Zugangsdaten-Diebstahl

Kurzdefinition

Zugangsdaten-Diebstahl bezeichnet den Versuch von Angreifern, Anmeldedaten eines Nutzers zu erlangen. Dazu gehören zum Beispiel Benutzername, Passwort, SMS-Code, Einmalcode, API-Schlüssel oder Zugriffstoken für eine Handelsplattform.

Im Finanz- und Trading-Kontext kann Zugangsdaten-Diebstahl dazu führen, dass ein Konto unbefugt genutzt wird, Gelder übertragen werden, Positionen ohne Zustimmung gehandelt werden, persönliche Daten missbraucht werden oder eine API für ungewöhnliche Orders verwendet wird. Es handelt sich nicht um ein Anlagerisiko, sondern um ein Konto- und Cybersicherheitsrisiko.

Wie Zugangsdaten-Diebstahl entsteht

Angreifer knacken in der Regel nicht direkt das Handelssystem. Häufig versuchen sie stattdessen, Nutzer zur Preisgabe ihrer Zugangsdaten zu bewegen oder diese von Geräten, E-Mail-Konten oder Drittanbietern zu stehlen. Typische Methoden sind:

Häufige Trading-Szenarien

1. Gefälschte Login-Seite

Ein Trading-Einsteiger erhält eine E-Mail, laut der das Konto erneut verifiziert werden müsse. Der Link in der E-Mail öffnet eine Seite, die der echten Handelsplattform sehr ähnlich sieht. Gibt der Nutzer dort Benutzername, Passwort und Code ein, kann der Angreifer versuchen, sich beim echten Konto anzumelden.

Wichtig: Verlassen Sie sich nicht nur auf das Aussehen der Seite. Prüfen Sie Domain, Zertifikat, gespeicherte Lesezeichen und die offizielle App. Melden Sie sich nicht über unbekannte Links aus E-Mails oder SMS bei Ihrem Trading-Konto an.

2. Falscher Support verlangt einen Code

Angreifer geben sich in sozialen Netzwerken oder Chat-Apps als Plattform-Support aus. Sie behaupten, ein Code sei nötig, um das Konto wiederherzustellen, eine Auszahlung zu bearbeiten oder eine verdächtige Order zu stornieren. Solche Codes dienen häufig zur Bestätigung von Logins, Überweisungen oder sicherheitsrelevanten Aktionen. Wer sie weitergibt, kann dem Gegenüber faktisch Zugriff auf das Konto ermöglichen.

Wichtig: Seriöse Support-Mitarbeiter fragen in der Regel nicht nach dem vollständigen Passwort, Einmalcodes oder Zwei-Faktor-Codes.

3. API-Schlüssel wird versehentlich öffentlich

Einige Trader verbinden ihr Konto mit Quant-Tools oder Drittsoftware. Wird ein API-Schlüssel in ein öffentliches Code-Repository, einen Screenshot, einen Gruppenchat oder eine nicht vertrauenswürdige Software kopiert, können Angreifer ihn möglicherweise für Abfragen, Orders oder andere Aktionen nutzen. Der konkrete Schaden hängt von den eingeräumten Berechtigungen ab.

Wichtig: API-Schlüssel sollten nach dem Prinzip der geringsten Rechte konfiguriert werden, also nur mit den notwendigen Lese- oder Handelsrechten. Auszahlungsrechte sollten nicht leichtfertig aktiviert werden. Nicht mehr benötigte Schlüssel sollten zeitnah gelöscht werden.

Warum das für Trading-Einsteiger wichtig ist

Die Folgen von Zugangsdaten-Diebstahl beschränken sich nicht unbedingt auf einen fremden Login. In einem Trading-Konto können Angreifer unter anderem:

• persönliche Identitätsdaten, Transaktionshistorie, Kontostand und Positionen einsehen;
• E-Mail-Adresse, Telefonnummer oder Sicherheitseinstellungen ändern;
• unbefugte Orders, Glattstellungen oder riskante Transaktionen ausführen;
• versuchen, Geld oder Vermögenswerte zu übertragen, abhängig von Plattformprozessen und Sicherheitskontrollen;
• das Konto für Betrug, Geldwäsche oder andere Regelverstöße missbrauchen.

Schutzregeln unterscheiden sich je nach Plattform, Land und Kontotyp. Ob Verluste erstattet, Transaktionen rückgängig gemacht oder Gelder wiederhergestellt werden können, hängt von Plattformbedingungen, lokalem Recht, Kontosicherheitseinstellungen, Anzeigen und Nachweisen ab. Nutzer sollten nicht davon ausgehen, dass eine Wiederherstellung immer möglich ist.

