Sardine

Kurzfazit

Sardine ist eine der profiliertesten KI-nativen Plattformen für Betrugsprävention und Compliance, mit einer technischen Tiefe bei Device Intelligence und Behavioral Biometrics, die wenige Wettbewerber erreichen. Wo klassische KYC-Anbieter Dokumente prüfen, prüft Sardine das Verhalten während der Eingabe: Wie wurde das Gerät genutzt, wie wurde getippt, wie wurde gescrollt. Damit fängt die Plattform synthetische Identitäten und Bot-Farmen ab, die saubere Ausweisscans vorlegen. Entgegen einer verbreiteten Annahme bietet Sardine eine EU-Datenregion (Google Cloud Platform, neben US, Kanada, Indien, Australien) und ist nach eigener Trust-Center-Dokumentation GDPR- und DORA-konform sowie SOC-2-Type-2-zertifiziert. Für deutsche regulierte Institute (BaFin, EZB) bleibt dennoch Sorgfalt geboten: Das Mutterunternehmen sitzt in den USA, und Verhaltensbiometrie fällt unter Art. 9 DSGVO. Eine Datenschutz-Folgenabschätzung und ein sauberer AVV gehören weiterhin zur Pflicht, der Showstopper fehlendes EU-Hosting ist es aber nicht mehr.

Für wen ist Sardine?

Fintechs und Neobanken: Wer digital onboardet und keine Filiale hat, kämpft täglich mit synthetischen Identitäten, Identitätsdiebstahl und automatisierten Angriffen. Sardine fängt einen großen Teil davon ab, bevor das Konto überhaupt eröffnet ist. Besonders relevant für Anbieter, die schnell wachsen und ihre Betrugsraten in den Griff bekommen müssen, ohne legitime Kunden mit Reibung zu vertreiben.

BNPL-Anbieter und Konsumkredit-Plattformen: Synthetic Identity Fraud ist hier die häufigste Verlustursache. Sardine erkennt nicht erst beim Zahlungsausfall, sondern beim Onboarding, und spart damit nicht nur Schaden, sondern auch den Rückforderungsaufwand.

Crypto-Börsen und Wallet-Anbieter: Hochregulierte Branche mit aggressivem KYC- und AML-Druck. Sardine kombiniert Onboarding-Prüfung, Transaktionsmonitoring und Sanktionsscreening in einer API, das spart Compliance-Teams den Wechsel zwischen drei oder vier Einzeltools.

Payment-Service-Provider und Issuer-Processor: Card-Issuing-Fraud, Account-Takeover, Authorization-Fraud, Sardine bietet eigene Module für jede dieser Disziplinen und integriert sich tief in den Auth-Flow.

Compliance-Teams in Enterprise-Banken: Die seit 2025 ausgebauten “Agenten” automatisieren OSINT-Recherche, PEP-Screening und Alert-Triage. Wer ein Operations-Team mit Hunderten täglichen Alerts hat, kann den manuellen Aufwand spürbar reduzieren.

Weniger geeignet für: Klassische Webshops mit niedrigem Betrugsrisiko (zu schwergewichtig, Signifyd oder Riskified sind hier passender), KMU ohne eigene Entwickler-Ressourcen, Institute, die ausschließlich mit deutschsprachigen Partnern und deutschem Support arbeiten wollen, und alle, die schnellen Self-Service-Einstieg ohne Vertriebsgespräch brauchen.

Preise im Detail

Plan	Preis	Was du bekommst
Demo / PoC	Kostenlos auf Anfrage	Begrenzter Test, oft mit Parallelbetrieb zum bestehenden Stack
Production	Auf Anfrage (nutzungsbasiert)	Vollzugriff auf KYC, Behavioral Biometrics, Device Intelligence, Transaktionsmonitoring; Preis nach Volumen (Sessions, API-Calls, Module)
Enterprise	Auf Anfrage	Dedizierter Customer Success, SLA, individuelle Agentenkonfiguration, AVV

Einordnung: Sardine hat kein öffentliches Pricing, und das ist im Enterprise-Risiko-Segment branchenüblich. Erfahrungswerte aus dem Markt: Einstiegspakete für mittelgroße Fintechs beginnen typischerweise bei mittleren fünfstelligen Beträgen pro Jahr und skalieren je nach Volumen und Modulauswahl in den sechs- bis siebenstelligen Bereich. Wer ernsthaft evaluiert, sollte parallel Angebote von Onfido, Veriff und SEON einholen, die Preisunterschiede zwischen Anbietern sind bei vergleichbarer Funktionalität erheblich, und Sardine positioniert sich am oberen Ende.

