API-Schlüssel bei Krypto-Börsen: Welche Rechte dein Steuertool wirklich braucht und welche du abschaltest

Ein API-Schlüssel ist kein Passwort und kein Zugang zu deinem Konto im üblichen Sinn. Er ist eine Vollmacht mit einzeln ankreuzbaren Rechten, die du einer fremden Software gibst: dem Steuertool, das deine Trades für die Anlage SO einsammelt, dem Portfolio-Tracker oder dem Handelsbot. Entscheidend ist, welche Kästchen du beim Erzeugen anhakst. Wir haben nachgesehen, welche Rechte die Börsen, die deutsche Anleger tatsächlich nutzen, überhaupt zur Auswahl stellen, und wo die gefährlichen Voreinstellungen liegen.

Was ein API-Schlüssel bei einer Krypto-Börse freigibt

Ein API-Schlüssel besteht aus zwei Zeichenketten, einem öffentlichen Schlüssel und einem geheimen Gegenstück, mit denen sich ein Programm gegenüber der Börse ausweist, ohne dein Passwort zu kennen. Genau das ist der Punkt: Weil der Schlüssel eine eigene Identität ist, gilt für ihn auch ein eigenes Rechtepaket. Ein Programm, das deine Handelshistorie für die Steuererklärung ausliest, braucht Leserechte und sonst nichts.

In der Praxis passiert häufig das Gegenteil. Wer schnell fertig werden will, hakt alles an, was angeboten wird, weil unklar ist, was das jeweilige Werkzeug später noch abfragen möchte. Der Schlüssel liegt dann jahrelang in einem fremden Konto und trägt Rechte, die nie gebraucht wurden. Für Bitcoin und jeden anderen Bestand auf derselben Börse gilt diese Vollmacht dann gleichermaßen.

Der Anlass: Eine Phishing-Welle im September zielte auf genau diese Schlüssel

Am 10. September 2026 verschafften sich Angreifer Zugriff auf Kundenkonten des E-Mail-Dienstleisters Brevo und verschickten darüber Nachrichten, die aus den echten Versandwegen bekannter Krypto-Anbieter kamen. Betroffen waren unter anderem Nutzer von Hardware-Wallet-Herstellern und von Steuer- und Tracking-Diensten. Was diese Welle von gewöhnlichem Phishing unterscheidet, ist die Absenderadresse: Sie war echt, und die üblichen Erkennungsmerkmale griffen nicht. Wir haben den Vorfall in unserem Bericht zum Brevo-Hack und den betroffenen Nutzerdaten aufgearbeitet.

Für Betroffene, die auf einer solchen Seite Zugangsdaten eingegeben haben, lautet die Empfehlung der Anbieter übereinstimmend: Passwort ändern, Zwei-Faktor-Authentifizierung prüfen, und, falls dort Schlüssel einer Krypto-Börse eingetragen wurden, diese direkt bei der Börse widerrufen und neu erzeugen. Der letzte Punkt geht in der Aufregung regelmäßig unter, weil viele Anleger gar nicht mehr wissen, wie viele Schlüssel sie über die Jahre vergeben haben.

Was wir geprüft haben und wie

Diese Auswertung hat cryptoticker.io am 16. September 2026 selbst erhoben. Methode: Wir haben die öffentlich erreichbaren Dokumentations- und Hilfeseiten der Anbieter abgerufen und ausschließlich das ausgewertet, was dort im Klartext steht, ohne ein Konto zu eröffnen und ohne einen Schlüssel zu erzeugen. Geprüft wurden zwölf Seiten von acht Anbietern und Werkzeugen.

Drei Einschränkungen gehören dazu, und sie sind keine Formalie. Die Hilfeseiten von Bitvavo und Bitpanda beantworteten unseren automatisierten Abruf mit dem Code 403 und blockieren damit Maschinen, nicht Leser; ihren Inhalt haben wir über die öffentlich indexierte Fassung bestätigt. Die Binance-Hilfeseite antwortete mit dem Code 202 und lieferte keinen auswertbaren Text aus. Und wir haben nicht nachgemessen, ob die Börsen die dokumentierten Rechte im laufenden Betrieb exakt so durchsetzen, wie sie sie beschreiben.

Kraken, Bitvavo und Binance: Welche Rechte du einzeln vergibst

Der Befund zuerst: Alle drei Börsen trennen Lesen, Handeln und Auszahlen in getrennte Rechte, und alle drei bieten eine Beschränkung auf feste IP-Adressen an. Der Unterschied liegt im Detail, und das Detail entscheidet.

