Krypto Konto absichern: API Keys, Zwei Faktor und Auszahlungsadressen

Der wirksamste Hebel beim Absichern eines Börsenkontos ist nicht ein längeres Passwort, sondern die Berechtigung deiner Schnittstellenschlüssel. Ein Schlüssel mit reinen Leserechten kann weder handeln noch auszahlen, ganz gleich, wer ihn besitzt. Alles Weitere, von der Zwei-Faktor-Anmeldung bis zur Positivliste für Auszahlungen, baut darauf auf.

Warum ist der API-Schlüssel der wichtigste Punkt?

Weil er dauerhaft gültig ist und im Hintergrund arbeitet. Anders als eine Anmeldung im Browser fällt er nicht auf, wenn er benutzt wird, und anders als ein Passwort liegt er zwangsläufig in einem zweiten System, nämlich in der Software, die ihn verwendet.

Genau deshalb ist die Berechtigung entscheidend und nicht die Geheimhaltung allein. Geheimhaltung ist eine Annahme über die Zukunft, eine eingeschränkte Berechtigung ist eine Tatsache. Wer beides hat, ist gut aufgestellt. Wer nur auf Geheimhaltung setzt, hat keinen Plan für den Fall, dass sie scheitert.

Die Menüpfade unterscheiden sich zwischen Börsen und ändern sich regelmäßig. Was hier steht, beschreibt die Prinzipien. Die konkreten Schritte stehen in der Dokumentation deiner Börse, und eine praktische Anbindung zeigt der Artikel zum Anbinden der Bitget API.

Welche Berechtigungen braucht ein Journal wirklich?

Nur Leserechte. Ein Journal wertet aus, was passiert ist, und braucht dafür Zugriff auf Positionen, Ausführungen und Kontobewegungen. Es muss nichts auslösen.

Daraus folgt eine einfache Regel für die Einrichtung: Handelsrechte aus, Auszahlungsrechte aus, alles was schreibt aus. Wenn eine Oberfläche diese Trennung nicht anbietet, ist das ein Grund, die Anbindung zu überdenken, und kein Grund, mehr Rechte zu vergeben.

Zwei Punkte werden dabei oft übersehen. Erstens braucht jeder Zweck einen eigenen Schlüssel, damit du einen einzelnen sperren kannst, ohne alles andere zu unterbrechen. Zweitens gehört bei Börsen, die zusätzlich eine Passphrase verlangen, diese genauso geschützt wie der Schlüssel selbst, weil sie zusammen ein Paar bilden.

Was bringt die Beschränkung auf Netzwerkadressen?

Sie macht einen abhandengekommenen Schlüssel an den meisten Orten unbrauchbar. Viele Börsen erlauben, einen Schlüssel nur von bestimmten Netzwerkadressen aus gelten zu lassen, und diese Einstellung ist häufig die wirksamste nach der Berechtigung selbst.

Praktisch ist sie dann sinnvoll, wenn die Software, die den Schlüssel nutzt, von einer festen Adresse aus arbeitet. Bei einem Dienst ist das üblicherweise der Fall, und die zu hinterlegenden Adressen stehen in dessen Dokumentation.

Die Einschränkung dabei: Ändert sich die Adresse, bricht die Verbindung ab, und zwar ohne Vorwarnung. Wer diese Einstellung nutzt, sollte deshalb wissen, woran eine unterbrochene Synchronisation zu erkennen ist, und sie nicht mit einem Fehler in der Auswertung verwechseln.

Wie oft solltest du Schlüssel erneuern?

In einem festen Rhythmus statt nach Gefühl, und zusätzlich immer dann, wenn ein Anlass eintritt. Ein Quartal ist ein gängiger Abstand und niedrig genug, dass es nicht vergessen wird.

Wichtiger als der Rhythmus ist allerdings das Aufräumen. Drei Fälle verlangen ein sofortiges Löschen statt eines Erneuerns:

• Ungenutzte Schlüssel. Jeder Schlüssel, den keine Software mehr braucht, ist reines Risiko ohne Gegenwert.
• Schlüssel aus Testläufen. Sie entstehen beim Ausprobieren und werden fast nie wieder angefasst.
• Schlüssel bei Diensten, die du nicht mehr nutzt. Das Beenden eines Abonnements löscht den Schlüssel bei deiner Börse nicht.

Führe dafür eine kurze eigene Liste: Welcher Schlüssel liegt bei welchem Dienst, mit welchen Rechten, seit wann. Diese Liste ist der einzige Ort, an dem du den Überblick behältst, denn die Börse zeigt dir den Zweck eines Schlüssels nicht an.

Wo bewahrst du Schlüssel und Passphrase auf?

In einem Passwortmanager und sonst nirgends. Das klingt selbstverständlich und ist es in der Praxis nicht, weil der geheime Teil eines Schlüssels bei den meisten Börsen nur ein einziges Mal angezeigt wird und deshalb schnell irgendwo zwischengelagert wird.

Genau dieses Zwischenlagern ist das Problem. Eine Textdatei auf dem Schreibtisch, eine Nachricht an dich selbst, ein Screenshot in der Fotomediathek: Alle drei sind unverschlüsselt, werden oft automatisch gesichert und geraten damit in Systeme, an die beim Anlegen niemand gedacht hat.

Zwei Regeln ersparen die meisten Fälle. Erstens: Schlüssel und Passphrase wandern direkt aus der Börsenoberfläche in den Passwortmanager und von dort in die Software, die sie braucht. Zweitens: Wird der geheime Teil doch einmal kopiert und irgendwo abgelegt, ist das ein Anlass, den Schlüssel zu löschen und neu zu erzeugen, statt ihn aufzuräumen.