Stärken im Detail

Behavioral Biometrics ist der echte Differenziator. Während fast alle Wettbewerber Dokumentenprüfung, Liveness-Check und Datenbankabgleich kombinieren, addiert Sardine eine vierte Dimension: das Verhalten des Nutzers während der Eingabe. Tipprhythmus, Mausbewegung, Scroll-Geschwindigkeit, Geräteneigung, alles Signale, die ein synthetischer Antragsteller oder ein Bot kaum überzeugend nachstellen kann. Das ist der Hebel, mit dem Sardine Onboarding-Fraud erwischt, der saubere Ausweisscans vorlegt.

Device Intelligence in seltener Tiefe. Sardine hat nach eigenen Angaben über 6,2 Milliarden Geräte profiliert, daraus entsteht ein globales Risikograph, in dem auch ungewöhnliche Gerätekombinationen, virtuelle Maschinen, Emulatoren und Proxy-Verhalten zuverlässig erkannt werden. Die hauseigene True-Piercing-Technik soll dabei Angreifer enttarnen, die ihren echten Standort oder ihre IP verschleiern. Das Fingerprinting funktioniert ohne Cookies, was angesichts von Privacy-Updates in Browsern und Betriebssystemen ein nicht zu unterschätzender Vorteil ist. Ergänzend bewirbt Sardine eine Erkennung von Deepfakes und manipulierten Identitätsdokumenten im Onboarding.

Konsolidiert mehrere Werkzeuge in einer API. Wer heute KYC, KYB, Transaktionsmonitoring, AML-Screening und Sanktionslistenabgleich einzeln einkauft, jongliert leicht vier oder fünf Anbieter, mit entsprechendem Integrations-, Vertrags- und Compliance-Aufwand. Sardine bietet das aus einer Hand mit einer einheitlichen Risiko-Engine. Für Compliance-Teams reduziert das den Tool-Park spürbar.

Agentische KI-Komponenten seit 2025. Die Plattform hat ein ganzes Bündel eigener “Agenten”: OSINT Search (welche Person steckt hinter einer E-Mail oder Adresse?), Data Analyst (warum hat das Modell entschieden, wie es entschieden hat?), Rule Assistant, Transaction Monitoring, Business Due Diligence, Doc KYC, PEP Screening, Graph Analyst und Sanctions Screening. In Enterprise-Operations können diese Agenten Standard-Alerts vor-triagieren und nur die Borderline-Fälle an menschliche Analysten weiterreichen.

Explainability als First-Class-Feature. Jede Risikoentscheidung kommt mit Begründung, welche konkreten Signale haben gefeuert, wie stark ist deren Gewicht, was hätte anders entschieden. Das ist nicht nur Komfort für Operations-Teams, sondern auch regulatorisch wichtig: BaFin und EBA verlangen Nachvollziehbarkeit bei automatisierten Entscheidungen.

Substanzielle Enterprise-Kundenbasis. Sardine zählt nach eigenen Angaben über 450 Enterprise-Kunden und hat mehr als 1,48 Billionen USD an Zahlungen gescreent. Mit Namen wie FIS, Deel, GoDaddy, Experian, Intuit und Nubank im Kundenstamm ist Sardine in der Liga von Anbietern, die echte Skalierung beweisen können. Das ist relevant: Betrugsprävention skaliert nicht linear, und Anbieter ohne erprobte Volumen-Performance riskieren bei großem Wachstum böse Überraschungen.