Kraken: die feinste Aufteilung der drei

Kraken zerlegt die Rechte weiter als die Wettbewerber. Die Hilfeseite von Kraken zum Erzeugen eines API-Schlüssels listet unter anderem "Query Funds", "Deposit Funds" und "Withdraw Funds" für den Geldbereich sowie "Query Open Orders & Trades", "Query Closed Orders & Trades", "Modify Orders" und "Cancel/Close Orders" für den Handel, dazu "Query Ledger Entries" und "Export Data". Auszahlen ist ein eigener Haken: "Withdraw Funds" wird laut Dokumentation nur für die Auszahlungsendpunkte benötigt. Bemerkenswert ist eine Einstellung, die anderswo fehlt: Kraken erlaubt ein Ablaufdatum für den Schlüssel, ausdrücklich auch für kurze Zeiträume wie eine Woche.

Für ein Steuertool reichen damit die Abfragerechte samt "Query Ledger Entries" und "Export Data". Alles andere darf ausgeschaltet bleiben.

Bitvavo: drei Rechte, und ein Satz, den du kennen solltest

Bitvavo kennt drei Rechte: Kontodaten und Guthaben ansehen, handeln, und auf eine externe Adresse oder ein verifiziertes Bankkonto auszahlen. Beim Erzeugen legst du zusätzlich die IP-Adressen fest, von denen aus der Schlüssel gültig ist, und die Erstellung setzt eine aktive Zwei-Faktor-Authentifizierung voraus. Der wichtigste Satz der Bitvavo-Hilfeseite zu API-Schlüsseln betrifft aber die Auszahlung: Auszahlungen, die über einen API-Schlüssel angefordert werden, umgehen die Zwei-Faktor-Abfrage.

Wer also glaubt, der zweite Faktor fange im Ernstfall alles ab, irrt für diesen einen Weg. Die Zwei-Faktor-Authentifizierung schützt deinen Login. Ein Schlüssel mit Auszahlungsrecht arbeitet an ihr vorbei.

Binance: Handelsrecht mit eingebautem Verfall

Binance trennt Lesen, Spot- und Margin-Handel sowie Auszahlungen in eigene Schalter. Die Besonderheit ist eine Regel, die viele Nutzer erst bemerken, wenn ihr Bot plötzlich stillsteht: Ohne hinterlegte IP-Adresse verfällt das Handelsrecht nach 90 Tagen von selbst und wird automatisch abgewählt. Mit IP-Beschränkung bleibt es bestehen. Das Auszahlungsrecht wiederum lässt sich überhaupt nur aktivieren, wenn eine IP-Beschränkung gesetzt ist.

Diese Kopplung ist die strengste unter den geprüften Anbietern, und sie ist ein Vorbild: Das gefährlichste Recht gibt es nur zusammen mit der Einstellung, die es entschärft.

Warum ein Schlüssel ohne Auszahlungsrecht trotzdem Geld kosten kann

Die naheliegende Annahme lautet: Ohne Auszahlungsrecht kann ein gestohlener Schlüssel keinen Schaden anrichten. Diese Annahme ist zu optimistisch, und die Fachliteratur widerspricht ihr seit Jahren. Sicherheitsforscher haben beschrieben, wie Angreifer Schlüssel ohne Auszahlungsrecht dennoch zu Geld machen: Sie handeln mit dem fremden Guthaben gegen eigene Aufträge in dünn gehandelten Märkten. Das Guthaben verlässt die Börse nie, es wechselt nur zu absurden Kursen den Besitzer. Zwei Muster tauchen dabei immer wieder auf, der Aufkauf einer Verkaufsmauer und das gezielte Hochkaufen eines illiquiden Tokens.

Daneben steht eine nüchternere Einschätzung aus der Entwicklerpraxis, die den Schaden nicht kleinredet, aber einordnet: Ohne Auszahlungsrecht bleibt einem Dieb nur, seltsame Geschäfte zu machen, und die sind schlecht, in der Höhe begrenzt und durch das Widerrufen des Schlüssels zu stoppen. Beide Sichtweisen sind vereinbar. Ein Handelsrecht verhindert den Verlust nicht, es begrenzt ihn. Ein Auszahlungsrecht dagegen kennt keine Grenze außer deinem Guthaben.

Praktisch heißt das: Wenn du einen Handelsbot anbindest, ist das Handelsrecht unvermeidbar, und du solltest den Bestand auf dem angebundenen Konto klein halten. Wenn du ein Steuertool anbindest, ist es schlicht überflüssig.

