Wenn Sie für Ihren Steuerbericht nach einem API-Schlüssel Ihrer Börse gefragt werden, sind Zweifel die vernünftige Reaktion. „Und wenn jemand an mein Guthaben kommt?” „Können damit meine Coins bewegt werden?”
Die kurze Antwort: nein, das ist nicht möglich. Dieser Beitrag erklärt genau, warum.
Was eine API ist, ohne Fachjargon
API steht für Application Programming Interface, also Programmierschnittstelle. Das klingt technisch, der Gedanke dahinter ist aber einfach:
Eine API ist eine kontrollierte Tür, durch die ein externes Programm mit Ihrer Börse sprechen kann.
Denken Sie an eine Hotelkarte:
- Ihre Zimmerkarte öffnet nur Ihr Zimmer, nicht jede Tür im Haus.
- Genauso arbeitet eine API: Sie trägt genau die Berechtigungen, die Sie beim Anlegen festlegen.
Jedes Mal, wenn Sie bei einer Börse wie Binance, Kraken oder Bit2Me einen Schlüssel erzeugen, bestimmen Sie, was diese Verbindung darf.
Die drei Berechtigungsstufen
Alle Börsen ordnen ihre API-Rechte auf ähnliche Weise. In der Regel gibt es drei Stufen:
1. Nur Lesen (Read Only)
- Erlaubt: Handelshistorie abrufen, Salden ansehen, Bewegungen herunterladen.
- Nicht erlaubt: kaufen, verkaufen, auszahlen oder Guthaben bewegen.
- Entspricht: jemandem Ihren Kontoauszug zu zeigen. Die Zahlen sind sichtbar, aber kein Cent lässt sich anfassen.
2. Handel (Trading)
- Erlaubt: alles Vorige, zusätzlich Kauf- und Verkaufsaufträge innerhalb der Börse.
- Nicht erlaubt: Auszahlungen an externe Wallets.
- Entspricht: jemandem den Handel in Ihrem Namen zu erlauben, ohne dass Geld das Konto verlassen kann.
3. Auszahlung (Withdrawal)
- Erlaubt: alles Vorige, zusätzlich das Senden von Kryptowerten an externe Adressen.
- Nur diese Stufe könnte Ihr Guthaben gefährden.
- Entspricht: den vollständigen Schlüsseln zu Ihrem Konto.
Was ein Steuerbericht tatsächlich braucht: reinen Lesezugriff
Für einen Krypto-Steuerbericht genügt die erste Stufe, mehr nicht.
Mit dem Schlüssel geschieht ausschließlich Folgendes:
- die Kauf- und Verkaufshistorie herunterladen
- Ein- und Auszahlungen einsehen
- Datum und Preis jeder Transaktion ablesen
Kein Handel. Keine Auszahlung. Nur Daten lesen.
Warum sich mit reinem Lesezugriff technisch nichts bewegen lässt
Das ist keine Vertrauensfrage, sondern eine technische Schranke der Börse selbst.
Beim Anlegen eines Lese-Schlüssels erzeugt die Börse Zugangsdaten (API Key und Secret Key), für die auf dem Server strenge Regeln gelten:
-
Die Börse prüft die Rechte bei jeder Anfrage. Bei jeder Nutzung des Schlüssels prüft der Server, was dieser Schlüssel darf. Versucht jemand mit einem Lese-Schlüssel eine Order oder eine Auszahlung, weist die Börse den Vorgang automatisch ab.
-
Rechte lassen sich nicht nachträglich erweitern. Sie werden beim Anlegen festgelegt. Ein bestehender Schlüssel kann nicht erweitert werden, ohne dass sich jemand mit Passwort und Zwei-Faktor-Authentifizierung (2FA) in Ihr Konto einloggt.
-
Jeder Schlüssel hat sein eigenes Paar von Zugangsdaten. Wer den Lese-Schlüssel hat, kommt an keinen anderen Schlüssel heran, den Sie mit weitergehenden Rechten angelegt haben.
Es ist, als wollte man einen Tresor mit der Karte des Fitnessstudios öffnen: es funktioniert schlicht nicht, weil das System es nicht vorsieht.
Die zusätzlichen Schutzmechanismen der Börsen
Die großen Börsen legen weitere Schichten darüber:
| Schutz | Wirkung |
|---|---|
| IP-Whitelist | Der Schlüssel funktioniert nur von bestimmten IP-Adressen aus |
| 2FA zum Anlegen | Ohne Zwei-Faktor-Authentifizierung lässt sich kein Schlüssel erzeugen |
| Feingranulare Rechte | Einzelne Berechtigungen lassen sich beim Anlegen ein- und ausschalten |
| Ablaufdatum | Manche Börsen lassen Schlüssel automatisch verfallen |
| Benachrichtigungen | Sie erhalten eine E-Mail, sobald ein neuer Schlüssel in Ihrem Konto entsteht |
Gegenüberstellung: was jeder Schlüsseltyp kann
| Vorgang | Nur Lesen | Handel | Auszahlung |
|---|---|---|---|
| Handelshistorie ansehen | Ja | Ja | Ja |
| Salden abfragen | Ja | Ja | Ja |
| Bewegungen herunterladen | Ja | Ja | Ja |
| Krypto kaufen oder verkaufen | Nein | Ja | Ja |
| Orders anlegen | Nein | Ja | Ja |
| An eine externe Wallet auszahlen | Nein | Nein | Ja |
| Krypto an andere senden | Nein | Nein | Ja |
Und wenn ich den Zugang wieder entziehen will?
Sie können den Schlüssel jederzeit löschen. Das wirkt sofort: Einmal gelöscht, funktionieren die Zugangsdaten augenblicklich nicht mehr.
Auch wenn Sie also einen Lese-Schlüssel für einen Steuerbericht weitergeben, können Sie den Zugang widerrufen, sobald die Arbeit erledigt ist.
Kurz gefasst
- Ein Schlüssel mit reinem Lesezugriff kann Ihre Kryptowerte weder bewegen noch kaufen oder verkaufen.
- Das ist eine technische Schranke der Börse, kein Versprechen desjenigen, der den Schlüssel erhält.
- Ein Steuerbericht muss lediglich Ihre Historie lesen, sonst nichts.
- Sie können den Schlüssel jederzeit löschen, wenn Sie ihn nicht mehr brauchen.
- Einen Lese-Schlüssel weiterzugeben ist so sicher wie das Vorzeigen eines Kontoauszugs: Die Zahlen sind sichtbar, an das Geld kommt niemand.
Brauchen Sie Hilfe bei Ihrem Krypto-Steuerbericht?
Bei Cryptoimpuestos brauchen wir nichts weiter als einen Schlüssel mit reinem Lesezugriff. Rechte für Handel oder Auszahlung fragen wir gar nicht erst an — wir benötigen sie schlicht nicht.
Wenn Sie unsicher sind, wie Sie Ihren Schlüssel anlegen: Für jede Börse gibt es bei uns eine Schritt-für-Schritt-Anleitung.
Victor Lazaro
Steuerberatung, Cryptoimpuestos.es
