API-Schlüssel kompromittiert? Was ist sofort zu tun

Wenn Sie vermuten, dass Ihr Exchange-API-Schlüssel kompromittiert wurde, handeln Sie sofort: Widerrufen Sie den Schlüssel, überprüfen Sie Ihre Trade- und Auszahlungs-Historie und erstellen Sie anschließend einen neuen, bevor Sie irgendetwas erneut verbinden. In genau dieser Reihenfolge – das Widerrufen zuerst verhindert tatsächlich weiteren Schaden; alles danach dient der Überprüfung und Bereinigung.

Die drei Schritte

1. Schlüssel widerrufen. Melden Sie sich direkt bei Ihrem Börsen-Konto an und löschen Sie den Schlüssel auf der API-Verwaltungsseite. Dies ist die mit Abstand wichtigste Maßnahme und dauert weniger als eine Minute – damit wird alles, was diesen Schlüssel verwendet, sofort unterbrochen, unabhängig davon, mit welcher Plattform er verbunden war, da die Börse jede signierte Anfrage von einem Schlüssel ablehnt, den sie nicht mehr erkennt. Die genauen Schritte finden Sie unter API-Zugriff bei Binance, Bybit, OKX, Kraken und Gate.io widerrufen.

2. Überprüfen Sie Ihre Trade- und Auszahlungs­historie. Suchen Sie nach Orders, die Sie nicht selbst platziert haben, oder nach Saldo­änderungen, die Sie sich nicht erklären können. Falls der Schlüssel nur Trade-Berechtigungen hatte (keine Auszahlung), erscheinen unbefugte Aktivitäten als ungewöhnliche Trades – manchmal absichtlich manipulative, nicht als direkte Abhebung. Warum dieser Unterschied auch bei einem reinen Trade-Schlüssel wichtig ist, erfahren Sie im nächsten Abschnitt.

3. Erstellen Sie vor dem erneuten Verbinden einen neuen, korrekt eingerichteten Schlüssel. Generieren Sie einen neuen API-Schlüssel mit ausschließlich Lese- und Trade-Berechtigungen – niemals Auszahlungen – und fügen Sie eine IP-Beschränkung hinzu, falls Ihre Börse dies unterstützt, da dies den Schlüssel selbst bei erneutem Leak neutralisiert. Verwenden Sie diesen Schlüssel, um jeden Bot wieder zu verbinden, den Sie erneut starten möchten. Übernehmen Sie die Einstellungen des alten Schlüssels nicht ungeprüft; falls dieser weitergehende Berechtigungen hatte als nötig, sollten Sie das jetzt ebenfalls korrigieren.

Warum ein Trade-only-Key trotzdem kein Nullrisiko bedeutet

Ein Schlüssel ohne Auszahlungsrechte kann keine Gelder direkt von der Börse abziehen, aber er kann dennoch missbraucht werden: Ein Angreifer mit Trade-Zugriff kann manipulative Orders platzieren – etwa illiquide Vermögenswerte zu überhöhten Preisen kaufen, um von der daraus resultierenden Preisbewegung auf Ihre Kosten zu profitieren – ohne jemals eine Auszahlung auszulösen. Deshalb ist es wichtig, den Zugriff zu entziehen, selbst wenn Sie sicher sind, dass der Schlüssel von Anfang an keine Auszahlungsberechtigung hatte. Einen vollständigen Überblick darüber, was ein Schlüssel kann und nicht kann, finden Sie unter welche Daten ein Trading-Bot über einen API-Schlüssel abrufen kann.

Wie Schlüssel tatsächlich kompromittiert werden

Das Verständnis des Leckvektors ist genauso wichtig wie die sofortige Bereinigung, denn nur so lässt sich der nächste Vorfall verhindern. Die häufigsten Wege, in etwa absteigender Reihenfolge ihres Auftretens in Vorfallberichten: Phishing-E-Mails oder Nachrichten, die sich als Support-Team einer Börse oder Bot-Plattform ausgeben und Sie auffordern, einen Schlüssel zu „verifizieren“ oder irgendwo einzufügen; bösartige Browser-Erweiterungen mit Berechtigung zum Auslesen von Seiteninhalten, die einen Schlüssel erfassen können, wenn Sie ihn von der Einstellungsseite einer Börse kopieren; gefälschte Support-Mitarbeitende in Telegram, Discord oder Social-Media-Direktnachrichten, die direkt nach einem Schlüssel fragen und dies als Problemlösung darstellen; und, seltener, Malware, die die Zwischenablage überwacht. Seriöse Plattformen fordern niemals dazu auf, einen API-Schlüssel per Chat, E-Mail oder Support-Ticket zu senden — eine solche Aufforderung ist bereits das deutlichste Warnsignal dafür, dass etwas nicht stimmt, noch bevor ein unautorisierter Trade auftaucht.

