Auszahlungs-Whitelist bei der Krypto-Börse: Wie du den Auszahlungsweg gegen fremde Adressen sperrst

Wenn jemand dein Passwort und deinen zweiten Faktor hat, entscheidet nur noch eine Frage darüber, ob dein Guthaben die Börse verlässt: Steht die Zieladresse des Angreifers bereits in deinem Konto, oder muss er sie erst eintragen? Genau hier setzt die Auszahlungs-Whitelist an. Sie ist eine Liste freigegebener Zieladressen, und solange sie aktiv ist, gehen Auszahlungen ausschließlich an Adressen aus dieser Liste. Alles andere wird abgelehnt, auch mit korrektem Passwort.

Der September 2026 hat diese Frage sehr praktisch gemacht. Bloomberg berichtete am 7. September über den Abfluss von rund 320 Millionen US-Dollar aus einer Wallet des Liquid Network, bei dem nach Angaben des Betreibers rund 4.000 von 4.200 Bitcoin bewegt wurden. TRM Labs beziffert den Schaden der Angriffswelle auf Coldcard-Geräte auf 116 Millionen US-Dollar. Beide Fälle waren keine Kontoübernahmen bei einer Börse, sie haben aber denselben Effekt auf das Verhalten der Leser: Viele schieben in diesen Tagen Guthaben zwischen Börsen und eigenen Wallets hin und her, und jede dieser Bewegungen läuft über genau den Auszahlungsweg, um den es hier geht.

Auszahlungs-Whitelist: Was die Funktion sperrt und was sie offen lässt

Definition in einem Satz: Eine Auszahlungs-Whitelist ist ein Adressbuch im Börsenkonto, das Auszahlungen nur an vorher freigegebene Empfängeradressen erlaubt.

Der Schutz wirkt gegen zwei sehr unterschiedliche Angriffe. Der erste ist die Kontoübernahme: Wer sich einloggen kann, kann ohne Whitelist sofort eine eigene Adresse eintragen und abheben. Der zweite ist die vertauschte Adresse, etwa durch eine Schadsoftware, die den Inhalt der Zwischenablage austauscht, oder durch eine vorbereitete Adresse aus dem Transaktionsverlauf. Wie diese zweite Masche funktioniert und woran du eine untergeschobene Adresse erkennst, steht ausführlich in unserem Beitrag zum Prüfen von Empfängeradressen.

Offen lässt die Whitelist alles, was innerhalb der freigegebenen Adressen passiert. Wer dich dazu bringt, seine Adresse selbst einzutragen und freizugeben, umgeht den Schutz vollständig. Das ist der übliche Ablauf beim Support-Betrug am Telefon, und es ist der Grund, warum eine Whitelist eine Sperre gegen Fremde ist und keine gegen Täuschung.

Warum die Zwei-Faktor-Anmeldung die Auszahlung nicht absichert

Zwei-Faktor-Anmeldung und Auszahlungs-Whitelist lösen verschiedene Probleme. Der zweite Faktor entscheidet, wer hineinkommt. Die Whitelist entscheidet, wohin etwas hinausgeht. Fällt der zweite Faktor, etwa weil er per SMS läuft und die Rufnummer übernommen wurde, ist der Auszahlungsweg ohne Whitelist sofort offen. Warum SMS dabei die schwächste Variante ist, haben wir in der Übersicht zu Zwei-Faktor-Verfahren bei Krypto-Börsen auseinandergenommen.

Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt Zwei-Faktor-Authentisierung als Grundschutz für Konten mit Geldbezug. Diese Empfehlung bleibt richtig. Sie beschreibt aber nur die Eingangstür. Für ein Börsenkonto brauchst du zusätzlich eine Regel für den Ausgang, und genau die fehlt in den meisten Standardeinstellungen: Eine Whitelist ist bei den Anbietern, die sie anbieten, praktisch immer freiwillig und standardmäßig aus.

Ein zweiter Punkt wird oft übersehen. Die Whitelist schützt auch vor dir selbst. Eine einmal geprüfte und gespeicherte Adresse muss nicht bei jeder Auszahlung neu aus einer App kopiert werden, und damit entfällt die Gelegenheit, in der eine falsche Adresse überhaupt erst in das Formular gerät. Wer regelmäßig auf dieselbe Hardware-Wallet auszahlt, reduziert die Zahl der riskanten Momente auf einen einzigen, nämlich den ersten. Welche Geräte dafür infrage kommen und worin sie sich unterscheiden, steht im Vergleich der Hardware-Wallets.

