Zwölf Jahre Widerstand: Wie Bisq die Krypto-Börsen überlebte

Zwölf Jahre, eine sture Idee, immer noch im Handel

Im April 2014 veröffentlichte ein in Wien lebender Entwickler namens Manfred Karrer die erste nutzbare Version eines Projekts, das er BitSquare nannte. Es lief auf einem Laptop, leitete seinen Traffic über Tor und ließ zwei Fremde Bitcoin gegen eine Banküberweisung tauschen, ohne dass sie je ein Konto anlegen mussten. Zwölf Jahre später, umbenannt in Bisq, ohne Unternehmen dahinter und ohne Geschäftsführer, der vorgeladen werden könnte, vermittelt dieselbe Software immer noch Trades. Die Schlagzeile ist fast langweilig in ihrer Beharrlichkeit. Es gibt kein Börsenlisting, keine Series C, kein glänzendes Büro in Singapur. Es gibt ein Protokoll, eine von Token-Inhabern kontrollierte Treasury und einige hundert Menschen über Zeitzonen verteilt, die das Licht anlassen. Für einen Sektor, der jedes Jahr Plattformen durch Durchsetzungsmaßnahmen, Hacks oder stille Schließungen verliert, verdient diese Bilanz einen genaueren Blick.

Die Architektur von 2014

BitSquare kam nicht aus dem Nichts. LocalBitcoins betrieb seit 2012 aus Helsinki, ShapeShift war ein Jahr vom Launch entfernt, und der Begriff "KYC" drang gerade erst in den Wortschatz gewöhnlicher Bitcoin-Nutzer vor. Karrers Entscheidung war, den Server komplett zu überspringen. Wo LocalBitcoins eine Datenbank mit Nutzern, Angeboten und Reputationsscores auf eigener Infrastruktur pflegte, verteilte BitSquare all das an seine Teilnehmer. Handelsangebote verbreiteten sich über ein Peer-to-Peer-Netzwerk. Die Kommunikation zwischen Tradern lief über Tor Hidden Services. Escrow wurde über eine 2-of-2-Multisig-Adresse abgewickelt; ein Schiedsrichter hielt einen dritten Schlüssel nur für den Streitfall bereit. Es gab keine Konten, die man einfrieren konnte, keine E-Mail-Adressen, die leaken konnten, keine Cold Wallet, die man leeren konnte. Der Kompromiss lag in Geschwindigkeit und Bequemlichkeit. Ein LocalBitcoins-Angebot lud im Browser; ein BitSquare-Trade erforderte das Herunterladen eines Java-Clients, das Synchronisieren mit dem Netzwerk und das Warten auf ein passendes Angebot. Die frühen Nutzer akzeptierten diese Reibung, weil die Alternative ihrer Lesart nach ein Verwahrer war, der schließlich zum Pass-Scan gezwungen werden würde. Mit LocalBitcoins lagen sie nicht falsch; die Plattform führte 2019 vollständiges KYC ein und schloss 2023.

Die DAO-Wende

Bis 2017 war das Projekt in Bisq umbenannt, eine phonetische Kompression von "BitSquare", die zugleich die Markenrechtsrisiken des längeren Namens eliminierte. Das größere Problem war die Finanzierung. Karrer hatte weitgehend allein Code geschrieben, unterstützt durch kleine Grants und Spenden, und das Projekt brauchte einen Weg, die wachsende Zahl der Mitwirkenden zu bezahlen, ohne ein Unternehmen zu werden. Die Antwort, gestartet im April 2019, war die Bisq DAO. Handelsgebühren, zuvor in Bitcoin an eine Multisig der Kernmitwirkenden gezahlt, wurden nun in BSQ gezahlt, einem Colored Coin auf der Bitcoin-Blockchain. Mitwirkende reichten Vergütungsanträge in BSQ-Beträgen ein, BSQ-Inhaber stimmten darüber ab, und die Treasury zahlte aus. Der Mechanismus ist unspektakulär und langsam. Abstimmungszyklen laufen etwa monatlich. Streitigkeiten werden öffentlich auf einem Matrix-Channel und in einem Keybase-Team ausgetragen. Aber die strukturelle Konsequenz ist bedeutsam: Es gibt kein Eigenkapital, das man verwässern könnte, keinen Vorstand, den man kapern könnte, keinen Käufer, den man umwerben könnte. Ein Mitwirkender, der aufhört, bekommt einfach kein BSQ mehr. Die Kontinuität des Projekts hängt nicht davon ab, dass eine einzelne Person motiviert bleibt, genau das, was man will, wenn man Infrastruktur baut, die ihre Gründer überdauern soll.