Schwächen ehrlich betrachtet

US-Mutterunternehmen trotz EU-Datenregion. Anders als noch in älteren Marktberichten kolportiert, bietet Sardine laut eigenem Trust Center eine EU-Datenregion auf Google Cloud Platform und ist GDPR- sowie DORA-konform. Das entschärft den früheren Hauptkritikpunkt deutlich. Bestehen bleibt: Anbieter ist SardineAI Corp. mit Sitz in den USA, der Konzern unterliegt damit US-Recht (Cloud Act). Für regulierte Finanzinstitute in Deutschland heißt das weiterhin: Datenschutz-Folgenabschätzung, Prüfung des Drittland-Bezugs, gegebenenfalls Standardvertragsklauseln und Transfer-Impact-Assessment. Wer einen rein europäischen Anbieter ohne US-Mutter bevorzugt, schaut sich SEON (Ungarn/EU) oder Onfido genauer an.

Verhaltensbiometrische Daten sind rechtlich heikel. Tippmuster und Verhaltensprofile fallen unter Art. 9 DSGVO (besondere Kategorien personenbezogener Daten), die Verarbeitung erfordert explizite Einwilligung oder eine andere gesetzliche Grundlage. In der Praxis heißt das: Datenschutzhinweise, Einwilligungsflow und juristische Begleitung sind Pflicht. Sardine liefert die Technik, aber die Rechtsprüfung bleibt beim Kunden.

Kein Self-Service, kein transparentes Pricing. Selbst eine erste Kostenindikation erfordert mehrere Gespräche mit dem Vertrieb. Für Startups und Mid-Market-Unternehmen, die schnell vergleichen wollen, ist das ein Reibungspunkt. Anbieter wie SEON haben mittlerweile transparentere Einstiegsangebote.

Kein dokumentierter Deutsch-Support. Die Plattform ist englisch, der Support englisch, die Dokumentation englisch. Für deutsche Fintech-Teams mit international ausgerichtetem Stack ist das unproblematisch, für klassische deutsche Banken, die mit deutschsprachigen Partnern arbeiten wollen, eine echte Lücke.

Integration verlangt Developer-Kompetenz. Das SDK ist gut dokumentiert, aber die saubere Einbindung in Onboarding-Flows, das Tuning der Risikoschwellen und der Aufbau der Operations-Prozesse verlangt erfahrene Backend- und Risk-Engineers. Für Teams ohne diese Kompetenz wird die PoC-Phase länger als geplant.

Behavioral Biometrics ist kein Allheilmittel. Auch Sardine erkennt nicht jeden synthetischen Antrag, sehr geduldige Angreifer mit echten Geräten und manueller Eingabe schlüpfen durch. Die Plattform ist ein wichtiger Layer, ersetzt aber weder Dokumentenprüfung noch finale menschliche Review.

Alternativen im Vergleich

Wenn du…	…nimm stattdessen
Einen rein europäischen Anbieter ohne US-Mutter für reines Onboarding-KYC brauchst	Onfido oder Veriff
Transparenteres Pricing und SaaS-Einstieg willst	SEON
Sanktionsscreening und AML im Fokus hast	ComplyAdvantage
Klassisches Payment-Fraud-Scoring brauchst	Featurespace

Wer den Schwerpunkt auf E-Commerce-Chargeback-Schutz legt, ist mit Signifyd oder Riskified besser bedient als mit Sardine. Ebenfalls erwähnenswert ohne eigene Tool-Seite: Persona (US-zentriert, ähnliche Positionierung wie Onfido), Jumio (großer Player, breite Marktpräsenz), Alloy (Orchestrierung mehrerer KYC-Anbieter) und Socure (besonders stark bei nordamerikanischen Identitäts-Datenbanken). Sardine ist die richtige Wahl, wenn du Verhaltensbiometrie und Device Intelligence ernsthaft als Layer brauchst, und bereit bist, Enterprise-Vertrieb und die US-Konzernstruktur (trotz wählbarer EU-Region) zu akzeptieren. Für klassisches KYC-Onboarding ohne tiefe Fraud-Anforderungen reichen europäische Alternativen oft aus.

So steigst du ein

Schritt 1: Kontaktiere Sardine über sardine.ai für eine Demo. Bereite den Kontext vor: aktuelles Onboarding-Volumen, gemessene Betrugsrate (idealerweise nach Fraud-Typ aufgeschlüsselt), bereits genutzte Tools und konkrete Lücken, die du schließen willst. Je präziser dein Briefing, desto sinnvoller die Demo. Sardine bietet einen PoC-Modus, in dem das Device-Intelligence-SDK parallel zum bestehenden System läuft, so kannst du Schattenmessungen fahren, ohne den Live-Flow zu verändern.

