DE API-Schlüssel Ihrer Kryptobörse prüfen und widerrufen
Inhalt
Das Wichtigste in Kürze
Zugriffe von Bots und Portfolio-Apps prüfen, ungenutzte API-Schlüssel entfernen und Ersatz ohne Handel testen. Mit Beispielen für Kraken Pro und Coinbase Exchange.
Wartung oder möglicher Sicherheitsvorfall?
Mit einem API-Schlüssel kann Software auf ein Börsenkonto zugreifen, ohne für jede Anfrage den normalen Anmeldebildschirm zu verwenden. Eine Portfolio-App kann Guthaben lesen, ein Handelsbot Aufträge erteilen. Dieser Leitfaden hilft Kontoinhabern, solche Verbindungen zu erfassen, unnötige Rechte zu entfernen und einen Widerruf zu prüfen. Er behandelt Börsen-APIs, keine Wallet-Seed-Phrasen oder Token-Freigaben auf einer Blockchain.
Sie benötigen ein vertrauenswürdiges Gerät, Zugang zur Börse samt Authentifizierungsmethode und die Einstellungen jedes verbundenen Dienstes. Beginnen Sie nicht über einen Link in einer unerwarteten Supportnachricht. Unbekannte Trades, ein offengelegtes Geheimnis oder ein unbekannter Schlüssel sind als möglicher Vorfall zu behandeln: Widerrufen Sie den betroffenen Zugriff zeitnah bei der Börse und kontaktieren Sie den offiziellen Support. Warten Sie mit der Eindämmung nicht auf den Abschluss dieser Checkliste.
Bei geplanter Wartung ermitteln Sie zunächst automatische Aufgaben und offene Orders, die von der Verbindung abhängen. Planen Sie nach Möglichkeit eine Pause. Ein Widerruf kann Überwachung oder Orderverwaltung unterbrechen; er belegt nicht, dass bestehende Orders storniert wurden. Prüfen Sie diese separat in der Börsenoberfläche. [1][2]
Ein Verzeichnis ohne Geheimnisse anlegen
Öffnen Sie die Börse über Ihre gespeicherte Adresse oder die offizielle App und suchen Sie die API-Verwaltung. Kraken Pro dokumentiert den Weg über das Kontomenü, Settings und API. Coinbase Exchange nennt einen API-Eintrag in der Seitenleiste des Dashboards; dieses Beispiel gilt ausdrücklich für Exchange, nicht für jedes Coinbase-Produkt. Weicht Ihre Oberfläche ab, lesen Sie die Hilfe des tatsächlich genutzten Produkts.
Führen Sie ein privates Verzeichnis mit Schlüsselbezeichnung, verbundener Anwendung, Konto oder Portfolio, Zweck, Rechten, Ablauf und IP-Beschränkungen. Erfassen Sie Erstellungszeit oder letzte Nutzung nur, wenn die Oberfläche diese angibt. Kopieren Sie weder API-Secret noch Passphrase oder QR-Code in dieses Verzeichnis oder ein Supportticket. Eine aussagekräftige Bezeichnung reicht zur Zuordnung.
Markieren Sie jeden Eintrag als behalten, ersetzen, entfernen oder untersuchen. Eine unbekannte Bezeichnung ist ein Anlass zur Prüfung, kein Beweis für einen Angriff. Prüfen Sie eigene alte Integrationen, bevor Sie Aktivitäten einem Angreifer zuschreiben. Trennen Sie den von der Börse angezeigten Zustand von den Angaben der Anwendung über ihre Verbindung. [1][4]
Berechtigungen an der Aufgabe ausrichten
Notieren Sie vor jeder Änderung, was die Anwendung leisten muss. Eine Guthabenanzeige muss keine Orders erteilen können. Ein historischer Bericht benötigt möglicherweise Transaktions- oder Kontobuchzugriff zusätzlich zur Guthabenabfrage. Fragen Sie für jedes verlangte Recht, welche dokumentierte Funktion ohne dieses Recht ausfällt. Eine pauschale Forderung nach Vollzugriff erklärt nichts.