Das Zeitschloss im Börsenkonto: Warum die Wartezeit der eigentliche Schutz ist

Eine Whitelist allein hat eine Schwachstelle, die jeder Angreifer kennt: Sie lässt sich ändern. Wer im Konto sitzt, trägt eine neue Adresse ein und wartet die Bestätigung ab. Deshalb koppeln die Anbieter, die es ernst meinen, die Adressliste an eine Verzögerung. Neue oder geänderte Einträge werden erst nach einer festen Frist wirksam, und diese Frist läuft unabhängig davon, ob der Angreifer noch im Konto ist.

Die Wirkung ist einfach zu beschreiben. Ein Angreifer, der sofort abheben will, scheitert an der Uhr. Ein Angreifer, der wartet, riskiert, dass die Benachrichtigung über die Änderung dich erreicht, bevor die Frist abgelaufen ist. Das setzt allerdings voraus, dass du diese Benachrichtigung auch bekommst, also dass deine hinterlegte Adresse aktuell ist und der Mailzugang selbst gut geschützt ist.

Kraken Global Settings Lock: Was die Hilfeseite konkret zusagt

Am ausführlichsten dokumentiert unter den geprüften Anbietern ist Kraken. Die Funktion heißt dort Global Settings Lock, abgekürzt GSL. Nach der Beschreibung auf der Hilfeseite zum Schutz vor unerwünschten Auszahlungen, zuletzt aktualisiert am 23. März 2026, verhindert die Sperre Änderungen am Konto und blendet sensible Kontoinformationen aus.

Die Wartezeit legst du selbst fest

Beim Einschalten bestimmst du, wie lange das Entsperren ohne Ersatzschlüssel dauert. Kraken beschreibt diese Wartezeit in der Anleitung als Pflichtangabe beim Einrichten. Der entscheidende Satz aus der Dokumentation lautet, dass der Support beim Entfernen der Sperre nicht helfen kann, wenn die Entsperrfrist zwischen einem und dreißig Tagen liegt. Das ist ungewöhnlich deutlich formuliert und der eigentliche Kern der Funktion: Die Sperre wirkt auch gegen den Anbieter selbst, also gegen den Weg, den Angreifer beim Support-Betrug nehmen.

Mit aktiver Sperre lässt sich keine neue Adresse eintragen

In der Anleitung zum Hinzufügen einer neuen Auszahlungsadresse steht der Hinweis, dass bei aktivem Global Settings Lock keine Auszahlungsadresse hinzugefügt werden kann. Damit ist die Kette geschlossen: Auszahlungen gehen an eingetragene Adressen, und eintragen lässt sich nichts, solange die Sperre steht. Jede neu hinzugefügte Adresse muss ohnehin über einen Link aus einer E-Mail bestätigt werden.

Auch ohne Sperre greift eine kurze Haltefrist

Unabhängig vom Global Settings Lock beschreibt Kraken eine Verzögerung nach einer Passwortänderung: Wer sein Passwort ändert und weder eine Zwei-Faktor-Anmeldung noch einen Ersatzschlüssel eingerichtet hat, dessen Auszahlungen an neue Adressen werden 24 Stunden zurückgehalten. Bereits eingetragene Adressen sind davon nicht betroffen. Das ist genau das Muster, das eine Whitelist so wertvoll macht: Der Ärger trifft die neuen Ziele, während der gewohnte Weg zur eigenen Wallet weiter funktioniert.

Master Key: Der Ersatzschlüssel, der die Wartezeit wieder aufhebt

Zu der Sperre gehört ein Gegenstück, das die Dokumentation offen benennt. Der Master Key kann den Global Settings Lock jederzeit abschalten. Kraken schreibt dazu ausdrücklich, dass diese bequeme Möglichkeit mit einem erhöhten Sicherheitsrisiko einhergeht, falls der Ersatzschlüssel kompromittiert wird. Und es gibt eine Reihenfolge, die man nur einmal falsch macht: Ist die Sperre erst aktiv, lässt sich kein Master Key mehr anlegen.

Daraus folgt eine Entscheidung, die dir niemand abnimmt. Mit Ersatzschlüssel bleibst du handlungsfähig, wenn du deine Meinung änderst, und dein Schutz ist nur so gut wie die Aufbewahrung dieses Schlüssels. Ohne Ersatzschlüssel ist die Sperre härter, und du musst die selbst gesetzte Frist im Ernstfall aussitzen, auch wenn du der rechtmäßige Kontoinhaber bist. Eine lange Frist ist damit kein reiner Gewinn, sie ist ein Tausch: mehr Schutz gegen Fremde, weniger Beweglichkeit für dich.

Für die Praxis heißt das: Wähle die Frist nach dem Betrag, den du auf der Börse liegen lässt, und nicht nach dem Gefühl. Wer dort nur Handelsguthaben hält und regelmäßig auf dieselbe Wallet auszahlt, kommt mit einer kurzen Frist aus. Wer größere Bestände auf dem Konto belässt, sollte zuerst prüfen, ob dieser Bestand überhaupt dort liegen muss.

