Sind meine Daten sicher?

Daten bleiben auf deinem Gerät

Das Kernkonzept von Capitally besteht darin, dass all deine Daten verschlüsselt und auf deinem Gerät gespeichert werden. Unsere Server speichern lediglich eine Kopie deines Projekts, um es zwischen Geräten zu synchronisieren. Da aber nur du Zugriff auf die Verschlüsselungsschlüssel hast, können wir die tatsächlichen Daten nicht sehen – und es ist völlig in Ordnung, wenn du diese Sync-Anfragen blockierst.

Konkret liegt diese Kopie in der eigenen Datenbank deines Browsers für die Website (IndexedDB) und nicht als Datei, die du im Finder oder Explorer öffnen kannst. Auch dort ist sie verschlüsselt – der Klartext existiert nur im Arbeitsspeicher, solange du die App geöffnet hast. Jeder Browser nutzt seinen eigenen Speicher, und die installierte App hat einen separaten Speicher, der unabhängig von dem Browser ist, aus dem du sie installiert hast (siehe Desktop- & Mobile-App). Deshalb beginnt das Anmelden auf einem neuen Gerät mit einer erneuten Synchronisierung und zeigt nicht sofort alle Daten an.

Zwei Konsequenzen, die du kennen solltest: Wenn du eine Kopie zum Aufbewahren möchtest, erstelle einen JSON-Export – siehe Sichern und Wiederherstellen deines Projekts. Und wenn zwei Geräte unterschiedliche Zahlen anzeigen, liegt das eher an einem Synchronisations- oder Preis-Cache-Problem auf einem der Geräte als an einem Datenfehler – siehe Fehlerbehebung für die App.

Das Einzige, was wir „sehen", sind die Marktsymbole, mit denen du interagiert hast – nach denen du gesucht oder deren Kurse du abgerufen hast – aber wir verknüpfen das nicht mit deinem Konto.

Capitally ist außerdem ein Portfolio-Tracker ohne Plaid, Yodlee oder einen anderen Broker-Aggregator. Wir fragen nicht nach deinem Broker-Benutzernamen und -Passwort und lesen dein Bankkonto nicht aus. Importe erfolgen ausschließlich über direkten Datei-Upload (CSV/XLS/XML/JSON) oder manuelle Eingabe. Das ist eine Entscheidung für den Datenschutz, aber auch für die Genauigkeit – Broker-CSV-Exporte reichen bis zum Eröffnungstag des Depots zurück und enthalten Kapitalmaßnahmen, Dividenden-Reinvestitionen und FX-Umrechnungen, die Aggregatoren typischerweise verlieren. Genau diese Details sind die Grundlage für einen korrekten Einstandspreis (und eine Steuererklärung).

Projekte werden standardmäßig verschlüsselt

Jedes Capitally-Projekt nutzt clientseitige AES-256-Verschlüsselung (AES-GCM) mit Schlüsseln, die per PBKDF2 aus deinem Passwort abgeleitet und durch RSA-OAEP-Key-Wrapping geschützt werden. Das ist Zero-Knowledge-Verschlüsselung: Die Verschlüsselungsschlüssel verlassen dein Gerät nie, und unsere Server speichern nur Chiffretext.

Durch die Verschlüsselung deiner Daten schützen wir sie vor:

• unbefugtem Zugriff auf Daten in unseren Datenbanken – durch Mitarbeiter, Hacker oder Behörden
• unbefugtem Zugriff auf deinem Gerät – jedoch nur, solange du das Profil deines Browsers vor direktem Zugriff schützt und bei der Anmeldung nicht die Option „Anmeldedaten merken" wählst

Wir können deine Daten nicht schützen vor:

