Die meisten Finanz-Apps schreiben „Wir respektieren deine Privatsphäre“ irgendwo in ein Einstellungsmenü, neben eine 4.000 Wörter lange Richtlinie, die niemand liest. Wir wollten etwas anderes schreiben: eine klare Erklärung, was Amunta tatsächlich mit deinen Daten macht – geprüft am Code der App selbst, nicht an einem Marketingtext.
Standardmäßig: Nichts verlässt dein Telefon
Das Buch von Amunta – Ausgaben, Einnahmen, Schulden, Rechnungen, Budgets, Berichte – liegt in einer lokalen Datenbank auf deinem Gerät. Es gibt keinen Registrierungsbildschirm, kein E-Mail-Feld und keine Telefonnummer, die du zum Start angeben musst. Du öffnest die App, und sie funktioniert.
Amunta enthält keine Werbe-Tracker, kein Google Analytics und kein Facebook SDK. Es können begrenzte, anonyme technische Diagnosedaten gesendet werden, um die Stabilität zu verbessern; sie enthalten keine Beträge, Finanzdaten, Kontakte oder Fotos und können dich nicht als Person identifizieren.
Wenn du willst, gibt es eine PIN-Sperre. Setzt du eine PIN, speichert die App einen SHA-256-Hash davon, nicht die PIN selbst – genauso, wie jedes System, das Sicherheit ernst nimmt, Passwörter speichert. Hätte jemand Zugriff auf die Rohdaten der App, fände er deine PIN nicht einfach in einer Datei.
Der optionale Teil: ein Buch mit jemand anderem teilen
Amunta erlaubt es auch zwei Personen, ihre Konten zu verknüpfen – praktisch, wenn du mit deinem Partner, einer Mitbewohnerin oder einem Geschäftskontakt eine gemeinsame Rechnung führen willst, ohne dass jeder dieselbe Buchung noch einmal einträgt. Das ist freiwillig. Die Basis-App fragt nie danach.
Wenn du es einschaltest, passiert genau Folgendes – denn „genau das passiert“ halten wir für eine ehrlichere Antwort als „wir nehmen deine Privatsphäre ernst“.
Um eine Netzwerk-ID zu bekommen (sie sieht aus wie SF-XXXXXXX), erzeugt dein Telefon ein kryptografisches Schlüsselpaar und sendet eine Registrierungsanfrage mit drei Dingen: dem öffentlichen Schlüssel, der gewählten Währung und einer Kennung für die App-Variante. Das ist alles. Kein Name. Keine Telefonnummer. Keine E-Mail-Adresse. Hast du an anderer Stelle in der App eine Telefonnummer oder E-Mail eingegeben, bleibt sie im lokalen Speicher deines Geräts – sie ist nicht Teil dieser Anfrage.
Was Verschlüsselung hier konkret bedeutet
Sobald zwei Personen verbunden sind, werden geteilte Buchungen über einen Relay-Server zwischen ihren Telefonen synchronisiert. Hier entscheidet sich, ob „Ende-zu-Ende-verschlüsselt“ etwas Bestimmtes bedeutet oder nur eine Floskel ist. Bei Amunta ist es bestimmt:
- Jedes Gerät hat ein Schlüsselpaar. Beim Senden einer Buchung an einen verbundenen Kontakt werden die beiden öffentlichen Schlüssel per X25519-Schlüsselaustausch auf elliptischen Kurven zu einem gemeinsamen Geheimnis kombiniert.
- Aus diesem gemeinsamen Geheimnis wird mit HKDF-SHA256 ein stabiler Verschlüsselungsschlüssel abgeleitet.
- Die Buchungsdaten werden mit AES-256-GCM verschlüsselt, bevor sie das Gerät verlassen.
Auf diesem Weg wird der private Schlüssel auf dem Gerät erzeugt, in dessen sicherem Speicher abgelegt und lokal genutzt, um das gemeinsame Geheimnis zu bilden. Das A-Link-Protokoll sendet ihn weder an das Relay noch an die andere Person.
Was die meisten „verschlüsselt“-Versprechen weglassen
Hier wollen wir sorgfältiger sein, als die meisten Apps es sich machen. Der Relay-Server, der Nachrichten zwischen verbundenen Geräten weiterreicht, kann nicht lesen, was darin steht – der Inhalt ist mit AES-256-GCM verschlüsselt, und das Relay hat den Schlüssel nicht. Es sieht aber Routing-Informationen: welche Netzwerk-ID eine Nachricht gesendet hat, an welche sie adressiert ist und wann sie gesendet wurde. Das ist in jedem System unvermeidbar, in dem ein Server eine Nachricht an den richtigen Empfänger zustellen muss – derselbe Kompromiss, den Signal und ähnliche Systeme eingehen.
Das Relay bewahrt die Nachricht auch nicht als Archiv auf. Der verschlüsselte Inhalt wird nur so lange gehalten, bis das empfangende Gerät bestätigt, dass er angekommen und verarbeitet ist; dann wird er endgültig gelöscht. Wird er nie zugestellt oder kommt die Bestätigung nie zurück, verfällt er und wird nach 24 Stunden automatisch gelöscht.
Der genaue Satz innerhalb dieses Protokolls lautet also: Das Relay kann Routing-Kennungen und Zeitpunkte sehen, hat aber nicht den Schlüssel, um den Inhalt der Buchung zu lesen.
Warum das mehr zählt als eine Datenschutzrichtlinie
Eine Datenschutzrichtlinie ist ein Versprechen über ein Verhalten; die Prüfung der Architektur zeigt, was die bekannten Wege tatsächlich transportieren. In den Teilen, die wir geprüft haben, enthält die A-Link-Registrierung keine Kontaktliste, weitergeleitete Nachrichten enthalten die Buchung nicht in lesbarer Form, und die PIN wird nicht im Klartext gespeichert.
Das ist keine Behauptung, dass irgendeine Software frei von Fehlern oder Risiken wäre. Es geht darum, eine konkrete, überprüfbare Beschreibung zu geben statt absoluter Garantien. Lies auch, was wirklich Internet braucht und wie die verschlüsselte Sicherung funktioniert.