Ist es sicher, Depot oder Kryptobörse mit einer App zu verbinden?

Ein Depot oder eine Kryptobörse mit einer App zu verbinden kann sicher sein, wenn die Verbindung nur lesend ist und du weder dein Passwort noch einen Schlüssel herausgibst, der handeln oder abheben kann. Achte auf drei Dinge: Du meldest dich auf den Seiten deines Instituts an (per OAuth oder über einen Dienst wie Plaid) statt dein Passwort in die App zu tippen, API-Schlüssel von Börsen haben nur Leserechte, und du kannst den Zugriff jederzeit widerrufen. Verlangt eine App mehr, als sie braucht, um dein Portfolio anzuzeigen, verbinde sie nicht.

Keine Verbindung ist ganz ohne Risiko. Deshalb lohnt es sich zu wissen, wie die einzelnen Arten funktionieren und was du prüfen solltest.

Drei Wege, wie Apps sich mit deinen Konten verbinden

1. Weitergabe von Benutzername und Passwort

Ältere Aggregatoren haben nach deinen Zugangsdaten gefragt und sich damit in deinem Namen eingeloggt, oft „Screen Scraping“ genannt. Das funktioniert, aber die App hält dann Zugangsdaten, mit denen sie alles tun kann, was du in diesem Konto tun kannst. Die US-Aufsicht FINRA erklärt die Risiken in ihrer Anlegerwarnung Know Before You Share.

In Europa regelt die Zahlungsdiensterichtlinie PSD2 den Zugriff auf Zahlungskonten durch zugelassene Kontoinformationsdienste, in Deutschland im Zahlungsdiensteaufsichtsgesetz und unter Aufsicht der BaFin. Depots und Kryptobörsen fallen nicht unbedingt darunter. Umso wichtiger ist es, bei jeder App zu prüfen, wie sie sich verbindet.

2. Token-basierte Verbindungen (OAuth und Plaid)

Bei OAuth wirst du auf die Login-Seite deines Brokers geleitet. Du meldest dich dort an, bestätigst, was die App sehen darf, und der Broker gibt der App ein Token, das auf genau diesen Zugriff beschränkt ist. Die App sieht dein Passwort nie, und du kannst das Token meist in den Sicherheitseinstellungen deines Kontos widerrufen.

Dienste wie Plaid sitzen für viele Apps dazwischen: Du wählst dein Institut, meldest dich auf den Seiten von Plaid oder deines Instituts an, und die App erhält Zugriff auf die angefragten Datenarten. Plaid erklärt seinen Ansatz unter How we handle your data und auf seiner Sicherheitsseite.

3. API-Schlüssel (Kryptobörsen)

Kryptobörsen erlauben API-Schlüssel mit genau festgelegten Rechten. Du erstellst den Schlüssel auf der Börse, wählst seine Rechte und fügst ihn in die App ein.

Hier zählen die Rechte mehr als alles andere:

• Coinbase vergibt Berechtigungsstufen. Die Dokumentation zur Autorisierung beschreibt „View“ als Zugriff auf Schnittstellen, die kein Geld aus deinem Konto bewegen, während „Trade“ und „Transfer“ Orders und das Versenden von Guthaben erlauben.
• Kraken trennt Rechte für Guthaben (abfragen, einzahlen, abheben), für Orders und Trades (abfragen, erstellen oder ändern, stornieren) und für Daten, wie Krakens Anleitung How to create an API key beschreibt.

Ein Portfolio-Tracker muss nur lesen: Guthaben und Handelsverlauf. Er sollte nie Rechte zum Handeln, Abheben, Übertragen oder Einzahlen brauchen.

Was „nur Lesezugriff“ bedeuten sollte

„Nur Lesezugriff“ ist nur etwas wert, wenn es durchgesetzt wird. Frag dich:

• Prüft die App die Rechte des Schlüssels und lehnt Schlüssel ab, die handeln oder abheben können, oder bittet sie dich nur freundlich um einen Leseschlüssel?
• Prüft sie später erneut? Rechte lassen sich nach dem Erstellen eines Schlüssels ändern.
• Welche Datenarten werden beim Broker angefragt? Bestände und Transaktionen reichen für einen Tracker. Geldbewegungen braucht er nicht.

Checkliste, bevor du ein Konto verbindest

1. Wo melde ich mich an? Auf der Seite meines Brokers, bei Plaid oder auf der Börse selbst, nicht in einem Formular innerhalb der App.
2. Welche Rechte hat der Schlüssel oder die Verbindung? Nur Lesen. Kein Handel, keine Auszahlungen, keine Überträge, keine Einzahlungen.
3. Wie werden Zugangsdaten gespeichert? Achte auf Verschlüsselung im Ruhezustand und eine klare Aussage, wer darauf zugreifen kann.
4. Kann ich den Zugriff widerrufen? In der App und beim Broker oder der Börse.
5. Verlangt die App eine Zwei-Faktor-Bestätigung für sensible Schritte wie das Verbinden eines Depots?
6. Was passiert mit meinen Daten? Werden sie verkauft oder für Werbung genutzt? Werden sie gelöscht, wenn ich ein Konto trenne oder meinen Account schließe?
7. Sagt die App, was sie nicht kann? Ein klares „Wir können nicht handeln und kein Geld bewegen“ ist ein gutes Zeichen. Vage Sicherheitsslogans ersetzen keine konkreten Angaben.
8. Kann ich den Schlüssel weiter einschränken? Manche Börsen erlauben, einen Schlüssel auf bestimmte IP-Adressen oder ein einzelnes Portfolio zu begrenzen.