Die IP-Whitelist entwertet einen gestohlenen Schlüssel

Die IP-Whitelist ist die wirksamste Einstellung, die in diesem Zusammenhang zur Verfügung steht, und zugleich die am seltensten gesetzte. Sie legt fest, von welchen Internetadressen aus der Schlüssel überhaupt akzeptiert wird. Ein Angreifer, der die Zeichenkette erbeutet, kann damit nichts anfangen, solange er nicht auch noch von genau dieser Adresse aus sendet. Bitvavo formuliert das in seiner Hilfe deutlich: Wer keine IP-Liste hinterlegt, gibt jedem, der die Schlüssel besitzt, die Möglichkeit, im Konto zu handeln.

Der Haken liegt in der Heimanwendung. Ein Steuertool ruft deine Daten von den Servern seines Anbieters ab, nicht von deinem Laptop. Die passende Adresse ist deshalb die des Dienstes, und die musst du bei ihm erfragen; seriöse Anbieter veröffentlichen sie. Für einen selbst betriebenen Bot auf einem gemieteten Server ist die Sache einfach, denn dessen Adresse ist fest. Für einen Bot auf dem heimischen Rechner mit wechselnder Adresse ist sie unpraktisch, und genau dort bleibt das Feld dann leer.

Wenn du die IP-Beschränkung nicht setzen kannst, bleibt der Ablauf als Ersatz. Kraken bietet dafür ein Ablaufdatum an, Binance erzwingt es beim Handelsrecht nach 90 Tagen. Ein Schlüssel, der ohnehin in drei Monaten stirbt, ist ein deutlich kleineres Problem als einer, der seit 2021 in einem vergessenen Konto liegt.

Bitpanda, Trade Republic und Bison: Wenn es gar keinen Schlüssel zum Abgeben gibt

Bei den Anbietern, über die viele deutsche Anleger tatsächlich kaufen, sieht die Lage anders aus, und zwar zu ihren Gunsten. Bitpanda vergibt API-Schlüssel mit den Bereichen Handel, Transaktionen und Guthaben, und diese Zugriffe sind ausschließlich lesend. Ein Schlüssel, der überhaupt kein Handels- oder Auszahlungsrecht kennt, kann auch keines verlieren. Wer ein Steuertool anbindet, hat dort die Entscheidung gar nicht zu treffen.

Trade Republic geht noch einen Schritt weiter und bietet für Privatkunden keine offizielle Schnittstelle an. Seit Mai 2026 gibt es stattdessen einen CSV-Export der Transaktionshistorie, den du herunterlädst und im Steuerwerkzeug hochlädst. Das ist unbequemer, weil du es bei jeder Aktualisierung von Hand machst, und sicherer, weil keine dauerhafte Vollmacht entsteht. Für Bison gilt der gleiche Weg über den Export.

Hier liegt ein Missverständnis, das sich hartnäckig hält: Die Bastellösungen aus der Community, also Browser-Erweiterungen und nachgebaute Schnittstellen, sind keine offiziellen Zugänge. Sie greifen auf die angemeldete Sitzung zu. Was du ihnen gibst, ist nicht ein eng umrissenes Recht, sondern dein ganzer Login.

Steuertools und die deutsche Mitwirkungspflicht

Der Grund, warum in Deutschland überhaupt so viele API-Schlüssel im Umlauf sind, steht im Steuerrecht. Wer Kryptowerte im Privatvermögen hält, muss Anschaffungszeitpunkte, Anschaffungskosten und Veräußerungen nachweisen können, weil davon die Jahresfrist und die Höhe des Gewinns abhängen. Diese Nachweise erzeugt kein Anbieter von allein in der Form, die das Finanzamt sehen will. Deshalb greifen viele Anleger zu einem Werkzeug, das die Historie einsammelt und eine Aufstellung erzeugt, und deshalb geben sie einen Schlüssel heraus.

Welches Werkzeug dafür in Frage kommt und was es kostet, haben wir im Preisvergleich der Krypto-Steuer-Software aufgeschlüsselt; die Übersicht der Anbieter mit ihren Importwegen steht im Hub für Krypto-Steuer-Tools und Portfolio-Tracker. Für die Sicherheitsfrage ist dabei nur eines wichtig: Ein Werkzeug, das zur Steuerberechnung ein Handels- oder Auszahlungsrecht verlangt, verlangt zu viel. Es gibt keinen steuerlichen Grund, aus einem Steuerprogramm heraus handeln zu können.

