Scalable Capital öffnet das Depot per MCP: Die Empfehlung kommt von außen, die Order bleibt innen

Seit dem 25. August 2026 können Kunden von Scalable Capital ihr Depot mit ChatGPT, Claude oder Grok verbinden. Der Zugang läuft laut Pressemitteilung des Münchner Instituts über zwei Schnittstellen: einen Server nach dem Model Context Protocol (MCP), einem offenen Standard, über den Sprachmodelle Werkzeuge und Daten ansteuern, und eine quelloffene Kommandozeilen-Anwendung, das Scalable CLI. Das Modell darf danach Kontoinformationen einsehen, Orders vorbereiten, Sparpläne anlegen und Preisalarme setzen; Ein- und Auszahlungen bleiben nach derselben Mitteilung Web und App vorbehalten. Scalable nennt sich damit die erste Bank Europas, die ihre Plattform für alle großen KI-Assistenten öffnet.

Die öffentliche Debatte hat sich seither an zwei Fragen abgearbeitet: ob die Depotdaten bei OpenAI landen und ob das Modell Euro und Prozent verwechselt. Beides ist berechtigt, und beides lässt die Frage aus, die für Compliance und Betrieb zählt: Wer erbringt die Anlageberatung, wenn ein Modell, das der Kunde selbst verbunden hat, aus seinen Depotdaten eine Kaufempfehlung ableitet und Scalable die Order danach ausführt? Scalables Antwort steht in der Pressemitteilung: niemand, jedenfalls nicht Scalable. Der Satz hält aufsichtsrechtlich, und deshalb hat er Folgen. Der beratende Schritt liegt außerhalb des Perimeters, der ausführende bleibt innen, und die Schwelle zwischen beiden ist in Scalables eigener Schnittstelle ein Parameter geworden: Das offizielle CLI führt ein Flag namens --accept-unsuitable, mit dem der gesetzliche Warnhinweis vor einer nicht angemessenen Order maschinell quittiert wird.

Das Folgende behauptet keinen Rechtsverstoß, weder bei Scalable noch bei OpenAI, Anthropic oder xAI. Es beschreibt, wo die Aufsicht nach geltendem Recht endet, was das Institut behält und was es abgibt. Ob die Empfehlung eines Sprachmodells erlaubnispflichtige Anlageberatung ist, hat bis zum Redaktionsschluss am 4. September 2026 weder ein Gericht noch eine Behörde entschieden; die Frage bleibt offen und wird als offen benannt. Wo eine Aussage eigene Auslegung ist, steht das dabei.

Der Agent am Depot hat Vorläufer, die Banklizenz dahinter nicht

Der Anspruch, die erste Bank Europas zu sein, ist eng gebaut, und in dieser Enge hält er. Robinhood hat laut eigenem Newsroom am 27. Mai 2026 ein Agentic Trading in der Beta-Phase gestartet, zunächst nur für Aktien, mit eigenen MCP-Servern und einem eigens angelegten Konto. Public.com betreibt einen MCP-Server mit Orderausführung für ChatGPT, Claude und Perplexity; der Mills Review der britischen Financial Conduct Authority (FCA) führt beide US-Broker am 6. Juli 2026 als Beispiele dafür, dass Kunden ihre eigenen Agenten anschließen. Bitpanda bietet nach Angaben der FAZ seit Anfang August die Verbindung von Claude und ChatGPT per Schlüssel an, ist aber keine Bank, sondern ein von der österreichischen Finanzmarktaufsicht nach der Markets in Crypto-Assets Regulation (MiCA) zugelassener Krypto-Dienstleister. Scalable dagegen ist seit dem 10. September 2025 ein Kreditinstitut mit Zulassung der Europäischen Zentralbank; der erste Jahrestag dieser Lizenz lag sechs Tage vor Erscheinen dieses Textes.

Vorläufer hat also der Vorgang, dass ein Kunde seinem Sprachmodell den Schlüssel zum Depot gibt: in den USA seit Mai, in Wien seit August. Keinen Vorläufer hat der Zugang unter einer Banklizenz, also unter dem Regime der zweiten Finanzmarktrichtlinie (MiFID II), in dem die Ausführungsseite eigene Prüfpflichten kennt. Erik Podzuweit, Gründer und Co-CEO, nannte den Schritt gegenüber Reuters „a first step“; viele Menschen zögerten noch, ChatGPT auf ihr Portfolio schauen zu lassen. Alexander Seipp, Chief Product Officer, stellte gegenüber Fortune klar, dass es keine Partnerschaft mit OpenAI oder Anthropic gibt: „This is really a standalone offering“. Der erste Satz räumt die Unsicherheit ein, der zweite legt fest, in wessen Namen das Modell spricht: in niemandes.

