Sicherheits-Checkliste für Börsenkonten

Selbst wenn der Großteil Ihrer Bestände in Self-Custody liegt, führt fast jeder ein Börsenkonto zum Kaufen, Verkaufen und Auszahlen – und dieses Konto verdient eine gezielte Absicherung statt Standardeinstellungen. Am wichtigsten sind die Funktionen, die Auszahlungen verlangsamen: Adress-Allowlists, Auszahlungsverzögerungen und eng begrenzte API-Schlüssel. Dieser Leitfaden ist eine praktische Checkliste für das Konto selbst; starke 2FA und das Erkennen von Phishing werden in eigenen Leitfäden dieses Lernpfads behandelt.

Mit den Grundlagen des Kontos beginnen

Bevor Sie sich börsenspezifischen Funktionen widmen, bringen Sie die Basics in einen nachweislich guten Zustand:

Einmaliges Passwort aus einem Passwortmanager. 20 oder mehr zufällige Zeichen, nirgends sonst verwendet. Credential Stuffing – das Ausprobieren von Passwörtern, die bei anderen Seiten geleakt wurden – ist nach wie vor der billigste Angriff überhaupt, und Börsen-Logins sind genau das, wogegen Stuffing-Listen getestet werden.
Eine eigene E-Mail-Adresse, die nur für Börsenkonten verwendet wird. Sie verringert die Phishing-Gefahr (jede Börsen-Mail, die an Ihrer normalen Adresse eintrifft, ist per Definition gefälscht) und hält Ihre Börsenbeziehung aus gewöhnlichen Leak-Datensätzen heraus.
Die stärkste verfügbare 2FA sowohl bei der Börse als auch bei diesem E-Mail-Konto, wobei SMS aus Login- und Wiederherstellungsabläufen entfernt wird. Die Details dazu stehen im 2FA-Leitfaden; für die Zwecke der Checkliste gilt: Wenn die Börse Hardware-Sicherheitsschlüssel unterstützt, nutzen Sie sie.
Alte Sitzungen und Geräte beenden. Jede große Börse hat eine Seite mit aktiven Sitzungen und autorisierten Geräten. Widerrufen Sie alles, was Sie nicht erkennen, und prüfen Sie die Seite monatlich. Kontrollieren Sie außerdem, welche Drittanbieter-Apps OAuth- oder API-Zugriff haben, und entfernen Sie alles Veraltete.

Auszahlungs-Allowlists: Die wertvollste Einstellung

Eine Allowlist für Auszahlungsadressen (manche Börsen nennen sie Whitelist oder Adressbuch-Sperre) beschränkt Krypto-Auszahlungen auf Adressen, die Sie vorab freigegeben haben – typischerweise Ihre eigene Hardware-Wallet. Entscheidend: Das Hinzufügen einer neuen Adresse löst eine Wartezeit aus, üblicherweise 24–48 Stunden, in der Auszahlungen dorthin gesperrt sind und Sie benachrichtigt werden.

Diese eine Einstellung verändert die Wirtschaftlichkeit fast jedes Angriffs. Ein Eindringling, der Ihren Login und Ihre 2FA vollständig kompromittiert, kann Gelder trotzdem nirgendwohin bewegen außer in Ihre eigene Wallet. Um zu stehlen, muss er seine Adresse hinzufügen und dann hoffen, dass Sie die Warn-E-Mails zwei Tage lang ignorieren. Zur Größenordnung: Ein Konto mit 30.000 US-Dollar ohne Allowlist lässt sich in den fünf Minuten nach einer erfolgreichen Phishing-Sitzung leerräumen; mit einer Allowlist und 24 Stunden Wartezeit beim Hinzufügen bekommt derselbe Angreifer nichts, es sei denn, er kann auch Ihre E-Mails einen Tag lang unterdrücken – weshalb die eigene, mit Hardware-Schlüssel geschützte E-Mail-Adresse wichtig ist.

Schalten Sie sie ein, tragen Sie Ihre Self-Custody-Adressen ein, solange alles ruhig ist, und nehmen Sie die Unbequemlichkeit in Kauf: Wenn Sie spontan irgendwohin Neues auszahlen müssen, warten Sie. Diese Reibung ist die Funktion, die ihre Arbeit tut. Kombinieren Sie sie mit einer globalen Auszahlungssperre oder -verzögerung, falls Ihre Börse eine anbietet, und setzen Sie tägliche Auszahlungslimits auf den niedrigsten Wert, der zu Ihrer tatsächlichen Nutzung des Kontos passt.

Anti-Phishing-Codes und Benachrichtigungshygiene

Die meisten großen Börsen lassen Sie einen Anti-Phishing-Code festlegen: eine kurze Wortfolge Ihrer Wahl (etwa mango-vault-73), die die Börse in jede echte E-Mail aufnimmt, die sie Ihnen schickt. Massen-Phishing-Mails können Logos und Absendernamen fälschen, aber Ihren persönlichen Code können sie nicht kennen – „dringende Sicherheitshinweise“ ohne den Code entlarven sich also selbst als Betrug. Richten Sie einen ein; das dauert dreißig Sekunden.