• Supply-Chain- oder Man-in-the-Middle-Angriffen, bei denen Angreifer unseren Quellcode ersetzen
• unberechtigten Schreib- oder Löschvorgängen in unseren Datenbanken oder auf dem Client-Gerät
• Erkennung von Projektaktivität – Projekt-Metadaten wie Operationstyp (Transaktion erstellt, aktualisiert, gelöscht usw.) und Zeitstempel (wann du die Änderung vorgenommen hast, nicht die eigentliche Transaktion) sind nicht verschlüsselt

So funktioniert die Verschlüsselung

Beim Erstellen eines Projekts hast du die Wahl zwischen drei Verschlüsselungsmodi:

1. Benutzerpasswort – wenn du dich anmeldest, verwenden wir PBKDF2, um aus deinem eingegebenen Passwort zwei Passwörter mit zwei separaten Salts abzuleiten. Das erste Passwort authentifiziert dich, sodass unsere Auth-Server (Google Identity Platform) dein getipptes Passwort nie erhalten, und das zweite lässt sich nicht daraus ableiten. Das zweite Passwort verschlüsselt (mit AES-GCM) eine Reihe privater Schlüssel, die für die Projektverschlüsselung genutzt werden. Du kannst diesen Schlüssel sicher in deinem Browser speichern, damit du ihn nicht erneut eingeben musst.
2. Projektpasswort – wie oben, aber du legst ein separates Projektpasswort fest, aus dem der Verschlüsselungsschlüssel abgeleitet wird, getrennt von deinem Login.
3. Remote Key – sobald du dich anmeldest, ruft die App einen Verschlüsselungsschlüssel vom Server ab. Der Schlüssel ist nicht in der Datenbank gespeichert; er wird on the fly aus deinen Zugangsdaten, einem Salt und unserem eigenen privaten Schlüssel abgeleitet. Der Endpunkt, der diesen privaten Schlüssel hält, ist von allen anderen Endpunkten getrennt.

Was die einzelnen Modi auf dem Anmeldebildschirm bedeuten – welchen ein Google-Anmeldekonto standardmäßig erhält und was beim Logout gelöscht wird – erfährst du unter Dein Konto & Anmelden.

Jeder Projektbenutzer (das System ist auf Projektfreigabe vorbereitet, auch wenn heute nur ein Benutzer unterstützt wird) hat ein RSA-OAEP-Schlüsselpaar. Der private Schlüssel wird mit dem oben genannten Hauptverschlüsselungsschlüssel verschlüsselt und dient dazu, Share Keys (ein weiterer AES-GCM) zu entschlüsseln, die wiederum Projektdaten ver- und entschlüsseln. Pro Projekt kann es mehrere Share Keys geben – z. B. einen für jeden Datensatz, der zwischen denselben Benutzern geteilt wird.

Der öffentliche Schlüssel wird verwendet, um Share Keys zu verschlüsseln, die an den Benutzer ausgegeben werden, und um vom Backend erzeugte Nachrichten (z. B. neue Transaktionen von einem Broker) zu signieren, sodass nur der vorgesehene Benutzer sie lesen kann.

Sobald du ein Passwort eingibst, wird es nicht gespeichert oder irgendwohin gesendet. Die abgeleiteten Verschlüsselungsschlüssel können in deinem Browser gespeichert werden, sind aber nicht exportierbar – sie können deine Daten entschlüsseln, aber das Schlüsselmaterial selbst kann nicht zurückgelesen werden, nicht einmal vom Anwendungscode von Capitally selbst.

Anmelden und Kontosicherheit

Capitally verfügt über zwei unabhängige Ebenen: Die Authentifizierung entscheidet, wer sich bei deinem Konto anmelden kann, und die Verschlüsselung bestimmt, wer die Daten lesen kann. Der Großteil des Schutzes liegt in der zweiten Ebene – selbst wenn sich jemand Zugriff auf dein Konto verschafft, sieht er nur verschlüsselten Text, solange das Projekt ein eigenes Passwort hat.

