Warum die Wahl des Trackers vor allem eine Sicherheitsentscheidung ist
Wenn du Vermögenswerte über zwei oder drei Chains hinweg hältst, dazu noch einige Konten bei zentralisierten Börsen, sieht ein Portfolio-Tracker wie ein Komfort-Upgrade aus. Verknüpfe deine Wallets, verknüpfe deine Lese-only-API-Schlüssel der Börsen, und plötzlich hast du ein einziges Dashboard mit Gesamtnettovermögen, Allokation und Performance. Die meisten Vergleichsseiten behandeln das als Vergleich von Charts, Warnungen und Steuerexporten. Diese Sicht verfehlt den Punkt.
Ein Portfolio-Tracker ist ein Drittanbieter, der definitionsgemäß Einblick in die Adressen und Konten erhält, die dir am wichtigsten sind. Diebstähle, Phishing-Kampagnen und Drainer-Malware der letzten Jahre haben immer wieder gezeigt, dass das schwächste Glied in Krypto selten die Blockchain selbst ist. Es sind die Off-Chain-Dienste, denen die Leute Lesezugriff, Signaturfähigkeit oder schlimmeres, die Verwahrung anvertrauen. Ein Tracker, der mehr verlangt, als er braucht, kann zum Single Point of Failure für deine gesamte Position werden.
Deshalb ist der sinnvollste Weg, einen Tracker zu bewerten, eine Sicherheitsprüfung im Gewand eines Funktionsvergleichs. Jedes Häkchen, das du setzt, einschließlich Warnungen, Tracking von DeFi-Positionen und Steuerberichten, erweitert auch das, was der Anbieter sehen kann und was passiert, wenn der Anbieter kompromittiert wird. Behandle den Rest dieses Artikels als Checkliste, aber behandle die Sicherheitsfragen als nicht verhandelbar.
Lesezugriff versus Berechtigungen, die leise Wallets leerräumen
Die wichtigste Unterscheidung in diesem Bereich ist die zwischen echtem Lesezugriff und den vielen Varianten von Wallet-Verbindungen, die zwar so aussehen, es aber nicht sind. Eine legitime Lesezugriff-Verbindung funktioniert auf eine von zwei Arten. Bei einer Self-Custodial-Wallet beobachtet der Tracker entweder die öffentliche Adresse, die du einfügst, oder er nutzt eine Wallet-Signatur, die beweist, dass du die Adresse kontrollierst, ohne irgendeine On-Chain-Berechtigung zu erteilen. Für ein Börsenkonto erstellst du einen API-Schlüssel nur mit Leseberechtigungen, kein Handel, keine Auszahlung.
Alles darüber hinaus ist ein Warnsignal. Achte konkret auf drei Muster.
- Anfragen nach Seed-Phrase oder privatem Schlüssel. Kein seriöser Tracker benötigt diese. Wenn ein Tool danach fragt, schließe den Tab. Tools, die Seed-Phrasen verlangen, sind fast immer Betrug oder bestenfalls Wallets mit Verwahrung, die als Tracker getarnt sind.
- Wallet-Login-Aufforderungen, die Token-Genehmigungen enthalten. Wallet-basierter Login (oft als Sign in with Ethereum oder ähnlich bezeichnet) erzeugt normalerweise eine Signatur, die den Adressbesitz beweist und sonst nichts tut. Eine bösartige Version bündelt eine ERC-20-Genehmigung oder einen setApprovalForAll-Aufruf in denselben Ablauf und gibt der dApp die Erlaubnis, bestimmte Tokens oder NFTs zu bewegen. Lies die Signaturanfrage Zeile für Zeile, bevor du signierst.
- Börsen-API-Schlüssel mit aktivierter Auszahlung. Auch bei seriösen Börsen siehst du beim Erstellen eines API-Schlüssels in der Regel Schalter für Lesen, Handeln und Auszahlen. Die einzige korrekte Einstellung für einen Tracker ist Lesen. Auszahlen sollte deaktiviert sein, und idealerweise sollte der Schlüssel auf die Server des Trackers IP-beschränkt sein, sofern die Börse dies unterstützt.
Seriöse Tracker machen die Lese-only-Natur der Verbindung in ihrer Dokumentation explizit deutlich. Wenn du keine klare Aussage dazu findest, was die Verbindung darf und was nicht, ist das an sich schon ein Signal. Vertrauen wird durch Dokumentation ebenso verdient wie durch Code.
