Anomalieerkennung zum Schutz von Trading-Bots: Vom Z-Score zum Transformer

Jeder, der schon einmal einen Trading-Bot an Krypto-Börsen betrieben hat, kennt das Gefühl: Der Bot läuft eine Woche lang perfekt und vernichtet dann in 30 Sekunden den Gewinn einer ganzen Woche. Ein Flash-Crash an einer Börse. Eine gefälschte Wall im Orderbuch. Eine Liquidationskaskade. Oder die Börse hat einfach Müll statt Daten zurückgegeben.

All diese Situationen haben eines gemeinsam: Es sind Anomalien. Und wenn Ihr Bot sie nicht erkennen kann, wird er früher oder später zu ihrem Opfer.

Was als Anomalie im Krypto-Trading gilt

Bevor wir Anomalien jagen, müssen wir uns darüber einig werden, wonach wir suchen. Das maschinelle Lernen unterscheidet drei Typen, und alle drei treten auf den Krypto-Märkten täglich auf.

Punktanomalien — isolierte Ereignisse, die stark von der Norm abweichen. Eine Kerze mit dem 50-fachen des durchschnittlichen Volumens. Der BTC/USDT-Spread auf Binance, der auf 0,5 % hochschnellt. Für einen Market-Making-Bot ist jedes solche Ereignis eine potenzielle Falle: der Einstieg in eine Position zu einem gefälschten Preis oder ein Slippage, das die gesamte Marge auffrisst.

Kollektive Anomalien — eine Reihe von Ereignissen, die einzeln normal aussehen, aber in ihrer Gesamtheit auf ein Problem hindeuten. Das klassische Beispiel ist Spoofing: Jemand platziert und storniert über mehrere Minuten hinweg große Limit-Orders. Jede einzelne Order ist gewöhnlich, aber das Muster "Platzieren-Stornieren-Platzieren-Stornieren" mit einem Order-to-Trade-Verhältnis von 100:1 ist Manipulation — und ein Bot, der sich auf die Orderbuchtiefe verlässt, wird auf nicht vorhandener Liquidität handeln.

Kontextuelle Anomalien — ein normaler Wert im falschen Kontext. Ein Bitcoin-Handelsvolumen, das typisch für die Londoner Session ist, aber um 3 Uhr UTC an einem Sonntag beobachtet wird. Ohne Berücksichtigung des Kontexts sind solche Anomalien unsichtbar — und genau diese entgehen den einfachen Detektoren am häufigsten.

Visualisierung der drei Haupttypen von Anomalien in Handelsdaten: Punkt-Spitzen, kollektive Muster und kontextuelle Abweichungen.

Rauschen vs. Anomalie: Das Kontextproblem

Eine Anomalie ist nicht einfach "seltsame Daten". Sie ist eine Abweichung, die Informationen trägt. Es ist entscheidend, zu unterscheiden:

• Rauschen: Zufällige Schwankungen, die Teil des normalen Marktregimes sind.
• Drift: Eine allmähliche Verschiebung der Marktbedingungen (z. B. der Übergang von einer volatilitätsarmen Nacht zu einem aktiven Morgen).
• Anomalie: Eine plötzliche Verletzung des erwarteten Musters.

Den Unterschied zwischen harmlosem Rauschen, anhaltender Drift und gefährlichen Anomalien zu bestimmen, ist eine zentrale Herausforderung für jeden Detektor.

Einfache Methoden, die 80 % der Probleme lösen

Nicht alles muss mit neuronalen Netzen gelöst werden. Für die meisten Trading-Bots reichen drei grundlegende Detektoren.

Z-Score: Schneller Extremfilter

Der Z-Score zeigt, um wie viele Standardabweichungen der aktuelle Wert vom gleitenden Mittelwert abweicht. Er wird in Mikrosekunden berechnet und funktioniert auf jedem Zeitrahmen.

Wir verwenden ihn für drei Aufgaben: Filterung von anormalem Volumen (Z-Score > 3 — Signal, die Spreads zu verbreitern oder das Quoting zu pausieren), Spread-Überwachung (eine anormale Ausweitung des Bid-Ask-Spreads geht oft scharfen Bewegungen voraus) und Funding Rate von Futures (Extremwerte warnen vor einer wahrscheinlichen Liquidationskaskade).

Der Z-Score identifiziert Extremereignisse, indem er misst, um wie viele Standardabweichungen ein Punkt vom Mittelwert entfernt ist. Werte, die ±3σ überschreiten, werden in den meisten Handelssystemen als Ausreißer behandelt.

Wichtige Einschränkung: Krypto-Märkte haben Verteilungen mit dicken Rändern (fat tails). Ein Ereignis, das laut Normalverteilung einmal in einer Million Jahren auftreten sollte (6σ), tritt in Krypto monatlich auf. Der Z-Score ist also ein grober Anomaliefilter, kein endgültiges Urteil.

