Portfolio-Tracker mit Ende-zu-Ende-Verschlüsselung — und wo sie endet

Stand: 26. Oktober 2026

Ein Portfolio-Tracker weiß, was du besitzt, wann du gekauft hast und zu welchem Preis. Diese Seite beschreibt, wie foliologic. diese Daten schützt: was in deinem Browser verschlüsselt wird, was auf unseren Servern liegt und wann Daten die Verschlüsselung verlassen, weil eine Funktion sie braucht. Sie beschreibt Mechanismen, keine Garantien — und sie nennt die Stellen, an denen foliologic. mehr sehen kann als bei deinem gespeicherten Portfolio.

Dein gespeichertes Portfolio wird in deinem Browser verschlüsselt, und foliologic. hat keinen Schlüssel dazu. Anders ist es bei Funktionen, für die Daten oder Zugangsdaten durch unsere Server laufen: dem Abgleich mit Banken und Krypto-Börsen, den KI-Funktionen und dem Abgleich von Wallet-Adressen.

Was Ende-zu-Ende hier heißt

Dein Portfolio — Positionen, Transaktionen, Wallet-Adressen, Korrekturen und von Hand eingetragene Einstellungen — wird in deinem Browser verschlüsselt, bevor es zu uns gelangt. Auf unseren Servern liegt nur der verschlüsselte Zustand. Entschlüsselt wird wieder in deinem Browser, nachdem du dich angemeldet hast. Ende-zu-Ende bezieht sich bei uns auf dieses gespeicherte Portfolio: Das Verschlüsseln und das Entschlüsseln geschehen auf deinem Gerät.

Für alles andere, was foliologic. verarbeitet, gilt das nicht. Welche Daten außerhalb dieses Schutzes liegen, steht im Abschnitt „Wo die Verschlüsselung endet“.

So funktioniert die Verschlüsselung

1. Ein Zufallsschlüssel entsteht auf deinem Gerät. Beim Anlegen deines Kontos erzeugt dein Browser einen zufälligen 256-Bit-Schlüssel. Er verschlüsselt dein Portfolio mit AES-256-GCM und bleibt bei einem Passwortwechsel derselbe. Wir nennen ihn hier den Datenschlüssel.

2. Zwei verschlüsselte Kopien, zwei Wege hinein. Auf unseren Servern liegt der Datenschlüssel nicht im Klartext, sondern in zwei verschlüsselten Kopien: einer, die dein Passwort öffnet, und einer, die dein Wiederherstellungsschlüssel öffnet. Beide Kopien enthalten denselben Datenschlüssel. Von diesem Schlüssel liegen bei uns nur diese Kopien.

3. Die Ableitung ist rechenintensiv. Aus Passwort und Wiederherstellungsschlüssel leitet der Browser jeweils den Schlüssel ab, der die Kopie öffnet: mit PBKDF2-SHA256 und 600.000 Durchläufen, dem aktuellen Richtwert von OWASP, und mit einem eigenen Zufallswert (Salt) für jede Kopie. Der Wiederherstellungsschlüssel besteht aus 160 Bit Zufall. Verfahren wie Argon2id, die zusätzlich viel Arbeitsspeicher verlangen und Angriffe mit Grafikkarten stärker bremsen, stehen im Browser nicht zur Verfügung.

4. Jede Kopie gehört zu einem Konto und einer Rolle. Sie ist kryptografisch an deine Konto-Kennung und an ihre Rolle gebunden, Passwort oder Wiederherstellung. Eine Kopie, die in ein anderes Konto oder in die Rolle der anderen Kopie umkopiert wird, lässt sich nicht mehr öffnen.

5. Das Öffnen ist die Prüfung. Beim Anmelden öffnet dein Browser die Passwort-Kopie. Ein falsches Passwort liefert keine unlesbaren Daten, sondern einen Fehler. Auch ein verändertes Bit in einer Kopie fällt auf, denn GCM prüft die Unversehrtheit mit.

6. Der Schlüssel im Browser. Solange du angemeldet bist, hält dein Browser den Datenschlüssel als nicht auslesbaren Schlüssel im lokalen Speicher (IndexedDB). Dein Passwort im Klartext wird dafür nicht abgelegt.

