API-Schlüssel nur zum Lesen: Binance, Bybit, OKX und MT5
Was ein API-Schlüssel nur zum Lesen kann und warum er sicher ist: Berechtigungen bei Binance, Bybit und OKX, das MT5-Investor-Passwort, IP-Bindung, Lecks.
Ein API-Schlüssel nur zum Lesen sieht deinen Kontostand, deine Positionen und deine Handelshistorie, kann aber keine Orders platzieren, nichts übertragen und nichts auszahlen. Deshalb kannst du ihn einem Trading-Journal oder einem Steuer-Tool geben: Selbst wenn er gestohlen wird, legt er Daten offen, nicht das Konto. Unten erfährst du, welche Berechtigungen du bei Binance, Bybit und OKX aktiv lässt, was MetaTrader 5 statt eines Schlüssels vergibt, wann du einen Schlüssel an eine IP-Adresse binden solltest und was zu tun ist, wenn ein Schlüssel in falsche Hände gerät.
Was ein Schlüssel nur zum Lesen kann
Ein API-Schlüssel besteht aus zwei Zeichenketten: dem Schlüssel und dem Secret. Damit kommt ein Programm ohne dein Passwort in dein Börsenkonto und tut, was die Berechtigungen des Schlüssels erlauben. Es gibt drei Arten von Berechtigungen:
- Lesen. Kontostände, Positionen, Orders und Handelshistorie.
- Handeln. Orders in deinem Namen platzieren, ändern und stornieren.
- Auszahlen und übertragen. Geld vom Konto abziehen oder zwischen Konten verschieben.
Ein Schlüssel, der handeln darf, gibt bereits Zugriff auf dein Geld. Wird er bei einem Dienst oder von deinem Computer gestohlen, kann ein Fremder auf deinem Konto handeln und mit Auszahlungsrechten auch das Guthaben abziehen. Binance sagt es klar: Deine Schlüssel in eine Drittplattform einzugeben ist ein Sicherheitsrisiko.
Ein Schlüssel nur zum Lesen beseitigt dieses Risiko. Daten legt er aber trotzdem offen: deine Handelshistorie und die Größe deines Kontos. Gib ihn nur Diensten, denen du vertraust, und jedem davon einen eigenen Schlüssel.
Welche Berechtigungen du aktiv lässt: Binance, Bybit, OKX und MetaTrader 5
Jede Plattform verwendet eigene Bezeichnungen. Das Schema folgt den Hilfeseiten und der Dokumentation der Börsen und von MetaQuotes, Stand 8. Oktober 2026. Es ist kein Screenshot: Die Bildschirme unterscheiden sich je nach Region und Version.
| Wo | Aktiv lassen | Auslassen | Wie ein Dienst das prüft |
|---|---|---|---|
| Binance | Enable Reading | Enable Spot & Margin Trading, Enable Margin Loan, Repay & Transfer, Enable Futures, Enable Withdrawals | die Anfrage apiRestrictions: enableReading = true, jede andere Berechtigung false |
| Bybit | Read-Only | Read-Write | die Anfrage query-api: readOnly = 1 |
| OKX | Read | Trade, Withdraw | die Anfrage account/config: perm = read_only |
| MetaTrader 5 | Investor-Passwort | Master-Passwort | keine Schlüssel: Das Passwort selbst legt die Rechte fest |
Verlangt ein Journal oder ein Analyse-Tool Handels- oder Auszahlungsrechte, ist das ein Grund, Nein zu sagen. Lesen ist alles, was sie brauchen.
So erstellst du den Schlüssel bei jeder Börse
Binance
Zuerst verlangt Binance drei Dinge: Zwei-Faktor-Authentifizierung (2FA), eine Einzahlung in beliebiger Höhe auf dein Spot-Wallet und eine abgeschlossene Identitätsprüfung.
- Öffne API Management. Profilsymbol → Account → API Management.
- Erstelle den Schlüssel. Create API → System generated, gib ihm einen Namen und bestätige mit 2FA oder einem Passkey.
- Sichere das Secret. Der Secret Key ist nur beim Erstellen sichtbar; danach wird er ausgeblendet.
- Prüfe die Berechtigungen. Edit restrictions: Nur Enable Reading ist angehakt. Es ist standardmäßig aktiv.
Seit dem 30. Januar 2023 kann ein System-generated-Schlüssel ohne IP-Beschränkung nur lesen. Auszahlungen schaltet Binance nur bei einem an IP-Adressen gebundenen Schlüssel frei.