Level Shift Detector: Wenn der Markt das Regime wechselt

Wir nehmen zwei aufeinanderfolgende gleitende Fenster und vergleichen ihre Mittelwerte. Übersteigt die Differenz einen Schwellenwert — ist eine Niveauverschiebung (Level Shift) aufgetreten. Market-Making-Strategien profitieren in einem stabilen Markt und verlieren bei scharfen Bewegungen. Ein Level Shift Detector auf Volumen und Volatilität warnt vor einem Regimewechsel, Minuten bevor er im Preis offensichtlich wird.

Wir wenden ihn gleichzeitig auf mehrere Kennzahlen an: durchschnittliche Handelsgröße, Orderbuchtiefe auf den ersten 5 Ebenen, Anzahl der Trades pro Zeiteinheit. Wenn der Level Shift bei mindestens zwei Kennzahlen auslöst — wechselt der Bot in den Defensivmodus.

Volatility Shift Detector: Den Sturm spüren

Ein ähnlicher Ansatz, aber es werden Standardabweichungen statt Mittelwerte verglichen. Ein scharfer Anstieg der Volatilität ist ein Signal, die Parameter zu überdenken. Ein interessantes Muster: eine anormal niedrige Volatilität geht oft einer explosiven Bewegung voraus. Der Volatility Shift Detector erfasst beide Fälle — Kompression und Expansion.

Level-Shift- und Volatility-Shift-Detektoren sind entscheidend für die Identifizierung von 'Regimewechseln' — plötzlichen strukturellen Verschiebungen im Marktverhalten, die andere Handelsparameter erfordern.

HBOS: Schnelle mehrdimensionale Analyse

Wenn Sie mehr als 10 Indikatoren gleichzeitig überwachen müssen, ohne den Aufwand komplexer ML-Verfahren, ist HBOS (Histogram-Based Outlier Selection) die beste Wahl. Es geht von der Unabhängigkeit der Merkmale aus und erstellt für jedes ein Histogramm. Der Anomalie-Score ist das Produkt der inversen Dichten über alle Histogramme.

HBOS ist deutlich schneller als distanzbasierte Methoden wie LOF und eignet sich daher für die Hochfrequenzfilterung mehrdimensionaler Zustandsvektoren.

Maschinelles Lernen: Wenn die Statistik nicht ausreicht

Grundlegende Methoden arbeiten mit jeweils einem Indikator. Aber echte Anomalien manifestieren sich oft als eine ungewöhnliche Kombination von Indikatoren: Das Volumen ist normal, der Spread ist normal, aber Volumen + Spread + Preisänderungsrate + Orderbuch-Ungleichgewicht zusammen — sind anomal. Hier wird ML benötigt.

Eine strukturierte Landschaft von Methoden zur Anomalieerkennung: von klassischen unüberwachten Algorithmen bis hin zu Deep-Learning-Architekturen.

Isolation Forest: Bestes Gleichgewicht für die Produktion

Von allen ML-Methoden zur Anomalieerkennung passt der Isolation Forest am besten zu Handelssystemen. Der Algorithmus baut ein Ensemble von Entscheidungsbäumen auf, die den Merkmalsraum zufällig partitionieren. Anomale Punkte, die "selten und anders" sind, werden in weniger Splits isoliert.

Warum Isolation Forest? Er benötigt keine gelabelten Daten — das Labeln von Anomalien auf Krypto-Märkten ist praktisch unmöglich, da jeder Flash-Crash einzigartig ist. Schnelle Inferenz im Millisekundenbereich ermöglicht den Einsatz nahezu in Echtzeit. Und, kritisch für die Produktion: Vorhersagen können über SHAP-Werte erklärt werden — Sie wissen nicht nur, dass ein Moment anomal ist, sondern verstehen auch, warum.

Auf Bitcoin-Daten erkannte der Isolation Forest nicht nur offensichtliche Anomalien wie die Volatilitätsspitze, als Tesla 2021 BTC-Zahlungen ablehnte, sondern auch subtile — Perioden, in denen Preisbewegungen nicht durch Volumen gestützt waren, was auf externe Manipulation hindeutet. Bei der Analyse von Spoofing zeigt SHAP, dass die Schlüsselindikatoren unausgeglichene Orderbuch-Quotes und eine anormal hohe Stornierungsaktivität sind.

Der Isolation-Forest-Algorithmus funktioniert durch zufällige Partitionierung des Raums: Ausreißer werden in deutlich weniger Splits isoliert als Punkte in dichten Clustern.

