Ist MetaTrader 5 sicher? Eine Sicherheitsanalyse

MetaTrader 5 ist sicher, wenn er mit einem regulierten Broker, Zwei-Faktor-Authentifizierung auf dem Brokerkonto und einer grundlegenden Betriebssystem-Hygiene auf dem ausführenden Gerät verwendet wird. Die von MetaQuotes vertriebene Plattform selbst ist eine ausgereifte Anwendung mit einer sauberen Sicherheitsbilanz über mehr als ein Jahrzehnt produktiver Nutzung bei tausenden Brokern. Die Risiken für MT5-Nutzer liegen nicht auf Plattformebene. Sie liegen auf Kontoebene (Diebstahl von Zugangsdaten), auf Broker-Ebene (Gegenparteirisiken an unregulierten Plätzen) und auf Nutzerebene (Social-Engineering-Betrug, der den Ruf der Plattform missbraucht).

Die Plattform selbst

MT5 ist die proprietäre Plattform von MetaQuotes Software Corp. Sie läuft als Desktop-Client (Windows, macOS via Wine, Linux via Wine), als Web-Terminal und als native iOS- und Android-App. Die Kommunikation zwischen Client und Broker-Server ist mit einem 128-Bit-RSA-Handshake und einer AES-256-Sitzungsverschlüsselung gesichert. Kontopasswörter werden nicht im Klartext übertragen; die Plattform nutzt eine Challenge-Response-Authentifizierung.

Code-Signierung: MetaQuotes signiert offizielle Binärdateien. Der Desktop-Installer prüft die Signatur beim Start. Eine modifizierte MT5-Binärdatei läuft auf einer Standard-Windows-Installation nicht, ohne dass der Nutzer aktiv Sicherheitswarnungen umgeht.

Wo das echte Risiko liegt

Drei Risikoflächen, geordnet nach Häufigkeit:

1. Diebstahl von Zugangsdaten. Phishing-E-Mails, die Broker imitieren, gefälschte Support-Mitarbeiter in sozialen Medien und mit Trojanern verseuchte „MT5-EAs“ aus Foren. Der Vektor ist der Nutzer, nicht die Plattform.
2. Gegenparteirisiko bei unregulierten Brokern. Die Plattform ist seriös; manche der Broker, die sie verwenden, sind es nicht. Ein unregulierter Offshore-Broker, der MT5 betreibt, kann Auszahlungen verweigern, Spreads manipulieren oder verschwinden. Die Plattform kann das nicht verhindern.
3. Bösartige EAs. Expert Advisors sind beliebiger Code, der im Plattformprozess läuft. Ein bösartiger EA kann Kontodaten auslesen, Trades platzieren oder einen externen Server kontaktieren. Behandeln Sie EAs aus unbekannten Quellen mit derselben Vorsicht wie jede unsignierte ausführbare Datei.

Sicherheitskontrollen, die ein ernsthafter Nutzer aktiviert

• Zwei-Faktor-Authentifizierung auf dem Brokerkonto. Die meisten regulierten Broker bieten TOTP (Google Authenticator, Authy) oder SMS-basierte 2FA an. TOTP ist SMS vorzuziehen.
• Investor-Passwort (nur lesend). MT5 unterstützt ein separates Nur-Lesen-Passwort, das den Kontostatus einsehen, aber keine Trades platzieren kann. Nützlich, um die Performance mit einem Copy-Trade-Follower oder Prüfer zu teilen.
• Backup der Kontohistorie. Exportieren Sie die Handelshistorie monatlich. Sollte der Broker ausfallen oder kompromittiert werden, liegen Ihre Aufzeichnungen unabhängig vor.
• EA-Whitelist. Erlauben Sie nur signierte EAs aus bekannten Quellen. Deaktivieren Sie „Allow DLL imports“ bei EAs, die Sie nicht persönlich geprüft haben.
• Betriebssystem-Hygiene. Aktuelles Windows oder macOS, laufendes Antivirenprogramm, keine raubkopierte Software auf der Trading-Maschine. Idealerweise eine dedizierte Maschine oder VM fürs Trading.

