2FA und Trading Bots: Was geschützt wird und was nicht

Die Zwei-Faktor-Authentifizierung (2FA) schützt die menschliche Seite eines Trading-Bot-Setups: Ihren Exchange-Login, Ihre E-Mail und Ihr Bot-Plattform-Konto. Sie schützt jedoch nicht die API-Verbindung des Bots, da API-Keys die Kommunikation von Maschine zu Maschine authentifizieren und keinen Code abfragen. Ein sicheres Setup benötigt daher zwei Ebenen: eine starke 2FA für jedes Konto, in das Sie sich einloggen, und präzise konfigurierte API-Keys für den Bot selbst.

Dieser Leitfaden erklärt, wo welche Kontrolle greift, wie Sie beides konfigurieren und was zu tun ist, wenn Sie Ihren Authenticator verlieren.

TL;DR (Zusammenfassung)

• 2FA schützt Logins und Kontenänderungen durch Personen. API-Keys sind ein separater Zugangsweg und benötigen eigene Sicherheitsmaßnahmen.
• Trading-2FA ist nicht mit API-Key-Anmeldungen kompatibel und kann daher API-authentifizierte Anfragen nicht schützen.
• Geben Sie einem Bot nur die notwendigen Berechtigungen, deaktivieren Sie Auszahlungen und schränken Sie Keys per IP-Adresse ein.
• Bevorzugen Sie Passkeys, dann Authenticator-Apps. Schützen Sie Ihr E-Mail-Konto mit demselben Standard und speichern Sie Backup-Codes offline.
• Erstellen Sie einen Reaktionsplan: Keys widerrufen, offene Orders stornieren, Zugangsdaten ändern und untersuchen.

Warum 2FA und Bots ein Sonderfall sind

2FA funktioniert, indem etwas verlangt wird, das Sie wissen (Passwort), plus etwas, das Sie besitzen (Gerät oder Key). Dieses Modell setzt voraus, dass im Moment der Authentifizierung eine Person anwesend ist. Ein automatisierter Trading Bot ist das Gegenteil: Er muss zu jeder Zeit Orders platzieren und stornieren, ohne dass ein Mensch einen Code eingibt.

Aus diesem Grund trennen Börsen den menschlichen Zugriff vom programmatischen Zugriff. Menschen melden sich mit einem Passwort und einem zweiten Faktor an. Software verbindet sich über einen API-Key und ein Secret, und die an diesen Key gebundenen Berechtigungen definieren, was die Software tun darf. 2FA schützt primär den Account-Login gegen Passwort-Diebstahl, während API-Keys Machine-to-Machine-Zugangsdaten sind. Ein Login-2FA darf also nicht als automatischer Schutz für die Keys eines Bots missverstanden werden.

Die praktische Konsequenz ist eine Arbeitsteilung:

Jede Zeile ist eine separate Tür. Drei Türen zu verschließen und eine offen zu lassen, macht das Haus nicht sicher.

Was 2FA auf der Börsenseite schützt

Auf der Börse kann 2FA mehr als nur den Login abdecken. Authenticator-basierte 2FA kann oft auf den Login, den Master-Key, Finanzierungen und das Trading angewendet werden, sodass der Schutz bis zu den Aktionen reicht, die Werte bewegen.

Trading-2FA ist ein gutes Beispiel. Hier wird ein Code verlangt, bevor Trades ausgeführt werden, sodass Guthaben und Positionen nicht ohne den zweiten Faktor geändert werden können. Für einen manuellen Trader ist dies eine nützliche Absicherung gegen jemanden, der eine Session oder ein Passwort gestohlen hat.

Die entscheidende Einschränkung für die Automatisierung ist jedoch: Trading-2FA ist nicht mit API-Key-Anmeldungen kompatibel und ist als Sicherheitsmerkmal für API-authentifizierte Anfragen wirkungslos. Wenn Ihr Bot Orders über einen API-Key platziert, wird eine Trading-2FA-Einstellung diese Orders nicht blockieren. Die Berechtigungen des Keys müssen diese Aufgabe übernehmen.

Passkeys vs. Authenticator-Codes

Nicht alle zweiten Faktoren sind gleich. Passkeys werden gegenüber Authenticator-Apps bevorzugt. Der Grund ist technischer Natur: Passkeys nutzen FIDO2 und sind phishing-resistent, da die Authentifizierung an den Ursprung der legitimen Website gebunden ist. Ein sechsstelliger Authenticator-Code hingegen kann in eine gefälschte Seite eingegeben oder exponiert werden, wenn die Cloud-Synchronisation der App kompromittiert ist.