So bewerten Tracker deine Vermögenswerte, und warum zwei Tracker um 10 % voneinander abweichen können
Sobald ein Tracker deine Saldos hat, muss er sie in eine dir vertraute Zahl umrechnen. Es gibt drei gängige Ansätze, und jeder hat Fehlerquellen, die du kennen solltest.
CEX-API-Bewertung. Der Tracker holt die Kurse von großen zentralisierten Börsen wie Coinbase oder Binance. Das ist einfach und bei Top-Token wie BTC und ETH meistens genau, übernimmt aber die Eigenheiten der Börse: dünne Orderbücher, regionale Beschränkungen und gelegentlich delistete oder relistete Token. Ein Tracker, der sich für die Preisermittlung auf eine einzige CEX stützt, zeigt bei weniger liquiden Vermögenswerten gelegentlich veraltete oder verzerrte Werte.
On-Chain-Bewertung. Manche Tracker lesen Kurse direkt aus On-Chain-Quellen wie Uniswap-Pools oder Oracle-Feeds wie Chainlink. Das ist reizvoll, weil es nicht von einem zentralisierten Anbieter abhängt, aber DeFi-Pools können manipuliert oder dünn gehandelt werden, besonders bei neuen Token-Launches. Ein Token, dessen Kurs aus einem illiquiden Pool abgerufen wird, kann bei einem einzigen Swap um 20 % schwanken, was dann als Phantom-Gewinn oder -Verlust in deinem Portfolio auftaucht.
Manuelle Überschreibung. Die besseren Tracker lassen dich einen Token als illiquide markieren, einen individuellen Preis festlegen oder ihn vollständig aus den Summen ausschließen. Das ist kein kosmetisches Feature. Wenn du Token mit gebrochener Liquidität oder gesperrten Vesting-Bedingungen hältst, wird dich die automatische Preisermittlung regelmäßig in die Irre führen. Manuelle Überschreibung ist der Unterschied zwischen einer Portfolio-Zahl, die du verteidigen kannst, und einer, die du nicht verteidigen kannst.
Wenn zwei Tracker für dieselbe Wallet ein unterschiedliches Nettovermögen anzeigen, ist das kein Bug. Es ist das vorhersehbare Ergebnis unterschiedlicher Preisquellen, unterschiedlicher Aktualisierungsintervalle und unterschiedlicher Regeln für den Umgang mit unbewerteten Vermögenswerten. Die richtige Frage ist nicht, welche Zahl stimmt, sondern welche Methode zu der Art passt, wie du tatsächlich über deine Positionen denkst.
Datenexport, Lock-in und was passiert, wenn der Tracker den Betrieb einstellt
Jedes SaaS-Unternehmen hat irgendwann ein schlechtes Quartal. Tracking-Tools, besonders kostenlose, sind besonders anfällig, weil die Stückkosten für das Abrufen von On-Chain-Daten über Dutzende von Chains hinweg nicht gnädig sind. Wenn ein Tracker den Betrieb einstellt oder sich neu ausrichtet, sollten deine Daten nicht mit ihm verschwinden.
Bevor du etwas verknüpfst, prüfe, welche Exportoptionen der Tracker bietet. Der Goldstandard ist CSV plus eine dokumentierte API. CSV ist universell, funktioniert mit Tabellenkalkulationen und lässt sich leicht in ein anderes Tool migrieren. API-Zugang ist mächtiger, ist aber vor allem wichtig, wenn du vorhast, eigene Dashboards zu bauen.
Das realistische Spektrum sieht so aus.
- Vollständiger CSV- und API-Export. Tools wie Rotki und Koinly sind hier stark. Insbesondere Rotki speichert standardmäßig alles in einer lokalen SQLite-Datenbank, sodass du immer deine eigene Kopie hast.
- Nur CSV, manchmal unvollständig. Häufig bei mittelklassigen Trackern. Akzeptabel, aber prüfe, ob das CSV auch Anschaffungskosten, Transaktionshistorien und historische Bewertungen enthält, nicht nur aktuelle Saldos.
- Kein Export oder Export nur in der kostenpflichtigen Version. Ein deutliches Warnsignal. Wenn die Daten nur innerhalb des Produkts nutzbar sind, hält das Produkt deine Finanzhistorie faktisch als Geisel.