Die Ausführung bleibt innen, mit allen Pflichten

Wer Scalable den Vorwurf machen will, es habe die Aufsicht ausgehebelt, findet in den Unterlagen wenig. Die Pressemitteilung beschreibt für jede Order dieselbe Sequenz wie in Web und App: Vorab liegen Ex-ante-Kosteninformation oder Basisinformationsblatt vor, „This pre-trade information is assigned an individual reference and must be explicitly confirmed“. Das CLI-README nennt die Zweistufigkeit ein Designprinzip, „Buy and sell flows are intentionally two-step“. Zahlungen sind ausgeschlossen. Eine Order über den Agenten ist auf der Ausführungsseite damit eine Order wie jede andere.

Das ist die stärkste Fassung von Scalables Position, und sie stimmt. Das Institut hat keine Pflicht der Ausführungsseite aufgegeben, es hat einen weiteren Eingabekanal geöffnet, so wie vor Jahren die App neben den Browser trat. Was die Sequenz nicht leistet, ist eine Aussage darüber, woher der Vorschlag stammt, den der Kunde bestätigt. Das Institut führt aus, was der Kunde freigibt. Was der Kunde freigibt, hat ihm jemand anderes vorgeschlagen.

Der Angemessenheits-Hinweis ist ein Parameter geworden

Das Wertpapierhandelsgesetz kennt für den Privatkunden zwei Prüfungen, und die öffentliche Diskussion nennt meist die falsche. Die Geeignetheitsprüfung nach § 64 (3) WpHG fragt nach Kenntnissen, finanziellen Verhältnissen und Anlagezielen und gilt nur für Anlageberatung und Finanzportfolioverwaltung; beides erbringt Scalable nach eigener Erklärung nicht. Für alle übrigen Dienstleistungen verlangt § 63 (10) WpHG die Angemessenheitsprüfung: Das Institut holt Kenntnisse und Erfahrungen ein, und hält es das gewünschte Instrument für nicht angemessen, hat es den Kunden nach Satz 3 darauf hinzuweisen, nach Satz 6 auch in standardisierter Form. § 63 (11) WpHG nimmt das Execution-only-Geschäft aus: Bei nicht-komplexen Instrumenten wie börsennotierten Aktien entfällt die Prüfung, wenn das Geschäft „auf Veranlassung des Kunden" erfolgt.

Nun das README. Für den Kauf eines Instruments, das Scalable für den Kunden als nicht angemessen einstuft, heißt es dort: „If phase 1 explicitly requires unsuitable acknowledgement for the buy order, --accept-unsuitable confirms that you are aware of the risks and still want to proceed.“ Das Flag heißt „unsuitable", also Geeignetheit; rechtlich quittiert es den Hinweis nach § 63 (10) S. 3 WpHG. Die Verwechslung im Namen ist verzeihlich; folgenreich ist die Mechanik: Der standardisierte Warnhinweis, den der Gesetzgeber als letzte Hürde vor dem Kauf eines Zertifikats oder Optionsscheins gesetzt hat, ist ein Kommandozeilen-Argument, das ein Sprachmodell setzen kann. Über die Schutzmechanismen, die der Kunde konfigurieren kann, erlaubte und verbotene Kennnummern, ein Höchstbetrag je Order, sagt dasselbe README: „These controls are enforced locally by the CLI only. They do not change your account permissions or backend trading permissions.“ Ob der MCP-Server dieselbe Quittung führt, lässt sich ohne Kundenzugang nicht prüfen.

