Smart-Contract-Audit: Ablauf, Kosten und Grenzen (2026)

Ein Smart-Contract-Audit ist eine unabhängige Sicherheitsprüfung des Codes eines Protokolls, bevor (oder nachdem) es Nutzergelder verwaltet. Spezialisierte Prüfer lesen die Verträge Zeile für Zeile, setzen automatisierte Tools ein und erstellen einen Bericht, der Schwachstellen nach Schweregrad auflistet, damit das Team sie beheben kann. Im Jahr 2026 kostet ein typisches DeFi-Audit laut Sherlocks Preisreferenz vom Februar 2026 etwa 25.000 $ bis 100.000 $, wobei einfache Token deutlich weniger und Bridges deutlich mehr kosten.

Ein Audit senkt das Risiko, beseitigt es aber nicht. Dieser Leitfaden erklärt, wie der Prozess abläuft, was Audits finden und was sie übersehen, was sie kosten, wie Wettbewerbe, Bug-Bounties und formale Verifikation einzuordnen sind und wie Sie als Nutzer einen Audit-Bericht lesen.

Was ist ein Smart-Contract-Audit?

Smart Contracts sind Programme, die Geld ohne menschliches Zutun halten und bewegen. Nach dem Deployment kann ein Fehler in einer einzigen Transaktion ausgenutzt werden, und On-Chain-Überweisungen lassen sich nicht rückgängig machen. Ein Audit ist das, was in DeFi einer Vorflugkontrolle am nächsten kommt.

Ein Standardauftrag bei einer Audit-Firma folgt denselben groben Schritten:

1. Scoping. Das Team benennt die genauen Verträge und den Commit-Hash, die geprüft werden sollen. Alles außerhalb dieses Umfangs ist nicht abgedeckt.
2. Code-Freeze. Der Code wird während der Prüfung nicht mehr verändert, sodass sich die Ergebnisse auf eine bekannte Version beziehen.
3. Prüfung. Die Auditoren lesen den Code manuell, modellieren mögliche Angriffe und nutzen Werkzeuge wie statische Analysetools, Fuzzer und mitunter formale Verifikation.
4. Bericht. Jeder Befund erhält einen Schweregrad (meist kritisch, hoch, mittel, niedrig und informativ) sowie eine empfohlene Korrektur.
5. Behebung und Fix-Review. Das Team behebt die Probleme, und der Auditor prüft die Korrekturen. Laut Sherlock kosten diese Re-Audit-Runden in der Regel zusätzlich 5.000 $ bis 20.000 $ pro Durchgang und sollten von Anfang an eingeplant werden.

Das Ergebnis ist ein öffentliches oder privates PDF. Die wichtigste Zeile darin wird oft übersehen: der Commit-Hash. Ein Audit gilt nur für genau diesen Code.

Was Audits finden und was sie übersehen

Audits sind gut darin, bekannte Fehlerklassen zu finden: Reentrancy, fehlende Zugriffskontrollen, fehlerhafte Mathematik und Rundung, ungeprüfte Rückgabewerte und Logik, die es einem Nutzer erlaubt, die Gelder eines anderen zu nehmen. Sie erkennen auch Designprobleme, etwa ein Orakel, das sich mit einem Flash Loan verschieben lässt, oder ein Preisorakel, das veralten kann.

Deutlich schwächer sind sie bei Folgendem:

• Code, der nach dem Audit geändert wurde. Ein späteres Upgrade oder ein neues Modul ist ungeprüft, sofern es nicht separat geprüft wurde.
• Ökonomische Angriffe. Code kann genau das tun, wofür er geschrieben wurde, und trotzdem durch Marktmanipulation oder schlechtes Anreizdesign leergeräumt werden.
• Integrationen. Das Risiko liegt oft darin, wie ein Protokoll mit anderen Protokollen, Orakeln und Bridges interagiert, die möglicherweise außerhalb des Prüfumfangs liegen.
• Operatives Risiko. Geleakte Admin-Schlüssel, bösartige Upgrades und kompromittierte Frontends sind überhaupt keine Code-Fehler.
• Vorsätzlicher Betrug. Ein Audit kann ein Team nicht aufhalten, das einen Rug Pull über Befugnisse plant, die es sich selbst vorbehalten hat.

Das Beispiel Euler

Euler Finance, ein Lending-Protokoll, verlor am 13. März 2023 bei einem Flash-Loan-Angriff rund 197 Millionen US-Dollar, berichtete The Block. Die Schwachstelle lag in einer Funktion, die bei einer späteren Codeänderung hinzugefügt worden war, donateToReserves, und der die Health-Prüfung fehlte, die andere Funktionen durchführten, so CertiKs Analyse. Euler hatte zwischen Mai 2021 und September 2022 10 Audits von sechs Firmen absolviert, berichtete Cointelegraph, und Sherlock, dessen Prüfung diese Änderung abgedeckt hatte, erklärte sich bereit, einen Anspruch von 4,5 Millionen US-Dollar zu zahlen. Der Angreifer gab bis Anfang April 2023 alle wiederherstellbaren Gelder zurück, insgesamt über 177 Millionen US-Dollar, so The Block.

