Ein API-Key ist der Schlüssel, mit dem ein Bot stellvertretend mit der Börse spricht. Er besteht meist aus zwei Teilen: einem öffentlichen Identifier und einem geheimen Secret. Wer beide Teile besitzt, kann im Namen des Kontos Aktionen ausführen. Deshalb entscheidet die Konfiguration des Keys darüber, wie groß der Schaden im schlimmsten Fall werden kann. Dieser Beitrag ist rein edukativ und stellt keine Anlageberatung dar. Trading mit Hebel und Automatisierung ist mit erheblichen Risiken bis zum Totalverlust verbunden.
Read-only vs. Trade-Rechte: nur so viel wie nötig
Beim Erstellen eines API-Keys legt man fest, welche Rechte er erhält. Das Grundprinzip lautet: so wenig Rechte wie möglich. Ein Key, der nur Kursdaten und Kontostände lesen soll, braucht ausschließlich Read-only-Rechte. Erst wenn der Bot tatsächlich Orders platzieren soll, kommen Trade-Rechte dazu. Beides sollte man getrennt denken: Ein Monitoring-Tool, das nur beobachtet, hat in der Order-Berechtigung nichts verloren.
Withdrawal-Rechte gehören niemals auf einen Bot-Key. Ein Bot, der handelt, muss keine Gelder auszahlen können.
Withdrawal-Rechte: die rote Linie
Die wichtigste Regel überhaupt: Ein API-Key für einen Trading-Bot darf niemals die Berechtigung zur Auszahlung erhalten. Zum Handeln ist diese Berechtigung nicht nötig. Wird ein Key mit Auszahlungsrecht kompromittiert, kann ein Angreifer das Guthaben direkt auf eine fremde Adresse abziehen. Ohne dieses Recht bleibt der mögliche Schaden auf das Handeln innerhalb des Kontos begrenzt — unangenehm, aber nicht der Verlust des gesamten Guthabens an Dritte.
IP-Whitelist: den Key an einen Ort binden
Viele Börsen erlauben es, einen API-Key auf bestimmte IP-Adressen zu beschränken. Damit funktioniert der Key nur dann, wenn die Anfrage von der hinterlegten Adresse kommt — etwa vom Server, auf dem der Bot läuft. Selbst wenn jemand den Key abgreift, ist er von einer anderen IP wertlos. Die IP-Whitelist ist eine der wirksamsten und am leichtesten umzusetzenden Schutzmaßnahmen.
Key-Rotation: Schlüssel haben ein Haltbarkeitsdatum
Ein Schlüssel, der jahrelang unverändert bleibt, sammelt Risiko an. Key-Rotation bedeutet, Keys regelmäßig zu ersetzen — etwa alle paar Monate oder sofort bei jedem Verdacht auf Kompromittierung. So konkretisieren Sie die Rotation:
- Einen festen Rhythmus definieren, in dem alte Keys deaktiviert und neue erzeugt werden.
- Bei Personalwechsel oder Serverumzug sofort rotieren, nicht erst beim nächsten Termin.
- Den alten Key erst löschen, wenn der neue nachweislich läuft, um Ausfälle zu vermeiden.
- Jede Rotation dokumentieren, damit nachvollziehbar bleibt, welcher Key wo im Einsatz ist.
Secrets-Management: das Geheimnis gehört nicht in den Code
Der häufigste vermeidbare Fehler ist, das API-Secret direkt in den Quellcode oder in eine Konfigurationsdatei zu schreiben, die im Repository landet. Secrets gehören in einen dafür vorgesehenen Speicher — etwa Umgebungsvariablen, einen Secrets-Manager oder einen verschlüsselten Vault. Wichtig ist außerdem, Secrets nie in Logs auszugeben und sie bei der Weitergabe von Backups oder Screenshots zu schwärzen. Ein Geheimnis, das einmal öffentlich war, gilt als verbrannt und muss rotiert werden.
Sicherheit ist eine Kette, kein Schalter
Keine dieser Maßnahmen ist für sich allein vollständig. Erst die Kombination ergibt einen belastbaren Schutz: minimale Rechte, kein Withdrawal, gebunden an eine IP, regelmäßig rotiert und sauber gespeichert. Jede Schwachstelle in dieser Kette kann die anderen aushebeln. Wer einen Bot betreibt, sollte Sicherheit deshalb als laufenden Prozess verstehen, nicht als einmalige Einrichtung. Und unabhängig davon bleibt das Marktrisiko bestehen: Auch der sicherste Key schützt nicht vor Verlusten durch die Strategie selbst.