Die Systeme, die wir gebaut haben, um mit unserem eigenen Kapital zu handeln

Das Modul definiert die Geometrie des Grids um einen Referenzpreis: die Grenzen der Spanne, die Anzahl der Ebenen, die Art des Abstands und die Größe auf jeder Ebene. Der Abstand kann arithmetisch sein — eine gleiche Preisdifferenz zwischen benachbarten Ebenen — oder geometrisch, wobei das Verhältnis benachbarter Preise konstant ist. Geometrischer Abstand ist über weite Spannen robuster; arithmetischer Abstand genügt innerhalb eines engen Bandes. Die berechneten Preise und Größen werden von der Adapterschicht an die Präzisionsregeln des Instruments angepasst. Ebenen, die unter den Mindestnominalwert fallen, werden verworfen, während das Grid noch zusammengestellt wird — bevor der Handelsplatz sie ablehnen würde.

Jede Ebene wird durch einen Zustandsautomaten beschrieben: storniert, platziert, teilweise ausgeführt, vollständig ausgeführt. Nach einer vollständigen Ausführung platziert das Modul eine Gegen-Order auf der benachbarten Ebene; eine Teilausführung setzt den Zustand der Ebene nicht zurück. Orders werden als Maker-only (Post-only) platziert: eine abgelehnte Order wird zum aktuellen Preis neu platziert, statt den Spread zu überqueren. Eine Bewegung über die Spanne hinaus wird durch eine von mehreren ausdrücklich definierten Regeln behandelt — Einfrieren des Grids, Verschieben um einen Schritt oder ein vollständiger Neuaufbau mit erhöhter Generationsnummer. Neuaufbauten sind durch Hysterese und eine Abkühlphase (Cooldown) begrenzt; andernfalls würde das Grid bei jedem Tick neu platzieren und an das Anfragerate-Limit stoßen.

Die Engine verwandelt die Absicht einer Strategie in einen konkreten Strom von Befehlen. Eine Post-only-Limit-Order — wenn das Ziel ist, Liquiditätsgeber zu bleiben und den Spread nicht zu überqueren. Eine aggressive Limit-Order mit einem Schutzpreis anstelle einer Market-Order — wenn die Begrenzung der Slippage zählt. IOC oder FOK — wo eine teilweise oder verzögerte Ausführung nicht hinnehmbar ist. Jede Order existiert als Zustandsautomat: von der lokalen Erstellung bis zu einem Endzustand, wobei die Übergänge sich nur vorwärts bewegen. Eine Position wird aus der tatsächlich ausgeführten Größe und dem durchschnittlichen Ausführungspreis berechnet — die angeforderte Größe der Order sagt nichts über das Ergebnis aus.

Der Kanal zur Börse ist unzuverlässig, daher geht die Engine davon aus, dass eine Antwort verloren gehen, doppelt zugestellt werden oder in falscher Reihenfolge eintreffen kann. Ein selbst vergebener Order-Bezeichner wird vor dem Senden erzeugt und dient als Idempotenzschlüssel: eine wiederholte Anfrage mit demselben Schlüssel erzeugt keine zweite Order. Nach einem Timeout sendet die Engine nicht blind erneut — sie fragt den Status anhand dieses Schlüssels ab. Ereignisse des privaten Streams werden anhand des Ausführungsbezeichners dedupliziert und verworfen, wenn sie sich auf einen früheren Zustand beziehen als den bereits angewandten. Stornierung und Ausführung konkurrieren stets miteinander, daher wird eine Stornoablehnung mit dem Grund 'Order bereits ausgeführt' als normaler Übergang des Zustandsautomaten behandelt, nicht als Fehler.

Das Modul bildet den Zustand des Instruments aus einem Strom geschlossener Kerzen und übergibt der Handelsschicht drei Größen: eine Volatilitätsschätzung, die Grenzen der aktuellen Spanne und ein kontinuierliches Maß dafür, wie seitwärts der Markt verläuft. Die Volatilität wird auf mehrere Weisen berechnet — Wilders ATR, seine preisnormierte Form NATR und spannenbasierte Schätzer (Parkinson, Rogers–Satchell, Yang–Zhang). Jede Methode wird über ein kurzes und ein langes Fenster berechnet: das kurze reagiert schnell, das lange liefert eine stabile strukturelle Schätzung. Der Grid-Abstand wird aus dem NATR abgeleitet und beidseitig begrenzt: nach unten durch die Kosten eines vollständigen Umlaufs (Gebühr plus Spread), nach oben durch die akzeptable Leerlaufzeit einer Ebene. Die Anzahl der Ebenen ist durch das Limit offener Orders und das Kapital je Ebene begrenzt.

