet: Ein Abgang löst eine Hetzjagd aus, alles zu rotieren, und ein schlechter Tag erzeugt einen Vorfall, bei dem keine technische Schranke zwischen einem Impuls und einer unumkehrbaren Überweisung steht.
Multisig verwandelt jedes davon in ein überlebbares Ereignis, weil kein einzelnes Geheimnis genügt. Was ist Multisig und warum es zählt behandelt das Modell selbst. Was nun folgt, ist die Organisation davon, wenn der Halter ein Unternehmen ist und keine Person.
Organisationen, Vaults und Signierende
Drei Ebenen, und es lohnt sich, sie im Kopf auseinanderzuhalten.
Eine Organisation ist der Behälter: die Menschen, die Rollen, der Prüfpfad, die Abrechnungsbeziehung. Sie wird über eine WK-Identität identifiziert statt über eine E-Mail-Adresse und trägt einen unveränderlichen Organisationsindex zwischen 100 und 99999, der Teil jedes darunterliegenden Ableitungspfads wird. „Unveränderlich“ ist das tragende Wort — dieser Index lässt sich später nicht ändern, denn ihn zu ändern würde jede Adresse ändern, die die Organisation je abgeleitet hat.
Ein Vault ist ein bestimmtes M-von-N-Multisig auf einer bestimmten Chain. Eine Organisation kann viele davon haben, und sie müssen weder Schwelle noch Chain noch Signierendenkreis teilen. Ein Treasury-Vault mit 3-von-5 auf Bitcoin und ein Auszahlungs-Vault mit 2-von-3 auf Ethereum sind getrennte Verwahrungsobjekte, die zufällig von derselben Stelle aus verwaltet werden.
Ein Signierender ist eine Person, vertreten durch die zwei Geräte, die SSP immer nutzt: die Browser-Erweiterung und die SSP-Key-App. Gibt ein Signierender einen Vault-Vorschlag frei, wirken beide seiner Geräte mit — das N in deinem M-von-N zählt also Personen, und jede dieser Personen ist ihrerseits durch ein 2-von-2 geschützt.
Vaults gibt es auf den von SSP unterstützten Chains: Bitcoin, Litecoin, Dogecoin, Ravencoin, Flux, Zcash und Bitcoin Cash auf der UTXO-Seite; Ethereum, BSC, Avalanche, Polygon und Base auf der EVM-Seite; und Solana. Die Ableitung folgt BIP-48 mit dem Organisationsindex an der Account-Position — die BIP-48-Spezifikation ist die Primärquelle, und BIP48 erklärt behandelt, wie SSP sie nutzt.
Die Schwelle steckt in der Adresse
Das ist der Teil, der Enterprise-Multisig von einem Freigabe-Workflow unterscheidet, und hier lohnt sich Präzision.
Beim Anlegen eines Vaults werden die öffentlichen Schlüssel der Signierenden und die erforderliche Anzahl Signaturen zur Adresse kombiniert. Die Schwelle ist keine Einstellung, die neben dem Vault gespeichert wird; sie ist eine Eingabe der Adresse. Daraus folgen drei planungsrelevante Konsequenzen.
Niemand kann sie senken. Kein Administrator, nicht SSP, kein Angreifer mit Zugang zum Dashboard. Die Chain validiert gegen die Adresse, und die Adresse kodiert die Regel.
Signierende zu wechseln bedeutet einen neuen Vault. Jemanden hinzuzufügen oder zu entfernen ändert die Adresse, was heißt: Mittel bewegen statt einen Datensatz bearbeiten. Das ist ein echter operativer Aufwand und der Hauptpunkt, den man vor der Wahl des Signierendenkreises durchdenken sollte. 2-von-2 vs. 2-von-3 vs. m-von-n ist die Anleitung, eine Schwelle zu wählen, die man nicht sofort wieder ändern will.
Unter die Schwelle zu fallen ist unwiederbringlich. Ein 3-von-5-Vault übersteht, dass zwei Signierende verschwinden, aber nicht drei. Plane Abgänge, verlorene Telefone und die irgendwann anstehenden Nachlassfragen ein, bevor du irgendetwas befüllst — Erbschaft und Notfallzugang gilt für Organisationen mindestens so sehr wie für Einzelpersonen.
Manche Chains bieten Spielraum darin, wie die Freigabe eines Signierenden zustande kommt. Auf EVM-Chains kann ein Vault beide Geräte einer Person verlangen oder einen Ein-Geräte-Modus akzeptieren; auf Solana tauscht ein Einzelschlüssel-Signaturmodus das 2-von-2 pro Person gegen größere Signierendenkreise, bis zu 7-von-15. Das sind bewusste Abwägungen zwischen Gremiengröße und Sicherheit pro Person, getroffen beim Anlegen des Vaults. Die Einzelschlüssel-Schnorr-Option wurde für Enterprise-Vaults eingeführt — genau mit diesem Tausch im Sinn.
Rollen sind keine Signaturmacht
Die häufigste Verwechslung in Produkten für geteilte Verwahrung ist, Organigramm und Schlüsselmaterial zu vermengen. SSP hält beides bewusst getrennt.
Organisationsrollen — Owner, Admin, Member, Viewer — regeln den Arbeitsbereich. Sie entscheiden, wer einladen darf, wer Vaults anlegen darf, wer Organisationseinstellungen ändern darf. Ein Owner kann jede Person ändern; ein Admin kann Member und Viewer ändern, aber keine anderen Admins; ein Viewer kann überhaupt nicht einladen.
