Sicherheitsdossier
API-Schlüssel und Handelstools von Drittanbietern
Bots, Portfolio-Tracker und Steuertools verlangen API-Schlüssel der Börse. Was jede Berechtigung tatsächlich gewährt — und welche fast nie herausgehört.
Portfolio-Tracker, Handelsbots, Copy-Trading-Dienste und Steuertools wollen sich alle mit Ihrem Börsenkonto verbinden, und der übliche Mechanismus dafür ist ein API-Schlüssel: eine Zugangsberechtigung, die Sie innerhalb der Börse erzeugen und die einer Software erlaubt, ohne Ihr Passwort auf dem Konto zu handeln. Das zu nutzen ist vernünftig. Es ist zugleich ein dauerhafter Zugang, der die meisten Annahmen überlebt, die man über ihn trifft.
Berechtigungen sind getrennte Rechte
Börsen unterteilen den API-Zugang in der Regel in einzelne Berechtigungen — Lesen, Handeln und Auszahlen ist die übliche Aufteilung, wobei Bezeichnungen und Feinheit je nach Plattform variieren. Lesen legt Salden und Historie offen. Handeln kann Orders aufgeben und stornieren. Auszahlen kann Vermögenswerte von der Börse wegbewegen. Sie sind voneinander unabhängig: Ein Schlüssel kann lesen, ohne zu handeln, und handeln, ohne auszahlen zu können.
Die Regel, die daraus folgt
Fast nichts braucht die Auszahlungsberechtigung. Ein Tracker braucht Lesen. Ein Steuertool braucht Lesen. Ein Bot braucht Lesen und Handeln. Verlangt ein Dienst Auszahlungsrechte, fragen Sie, was er damit konkret tut, und werten Sie das Fehlen einer klaren Antwort als die Antwort. Wo die Börse es anbietet, beschränken Sie den Schlüssel auf die IP-Adressen, die der Dienst veröffentlicht — das macht einen gestohlenen Schlüssel von überall sonst wertlos — und setzen Sie ein Ablaufdatum, falls die Option besteht.
Was ein Schlüssel überdauert
Das Ändern des Kontopassworts deaktiviert einen bereits ausgestellten Schlüssel nicht, und auf vielen Plattformen tut das auch das Aktivieren der Zwei-Faktor-Authentifizierung nicht. Ein Schlüssel bleibt gültig, bis er gelöscht wird oder abläuft. Genau diese Eigenschaft macht aus einer aufgegebenen Integration eine offene Tür: Der Dienst, den Sie vor zwei Jahren einmal ausprobiert haben, verfügt womöglich noch über funktionierenden Zugang, und dessen eigene Sicherheit ist nun Teil Ihrer eigenen.
Pflege, die tatsächlich hilft
Erzeugen Sie je Dienst einen eigenen Schlüssel, statt einen einzigen überall wiederzuverwenden, notieren Sie, wofür jeder gedacht ist, und löschen Sie Schlüssel, wenn Sie das Tool nicht mehr nutzen, anstatt sie schlafend liegen zu lassen. Börsen zeigen zu jedem Schlüssel das Erstellungsdatum und oft den Zeitpunkt der letzten Nutzung — ein unbekannter Schlüssel oder ein bekannter mit Aktivität, während Sie nicht handeln, verlangt sofortiges Handeln.
Wichtigste Erkenntnis
Die Grenzen der ganzen Konstruktion
Ein reiner Leseschlüssel legt demjenigen, der ihn hält, weiterhin Ihren vollständigen Saldo und Ihre Handelshistorie offen — genau die Information, die für jemanden nützlich ist, der Sie ins Visier nimmt. Ein reiner Handelsschlüssel kann nicht auszahlen, kann Sie aber trotzdem Geld kosten: Wer Handelsrechte hält, kann Ihr Guthaben gegen die eigenen Orders in einen dünnen Markt drücken. Minimale Rechtevergabe verringert den Schaden. Sie beseitigt ihn nicht.
Weitere Ratgeber
Als Nächstes