Bei den meisten Finanz-Apps steht „Wir respektieren Ihre Privatsphäre“ irgendwo in einem Einstellungsmenü neben einer 4.000-Wörter-Richtlinie, die niemand liest. Wir wollten etwas anderes schreiben: eine klare Erklärung, was Amunta tatsächlich mit Ihren Daten macht, überprüft anhand des Quellcodes der App und nicht anhand eines Marketingbriefs.
Standardeinstellung: Nichts verlässt Ihr Telefon
Das Hauptbuch von Amunta – Ausgaben, Einnahmen, Schulden, Rechnungen, Budgets, Berichte – wird in einer lokalen Datenbank auf Ihrem Gerät gespeichert. Es gibt keinen Anmeldebildschirm, kein E-Mail-Feld und keine Telefonnummer, um mit der Nutzung der App zu beginnen. Sie öffnen es und es funktioniert.
Amunta enthält keine Werbe-Tracker, Google Analytics oder Facebook SDK. Zur Verbesserung der Stabilität können begrenzte anonyme technische Diagnosen gesendet werden. Sie enthalten keine Beträge, Finanzunterlagen, Kontakte oder Fotos und können Sie nicht als Person identifizieren.
Eine PIN-Sperre ist verfügbar, wenn Sie eine wünschen. Wenn Sie eine PIN festlegen, speichert die App einen SHA-256-Hash davon, nicht die PIN selbst – derselbe Ansatz, der für die Passwortspeicherung auf jedem System verwendet wird, das Sicherheit ernst nimmt. Wenn jemand Zugriff auf die Rohdaten der App hätte, würde er Ihre PIN nicht in einer Datei finden.
Der optionale Teil: Teilen eines Hauptbuchs mit jemand anderem
Mit Amunta können auch zwei Personen ihre Konten verknüpfen – nützlich, wenn Sie und ein Partner, ein Mitbewohner oder ein Geschäftskontakt einen laufenden Tab teilen möchten, ohne dass jeder von Ihnen dieselbe Transaktion erneut eingeben muss. Dies ist Opt-in. Die Basis-App fragt nie danach.
Wenn Sie es einschalten, passiert genau Folgendes, denn wir sind der Meinung, dass „genau das, was passiert“ eine ehrlichere Antwort ist als „wir nehmen Ihre Privatsphäre ernst.“
Um eine Netzwerk-ID zu erhalten (sie sieht aus wie SF-XXXXXXX), generiert Ihr Telefon ein kryptografisches Schlüsselpaar und sendet eine Registrierungsanfrage mit drei Dingen: dem öffentlichen Schlüssel, Ihrer ausgewählten Währung und einer Markierung, die die App-Stufe angibt. Das ist die gesamte Nutzlast. Kein Name. Keine Telefonnummer. Keine E-Mail-Adresse. Wenn Sie an anderer Stelle eine Telefonnummer oder E-Mail-Adresse in die App eingegeben haben, bleiben diese im lokalen Speicher auf Ihrem Gerät – sie sind nicht Teil dieser Anfrage.
Was Verschlüsselung hier eigentlich bedeutet
Sobald zwei Personen verbunden sind, werden gemeinsame Transaktionen zwischen ihren Telefonen über einen Relay-Server synchronisiert. Hier bedeutet „Ende-zu-Ende-verschlüsselt“ entweder etwas Bestimmtes oder es ist nur eine Floskel. Im Fall von Amunta ist es konkret:
- Jedes Gerät verfügt über ein Schlüsselpaar. Beim Senden einer Transaktion an einen verknüpften Kontakt werden die beiden öffentlichen Schlüssel mithilfe des Elliptic-Curve-Schlüsselaustauschs X25519 kombiniert, um ein gemeinsames Geheimnis zu erzeugen.
- Dieses gemeinsame Geheimnis wird durch HKDF-SHA256 durchlaufen, um einen stabilen Verschlüsselungsschlüssel abzuleiten.
- Die Transaktionsdaten werden mit AES-256-GCM verschlüsselt, bevor sie das Gerät verlassen.
Der private Schlüssel wird auf dem Gerät erzeugt, im sicheren Speicher abgelegt und nur lokal zur Berechnung des gemeinsamen Geheimnisses verwendet. Das A-Link-Protokoll sendet ihn weder an den Relay-Server noch an das andere Gerät.
Der Teil, den die meisten „verschlüsselten“ Behauptungen weglassen
Hier wollen wir vorsichtiger sein, als es die meisten Apps tun. Der Relay-Server, der Nachrichten zwischen verbundenen Geräten weiterleitet, kann nicht lesen, was sich darin befindet – der Inhalt ist AES-256-GCM-Chiffretext und das Relay verfügt nicht über den Schlüssel. Das Relay sieht jedoch Routing-Informationen: Welche Netzwerk-ID hat eine Nachricht gesendet, an welche Netzwerk-ID sie adressiert ist und wann sie gesendet wurde. Das ist in jedem System unvermeidbar, in dem ein Server eine Nachricht an den richtigen Empfänger übermitteln muss – es ist der gleiche Kompromiss, den Signal und ähnliche Systeme eingehen.
Das Relay speichert die Nachricht auch nicht als Archiv. Die verschlüsselte Nutzlast wird nur so lange gespeichert, bis das empfangende Gerät bestätigt, dass sie angekommen ist und verarbeitet wurde. Anschließend wird sie endgültig gelöscht. Wenn es nie zugestellt wird oder die Bestätigung nie zurückkommt, verfällt es und wird nach 24 Stunden automatisch gelöscht.
Die genaue Aussage für dieses Protokoll lautet daher: Der Relay-Server sieht Routing-IDs und Zeitpunkte, besitzt aber nicht den Schlüssel, um den Transaktionsinhalt zu lesen.
Warum dies wichtiger ist als eine Datenschutzrichtlinie
Eine Datenschutzrichtlinie ist ein Verhaltensversprechen; die Prüfung der Architektur zeigt dagegen, welche Daten bekannte Abläufe tatsächlich übertragen. In den geprüften Teilen enthält die A-Link-Registrierung keine Kontaktliste, Relay-Nachrichten enthalten keinen lesbaren Transaktionsinhalt und die PIN wird nicht im Klartext gespeichert.
Das ist keine Behauptung, dass Software frei von Fehlern oder Risiken ist. Ziel ist eine konkrete, überprüfbare Beschreibung statt absoluter Garantien. Lesen Sie auch, was tatsächlich eine Internetverbindung benötigt und wie die verschlüsselte Sicherung funktioniert.