So erstellst du einen Börsenschlüssel mit Lesezugriff

Sonar braucht keinen: Börsen werden dort über Plaid verbunden. Fragt eine andere App nach einem Schlüssel, gelten diese allgemeinen Schritte; Menünamen ändern sich, folge den aktuellen Hilfeseiten deiner Börse.

1. Öffne den API-Bereich in den Kontoeinstellungen deiner Börse.
2. Erstelle einen neuen Schlüssel und gib ihm einen Namen, den du wiedererkennst, etwa den Namen der App.
3. Wähle nur Abfrage- bzw. Leserechte für Guthaben und Handelsverlauf.
4. Lass Handel, Auszahlung, Übertrag und Einzahlung deaktiviert.
5. Schränke den Schlüssel, falls angeboten, auf ein Portfolio oder eine IP-Liste ein.
6. Kopiere Schlüssel und Secret direkt in die App. Speichere sie nicht in Notizen oder E-Mails.
7. Lösche den Schlüssel auf der Börse, wenn du die App nicht mehr nutzt.

So verbindet Sonar Konten

Sonar ist grundsätzlich nur lesend. Konkret heißt das:

• Wallets werden nur per öffentlicher Adresse verbunden. Sonar fragt nie nach einem privaten Schlüssel oder einer Seed-Phrase. Siehe Krypto-Wallet per Adresse tracken.
• Börsen wie Coinbase oder Kraken werden wie Depots über Plaid verbunden, sofern Plaid sie anbietet. Sonar nimmt keine Börsen-API-Schlüssel an, es gibt also keinen Schlüssel, der erstellt, gespeichert oder geleakt werden könnte.
• Depots werden mit Starter, Standard und Premium über Plaid verbunden, nur für Anlagedaten: Bestände, Trades, Dividenden und Gebühren. Du meldest dich auf den Seiten von Plaid oder deines Brokers an, dein Passwort erreicht Sonar nie. Für das Verbinden eines Depots oder einer Börse brauchst du die Zwei-Faktor-Bestätigung in deinem Sonar-Konto, und das Entfernen der Verbindung widerruft Sonars Zugriff bei Plaid. Welche Institute verfügbar sind, hängt von Plaids Abdeckung in deinem Land ab. Siehe den Depot-Tracker.
• Deine Daten werden weder verkauft noch für Werbung genutzt. Trennst du ein Konto, werden seine Daten gelöscht und der Zugriff widerrufen.

Die Seite Sicherheit listet, was Sonar speichert, was nie gespeichert wird und wie du eine Sicherheitslücke meldest. Die Limits für verbundene Konten je Tarif stehen auf der Preisseite.

Risiken, die auch mit Lesezugriff bleiben

Lesezugriff beseitigt das größte Risiko, dass jemand mit deinen Zugangsdaten handelt oder abhebt, aber nicht jedes:

• Privatsphäre. Die App sieht deine Bestände und deinen Verlauf. Wähle Dienste, die erklären, was sie speichern, und keine Daten verkaufen.
• Ein Datenleck bei der App könnte offenlegen, was sie speichert. Verschlüsselte Zugangsdaten und möglichst wenig gespeicherte Daten begrenzen den Schaden.
• Phishing. Gefälschte Apps oder Börsenseiten können dich zur Anmeldung verleiten. Prüfe die Adresszeile, bevor du Zugangsdaten eingibst. Die BaFin informiert auf ihrer Verbraucherseite über aktuelle Warnungen.
• Vergessene Schlüssel mit zu vielen Rechten. Prüfe und lösche ungenutzte API-Schlüssel auf deinen Börsen regelmäßig.

FAQ

Kann eine Portfolio-App mein Geld stehlen?

Nicht über eine echte Leseverbindung. Ein API-Schlüssel nur mit Leserechten, eine öffentliche Wallet-Adresse oder eine Depotverbindung, die auf Anlagedaten beschränkt ist, können weder handeln noch abheben. Das Risiko geht von Apps aus, die Handels- oder Auszahlungsrechte, Passwörter oder Seed-Phrasen verlangen.

Ist Plaid sicher?

Plaid wird von vielen Finanz-Apps genutzt, und du meldest dich dabei auf den Seiten von Plaid oder deines Instituts an, statt der App dein Passwort zu geben. Wie bei jedem Dienst lohnt ein Blick darauf, welche Daten die App anfragt und was in ihrer Datenschutzerklärung steht. Plaid beschreibt seinen Ansatz auf seiner Sicherheitsseite.

Soll ich einer App mein API-Secret geben?

Nur für einen Schlüssel mit reinen Leserechten, und nur einer App, die erklärt, wie sie ihn speichert. Gib einem Tracker niemals einen Schlüssel mit Handels- oder Auszahlungsrechten.

Was tun, wenn ein Schlüssel offengelegt wurde?

Lösche ihn sofort auf der Börse und erstelle einen neuen Leseschlüssel, wenn du die Verbindung behalten willst. Prüfe die letzten Kontobewegungen und die Sicherheitseinstellungen deiner Börse.

Muss ich überhaupt Konten verbinden?

Nein. Du kannst einen CSV-Export importieren oder Positionen von Hand eintragen. Siehe Transaktionen als CSV exportieren.