Die Lehre daraus ist nicht, dass Audits nutzlos sind. Sondern dass eine einzige fehlende Prüfung in einer einzigen Änderung genügen kann und dass „auditiert“ eine Momentaufnahme beschreibt.

Was kostet ein Smart-Contract-Audit?

Die Preise hängen von Codeumfang, Komplexität, Programmiersprache, Ruf der Firma und Dringlichkeit ab. Veröffentlichte Spannen stammen meist von den Audit-Firmen selbst; betrachten Sie sie daher als Marktsignale und nicht als feste Sätze.

Quellen: Sherlock, 18. Februar 2026 und der Kostenleitfaden 2026 von QuillAudits.

Sherlock gibt außerdem an, dass Angebote für funktional ähnliche Umfänge je nach Firma zwischen 15.000 $ und 150.000 $ liegen können, dass Eilaufträge 20 bis 40 Prozent aufschlagen und dass Protokolle mit nennenswertem TVL insgesamt oft 150.000 $ bis 500.000 $ pro Jahr für Sicherheit ausgeben. Ein einzelnes Audit ist selten das gesamte Budget: Seriöse Teams kombinieren es mit einem Wettbewerb, einem Bug-Bounty und Monitoring.

Audit-Wettbewerbe, Bug-Bounties und formale Verifikation

Audit-Wettbewerbe

Bei einem Wettbewerb stellt ein Protokoll einen Preispool bereit, und viele unabhängige Researcher prüfen denselben Code in einem festen Zeitfenster. Die Auszahlungen gehen an diejenigen, die gültige Probleme finden, gewichtet nach Schweregrad. Der Reiz: mehr Augen für ein festes Budget; der Nachteil: ungleichmäßige Abdeckung und viele unbrauchbare Einreichungen.

Der Markt hat sich 2026 verändert. Code4rena, die Plattform, die das Modell populär gemacht hat, kündigte im Mai 2026 an, ihren Betrieb einzustellen, wobei Immunefi ihre Bug-Bounty-Kunden übernimmt, berichtete AMBCrypto am 14. Mai 2026. Mit Stand 17. Oktober 2026 listet Sherlock mehr als 300 Wettbewerbe, und Cantina zeigt einen laufenden Wettbewerb und meldet 56 Millionen US-Dollar, die über alle Programme an Researcher ausgezahlt wurden.

Bug-Bounties

Ein Bug-Bounty ist eine dauerhafte Belohnung für jeden, der eine Schwachstelle in Live-Code verantwortungsvoll meldet. Es deckt die Zeit nach dem Launch ab, also genau dort, wo Audits enden. Immunefi, die größte Web3-Bounty-Plattform, gibt an, mehr als 110 Millionen US-Dollar an Bounties ausgezahlt zu haben, darunter 10 Millionen US-Dollar für einen kritischen Wormhole-Fehler und 6 Millionen US-Dollar für einen in Aurora (Zahlen von ihrer Website, Stand 17. Oktober 2026). Ein Bounty, das im Vergleich zu den gefährdeten Geldern klein ist, gibt einem Finder wenig Grund, die Lücke zu melden statt sie auszunutzen.

Formale Verifikation

Formale Verifikation beweist mathematisch, dass Code schriftlich festgelegte Regeln erfüllt, etwa „die Summe der Einlagen entspricht immer der Summe der Nutzerguthaben“. Sie kann ganze Fehlerklassen ausschließen, aber nur für die Eigenschaften, an deren Formulierung jemand gedacht hat. Die Werkzeuge sind günstiger geworden: Certora hat seinen Prover am 24. Februar 2025 als Open Source veröffentlicht und kostenlos nutzbar gemacht.

Bekannte Smart-Contract-Audit-Firmen

Für Auditoren gibt es weder Lizenz noch Aufsichtsbehörde, daher beruht der Ruf auf der Erfolgsbilanz, veröffentlichten Berichten und den Menschen, die die Arbeit machen. Zu den bekannten Namen zählen Trail of Bits, OpenZeppelin, ChainSecurity, Spearbit (das die Cantina-Plattform aufgebaut hat), Zellic, Certora und OtterSec. Move-basierte Chains wie Sui verfügen über einen kleineren Pool an Spezialisten; Sui benannte OtterSec und Zellic in einer Ankündigung vom Dezember 2023 als Audit-Partner des Ökosystems.

Achten Sie bei der Bewertung einer Firma auf drei Dinge statt auf das Logo:

• Relevante Erfahrung. Hat sie ähnliche Protokolle in derselben Sprache geprüft?
• Namentlich genannte Prüfer und aufgewendete Zeit. Gute Berichte nennen, wer den Code geprüft hat und wie viele Tage.
• Öffentliche Berichte mit echten Befunden. Eine Historie sauberer Berichte ohne Befunde ist ein Warnsignal, keine Beruhigung.