Die Erhebung: 13 Anbieter, 23 Seiten, drei ausdrückliche Angaben

Diese Auswertung hat cryptoticker.io am 8. September 2026 selbst erhoben. Die Methode in einem Satz: Für dreizehn Anbieter mit deutschsprachigem Auftritt wurden die öffentlich erreichbaren Sicherheits- und Hilfeseiten mit einem gewöhnlichen Browser-Kennzeichen abgerufen, der HTTP-Statuscode notiert und der sichtbare Text ohne HTML-Gerüst danach durchsucht, ob eine Whitelist, eine Allowlist oder ein Adressbuch für Auszahlungen benannt wird.

Geprüft wurden 23 Seiten von 13 Anbietern: Kraken, Binance, Coinbase, Bitpanda, Bitvavo, BISON, OKX, Bybit, Bitget, Crypto.com, KuCoin, Bitstamp und Nexo. Auswertbar im Sinn der Methode waren vier Anbieterseiten. Drei davon benennen die Funktion ausdrücklich, eine benennt sie nicht. Neun Anbieter waren mit diesem Verfahren nicht prüfbar.

Crypto.com und Nexo: Was auf den lesbaren Sicherheitsseiten steht

Auf der Sicherheitsseite von Crypto.com steht der Satz, dass das Freigeben externer Adressen über eine E-Mail-Bestätigung verpflichtend ist. Das ist die einzige Fundstelle der Erhebung, die eine Whitelist nicht als Angebot, sondern als Vorgabe beschreibt. Dieselbe Seite nennt daneben Passkeys, Hardware-Sicherheitsmodule und FIDO2 als Anmeldeverfahren.

Nexo führt auf seiner Sicherheitsseite eine Adress-Whitelist als eigenen Punkt auf und beschreibt sie als Verwaltung der eigenen Krypto-Adressen für fehlerfreie Überweisungen. Der Schwerpunkt liegt dort erkennbar auf dem Tippfehler und nicht auf dem Angreifer. Ergänzend nennt die Seite einen Anti-Phishing-Code für die Echtheit von Nachrichten und eine automatische Prüfung jeder Auszahlung.

Die Sicherheitsseite von Bitpanda war ebenfalls abrufbar, ihr sichtbarer Text enthält jedoch keine Aussage zu einer Auszahlungs-Whitelist. Das ist ein Befund über die Seite und keine Aussage über die Funktion: Aus einem fehlenden Satz auf einer Marketingseite folgt nicht, dass es die Einstellung im Konto nicht gibt.

Für Binance ist die einschlägige Hilfeseite zur Whitelist für Auszahlungsadressen zwar öffentlich vorhanden, sie ließ sich im Test aber nicht maschinell abrufen: Die Antwort kam ohne Inhalt zurück. Über die Websuche ist der Inhalt bestätigt, dass bei aktivierter Funktion keine Auszahlungen an Adressen möglich sind, die nicht auf der Liste stehen. Wir führen das deshalb als bestätigten Hinweis und nicht als eigenen Messwert.

Neun Anbieterseiten waren nicht prüfbar: Was diese Auswertung nicht zeigt

Ehrlichkeit über die Lücken gehört zur Erhebung. Bei Coinbase und Bitvavo antworteten die Hilfeseiten mit einer Abwehr gegen automatisierte Abrufe, sichtbar als Statuscode 403. Bei OKX liefen die geprüften Adressen ins Leere. Bybit, KuCoin, Bitget und Bitstamp lieferten zwar einen erfolgreichen Statuscode, ihr Inhalt wird jedoch erst im Browser nachgeladen, sodass im abgerufenen Dokument kein auswertbarer Text steht. Die geprüfte Sicherheitsadresse von BISON existierte nicht.

Daraus folgt eine klare Grenze der Aussage. Gemessen wurde, was ein Anbieter öffentlich und maschinenlesbar dokumentiert, nicht, welche Einstellungen im eingeloggten Konto tatsächlich vorhanden sind. Mehrere der nicht prüfbaren Anbieter bieten mit hoher Wahrscheinlichkeit eine Adressfreigabe an. Wer es genau wissen will, findet die Antwort an einer Stelle, an die keine Erhebung von außen herankommt: in den Sicherheitseinstellungen des eigenen Kontos.

Auffällig ist die Verteilung trotzdem. Von dreizehn großen Anbietern lässt sich bei vier überhaupt nachlesen, wie der Auszahlungsweg abgesichert wird, und nur bei einem einzigen ist die Sperre so ausführlich beschrieben, dass man vor dem Einschalten weiß, worauf man sich einlässt. Für eine Funktion, die im Ernstfall über den gesamten Kontostand entscheidet, ist das dünn.

