StockToken wirbt nicht in erster Linie mit einer App oder einem Orderbuch. Die eigene Beschreibung auf der Terms-Seite lautet: eine Entscheidungs- und Buchhaltungsplattform, über die Teilnehmer algorithmische Strategien nutzen, die in ihrem Alpaca-Markets-Brokeragekonto ausgeführt werden. Stand der Erhebung: 24. August 2026. Die genannten Zahlen stammen von den öffentlichen Seiten des Anbieters und können sich ändern.

Das ist der Punkt, an dem viele Vergleiche mit Krypto-Börsen schiefgehen. Wer hier ein Konto eröffnet, hinterlegt kein Krypto-Guthaben bei StockToken im Sinne eines Exchange-Wallets. Die Plattform erzeugt Signale, filtert sie, reicht freigegebene Orders an den Broker weiter und führt intern ein Ledger über den anteiligen Anspruch am jeweiligen Strategie-Pool.

Was die Plattform laut eigenen Angaben nicht ist

Die Nutzungsbedingungen beginnen mit der Überschrift „Read this before participating“. Darin steht ausdrücklich, dass StockToken kein Einlagenkonto, kein Produkt mit garantierter Rendite, kein Festzinsinstrument und keine Anlageberatung ist. NAV kann fallen. Wer weniger zurückbekommt, als er eingesetzt hat, liegt im Rahmen der dokumentierten Risiken.

Die Tokens auf der Plattform sind laut Anbieter keine Blockchain-Assets und außerhalb der Plattform nicht übertragbar. Sie bilden einen buchhalterischen Anspruch gegen den vom Betreiber verwalteten Pool – nicht gegen ein separates Sondervermögen im bankrechtlichen Sinn.

Ebenfalls auf derselben Seite: ein Template-Hinweis. Die Bedingungen seien ein Ausgangspunkt, keine Rechtsberatung, und vor dem Produktivbetrieb durch von einem zugelassenen Anwalt geprüfte Texte zu ersetzen. Das ist ungewöhnlich offen – und zugleich ein Warnsignal. Wer die Seite als abgeschlossenes Vertragswerk liest, liest sie gegen den Wortlaut des Betreibers.

Betreiber und Aufsicht

Betreiber ist Blockchain Asset Management Ltd., eine International Business Company auf den Bahamas, Register-Nr. 201522, gegründet nach Angaben der About-Seite im März 2022. Gründer und CEO ist Nicolas Potier. Die Terms stellen klar: Eine IBC ist ein Gesellschaftsvehikel, keine Finanzdienstleistungslizenz. Nichts in diesem Block behaupte eine Erlaubnis, in irgendeiner Jurisdiktion regulierte Finanzdienstleistungen zu erbringen.

Für Leserinnen und Leser in Deutschland folgt daraus konkret: Es gibt hier keine BaFin-Erlaubnis und keine MiCAR-CASP-Lizenz. Die Ausführung soll über Alpaca Markets laufen, einen unabhängigen US-Broker. Bei Abweichungen zwischen Dashboard und Brokerauszug gelten laut Terms die Broker-Statements. Interactive Brokers und Tradier werden als mögliche weitere Anbindungen genannt, nicht als Standard.

Jurisdiktionsanalysen (unter anderem Bahamas, USA, EU, UK) verweist der Anbieter auf die Seite „Regulatory assessments“. Das ersetzt keine eigene aufsichtsrechtliche Prüfung durch den Anleger.

Sicherheit: vier Schichten, zwei offene Punkte

Die Security-Audit-Seite ist an Sicherheitsteams gerichtet. Der Anbieter schreibt, die beschriebenen Maßnahmen seien im Code umgesetzt, nicht als Zielbild formuliert.

Kurz die Schichten, so wie sie dort stehen:

  1. Edge: Cloudflare-TLS, Rate-Limits pro IP, Begrenzung der Request-Größe.
  2. Authentifizierung: PBKDF2-SHA256 mit 100.000 Iterationen und 128-Bit-Salt; 20 Login-Versuche pro IP in fünf Minuten; nach zehn Fehlversuchen 15 Minuten Kontosperre; JWT-Access-Token mit 15 Minuten TTL; serverseitig widerrufbare Sessions; 6-stellige PIN nach Einrichtung auch bei Auszahlung und Passwortwechsel.
  3. Validierung: typisierte Request-Schemas, Rollenprüfungen, Limits pro Nutzer.
  4. Ledger: vier Buchhaltungsinvarianten vor jedem atomaren Commit, Audit-Zeile in derselben Transaktion.

Der Threat-Model-Teil nennt zwei Lücken offen: Device Binding ist nicht abgedeckt (Roadmap). Step-up-2FA für Auszahlungen und Admin-Rollenwechsel ist geplant, aber noch nicht aktiv. Wer nur die Marketingtexte liest, sieht diese Sätze oft nicht.

Responsible Disclosure: Meldung an [email protected], Zusage einer Antwort binnen 48 Stunden, keine rechtlichen Schritte gegen Gutgläubige im Scope. Außerhalb des Scopes: Social Engineering, DoS gegen Produktion, Drittanbieter (Alpaca, IB, Tradier, Polygon.io, Databento).

