DeFi-Nutzer setzen weiter auf hohe Renditen statt auf Sicherheit – und Angreifer profitieren davon. Was 2020 als idealistischer "DeFi Summer" begann, ist zu einem milliardenschweren Experiment geworden, das nur in geringem Umfang versichert ist. Seit der Begriff vor sechs Jahren im Krypto-Jargon Fuß fasste, haben unversicherte Lending-Protokolle laut DeFiLlama rund 7,7 Mrd. US-Dollar durch Exploits verloren. Allein im April 2026 wurden bei Sicherheitsvorfällen mehr als 600 Mio. US-Dollar vernichtet. Zu den größten Fällen zählten prominente Angriffe auf Drift und Kelp DAO. Die Vorfälle legen ein strukturelles Problem offen: Der DeFi-Versicherungsmarkt ist klein und für heutige Bedrohungen schlecht aufgestellt. Weniger als 2% des gesamten in DeFi gebundenen Kapitals (Total Value Locked, TVL) sind versichert, sagte Nexus-Mutual-Gründer Hugh Karp gegenüber CoinDesk. DeFiLlama führt zwar 28 Versicherungsprotokolle auf, doch Nexus Mutual steht nahezu allein für das TVL des Sektors von 123,5 Mio. US-Dollar – das entspricht nur 0,14% des breiteren DeFi-Ökosystems mit rund 83 Mrd. US-Dollar. Verschobene Angriffsfläche Frühe Policen waren vor allem auf Smart-Contract-Fehler ausgerichtet, die sich vergleichsweise gut prüfen und quantifizieren lassen. Die Angriffe haben sich weiterentwickelt. Ein großer Teil der heutigen Schäden entsteht durch Off-Chain-Probleme: kompromittierte Private Keys, Phishing, Social Engineering und fehlerhafte Bridge-Logik. In der DeFiLlama-Statistik sind kompromittierte Private Keys der größte Einzelposten, gefolgt von Phishing-Angriffen auf Multisig-Wallets. "Viele der größten Hacks hatten ihren Ursprung off-chain in operativen Sicherheitslücken", sagte Karp. Genau diese Szenarien sind für Versicherer schwer kalkulierbar, weil bei Teams oft standardisierte Operational-Security-Prozesse fehlen. Ohne klare Standards lässt sich Risiko kaum verlässlich bepreisen – Prämien steigen und werden für Nutzer unattraktiv. Ein Beispiel ist der Exploit bei Kelp DAO: Kriminelle manipulierten eine Bridge, verschafften sich Zugriff auf reale Vermögenswerte und nutzten diese anschließend als Sicherheiten bei Aave. Karp zufolge wäre das "Kernproblem des Bridge-Risikos" in typischen DeFi-Versicherungsprodukten oft nicht abgedeckt. Teilweise würden Policen nur Folgeschäden erstatten – etwa schlechte Schulden durch eingefrorene Oracles – nicht aber den operativen Ursprung des Angriffs. Warum Nutzer selten Versicherungsschutz kaufen Ein wesentlicher Faktor ist die Renditeorientierung. Versicherungsprämien von 2% bis 3% können die Erträge enger Strategien vollständig aufzehren, viele verzichten daher auf Schutz. "Die meisten DeFi-Nutzer sind renditegetrieben und wollen nicht mehrere Prozentpunkte an Ertrag für Versicherungsschutz aufgeben", sagte Dan She, Senior Audit Partner bei CertiK. Hinzu kommt eine strukturelle Fragilität: Die erste Generation dezentraler Versicherer war häufig denselben Infrastruktur- und Gegenparteirisiken ausgesetzt, die sie eigentlich absichern sollte – ein Kreislaufrisiko. In den frühen DeFi-Jahren wuchs der Sektor stark: von rund 3 Mio. US-Dollar Anfang 2020 auf etwa 1,89 Mrd. US-Dollar im November 2021. Zu den prägenden Namen zählten Nexus Mutual, Cover Protocol, InsurAce, Tidal Finance und Bridge Mutual. Zwischen 2021 und 2024 scheiterten jedoch viele dieser Protokolle, wurden gehackt oder kollabierten unter nicht tragfähigen Tokenomics und Interessenkonflikten. Cover Protocol wurde selbst gehackt und brach zusammen; Armor.fi, Bridge Mutual und Tidal verschwanden weitgehend. Nexus Mutual, seit 2019 aktiv, gehört zu den wenigen verbliebenen Anbietern. Karp zufolge hat Nexus Mutual bislang mehr als 6,5 Mrd. US-Dollar an Werten abgesichert und gut 18,5 Mio. US-Dollar ausgezahlt – hilfreich, aber gemessen am Gesamtrisiko des Marktes gering. Kritiker halten das frühere Modell grundsätzlich für fehlerhaft. "Man hat nur Gegenparteirisiko auf Gegenparteirisiko gestapelt", sagte Gaspard Peduzzi, Gründer von Spectra Finance, mit Blick darauf, dass DeFi-Versicherungen oft auf denselben dezentralen Konstruktionen basierten, die sie absichern sollten. Matthew Pinnock, COO bei Altura, verwies darauf, dass das Kapital in Versicherungspools häufig genau den Schwachstellen ausgesetzt war, gegen die es schützen sollte – und der Schutz ausgerechnet dann wegbrach, wenn er gebraucht wurde. Wenn Absicherung fehlt, trifft es oft Privatanleger Kommt es zu einem Exploit ohne ausreichenden Schutz, tragen häufig Privatanleger den Schaden. Karp beschrieb den typischen Ablauf nach einem Angriff: Zunächst fangen Sicherheitsmodule des Protokolls den ersten Verlust ab, anschließend werden Treasury-Mittel angezapft. Reicht das nicht, bleiben Einleger auf Verlusten sitzen. "In der Praxis fällt ohne Absicherung ein unverhältnismäßig großer Teil der Kosten auf die am wenigsten versierten Teilnehmer", sagte er. Wie es weitergeht Der Markt reagiert. Einige Teams integrieren Versicherungsschutz direkt in DeFi-Produkte, sodass die Absicherung automatisch greift und nicht optional ist. Andere plädieren für engere, klarer definierte Policen oder dafür, traditionelle Versicherer einzubinden, um Off-Chain-Risiken in Betrieb und Verwahrung besser abzudecken. Die Kernherausforderung bleibt: Das Risikoprofil von DeFi ist komplex und verändert sich schnell, während der Versicherungsmarkt weiterhin robuste Werkzeuge und Standards für die Preisbildung vermissen lässt. Solange das Underwriting nicht aufholt, bleibt der Sektor anfällig – und die Anreizstruktur wird viele Nutzer zu renditegetriebenen Entscheidungen verleiten, bei denen Milliarden auf dem Spiel stehen. Mit der steigenden Zahl an Hacks wächst der Druck, diese Schutzlücke zu schließen. Gelingt kein tragfähiger Kompromiss bei Deckung und Kosten, könnte das Wachstum von DeFi nachlassen – und künftige "Sommer" dürften für Unvorbereitete teurer werden.