Warum trägt Scalables Konstruktion trotzdem? Die Antwort steht in Erwägungsgrund 85 der MiFID II, und sie beschreibt zugleich die Lücke. Eine Dienstleistung gilt danach als auf Veranlassung des Kunden erbracht, „es sei denn, der Kunde fordert diese Leistung als Reaktion auf eine an ihn persönlich gerichtete Mitteilung der Wertpapierfirma oder im Namen dieser Firma an, mit der er zum Kauf eines bestimmten Finanzinstruments … aufgefordert oder bewogen werden soll“. Ein Sprachmodell, das der Kunde selbst verbunden hat, ist weder die Wertpapierfirma noch handelt es in ihrem Namen. Die Order bleibt also auf Veranlassung des Kunden, die Execution-only-Ausnahme greift; das ist eine Auslegung, keine Feststellung einer Behörde. Sie zeigt aber, worauf die Konstruktion beruht: Die personalisierte Kaufaufforderung, gegen die der Erwägungsgrund den Kunden schützen wollte, kommt jetzt von einem Dritten außerhalb des Perimeters, auf Basis der Depotdaten, die Scalable über den MCP-Server herausgibt.

Tatbestandlich ist die Empfehlung Beratung, nur der Dienstleister fehlt

Anlageberatung ist nach § 2 (8) Nr. 10 WpHG die Abgabe persönlicher Empfehlungen zu Geschäften mit bestimmten Finanzinstrumenten, sofern die Empfehlung auf eine Prüfung der persönlichen Umstände gestützt oder als für den Anleger geeignet dargestellt wird. Das BaFin-Merkblatt zur Anlageberatung vom Februar 2025 zieht die Grenze zur Information so: „An einer Empfehlung fehlt es bei bloßen Informationen, z.B. wenn der Dienstleister dem Kunden lediglich Erläuterungen über dessen in Finanzinstrumenten angelegtes Vermögen gibt, ohne dabei konkrete Vorschläge zur Änderung der Zusammensetzung dieses Vermögens zu unterbreiten.“ Es genügt nach demselben Merkblatt, „dass der Dienstleister zurechenbar den Anschein setzt, bei der Abgabe der Empfehlung die persönlichen Umstände des Anlegers berücksichtigt zu haben“. Ein Modell, das das gesamte Depot liest und eine Umschichtung vorschlägt, erfüllt jedes dieser Merkmale.

Was das Merkblatt nicht sagt, ist, wer in diesem Fall der Dienstleister ist. Es kennt Unternehmen und Personen; ein Sprachmodell kommt in ihm nicht vor, ebenso wenig die Frage, ob ein Agent im Namen des Kunden dessen „Vertreter" im Sinne der Definition ist. Die Modellanbieter haben in ihren eigenen Regeln geantwortet, nur nicht für diesen Fall. OpenAIs Usage Policies vom 29. Oktober 2025 verbieten die „automation of high-stakes decisions in sensitive areas without human review“, darunter ausdrücklich Finanzaktivitäten. Anthropics Usage Policy vom 15. September 2025 führt Anlageberatung als Hochrisiko-Anwendung und verlangt, dass „a qualified professional in that field must review the content or decision prior to dissemination or finalization“; Adressat ist der Entwickler, der Claude in ein Produkt einbaut, nicht der Kunde mit eigenem Konnektor. Scalables Freigabeschritt erfüllt das Wort beider Policies und verfehlt ihren Sinn, so die eigene Lesart: Der Mensch, der prüft, ist der Kunde selbst.

Wer nach Gerichten sucht, findet Stille. Urs Böckelmann, Rechtsanwalt bei drrp, hat im Interview mit Cash. vom 16. Juni 2026 gesagt, im Zusammenhang mit dem Einsatz von KI im Finanzvertrieb seien „noch keine Entscheidungen oder gerichtlichen Hinweise bekannt“; die Letztverantwortung liege weiter „beim Anlagevermittler beziehungsweise -berater“. Er spricht dort über Berater, die KI als Werkzeug einsetzen. Im Fall von Scalable gibt es keinen Berater. Die Letztverantwortung, die Urs Böckelmann meint, hat hier keinen Adressaten.

Die Haftungsformel stammt aus den USA, das Prüfregime nicht

Scalables Haftungsausschluss ist keine Münchner Erfindung. Robinhood schrieb am 27. Mai 2026: „Robinhood does not control, supervise, monitor, recommend, or audit these AI agents.“ Public.com verwendet auf seiner MCP-Seite wortgleich dieselbe Formel. Scalables englische Produktseite verdichtet sie: „Scalable does not review or monitor your AI agent and does not provide investment advice. Your AI agent's responses and actions are subject exclusively to the terms of the respective provider. You bear the risks of investing.“ Die Formel stammt aus dem US-Brokerage für selbstbestimmte Anleger, wo die Suitability-Pflicht an eine Empfehlung des Brokers anknüpft und ein reines Ausführungsgeschäft keine Angemessenheitsprüfung kennt. Übertragen wurde sie in ein Regime, das diese Prüfung auf der Ausführungsseite vorschreibt.