LOF: Beste Wahl für die Multi-Börsen-Überwachung

Der Local Outlier Factor bewertet die Anomalität eines Punktes, indem er dessen lokale Dichte mit der seiner Nachbarn vergleicht. Eine Studie (Springer, 2024), die LOF, Isolation Forest und One-Class SVM auf Kryptowährungsdaten verglich, ergab, dass LOF am effektivsten ist — er fand echte Anomalien mit den wenigsten Fehlalarmen und arbeitete sowohl bei Bitcoin als auch bei Dogecoin stabil.

Warum ist LOF für eine Multi-Börsen-Infrastruktur wichtig? Daten von verschiedenen Börsen haben unterschiedliche "Dichte" — Binance verzeichnet Tausende von Trades pro Sekunde, eine Nischenbörse Dutzende. Globale Methoden wie der Z-Score erzeugen Fehlalarme an Nischenbörsen oder übersehen Anomalien an großen. LOF passt sich an den lokalen Kontext an.

LOF vergleicht die lokale Dichte eines Punktes mit der seiner Nachbarn. Dadurch kann er Ausreißer finden, die 'lokal' anomal sind, selbst wenn sie mit den globalen Datenmustern übereinstimmen.

Die Einschränkung ist die quadratische Komplexität in Bezug auf die Anzahl der Punkte. Für Echtzeitdaten auf Tick-Ebene ist er zu langsam, aber für Minutenaggregate über mehr als 100 Börsen — ideal.

Autoencoder: Tiefe Orderbuch-Analyse

Ein Autoencoder ist ein neuronales Netz, das Daten in eine kompakte Darstellung komprimiert und rekonstruiert. Wird er auf "normalen" Daten trainiert, signalisiert ein hoher Rekonstruktionsfehler dann eine Anomalie.

Für die Orderbuch-Analyse ist dies das leistungsfähigste Werkzeug. Ein Orderbuch mit 20 Bid- und 20 Ask-Ebenen ist ein 40-dimensionaler Vektor, der sich hunderte Male pro Sekunde aktualisiert. Ein LSTM-Autoencoder berücksichtigt nicht nur den aktuellen Zustand, sondern die Dynamik — wie sich das Orderbuch über die letzten N Ticks verändert hat. Der hybride Ansatz "LSTM Autoencoder + One-Class SVM" trennt die Aufgaben: Das neuronale Netz übernimmt die Merkmalsextraktion, das klassische ML die Entscheidungsfindung. Der Hauptnachteil sind die Rechenkosten: Echtzeit-Inferenz erfordert eine GPU.

Autoencoder lernen eine komprimierte 'latente' Darstellung normaler Daten. Anomalien lassen sich nicht genau rekonstruieren, was zu einem hohen Fehler-Score führt, der zur Erkennung genutzt wird.

Kaskadierende Architektur: Alles zusammenfügen

Keine einzelne Methode löst alle Probleme. Schnelle Methoden übersehen komplexe Anomalien. Genaue Methoden sind für die Echtzeit zu langsam. Die Lösung ist eine kaskadierende Architektur, bei der jede nachfolgende Schicht das auffängt, was die vorherige übersehen hat.

Mehrschichtige Architektur zur Anomalieerkennung: von Millisekunden-Hardlimits bis zur Deep-Learning-Analyse im Hintergrund.

Schicht 1 — Fast Path (unter 1 ms). Z-Score auf Volumen, Spread und Preisänderung. Persistenzprüfung. Hardlimits. Bei Auslösung — sofortige Handelspause. Diese Schicht schützt vor Flash-Crashes, API-Fehlern und groben Manipulationen. Implementiert in der Hauptschleife des Bots ohne externe Abhängigkeiten.

Schicht 2 — Near Real-Time (1–100 ms). Isolation Forest auf kombinierten Merkmalen. Level-Shift- und Volatility-Shift-Detektoren. Bei Auslösung — Wechsel des Handelsmodus, Parameteranpassung. Läuft in einem parallelen Thread.

Schicht 3 — Hintergrundanalyse (1–60 Sekunden). LOF auf Multi-Börsen-Daten. LSTM-Autoencoder auf Orderbuch-Zuständen. Analyse der Residuen aus der saisonalen Zerlegung. Bei Auslösung — Warnungen, Anpassungen der Strategieparameter.

Schicht 4 — Batch-Analyse (stündlich/täglich). DBSCAN zur Erkennung von Wash Trading. PCA zur Überwachung der Korrelation zwischen Börsen. Vollständiges Neutraining der Modelle. Ausgabe — Berichte, Modell-Updates, Neukalibrierung der Schwellenwerte für die vorherigen Schichten.

Jede Schicht arbeitet unabhängig. Wenn Schicht 3 ausfällt — schützen die Schichten 1 und 2 den Bot weiterhin. Fehlertoleranz und Graceful Degradation sind zwingende Eigenschaften jeder Handelsinfrastruktur.

Praktische Empfehlungen

Einige Lektionen aus der Produktion.

