Auf welche Daten kann ein Krypto-Trading-Bot über einen API-Schlüssel zugreifen?

Ein API-Schlüssel für einen Trading-Bot ist kein Passwort. Er ist eine Berechtigung mit festgelegtem Umfang: Eine Börse erlaubt Ihnen, genau drei Dinge zu aktivieren – das Auslesen Ihrer Kontodaten, das Platzieren und Stornieren von Trades sowie das Abheben von Geldern – und ein korrekt konfigurierter Trading-Bot erhält immer nur die ersten beiden Rechte. Die dritte Berechtigung, das Abheben, ist die einzige, für die ein Bot keinen legitimen Grund hat, und bei jeder großen Börse können Sie diese Option deaktiviert lassen.

Die drei Stufen, die jede Börse anbietet

Binance, Bybit, OKX, Kraken und Gate.io unterteilen den API-Zugriff alle in dieselben drei Funktionsbereiche, unabhängig davon, wie ihre eigenen Einstellungen-Menüs diese benennen:

Lesen und Traden zusammen reichen aus, damit ein Bot alles erledigen kann, was er soll: den Market prüfen, eine Position eröffnen, sie anpassen und schließen. Eine Auszahlung bewegt Geld vollständig von der Börse weg – das hat nichts mit dem Ausführen einer Strategie zu tun. Unabhängige Sicherheitsexperten sehen das genauso: Eine externe Analyse der API-Berechtigungen von Börsen stellt fest, dass Handelsrechte für jeden Bot praktisch unvermeidbar sind, Auszahlungen jedoch „das gefährlichste Recht“ darstellen und unabhängig davon, welche Plattform danach fragt, immer deaktiviert bleiben sollten.

Was genau unter „Trade“ bei einem Futures-Bot verstanden wird

Bei Spot-Bots ist die Trade-Berechtigung einfach: Kauf- und Verkaufsaufträge platzieren und stornieren. Beim Futures-Handel kommt unter dem gleichen „Trade“-Dach noch etwas hinzu — ein Bot, der eine COMBO- oder DCA Futures-Strategie ausführt, muss Positionen eröffnen und schließen und in der Regel auch Hebel und Margin dieser Positionen anpassen, um die Strategie umzusetzen. Das fällt weiterhin vollständig in den Trade-Bereich; dafür sind keine Auszahlungsrechte erforderlich, und der Bot erhält dadurch keinerlei Möglichkeit, das zugrunde liegende Sicherheitenvermögen von der Börse abzuziehen. Wenn du einen für Futures geeigneten Schlüssel verbindest, solltest du damit rechnen, dass die Anpassung von Hebel/Margin als Teil der Trade-Berechtigung auf dieser Börse aufgeführt wird — das ist ein normaler Bestandteil derselben Stufe und keine separate, riskantere Berechtigung.

Die Berechtigung, die einen geleakten Schlüssel tatsächlich neutralisiert: IP-Whitelisting

Der Berechtigungsumfang ist nicht der einzige Hebel. Die meisten Börsen ermöglichen es außerdem, einen API-Schlüssel auf eine bestimmte IP-Adresse zu beschränken, sodass selbst ein geleakter Schlüsselstring von überall sonst nutzlos ist — wie eine Analyse es ausdrückt: „Ein Angreifer, der die Zeichenkette abfängt, kann damit nichts anfangen, solange er nicht ebenfalls genau von dieser Adresse aus sendet.“ Binance geht noch einen Schritt weiter und erzwingt dies standardmäßig: Ohne eine festgelegte IP-Beschränkung werden die Handelsrechte eines Schlüssels nach 90 Tagen automatisch deaktiviert. Das ist allein schon wissenswert, unabhängig von der Frage der Berechtigungsstufe — es ist außerdem einer der häufigsten Gründe, warum ein Bot ohne sonstige Änderungen auf Ihrer Seite plötzlich nicht mehr handelt (siehe why did my bot stop trading, falls Ihnen das passiert ist).