Zwei-Faktor-Authentifizierung heute. Das Anmelden über Google bietet dir Googles eigene Multi-Faktor-Authentifizierung, was derzeit der direkteste Weg ist, ein Capitally-Konto mit einem zweiten Faktor zu schützen. Native 2FA – über TOTP-Apps wie Google Authenticator oder Authy sowie E-Mail- und SMS-Verifizierung – steht auf der Roadmap.

Ein zweites Geheimnis für die Daten selbst. Ein Projektpasswort (auch bekannt als „Bring Your Own Key“) verschlüsselt das Projekt unabhängig von der Art deines Logins, sodass der reine Kontozugriff nicht ausreicht, um etwas lesen zu können. Dies ist als Modus 2 unter So funktioniert die Verschlüsselung oben beschrieben.

Hardware-Keys. Dein Verschlüsselungsschlüssel wird auf deinem Gerät aus deinem Passwort abgeleitet und erreicht nie unsere Server. Ein Hardware-Key wie ein YubiKey wäre also lediglich ein Komfortmerkmal beim Anmelden und der Schlüsselverwaltung – und nicht die entscheidende Barriere zwischen einem Angreifer und deinen Daten, wie es bei einem Dienst der Fall wäre, der deine Schlüssel serverseitig speichert. Die Unterstützung von Passkeys, die sowohl das Anmelden als auch die Projektverschlüsselung abdeckt, steht ebenfalls auf der Roadmap.

Wenn du dein Projektpasswort verlierst

Wir können ein Projektpasswort weder zurücksetzen noch die dahinter liegenden Daten wiederherstellen: Der Schlüssel wird aus deinem Passwort abgeleitet und existiert nur auf deinem Gerät, während unsere Server lediglich verschlüsselten Text speichern. Bevor du voreilig davon ausgehst, dass die Daten verloren sind, überprüfe bitte diese drei Dinge – und lies den ersten Punkt, bevor du irgendetwas anrührst.

1. Bist du anderswo noch angemeldet? Die Verschlüsselungsschlüssel verbleiben in der Browsersitzung, bis du explizit auf Logout klickst – das Schließen des Tabs, das Beenden des Browsers oder ein Neustart des Rechners löscht sie nicht. Jedes Gerät oder jeder Browser, auf dem du das Projekt geöffnet hast und noch angemeldet bist, ist ein aktiver Weg zurück: Öffne das Projekt dort und richte unter Einstellungen → Verschlüsselung ein neues Passwort ein. Melde dich aus dieser Sitzung nicht ab, um es „erneut zu versuchen“ – da sie die einzige Kopie des Schlüssels enthält, die dir noch bleibt.

2. Wurde das Passwort gespeichert? Melde dich ganz normal an und lasse das Projektpasswort von deinem Browser oder Schlüsselbund automatisch ausfüllen. Wenn es funktioniert, richte sofort ein neues Projektpasswort ein oder stelle das Projekt auf die Verschlüsselung mit Benutzerpasswort um, sodass du nur noch ein einziges Passwort im Kopf behalten musst.

3. Welcher Verschlüsselungsmodus ist für das Projekt aktiv? Bei der Methode Benutzerpasswort gibt es kein separates Projektgeheimnis – das Projekt wird einfach mit deinem Anmeldepasswort entsperrt. Bei einem Remote-Key wird der Schlüssel on-the-fly aus deinen Zugangsdaten abgeleitet, sodass du über den normalen Prozess zum Zurücksetzen deines Kontos wieder Zugriff erhältst. Nur das Projektpasswort legt ein zweites Geheimnis in deine Hände, das durch nichts zurückgesetzt werden kann. Wenn du das Anmeldepasswort selbst verloren hast, bleiben dir die Wege 1 und 2.

Wenn nichts davon zutrifft, können die Daten in diesem Projekt nicht wiederhergestellt werden – weder von dir, noch von uns, noch von einem Angreifer oder per Gerichtsbeschluss. Das ist genau die Eigenschaft, die diese Verschlüsselung überhaupt so wertvoll macht.

