Was in der Vergangenheit schiefging
Die Geschichte der Kryptobörsen ist eine Reihe von Totalverlusten, und sie zeigt, dass Größe und Bekanntheit nichts garantieren. Zwei der drei folgenden Fälle waren keine technischen Angriffe, sondern das Versagen der Betreiber selbst.
Mt. Gox, rund 850.000 Bitcoin
Damals die größte Börse der Welt. Über Jahre unbemerkt abgeflossen, bis nichts mehr da war. Die Gläubiger warten teilweise bis heute auf ihr Geld.
Bitfinex, 120.000 Bitcoin
Ein Einbruch in die Multisignatur-Verwahrung. Die Börse verteilte den Verlust anteilig auf alle Kunden, auch auf die, deren Guthaben unangetastet war.
FTX, über 8 Milliarden Dollar
Kein Hack, sondern das Management selbst: Kundengelder wanderten in eine Schwesterfirma. Von aussen war bis kurz vor dem Ende nichts davon zu sehen.
Die Lehre daraus ist nicht, Börsen zu meiden, sondern sie als das zu behandeln, was sie sind: ein Handelsplatz, kein Tresor.
Anbieter mit eigener EU-Lizenz
Seit der MiCA-Verordnung braucht jeder Krypto-Dienstleister in der EU eine Zulassung. Sie verpflichtet zu getrennter Verwahrung von Kundengeldern, zu Meldepflichten und zu regelmäßigen Prüfungen. Diese 7 Anbieter aus unserem Vergleich halten eine eigene Lizenz:
Bitvavo
MiCA-Lizenz (AFM, Niederlande)
Fiat-Guthaben: Deutsche Einlagensicherung (Sutor Bank)
Finst
MiCA-Lizenz (AFM, Niederlande)
Fiat-Guthaben: Getrennte Bankverwahrung (bunq/ING); Kontobedingungen prüfen
Kraken
MiCA-Lizenz (Central Bank of Ireland)
Fiat-Guthaben: Partnerbanken: Clear Junction (UK), Banking Circle (LU)
Bison
MiCA-Lizenz (BaFin, Deutschland)
Fiat-Guthaben: Deutsche Einlagensicherung (Solaris SE/Deutsche Bank)
Bitpanda
MiCA-Lizenz (BaFin/FMA, DE + AT)
Fiat-Guthaben: Nicht belegt
eToro
MiCA-Lizenz (CySEC, Zypern)
Fiat-Guthaben: Nicht belegt
Coinbase
MiCA-Lizenz (CSSF, Luxemburg)
Fiat-Guthaben: Keine gesetzliche Einlagensicherung; laut Anbieter Sondervermögen
Wer sich stattdessen auf einen lizenzierten Verwahrer stützt oder außerhalb der EU sitzt, taucht in dieser Liste nicht auf. Die vollständige Gegenüberstellung mit Gebühren, Gesamtkosten und Noten steht im Börsenvergleich.
Fünf Einstellungen im Konto
Diese fünf Punkte erledigst du einmal je Börse, am besten bevor du Geld einzahlst. Zusammen kosten sie zwanzig Minuten.
Zwei-Faktor per App
Authenticator-App oder Hardware-Key, niemals SMS. Aktiviere es vor der ersten Einzahlung und sichere die Backup-Codes auf Papier.
Anti-Phishing-Code
Ein selbst gewähltes Wort, das in jeder echten Mail der Börse steht. Fehlt es, ist die Mail gefälscht. Dreißig Sekunden Aufwand, einmalig.
Auszahlungs-Whitelist
Coins gehen nur noch an Adressen, die du vorher freigegeben hast. Die einzige Einstellung, die auch bei übernommenem Konto noch schützt.
Eigenes Passwort, eigene Mail
Mindestens 16 Zeichen, nirgends sonst verwendet, im Passwort-Manager. Dazu eine E-Mail-Adresse, die nur für Börsen existiert.
Regelmäßig nachsehen
Einmal im Monat: aktive Sitzungen, hinterlegte Adresse, 2FA-Status. Eine Übernahme fällt so auf, bevor sie ausgenutzt wird.
Auszahlungs-Whitelist einrichten
Die Whitelist ist die einzige Maßnahme, die auch dann noch greift, wenn jemand bereits in deinem Konto ist: Coins können dann nur an vorher freigegebene Adressen gehen.
