Glossar / Kauf und Börsen
API-Schlüssel einer Börse
- Was ist ein API-Schlüssel einer Börse?
- Ein API-Schlüssel einer Börse ist ein Zugangsmittel, das Sie erzeugen, damit ein Programm ohne Ihr Passwort in Ihrem Konto handeln, lesen oder auszahlen kann, und zwar im Rahmen der von Ihnen gewählten Berechtigungen.
Der Schlüssel ist eine zweite Tür in dasselbe Konto, geöffnet durch einen Token und eine Signatur statt durch einen Anmeldebildschirm. Die Nutzungsbedingungen von Bitstamp, zuletzt aktualisiert am 30. Mai 2025, legen jeden Verlust durch einen von Ihnen erzeugten Schlüssel Ihnen zur Last, einschließlich unbefugten Zugriffs und Verlusts von Guthaben. Erteilen Sie nur Leseberechtigung, niemals Auszahlungsberechtigung, und löschen Sie Schlüssel, die Sie nicht mehr verwenden.
So funktioniert es
Ein API-Schlüssel einer Börse kommt als Paar: eine öffentliche Kennung, die das Konto benennt, und ein Geheimnis, mit dem der Aufrufer jede Anfrage signiert. Das Geheimnis erscheint einmal, bei der Erstellung, und die Börse behält ihre eigene Kopie, um jede Signatur zu prüfen. Von da an kann ein Programm Orders platzieren, Guthaben abrufen oder Gelder bewegen, indem es eine Anfrage signiert, ohne Browser, ohne Passwortabfrage und ohne zweiten Faktor im Ablauf.
Die Berechtigungen sind das ganze Produkt. Die Bedingungen von Bitstamp sagen es in einer Zeile: "The scope of access you permit by such API key is defined by you when you create API Key", und verweisen auf die Seite zur Zugriffskontrolle des Kontos. Die Plattformen teilen diesen Umfang in Lesen, Handel und Auszahlung auf, und viele ermöglichen es, einen Schlüssel an feste IP-Adressen zu binden, sodass ein gestohlenes Geheimnis anderswo nutzlos ist. Ein Schlüssel mit reiner Leseberechtigung, der einem Tracker übergeben wird, kann Ihnen kein Geld entziehen. Ein Schlüssel mit Auszahlungsberechtigung ist eine dauerhafte Anweisung, an denjenigen zu zahlen, der das Geheimnis besitzt.
Vertraglich ist eine mit Ihrem Schlüssel signierte Anfrage Ihre Order. Die Bedingungen von Bitstamp UK Limited, Version vom 01. Juli 2026, definieren eine Instruktion als jede von Ihnen erhaltene Order oder Anweisung, und die API-Klausel schließt die Haftung für Verluste aus, die "resulting from use or Instructions submitted through API Keys" entstehen. Dieselbe Klausel gilt in sechs der Bedingungen der Konzerngesellschaften und umfasst Bitstamp Limited, Bitstamp Europe S.A., Bitstamp USA Inc., Bitstamp UK Limited, Bitstamp Global Ltd und Bitstamp Asia Pte. Ltd. Bitstamp behält sich außerdem das Recht vor, jeden Schlüssel ohne vorherige Ankündigung zu sperren, wenn nach Ansicht des Unternehmens die Sicherheit gefährdet ist.
Wo er auftaucht
API-Schlüssel einer Börse befinden sich in den Sicherheitseinstellungen jeder Plattform, die eine Handelsschnittstelle veröffentlicht, meist unter einer Überschrift wie Zugriffskontrolle. Sie erstellen einen, um einen Portfolio-Tracker, ein Steuertool, ein Skript für wiederkehrende Käufe oder eine Tabellenkalkulation anzuschließen, die Ihren Handelsverlauf abruft. Eine Plattform kann auch zulassen, dass eine externe Anwendung einen Schlüssel in Ihrem Namen anfordert: Bitstamp nennt das Bitstamp Connect und verlangt Ihre Zustimmung in Ihrem Konto, bevor die Verbindung eines Integrators hergestellt wird.
Zwei Gewohnheiten decken den größten Teil des Risikos ab. Passen Sie den Umfang an die Aufgabe an, denn ein Steuertool, das Ihren Ausführungsverlauf liest, hat keinen Grund, Handels- oder Auszahlungsrechte zu besitzen, und widerrufen Sie einen Schlüssel in dem Moment, in dem sein Tool nicht mehr genutzt wird, denn an einem Schlüssel läuft nichts von selbst ab. Wenn Ihre Plattform IP-Allowlisting unterstützt, nutzen Sie es. Wenn Sie glauben, dass ein Geheimnis geleakt wurde, löschen Sie zuerst den Schlüssel und ermitteln Sie danach.
Eine Hürde überrascht diejenigen, die ihre eigenen Tools bauen. Die britischen Bedingungen von Bitstamp lizenzieren die Marktdaten, die ein Schlüssel zurückgibt, nur für die zulässige Marktdatennutzung, die das Ansehen von Preisen, das Übermitteln von Orders, den Abgleich Ihrer Transaktionen und die Erfüllung steuerlicher oder prüfungsbezogener Pflichten umfasst. Diese Preise erneut zu veröffentlichen, mit den Feeds anderer Plattformen zusammenzuführen oder ein Modell damit zu trainieren, gilt als kommerzielle Marktdatennutzung und erfordert eine gesonderte Marktdatenvereinbarung.
API-Schlüssel einer Börse vs. privater Schlüssel
Ein privater Schlüssel steuert Bitcoin auf der Blockchain; ein API-Schlüssel einer Börse steuert ein Konto bei einem Unternehmen. Der Unterschied zeigt sich, wenn einer von beiden leakt. Ein kompromittierter API-Schlüssel ist widerrufbar: Löschen Sie ihn, und die Plattform akzeptiert keine damit erstellten Signaturen mehr. Ein kompromittierter privater Schlüssel kann von niemandem widerrufen werden, weil das Netzwerk keine Vorstellung davon hat, wer ihn halten sollte, und die einzige Verteidigung besteht darin, die Coins auf einen frischen Schlüssel zu verschieben, bevor der Dieb es tut. Diese Asymmetrie begrenzt auch, was ein geleakter API-Schlüssel Sie kosten kann: Er reicht an das Guthaben, das die Börse für Sie verwahrt, und an nichts, was Sie bereits ausgezahlt haben.