Vault-Rollen — Admin, Signierender, Viewer — regeln einen bestimmten Vault. Nur der Schlüssel eines Signierenden steckt in der Adresse.
Die wichtige Folge: Organisations-Owner zu sein macht dich nicht ausgabefähig. Ist der Owner kein Signierender eines Vaults, kann er dessen Mittel nicht bewegen, ganz gleich, was das Dashboard sagt. Administrative Autorität und Verwahrungsautorität sind verschiedene Dinge, und in SSP liegen sie an verschiedenen Orten — die eine in einer Datenbank, die andere in einer Adresse.
Diese Trennung ist es, die eine Finanzleitung Vaults verwalten lässt, die sie nicht im Alleingang leeren kann, und die ein kompromittiertes Admin-Konto zu einem Koordinations- statt zu einem Solvenzproblem macht.
Was ein Vorschlag durchläuft
Aus einem Vault auszugeben ist ein Vorschlag, kein Klick.
Ein Signierender oder Vault-Admin entwirft eine Transaktion. Sie wird für die Signierenden des Vaults sichtbar, die sie auf ihren eigenen Geräten prüfen und freigeben — jede Freigabe auf dem Gerät dekodiert statt einem Server geglaubt. Sobald M Signaturen vorliegen, kann die Transaktion gesendet werden. Bis dahin liegt sie, und erreicht sie nie M, verfällt sie, statt unbegrenzt zu verweilen.
Die Simulation läuft vor deiner Freigabe, nicht danach: Der Vorschlag wird gegen eine Kopie des aktuellen Chain-Zustands ausgeführt, damit der Prüfbildschirm zeigen kann, was die Transaktion tatsächlich täte, und riskante Muster markiert, statt dich rohe Call-Daten lesen zu lassen. Das kam mit v1.40 zu den Enterprise-Vaults.
Richtlinien formen Vorschläge; Signaturen wickeln sie ab
SSP Enterprise unterstützt Adress-Whitelists, Zielbeschränkungen, Zeitsperren mit Wertschwellen und Regeln, die oberhalb eines Betrags eine Admin-Freigabe verlangen. Sie sind wirklich nützlich, und es lohnt sich, ehrlich zu benennen, was sie sind.
Das sind Steuerungen auf der Koordinationsebene, keine Verwahrungsdurchsetzung. Eine Whitelist verhindert, dass ein Vorschlag im normalen Ablauf erstellt und freigegeben wird. Sie wird nicht Teil der Adresse und wird vom Netzwerk nicht validiert. Das Einzige, was die Chain durchsetzt, ist die Signaturschwelle.
Wir sagen das deutlich, weil die Alternative — zu suggerieren, eine Richtlinien-Engine sei eine Verwahrungsgarantie — genau der Weg ist, auf dem Menschen später überrascht werden. Das richtige Denkmodell: Richtlinien sind die Prozesskontrollen, die ein Finanzteam will, aufgesetzt auf eine Verwahrungsgarantie, die unabhängig von ihnen besteht. Würden morgen sämtliche Richtlinien im System umgangen, bräuchte ein Angreifer immer noch M Signaturen von den gekoppelten Geräten von M Personen.
Was festgehalten wird
Jede zustandsändernde Handlung in einer Organisation wird aufgezeichnet: Vault-Erstellung, Beitritte und Abgänge, Rollenwechsel, ausgestellte und angenommene Einladungen, Eigentumsübertragungen und jeder Vorschlagsübergang. Prüfeinträge sind dauerhaft — kein Ablauf, kein Aufräumjob —, denn der Wert eines Prüfpfads liegt vollständig in den Teilen, deren Bedarf man nicht vorhergesehen hat.
Bestimmte Vorgänge gehen weiter und verlangen im Moment der Ausführung ein erneutes Signieren mit deinen beiden Geräten: Eigentum übertragen, eine Organisation löschen, ein Mitglied entfernen, die Unternehmens-E-Mail ändern. Die Challenge erzeugt der Server, nie der Client, und jeder Versuch — erfolgreich oder nicht — wird dauerhaft protokolliert.
Erste Schritte
Eine Organisation wird aus einer SSP-Identität erstellt, Vaults werden darin angelegt, und Signierende treten per Einladung an ihre eigene WK-Identität bei, nicht an eine E-Mail-Adresse. Jeder Signierende reicht seinen erweiterten öffentlichen Schlüssel ein, damit die Vault-Adresse abgeleitet werden kann, und der Vault wird aktiv, sobald der vollständige Kreis beigetragen hat.
Davor sind die zwei Entscheidungen, die man langsam treffen sollte, die Schwelle und der Signierendenkreis, weil beide nachträglich teuer zu ändern sind. Alles andere — Richtlinien, Rollen, Integrationen, Benachrichtigungseinstellungen — lässt sich jederzeit anpassen.
Die Launch-Ankündigung beschreibt, was ursprünglich ausgeliefert wurde, und SSPs Verträge samt Account-Abstraction-Infrastruktur wurden 2025 von Halborn geprüft. Falls dir das zugrunde liegende 2-von-2-Modell, das jeder Signierende nutzt, neu ist, beginne bei was ist 2-von-2-Multisig.
