Datensicherheit & KI-Aufklärung · Stand 2026

Sind meine Finanzdaten sicher? Was Cloud-Tracker, automatische Kursabrufe und KI-Assistenten über dein Depot wissen

Immer mehr Anleger fragen sich: „Wer liest eigentlich mit, wenn ich mein Vermögen tracke?“ Hier ist die ungeschönte technische Analyse — warum selbst scheinbar harmlose Live-Kurse dein Portfolio verraten, was passiert, wenn eine KI auf deinem Computer Zugriff auf deine JSON-Datei bekommt, und was wir technisch ausschließen können (und was nicht).

Interaktiver Rechner & Live-Verschlüsselungs-Beweis

Finanz-Privatsphäre- & KI-Risiko-Check

Stelle dein aktuelles Setup ein und prüfe sofort, welche Stellen technisch Einblick in deine Depotstruktur erhalten — und teste live im Browser die AES-256-GCM-Verschlüsselung deiner Sicherungsdatei.

Technisches Privatsphäre-Niveau
Maximaler Schutz auf Datei- & Netzwerkebene
96 / 100
    Live-Beweis: Was sieht eine lokale KI in deiner cashlog_sicherung.json?
    Tippe ein Test-Passwort ein — dein Browser verschlüsselt den echten Portfolio-Ausschnitt live per WebCrypto (PBKDF2 + AES-256-GCM).
    ❌ Unverschlüsselte JSON-Datei (für Desktop-KI, Spotlight & Cloud-Drives sofort lesbar)
    {
  "positions": [
    {
      "name": "Vanguard FTSE All-World",
      "isin": "IE00BK5BQT80",
      "shares": 420,
      "investedEUR": 48500.00
    }
  ],
  "cashAccount": { "balance": 25000.00 }
}
    ✅ Mit cashlog AES-256-GCM Tresor (für KI & Cloud nur mathematisches Rauschen)
    Verschlüsselung wird berechnet…

    1. Die 5 blinden Flecken moderner Portfolio-Tracker (Was Anleger im Netz fragen)

    Wenn Anleger nach „Sind meine Finanzdaten sicher?“ oder „Portfolio Tracker ohne Cloud“ suchen, geht es fast immer um fünf strukturelle Schwachstellen klassischer Apps:

    Schwachstelle A: Zentrale Cloud-Datenbanken als „Honeypot“

    Die meisten bekannten Portfolio-Apps speichern deine gesamten Bestände, Käufe, Dividenden und Verrechnungskonten in einer zentralen Cloud-Datenbank (oft auf AWS/Supabase). Selbst wenn der Server in Deutschland steht und DSGVO-konform betrieben wird: Deine Vermögensaufstellung liegt auf einem fremden Computer. Bei einem Datenleck, einem Konfigurationsfehler oder einem Verkauf des Anbieters sind alle Nutzerportfolios an einem einzigen Ort versammelt.

    Schwachstelle B: Automatische Kursaktualisierung verrät deinen Bestand

    Kaum jemand denkt darüber nach: Wie erfährt eine App eigentlich alle 5 Minuten den aktuellen Kurs deiner 18 Wertpapiere, Anleihen und Kryptowährungen?

    Wenn ein Programm im Hintergrund automatisch Live-Kurse abruft, muss es einem spezialisierten Kursdaten-Anbieter (Market-Data-API) eine Liste schicken: „Gib mir den aktuellen Preis für ISIN A, ISIN B, ISIN C…“. Wer diese Anfrage samt IP-Adresse, Zeitstempel oder API-Schlüssel empfängt, weiß auf das Wertpapier genau, welche exotischen Anleihen, Einzelaktien oder ETFs du im Depot hältst — selbst wenn das Programm eigentlich „lokal“ auf deinem Desktop läuft.