Schutzmaßnahmen

Die folgenden Maßnahmen können Risiken nicht vollständig ausschließen, aber die Wahrscheinlichkeit von gestohlenen Zugangsdaten und Kontomissbrauch deutlich verringern:

1. Einzigartige und starke Passwörter verwenden: Trading-Konten, E-Mail-Konten und Bankkonten sollten nicht dasselbe Passwort nutzen.
2. Multi-Faktor-Authentifizierung (MFA) aktivieren: Bevorzugt sind Authenticator-Apps oder Hardware-Sicherheitsschlüssel. SMS-Codes sind besser als keine MFA, können aber etwa durch SIM-Swapping gefährdet sein.
3. Domain und App-Quelle prüfen: Melden Sie sich über die offizielle Website, offizielle App-Stores oder gespeicherte Lesezeichen an. Vermeiden Sie unbekannte Links.
4. Auf Dringlichkeitsdruck achten: Formulierungen wie „Konto wird gesperrt“, „sofort verifizieren“ oder „sonst keine Auszahlung möglich“ sind typische Warnsignale.
5. E-Mail-Konto schützen: E-Mail wird oft zur Passwortzurücksetzung genutzt. Wird das E-Mail-Konto übernommen, kann auch das Trading-Konto gefährdet sein.
6. API-Berechtigungen begrenzen: Vergeben Sie nur notwendige Rechte, nutzen Sie IP-Whitelists, sofern verfügbar, und rotieren oder löschen Sie nicht mehr benötigte Schlüssel regelmäßig.
7. Login- und Aktivitätsprotokolle prüfen: Unbekannte Geräte, ungewöhnliche IP-Adressen, unbekannte Orders oder geänderte Sicherheitseinstellungen sollten sofort untersucht werden.
8. Geräte sicher halten: Installieren Sie keine unbekannte Trading-Software, gecrackten Plugins oder verdächtigen Browser-Erweiterungen.

Was tun bei Verdacht auf gestohlene Zugangsdaten?

Wenn Sie vermuten, dass Zugangsdaten Ihres Trading-Kontos kompromittiert wurden, sollten Sie schnell handeln:

• Melden Sie sich ausschließlich über offizielle Kanäle an und ändern Sie sofort das Passwort;
• widerrufen Sie verdächtige Geräte, Sitzungen und API-Schlüssel;
• aktivieren oder setzen Sie die Multi-Faktor-Authentifizierung zurück;
• prüfen Sie aktuelle Orders, Geldtransfers, Auszahlungsadressen und Änderungen an persönlichen Daten;
• kontaktieren Sie den offiziellen Support oder das Sicherheitsteam der Plattform und sichern Sie E-Mails, SMS, Links, Screenshots und Zeitangaben;
• bei finanziellen Verlusten oder Identitätsdiebstahl können Sie je nach Wohnsitzland und Plattformanforderungen Anzeige erstatten oder Beschwerde bei zuständigen Stellen einreichen.

Senden Sie neue Codes, Ausweisdokumente oder vollständige Kontodaten nicht an ungeprüfte „Support“-Kontakte oder Mitglieder von Online-Gruppen.

Verwandte Begriffe

• Phishing: Angriffsmethode, bei der sich Angreifer als vertrauenswürdige Stelle ausgeben, um Nutzer zur Preisgabe von Informationen zu bewegen.
• Multi-Faktor-Authentifizierung: Zusätzliche Prüfung neben dem Passwort, etwa durch Einmalcode, Hardware-Schlüssel oder biometrische Merkmale.
• Credential Stuffing: Angreifer nutzen bereits geleakte Kombinationen aus Benutzername und Passwort, um sich massenhaft bei anderen Websites oder Plattformen anzumelden.
• Kontoübernahme: Angreifer erlangen Kontrolle über ein Konto und können Daten einsehen, Informationen ändern oder Aktionen ausführen.
• API-Schlüssel: Zugangsdaten für den programmgesteuerten Zugriff auf eine Handelsplattform. Bei Offenlegung können automatisierte Aktionen missbraucht werden.

Quellen

• https://consumer.ftc.gov/articles/how-recognize-and-avoid-phishing-scams
• https://www.cisa.gov/MFA
• https://www.sec.gov/oiea/investor-alerts-and-bulletins/ib_safeguardingaccount
• https://www.nist.gov/itl/smallbusinesscyber/guidance-topic/phishing
• https://www.finra.org/investors/insights/cybersecurity-and-your-brokerage-account