Wie häufig das tatsächlich vorkommt

Kompromittierung von Zugangsdaten und privaten Schlüsseln ist eine reale, dokumentierte Kategorie von Krypto-Verlusten – kein seltener Ausnahmefall. Das Blockchain-Sicherheitsunternehmen SlowMist verzeichnete in seinem Halbjahresbericht 2026 insgesamt 182 Gesamt-Sicherheitsvorfälle in der Branche zwischen Januar und Juni 2026, mit Verlusten in Höhe von rund 956 Mio. US-Dollar – darunter waren 17 einzelne Vorfälle explizit auf die Kompromittierung von privaten Schlüsseln oder Zugangsdaten zurückzuführen, was sich auf etwa 130 Mio. US-Dollar belief. Das ist ein kleinerer Anteil als Smart-Contract-Exploits (die größte Einzelkategorie), aber ein beständiges, anhaltendes Risiko – keineswegs ein abnehmendes. Unabhängig davon bezifferte der Crypto Crime Report 2026 von Chainalysis die Gesamt-Verluste durch Krypto-Betrug für 2025 auf etwa 17 Mrd. US-Dollar, wobei die durchschnittliche Betrugszahlung im Jahresvergleich um 253 % gestiegen ist und das Volumen von Betrugsfällen durch Identitätsanmaßung im selben Zeitraum um 1.400 % zulegte – ein deutlicher Hinweis darauf, dass die Methoden, mit denen Schlüssel überhaupt erst erbeutet werden, sowohl weit verbreitet als auch immer kostspieliger werden, wenn sie erfolgreich sind.

Vermuteter vs. bestätigter Kompromittierung

Die drei oben genannten Schritte gelten ab dem Moment, in dem Sie einen Leak vermuten – nicht erst, wenn Sie ihn bestätigt haben. Das Zurückziehen eines Schlüssels, der sich im Nachhinein als unbedenklich herausstellt, kostet Sie nur ein paar Minuten, um einen Bot wieder zu verbinden; einen tatsächlich kompromittierten Schlüssel aktiv zu lassen, kostet deutlich mehr. Wenn Ihre Überprüfung der Trade-Historie in Schritt zwei keine Auffälligkeiten ergibt, ist das ein sinnvoller Zeitpunkt, um den Vorfall nicht weiter als aktiv zu behandeln. Dennoch lohnt es sich, Schritt drei (einen neuen Schlüssel mit engerem Umfang) abzuschließen, anstatt zum alten zurückzukehren – denn was auch immer Sie ursprünglich misstrauisch gemacht hat, sollte künftig in Ihre Sicherheitsüberlegungen einfließen.

Nach den unmittelbaren Schritten

Sobald der kompromittierte Schlüssel entfernt und ein neuer aktiviert wurde, überprüfen Sie anhand der obigen Liste, woher das Leck stammen könnte, damit der neue Schlüssel nicht am selben Ort landet. Die Crypto Bot Risk Checklist umfasst eine breitere Palette von Vorsichtsmaßnahmen, die Sie überprüfen sollten, sobald das unmittelbare Risiko behoben ist.

Das Zurückziehen eines Schlüssels dauert weniger als eine Minute. Alles, was ein Angreifer mit einem geleakten Schlüssel anstellen kann, dauert länger – die Reihenfolge Ihres Handelns ist die gesamte Strategie.

FAQ

Was ist das Allererste, das ich tun sollte, wenn mein API-Schlüssel kompromittiert wurde? Widerrufen Sie ihn sofort auf der API-Verwaltungsseite Ihrer Börse. So verhindern Sie, dass irgendetwas diesen Schlüssel nutzt, bevor Sie weitere Schritte unternehmen.

Kann jemand mit einem API-Schlüssel nur für den Handel meine Gelder stehlen? Nicht durch direkte Abhebungen, aber sie können dennoch Ihren Saldo durch unautorisierte Trades manipulieren. Widerrufen Sie den Schlüssel unabhängig von seinem Berechtigungsumfang.

Wie werden API-Schlüssel normalerweise gestohlen? Am häufigsten geschieht dies durch Phishing-Nachrichten, die sich als Support ausgeben, durch bösartige Browser-Erweiterungen oder durch gefälschte Support-Mitarbeitende, die direkt nach dem Schlüssel fragen. Eine seriöse Plattform fordert Ihren API-Schlüssel niemals per Chat oder E-Mail an.

Sollte ich einen neuen API-Schlüssel mit denselben Berechtigungen wie den alten erstellen? Nur, wenn der alte bereits korrekt eingerichtet war – Lese- und Trade-Berechtigung, keine Abhebungen. Nutzen Sie diese Gelegenheit, um die Berechtigungen zu überprüfen und gegebenenfalls zu verschärfen sowie eine IP-Beschränkung hinzuzufügen, falls dies noch nicht geschehen ist.

Wie häufig kommt es im Kryptobereich zu einem API-Schlüssel-Kompromittierung? Es handelt sich um eine überwachte, fortlaufende Verlustkategorie. Im Mid-Year-Sicherheitsbericht 2026 von SlowMist wurden allein im ersten Halbjahr 2026 insgesamt 17 Vorfälle mit kompromittierten privaten Schlüsseln/Zugangsdaten erfasst, die sich auf etwa 130 Millionen US-Dollar summierten.