Was wo liegt und wer es lesen kann

Was Wie es bei uns liegt Wer es öffnen kann
Dein Portfolio und die zwei Schlüsselkopien Verschlüsselt, die Kopien an dein Konto gebunden Dein Browser, mit deinem Passwort oder deinem Wiederherstellungsschlüssel. Wir haben keinen Schlüssel dazu.
Dein Anmelde-Passwort Als Hash beim Anmeldedienst; Klartext-Passwörter speichern wir nicht Beim Anmelden sieht der Anmeldedienst das Passwort (siehe „Das Passwort beim Anmelden“)
Dein Online-Banking-Login Liegt nicht bei uns. Du gibst ihn auf der Seite von finAPI ein. finAPI
Passwort deines finAPI-Nutzerkontos (nur bei Bank-Abgleich) AES-256-GCM, der Schlüssel dazu liegt nur in der Serverumgebung bei Vercel Unsere Serverfunktionen, bei jedem Abgleich
API-Schlüssel und Secret einer Krypto-Börse (nur bei Börsen-Abgleich) AES-256-GCM, derselbe Serverschlüssel Unsere Serverfunktionen, bei jedem Abgleich
E-Mail-Adresse, Konto- und Abrechnungsdaten In unserer Datenbank; Zahlungen laufen über Stripe, Kartennummern liegen nicht auf unseren Servern foliologic.

Die Verbindung zu uns ist zusätzlich per TLS/HTTPS verschlüsselt. Portfolio, Schlüsselkopien und die Zugangsdaten für den Abgleich liegen in Tabellen, die die Datenbank durch Zugriffsregeln (Row Level Security) auf dein Konto beschränkt.

Passwort, Wiederherstellungsschlüssel — und was du verlierst, wenn beide weg sind

Weil foliologic. keinen Schlüssel zu deinem Portfolio hat, kann foliologic. es dir auch nicht öffnen, wenn du deinen Zugang verlierst. Das ist die Kehrseite dieser Konstruktion.

Beim Anlegen deines Kontos zeigt foliologic. dir deinen Wiederherstellungsschlüssel an: 32 Zeichen in acht Vierergruppen, aus 160 Bit Zufall erzeugt, ohne die Buchstaben I, L, O und U. Du speicherst ihn als Datei oder kopierst ihn und gibst ihn zur Kontrolle erneut ein; erst dann geht es weiter. foliologic. zeigt ihn kein zweites Mal und hat keine Kopie. Bewahre ihn außerhalb der App auf, in einem Passwort-Manager oder ausgedruckt an einem sicheren Ort.

Unter Einstellungen → Allgemein → Sicherheit & Datenschutz siehst du, ob ein Wiederherstellungsschlüssel eingerichtet ist. Dort kannst du auch einen neuen erstellen; dafür bestätigst du dein Passwort. Ein neuer Schlüssel ersetzt den alten, der sofort ungültig wird.

Ein Schutz gegen versehentliches Überschreiben: Lässt sich ein gespeichertes Portfolio beim Laden nicht entschlüsseln, zum Beispiel weil die Verbindung abbricht, verweigert foliologic. das Speichern, statt das verschlüsselte Portfolio durch einen leeren Stand zu ersetzen.

Wo die Verschlüsselung endet

Abgleich mit einer Bank

Deinen Online-Banking-Login gibst du auf der Seite von finAPI ein, einem Kontoinformationsdienst nach PSD2 mit BaFin-Zulassung (finAPI GmbH, München). Wir sehen und speichern ihn nicht. Die Verbindung ist rein lesend: Sie kann Bestände und Umsätze abrufen, aber kein Geld bewegen.

Für den Abgleich selbst speichern wir allerdings Zugangsdaten, und sie liegen anders als dein Portfolio. Wenn du eine Bank verbindest, legen wir für dich bei finAPI ein Nutzerkonto an. Sein Benutzername ist die interne Kennung deines foliologic.-Kontos, eine zufällige Zeichenfolge, das Passwort erzeugen wir zufällig. Dieses Passwort speichern wir mit AES-256-GCM verschlüsselt. Es ist nicht dein Online-Banking-Passwort.

Abgleich mit einer Krypto-Börse

Den API-Schlüssel und das Secret, die du eingibst, prüfen wir bei der Börse und speichern beides mit AES-256-GCM verschlüsselt. Wir verwenden sie ausschließlich für lesende Abfragen (Salden, Handelsverlauf, Ein- und Auszahlungen). Wir empfehlen, bei der Börse einen Schlüssel nur mit Leserechten anzulegen.