Wie weit ein solcher Ausschluss trägt, hat der Bundesgerichtshof für den analogen Fall entschieden, am 19. März 2013 unter dem Aktenzeichen XI ZR 431/11: Eine Direktbank bot nur Execution-only an, beraten hatte ein Dritter, das Accessio Wertpapierhandelshaus. Nach dem ersten Leitsatz kommt mit einer Bank, die ausdrücklich allein Execution-only anbietet, grundsätzlich kein stillschweigender Beratungsvertrag zustande, und Beratungsfehler des vom Anleger beauftragten Dritten werden ihr über § 278 BGB in der Regel nicht zugerechnet. Der zweite Leitsatz setzt die Grenze: Gleichwohl könne eine „haftungsbewehrte Warnpflicht als Nebenpflicht (§ 241 Abs. 2 BGB) der Execution-only-Dienstleistung bestehen, wenn die kundenfernere Direktbank die tatsächliche Fehlberatung des Kunden bei dem in Auftrag gegebenen Wertpapiergeschäft entweder positiv kennt oder wenn diese Fehlberatung aufgrund massiver Verdachtsmomente objektiv evident ist“. Die Beweislast trägt nach dem dritten Leitsatz der Anleger.

Die Übertragung liegt nahe: Scalable ist die Direktbank, das Modell der beratende Dritte, und der Haftungsausschluss auf der Produktseite spiegelt den ersten Leitsatz fast wörtlich. Die Analogie hat eine Bruchstelle. Der Dritte war 2013 ein zugelassenes Wertpapierdienstleistungsunternehmen; der Leitsatz spricht von der gestaffelten Einschaltung mehrerer solcher Unternehmen. Ein Sprachmodell ist keines, und ob die Warnpflicht enger oder weiter wird, wenn der Dritte gar nicht reguliert ist, hat kein Gericht entschieden. Sicher ist nur die Richtung der Anreize: Eine Warnpflicht, die an Kenntnis oder Evidenz anknüpft, trifft ein Institut, das erklärtermaßen nicht hinsieht, zunächst nicht. Ob sie es auf Dauer nicht trifft, ist die offene Frage dieses Textes.

PSD2 hat dieselbe Konstellation für Zahlungskonten mit Lizenz und Haftung geregelt

Dass Dritte mit Zustimmung des Kunden auf sein Konto zugreifen und dort Aufträge auslösen, ist im europäischen Finanzrecht seit Jahren geregelt, nur nicht für Depots. Die zweite Zahlungsdiensterichtlinie (PSD2, Richtlinie (EU) 2015/2366) hat den Drittzugriff auf Zahlungskonten mit drei Bausteinen versehen, die dem MCP-Depotzugang alle fehlen. Erstens die Lizenzkategorie: Wer Kontodaten abruft oder Zahlungen auslöst, braucht eine Zulassung als Kontoinformations- oder Zahlungsauslösedienst, in Deutschland nach § 1 (1) S. 2 Nr. 7 und 8 ZAG. Zweitens die Schnittstelle, die das Institut bereitstellt und deren Nutzer es kennt. Drittens die zwingende Haftung: Nach Art. 73 PSD2 erstattet das Institut einen nicht autorisierten Zahlungsvorgang ohne Verschuldensprüfung, nach Art. 74 trägt der Kunde den Schaden nur bei grober Fahrlässigkeit oder Vorsatz.

Der MCP-Depotzugang hat die Schnittstelle und die Zustimmung. Die Lizenzkategorie fehlt, denn OpenAI, Anthropic und xAI sind keine Wertpapierdienstleistungsunternehmen; die zwingende Haftung fehlt, denn der Zugriff läuft über die Verbraucherverträge der drei Anbieter, deren Bedingungen Scalable in seinem Hinweis für maßgeblich erklärt. Bitpanda liegt mit Schlüssel und Rechtestufen näher an der PSD2-Logik als Scalable mit OAuth, Zwei-Faktor-Authentifizierung und Bestätigung je Order, aber auch dort sagt Mitgründer Christian Trummer in der FAZ den Satz, der die Konstruktion ehrlicher beschreibt als jeder Haftungsausschluss: „Das können wir technisch gar nicht kontrollieren, was der Agent macht und was die Anweisungen im Prompt waren.“