Auch reiner Lesezugriff legt Finanzinformationen offen. Handelsrechte können Verluste ermöglichen, obwohl Auszahlungen deaktiviert sind. Bewerten Sie diese Risiken getrennt. Coinbase Exchange unterscheidet View, Trade, Transfer und Manage; laut Dokumentation umgeht Transfer die Zwei-Faktor-Authentifizierung. Eine geschützte Webanmeldung bedeutet daher nicht, dass jede API-Aktion auf dem Telefon bestätigt werden muss.
Wählen Sie die kleinste Rechtekombination, die Aufgabe und aktuelle Produktdokumentation erfordern. Übertragen Sie Berechtigungsnamen nicht ungeprüft zwischen Plattformen. Verlangt eine einfache Portfolioanzeige Auszahlungsrechte, stoppen Sie die Einrichtung und verlangen Sie eine konkrete technische Begründung. Prüfen Sie diese Behauptung nicht durch vorübergehenden Vollzugriff. [1][4]
Netzwerkbeschränkungen und Speicherung prüfen
Eine IP-Zulassungsliste beschränkt, soweit unterstützt, die Netzwerkadressen, von denen ein Schlüssel verwendet werden darf. Bestätigen Sie die dokumentierten ausgehenden Adressen des verbundenen Dienstes über dessen offizielle Einstellungen oder Support. Relevant kann die Adresse seines Servers sein, nicht die Ihres Heimcomputers. Fügen Sie keine Adresse hinzu, die nur in einer unaufgeforderten Nachricht genannt wurde.
Eine Zulassungsliste begrenzt nicht die Handlungen eines bereits zugelassenen Dienstes innerhalb seiner Schlüsselrechte. Planen Sie bei einem Heimanschluss mit wechselnder öffentlicher Adresse, wie die Beschränkung aktualisiert wird. Entfernen Sie sie bei einem Verbindungsfehler nicht reflexartig. Kraken dokumentiert auch ein Ablaufdatum, mit dem sich eine vorübergehende Verbindung zeitlich begrenzen lässt.
Bewahren Sie benötigte Zugangsdaten in einem verschlüsselten Zugangsdaten-Speicher oder Passwortmanager auf. Vermeiden Sie Screenshots, die in eine gemeinsame Fotobibliothek synchronisiert werden. Wurde ein Geheimnis bereits offengelegt, widerruft seine Verlagerung in einen sichereren Speicher die offengelegte Kopie nicht. Ersetzen Sie es über die Börse. [1][2]
Den ausgewählten Schlüssel widerrufen oder ersetzen
Wählen Sie für eine ungenutzte Verbindung den zugehörigen Schlüssel in der API-Verwaltung der Börse und verwenden Sie die Widerrufs- oder Löschfunktion. Lesen Sie die Bestätigung sorgfältig und gleichen Sie die ausgewählte Bezeichnung mit Ihrem Verzeichnis ab. Das Entfernen einer App vom Telefon oder das Trennen in ihrem Dashboard ersetzt die Kontrolle der Zugangsdaten bei der Börse nicht.
Befolgen Sie bei einem geplanten Austausch die dokumentierte Reihenfolge des Produkts. Coinbase Exchange verlangt, zuerst den vorhandenen Schlüssel zu widerrufen, einen Ersatz mit minimalen Rechten anzulegen, die Anwendungen umzustellen und ihn zu testen. Rechnen Sie dabei mit einer Unterbrechung. Versprechen Sie keinen nahtlosen Wechsel und behalten Sie keinen kompromittierten Schlüssel nur zur Vermeidung von Ausfallzeit.
Wird der Dienst weiter benötigt, speichern Sie den Ersatz sicher und aktualisieren Sie nur die vorgesehene Integration. Prüfen Sie Portfolioauswahl, Berechtigungen und Netzwerkbeschränkung erneut, statt ihre automatische Übernahme anzunehmen. Schicken Sie das neue Geheimnis niemals einer Person, die den Wechsel für Sie prüfen möchte. [2][3]
Das Ergebnis in beiden Systemen prüfen
Aktualisieren Sie die API-Liste der Börse und bestätigen Sie, dass der alte Schlüssel fehlt oder ausdrücklich widerrufen ist. Prüfen Sie danach den nächsten Synchronisierungsversuch des verbundenen Dienstes samt Zeitstempel. Ein weiterhin angezeigtes Guthaben kann aus dem Zwischenspeicher stammen; es belegt keinen fortbestehenden Zugriff. Umgekehrt beweist ein Verbindungsfehler allein keinen Widerruf, denn Netzwerkstörungen können dasselbe Symptom verursachen.