Lock-in ist ein leises Risiko. Wenn ein Tracker deine einzige Quelle für historische Performance und Steuerunterlagen ist, werden die Wechselkosten selbst dann schmerzhaft, wenn der Service nachlässt. Exportqualität als eines der drei wichtigsten Kriterien zu behandeln, neben Berechtigungen und Preisgestaltung, ist der langweilige, aber richtige Schritt.
Der CoinStats-Vorfall von 2023 und was er jedem Tracker-Nutzer lehrt
Im Juni 2023 hat CoinStats, einer der meistgenutzten Portfolio-Tracker, einen Sicherheitsvorfall offengelegt, der sich als einer der schwerwiegenderen Tracker-Hacks in der Geschichte herausstellte. Angreifer kompromittierten das Konto eines CoinStats-Mitarbeiters und nutzten diesen Zugang, um eine bösartige Version der Anwendung auszurollen, die in der Lage war, Wallet-Daten von rund 1,5 Millionen Nutzern zu exfiltrieren. Etwa 1.600 Wallets wurden beim anschließenden Angriff leergeräumt, mit gemeldeten Verlusten in Millionenhöhe.
Es lohnt sich, bei diesem Vorfall zu verweilen, weil er mehrere Lehren verdeutlicht, die unabhängig davon gelten, welchen Tracker du nutzt.
- Vertrauen spielt sich auf der Anwendungsebene ab. Eine reine Lese-Architektur hat die betroffenen Nutzer nicht geschützt, weil der Vorfall weiter oben in der Build-Pipeline des Anbieters stattfand. Eine Nachricht in einer bösartigen Version des Clients zu signieren ist funktional identisch damit, eine Nachricht auf einer Phishing-Seite zu signieren.
- Hot Wallets, die einem Tracker ausgesetzt sind, sind ein größerer Blast Radius als Cold Wallets. Nutzer, deren Verlust sich auf eine Hardware-Wallet oder Guthaben auf einer zentralisierten Börse beschränkte, hatten sehr unterschiedliche Ergebnisse als jene, die eine für aktiven Handel genutzte Hot Wallet verbunden hatten.
- Konzentration ist Risiko. Viele Nutzer hatten aus Bequemlichkeit jede Wallet und jedes Börsenkonto mit einem einzigen Tracker verknüpft. Der Vorfall machte aus einer einzigen Konto-Kompromittierung ein portfolio-weites Ereignis.
CoinStats reagierte, verbesserte seine Sicherheitslage und arbeitet weiter. Es geht nicht darum, einen einzelnen Anbieter an den Pranger zu stellen. Es geht darum, dass jeder Tracker, auch die seriösesten, zum Einfallstor für eine Kompromittierung werden kann, die du nicht direkt ermöglicht hast. Der defensive Schritt ist, das zu beschränken, was ein einzelner Tracker sehen darf, Hot- und Cold-Bestände zu trennen und davon auszugehen, dass jedes Drittanbieter-Tool, das du nutzt, irgendwann gehackt wird.
Direkter Vergleich: Zerion, DeBank, CoinStats, Rotki und Koinly
Keines der folgenden Tools ist universell am besten. Jedes ist um einen anderen Kompromiss herum gebaut, und deine Portfoliogröße, deine Toleranz dafür, die Software selbst zu hosten, und deine Steuersituation sollten die Wahl bestimmen.
Zerion. Eine Kombination aus Wallet und Portfolio mit starker DeFi-Abdeckung über EVM-Chains und Solana. Verbindung per Wallet-Signatur, ohne Seed-Phrase. Die Preisermittlung stützt sich auf On-Chain-Quellen, ist also bei liquiden Token generell genau, kann aber bei Long-Tail-Vermögenswerten abdriften. Export ist verfügbar, aber leichter als bei dedizierten Steuertools. Am besten für Nutzer, die überwiegend in DeFi leben und eine einzige Oberfläche für Swapping, Bridging und Tracking wollen.
DeBank. Ähnliche Angriffsfläche wie Zerion, mit besonders übersichtlicher Darstellung von Multi-Chain-Beständen und Social-Features. Berechtigungen sind nur-lesend per Wallet-Signatur. Die Preisquellen sind ähnlich. DeBank eignet sich gut für Nutzer, die Positionen über viele kleinere Chains und Protokolle halten, wo die Abdeckung tendenziell breiter ist als bei Alternativen.
CoinStats. Ein Generalisten-Tracker mit breiter CEX-Unterstützung und einer polierten mobilen App. Verbindung per Wallet-Signatur oder Read-Only-Börsen-API. Hat die längste Breach-Historie in dieser Liste (siehe oben), also sollten Nutzer mit nennenswerten Beständen diese Historie sorgfältig gegen den Komfort abwägen.