So lesen Sie als Nutzer einen Audit-Bericht

Sie müssen weder Solidity noch Move lesen können, um aus einem Audit-Bericht Nutzen zu ziehen. Prüfen Sie diese Punkte der Reihe nach:

1. Ist der Bericht echt? Suchen Sie ihn auf der eigenen Website oder im GitHub des Auditors, nicht nur auf der Seite des Projekts.
2. Was gehörte zum Prüfumfang? Vergleichen Sie die aufgeführten Verträge und den Commit-Hash mit dem, was deployt ist. Eine neuere Version bedeutet, dass der Bericht möglicherweise nicht gilt.
3. Wie schwerwiegend waren die Befunde? Zählen Sie die kritischen und hohen Probleme.
4. Wurden sie behoben? „Acknowledged“ bedeutet, dass das Team das Risiko akzeptiert und nicht behoben hat. Achten Sie auf „resolved“ oder „fixed“ mit einem verifizierten Fix-Review.
5. Wie steht es um Admin-Befugnisse? Berichte weisen oft auf Zentralisierungsrisiken hin, etwa einen Owner, der Verträge upgraden oder Auszahlungen ohne Timelock pausieren kann.

Treten Sie dann einen Schritt zurück. Ein Audit ist nur ein Baustein. Unser Leitfaden, wie Sie prüfen, ob ein DeFi-Protokoll sicher ist, behandelt den Rest: Erfolgsbilanz, TVL-Verlauf, Governance und Exit-Liquidität. Zur Absicherung gegen einen Hack lesen Sie DeFi-Versicherung.

Wo JewelSwap steht

Wir finden, dass Nutzer den Audit-Status eines Produkts kennen sollten, bevor sie einzahlen. JewelSwaps Ember-Loop-Vault auf Sui ist eine öffentliche Beta und nicht auditiert, was wir auf der Ember-Loop-Seite angeben. Er steht Einwohnern der USA und des Vereinigten Königreichs nicht zur Verfügung. Behandeln Sie jeden nicht auditierten Vertrag, auch unseren, als risikoreicher und bemessen Sie Positionen entsprechend.

Häufig gestellte Fragen

Was ist ein Smart-Contract-Audit?

Es ist eine unabhängige Sicherheitsprüfung des Smart-Contract-Codes eines Protokolls. Auditoren kombinieren manuelle Prüfung mit automatisierten Tools und veröffentlichen dann einen Bericht, der Schwachstellen nach Schweregrad und empfohlene Korrekturen auflistet.

Was kostet ein Smart-Contract-Audit?

Veröffentlichte Spannen für 2026 reichen von etwa 5.000 $ für einen einfachen Token bis über 150.000 $ für komplexe Multi-Chain-Systeme. Sherlock verortet die meisten DeFi-Protokoll-Audits zwischen 25.000 $ und 100.000 $, wobei Re-Audits 5.000 $ bis 20.000 $ pro Durchgang hinzufügen.

Wie lange dauert ein Audit?

Das hängt von Codeumfang und Komplexität ab. Ein kleiner Token kann Tage dauern, während ein vollständiges DeFi-Protokoll oft mehrere Wochen Prüfung plus Zeit für Korrekturen und ein Fix-Review benötigt.

Bedeutet ein Audit, dass ein Protokoll sicher ist?

Nein. Ein Audit deckt bestimmten Code bei einem bestimmten Commit ab. Es kann Fehler übersehen und deckt keine späteren Upgrades, ökonomischen Angriffe, geleakten Schlüssel oder unehrlichen Teams ab. Euler war auditiert und verlor 2023 trotzdem rund 197 Millionen US-Dollar.

Was ist der Unterschied zwischen einem Audit, einem Wettbewerb und einem Bug-Bounty?

Ein Audit ist eine bezahlte Prüfung durch eine Firma. Ein Wettbewerb bezahlt viele unabhängige Researcher dafür, denselben Code in einem festen Zeitraum zu prüfen. Ein Bug-Bounty ist eine dauerhafte Belohnung für Schwachstellen, die nach dem Launch in Live-Code gefunden werden.

Ist Code4rena noch aktiv?

Code4rena kündigte im Mai 2026 an, den Betrieb einzustellen, wobei Immunefi seine Bug-Bounty-Kunden übernimmt. Sherlock und Cantina führen weiterhin Audit-Wettbewerbe durch.

Weiterlesen

• So prüfen Sie, ob ein DeFi-Protokoll sicher ist
• Was ist ein Rug Pull?
• Was ist ein Flash Loan?
• DeFi-Versicherung erklärt
• Address-Poisoning-Betrug

Dieser Artikel dient der Bildung und ist keine Finanz-, Rechts- oder Sicherheitsberatung. Preise und Plattformzahlen gelten mit Stand 17. Oktober 2026 und stammen aus den verlinkten Quellen; Audit-Angebote variieren stark zwischen Firmen und Projekten. JewelSwap betreibt den hier erwähnten Ember-Loop-Vault, der eine nicht auditierte Beta ist.