Warum „trade-only“ mehr ist als nur ein Marketing-Slogan

Wenn eine Plattform angibt, dass ihre Bots mit einem Trade-only-Key arbeiten, ist das eine konkrete, überprüfbare Aussage: Die Auszahlungsoption ist deaktiviert, und die Börse selbst – nicht die Bot-Plattform – setzt dies durch. Die eigenen Schlüsselanforderungen von Bitsgap verlangen nur Lese- und Trade-Berechtigungen; wenn Sie auf Ihrer Börse einen Schlüssel mit aktivierter Auszahlung generieren und versuchen, ihn zu verbinden, liegt das an einer Diskrepanz zwischen den von Ihnen gewährten Rechten und dem, was die Plattform benötigt – nicht daran, dass sie mehr verlangt. Für den tiefergehenden Sicherheitsaspekt – was bei einem geleakten Trade-only-Key passiert und warum der nicht-kustodiale Status wichtiger ist als nur der Berechtigungsschalter – lesen Sie Ist es sicher, Ihre Exchange API mit einem Trading-Bot zu verbinden?.

Was der Nur-Lesen-Modus tatsächlich anzeigt

Ein Read-only-Key gibt mehr preis, als viele vermuten – selbst ohne Handelsrechte: vollständiger Saldo über alle Assets, komplette Order-Historie, offene Positionen, manchmal sogar Einzahlungsadressen. Für die eigenen Mittel besteht zwar kein Risiko, aber es handelt sich um ein Datenschutzproblem – ein Grund, Read-only-Keys nur Diensten zu geben, denen Sie vertrauen, und genau zu prüfen, welche Zugriffsrechte ein Analyse-Tool von Drittanbietern anfordert, bevor Sie diese gewähren. Steuer-Reporting-Tools und Portfolio-Tracker benötigen beispielsweise ausschließlich Lesezugriff; wenn eines davon Handelsrechte verlangt, sollte das direkt hinterfragt werden, denn es gibt keinen legitimen Grund, warum ein Reporting-Tool Orders in Ihrem Namen platzieren müsste.

Überprüfen des Gültigkeitsbereichs Ihres eigenen Schlüssels

Auf jeder der fünf oben genannten Börsen zeigt die API-Verwaltungsseite die aktiven Berechtigungen jedes Schlüssels direkt daneben an, meist als Reihe von Schaltern oder Abzeichen. Wenn bei einem von Ihnen für einen Bot erstellten Schlüssel die Auszahlung aktiviert ist, beheben Sie das sofort – löschen Sie den Schlüssel und erstellen Sie einen neuen, bei dem nur Lesen und Trade aktiviert sind, sowie eine IP-Beschränkung, falls die Börse dies unterstützt. Anschließend verbinden Sie sich erneut. Das tatsächliche Verhalten des Bots ändert sich dadurch nicht; das Risiko im Falle eines Leaks dieses Schlüssels jedoch schon.

Der Berechtigungsschalter, den Sie nie anfassen, ist genau der, der darüber entscheidet, ob ein geleakter Schlüssel nur ein Ärgernis oder eine Katastrophe ist.

FAQ

Kann ein Trading-Bot-API-Schlüssel meine Gelder von der Börse abziehen? Nein, nicht wenn der Schlüssel korrekt eingeschränkt ist. Die Abhebung ist eine separate, optionale Berechtigung, die ein Trading-Bot funktional nicht benötigt – Bitsgap-Anfragen für API-Schlüssel fordern diese Berechtigung niemals an.

Was ist der Unterschied zwischen Lese- und Trade-Berechtigungen? Mit „Lesen“ kann ein Programm Ihren Saldo, Ihre Orders und Ihre Historie einsehen. Mit „Trade“ kann es Orders platzieren und stornieren. Ein Bot benötigt beides; keine der beiden Berechtigungen erlaubt Abhebungen.

Benötigt ein Futures-Bot weitere Berechtigungen außer Lesen und Trade? Nein. Die Anpassung von Hebel und Margin für Futures-Positionen fällt unter dieselbe Trade-Berechtigung – es handelt sich nicht um einen separaten, risikoreicheren Bereich, und es werden weiterhin keine Auszahlungsrechte gewährt.

Ist IP-Whitelisting überhaupt relevant, wenn mein Schlüssel ohnehin keine Auszahlungsrechte hat? Ja. Es schützt vor Missbrauch der Berechtigungen, die der Schlüssel dennoch besitzt – ein geleakter Schlüssel mit ausschließlich Handelsrechten, der auf deine IP-Adresse beschränkt ist, ist für andere nutzlos, selbst wenn sie den Schlüsselstring besitzen.

Ist ein API-Schlüssel mit Leseberechtigung völlig risikofrei? Er kann keine Gelder bewegen, gibt jedoch Ihren Saldo und Ihre Trade-Historie an jeden weiter, der ihn besitzt. Gewähren Sie Leserechte nur Diensten, die diese eindeutig benötigen, wie beispielsweise Reporting-Tools.