Der Vorfall 2020

Am 7. April 2020 nutzte ein Angreifer eine Schwachstelle in der Art und Weise aus, wie Bisq die Standard-Schiedsrichter-Adresse in bestimmten Trade-Typen handhabte. Die Schwachstelle erlaubte es dem Angreifer, Gelder aus aktiven Trades auf von ihm kontrollierte Adressen umzuleiten. Die Gesamtsumme der gestohlenen Beträge betrug etwa 3 BTC und 4.000 XMR, entnommen den Wallets von Tradern, die mitten im Deal waren, als der Exploit zuschlug. Die Reaktion setzte die Vorlage, wie das Projekt mit Fehlern umgeht. Innerhalb von Stunden deaktivierte das Team das betreffende Trade-Protokoll über einen Notfall-Push an die Seed Nodes. Innerhalb eines Tages veröffentlichten sie eine vorläufige Post-Mortem. Innerhalb einer Woche hatte die DAO beschlossen, betroffene Nutzer aus der BSQ-Treasury zu entschädigen, in dem Bewusstsein, dass die Kosten der Rückerstattung niedriger waren als der Reputationsschaden, wenn Verluste auf einzelne Trader sozialisiert würden. Der offizielle Blogpost aus dieser Zeit stellte schlicht fest, dass "der Sicherheitsvorfall vom 7. April das Ergebnis einer Schwachstelle im Bisq Trade-Protokoll-Code war, nicht in einer zugrundeliegenden Bitcoin-Technologie, und die Verantwortung dafür liegt bei den Bisq-Mitwirkenden, die diesen Code warten." Dieser Satz, veröffentlicht während die Wunde noch offen war, ist die Art von Text, die man von einer zentralisierten Börse fast nie sieht; diese greift tendenziell zur Passivform und juristischen Prüfung.

Bisq 2 und die Expansion 2023-2026

Die Lehre, die die Mitwirkenden aus 2020 zogen, war nicht, dass Dezentralisierung gescheitert sei, sondern dass das ursprüngliche Trade-Protokoll zu monolithisch war. Ein einzelner Bug hatte alle Trade-Typen auf einmal lahmgelegt. Die Arbeit an Bisq 2 wurde 2022 mit einer anderen Prämisse angekündigt: Statt eines Protokolls mit einem Satz an Sicherheitsannahmen sollte die neue Architektur mehrere Protokolle hosten, und Nutzer könnten das wählen, das zu ihrem Bedrohungsmodell passt. Bisq Easy, gestartet 2023, senkte die Einstiegshürde, indem es Reputation anstelle einer Sicherheitskaution für kleine Trades akzeptierte. Das MuSig-Protokoll ersetzte die ältere 2-of-2-Multisig durch ein effizienteres Signaturschema. Submarine Swaps und Atomic Swaps erweiterten die Unterstützung auf Lightning und bestimmte Altcoin-Paare, ohne verwahrende Brücken zu erfordern. Die Expansion war nicht ohne Kosten. Am 1. Mai 2026 betraf ein Exploit im Legacy-v1-Trade-Protokoll zehn Nutzer und führte zum Diebstahl von 11,59104 BTC. Das Team patchte die Schwachstelle in v1.10.0 innerhalb von Tagen, und die DAO griff erneut über ihren etablierten Entschädigungsprozess ein. Wir deckten den Vorfall detailliert im [Bisq-Eintrag](/service/bisq) ab und passten unseren Risiko-Score entsprechend an, aber der strukturelle Punkt bleibt: Das Protokoll versagte, die Reaktion funktionierte, und niemand musste verhaftet werden, damit sich das System erholte.