Verwenden Sie für einen Ersatz eine harmlose, von der Anwendung bereits unterstützte Leseoperation, etwa eine Guthabenaktualisierung. Vergleichen Sie das gelieferte Konto und die Zeit mit der Börse. Zur Verbindungsprüfung müssen Sie weder handeln noch Geld auszahlen. Kontrollieren Sie die gespeicherten Rechte bei der Börse, statt eine unerwünschte Finanzaktion auszuprobieren.
Prüfen Sie offene Orders und jüngste Aktivitäten separat. Halten Sie fest, was bestätigt ist und was unklar bleibt. Dieses Vorgehen prüft Zugriffseinstellungen. Es beweist weder die Löschung zuvor geteilter Daten noch die Rückabwicklung einer früheren unbefugten Transaktion. [3]
Beispiel: eine alte Portfolio-Verbindung stilllegen
Angenommen, eine alte Portfolio-App wird nicht mehr benötigt. Laut Ihrem Verzeichnis sollte sie nur Kontodaten lesen, doch die Börse zeigt auch Handelsrechte. Dies ist ein hypothetisches Beispiel, kein gemeldeter Vorfall.
Notieren Sie Bezeichnung und Rechte ohne das Geheimnis, prüfen Sie, ob eine weitere Aufgabe denselben Schlüssel verwendet, und entfernen Sie ihn bei der Börse. Aktualisieren Sie die Schlüsselliste. Ein späterer Abruf der alten App sollte mit diesen Zugangsdaten keine privaten Kontodaten mehr erhalten. Dokumentieren Sie das Ergebnis, ohne ein altes angezeigtes Guthaben als Zugriffsbeweis zu behandeln. Entfernen Sie die gespeicherte Verbindung zusätzlich aus der App.
Benötigen Sie weiterhin Berichte, richten Sie nach Prüfung der Anforderungen des neuen Dienstes eine separate, angemessen beschränkte Verbindung ein. Der alte Schlüssel bleibt widerrufen. Ihr Abschlussvermerk sollte die entfernte Verbindung, gegebenenfalls den Ersatz, den Prüfzeitpunkt und offene Fragen nennen. Fügen Sie keine Zugangsdaten bei. [2][3]
Wenn die Prüfung scheitert
Bleibt der alte Schlüssel nach der Bestätigung aktiv, erstellen Sie keine weiteren Ersatzschlüssel und kontaktieren Sie die Börse über einen unabhängig geöffneten Supportkanal. Kann sich der Ersatz nicht verbinden, prüfen Sie Produktkompatibilität, ausgewähltes Konto, Berechtigungen, zugelassene Adresse und ob die Anwendung die neuen Zugangsdaten tatsächlich gespeichert hat. Lösen Sie einen ungeklärten Fehler nicht durch Freigabe aller Rechte.
Setzen sich unbekannte Aktivitäten fort, nutzen Sie von einem vertrauenswürdigen Gerät aus das Verfahren der Börse für kompromittierte Konten. Sichern Sie Zeitstempel und Transaktionskennungen ohne Geheimnisse offenzulegen. Prüfen Sie weitere Schlüssel und Sitzungen: Ein API-Schlüsselwechsel allein ist keine vollständige Kontountersuchung.
Planen Sie eine erneute Prüfung ein, wenn Sie einen Dienst nicht mehr nutzen, dessen Server wechseln oder von einem relevanten Vorfall erfahren. Das Ziel ist ein korrektes Verzeichnis mit bestätigtem Widerruf unnötiger Zugriffe und klar dokumentierten verbleibenden Abhängigkeiten. [2][3]
Häufige Fragen
Bedeutet reiner Lesezugriff, dass kein Risiko besteht?