Sorgen Sie dann dafür, dass die Börse Sie im Ernstfall auch wirklich erreicht:

Aktivieren Sie Benachrichtigungen für Logins von neuen Geräten, Änderungen von Passwort und 2FA, Änderungen der Adressliste und Auszahlungen. Diese Warnungen sind Ihr Stolperdraht während der Wartezeit der Allowlist.
Lesen Sie sie, wenn sie eintreffen. Ein Warnsystem, das Sie sich zu ignorieren antrainiert haben, ist Dekoration.
Kennen Sie den echten Support-Kanal. Angreifer beobachten soziale Medien nach Leuten, die sich über Börsenprobleme beschweren, und schlagen als „Support“ zu. Der echte Börsen-Support schreibt Sie nie zuerst per Direktnachricht an, fragt nie nach Ihrer Seed-Phrase (Börsen haben keine Seed-Phrases, die wiederhergestellt werden könnten) und verlangt nie, dass Sie Fernzugriffs-Software installieren.

API-Schlüssel: Begrenzen Sie sie, als wären sie Geld

Wenn Sie Trading-Bots, Portfolio-Tracker oder Steuer-Software nutzen, legen Sie API-Schlüssel an – und API-Schlüssel ohne Begrenzung gehören zu den häufigsten Wegen, auf denen Konten ausbluten. Die Regeln:

Vergeben Sie das Minimum an Berechtigungen. Ein Portfolio-Tracker braucht nur Lesezugriff. Ein Trading-Bot braucht Lesen + Handeln. Fast nichts Seriöses braucht die Auszahlungs-Berechtigung – lassen Sie sie deaktiviert, es sei denn, Sie haben selbst etwas gebaut, das sie tatsächlich erfordert, und Sie verstehen den Schadensradius.
Beschränken Sie jeden Schlüssel per IP auf den Server oder die Heim-IP, die ihn nutzt, sofern die Börse das unterstützt. Ein geleakter Schlüssel, der nur von der IP-Adresse Ihres Bots funktioniert, ist für einen Dieb nahezu wertlos.
Ein Schlüssel pro Anwendung, klar benannt, damit Sie eine einzelne Integration widerrufen können, ohne die anderen zu beeinträchtigen.
Rotieren und ausmisten. Löschen Sie Schlüssel für Dienste, die Sie nicht mehr nutzen; behandeln Sie einen Schlüssel, der zwei Jahre lang in einem Drittanbieter-Dashboard lag, als geleakt, bis er rotiert wurde.

Beachten Sie das Zusammenspiel mit Allowlists: Bei den meisten Börsen kann selbst ein Schlüssel mit Auszahlungsberechtigung nur an Adressen auf der Allowlist auszahlen. Defense in Depth heißt: Ein Angreifer muss beides überwinden.

Begrenzen Sie, was es zu stehlen gibt

Die letzte Kontrolle ist die älteste: die Höhe dessen, was überhaupt exponiert ist. Ein Börsenkonto ist ein Anspruch gegenüber einem Unternehmen, keine Kryptowerte in Ihrer Tasche – sein Inhalt hängt von der Sicherheit Ihrer Zugangsdaten und von der Zahlungsfähigkeit und den internen Kontrollen der Börse ab, eine Geschichte, die im Leitfaden zur Self-Custody in diesem Lernpfad behandelt wird.

Praktische Regel für aktive Trader: Legen Sie fest, wie viel Sie maximal auf der Börse haben wollen (für viele: das, was sie aktiv handeln, plus kurzfristige Ausgaben – sagen wir 10–20 % der Bestände), überführen Sie Gewinne oberhalb dieser Grenze planmäßig in Cold Storage, und verteilen Sie das Guthaben auf zwei Börsen, wenn es so groß ist, dass eine einzelne Kontosperrung – die bei Compliance-Prüfungen auch dann vorkommen kann, wenn Sie nichts falsch gemacht haben – Ihr Leben durcheinanderbringen würde. Auszahlungen auf Ihre eigene Wallet auf der Allowlist dienen zugleich als wiederkehrender Test, ob Ihr Ausstiegsweg tatsächlich funktioniert.

Die Checkliste

Gehen Sie sie heute durch und wiederholen Sie sie vierteljährlich:

Einmaliges, vom Manager erzeugtes Passwort; eigene E-Mail-Adresse; 2FA per Hardware-Schlüssel oder TOTP bei beiden; SMS überall entfernt, wo möglich.
Auszahlungs-Allowlist AN, mit ausschließlich Ihren eigenen, geprüften Adressen; Wartezeit für neue Adressen bestätigt; tägliches Auszahlungslimit niedrig gesetzt.
Anti-Phishing-Code gesetzt; Benachrichtigungen für Logins, Sicherheitsänderungen und Auszahlungen aktiviert.
Aktive Sitzungen, Geräte und verbundene Apps geprüft; alles Unbekannte widerrufen.
API-Schlüssel: minimale Berechtigungen, per IP beschränkt, einer pro App, Auszahlungsberechtigung aus, veraltete Schlüssel gelöscht.
Guthaben auf der Börse innerhalb Ihrer vorab festgelegten Obergrenze; Überschuss in Self-Custody überführt.

Keiner dieser Schritte erfordert technisches Können – nur die Entscheidung, eine konzentrierte Stunde zu investieren, bevor ein Angreifer eine Stunde in Sie investiert.