Was das für beide bedeutet

Der Serverschlüssel, mit dem Bank-Passwort und Börsen-Zugang verschlüsselt sind, liegt nur in der Serverumgebung unseres Hosting-Anbieters Vercel: nicht in der Datenbank, nicht in deinem Browser und nicht auf unserem Server für zeitgesteuerte Aufgaben. Wer nur die Datenbank einsieht, sieht verschlüsselte Werte. Unsere Serverfunktionen dagegen können sie öffnen, sonst könnte der Abgleich nicht laufen: Bei jedem Abgleich öffnen sie die Zugangsdaten kurz im Arbeitsspeicher, melden sich damit bei finAPI an beziehungsweise signieren damit die lesenden Abfragen an die Börse und rufen deine Bestände, Umsätze und Salden ab.

Diese Zugangsdaten sind also nicht Ende-zu-Ende verschlüsselt: foliologic. kann sie lesen. Die abgerufenen Daten laufen durch unsere Server, werden dort nicht gespeichert und in deinem Browser verschlüsselt in dein Portfolio übernommen. Diese Zugangsdaten entstehen erst, wenn du eine Bank oder eine Krypto-Börse verbindest.

Wann sie gelöscht werden: Den API-Schlüssel und das Secret einer Börse löschen wir, sobald du die Verbindung trennst. Das finAPI-Nutzerkonto und sein Passwort löschen wir, sobald du die letzte Bankverbindung trennst oder dein Tarif keinen Bankabgleich mehr umfasst. Löschst du dein Konto, werden alle diese Zugangsdaten sofort gelöscht, bei finAPI auch das Nutzerkonto. Ein täglicher Prüflauf löscht übrig gebliebene finAPI-Nutzerkonten; er liest nur Kennungen von Nutzerkonten, keine Passwörter oder Schlüssel.

KI-Funktionen

Nutzt du eine KI-Funktion, gehen die Daten, die sie braucht, für diese Anfrage an Anthropic, PBC (San Francisco, USA). Die Übermittlung stützt sich auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Nutzt du keine KI-Funktion, gehen deine Portfoliodaten nicht an die KI. Beim Portfolio-Chat und bei der Portfolio-Analyse stellt dein Browser die Daten aus dem entschlüsselten Portfolio zusammen und sendet sie mit der Anfrage; unser Server ergänzt Unternehmensdaten und leitet die Anfrage weiter. Verlauf und Bestände speichert der Server nicht; gezählt wird nur, wie oft du die Funktion in deinem Kontingent genutzt hast.

Was die KI über dein Portfolio schreibt, liegt nur in deinem verschlüsselten Portfolio und auf deinem Gerät. Bewertungen, die ein Unternehmen beschreiben und nicht dich — Wettbewerbsvorteil, SWOT, GuV-Note —, werden pro Unternehmen für alle zwischengespeichert und sind mit keinem Portfolio verknüpft. Weitere Informationen zu Anthropic: anthropic.com/privacy.

Wallet-Adressen

Eine Krypto-Wallet legst du über ihre öffentliche Adresse oder einen erweiterten öffentlichen Schlüssel (xpub, ypub, zpub) an. Gespeichert wird diese Angabe nur verschlüsselt in deinem Portfolio. Für jeden Abgleich schickt dein Browser sie aber an unseren Server, der sie an öffentliche Blockchain-Dienste weiterreicht, um den Kontostand zu ermitteln. Unser Server speichert dabei nichts. Die Blockchain-Dienste sehen die Adresse, bei einem erweiterten öffentlichen Schlüssel alle daraus abgeleiteten Adressen, also die ganze Wallet mit ihren Kontoständen. Sie sehen die Adresse unseres Servers, nicht deine IP-Adresse und nicht deine Kontodaten. Eine Blockchain-Adresse ist öffentlich einsehbar, kann aber, wenn sie deinem Konto zugeordnet ist, auf dich zurückführbar sein. Wer seine Adresse nicht an diese Dienste weitergeben möchte, sollte sie nicht in foliologic. hinterlegen. Welche Dienste das sind, steht in Abschnitt 12b der Datenschutzerklärung.

Das Passwort beim Anmelden

Der Schlüssel der Passwort-Kopie wird aus demselben Passwort abgeleitet, mit dem du dich anmeldest. Beim Anmelden geht dieses Passwort an den Anmeldedienst der Datenbank (Supabase); gespeichert wird dort ein Hash, kein Klartext. Wer die gespeicherten Daten kopiert, findet darin verschlüsselte Daten, verschlüsselte Schlüsselkopien und einen Passwort-Hash, aber keinen Schlüssel im Klartext. Wer dagegen eine Anmeldung im Moment des Anmeldens mitlesen könnte, etwa über einen kompromittierten Prozess des Anmeldedienstes oder einen Fehler, der Passwörter protokolliert, sähe dein Passwort und könnte damit die Passwort-Kopie öffnen. Betroffen wären nur Nutzer, die sich in diesem Zeitraum anmelden. Diese Einschränkung ist uns bekannt; sie gehört zur Konstruktion.