Rotki. Die selbstgehostete Option. Rotki läuft lokal auf deiner Maschine, ruft Daten von öffentlichen Blockchain-Nodes und den APIs ab, die du konfigurierst, und speichert alles in einer lokalen Datenbank. Kein Dritter sieht jemals deine Adressen, es sei denn, du entscheidest dich, sie zu teilen. Der Kompromiss ist, dass du es selbst pflegen musst, Synchronisierungen länger dauern und die Ersteinrichtung aufwendiger ist. Für Nutzer, die mehr halten, als sie irgendeinem kostenlosen SaaS-Tracker anvertrauen würden, ist Rotki die ernsthafte Antwort.
Koinly. Steuer-First. Koinly ist darauf optimiert, Kapitalertragsberichte über Dutzende von Rechtsräumen hinweg zu erstellen, mit breiter Börsen- und Chain-Integration und starkem CSV-Import für Nutzer, die keinen API-Zugang gewähren wollen. Weniger ein tägliches Dashboard, mehr ein Jahresend-Arbeitspferd.
Praktische Checkliste, bevor du einen Tracker verbindest
Nutze dies als kurze, meinungsstarke Vorbereitung, bevor du eine Adresse einfügst oder irgendwo einen API-Schlüssel erstellst.
- Bestätige, dass die Verbindung wirklich schreibgeschützt ist. Eine Wallet-Verbindung sollte nur eine Signatur sein, ohne gebündelte Token-Genehmigungen. Exchange-API-Schlüssel sollten Auszahlungen deaktiviert haben und idealerweise auf eine IP beschränkt sein.
- Prüfe das Preismodell. Finde heraus, ob die Preise aus CEX-Orderbüchern, On-Chain-Pools oder aus beidem stammen. Entscheide, ob du eine manuelle Übersteuerung für illiquide Token brauchst.
- Teste den Export, bevor du dich festlegst. Erzeuge einen kleinen Export, öffne ihn und prüfe, ob er Anschaffungskosten, Transaktionsverlauf und historische Bewertungen enthält. Warte nicht bis Jahresende, um festzustellen, dass der Export hinter einer kostenpflichtigen Stufe gesperrt ist.
- Sieh dir die Vorfallshistorie des Anbieters an. Eine saubere Bilanz garantiert keine zukünftige Sicherheit, aber ein bekannter Vorfall ist ein deutliches Signal dafür, wie der Anbieter mit Sicherheit umgeht.
- Segmentiere dein Risiko. Verbinde eine Hot Wallet für den Handel, aber lass deine Haupt-Hardware-Wallet oder langfristigen Bestände besser ganz von jedem Tracker weg. Wenn der Tracker kompromittiert wird, soll der Schaden möglichst klein bleiben.
- Widerrufe ungenutzten Zugriff regelmäßig. Exchange-API-Schlüssel, Wallet-Signaturen und Token-Genehmigungen solltest du nach einem festen Zeitplan überprüfen und ausmisten, idealerweise einmal pro Quartal.
Wenn du diese Liste befolgst, wird kein Tracker perfekt sicher. Nichts, was mit dem Internet verbunden ist, ist das. Sie gibt dir aber eine strukturierte Möglichkeit, einen Tracker auszuwählen, der dazu passt, wie viel du tatsächlich hältst und wie viel du verlieren würdest, wenn das Schlimmste eintritt.
Portfolio-Tracker-Risiken mit schärferen Marktsignalen einen Schritt voraus
Sicherheitsvorfälle in der Tracking-Schicht entwickeln sich schnell, und die Exploits, die darauf folgen, ebenso. Ein neuer Wallet-Drainer, ein Datenleck bei einem Tracker-Anbieter oder eine Änderung im Umgang eines beliebten Tools mit Berechtigungen können deine Bestände über Nacht beeinträchtigen. Diese Signale manuell über X, Discord, GitHub und ein Dutzend Krypto-Nachrichtenportale hinweg zu verfolgen, ist ein aussichtsloses Unterfangen. Zippfeed liefert Schlagzeilen zu Portfolio-Trackern und breitere Krypto-Sicherheitsnachrichten mit Stimmungsbewertung (bullish, neutral oder bearish) und einer Wichtigkeitsstufe, damit du auf echte Bedrohungen reagieren kannst, bevor sie deine Wallets erreichen.