    Warum cashlog bewusst keine stillen Einzeltitel-Kursfeeds im Hintergrund abruft: In cashlog werden nur zwei völlig anonyme, öffentliche Makro-Referenzen geladen: EZB-Wechselkurse (nur Währung + Datum) und die Eurostat-Jahresteuerung (HVPI). Es geht niemals eine ISIN oder Stückzahl über das Netzwerk. Aktuelle Kurse übernimmst du automatisch aus deinen Bank-Abrechnungen oder in Sekunden gesammelt über unsere Kurstabelle („Kurse nachtragen“).

    Schwachstelle C: Open-Banking-Schnittstellen (Auto-Sync via PSD2 / FinTS)

    Automatischer Banken-Sync klingt bequem, schaltet aber zwingend einen Kontoinformationsdienstleister (Aggregator) zwischen deine Bank und den Tracker. Dieser Drittanbieter erhält die technische Berechtigung, dein Depot und deine Kontoumsätze regelmäßig abzurufen. Wer keine fremden Schnittstellen in seiner Bankverbindung möchte, fährt mit lokalem Beleg-Import deutlich souveräner.

    Schwachstelle D: Integrierte Cloud-KI & PDF-Uploads

    Viele Finanz-Apps werben heute mit KI-Assistenten („Frag die KI zu deinem Depot“) oder schicken hochgeladene Bank-PDFs zur Texterkennung an einen Server. Eine Bankabrechnung enthält jedoch Name, Anschrift, IBAN, Depotnummer, Steuer-ID und den genauen Kontostand. Berufsständische Kammern (wie die Bundessteuerberaterkammer) und Datenschützer warnen ausdrücklich davor, solche Dokumente in Cloud-KIs hochzuladen.

    Wie cashlog das löst: Unser Beleg-Scanner — inklusive der intelligenten Layout- und Gleichungserkennung für unbekannte Banken (scanner-ai-engine.js) — läuft zu 100 % lokal und offline in deinem Browser. Keine Abrechnung verlässt dein Gerät.

    2. Was passiert, wenn der Nutzer eine KI auf seinem eigenen Computer nutzt — liest sie die JSON-Datei mit?

    Seit Ende 2025 und verstärkt im Jahr 2026 hat sich das Thema Datenschutz verschoben: Nicht mehr nur Websites sammeln Daten, sondern das Betriebssystem selbst bringt KI-Agenten mit (z. B. Microsoft Copilot & Windows Recall unter Windows 11, Apple Intelligence & Private Cloud Compute auf dem Mac oder ChatGPT Desktop mit „Computer History“).

    Diese Assistenten können lokale Ordner (`Dokumente`, `Downloads`, `iCloud Drive`, `OneDrive`) durchsuchen, Dateien indizieren oder alle paar Sekunden Bildschirmfotos (Snapshots) aufnehmen. Deshalb stellen wir uns die ehrliche Frage:

    „Wenn meine Portfolio-Sicherung als cashlog_sicherung.json auf meinem Rechner liegt und eine lokale KI sich Zugriff auf meine Dateien verschafft — können wir das ausschließen?“

    Unsere ehrliche Antwort (Ohne Marketing-Märchen):