Der Browser

Dein Browser legt den Datenschlüssel so ab, dass kein JavaScript ihn auslesen kann, auch kein eingeschleustes. Das verhindert, dass der Schlüssel für eine Nutzung außerhalb deines Geräts abgegriffen wird. Läuft aber schädlicher Code in der geöffneten Seite, kann er den Schlüssel während der Sitzung benutzen. Davor schützt diese Maßnahme nicht.

Daten außerhalb des Portfolios

Wo die Daten liegen

Die Datenbank (Supabase) läuft in einem Rechenzentrum von Amazon Web Services in der Region EU (Irland). Dort liegen dein verschlüsseltes Portfolio, die Schlüsselkopien und die Zugangsdaten für den Abgleich. Unsere Serverfunktionen laufen bei Vercel in Dublin (Irland); statische Dateien werden über ein weltweites Netzwerk ausgeliefert. Zeitgesteuerte Aufgaben wie Kursaktualisierungen und E-Mail-Benachrichtigungen laufen auf einem Server der Hetzner Online GmbH in Deutschland.

Supabase, Inc. und Cloudflare, Inc. (Auslieferung der Datenbank-Schnittstelle) haben ihren Sitz in den USA. Wir können nicht ausschließen, dass im Rahmen von Betrieb und Support auch von dort aus auf Daten zugegriffen wird; dafür gelten Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Beim Portfolio sind das verschlüsselte Daten, mit der Einschränkung aus dem Abschnitt „Das Passwort beim Anmelden“. Auch Vercel Inc. sitzt in den USA; für die Übermittlung gelten ebenfalls Standardvertragsklauseln.

Wir setzen keine Analyse- oder Tracking-Dienste ein und keine eigenen Cookies, und wir verkaufen keine Finanzdaten. Löschst du dein Konto, löschen wir deine Portfoliodaten innerhalb von 30 Tagen. Alle Angaben zur Verarbeitung, auch zu Rechtsgrundlagen und Speicherdauer, stehen in der Datenschutzerklärung.

Wie die Schlüsselverwaltung geprüft wird

Die Schlüsselverwaltung ist durch automatisierte Tests abgedeckt. Ein Teil davon läuft gegen die echte Datenbankstruktur mit den Rechten eines normalen Nutzers, damit die Zugriffsregeln so wirken wie im Betrieb. Die Tests prüfen unter anderem:

Tests zeigen, dass diese Fälle abgedeckt sind, nicht dass es keine anderen gibt.

Häufige Fragen

Kann foliologic. mein Portfolio lesen?

Dein verschlüsseltes Portfolio können wir nicht entschlüsseln: Es wird in deinem Browser mit AES-256-GCM verschlüsselt, und foliologic. hat keinen Schlüssel dazu. Wenn du eine Bank oder Krypto-Börse verbindest, laufen die dafür nötigen Zugangs- und Depotdaten über unsere Server. Die Zugangsdaten für weitere Abgleiche liegen verschlüsselt bei uns, und unsere Serverfunktionen können sie öffnen.

Was passiert, wenn ich mein Passwort vergesse?

Mit deinem Wiederherstellungsschlüssel setzt du ein neues Passwort und bekommst dein Portfolio zurück. Ohne den Schlüssel lässt sich das Portfolio nicht öffnen: nicht von dir und nicht von uns. Du kannst dann mit einem leeren Portfolio neu starten; Positionen, Transaktionen, Historie, Korrekturen und von Hand eingetragene Einstellungen sind in diesem Fall unwiderruflich weg.

Sieht foliologic. meine Online-Banking-Zugangsdaten?

Nein. Du gibst sie auf der Seite von finAPI ein, einem von der BaFin zugelassenen Kontoinformationsdienst; wir sehen und speichern sie nicht. Bei uns liegt das zufällig erzeugte Passwort eines finAPI-Nutzerkontos, verschlüsselt. Es ist nicht dein Online-Banking-Passwort.

Gehen meine Portfoliodaten an eine KI?

Nur wenn du eine KI-Funktion nutzt. Dann gehen die Daten, die sie braucht, für diese Anfrage an Anthropic, einen Anbieter in den USA (Standardvertragsklauseln nach Art. 46 DSGVO). Was die KI über dein Portfolio schreibt, liegt nur in deinem verschlüsselten Portfolio und auf deinem Gerät.

Fragen zu Sicherheit und Datenschutz beantworten wir unter contact@foliologic.app.

Kostenlos starten