Bybit
Schlüssel lassen sich nur auf der Website erstellen, nicht in der App. Ein neues Konto kann in seinen ersten 48 Stunden für das Erstellen von Schlüsseln gesperrt sein.
- Öffne API Management. Profilsymbol oben rechts → API.
- Erstelle den Schlüssel. Create New Key → System-generated API Keys → API Transaction, und gib ihm einen Namen.
- Wähle Read-Only. Die andere Option, Read-Write, erlaubt den Handel.
- Hake die Bereiche an. Zum Beispiel Unified Trading. Ein Read-Only-Schlüssel liest sie nur.
- Bestätige und sichere das Secret. Dein Code aus dem Google Authenticator, dann API Key und API Secret. Das Secret wird nur einmal angezeigt.
OKX
- Öffne den API-Bereich. Profil → API; auf der Website kann er API and connections heißen. Klicke auf Create API key.
- Füll das Formular aus. Einen Namen, das Konto (Hauptkonto oder Unterkonto) und den Zweck des Schlüssels.
- Lass eine Berechtigung aktiv: Read. Trade und Withdraw bleiben aus.
- Leg eine Passphrase fest. Sie ist das eigene Passwort des Schlüssels. Später ansehen kannst du sie nicht: Verlierst du sie, lösche den Schlüssel und erstelle einen neuen.
- Sichere alle drei Zeichenketten. API key, Secret key und Passphrase.
In manchen Regionen lässt OKX einen Schlüssel nur erstellen, wenn das Konto mehr als 100 $ hält. Für Einwohner des Europäischen Wirtschaftsraums und der USA gibt es eigene OKX-Websites, und deren Schlüssel funktionieren über eea.okx.com und us.okx.com. Prüfe, ob der Dienst deine Website unterstützt.
MetaTrader 5: das Investor-Passwort
Ein MetaTrader-5-Konto hat zwei Passwörter. Das Master-Passwort gibt volle Rechte. Mit dem Investor-Passwort kannst du das Konto einsehen und Kurse analysieren, aber nicht handeln. Genau dieses Passwort bekommt ein Journal statt eines Schlüssels.
Das Investor-Passwort änderst du im Terminal: Extras → Optionen → Reiter Server → Ändern → Investor-Passwort ändern. Zwingt dich der Broker, das Master-Passwort zu ändern, wird auch das Investor-Passwort zurückgesetzt.
Solltest du den Schlüssel an eine IP-Adresse binden?
IP-Bindung heißt, der Schlüssel nimmt nur Anfragen von den Adressen an, die du einträgst. Die Börsen empfehlen sie: Ein gestohlener gebundener Schlüssel funktioniert nicht von einem fremden Computer aus.
Die Regel ist einfach. Veröffentlicht ein Dienst seine IP-Adressen, trag sie ein. Tut er es nicht, kann ein Schlüssel nur zum Lesen ungebunden bleiben: Handeln oder auszahlen kann er ohnehin nicht. Jede Börse hat aber eigene Grenzen für ungebundene Schlüssel.
| Börse | Ein Schlüssel ohne IP-Bindung |
|---|---|
| Bybit | Funktioniert nach 90 Tagen nicht mehr, oder 7 Tage nach einer Änderung des Kontopassworts |
| Binance | Wird nach 30 Tagen ohne Nutzung gelöscht |
| OKX | Ein Schlüssel mit Trade oder Withdraw wird nach 14 Tagen ohne Nutzung gelöscht |
Ein Dienst, der den Schlüssel ständig nutzt, stößt nie an die 30-Tage-Regel von Binance. Bei Bybit funktioniert ein ungebundener Schlüssel nach 90 Tagen aber nicht mehr. Was du beim Verbinden eines Journals bei jeder Börse wählen solltest und wie du einen Bybit-Schlüssel verlängerst, steht auf unseren Seiten zum Verbinden von Binance, Bybit und OKX.
Was tun, wenn ein Schlüssel in falsche Hände gerät
Bybit zählt auf, wohin ein Secret niemals gehört: in Screenshots und Videos, in öffentlichen Quellcode und Repositorys, in Nachrichten über unsichere Kanäle. Wenn das Secret womöglich bei jemand anderem gelandet ist:
- Lösche den Schlüssel sofort. Bei Binance unter API Management, bei Bybit mit Delete in der Spalte Action (nur auf der Website), bei OKX im API-Bereich. Ein gelöschter Schlüssel funktioniert für niemanden mehr.
- Verlass dich nicht auf eine Passwortänderung. Bei Bybit funktioniert ein ungebundener Schlüssel nach einer Änderung des Kontopassworts noch 7 Tage lang. Nur das Löschen schaltet ihn ab.