Und unabhängig davon: Kein seriöser Anbieter fragt dich in einem Chat oder per Nachricht nach dem geheimen Teil eines Schlüssels, nach deiner Passphrase oder nach einem Zwei-Faktor-Code. Eine solche Anfrage ist selbst dann kein Sonderfall, wenn sie plausibel begründet wird.

Woran erkennst du einen unberechtigten Zugriff früh?

An Abweichungen, die du nur bemerkst, wenn du weißt, wie der Normalzustand aussieht. Drei Quellen helfen dabei, und sie ergänzen sich.

• Benachrichtigungen der Börse über Anmeldungen, neue Schlüssel und Auszahlungsanfragen. Diese Einstellungen gehören aktiviert, auch wenn sie zunächst lästig wirken.
• Die eigene Schlüsselliste im regelmäßigen Abgleich mit der Übersicht in der Börsenoberfläche. Ein Schlüssel, der dort steht und in deiner Liste fehlt, ist der wichtigste Einzelbefund überhaupt.
• Dein Journal als unabhängige Gegenprobe. Ein Vorgang, der im Konto steht und in deiner eigenen Planung nicht, fällt dir beim Abgleich auf.

Der dritte Punkt wird selten als Sicherheitsmaßnahme gesehen, ist aber genau das. Wer seine Trades ohnehin täglich abgleicht, hat eine zweite Sicht auf das Konto, die nicht von der Börse selbst stammt.

Welches Zwei-Faktor-Verfahren ist sinnvoll?

Die Verfahren unterscheiden sich deutlich in ihrer Widerstandsfähigkeit, und der Unterschied ist größer als die Bequemlichkeit, die sie kosten.

Ein Sicherheitsschlüssel als Gerät ist die stärkste verbreitete Variante, weil die Bestätigung an die echte Adresse der Website gebunden ist und auf einer nachgebauten Seite nicht funktioniert. Genau dieser Fall, die täuschend echte Anmeldeseite, ist das häufigste Angriffsmuster überhaupt.

Eine Authentifizierungs-App mit zeitbasierten Codes ist die praktikable Alternative und deutlich besser als nichts. Sie schützt allerdings nicht davor, den Code auf einer nachgebauten Seite einzugeben.

Bestätigung per Kurznachricht ist die schwächste Variante, weil sie an eine Rufnummer gebunden ist und nicht an dich. Wo es eine Alternative gibt, ist sie vorzuziehen.

Unabhängig vom Verfahren gilt: Die Wiederherstellungscodes gehören an einen Ort, der nicht dasselbe Gerät ist. Ein zweiter Faktor, dessen Notfallcodes im selben Telefon liegen, ist im Ernstfall kein zweiter Faktor.

Warum eine Positivliste für Auszahlungsadressen?

Weil sie die letzte Stufe absichert. Selbst wenn jemand Zugang zum Konto erlangt, kann er Mittel nur an vorher hinterlegte Adressen senden, und deren Aufnahme ist typischerweise mit einer Wartezeit verbunden.

Diese Wartezeit ist kein Nachteil, sondern der eigentliche Zweck. Sie schafft ein Zeitfenster, in dem ein unberechtigter Zugriff auffallen kann, bevor Mittel das Konto verlassen.

Richte die Liste deshalb ein, solange nichts passiert ist, und halte sie kurz. Jede Adresse, die du nicht mehr brauchst, gehört entfernt. Und plane Auszahlungen so, dass die Wartezeit nicht in dem Moment stört, in dem du sie zum ersten Mal brauchst.

Was tust du, wenn ein Schlüssel abhandenkommt?

Die Reihenfolge entscheidet, weil die ersten beiden Schritte Wirkung haben und die späteren nur noch aufklären.

1. Schlüssel löschen, nicht nur die Rechte ändern. Löschen wirkt sofort und vollständig.
2. Auszahlungen prüfen und die Positivliste kontrollieren. Steht dort eine Adresse, die du nicht kennst, ist das der dringlichste Punkt.
3. Passwort ändern und aktive Anmeldungen beenden, soweit deine Börse das anbietet.
4. Alle übrigen Schlüssel durchsehen, weil ein abhandengekommener Schlüssel selten allein auftritt.
5. Die Börse informieren und den Vorgang dokumentieren, mit Zeitpunkten.

Erst danach kommt die Frage, wie es passiert ist. Sie ist wichtig, aber sie hält niemanden auf.

Was hat das mit deinem Journal zu tun?

Mehr, als es zunächst scheint. Ein Journal, das seine Daten über eine Anbindung bezieht, ist von deren Funktionieren abhängig, und jede Sicherheitsmaßnahme kann eine Anbindung unterbrechen. Ein erneuerter Schlüssel, eine geänderte Netzwerkadresse, ein gesperrtes Konto: In allen drei Fällen fehlen dir Daten, wenn du sie nicht anderweitig hast.

Deshalb gehört zu jeder Sicherheitsmaßnahme ein Blick auf die Vollständigkeit deiner Aufzeichnungen danach. Ein Krypto Trading Journal mit vollständiger Historie ist der einzige Datenbestand, der einen gesperrten oder geschlossenen Börsenzugang überdauert.

Prüfe außerdem, ob die Anbindung nach einer Erneuerung wirklich alles nachgeholt hat. Fehlende Vorgänge fallen bei der Auswertung sonst erst dann auf, wenn Kennzahlen nicht mehr zusammenpassen, etwa bei Finanzierungszahlungen aus dem Terminbereich, die im Artikel zur Funding Rate beschrieben sind, oder bei der Trennung zwischen Kassa und Termin, die der Artikel Krypto Futures vs Spot behandelt.