So sichern Sie Ihr Kraken-Konto: Ein vollständiger Sicherheitsleitfaden

Durchsetzung der Zwei-Faktor-Authentifizierung

1. Kraken verlangt von Benutzern, dass sie die Zwei-Faktor-Authentifizierung (2FA) aktivieren, bevor sie auf vertrauliche Kontofunktionen wie Auszahlungen oder API-Schlüsselverwaltung zugreifen.

2. Zeitbasiertes Einmalpasswort (TOTP) über Authentifizierungs-Apps bleibt die am weitesten verbreitete 2FA-Methode auf Kraken und bietet einen stärkeren Schutz als die SMS-basierte Verifizierung.

3. Benutzer, die 2FA deaktivieren, ohne es innerhalb von 72 Stunden wieder zu aktivieren, müssen mit der automatischen Sitzungsbeendigung und einer vorübergehenden Einschränkung der Geldbewegungsmöglichkeiten rechnen.

4. Das Backend von Kraken erzwingt die Gerätebindung für TOTP-Registrierungen – jedes neue Gerät muss einen manuellen Genehmigungsprozess durchlaufen, der eine E-Mail-Bestätigung und eine IP-Adressvalidierung umfasst.

5. Fehlgeschlagene 2FA-Versuche über fünf innerhalb von zehn Minuten lösen ein 15-minütiges Sperrfenster aus und lösen eine automatische Sicherheitswarnung aus, die an die registrierte Wiederherstellungs-E-Mail gesendet wird.

API-Schlüsselberechtigungssegmentierung

1. Jedem Kraken-API-Schlüssel werden zum Zeitpunkt der Erstellung detaillierte Berechtigungen zugewiesen – es gibt keine Standardberechtigung für „Vollzugriff“.

2. Auszahlungsberechtigungen sind vom Handels- und Abfragebereich isoliert; Die Aktivierung der Auszahlungsfunktion erfordert eine explizite erneute Authentifizierung mit 2FA und E-Mail-Bestätigung.

3. Mit IP-Whitelisting erstellte Schlüssel akzeptieren nur Anfragen, die von vorab genehmigten IPv4- oder IPv6-Adressen stammen, und Kraken protokolliert alle Verbindungsversuche, die nicht auf der Whitelist stehen, zur Prüfung.

4. Kraken widerruft automatisch API-Schlüssel, die 90 aufeinanderfolgende Tage lang inaktiv waren, und Benutzer erhalten 7 Tage vor der geplanten Deaktivierung eine Benachrichtigung.

5. Jeder API-Schlüssel zeigt Echtzeit-Nutzungsmetriken an, einschließlich Anrufvolumen, Endpunktverteilung und Zeitstempel der letzten Verwendung – direkt sichtbar im Dashboard „Sicherheitseinstellungen“.

Whitelisting von Auszahlungsadressen

1. Kraken schreibt die Whitelisting für alle Kryptowährungs-Auszahlungsziele vor und erfordert vor der ersten Verwendung eine manuelle Bestätigung per E-Mail und 2FA.

2. Neu hinzugefügte Adressen gehen in einen 48-stündigen Wartestatus über, in dem keine Auszahlung eingeleitet werden kann – diese Abklingzeit gilt unabhängig von der Benutzerverifizierungsstufe.

3. Adressen, die mit bekannten Mixer-Diensten oder risikoreichen Exchange-Hot-Wallets verknüpft sind, werden von Krakens interner Threat-Intelligence-Schicht gekennzeichnet und von der Whitelist blockiert.

4. Benutzer können bis zu 25 Adressen auf der Whitelist pro Asset-Typ verwalten, und jeder Eintrag enthält Geolocation-Metadaten, die von Blockchain-Analysetools abgeleitet wurden.

5. Der Versuch, an eine Adresse abzuheben, die nicht auf der Whitelist steht, löst eine sofortige Ablehnung der Transaktion aus und leitet eine vollständige Überprüfung der Kontosicherheit durch das Trust & Safety-Team von Kraken ein.