    1. Bei einer unverschlüsselten JSON-Datei: Nein. Eine normale .json-Datei ist menschenlesbarer Text. Das ist praktisch, wenn du deine Daten selbst in Excel oder einem Texteditor prüfen willst. Aber jedes Programm mit Leserechten auf deinen Benutzerordner — egal ob Spotlight, Windows Copilot, ein lokaler LLM-Agent oder ein Cloud-Drive-Scanner — kann darin "Vanguard FTSE All-World" und 48500.00 im Klartext lesen.
    2. Mit dem cashlog AES-256-GCM Backup-Tresor: Ja — auf Datei-Ebene zu 100 % ausgeschlossen! Sobald du unter Einstellungen → Datensicherung → KI-Schutz & Backup-Tresor ein eigenes Passwort vergibst, leitet dein Browser per PBKDF2 (210.000 Iterationen SHA-256 + 16 Byte Zufalls-Salt) einen 256-Bit-Schlüssel ab und verschlüsselt das gesamte Backup per AES-256-GCM, noch bevor die Datei deine Festplatte oder dein iCloud/Google Drive berührt. Selbst wenn eine KI auf deinem PC oder in der Cloud diese Datei öffnet, liest sie ausschließlich Base64-kodiertes kryptografisches Rauschen. Ohne dein Passwort ist der Inhalt mathematisch nicht rekonstruierbar.
    Wo keine Web-App der Welt zaubern kann (und was du selbst beachten musst):
    Wir machen keine unhaltbaren Versprechungen. Es gibt zwei Situationen, in denen jede Software auf deine Mithilfe am Gerät angewiesen ist:
    • Bildschirm-Rekorder wie Windows Recall: Wenn du auf einem Copilot+-PC Windows Recall einschaltest, fotografiert Windows alle paar Sekunden deinen sichtbaren Monitor ab und liest die Pixel per OCR aus. Dagegen hilft keine Dateiverschlüsselung. Unsere Gegenmaßnahme in cashlog: Aktiviere den Diskret-Modus (👁️) in der Kopfleiste (blendet Euro-Beträge aus) und lass den Hintergrund-Sichtschutz aktiv (sobald du das Fenster wechselst, wird cashlog automatisch unscharf geblurrt). Noch besser: Setze deinen Browser in Windows Recall auf die Ausschlussliste.
    • KI-Browser-Extensions & Debug-Agenten: Wenn du in deinem Browser eine KI-Seitenleiste oder eine Erweiterung mit der Berechtigung „Alle Daten auf allen Websites lesen“ installierst und aktiv auf den offenen cashlog-Tab loslässt, darf diese Erweiterung den sichtbaren Seitentext lesen. Nutze für Finanz-Apps am besten ein sauberes Browserprofil ohne Vorlese-Extensions.

    3. Architektur-Vergleich: Wer sieht deine Finanzdaten?

    Schutz-Kriterium Klassischer Cloud-Tracker (mit Auto-Sync) Lokales Tool (unverschlüsselte Datei & Live-Kurs-Feed) cashlog.org (mit AES-256-GCM Tresor)
    Zentrale Server-Datenbank beim Anbieter? Ja — volles Portfolio liegt auf Servern Nein — lokal auf dem Gerät Nein — 100 % lokal im Browser
    Bank-Zugangsdaten / Open-Banking-Aggregator? Oft ja (Drittanbieter liest Konto/Depot) Nein Nein — nie Bank-Logins nötig
    Verraten Live-Kursabrufe deine Wertpapiere (ISINs)? Server kennt ohnehin alle Positionen Ja — Kurs-Server sieht angefragte ISIN-Liste + IP Nein — keine Einzeltitel-Kursabrufe im Hintergrund
    Werden Bank-PDFs an Cloud-KI geschickt? Auswertung auf Anbieter-Servern Lokal Nein — Offline-Scanner & lokale KI im Browser
    Schutz der Backup-Datei vor Desktop-KI (Copilot / Spotlight)? Entfällt (liegt in Anbieter-Cloud) Offen lesbar, solange unverschlüsseltes JSON/XML Ja — AES-256-GCM + PBKDF2 Tresor-Verschlüsselung
    Sichtschutz gegen Bildschirm-Snapshots (Recall)? Nein Nein Ja — Diskret-Modus (👁️) & Auto-Blur im Hintergrund

    Dein Vermögen geht niemanden etwas an — auch keine KI.

    Teste cashlog direkt im Browser: mit exakter XIRR, Stückzins- & YTM-Berechnung, Offline-Belegscanner und dem neuen AES-256-GCM Backup-Tresor.

    Jetzt in der App öffnen → Weitere Artikel im Wissen-Hub