Crypto Bot API Schlüsselsicherheit: Ein vollständiger Sicherheitsleitfaden

Wenn Sie einen Trading-Bot mit Ihrer Börse verbinden, übergeben Sie den Zugriff auf Ihr Konto über einen API-Schlüssel. Richtig durchgeführt, ist dies sicher und routinemäßig. Wenn es nachlässig gemacht wird, ist es eine Einladung zur Katastrophe. Dieser Leitfaden behandelt alles, was Sie über die Schlüsselsicherheit von API für Krypto-Trading-Bots wissen müssen.

Was API-Schlüssel können und was nicht

Ein API-Schlüssel ist ein Zeichenfolgenpaar – ein öffentlicher Schlüssel (Identifikator) und ein geheimer Schlüssel (Passwort) –, mit dem Software programmgesteuert mit Ihrem Exchange-Konto interagieren kann. Wenn Sie einen API-Schlüssel erstellen, wählen Sie aus, welche Berechtigungen er haben soll.

Die meisten Börsen bieten drei Berechtigungsstufen an:

• Schreibgeschützt: Kann Salden, Positionen und Handelshistorie anzeigen
• Handel: Kann Bestellungen aufgeben und stornieren sowie Positionen ändern
• Rückzug: Kann Gelder außerhalb der Börse an externe Adressen senden

Für Trading-Bots benötigen Sie Lese- und Handelsberechtigungen. Du niemals benötigen Auszahlungsgenehmigungen. Dies ist das wichtigste Sicherheitsprinzip.

Die goldene Regel: Ermöglichen Sie niemals Auszahlungen

Wenn Ihr API-Schlüssel kein Geld abheben kann, besteht das schlimmste Szenario eines kompromittierten Schlüssels in nicht autorisierten Transaktionen – die möglicherweise Geld verlieren, aber Ihr Konto nicht auf eine externe Wallet belasten können. Sobald Sie Auszahlungsberechtigungen aktivieren, wird ein durchgesickerter Schlüssel zu einem Werkzeug für regelrechten Diebstahl.

Kein legitimer Trading-Bot wird jemals um Auszahlungsgenehmigungen bitten. Wenn dies der Fall ist, ist es entweder schlecht konzipiert oder böswillig. Geh weg.

IP Whitelisting: Ihre beste Verteidigung

IP whitelisting schränkt Ihren API-Schlüssel so ein, dass er nur von bestimmten IP-Adressen aus funktioniert. Selbst wenn jemand Ihren Schlüssel und Ihr Geheimnis stiehlt, kann er es nicht verwenden, es sei denn, er stellt eine Verbindung über Ihre genehmigte IP her.

So richten Sie es ein:

1. Finden Sie die Server-IP Ihrer Bot-Plattform (fomoed zeigt diese in den Exchange-Verbindungseinstellungen an)
2. Fügen Sie diese IP in der API-Verwaltung Ihrer Börse zur Whitelist hinzu
3. Aktivieren Sie die Option „Nur auf IPs auf der Whitelist beschränken“.
4. Testen Sie, ob Ihr Bot weiterhin erfolgreich eine Verbindung herstellt

Für zentralisierte Börsen wie Binance, Bybit und OKX ist IP whitelisting die stärkste verfügbare Sicherheitsmaßnahme. Insbesondere bei Binance haben API-Schlüssel ohne IP-Einschränkung aus Sicherheitsgründen eingeschränkte Funktionen.

Berechtigungsbereich: Mindestens erforderlicher Zugriff

Wenden Sie das Prinzip der geringsten Rechte an:

• Spot-Trading-Bot: Aktivieren Sie nur den Spot-Handel, nicht den Futures-Handel
• Futures-Bot: Aktivieren Sie nur den Futures-Handel, nicht den Spot-Handel
• Nur-Lese-Überwachung: Wenn Sie nur das Portfolio verfolgen möchten, verwenden Sie schreibgeschützte Schlüssel

Bei einigen Börsen können Sie einschränken, auf welche Handelspaare ein API-Schlüssel zugreifen kann. Wenn dies bei Ihnen der Fall ist und Sie nur BTC/USDT handeln, beschränken Sie den Schlüssel auf dieses Paar.

Schlüssel sicher aufbewahren

Ihr API-Geheimnis wird bei der Erstellung einmal angezeigt. Danach wird es von der Börse nie wieder angezeigt. So gehen Sie damit um:

• Niemals Speichern Sie Schlüssel in einfachen Textdateien, Screenshots oder E-Mails
• Niemals Fügen Sie Schlüssel in Chats, Discord-Server oder Support-Tickets ein
• Niemals Übertragen Sie Schlüssel auf Git-Repositorys (auch private)
• Verwenden Sie einen Passwort-Manager (Bitwarden, 1Password) für persönliche Backups
• Wenn Sie sie lokal speichern müssen, verwenden Sie einen verschlüsselten Tresor

Wenn Sie Schlüssel in eine Bot-Plattform eingeben, stellen Sie sicher, dass Sie sich auf der legitimen Website befinden (überprüfen Sie die URL, überprüfen Sie das Zertifikat) und dass die Verbindung HTTPS ist.