Die Branche hat diese Frage schon einmal beantwortet, vor rund zehn Jahren, mit dem Gegenteil. Die Robo-Advisor des vergangenen Jahrzehnts, Scalable selbst begann 2014 als einer von ihnen, waren die zugelassene Wertpapierfirma; die BaFin schreibt auf ihrer Verbraucherseite, Robo-Advice könne rechtlich „als Anlageberatung, Finanzportfolioverwaltung, Abschlussvermittlung oder Anlagevermittlung erfolgen“, in jedem Fall also erlaubnispflichtig. Der Roboter von 2014 war lizenziert. Die Roboter von 2026 sind es nicht, und Scalable gibt ihnen den Schlüssel. Die Financial Data Access Regulation (FiDA), deren Trilog nach einem Non-Paper vom 6. April 2026 noch offen war, würde für Depotdaten eine Lizenzkategorie schaffen, wie an anderer Stelle beschrieben; sie regelt den Datenzugang, nicht die Empfehlung.

Die Aufsicht schläft nicht, sie hat sich einen Termin gesetzt

Von BaFin oder ESMA gibt es bis zum 4. September 2026 keine Stellungnahme zu Scalables Öffnung; gesucht wurde in den Pressebereichen beider Behörden und im Newsroom des Instituts. Was es gibt, zielt daneben. Das ESMA-Statement vom 30. Mai 2024 hält fest, Entscheidungen der Firmen blieben Sache ihrer Geschäftsleitung, „irrespective of whether those decisions are taken by people or AI-based tools“; gemeint sind die Mitarbeiter der Firmen, die ChatGPT nutzen, nicht deren Kunden. Die BaFin nennt in ihren Risiken im Fokus 2026 ein „growing risk of homogeneous investment behaviour based on identical or similar recommendations from the models“ und beaufsichtigt KI-Systeme nach eigener Aussage bereits nach geltendem Recht; die Marktüberwachung nach dem KI-Marktüberwachungsgesetz kommt seit dem 29. Juli 2026 hinzu, wie hier beschrieben.

Am weitesten ist London. Die FCA hat am 6. Juli 2026 den Mills Review veröffentlicht, 147 Seiten, geleitet von ihrem Executive Director Sheldon Mills im Auftrag des FCA Board, also die Selbstbefragung der Behörde, keine externe Prüfung. Der Review misst, dass rund 26 Prozent der britischen Erwachsenen allgemeinen Werkzeugen wie ChatGPT, Claude oder Gemini bei Finanzfragen vertrauen, „despite limited awareness that formal routes to recourse will not apply“, und dass jeder Fünfte offen dafür ist, eine KI für sich entscheiden zu lassen. Er beschreibt die Konstellation dieses Artikels als Wettbewerbsproblem: Regulierte Firmen unterlägen Wohlverhaltensregeln, während Plattformen und Modellanbieter vergleichbaren Einfluss ohne gleichwertige Pflichten ausübten, ein „uneven playing field“.

Die erste Empfehlung des Reviews lautet, die FCA solle den Perimeter für KI-vermittelte Finanzdienstleistungen sichern und dafür „within three to six months of the date of this report“ eine Prüfung der allgemeinen Sprachmodelle außerhalb des Perimeters beginnen, also zwischen Oktober 2026 und Januar 2027. Und er benennt, was ein Agent im Namen eines Verbrauchers mindestens braucht: gültige Anweisungen, „structured and verifiable mandates (scope, limits and revocation)“ und eine Verknüpfung mit der Identität des Auftraggebers. Das ist Großbritannien, und der Review ist eine Empfehlung an die eigene Behörde, kein Rechtsakt. Die Perimeterfrage stellt sich unter MiFID II aber wörtlich gleich, und die Retail Investment Strategy, im November 2026 im Plenum des Europäischen Parlaments zur Abstimmung, wurde im Dezember 2025 geeinigt, ein halbes Jahr bevor der erste Broker seinen Agentenzugang öffnete. Singapur hat die Frage, wie an anderer Stelle beschrieben, mit Erwartungen statt Pflichten beantwortet. Der Termin, den sich die FCA gesetzt hat, ist der einzige, der zu dieser Frage im Kalender steht.

Handlungsempfehlungen

Begriffserklärung