Was MT5 sicherheitstechnisch gut macht

• Keine lokale Klartextspeicherung von Zugangsdaten. Passwörter werden als Hashes gespeichert, wenn „Passwort merken“ aktiviert ist.
• Standardmäßig verschlüsselte Server-Kommunikation. Ein Fallback auf unverschlüsselt wird nicht angeboten.
• Ausgereifter Update-Kanal. MetaQuotes pusht Plattform-Updates seit über einem Jahrzehnt über denselben Kanal. Die Patch-Latenz für bekannte Probleme liegt in Tagen, nicht Wochen.
• Native Integration in brokerseitige Risikokontrollen. Margin-Call-Schwellen, Hebelgrenzen und Stop-out-Niveaus werden serverseitig durchgesetzt, nicht im Client. Ein modifizierter Client kann sie nicht umgehen.

Die Broker-Schicht ist wichtiger als die Plattform

MT5 ist bei jedem Broker dieselbe Software. Was sich ändert, ist der Broker dahinter: der Regulator, die Trennung der Kundengelder, das Anlegerentschädigungssystem, das Ausführungsmodell und die operative Reife. Ein Retail-Trader, der MT5 auswählt, sollte zuerst den Broker und dann die Plattform bewerten, denn die Plattform ist konstant, der Broker die Variable.

Fünf Fragen vor der Kontoeröffnung:

1. Welcher nationale Regulator lizenziert den Broker und wie lautet die Lizenznummer?
2. Werden Kundengelder auf segregierten Konten bei Tier-1-Banken gehalten?
3. Gibt es ein Anlegerentschädigungssystem, und mit welcher Deckungsgrenze?
4. Wird Schutz vor negativem Kontostand auf Retail-Konten angeboten?
5. Wie lautet das dokumentierte Auszahlungs-SLA?

Häufige Betrugsmaschen, die den Ruf von MT5 missbrauchen

• „Garantierte Renditen“-EAs, verkauft über Telegram oder Discord. Der EA tut entweder nichts Nützliches, oder er enthält eine Hintertür, die das Konto leert, sobald er Handelsbefugnis hat.
• Falsche „Copy-Trading“-Signalanbieter. Der Signalgeber betreibt ein hochgehebeltes Konto und wird unabhängig von P&L per Abo bezahlt. Seriöses Copy-Trading existiert; hochdruck-Verkaufsgespräche mit Screenshots monatlicher Renditen über 50 % nicht.
• Phishing zur Konto-Wiederherstellung. E-Mail oder Telegram-Nachricht, die vorgibt, vom Broker zu kommen, und das Kontopasswort „zur Verifikation des Kontos“ verlangt. Ein regulierter Broker fragt das Trading-Passwort niemals per E-Mail ab.

Fazit

MT5 ist sicher in dem Sinn, in dem jede gut gewartete Finanzplattform sicher ist: Die Anwendung ist solide, die Protokolle sind aktuell und die Sicherheitskontrollen funktionieren wie dokumentiert. Die existierenden Schwachstellen liegen in der menschlichen Schicht (Phishing, Social Engineering, bösartige EAs) und in der Broker-Schicht (Gegenparteirisiko bei unregulierten Plätzen). Nutzen Sie einen regulierten Broker, aktivieren Sie Zwei-Faktor-Authentifizierung, prüfen Sie jeden EA, den Sie installieren, und die Plattform ist eine bekanntermaßen vertrauenswürdige Software.

MT5 bei Volity

Volity stellt MetaTrader 5 mit Zwei-Faktor-Authentifizierung, getrennten Kundengeldern und Ausführung durch UBK Markets Ltd bereit, einer zypriotischen Wertpapierfirma, die von der CySEC unter der Lizenz 186/12 zugelassen ist. Retail-Hebelgrenzen gemäß ESMA: 1:30 auf wichtige Währungspaare, 1:20 auf Nicht-Hauptwährungen und große Indizes, 1:10 auf andere Rohstoffe, 1:5 auf Einzelaktien, 1:2 auf Kryptowerte. Schutz vor negativem Kontostand gilt. Anspruchsberechtigte Retail-Kunden sind vom zypriotischen Anlegerentschädigungsfonds bis zu 20 000 € pro Kunde und Firma gedeckt.