Fangen Sie einfach an. Z-Score + Level Shift + Volatility Shift lassen sich an einem Tag implementieren. Das deckt die Mehrheit der Verlustszenarien aufgrund anormaler Marktbedingungen ab. Das GPU-Cluster kann später kommen.

Der Contamination-Parameter ist der wichtigste Hyperparameter. Im Isolation Forest definiert er den erwarteten Anteil an Anomalien. Für Krypto-Märkte verwenden wir 0,01–0,05, je nach Paar und Börse. Zu niedrig — Sie übersehen echte Anomalien. Zu hoch — Fehlalarme legen den Handel lahm.

Adaptive Schwellenwerte statt fester. Krypto-Märkte sind nicht-stationär. Ein Schwellenwert, der im Januar funktionierte, wird im März Fehlalarme erzeugen. Verwenden Sie EWMA, um die Schwellenwerte zu aktualisieren, oder trainieren Sie die Modelle regelmäßig auf einem gleitenden Fenster neu.

Protokollieren Sie alle Anomalien. Auch wenn Sie nicht automatisch reagieren — speichern Sie das Label mit dem Kontext. In einem Monat haben Sie einen Datensatz zum Training überwachter Modelle und zur Analyse, welche Anomalien Verlusten vorausgingen.

Testen Sie an echten Vorfällen. Bauen Sie eine Sammlung historischer Anomalien auf: den Flash-Crash im Mai 2021, die FTX-Liquidationskaskade, den LUNA-Kollaps. Lassen Sie jeden neuen Detektor durch diese Szenarien laufen. Wenn er bekannte Vorfälle nicht erkennt — ist er nutzlos.

Wie es weitergeht

Drei Richtungen, die es wert sind, beobachtet zu werden.

Transformer-basierte Modelle für Orderbücher. Aktuelle Forschung zeigt, dass ein Transformer-Autoencoder + OC-SVM auf Limit-Order-Book-Daten alle bisherigen Ansätze zur Spoofing-Erkennung deutlich übertrifft. Ein Staged Sliding Window Transformer auf hochfrequenten EUR/USD-Daten (315 Millionen Datensätze) erreichte eine Genauigkeit von 0,93, F1 0,91, AUC-ROC 0,95 — deutlich besser als Random Forest, LSTM und CNN.

Transformer-Architekturen mit Multi-Head-Attention erweisen sich als außergewöhnlich fähig, komplexe zeitliche Muster in hochfrequenten Limit-Order-Book-Daten zu identifizieren.

GANs zur Erzeugung synthetischer Anomalien. Eine der größten Herausforderungen ist der Mangel an gelabelten Daten. GANs können realistische Manipulationsszenarien zum Training überwachter Modelle generieren. Es existieren bereits Architekturen, die eine Genauigkeit von 94,7 % bei einer Latenz unter 3 ms und einem Durchsatz von 150.000 Transaktionen pro Sekunde erreichen.

Generative Adversarial Networks (GANs) können zur Erweiterung von Datensätzen verwendet werden, indem sie realistische synthetische Anomalien erzeugen und so das kritische Problem der Label-Knappheit im Trading lösen.

Change Point Detection (CPD). Anstatt nur nach Ausreißern zu suchen, konzentriert sich CPD darauf, den genauen Moment zu identifizieren, in dem sich die statistischen Eigenschaften des Signals geändert haben. Das ist entscheidend für den Wechsel zwischen Market-Making-Regimen (z. B. von Mean-Reversion zu Trend-Following).

Change Point Detection identifiziert strukturelle Verschiebungen in Zeitreihendaten und hebt die Grenze zwischen verschiedenen Marktregimen hervor.

Anomalien sind kein optionales Feature. Sie sind das Fundament, ohne das Algo-Trading zum Glücksspiel wird. Und je früher Sie es aufbauen, desto weniger teure Lektionen wird Ihnen der Markt erteilen müssen.

Referenzen

1. Anomaly detection in cryptocurrency markets using Isolation Forest
2. LOF: Identifying local outliers in high dimensional space
3. Isolation Forest for Anomaly Detection (Sklearn Documentation)
4. PyOD: A Comprehensive Python Toolbox for Outlier Detection
5. Transformer-based models for Limit Order Book anomaly detection
6. Ethical Issues and Market Manipulation in Cryptocurrency

Zitation

@software{soloviov2026anomalydetectionalgotrading,
  author = {Soloviov, Eugen},
  title = {Anomaly Detection for Trading Bot Protection: From Z-Score to Transformer},
  year = {2026},
  url = {https://marketmaker.cc/en/blog/post/anomaly-detection-algotrading},
  version = {0.1.0},
  description = {Which anomaly detection methods actually work in crypto algo trading, how to build a cascading protection architecture, and why this is the foundation without which algo trading becomes gambling.}
}