Security
API-Key Sicherheit für Crypto Trading Bots
Auto-Trading beginnt nicht beim Bot, sondern bei sicheren Berechtigungen. Ein Trading-Key sollte nie mehr Rechte haben, als für den konkreten Workflow notwendig ist.
Wichtigste Regel
Keine Withdrawal Permission
Ein Bot braucht für Trading keine Auszahlungsrechte. Diese Trennung ist eine der wichtigsten Schutzmassnahmen beim Einsatz von Exchange-API-Keys.
AssetEngine unterstuetzt keine Keys mit Auszahlungsrechten. Erkennt die Berechtigungspruefung solche Rechte, wird die Verbindung für Trading gesperrt. Nicht jede Boerse liefert vollstaendige Berechtigungsdaten: Eine unbekannte Berechtigung ist kein Nachweis, dass Auszahlungen deaktiviert sind. Pruefe die Rechte direkt bei der Boerse.
Live-Trading-Freigabe und EinstiegssperreKeine Withdrawal-Berechtigung vergeben
Diese Massnahme reduziert technische Angriffs- oder Fehlkonfigurationsrisiken, ersetzt aber keine eigene Kontrolle.
Nur benoetigte Trading- und Leserechte aktivieren
Diese Massnahme reduziert technische Angriffs- oder Fehlkonfigurationsrisiken, ersetzt aber keine eigene Kontrolle.
API-Key regelmaessig prüfen und rotieren
Diese Massnahme reduziert technische Angriffs- oder Fehlkonfigurationsrisiken, ersetzt aber keine eigene Kontrolle.
IP-Whitelist nutzen, wenn die Exchange es anbietet
Diese Massnahme reduziert technische Angriffs- oder Fehlkonfigurationsrisiken, ersetzt aber keine eigene Kontrolle.
Subaccounts oder getrennte Keys für Bots verwenden
Diese Massnahme reduziert technische Angriffs- oder Fehlkonfigurationsrisiken, ersetzt aber keine eigene Kontrolle.
Kleine Limits und Risk Guard vor Live-Automation testen
Diese Massnahme reduziert technische Angriffs- oder Fehlkonfigurationsrisiken, ersetzt aber keine eigene Kontrolle.
Berechtigungen
Nur Lesen und Trading, wenn wirklich benoetigt. Keine Auszahlungen.
Fehlkonfiguration
Falscher Hebel, falsches Symbol oder offene Limits koennen Verluste verursachen.
Key Hygiene
Keys getrennt halten, regelmaessig prüfen und bei Verdacht sofort deaktivieren.
Steuerimporte und Auto-Trading
Für Steuerimporte lesen wir ausschließlich Daten. Verwende dafür Read-only API-Keys. Für die optionale Auto-Trading-Funktion werden separate API-Keys mit den erforderlichen Trading-Rechten benötigt. Withdrawal-/Auszahlungsrechte werden nicht benötigt und dürfen nicht aktiviert werden. Du kannst API-Keys jederzeit direkt bei der Börse widerrufen.
Speicherung der API-Zugangsdaten
API-Schlüssel, Secrets und gegebenenfalls API-Passphrasen werden beim Verbinden serverseitig verschlüsselt gespeichert und für authentifizierte Börsenanfragen serverseitig entschlüsselt. Steuer-Verbindungen bleiben für erneute Importe und optionalen Auto-Sync gespeichert; Trading-Verbindungen für die von dir aktivierten Trading-Funktionen. Ein abgeschlossener Import oder gestoppter Bot löscht die Zugangsdaten nicht automatisch. Du kannst die gespeicherte Verbindung löschen und den Schlüssel zusätzlich direkt bei der Börse widerrufen.
Weitere Angaben zum DatenschutzSicherheit und Risk Management verbinden
API-Key-Sicherheit begrenzt Berechtigungen. Risk Guard begrenzt Trading-Risiken. Für Auto-Trading brauchst du beides.
Speicherung, Zugriff und Betrieb
Gespeicherte Trading-Zugangsdaten werden serverseitig mit AES-256-GCM und einem zufälligen Initialisierungsvektor verschlüsselt. Für Börsenanfragen werden sie auf dem Server entschlüsselt. Ein Bot-Stopp löscht die Zugangsdaten nicht automatisch.
Der Schlüssel wird über die Serverumgebung bereitgestellt.
Die Rechteprüfung kann Auszahlungsrechte erkennen und Trading sperren. Unbekannte Berechtigungen sind kein Nachweis deaktivierter Auszahlungen. Prüfe Rechte und IP-Whitelist direkt bei der Börse.