Was tun, wenn ein Schlüssel kompromittiert ist?

Wenn Sie vermuten, dass Ihr API-Schlüssel durchgesickert oder kompromittiert wurde:

1. Sofort Melden Sie sich bei Ihrer Börse an und löschen Sie den Schlüssel API
2. Überprüfen Sie Ihre aktuelle Handelshistorie auf nicht autorisierte Aktivitäten
3. Überprüfen Sie Ihren Auszahlungsverlauf (auch wenn Auszahlungen nicht aktiviert waren, überprüfen Sie dies)
4. Erstellen Sie einen neuen API-Schlüssel mit neuen Anmeldeinformationen
5. Untersuchen Sie, wie es zu dem Leck kam – Malware? Phishing? Geteilter Bildschirm?
6. Aktivieren Sie 2FA auf Ihrem Exchange-Konto, falls noch nicht aktiv

Das Löschen des Schlüssels erfolgt sofort und ist für den Angreifer unwiderruflich. Zögern Sie nicht – zuerst löschen, dann nachforschen.

Wie fomoed mit Ihren Schlüsseln umgeht

Transparenz über Sicherheitspraktiken ist wichtig. So schützt fomoed Ihre API-Anmeldeinformationen:

• Verschlüsselter Speicher: Schlüssel werden im Ruhezustand mithilfe der AES-256-Verschlüsselung verschlüsselt. Sie werden niemals im Klartext gespeichert.
• Kein Auszahlungszugang: Die Plattform wird niemals Schlüssel anfordern oder akzeptieren, wenn Auszahlungsberechtigungen aktiviert sind.
• Nur serverseitig: Ihre API-Schlüssel werden nur serverseitig für die Handelsausführung verwendet. Sie werden niemals an das Frontend gesendet oder im Browserverkehr angezeigt.
• Minimale Retention: Wenn Sie eine Börse trennen, werden Ihre Schlüssel aus unseren Systemen gelöscht.

Für unsere Hyperliquid-Integrationverwenden wir einen völlig anderen Ansatz – die Wallet-basierte Authentifizierung mit Agent-Wallets mit eingeschränkten Berechtigungen, wodurch API-Schlüssel vollständig eliminiert werden.

DEX Wallet-basierte Authentifizierung: Die Alternative

Dezentrale Börsen wie Hyperliquid verwenden keine API-Schlüssel. Stattdessen verbinden Sie Ihr Wallet und genehmigen ein Agent-Wallet – einen Unterschlüssel mit reinen Handelsberechtigungen, der keine Gelder aus der Börse transferieren kann.

Dies hat Sicherheitsvorteile:

• Kein Geheimnis, das preisgegeben werden könnte (die Genehmigung des Agenten erfolgt in der Kette)
• Berechtigungen werden durch intelligente Verträge und nicht durch Börsenrichtlinien erzwungen
• Sie können den Agentenzugriff in der Kette jederzeit widerrufen
• Kein IP whitelisting erforderlich (Berechtigungen werden kryptografisch erzwungen)

Der Nachteil besteht darin, dass die Sicherheit des Wallets von entscheidender Bedeutung ist – wenn der private Schlüssel Ihres Wallets kompromittiert wird, hat der Angreifer die volle Kontrolle. Verwenden Sie Hardware-Wallets für größere Geldbeträge.

Sicherheitscheckliste für Bot-Händler

Bevor Sie einen Bot mit einer Börse verbinden, überprüfen Sie folgende Punkte:

• Auszahlungsberechtigungen für den Schlüssel API deaktiviert
• IP-Whitelist konfiguriert (für CEX)
• 2FA auf Exchange-Konto aktiviert
• API Schlüsselberechtigungen entsprechen den Anforderungen des Bots (nicht mehr und nicht weniger)
• Die Bot-Plattform verwendet HTTPS und verschlüsselte Schlüsselspeicherung
• Sie haben ein Backup des Schlüssels in einem Passwort-Manager
• Sie wissen, wie Sie den Schlüssel bei Bedarf schnell löschen können

Beginnen Sie sicher mit dem Handel

Sicherheit muss nicht kompliziert sein. Deaktivieren Sie Auszahlungen, aktivieren Sie IP whitelisting und nutzen Sie eine Plattform, die verantwortungsvoll mit Schlüsseln umgeht. Eine ausführlichere Anleitung zum sicheren Einstieg finden Sie in unserem Einsteigerleitfaden zum automatisierten Handel. Mit fomoed ist das möglich Richten Sie Ihr Konto kostenlos ein und verbinden Sie Ihren Austausch mit der Gewissheit, dass Ihre Schlüssel mit ordnungsgemäßen Verschlüsselungs- und Sicherheitspraktiken behandelt werden.