Daraus ergibt sich folgende Prioritätenliste für Trading-Accounts:

1. Passkey oder Hardware-Sicherheitsschlüssel, sofern die Börse oder Plattform dies anbietet.
2. Authenticator-App (zeitbasierte Codes), wenn Passkeys nicht verfügbar sind.
3. SMS-Codes, nur wenn nichts anderes angeboten wird, da sie davon abhängen, dass die Telefonnummer unter Ihrer Kontrolle bleibt.

Zusätzlich ist das Whitelisting von Auszahlungsadressen extrem wertvoll. Selbst wenn ein Angreifer Zugriff auf Ihr Konto erhält, können Gelder nur an Adressen gesendet werden, die Sie im Voraus genehmigt haben.

Die Geräte sind ebenso wichtig wie die Codes. Ein zweiter Faktor auf einem Handy ist nur so sicher wie das Handy selbst. Überprüfen Sie regelmäßig die installierten Apps auf jedem Gerät, das Ihren Authenticator enthält.

Vergessen Sie nicht Ihre E-Mail

Die meisten Account-Wiederherstellungsprozesse laufen über die E-Mail. Wenn jemand Zugriff auf Ihr Postfach hat, kann er oft das Börsenpasswort zurücksetzen. Es wird empfohlen, eine App-basierte 2FA sowohl für das Börsenkonto als auch für das E-Mail-Konto zu verwenden und Recovery-Codes sicher offline zu speichern.

Eine kurze Checkliste für die Konten rund um Ihren Bot:

• E-Mail: Einzigartiges Passwort, Passkey oder Authenticator 2FA.
• Börse: Passkey oder Authenticator 2FA für Login, Funding und Trading.
• Bot-Plattform: Einzigartiges Passwort und 2FA, wo immer verfügbar.
• Passwort-Manager: Geschützt durch ein starkes Master-Passwort und eigene 2FA.

Wie Bots tatsächlich verbinden: API-Keys

Ein API-Key erlaubt es einer Software, in Ihrem Namen auf dem Börsenkonto zu agieren, ohne Ihr Passwort zu kennen. Berechtigungen wie „Modify Orders“ (Orders ändern) und „Cancel/Close Orders“ (Orders stornieren/schließen) erlauben es einem API-Client, Trades durchzuführen. API-Key-2FA existiert zwar theoretisch, wird aber von den meisten Drittanbieter-Bots nicht unterstützt, weshalb man sich nicht darauf verlassen sollte.

Die Erstellung eines Keys erfordert oft 2FA. Das bedeutet: 2FA schützt den Moment der Erstellung. Die Berechtigungen schützen alles, was danach passiert.

Für weitere Details zur Verbindung lesen Sie unsere Guides zur API-basierten Börsenintegration und zur API-Key-Integration für die Bot-Automatisierung.

API-Keys absichern

Da 2FA den Bot nicht steuert, muss der Key selbst eingeschränkt werden. Ein Key kann nur das tun, was seine Berechtigungen erlauben – weniger Berechtigungen bedeuten also einen geringeren Schaden im Falle eines Leaks.

Nur notwendige Berechtigungen gewähren

Ein Trading-Key für Drittanbieter benötigt in der Regel die Änderung und Stornierung von Orders sowie Abfragen offener Orders. Auszahlungen sollten unter allen Umständen deaktiviert bleiben.

Auszahlungen deaktiviert lassen

Dies ist die wichtigste Einstellung. Ein gestohlener Key ohne Auszahlungsberechtigung kann zwar verlustreiche Trades tätigen, aber das Guthaben nicht direkt auf eine externe Wallet transferieren. Das macht ein Leak nicht harmlos, ändert aber das Worst-Case-Szenario massiv.

Einschränkung per IP-Adresse

Wenn die Börse dies unterstützt, setzen Sie die IP-Adressen auf eine Allowlist, von denen aus der Bot verbindet. Ein Key, der nur von bekannten Adressen aus funktioniert, ist für Angreifer nahezu wertlos. Mehr dazu in unserem Artikel über API-Keys und IP-Sicherheit.

Das Secret sicher speichern

API-Secrets werden oft nur einmal angezeigt. Speichern Sie Keys in einem Passwort-Manager und niemals in unverschlüsselten Dateien, Chat-Nachrichten oder Screenshots.

Ein Key pro Zweck

Erstellen Sie für jeden Bot oder jede Börse einen separaten Key. So stört das Widerrufen eines kompromittierten Keys nicht den restlichen Betrieb. Unser Überblick zur API-Key-Sicherheit im automatisierten Trading erläutert diesen Ansatz.