Sitzungsverwaltung und Geräteerkennung

1. Kraken nutzt persistentes Geräte-Fingerprinting mithilfe von Canvas-Rendering, WebGL-Parametern und TLS-Stack-Eigenschaften – und verlässt sich nicht ausschließlich auf Cookies oder User-Agent-Strings.

2. Gleichzeitige Sitzungen auf mehr als drei eindeutigen Geräten innerhalb von 24 Stunden führen zu einer obligatorischen erneuten Authentifizierung für alle aktiven Sitzungen mit Ausnahme derjenigen, die als „vertrauenswürdig“ gekennzeichnet sind.

3. Sitzungstoken laufen nach 30 Tagen Inaktivität ab und Kraken unterstützt keine unbegrenzte Funktion „Dieses Gerät merken“ für sicherheitskritische Schnittstellen.

4. Anmeldeversuche von unbekannten Geräten generieren Echtzeit-Push-Benachrichtigungen an alle zuvor verifizierten Mobilgeräte, die mit dem Konto verknüpft sind.

5. Benutzer können alle aktiven Sitzungen – einschließlich Standort, Browser, Betriebssystemversion und ungefähre Anmeldezeit – direkt auf der Seite „Kontosicherheit“ anzeigen und beenden.

Wiederherstellungsphrase und Kontrollen zur Identitätsüberprüfung

1. Kraken speichert oder verarbeitet keine Wiederherstellungsphrasen; Die Verwaltung privater Schlüssel bleibt vollständig außerhalb der Plattform und außerhalb des operativen Bereichs von Kraken.

2. Dokumente zur Identitätsüberprüfung, die während des KYC eingereicht werden, werden im Ruhezustand mit AES-256-GCM verschlüsselt und nur während aktiver Überprüfungszyklen entschlüsselt – für Kundendienstmitarbeiter nicht zugänglich.

3. Änderungen an verifizierten Identitätsinformationen – wie z. B. Firmenname oder Wohnadresse – erfordern die Vorlage neu notariell beglaubigter Unterlagen und eine Bearbeitungsverzögerung von 72 Stunden.

4. Änderungen der E-Mail-Adresse führen zu einer 14-tägigen Sperrung aller Auszahlungsfunktionen, bis die neue Adresse die vollständige Überprüfung und die Lösung der sekundären Herausforderung abgeschlossen hat.

5. Das Support-Team von Kraken fordert unter keinen Umständen Passwörter, 2FA-Codes oder Seed-Phrase-Informationen an – auch nicht während eskalierter Kontowiederherstellungsverfahren.

Häufig gestellte Fragen

F: Kann ich Hardware-Sicherheitsmodule (HSMs) verwenden, um Kraken-API-Anfragen zu signieren? Ja. Kraken unterstützt ECDSA P-256-Signaturen, die von FIPS 140-2 Level 3-zertifizierten HSMs generiert werden, wenn sie über das Bedienfeld „Erweiterte API-Einstellungen“ konfiguriert werden.

F: Bietet Kraken biometrische Anmeldeoptionen wie Face ID oder Touch ID? Nein. Kraken schließt die biometrische Authentifizierung bewusst aus seinem Anmeldefluss aus, um zu verhindern, dass man sich auf Vertrauensmodelle auf Geräteebene verlässt, die möglicherweise kryptografische Sitzungsintegritätsprüfungen umgehen.

F: Was passiert, wenn über einen Tor-Exit-Knoten auf mein Kraken-Konto zugegriffen wird? Alle Anfragen von Tor, I2P oder bekannten anonymisierenden Proxy-Netzwerken werden mit HTTP 403 abgelehnt und zur forensischen Analyse protokolliert – selbst für verifizierte Konten werden keine Ausnahmen gewährt.

F: Sind die Sicherheitsheader von Kraken mit den Standards des OWASP Secure Headers Project kompatibel? Ja. Kraken implementiert strenge CSP-, HSTS-, X-Content-Type-Options-, Referrer-Policy- und Feature-Policy-Header auf allen Web-Endpunkten und wird vierteljährlich von unabhängigen Penetrationstestern Dritter geprüft.