Whitelist einschalten: Die Reihenfolge, die dich nicht aussperrt

Die Einstellungen heißen je nach Anbieter Adressbuch, Address Whitelist, Allowlist oder Auszahlungsadressen und liegen fast immer im Sicherheitsbereich des Kontos, nicht im Auszahlungsformular. Die Reihenfolge ist wichtiger als die Bezeichnung, denn zwei der Schritte lassen sich später nur schwer nachholen.

1. Zuerst die Empfangsadresse deiner eigenen Wallet eintragen und per Kleinstbetrag testen, solange noch nichts gesperrt ist.
2. Dann prüfen, ob der Anbieter einen Ersatzschlüssel oder eine vergleichbare Notfallfunktion anbietet, und ihn einrichten, bevor die Sperre aktiv wird.
3. Erst danach die Whitelist scharf schalten und, falls vorhanden, die Wartezeit für Änderungen festlegen.
4. Zum Schluss die hinterlegte E-Mail-Adresse kontrollieren, denn über sie laufen Bestätigung und Warnung.
5. Wenn dein Anbieter mehrere Netzwerke für denselben Coin führt, jede Adresse getrennt eintragen und beschriften.

Was du im Auszahlungsformular danach siehst

Nach dem Einschalten verschwindet bei den meisten Anbietern das freie Eingabefeld für die Adresse und wird durch eine Auswahlliste ersetzt. Genau dieser sichtbare Unterschied ist deine Kontrolle: Kannst du eine fremde Adresse noch eintippen und sofort verwenden, ist die Whitelist nicht aktiv, egal was in den Einstellungen steht.

Auszahlung in dieser Woche: Der Ablauf vom Antrag bis zur Bestätigung

Der September bringt für viele Leser einen konkreten Anlass, Guthaben zu bewegen. Wenn eine Börse den Handel für einen Coin einstellt, bleibt oft ein längeres Auszahlungsfenster, und die Erfahrung aus den vergangenen Wochen zeigt, dass viele Halter erst kurz vor Ablauf reagieren. Welche Stichtage aktuell laufen, führen wir in unserer laufend geprüften Fristenübersicht.

Für den Ablauf heißt das: Richte die Whitelist ein, bevor du unter Zeitdruck stehst. Eine neu eingetragene Adresse braucht eine Bestätigung per E-Mail, und wo eine Wartezeit gilt, kommt sie oben drauf. Wer am letzten Tag einer Frist zum ersten Mal eine Adresse einträgt, arbeitet gegen genau die Verzögerung, die ihn eigentlich schützen soll.

Und falls doch etwas abfließt, zählt Geschwindigkeit. Sperre das Konto, sichere die Belege aus dem Aktivitätsprotokoll und dokumentiere die Zieladresse, bevor du irgendetwas änderst. Wie du danach vorgehst und was eine Anzeige bei der Polizei praktisch bringt, haben wir in einem eigenen Beitrag zum Vorgehen nach einem Krypto-Diebstahl beschrieben.

Auszahlungs-Whitelist einrichten: Was du daraus mitnimmst

1. Heute die Sicherheitseinstellungen deines Kontos öffnen und nachsehen, ob es eine Adressfreigabe gibt. Nur bei vier von dreizehn geprüften Anbietern ist das öffentlich dokumentiert, im Konto selbst siehst du es in zwei Minuten. Wenn dein Anbieter keine anbietet, ist das ein Argument beim nächsten Wechsel, und die Auswahl findest du im Vergleich der Krypto-Börsen.
2. Die eigene Wallet-Adresse eintragen, testen und erst dann sperren. Ein Kleinstbetrag vorab kostet Gebühren im Cent-Bereich und schließt den teuersten Fehler aus. Welches Gerät dafür taugt, steht im Hardware-Wallet-Vergleich.
3. Die Wartezeit bewusst wählen und den Ersatzschlüssel vorher anlegen. Wer größere Bestände auf einer Börse hält, sollte zusätzlich prüfen, ob der Anbieter überhaupt beaufsichtigt ist; der Ausgangspunkt dafür ist unsere Liste der regulierten Krypto-Börsen.

Eine Anmerkung zum Schluss, weil sie in der Diskussion um Sicherheitsfunktionen oft untergeht: Jede dieser Sperren wirkt nur auf Guthaben, das bei einem Anbieter liegt. Was auf der eigenen Wallet liegt, wird von keiner Whitelist geschützt, dort gelten andere Regeln. Der Schutz des Auszahlungswegs ist deshalb kein Ersatz für die Entscheidung, wie viel überhaupt auf einer Börse bleibt.

(Stand: 8. September 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)