Das Marktregime wird aus unabhängigen Maßen klassifiziert: ADX, dem Effizienzverhältnis der Bewegung, dem R² einer linearen Preisregression, einem Varianzverhältnis, dem Hurst-Exponenten über ein langes Fenster und der Kompression von Bollinger-Bändern innerhalb von Keltner-Kanälen. Ausgegeben wird kein binäres Flag, sondern ein kontinuierliches Gewicht, das einer Stabilitätsanforderung über N Balken unterliegt. Die Parameter werden beim Balkenschluss neu bewertet, mit Hysterese und nur bei einer erheblichen Abweichung von der aktuellen Konfiguration: den Grid neu aufzubauen bedeutet, Orders zu stornieren und zu platzieren, also Last auf den Rate-Limits und Slippage-Risiko. Alle Indikatoren werden kausal berechnet, zum Stand des Balkens, ohne zentrierte Fenster und ohne rückschauende Glättung. Bei einem Streamabbruch, Lücken in der Historie oder einem unvollständigen Warmlauf meldet das Modul einen 'undefinierten' Status, und die Handelsschicht stellt das Aufstocken der Position ein.

Die Risikokontrollschicht liegt im Pfad jeder Order: eine Strategie hat keinen direkten Zugriff auf das Ausführungs-Gateway und kann die Prüfungen technisch nicht umgehen — dies ist eine Eigenschaft der Architektur, keine interne Absprache. Vor dem Senden wird jede Order gegen die Regeln des Instruments, ihre Abweichung vom Referenzpreis und die Nachrichtenrate geprüft. Darüber liegen Limits je Strategie, je Instrument und auf der aggregierten Nettoposition über alle Handelsplätze hinweg. Es gibt drei Betriebsmodi: normal, reduce-only und ein vollständiger Halt, in dem nur Stornierungen durchgehen.

Eine Prüfung vor dem Handel ist nicht zuverlässiger als die Daten, auf denen sie läuft: weicht der lokale Positionsdatensatz von dem der Börse ab, greift das Limit korrekt, aber auf der falschen Eingabe. Die Schicht bettet daher eine Abgleichsschleife ein, die über die gesamte Infrastruktur geteilt wird. Die Quelle der Wahrheit ist der Zustand, der durch eine gesonderte Abfrage an die Börse ermittelt wird; der Aktualisierungsstream gilt standardmäßig als unzuverlässig. Auf eine Diskrepanz wird nur reagiert, wenn sie mehrmals hintereinander auftritt und einen Nominalschwellenwert überschreitet — andernfalls würden Lücken in der Sequenz des Streams ständige Zustands-Neuaufbauten auslösen. Der Notausschalter (Kill-Switch) ist auf der Börsenseite dupliziert: stellt unser Prozess das Senden seines periodischen Signals ein, storniert die Börse die offenen Orders selbst.

Das Modul führt ein einziges Register darüber, wie viel des eigenen Unternehmenskapitals jeder Strategie und jedem Instrument zur Verfügung steht. Die Größe einer einzelnen Position wird als fester Bruchteil des zugewiesenen Budgets festgelegt und anhand der aktuellen Volatilität des Instruments normiert: derselbe Nominalwert trägt in einem ruhigen und in einem volatilen Markt ein unterschiedliches Risiko. Strategiebudgets überschneiden sich nicht, und jeder Überschuss wird von der Prüfung vor dem Handel abgelehnt, noch bevor eine Order gesendet wird.

Ein Teil des Kapitals wird niemals dem Eröffnen von Positionen zugewiesen und als Reserve gegen Variation Margin, Finanzierungskosten und Preislücken gehalten. Ohne eine solche Reserve würde ein Sprung im Mark-Preis einer einzelnen Position die geteilte Sicherheit und die anderen Strategien berühren. Freies und gesperrtes Guthaben, Initial- und Maintenance-Margin werden getrennt verbucht. Das Rebalancing wird durch ein Abweichungsband um die Zielgewichte ausgelöst, nicht nach einem Zeitplan: ein enges Band bedeutet übermäßigen Umschlag und Kosten, ein weites eine angesammelte Drift.

