Sind meine Daten sicher?

Daten bleiben auf deinem Gerät

Das Kernkonzept von Capitally besteht darin, dass all deine Daten verschlüsselt und auf deinem Gerät gespeichert werden. Unsere Server speichern lediglich eine Kopie deines Projekts, um es zwischen Geräten zu synchronisieren. Da aber nur du Zugriff auf die Verschlüsselungsschlüssel hast, können wir die tatsächlichen Daten nicht sehen – und es ist völlig in Ordnung, wenn du diese Sync-Anfragen blockierst.

Das Einzige, was wir „sehen", sind die Marktsymbole, mit denen du interagiert hast – nach denen du gesucht oder deren Kurse du abgerufen hast – aber wir verknüpfen das nicht mit deinem Konto.

Capitally ist außerdem ein Portfolio-Tracker ohne Plaid, Yodlee oder einen anderen Broker-Aggregator. Wir fragen nicht nach deinem Broker-Benutzernamen und -Passwort und lesen dein Bankkonto nicht aus. Importe erfolgen ausschließlich über direkten Datei-Upload (CSV/XLS/XML/JSON) oder manuelle Eingabe. Das ist eine Entscheidung für den Datenschutz, aber auch für die Genauigkeit – Broker-CSV-Exporte reichen bis zum Eröffnungstag des Depots zurück und enthalten Kapitalmaßnahmen, Dividenden-Reinvestitionen und FX-Umrechnungen, die Aggregatoren typischerweise verlieren. Genau diese Details sind die Grundlage für einen korrekten Einstandspreis (und eine Steuererklärung).

Projekte werden standardmäßig verschlüsselt

Jedes Capitally-Projekt nutzt clientseitige AES-256-Verschlüsselung (AES-GCM) mit Schlüsseln, die per PBKDF2 aus deinem Passwort abgeleitet und durch RSA-OAEP-Key-Wrapping geschützt werden. Das ist Zero-Knowledge-Verschlüsselung: Die Verschlüsselungsschlüssel verlassen dein Gerät nie, und unsere Server speichern nur Chiffretext.

Durch die Verschlüsselung deiner Daten schützen wir sie vor:

• unbefugtem Zugriff auf Daten in unseren Datenbanken – durch Mitarbeiter, Hacker oder Behörden
• unbefugtem Zugriff auf deinem Gerät – jedoch nur, solange du das Profil deines Browsers vor direktem Zugriff schützt und bei der Anmeldung nicht die Option „Anmeldedaten merken" wählst

Wir können deine Daten nicht schützen vor:

• Supply-Chain- oder Man-in-the-Middle-Angriffen, bei denen Angreifer unseren Quellcode ersetzen
• unberechtigten Schreib- oder Löschvorgängen in unseren Datenbanken oder auf dem Client-Gerät
• Erkennung von Projektaktivität – Projekt-Metadaten wie Operationstyp (Transaktion erstellt, aktualisiert, gelöscht usw.) und Zeitstempel (wann du die Änderung vorgenommen hast, nicht die eigentliche Transaktion) sind nicht verschlüsselt

So funktioniert die Verschlüsselung

Beim Erstellen eines Projekts hast du die Wahl zwischen drei Verschlüsselungsmodi:

1. Benutzerpasswort – wenn du dich anmeldest, verwenden wir PBKDF2, um aus deinem eingegebenen Passwort zwei Passwörter mit zwei separaten Salts abzuleiten. Das erste Passwort authentifiziert dich, sodass unsere Auth-Server (Google Identity Platform) dein getipptes Passwort nie erhalten, und das zweite lässt sich nicht daraus ableiten. Das zweite Passwort verschlüsselt (mit AES-GCM) eine Reihe privater Schlüssel, die für die Projektverschlüsselung genutzt werden. Du kannst diesen Schlüssel sicher in deinem Browser speichern, damit du ihn nicht erneut eingeben musst.
2. Projektpasswort – wie oben, aber du legst ein separates Projektpasswort fest, aus dem der Verschlüsselungsschlüssel abgeleitet wird, getrennt von deinem Login.
3. Remote Key – sobald du dich anmeldest, ruft die App einen Verschlüsselungsschlüssel vom Server ab. Der Schlüssel ist nicht in der Datenbank gespeichert; er wird on the fly aus deinen Zugangsdaten, einem Salt und unserem eigenen privaten Schlüssel abgeleitet. Der Endpunkt, der diesen privaten Schlüssel hält, ist von allen anderen Endpunkten getrennt.

