Ein API-Schlüssel kann einem Bot oder Portfolio-Tool den Zugriff auf ein Konto bei einer Kryptobörse ermöglichen, ohne dass Sie dafür Ihr normales Passwort weitergeben. Genau deshalb sollten Sie die Rechte nicht beiläufig bestätigen. Wer nach „Krypto-Börsen-API-Schlüssel Berechtigungen“ sucht, möchte meist einen Dienst verbinden und zugleich verhindern, dass ein Fehler oder ein geleakter Schlüssel mehr auslöst als nötig. Für Nutzer in Deutschland gilt dieselbe technische Grundregel wie anderswo: Ein Schlüssel sollte nur die Aufgaben ausführen dürfen, die das verbundene Programm wirklich braucht.

Lesen, handeln und auszahlen sind verschiedene Rechte

Eine Börse kann getrennte Berechtigungen für Kontodaten, Orderaufgabe, Orderstornierung, Futures oder Auszahlungen anbieten. Die Namen und Schalter unterscheiden sich je nach Anbieter. Ein Portfolio-Tracker braucht häufig nur Leserechte. Ein Handelsbot kann zusätzlich Orders platzieren und stornieren müssen. Eine Auszahlungsberechtigung ist dafür normalerweise nicht erforderlich. Prüfen Sie die tatsächlichen Funktionen des Dienstes, statt sich allein auf eine Marketingbeschreibung oder den Namen eines Berechtigungsfeldes zu verlassen.

Ein Schlüssel mit Leserechten ist nicht automatisch harmlos: Er kann sensible Informationen über Guthaben, Transaktionen oder Handelsaktivität sichtbar machen. Trotzdem begrenzt eine klare Trennung den möglichen Schaden. Wenn ein Dienst nur Salden anzeigen soll, sollte er keine Order- oder Auszahlungsrechte erhalten. Wenn ein Bot handeln muss, sollten Auszahlungen und das Verwalten neuer Auszahlungsadressen deaktiviert bleiben, sofern der konkrete Zweck diese Rechte nicht nachweislich benötigt.

Wenden Sie das Minimalprinzip an

Gehen Sie vor dem Erstellen des Schlüssels die Oberfläche der Börse Zeile für Zeile durch. Wählen Sie zuerst nur die erforderlichen Konten und Märkte aus. Aktivieren Sie anschließend nur die nötigen Lese- oder Handelsrechte. Achten Sie besonders auf Rechte, die Überweisungen, Auszahlungen, Adressbücher oder Einstellungen betreffen. Eine Standardauswahl ist keine Empfehlung für Ihre konkrete Nutzung. Wenn unklar bleibt, was eine Option erlaubt, prüfen Sie die offizielle Hilfeseite des Anbieters oder verzichten Sie zunächst auf die Verbindung.

Ein separates Konto oder ein separat begrenzter Schlüssel kann die Folgen eines Fehlers eingrenzen. Verwenden Sie nicht denselben Schlüssel für eine Tabellen-Auswertung, einen Handelsbot und eine persönliche Automatisierung. So lässt sich ein Dienst einfacher identifizieren und widerrufen, und ein Ausfall betrifft nicht automatisch alle Arbeitsabläufe. Vergeben Sie einen eindeutigen Namen mit Zweck und Erstellungsdatum, aber schreiben Sie das geheime Schlüsselmaterial niemals in den Namen.

IP-Bindung und Ablaufdatum sorgfältig konfigurieren

Manche Anbieter erlauben eine Beschränkung auf bestimmte IP-Adressen oder ein Ablaufdatum. Eine IP-Freigabe kann verhindern, dass ein gestohlener Schlüssel von einem beliebigen Netz aus genutzt wird. Sie hilft jedoch nur, wenn die IP-Adresse des Dienstes stabil und bekannt ist. Ändert sich die Adresse, kann der Bot ausfallen. Fragen Sie beim Anbieter des Bots nach den veröffentlichten IP-Adressen und prüfen Sie sie unabhängig, bevor Sie eine Liste eintragen.