Whitelist in den Sicherheitseinstellungen aktivieren
Die Funktion heißt je nach Anbieter Auszahlungs-Whitelist oder Withdrawal Address Whitelist. Ist sie aktiv, sind Auszahlungen an alle anderen Adressen gesperrt.
Eigene Adressen hinterlegen
Trage die Empfangsadressen deines Hardware-Wallets ein. Kopiere sie aus der Wallet-Software und prüfe sie anschließend auf dem Gerätedisplay gegen.
Wie du die Adresse richtig prüfst →Per 2FA und E-Mail bestätigen
Jede neue Adresse muss zweifach freigegeben werden. Kommt eine Bestätigungsmail für eine Adresse, die du nicht eingetragen hast, ist dein Konto bereits kompromittiert.
AchtungIn dem Fall nicht bestätigen, sondern sofort Passwort und 2FA ändern und den Support über die offizielle Website kontaktieren.
Sperrfrist stehen lassen
Neue Adressen sind meist 24 bis 48 Stunden gesperrt. Diese Verzögerung ist der eigentliche Schutz, denn sie gibt dir Zeit, eine fremde Eintragung zu bemerken.
API-Keys richtig vergeben
Steuertools, Portfolio-Tracker und Handels-Bots brauchen einen API-Zugang, und der ist ein beliebtes Einfallstor. Vier Regeln entschärfen das vollständig.
Leserecht
Kein Handel, keine Auszahlung
Steuertools und Tracker brauchen ausschließlich Lesezugriff. Ein Key ohne Handels- und Auszahlungsrecht ist im Ernstfall wertlos für den Angreifer.
IP-Sperre
Nur von einer Adresse aus
Binde den Key an die IP deines Rechners oder des Dienstes. Damit nützt ein gestohlener Key von irgendwo sonst nichts.
Ein Key je Tool
Getrennt ausstellen
Wird ein Anbieter kompromittiert, löschst du nur dessen Key und musst nicht jede Verbindung neu aufsetzen.
Rotieren
Alle drei bis sechs Monate
Alte Keys sammeln sich an und niemand weiß noch, wofür sie waren. Was du nicht zuordnen kannst, gehört gelöscht, nicht behalten.
API-Keys gehören niemals in eine E-Mail, einen Chat oder ein öffentliches Repository. Wer einen Key versehentlich veröffentlicht hat, löscht ihn sofort, statt ihn zu ändern.
Woran du eine sorgfältige Börse erkennst
Cold Storage
Der Großteil liegt offline
Üblich sind 90 bis 95 Prozent der Kundenbestände in Wallets ohne Internetverbindung. Nur ein kleiner Rest bleibt online für laufende Auszahlungen.
Proof of Reserves
Nachweis statt Zusicherung
Seit FTX veröffentlichen seriöse Anbieter kryptografische Belege, dass die Kundenbestände tatsächlich vorhanden sind. Wichtig ist, ob ein unabhängiger Prüfer das bestätigt.
Fiat-Guthaben
Geklärt, nicht ungeklärt
Für Euro-Guthaben gibt es je nach Anbieter eine echte Einlagensicherung, eine Treuhandlösung oder gar nichts. Das steht in der Regel im Kleingedruckten und gehört vor der Einzahlung gelesen.
Eine gesetzliche Einlagensicherung wie die 100.000 Euro auf dem Bankkonto gibt es für Krypto nicht. Was die Anbieter stattdessen bieten, reicht von einer echten deutschen Einlagensicherung über Treuhandkonstruktionen bis zu gar nichts, und genau das steht als eigene Spalte im Vergleich.
Checkliste für jedes neue Konto
- Lizenz prüfen: Eigene MiCA-Zulassung, nicht nur ein lizenzierter Partner im Hintergrund.
- 2FA aktivieren: Authenticator-App oder Hardware-Key, niemals SMS.
- Anti-Phishing-Code setzen: Ein eigenes Wort, das in jeder echten Mail steht.
- Whitelist einrichten: Nur eigene Adressen, Sperrfrist bewusst stehen lassen.
- Starkes Passwort: Mindestens 16 Zeichen, nur hier verwendet, im Passwort-Manager.
- Eigene E-Mail-Adresse: Eine Adresse, die nur für Börsen genutzt wird und sonst nirgends steht.
- API-Keys begrenzen: Nur Leserecht, auf eine IP beschränkt, je Tool ein eigener Key.
- Nicht alles dort lassen: Langfristige Bestände gehören auf ein eigenes Gerät.