Hosting, DSGVO und EU-Datenresidenz

Capitally wird in Europa für Anleger auf der ganzen Welt entwickelt und unterliegt dem EU-Datenschutzrecht.

• Gehostet in Europa. Alle Server und Datenbanken stehen in EU-Rechenzentren – deine verschlüsselten Daten verlassen nie die europäische Gerichtsbarkeit. Wir nutzen Google Cloud, Railway, Hetzner, MongoDB und Cloudflare.
• DSGVO-konform. Du hast jederzeit das Recht, deine Daten zu exportieren und endgültig zu löschen; beides sind Ein-Klick-Operationen in der App, ohne dass eine E-Mail erforderlich ist.
• Industriestandard-Serverhygiene zusätzlich zur Ende-zu-Ende-Verschlüsselung: HTTPS für den gesamten Datenverkehr, Verschlüsselung im Ruhezustand, Need-to-know-Zugriff für unser eigenes Team, Zwei-Faktor-Authentifizierung und Zugriffsprotokolle.
• Keine Drittanbieter-Datenhändler. Wir teilen keine Daten mit Werbetreibenden, und kein Analytics-SDK hat Zugriff auf dein Portfolio – du kannst Analytics auch komplett deaktivieren (siehe Analytics & Fehler-Tracking unten).

Ist der Code Open Source und geprüft?

Capitally ist ein Closed-Source-Projekt, aber die Client-App ist in TypeScript geschrieben, und die gesamte Datenverarbeitung findet auf dem Client statt. Die gesamte Netzwerkkommunikation lässt sich in den Entwicklertools des Browsers leicht nachvollziehen.

Wie bei jeder Software kommt es letztlich auf Vertrauen an. Du musst uns vertrauen, dass wir (oder ein Hacker) diesen Code nicht heimlich verändern und die Verschlüsselungsschlüssel oder Passwörter stehlen.

Die meisten anderen Portfolio-Tracker bezeichnen sich als „bankenüblich verschlüsselt", was bedeutet, dass der Anbieter deine Schlüssel hält und deine Daten lesen kann. Capitally ist Ende-zu-Ende-verschlüsselt, was bedeutet, dass nur du das kannst – selbst unsere eigenen Entwickler können es nicht, und zwar by design.

Analytics & Fehlerverfolgung

Wir möchten keine Kenntnis von deinen Finanzdaten haben – um die App jedoch verbessern und dich im Problemfall unterstützen zu können, erheben wir einige Nutzungsdaten, sofern du uns dies erlaubst. Konkret erfassen wir derzeit:

• deine Benutzer-ID
• Seiten-URL, die möglicherweise die Asset-ID enthält
• URLs von Netzwerkanfragen (die Markt-Asset-IDs enthalten können)
• Elemente, auf die du klickst (nur deren System-ID)
• System-Logmeldungen (die möglicherweise Markt-Asset-IDs enthalten)

Wenn du uns nicht erlaubst, dich zu identifizieren, speichern wir keine der oben genannten IDs. In diesem Fall protokollieren wir nur Fehler und einige minimale Informationen zur Funktionsnutzung – vollständig anonym, ohne IDs oder detaillierte Logs.

Diese Einwilligung ist unabhängig von der Einwilligung für funktionale Cookies, welche deine Projektauswahl und deine Tabellenspalten zwischen den Sitzungen speichert. Das Ablehnen von Analytics lässt diese unberührt; das Ablehnen funktionaler Cookies führt jedoch dazu, dass bei jedem Start das Demo-Projekt geöffnet wird – siehe Einstellungen und Anzeigeeinstellungen.

Was wir niemals erfassen:

• Größe oder Wert deiner Investments
• Namen, Notizen oder andere Texte, die du selbst erstellst
• benutzerdefinierte Kursquellen