← Blog

Binance API Key sicher einrichten — Schritt für Schritt

Die meisten API-Key-Verletzungen entstehen nicht durch Hacker, sondern durch den

Nutzer selbst — weil er aus Bequemlichkeit das falsche angeklickt hat. Hier ist

das richtige Vorgehen für sichere Binance-Integration.

1. API Key auf Binance mit minimalen Rechten erstellen

Gehe zu Binance → Account → API Management und folge diesen Schritten:

Nur folgende Rechte erteilen:

• Lesen (Read): Kontodaten und Portfolio abrufen
• Spot-Handel (Trading): Nur für Käufe und Verkäufe
• Niemals Auszahlungsrechte (Withdraw): Das ist das häufigste Sicherheitsloch

Wenn dein API-Key Auszahlungsrechte hat und kompromittiert wird, ist dein Geld

*weg*. Es gibt keinen Grund, einen Bot diese Rechte zu geben.

IP-Whitelist aktivieren

Das ist der zweite kritische Schutz: Begrenzen Sie den API-Key auf die IP-Adresse

der Maschine, auf der der Bot läuft. Selbst wenn der Schlüssel geleakt wird,

kann ihn niemand von außen nutzen.

• Statische IP? Tragen Sie diese direkt ein
• Dynamische IP (Heimnetzwerk)? Dann ist IP-Whitelisting schwieriger — eine

Cloud-Instanz ist hier sicherer

2. Test-Button vor der Live-Verwendung

Auf der Binance-Seite klicken Sie *Test-Connectivity* — das prüft die API-Rechte,

ohne echte Orders zu platzieren.

Der Vultify-Bot nutzt denselben Test-Button, bevor der Paper-Modus aktiviert wird.

Das heißt:

• Wir validieren, dass der Key lesend funktioniert
• Wir stellen *keine* Orders mit echtem Geld, solange Paper-Modus an ist
• Der Operator sieht grünen Status oder sofort die Fehlerursache

3. Wie Vultify API-Keys speichert

Hier die technische Garantie:

Fernet-Verschlüsselung (at rest)

API-Keys werden mit Fernet (symmetric encryption) verschlüsselt bevor sie

in die Datenbank geschrieben werden. Fernet ist Python-Standard und garantiert

Vertraulichkeit und Authentizität.

1. Rohschlüssel (z. B. "abc...xyz") kommt von Binance
2. Vultify verschlüsselt ihn sofort mit Fernet
3. Nur das Chiffrat wird in der DB gespeichert
4. Zum Handeln wird der Schlüssel entschlüsselt und *nur im RAM* verwendet
5. Nach der Anfrage wird der RAM-Kopie gelöscht

Niemals im Klartext angezeigt

Nach dem Upload des API-Keys zeigen wir dir:

• ✓ Status (verbunden / fehlgeschlagen)
• ✓ Quotas und Requests/Sekunde
• ✓ Verfügbare Guthaben pro Asset
• ✗ Nicht den Schlüssel selbst (nicht einmal * * * *)

Das ist absichtlich. Wenn du den Key sehen kannst, ist das schon ein

Sicherheitsrisiko.

4. Standard ist Paper-Modus

Hier ist das System-Design, das alles zusammenhält:

1. Du ladest einen API-Key hoch

2. Vultify prüft ihn (Test-Button)

3. Standard: Paper-Modus eingeschaltet

4. Der Bot handelt simuliert — dein echtes Guthaben bleibt unangetastet

5. Erst wenn du *explizit* (!) in den Live-Modus wechselst, werden echte Orders platziert

Das ist kein Versehen, das ist Architektur: Paper-Modus ist der sichere Default.

5. Key-Rotation und Audit

Beste Praxis für langfristige Sicherheit:

• Monatliche Rotation: Erzeuge einen neuen API-Key auf Binance, lade ihn in Vultify hoch
• Alten Key deaktivieren: Lösche ihn auf Binance (nicht nur den Namen, wirklich löschen)
• Audit-Log: Vultify protokolliert jede Verwendung — Zeitstempel, Asset, Menge, Preis

Wenn etwas schief geht, kannst du *exakt* nachvollziehen, wann und was.

Checkliste: Vor dem ersten Handeln

• [ ] API-Key mit *nur* Lesen + Spot-Handel erstellt
• [ ] Auszahlungsrechte nicht erteilt
• [ ] IP-Whitelist aktiviert (falls möglich)
• [ ] Test-Button auf Binance geprüft (grün)
• [ ] In Vultify der Test-Button durchlaufen (grün)
• [ ] Paper-Modus bestätigt (Standard)
• [ ] Erste 1–2 Wochen nur zuschauen, nicht live handeln

Wichtig: Keine Gewinne versprochen, Krypto ist hochriskant

Selbst mit perfekter API-Sicherheit bleibt der Markt riskant. Ein sicherer API-Key

schützt dein Kapital vor Diebstahl, aber nicht vor Marktrisiko. Krypto-Handel kann

zum Totalverlust führen — auch mit dem besten Bot und dem besten API-Setup.

Die Sicherheitsmaßnahmen hier reduzieren *Technik-Risiko*. Market-Risiko musst du

selbst managen.