Ein Ablaufdatum begrenzt die Zeit, in der ein vergessenes oder kompromittiertes Geheimnis gültig bleibt. Planen Sie eine Erinnerung, den Schlüssel vor der Verlängerung zu prüfen, statt ihn unbemerkt dauerhaft weiterlaufen zu lassen. Wenn die Börse ein Nonce-Fenster, Unterkonten oder zusätzliche Sicherheitskontrollen anbietet, lesen Sie die dazugehörige Dokumentation. Keine dieser Optionen ersetzt die sichere Aufbewahrung des Secrets.

Schlüsselmaterial darf nicht in Logs oder Chats geraten

Der öffentliche API-Key und das Secret haben nicht denselben Offenlegungswert, aber beide sollten kontrolliert behandelt werden. Ein Secret gehört nicht in Screenshots, Support-Chats, geteilte Tabellen, Quellcode-Repositories oder unverschlüsselte Notizen. Wenn ein Dienst eine Datei oder einen QR-Code erzeugt, prüfen Sie zunächst, wo diese Daten gespeichert werden und wer darauf zugreifen kann. Verwenden Sie für den Zugang zum Börsenkonto ein eigenes starkes Passwort und eine zusätzliche Anmeldungssicherung.

Auch ein lokaler Rechner kann Daten synchronisieren. Prüfen Sie Cloud-Backups, Browser-Erweiterungen und Fernwartungssoftware, bevor Sie Schlüssel in eine Konfiguration kopieren. Speichern Sie nur, was die Automatisierung benötigt, und vermeiden Sie, Zugangsdaten in Fehlermeldungen auszugeben. Wenn Sie unsicher sind, erstellen Sie den Schlüssel neu, nachdem Sie die Konfiguration bereinigt haben.

Testen Sie den Schlüssel mit einem begrenzten Ablauf

Nach dem Speichern sollten Sie die Rechte in der Börsenoberfläche erneut kontrollieren. Ein Test mit einer kleinen, nicht kritischen Funktion kann zeigen, ob die Verbindung wie vorgesehen arbeitet. Prüfen Sie, ob der Bot nur auf die vorgesehenen Märkte zugreift, ob Stornierungen möglich sind und ob kein Auszahlungsrecht aktiviert wurde. Testen Sie keine ungeprüfte Strategie mit echtem Geld, nur um die API-Verbindung zu validieren. Starten Sie mit Beobachtung oder minimaler Ausführung und dokumentieren Sie, wie der Schlüssel sofort widerrufen werden kann.

Kontrollieren Sie außerdem die Aktivitätsanzeige und Benachrichtigungen des Anbieters. Unerwartete Login-Versuche, unbekannte IP-Adressen, neue Schlüssel oder Orders, die nicht zu Ihrem Ablauf gehören, sind ein Anlass, die Verbindung zu stoppen. Widerrufen Sie den Schlüssel in der Börse, nicht nur im Bot-Dashboard. Ändern Sie anschließend Passwörter und prüfen Sie offene Sitzungen sowie verbundene Geräte.

Checkliste vor der Freigabe

  • Ist der Zweck des Schlüssels klar und auf einen Dienst begrenzt?
  • Sind nur die notwendigen Lese- oder Handelsrechte aktiv?
  • Bleiben Auszahlungen und das Hinzufügen von Auszahlungsadressen ausgeschaltet?
  • Sind IP-Beschränkung und Ablaufdatum, falls verfügbar, passend konfiguriert?
  • Wissen Sie, wo das Secret liegt und wie Sie es widerrufen?
  • Haben Sie getestet, dass das Programm keine unerwarteten Rechte verlangt?

Die Bezeichnungen und Funktionen unterscheiden sich von Börse zu Börse. Prüfen Sie deshalb immer die aktuelle Anbieterdokumentation, insbesondere die Hinweise von Kraken zur Sicherheit von API-Schlüsseln und die Erläuterung zu Auszahlungsadressen. Ein API-Schlüssel macht automatisierten Handel nicht sicher oder profitabel. Krypto-Märkte sind volatil, technische Fehler können Verluste verursachen, und Hebel erhöht das Risiko. Der Beitrag ist keine Anlageberatung. Weitere Hinweise finden Sie im Hub für Börsensicherheit und im deutschen Cluster zu API und Ausführung.