2FA Schritt für Schritt einrichten

1. Zuerst E-Mail absichern: Einzigartiges Passwort und Passkey/Authenticator 2FA aktivieren.
2. 2FA auf der Börse aktivieren: Passkey bevorzugen, sonst Authenticator-App. Auf Login, Funding und Trading anwenden.
3. Recovery-Material speichern: Backup-Codes offline speichern, getrennt vom Passwort.
4. Auszahlungsschutz aktivieren: Adress-Whitelisting und Auszahlungsbestätigungen einschalten.
5. Beschränkten API-Key erstellen: Nur Order-Berechtigungen, keine Auszahlungen, IP-Adresse hinzufügen.
6. Bot verbinden: Key einmalig eingeben, Secret im Passwort-Manager speichern.
7. Paper Trading Test: Verhalten prüfen, bevor echtes Kapital eingesetzt wird.

Wenn Sie neu bei der Verbindung sind, hilft unser Bot-Setup-Guide.

Wenn Sie Ihren Authenticator verlieren

Der Verlust eines Telefons ist das häufigste 2FA-Problem. Backup-Codes sind genau für diesen Fall gedacht und sollten sicher offline gelagert werden.

Praktische Maßnahmen:

• Registrieren Sie einen zweiten Faktor (z. B. zwei Passkeys), damit ein verlorenes Gerät nicht zum Totalverlust des Zugangs führt.
• Bewahren Sie ausgedruckte Backup-Codes an einem physisch sicheren Ort auf.
• Kennen Sie das Wiederherstellungsverfahren Ihrer Börse im Voraus.
• Speichern Sie Backup-Codes niemals im E-Mail-Postfach.

Reaktionsplan bei Verdacht auf Kompromittierung

Ein Incident-Plan reduziert Fehlentscheidungen unter Druck. Die goldene Regel lautet: Zuerst eingrenzen.

1. Betroffene API-Keys und verbundenen Agenten auf der Börse sofort widerrufen.
2. Offene Orders stornieren und den Bot pausieren.
3. Login-Passwort ändern und den zweiten Faktor neu registrieren.
4. Kürzliche Orders, Logins und API-Aktivitäten prüfen.
5. Falls eine Recovery-Phrase exponiert wurde: Guthaben auf eine neue Wallet verschieben.
6. Neue Keys mit minimalen Berechtigungen erstellen und neu verbinden.

Unsere Perspektive

Wir entwickeln Darkbot auf Basis systematischer Ausführung, und Sicherheit ist Teil dieser Disziplin. Ein Bot ist nur so kontrolliert, wie der Zugriff, den man ihm gewährt. Wir betrachten 2FA und API-Berechtigungen als zwei separate Ebenen: 2FA schützt die Menschen, scoped Keys begrenzen die Software.

Unser Ansatz basiert auf direktem Order-Routing und menschlicher Aufsicht. Wir empfehlen die Verbindung über API-Keys mit den minimal notwendigen Berechtigungen. Der Prozess ist simpel: Key definieren, einschränken, sicher speichern, mit Paper Trading testen und dann schrittweise skalieren.

Grisha

Darkbot mit einem gesicherten Börsenkonto nutzen

Darkbot ist eine KI-basierte Plattform zur Automatisierung des Kryptohandels, die über API-Keys mit unterstützten Börsen verbindet. Die Plattform bietet anpassbare Strategien, Backtesting, Paper Trading und Risikomanagement-Tools, um das Verhalten des Bots ohne Kapitalrisiko zu verifizieren. Es gibt Free-, Standard- ($12,50/Monat), Premium- ($25,00/Monat) und Enterprise-Pläne, inklusive einer 14-tägigen Geld-zurück-Garantie für bezahlte Abonnements.

Weitere Informationen finden Sie unter Darkbot Pricing oder in unserem Artikel über Sicherheit von Trading Bots.

FAQ

Schützt 2FA die API-Keys meines Trading Bots?

Nicht direkt. 2FA schützt menschliche Logins, während API-Keys Software ohne Code authentifizieren. Die Berechtigungen des Keys, IP-Beschränkungen und eine sichere Speicherung sind hier die entscheidenden Schutzmaßnahmen.

Welche Berechtigungen sollte der API-Key eines Trading Bots haben?

Nur die, die zum Platzieren, Ändern und Stornieren von Orders sowie zum Lesen offener Orders erforderlich sind. Auszahlungen müssen deaktiviert bleiben.

Sind Passkeys besser als Authenticator-Apps für Trading-Accounts?

Im Allgemeinen ja, da sie resistenter gegen Phishing sind. Passkeys sind an die legitime Website gebunden, während Authenticator-Codes auf gefälschten Seiten eingegeben werden können.

Was passiert, wenn ich mein Handy mit dem Authenticator verliere?

Nutzen Sie Ihre Offline-Backup-Codes oder einen zweiten registrierten Faktor. Danach sollten Sie vorsorglich Ihre API-Keys rotieren und Ihr Passwort ändern.

Empfohlen

• Crypto Trading Bot Security: Protecting Profits and Data