Ein detaillierter Blick darauf, wie wir sicherstellen, dass Ihre Daten von niemandem außer Ihnen gelesen werden können.
Keine Richtlinie – eine Eigenschaft der Mathematik.
Jedes Byte auf unseren Servern ist unter einem Schlüssel versiegelt, der Ihr Gerät nie verlässt – und nichts erreicht Ihre Bank, solange Sie ihn nicht entsperren. Das Backend speichert ausschließlich Chiffretext und öffentliche Schlüssel.
Ein ECDH-P-256-Schlüsselpaar wird in Ihrem Browser über die Web Crypto API erzeugt. Der private Schlüssel wird unter Ihrer Passphrase (PBKDF2) verpackt und in IndexedDB gespeichert – er verlässt nie Ihr Gerät.
Das Backend erhält nur den öffentlichen Schlüssel – genug, um Daten für Sie zu verschlüsseln, aber mathematisch nutzlos, um sie zu entschlüsseln.
Während einer von Ihnen autorisierten Synchronisierung ruft das Backend die Daten von Ihrer Bank ab und versiegelt jedes Konto und jede Transaktion sofort unter Ihrem öffentlichen Schlüssel (ephemeral ECDH P-256 + HKDF-SHA256 + AES-256-GCM) – Chiffretext, den es schreiben, aber nie lesen kann.
Nichts wird im Klartext gespeichert – nicht einmal Ihr Bank-Sitzungstoken. Jeder Datensatz ist lediglich ein Envelope: ephemerer öffentlicher Schlüssel, Nonce und Chiffretext.
Nur drei Dinge liegen auf unseren Servern – und keines davon kann Ihre Bankdaten preisgeben.
Nie gespeichert: Bankdaten im Klartext. Wir bewahren nur Chiffretext auf, den wir nicht entschlüsseln können.
Sie rufen Chiffretext ab und entschlüsseln ihn lokal. Der Browser und der Headless-S2S-Client durchlaufen denselben Codepfad, sodass die kryptografischen Garantien identisch sind.
Selbst das Bank-Sitzungstoken ist unter Ihrem Schlüssel verschlüsselt. Eine Synchronisierung läuft nur, während Sie mit entsperrtem Schlüssel anwesend sind: Sitzung entschlüsseln → von Ihrer Bank abrufen → Ergebnisse neu verschlüsseln → sämtlichen Klartext verwerfen.
Keine stillen Jobs, kein dauerhafter Zugriff – ohne Ihren entsperrten Schlüssel können wir nichts von Ihrer Bank abrufen.
Server-zu-Server
Exportieren Sie Ihren privaten Schlüssel (JWK oder PKCS#8) und stellen Sie ihn in Ihrer eigenen Infrastruktur bereit. Der Headless-S2S-Client nutzt denselben Entschlüsselungspfad wie der Browser, und der Schlüssel verlässt nie Systeme, die Sie selbst kontrollieren.
Der Export erfordert eine ausdrückliche Bestätigung von Ihnen. Der Schlüssel wird erst in diesem Moment extrahierbar – im Normalbetrieb bleibt die lokale Kopie in Ihrem Browser gesperrt.