Versicherung: £30 Mio., nachprüfbar – mit Grenzen

Auf derselben Audit-Seite steht die Police PATFH159 bei Superscript (Handelsname von Enro Limited, FCA-Reg. 656459, England und Wales). Laufzeit 23. Mai 2026 bis 22. Mai 2027. Cyber Security £25 Mio., Professional Indemnity £5 Mio.

Das ist keine Einlagensicherung und keine Absicherung gegen Kursverluste. Es deckt – soweit der Infotext reicht – Incident Response, Ransomware, Betriebsunterbrechung, Datenschutzverletzungen und Berufshaftpflicht ab. Der Anbieter selbst schreibt: Evidence of Cover und Statement of Fact sind die maßgeblichen Dokumente; die Webseite ist nur Information. Institutionelle Gegenparteien können die Police über [email protected] anfordern, mit Identitätsprüfung.

Strategien und Zahlen – ohne die Marketing-Grafik

Drei Bücher sind öffentlich beschrieben: CORE (Aktien/ETFs/kurzlaufende Treasuries, Zielkorridor 12–15 Prozent monatlich, ohne AUM-Deckel), EDGE (Nasdaq-100 plus BTC/ETH/SOL, 20–28 Prozent, Deckel 20 Mio. USD), APEX (höher volatil, 30–38 Prozent, Deckel 10 Mio. USD). Die Zielwerte stehen auf der Website als Spannen, nicht als Garantie.

Auf der Proof-Seite lag das ausgewiesene AUM am 24. August 2026 bei rund 10,56 Mio. USD (Par 1,00 USD). „Locked in tokens“ rund 9,31 Mio. USD. Die Homepage zeigte zum selben Zeitpunkt CORE etwa 5,80 Mio., EDGE 2,32 Mio. (rund 11,6 Prozent des 20-Mio.-Deckels) und APEX 1,19 Mio. (rund 11,9 Prozent des 10-Mio.-Deckels). Das sind Momentaufnahmen des Anbieters, keine geprüfte Wirtschaftsprüferbilanz.

Ein älterer Review-Stand mit „rund 30 Investoren und 9,6 Mio. AUM“ ist damit überholt. Die aktuelle Proof-Zahl liegt höher; eine unabhängige Bestätigung der Teilnehmerzahl lag bei der Erhebung nicht vor.

Cash-Lock und Token-Handel

Aus den öffentlichen Produkttexten: Nach der ersten Strategieteilnahme gilt ein 365-Tage-Cash-Lock. Tokens sollen intern per P2P veräußerbar bleiben; der Käufer zahlt in USDT, der Verkäufer erhält den Betrag. Jeder Token wird zu 1,00 USD Par ausgegeben. Erträge sollen neue Tokens minten statt Cash auszuschütten.

Für die Liquiditätsplanung heißt das: Wer Bargeld braucht, ist an die Lock-Frist gebunden, sofern er nicht auf dem internen Markt einen Käufer findet. Das ist kein Börsenorderbuch mit gesetzlicher Best-Execution.

Einordnung für Anleger in Deutschland

Die Stärke von StockToken liegt nicht in einer deutschen Lizenz – die hat die Plattform nicht –, sondern darin, dass sie ihre Grenzen selbst aufschreibt: IBC statt Finanzlizenz, Template-Hinweis in den Terms, offene Sicherheitslücken, nachprüfbare Versicherungspolice statt bloßer „insured“-Behauptung.

Die Schwäche ist strukturell. Algorithmische Zielrenditen im zweistelligen Prozentbereich pro Monat sind hochspekulativ. Die Ausführung hängt an einem US-Broker. Die Tokens sind kein Kryptowert im MiCAR-Sinn und kein Sondervermögen. Wer in Deutschland Anlegerschutz nach WpHG oder MiCAR erwartet, findet ihn hier nicht.

Geeignet allenfalls für Personen, die das Modell (Signale plus Alpaca plus internes Ledger) verstanden haben, den Cash-Lock tragen können und Verluste bis zum Totalverlust einkalkulieren. Ungeeignet als Ersatz für ein reguliertes Depot oder als „sichere“ Alternative zu einem CASP.

Bewertung

Transparenz: 5 von 5. Terms, Threat Model und Police sind öffentlich und konkret.

Sicherheit: 4 von 5. Die dokumentierte Architektur ist detailliert; Device Binding und Step-up-2FA fehlen noch.

Regulierung: 2 von 5. Bahamas-IBC, keine BaFin/MiCAR. Alpaca trägt die Broker-Aufsicht, nicht StockToken.

Produktklarheit: 4 von 5. Die Abgrenzung zu Exchange und Blockchain-Token ist klar. Der Template-Status der Terms bleibt ein Vorbehalt.

Algorithmische Strategien können zu raschen und anhaltenden Verlusten führen, bis hin zum Totalverlust. Dieser Testbericht ist keine Anlageberatung.