Jeder Projektbenutzer (das System ist auf Projektfreigabe vorbereitet, auch wenn heute nur ein Benutzer unterstützt wird) hat ein RSA-OAEP-Schlüsselpaar. Der private Schlüssel wird mit dem oben genannten Hauptverschlüsselungsschlüssel verschlüsselt und dient dazu, Share Keys (ein weiterer AES-GCM) zu entschlüsseln, die wiederum Projektdaten ver- und entschlüsseln. Pro Projekt kann es mehrere Share Keys geben – z. B. einen für jeden Datensatz, der zwischen denselben Benutzern geteilt wird.

Der öffentliche Schlüssel wird verwendet, um Share Keys zu verschlüsseln, die an den Benutzer ausgegeben werden, und um vom Backend erzeugte Nachrichten (z. B. neue Transaktionen von einem Broker) zu signieren, sodass nur der vorgesehene Benutzer sie lesen kann.

Sobald du ein Passwort eingibst, wird es nicht gespeichert oder irgendwohin gesendet. Die abgeleiteten Verschlüsselungsschlüssel können in deinem Browser gespeichert werden, sind aber nicht exportierbar – sie können deine Daten entschlüsseln, aber das Schlüsselmaterial selbst kann nicht zurückgelesen werden, nicht einmal vom Anwendungscode von Capitally selbst.

Hosting, DSGVO und EU-Datenresidenz

Capitally wird in Europa für Anleger auf der ganzen Welt entwickelt und unterliegt dem EU-Datenschutzrecht.

• Gehostet in Europa. Alle Server und Datenbanken stehen in EU-Rechenzentren – deine verschlüsselten Daten verlassen nie die europäische Gerichtsbarkeit. Wir nutzen Google Cloud, Railway, Hetzner, MongoDB und Cloudflare.
• DSGVO-konform. Du hast jederzeit das Recht, deine Daten zu exportieren und endgültig zu löschen; beides sind Ein-Klick-Operationen in der App, ohne dass eine E-Mail erforderlich ist.
• Industriestandard-Serverhygiene zusätzlich zur Ende-zu-Ende-Verschlüsselung: HTTPS für den gesamten Datenverkehr, Verschlüsselung im Ruhezustand, Need-to-know-Zugriff für unser eigenes Team, Zwei-Faktor-Authentifizierung und Zugriffsprotokolle.
• Keine Drittanbieter-Datenhändler. Wir teilen keine Daten mit Werbetreibenden, und kein Analytics-SDK hat Zugriff auf dein Portfolio – du kannst Analytics auch komplett deaktivieren (siehe Analytics & Fehler-Tracking unten).

Ist der Code Open Source und geprüft?

Capitally ist ein Closed-Source-Projekt, aber die Client-App ist in TypeScript geschrieben, und die gesamte Datenverarbeitung findet auf dem Client statt. Die gesamte Netzwerkkommunikation lässt sich in den Entwicklertools des Browsers leicht nachvollziehen.

Wie bei jeder Software kommt es letztlich auf Vertrauen an. Du musst uns vertrauen, dass wir (oder ein Hacker) diesen Code nicht heimlich verändern und die Verschlüsselungsschlüssel oder Passwörter stehlen.

Die meisten anderen Portfolio-Tracker bezeichnen sich als „bankenüblich verschlüsselt", was bedeutet, dass der Anbieter deine Schlüssel hält und deine Daten lesen kann. Capitally ist Ende-zu-Ende-verschlüsselt, was bedeutet, dass nur du das kannst – selbst unsere eigenen Entwickler können es nicht, und zwar by design.

Analytics & Fehlerverfolgung

Wir möchten keine Kenntnis von deinen Finanzdaten haben – um die App jedoch verbessern und dich im Problemfall unterstützen zu können, erheben wir einige Nutzungsdaten, sofern du uns dies erlaubst. Konkret erfassen wir derzeit:

• deine Benutzer-ID
• Seiten-URL, die möglicherweise die Asset-ID enthält
• URLs von Netzwerkanfragen (die Markt-Asset-IDs enthalten können)
• Elemente, auf die du klickst (nur deren System-ID)
• System-Logmeldungen (die möglicherweise Markt-Asset-IDs enthalten)

Wenn du uns nicht erlaubst, dich zu identifizieren, speichern wir keine der oben genannten IDs. In diesem Fall protokollieren wir nur Fehler und einige minimale Informationen zur Funktionsnutzung – vollständig anonym, ohne IDs oder detaillierte Logs.

Was wir niemals erfassen:

• Größe oder Wert deiner Investments
• Namen, Notizen oder andere Texte, die du selbst erstellst
• benutzerdefinierte Kursquellen