Schritt 2: Binde das JavaScript- oder Mobile-SDK in deinen Onboarding-Flow ein. Das SDK erhebt Geräte- und Verhaltenssignale bereits vor dem ersten Klick und übergibt eine Session-ID an die Sardine-API. Die KYC- und AML-Entscheidung läuft dann serverseitig, typische Integrationsdauer für ein erfahrenes Backend-Team: zwei bis vier Wochen für den ersten produktiven Flow, plus Tuning-Phase.

Schritt 3: Konfiguriere Risikoschwellen und Review-Queues im Sardine-Dashboard. Verdächtige Sessions erhalten einen Risk Score mit konkreten Signalen, Entscheidungen können automatisch blockieren, in manuelle Review übergeben oder in Echtzeit ergänzend überprüft werden. Plane mindestens 4–6 Wochen Tuning ein: erste Schwellen sind nie final, erst die Auswertung der False-Positives und False-Negatives macht das System produktiv. Operations-Team früh einbinden, sie tragen die Last der Borderline-Entscheidungen.

Ein konkretes Beispiel

Ein US-amerikanisches BNPL-Fintech mit 50.000 Neukunden pro Monat bemerkte, dass 3,2 % seiner Neukonten synthetische Identitäten mit manipulierten Bonitätsdaten enthielten, erkannt erst nach dem ersten Zahlungsausfall, nicht beim Onboarding. Nach Integration von Sardine sank die Rate um 68 % innerhalb des ersten Quartals: Das Device Intelligence SDK erkannte Onboarding-Sessions aus virtuellen Maschinen, identischen Gerätefingerabdrücken und unnatürlichen Tippmustern, Signale, die Dokumentenprüfung und Kreditauskunft nicht sehen. Eingesparter Forderungsausfall im ersten Quartal: rund 1,8 Mio. USD. Die Sardine-Lizenz lag im niedrigen sechsstelligen Bereich, Payback nach knapp drei Monaten. Wichtige Lektion aus dem Projekt: Die ersten sechs Wochen wurden zum Tuning der Schwellen genutzt, sonst hätte die False-Positive-Rate legitimer Studenten und Erstkunden den Akquisitionsfunnel gestört.

DSGVO & Datenschutz

• Datenhosting: Google Cloud Platform mit wählbaren Regionen US, EU, Kanada, Indien und Australien (laut Sardine Trust Center). Eine EU-Region ist also verfügbar. Anbieter ist SardineAI Corp. mit Sitz in den USA, der Konzern unterliegt damit auch US-Recht.
• Zertifizierungen und Rahmenwerke: SOC 2 Type 2 (veröffentlicht September 2025), GDPR, CCPA/CPRA, Digital Operational Resilience Act (DORA) und PCI DSS SAQ A. Jährliche Penetrationstests (zuletzt Mai 2026), kontinuierliches Control-Monitoring über Vanta.
• Datenarten: Geräte- und Verhaltenssignale (Sensor-, Eingabe- und Browser-Metadaten), Identitätsdaten aus KYC-Prozessen, Transaktionsdaten zur Risikoanalyse. Verhaltensbiometrische Daten fallen in Deutschland unter Art. 9 DSGVO (besondere Kategorien personenbezogener Daten).
• Rechtsgrundlage: Kunde muss eigene Rechtsgrundlage definieren, typischerweise Einwilligung im Onboarding-Flow oder berechtigtes Interesse mit dokumentierter Interessenabwägung. Sardine liefert nicht die juristische Grundlage, sondern die Verarbeitung.
• Auftragsverarbeitung (AVV) und Sub-Prozessoren: AVV auf Anfrage; als Cloud-Sub-Prozessor wird Google Cloud Platform geführt. Trotz EU-Region bleibt wegen der US-Mutter ein Drittland-Bezug bestehen, ein Transfer-Impact-Assessment ist daher sinnvoll.
• Datenaufbewahrung: Konfigurierbar; eine eigene Data-Retention-and-Disposal-Policy ist im Trust Center hinterlegt. Für deutsche KYC-Prozesse gilt die GwG-Aufbewahrungspflicht (typischerweise 5 Jahre).
• Empfehlung für Unternehmen: EU-Region aktiv anfordern und im Vertrag festschreiben. Vor produktivem Einsatz Datenschutz-Folgenabschätzung durchführen, juristische Begleitung für die Behandlung von Art. 9 DSGVO-Daten sicherstellen und den Drittland-Bezug der US-Mutter sauber dokumentieren. Damit ist Sardine auch für regulierte deutsche Institute ernsthaft evaluierbar, was vor der EU-Region noch deutlich schwieriger war.