Ein zweiter Punkt betrifft die Datenmenge. Ein Schlüssel mit Leserecht gibt dem Anbieter dauerhaft Einblick in deine vollständige Handelshistorie und deine Bestände. Das ist für die Berechnung nötig, es macht den Anbieter aber zu einem lohnenden Ziel. Genau deshalb trafen die September-Mails Kunden von Steuer- und Tracking-Diensten und nicht nur Wallet-Besitzer.

API-Schlüssel widerrufen und neu erzeugen: die richtige Reihenfolge

Wenn du den Verdacht hast, dass ein Schlüssel abgeflossen ist, gilt eine feste Reihenfolge, und der erste Schritt gehört der Börse. Zuerst widerrufst du den Schlüssel in den Kontoeinstellungen der Börse. Ab diesem Moment ist die Zeichenkette wertlos, unabhängig davon, wer sie besitzt. Erst danach erzeugst du einen neuen und trägst ihn im Werkzeug ein. Wer die Reihenfolge umdreht und zuerst beim Werkzeug aufräumt, lässt den alten Schlüssel weiterlaufen.

Danach folgt der Blick in die Kontohistorie, und zwar auf zwei Dinge: auf Geschäfte, die du nicht selbst ausgelöst hast, und auf Anmeldungen oder Zugriffe von unbekannten Adressen. Auffällige Geschäfte in dünn gehandelten Token sind das typische Muster des oben beschriebenen Angriffs. Findest du etwas, gehört das unverzüglich an den Support der Börse, schriftlich und mit Zeitstempeln.

Der dritte Schritt ist der unbequeme: eine vollständige Bestandsaufnahme aller Schlüssel, die du je vergeben hast. Jede Börse listet die aktiven Schlüssel in den Einstellungen, meist mit Erstellungsdatum und letzter Nutzung. Alles, was du nicht sicher zuordnen kannst, löschst du. Ein Schlüssel, der noch gebraucht wird, meldet sich innerhalb weniger Tage durch ein Werkzeug, das keine Daten mehr zieht. Das ist ein geringer Preis dafür, eine vergessene Vollmacht loszuwerden.

Was diese Auswertung nicht zeigt

Ehrlichkeit über die Grenzen gehört zu einer eigenen Erhebung. Wir haben Dokumentation gelesen, kein Verhalten gemessen. Ob eine Börse ein abgewähltes Recht im Ernstfall wirklich verweigert, ließe sich nur mit einem echten Konto und echten Aufträgen prüfen, und das haben wir nicht getan. Ebenso wenig sagt diese Auswertung etwas darüber, wie sorgfältig die einzelnen Steuer- und Tracking-Anbieter die ihnen anvertrauten Schlüssel verwahren. Das ist die eigentlich offene Frage, und sie lässt sich von außen nicht beantworten.

Ebenfalls nicht geprüft haben wir die Angebote, die erst gar nicht in die Auswahl kamen, weil sie in Deutschland keine nennenswerte Rolle spielen. Die Rechtemodelle dort können abweichen. Verlass dich deshalb auf die Einstellungsseite deines eigenen Anbieters und nicht auf eine Übersicht, auch nicht auf diese.

API-Schlüssel prüfen: Was du daraus mitnimmst

1. Öffne heute die API-Übersicht deiner Börse und zähle, wie viele Schlüssel dort stehen. Alles, was du keinem laufenden Werkzeug zuordnen kannst, wird gelöscht. Welche Börse diese Übersicht wie deutlich anbietet, steht in unserem Hub zu den besten Krypto-Börsen.
2. Nimm jedem Schlüssel, der nur Daten liefern soll, das Handels- und das Auszahlungsrecht. Für ein Steuerwerkzeug genügt Lesen. Welche Werkzeuge mit reinen Leserechten auskommen, zeigt der Hub für Krypto-Steuer-Tools und Portfolio-Tracker.
3. Setze eine IP-Beschränkung, und wenn das nicht geht, ein Ablaufdatum. Bei einem selbst betriebenen Bot ist die Serveradresse fest und die Einstellung in zwei Minuten erledigt; die Anbieter dafür findest du im Hub zu den Krypto-Trading-Bots.

Die Rechte bei deiner Börse zu prüfen, dauert weniger lang als das Lesen dieses Textes. Der Unterschied zeigt sich erst an dem Tag, an dem eine Mail von einer echten Absenderadresse kommt und dich nach etwas fragt, das sie nicht bekommen darf.

(Stand: 16. September 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)