Jeder Handelsplatz hat seinen eigenen Transport, seine eigene Instrumentbenennung und seine eigenen Präzisionsregeln, und der Adapter isoliert diese Unterschiede. REST wird für Zustands-Snapshots, Referenzdaten und Serviceanfragen verwendet; WebSocket für Kursströme und Order-Ereignisse; FIX, wo es verfügbar und gerechtfertigt ist. Nach oben stellt er ein einziges Domänenmodell bereit: ein Instrument mit seinem Preisschritt, Größenschritt, Mindestnominalwert und seiner Präzision, dazu Orderbuch-, Handels- und Orderstatus-Ereignisse, auf eine gemeinsame Form reduziert. Die Instrument-Referenzdaten werden nach einem Zeitplan neu eingelesen — ein Handelsplatz ändert seine Präzisionsregeln ohne Vorankündigung.

Die Rundung erfolgt im Adapter, vor dem Senden, sodass sich die anderen Module nicht darum kümmern müssen. Der Preis wird an den Preisschritt angeglichen, die Größe an den Größenschritt und nach unten abgeschnitten, um das verfügbare Guthaben nicht zu überschreiten. Dann werden der Mindestnominalwert — Preis mal Menge — und die zulässige Präzision geprüft; eine Order, die den Nominalwert nicht erreicht, wird auf unserer Seite abgelehnt. Eine abgebrochene Verbindung wird über einen eigenen Pfad behandelt: Wiederverbindung mit steigendem Backoff und zufälligem Jitter, erneutes Abonnieren der Streams und eine Anfrage an den Handelsplatz nach dem aktuellen Zustand.

Die Engine ist als eine einzige Ereignisverarbeitungsschleife aufgebaut: Marktdaten, Timer, Orders und Börsenbestätigungen durchlaufen eine Warteschlange in strenger chronologischer Reihenfolge. Eine Strategie sieht nur den Marktzustand, der zum aktuellen Zeitstempel bestand. Das Orderbuch wird aus einem Strom von Ebenen- und Order-Aktualisierungen (L2/L3) rekonstruiert; wo diese Auflösung übermäßig ist, steht ein Modus aggregierter Balken zur Verfügung. Der Strategiecode ist derselbe in der Simulation, auf einem Live-Feed im Papierhandel-Modus und in der Produktion — nur die Daten- und Ausführungsadapter unterscheiden sich.

Der Wert eines Simulators bemisst sich daran, wie ehrlich er die Reibung modelliert. Eine Limit-Order gilt nicht schon deshalb als ausgeführt, weil der Preis sie berührt hat: die Position in der Warteschlange auf der Ebene, das durch sie hindurchgegangene Volumen, Teilausführungen und die Ablehnung von Post-only-Orders, die den Spread überqueren würden, werden alle berücksichtigt. Hinzu kommen Maker- und Taker-Gebühren nach einem gestaffelten Tarif, die Finanzierungsabgrenzung an den Intervallgrenzen und tiefenabhängige Slippage. Latenzen werden gesondert angegeben — beim Empfang von Daten, beim Senden einer Order und bei der zurückkommenden Bestätigung. Gerade diese bestimmen, welchen Marktzustand die Strategie im Moment der Entscheidung tatsächlich gesehen hat.

Die Telemetrie wird auf drei Ebenen erfasst. Infrastruktur — Prozesse, Speicher, Laufzeitpausen, Warteschlangentiefe. Transport — Gesundheitssignale auf jedem Kanal, die Abweichung lokaler Uhren gegenüber der Börsenzeit, die Wiederverbindungsrate. Handel — offene Positionen und Engagement, der Anteil ausgeführter und abgelehnter Orders, die Abweichung des Ausführungspreises vom erwarteten. Metriken werden in einem fixen Takt in einen Zeitreihenspeicher geschrieben, statt bei Bedarf im Moment der Untersuchung erhoben zu werden: ein Vorfall wird aus einer kontinuierlichen Reihe von Messungen rekonstruiert, wofür Fragmente von Logs nicht genügen.