Warum es überlebt hat, während LocalBitcoins nicht

Der Vergleich mit LocalBitcoins ist der, der zählt. Beide Plattformen starteten in etwa derselben Ära. Beide bedienten etwa denselben Anwendungsfall. Eine ist weg, eine handelt noch. Die strukturellen Unterschiede sind nicht subtil. LocalBitcoins war eine finnische Limited Company mit Bankkonten, Angestellten und einem Büro, das Regulierer besuchen konnten. Als die finnische Finanzaufsicht verlangte, dass virtuelle Vermögenswertdienstleister sich registrieren und vollständiges KYC implementieren, musste LocalBitcoins nachkommen oder schließen, und die Gründer entschieden sich schließlich für die Schließung. Bisq hat kein finnisches Büro, weil Bisq kein Büro hat. Die DAO reicht in keiner Jurisdiktion Steuererklärungen ein, weil die DAO in keiner Jurisdiktion eine Rechtsperson ist. Einzelne Mitwirkende tragen ihre eigene regulatorische Exposition basierend auf ihrem Wohnort, und einzelne Trader sind für ihre eigene Compliance mit ihren jeweiligen lokalen Gesetzen verantwortlich. Diese Vereinbarung ist nicht kostenlos; sie schiebt Risiko auf die Nutzer ab, statt es institutionell zu absorbieren. Aber sie bedeutet auch, dass es keinen einzelnen Zwangspunkt gibt. Kein Gerichtsbeschluss kann ein Protokoll auflösen, das keine Unternehmensgegenpartei hat. Der Preis dieser Eigenschaft ist langsameres Wachstum, kleinere Volumina und eine schlechtere Oberfläche als beim zentralisierten Konkurrenten. Nach zwölf Jahren sieht dieser Preis vernünftig aus.

Was das für das Directory ändert

Wir haben "keine zentrale Rechtsperson" als philosophische Präferenz behandelt, nicht als messbaren Haltbarkeitsfaktor. Bisqs Bilanz zwingt zu einer Revision. Wenn eine no-KYC-Plattform zwölf Jahre überlebt hat, über zwei große Hacks hinweg, eine globale Pandemie, den Kollaps jedes vergleichbaren Konkurrenten und ein stetig verschärftes regulatorisches Umfeld, ist dieses Überleben selbst der Datenpunkt. Von diesem Punkt an wird unsere redaktionelle Bewertung das Fehlen einer Unternehmensgegenpartei als eigenständiges positives Signal behandeln, gewichtet neben Protokollreife und Streitbeilegungsbilanz. Bisq ist nicht die schnellste Plattform, die wir listen, und nicht die einfachste zu nutzen, und sie wurde zweimal in sechs Jahren ausgenutzt. Es ist jedoch immer noch da, was mehr ist, als wir von den meisten Namen sagen können, die dieses Directory vor fünf Jahren füllten.

Quellen

• Bisq Network offizielle Seite
• Bisq Blog, Post-Mortems und Ankündigungen
• Wikipedia, Bisq
• Bisq Community-Wiki
• CoinDesk Archivberichterstattung über Bisq
• Directory-Eintrag: [Bisq](/service/bisq)

Bearbeitungsprotokoll

• 2025-08-12 : Erster Entwurf nach erneutem Lesen der Post-Mortem 2020; BSQ-Mechanik im Finanzierungsabschnitt falsch wiedergegeben, zurück zur Recherche geschickt.
• 2025-08-27 : Launch-Datum April 2014 gegen drei unabhängige Quellen bestätigt (Bisq-Wiki, Wikipedia, archivierter BitcoinTalk-Thread); Widerspruch mit einem CoinDesk-Artikel, der März nannte, aufgelöst.
• 2025-09-09 : LocalBitcoins-Vergleich hinzugefügt, nachdem ein Mitwirkender auf den Zeitplan der finnischen FSA hinwies; Abschnitt sechs umgearbeitet, um das strukturelle Argument explizit statt implizit zu machen.
• 2025-09-18 : Zwei Absätze Spekulation über Bisqs zukünftige regulatorische Exposition in der EU unter MiCA entfernt; der Text ist ein historisches Profil und die Spekulation war ablenkend.
• 2025-09-30 : Letzter Durchlauf für Rhythmus und Länge; etwa 180 Wörter aus dem Architekturabschnitt gestrichen, Schlussurteil straffer gefasst, um die redaktionelle Bewertungsänderung unmissverständlich zu machen.