- Prüfe die Historie. Orders, Trades, Überträge und Auszahlungen der letzten Tage. Bei OKX zeigt das Security Center, wann Schlüssel mit Trade oder Withdraw und ohne IP-Bindung benutzt wurden.
- Erstelle einen neuen Schlüssel. Nur zum Lesen und für jeden Dienst einen eigenen, damit ein Leck bei einem Dienst nicht überall behoben werden muss.
- Wende dich an den Support der Börse, wenn du Trades oder Auszahlungen siehst, die du nicht gemacht hast.
Checkliste, bevor du einen Schlüssel weitergibst
- Eine Berechtigung: Lesen. Prüfe das auf der API-Seite, nachdem der Schlüssel erstellt ist, nicht nur beim Erstellen.
- Ein Schlüssel pro Dienst. Lösche den, den du nicht mehr brauchst, ohne die übrigen anzurühren.
Ein mit einem Schlüssel verbundenes Journal zeichnet die Trades selbst auf, mit Gebühren, Funding und MAE und MFE. Führst du dein Journal von Hand, brauchst du keinen Schlüssel: Die Trading-Journal-Vorlage für Excel genügt, und was du festhalten solltest, steht im Guide So führst du ein Trading-Journal.
Quellen
- Binance: How to Create API Keys on Binance?: die Voraussetzungen, die Schritte, Enable Reading; seit dem 30. Januar 2023 kann ein Schlüssel ohne IP-Beschränkung nur lesen; Auszahlungen brauchen eine IP-Beschränkung.
- Binance: Frequently Asked Questions on API: Der Secret Key ist nur beim Erstellen sichtbar; Drittplattformen sind ein Sicherheitsrisiko.
- Binance: How to Use an API Key Securely: Ungebundene Schlüssel, die 30 Tage nicht genutzt wurden, werden gelöscht; ein Schlüssel pro Zweck; ein Schlüssel wird sofort gewechselt, wenn du vermutest, dass er kompromittiert ist.
- Binance Developers: Wallet Quick Start: Die Standardbeschränkung eines neuen Schlüssels ist Enable Reading.
- Binance Developers: Margin Trading Best Practice: die Berechtigungen Enable Spot & Margin Trading und Enable Margin Loan, Repay & Transfer.
- Binance: How to Create an API Key for a Futures Lead Trading Portfolio?: die Schaltfläche Edit restrictions und die Berechtigung Enable Futures.
- Binance: How to Download and Set up Binance Gift Card API: die Berechtigung Enable Withdrawals.
- Binance Developers: Get API Key Permission: die Anfrage apiRestrictions und ihre Felder.
- Bybit: How to Create Your API Key?: nur auf der Website, 48 Stunden für ein neues Konto, die Schritte in API Management.
- Bybit EU: What Is API Trading and How to Set It Up: Read-Only und Read-Write, IP-Whitelisting und No IP restriction, 90 Tage ungebunden, das Secret wird einmal angezeigt, wohin ein Secret niemals gehört.
- Bybit API: Create Sub UID API Key: Ein ungebundener Schlüssel funktioniert nach 90 Tagen nicht mehr, oder 7 Tage nach einer Passwortänderung.
- Bybit API: Get API Key Information: die Anfrage query-api und ihr Feld readOnly.
- Bybit: How to Delete Your API Key: Delete in der Spalte Action, nur auf der Website.
- OKX: API FAQ: einen Schlüssel erstellen, die Passphrase, die 100-$-Voraussetzung, die Websites für den EWR und die USA, der Ablauf von Schlüsseln ohne IP-Bindung.
- OKX API v5 documentation: die Berechtigungen Read, Trade und Withdraw; bis zu 20 IP-Adressen; 14 Tage für einen ungebundenen Schlüssel mit Trade oder Withdraw; das Security Center; die Anfrage account/config und ihr Feld perm.
- MetaTrader 5 Hilfe: In Konto einloggen: das Master- und das Investor-Passwort und was der Investor-Zugang erlaubt.
- MetaTrader 5 Hilfe: Einstellungen der Handelsplattform: das Investor-Passwort im Reiter Server ändern.
Die Namen der Schaltflächen bei den Börsen stammen von ihren englischsprachigen Websites, die von MetaTrader 5 aus seiner deutschen Hilfe. Andere Sprachen und regionale Websites können sie anders formulieren, und die Börsen gestalten ihre Seiten von Zeit zu Zeit um.