Nein. Er beschränkt Handlungen, kann aber Guthaben und Kontoverlauf offenlegen. Gewähren Sie nur den für die Aufgabe benötigten Informationszugriff. [2]
Wird durch Löschen eines Bots auch sein Schlüssel widerrufen?
Verlassen Sie sich nicht darauf. Prüfen Sie die API-Verwaltung bei der Börse und widerrufen Sie dort die Zugangsdaten. Entfernen Sie die gespeicherte App-Verbindung separat. [3]
Muss ich zum Testen des neuen Schlüssels handeln?
Nein. Beginnen Sie mit einer erlaubten Guthabenaktualisierung und prüfen Sie die gespeicherten Rechte. Erteilen Sie keine Order allein zur Zugriffsprüfung. [3]
Belege & Quellen
Quelldokument: · Geprüft:
Grenzen der Quellenlage · Offizielle Dokumentation am 5. November 2026 geprüft. Die Einrichtungsanleitung von Kraken Pro wurde am 29. Oktober 2026 aktualisiert. Dies ist ein vorbeugender Leitfaden, kein Bericht über einen neuen Angriff. Kontoeinstellungen unterscheiden sich je nach Produkt.
- Von Quelle berichtet
Kraken Pro dokumentiert getrennte API-Berechtigungen sowie optionale Netzwerk- und Ablaufbeschränkungen.
Belegauszug: Kraken Pro: API-Schlüssel erstellen und konfigurieren
Die IP-Adressbeschränkung ist eine Sicherheitsfunktion
Die IP-Adressbeschränkung ist eine Sicherheitsfunktion
So erstellen Sie einen API-Schlüssel auf Kraken Pro ↗ - Von Quelle berichtet
Kraken empfiehlt minimale API-Berechtigungen und das Löschen nicht mehr benötigter Schlüssel.
Belegauszug: Kraken: Sicherheit von API-Schlüsseln
Lösche regelmäßig API-Schlüssel, die nicht mehr relevant sind.
Lösche regelmäßig API-Schlüssel, die nicht mehr relevant sind.
Sicherheit für API-Schlüssel ↗ - Von Quelle berichtet
Coinbase Exchange dokumentiert den Widerruf des vorhandenen Schlüssels vor Erstellung und Prüfung des Ersatzes.
Belegauszug: Coinbase Exchange: API-Schlüssel austauschen
First, revoke or delete the current API key.
First, revoke or delete the current API key.
How to rotate your API key ↗ - Von Quelle berichtet
Coinbase Exchange unterscheidet View, Trade, Transfer und Manage und warnt, dass Transfer die Zwei-Faktor-Authentifizierung umgeht.
Belegauszug: Coinbase Exchange: API-Schlüssel erstellen
Key can transfer value for accounts, including deposits and withdrawals (and bypasses 2FA)
Key can transfer value for accounts, including deposits and withdrawals (and bypasses 2FA)
How to create an API key ↗
Weiterführende Beiträge
Passkey, TOTP oder SMS: Ihr Börsenkonto absichern
Passkeys, Authenticator-Codes und SMS für Börsenkonten im Vergleich. Richten Sie die Anmeldung ein und testen Sie Ersatzwege vor einem Telefonverlust.
Artikel lesen : Passkey, TOTP oder SMS: Ihr Börsenkonto absichern
Falscher Börsensupport: So prüfen Sie eine Anfrage
Prüfen Sie angebliche Supportanfragen und schützen Sie Ihr Konto nach geteilten Codes, Fernzugriff oder einem Kryptotransfer.
Artikel lesen : Falscher Börsensupport: So prüfen Sie eine Anfrage
Krypto einzahlen: Netzwerk, Adresse und Memo prüfen
Prüfen Sie vor einer Börseneinzahlung Asset und Netzwerk, kopieren Sie das erforderliche Memo, klären Sie Bedingungen und kontrollieren Sie die Gutschrift.
Artikel lesen : Krypto einzahlen: Netzwerk, Adresse und Memo prüfen