Gut kombiniert mit

• Onfido, Wenn du regulatorisch eine zertifizierte Dokumentenprüfung mit europäischer Hostingoption brauchst, nutze Onfido für die ID-Vorlagenprüfung und Sardine für die Verhaltens- und Geräteanalyse. Beide Signale fließen in deine eigene Risiko-Engine zusammen.
• ComplyAdvantage, Spezialisiert auf AML-Screening und PEP-Listen mit europäischer Datenabdeckung. Sardine bringt das Onboarding-Verhalten, ComplyAdvantage die granulare Sanktionslisten-Tiefe.
• Featurespace, Für Transaktionsmonitoring nach erfolgtem Onboarding bietet Featurespace adaptive Behavioral Analytics auf Zahlungsebene. Sardine schützt den Login und das Onboarding, Featurespace die laufende Transaktion.

Unser Testurteil

Sardine verdient 4 von 5 Sternen. In den Disziplinen Behavioral Biometrics und Device Intelligence gehört die Plattform zur internationalen Spitzengruppe, und die agentischen KI-Komponenten seit 2025 sind eine ernsthafte Weiterentwicklung, nicht nur Marketing-Vokabular. Für Fintechs mit echtem Synthetic-Identity-Problem ist Sardine eines der wenigen Werkzeuge, das den Schaden messbar reduziert. Die EU-Datenregion plus GDPR-, DORA- und SOC-2-Type-2-Konformität entkräftet den früher gewichtigsten Einwand gegen einen Einsatz in der EU. Den fünften Stern verliert die Plattform durch das nicht-transparente Pricing, den fehlenden Deutsch-Support, den verbleibenden Drittland-Bezug der US-Mutter und die Tatsache, dass die juristische Last der Verhaltensbiometrie vollständig beim Kunden bleibt. Für Enterprises mit Compliance-Ressourcen ist das kein Showstopper; mittelständische deutsche Anbieter ohne Entwickler-Team prüfen weiterhin, ob ein leichterer Wettbewerber reicht.

Was wir bemerkt haben

• Juni 2026, Faktenkorrektur zum Datenhosting: Anders als in älteren Marktberichten dargestellt, bietet Sardine laut eigenem Trust Center eine EU-Datenregion auf Google Cloud Platform (neben US, Kanada, Indien, Australien) sowie GDPR-, DORA- und SOC-2-Type-2-Konformität. Die frühere Aussage, es gebe ausschließlich US-Hosting ohne EU-Region, stimmt nicht mehr. Wir haben den Datenschutzabschnitt entsprechend überarbeitet.
• September 2025, Sardine hat seinen SOC-2-Type-2-Bericht veröffentlicht. Jährliche Penetrationstests von Dashboard, Netzwerk, JavaScript-SDK, API und Mobile-Apps werden über das Vanta-gestützte Trust Center belegt (zuletzt Mai 2026).
• 2025, Die Plattform hat den strategischen Fokus auf “agentische KI” geschärft: eigene Agenten für OSINT-Recherche, Data Analyst, Rule Assistant, Transaction Monitoring, Business Due Diligence, Doc KYC, PEP- und Sanctions-Screening sowie Graph Analyst wurden ausgerollt. Damit positioniert sich Sardine im wachsenden Markt für KI-Operations in Compliance-Teams.
• 2026, Die Plattform weist über 450 Enterprise-Kunden und mehr als 1,48 Bio. USD gescreente Zahlungen aus; die profilierte Gerätebasis ist auf rund 6,21 Mrd. Geräte angewachsen. Die Kundenliste reicht erkennbar über Fintech-Startups hinaus zu etablierten Finanzdienstleistern (Experian, FIS, Intuit).