Die Alarmregeln sind um Symptome herum aufgebaut: eine Divergenz zwischen lokalem und Börsenzustand, veraltete Marktdaten, steigende Latenz in den oberen Perzentilen, ein Anstieg von API-Fehlern. Ein einzelner numerischer Schwellenwert erzeugt zu viele Fehlalarme, um einen Alarm allein darauf zu stützen. Signale werden nach Schweregrad getrennt, mit Deduplizierung, Gruppierung und Unterdrückung abgeleiteter Alarme; jedes trägt ein Reaktions-Runbook. Kritische Routen lösen die Stornierung von Orders und einen Halt des Kreislaufs aus, ohne auf einen Operator zu warten. Eine gesonderte Schicht ist der Audit-Trail: der Weg einer Order von der Entscheidung bis zum Endstatus wird als strukturierte JSON-Ereignisse mit einem durchgängigen Bezeichner in ein Append-only-Log geschrieben.

Die Konfiguration der Bots wird als Code beschrieben: ein typisiertes Schema mit expliziten Wertebereichen und Schichten über einem Basissatz — eine Umgebungsschicht (historischer Lauf, Sandbox, Produktion), dann Umgebungsvariablen und Startargumente. Das Schema ist strikt: ein unbekannter Schlüssel, ein falscher Typ oder ein Wert außerhalb des Bereichs stoppt den Start. Ein stillschweigend eingesetzter Standardwert würde bedeuten, mit einem ungeprüften Parametersatz in den Handel zu gehen. Zugangsschlüssel und Infrastruktur-Anmeldedaten werden aus einem separaten Speicher bezogen, sodass die Parameter selbst vollständig versioniert werden — mit einer Änderungshistorie und der Möglichkeit, zurückzurollen.

Parameter werden danach unterteilt, wie sie angewandt werden. Risikoschwellen, Limits und die Freischaltung von Instrumenten werden im laufenden Betrieb übernommen: ein neuer Konfigurations-Snapshot wird zusammengestellt, validiert und mit einem einzigen Umschalten zwischen Handelszyklen eingewechselt, sodass kein Zyklus jemals einen halb angewandten Zustand sieht. Das Verbindungsschema, die Menge der Handelsplätze und die Struktur des Zustandsspeichers ändern sich nur beim Neustart. Unterhalb der Strategieebene liegen nicht deaktivierbare Obergrenzen: die maximale Positions- und Ordergröße, die Hebelwirkung, die Senderate und der Schwellenwert des Notausschalters. Die Konfiguration kann sie nur verschärfen — eine Lockerung durchläuft ein Review und die Veröffentlichung einer neuen Version.

Börsen-API-Schlüssel werden mit dem minimalen Satz an Berechtigungen ausgestellt: der Handel ist erlaubt, Auszahlungen sind auf der Börsenseite deaktiviert, und der Schlüssel selbst ist nur von den festen ausgehenden IP-Adressen der ausführenden Knoten gültig. Wo eine Börse asymmetrische Schlüssel (Ed25519, RSA) unterstützt, verwenden wir sie anstelle von HMAC: nur der öffentliche Teil verbleibt auf der Börsenseite, und der private Teil verlässt nie unseren Perimeter. Jede Anfrage wird über eine kanonische Zeichenkette mit einem Zeitstempel und einem engen Gültigkeitsfenster signiert. Die Uhren der Knoten werden über NTP synchronisiert: die Börse verwirft eine abgelaufene Signatur, bevor sie die Handelslogik erreicht.

Der Speicher ist von den Handelsknoten getrennt: Geheimnisse liegen verschlüsselt auf der Festplatte unter einem Envelope-Verfahren, der Master-Schlüssel verlässt nie das Hardwaremodul (HSM), und der Chiffretext wird getrennt vom Verschlüsselungsschlüssel aufbewahrt. Der Handelsprozess erhält das Geheimnis nie in den Speicher — er ruft einen Signaturdienst über Mutual TLS mit einem eigenen Dienstzertifikat auf und erhält eine fertige Signatur. Jeder Aufruf wird in ein Append-only-Log geschrieben. Das Bedrohungsmodell rechnet mit der Kompromittierung eines einzelnen Knotens, daher werden die Schlüssel über Börsen, Unterkonten und Kreisläufe getrennt: der Handelsschlüssel wird getrennt vom schreibgeschützten Schlüssel gehalten, der für den Abgleich verwendet wird.