Es gibt einen Satz, den wir oft wiederholen, wenn wir über Cashfulness sprechen.
„Wir sehen deine Dokumente nicht.“
Das ist ein Satz, der sich leicht sagt. Viele Apps sagen ihn.
Es kommt darauf an, was unter diesem Satz liegt. Denn „wir schauen sie nicht an“ und „wir können sie nicht anschauen“ sind zwei sehr verschiedene Versprechen.
Das erste ist ein Versprechen guten Willens: Vertrau darauf, dass wir es nicht tun.
Das zweite ist ein Versprechen der Unmöglichkeit: Selbst wenn wir wollten, wir können es nicht.
In Cashfulness gilt für die Dokumente, die du hochlädst, das zweite. Und das Fachwort, das es wahr macht, heißt Ende-zu-Ende-Verschlüsselung.
Abgekürzt findest du sie als E2EE, von englisch end-to-end encryption: Verschlüsselung „von einem Ende bis zum anderen“.
Ich weiß, das klingt nach Informatik. Versprochen: Am Ende dieses Artikels wirst du sie verstanden haben, auch wenn du nie im Leben eine Zeile Code geschrieben hast. Und du wirst verstanden haben, warum das für eine App, in der die Zahlen deines Haushalts liegen, alles verändert.
Zuerst die richtigen Wörter
Fangen wir beim Verb an. Eine Datei zu verschlüsseln heißt, sie in eine unlesbare Folge zu verwandeln.
Nicht sie hinter einem Passwort zu verstecken, das nach dem Einlass fragt. Sie wirklich zu verwandeln: den Text, die Zahlen, die Bilder zu nehmen und sie auf einen Block von Zeichen zu reduzieren, die für jeden, der nicht den richtigen Schlüssel hat, nichts bedeuten.
Das, was diesen Block wieder in die lesbare Form bringt, heißt Schlüssel. Es ist ein Stück Information — stell dir ein sehr, sehr langes, vom Computer erzeugtes Passwort vor —, ohne das die Datei Rauschen bleibt.
Du verschlüsselst mit dem Schlüssel. Du entschlüsselst mit dem Schlüssel. Ohne Schlüssel ist da eine Wand.
Merk dir diese beiden Wörter — verschlüsseln und Schlüssel —, denn alles Weitere dreht sich darum, wo der Schlüssel wohnt.
Das Schließfach in der Bank
Ich nehme das Beispiel, das aus meiner Sicht alles klärt.
Kennst du die Schließfächer in der Bank? Die, in die Leute wichtige Papiere legen, ein paar Schmuckstücke, die Dinge, die sie nicht zu Hause haben wollen.
Die funktionieren so.
Die Bank gibt dir einen gepanzerten Tresorraum, bewacht, diebstahlsicher. Darin steht dein Fach.
Aber den Schlüssel zu deinem Fach hast du. Nur du.
Die Bank hütet den Tresorraum. Sie kann dein Fach nicht öffnen. Sie hat den Schlüssel nicht. Wenn morgen eine unehrliche Angestellte neugierig würde, sie könnte es nicht: Das Schloss geht ohne deinen Schlüssel nicht auf. Und wenn Diebe einbrächen und den ganzen Tresorraum mitnähmen, hätten sie eine verschlossene Metallkiste in der Hand, die sie nicht aufbekommen.
Die Bank bietet dir einen Dienst — die Sicherheit des Tresorraums —, ohne Zugriff auf das zu verlangen, was du hineinlegst.
Die Ende-zu-Ende-Verschlüsselung ist genau das, angewandt auf digitale Dateien.
Cashfulness ist die Bank: Wir bieten dir den Tresorraum, also unsere Server, auf denen deine Dokumente verwahrt werden.
Du bist der Einzige, der den Schlüssel zum Fach hat.
Und wir verwahren, wie die Bank, ohne öffnen zu können.
Was in der Praxis passiert, wenn du ein Dokument hochlädst
Nehmen wir an, du möchtest in Cashfulness den Kontoauszug der Bank aufbewahren, eine Stromrechnung, den Mietvertrag, eine Versicherungspolice.
Das sind die Dokumente, die du in Cashfulness hochladen kannst: Kontoauszüge, Rechnungen, Verträge, Policen. Material voller Daten von dir — ausgeschriebener Name, Adresse, IBAN, Beträge, Vertragspartner.
Hier ist die Abfolge.
Du wählst die Datei auf dem Handy oder am Computer aus.
Bevor sie losgeht, noch auf deinem Gerät, wird das Dokument verschlüsselt. Es wird zu jenem Block aus Rauschen, von dem ich sprach.
Erst danach, bereits verschlüsselt, reist es zu unseren Servern.
Auf dem Server kommt Rauschen an. Auf dem Server bleibt Rauschen.
Wenn du es wieder lesen willst, kommt das Dokument noch verschlüsselt auf dein Gerät zurück, und dort — nur dort, mit deinem Schlüssel — wird es wieder lesbar.
Der Moment der Verschlüsselung ist der wichtige Teil: Sie geschieht bei dir, vor der Abreise. Nicht nach dem Motto „sobald es auf dem Server angekommen ist, schließen wir es für dich ab“. Das wäre die Bank, die eine Kopie deines Schlüssels in der Schublade des Filialleiters aufbewahrt.
Nein. Den Schlüssel haben wir nie. Er entsteht bei dir und bleibt bei dir.
Wo dein Schlüssel wohnt
An dieser Stelle die richtige Frage: Und wenn ich diesen ominösen Schlüssel verliere? Wo bewahre ich ihn auf?
Der Schlüssel zu deinen Dokumenten entsteht aus zwei Dingen, die dir gehören.
Das erste ist dein Passwort, das, mit dem du dich bei Cashfulness anmeldest.
Das zweite ist eine Folge von 24 Wörtern, die du bekommst, wenn du diesen Schutz aktivierst. Es ist ein Verfahren, das auch anderswo zum Verwahren der heikelsten Schlüssel verwendet wird — vierundzwanzig gewöhnliche Wörter, in einer bestimmten Reihenfolge, die zusammen wie ein Hauptschlüssel zur Wiederherstellung gelten.
Aus diesen beiden Dingen wird auf deinem Gerät der Schlüssel gebaut, der deine Dokumente ver- und entschlüsselt.
Und hier kommt der Punkt, für den der ganze Artikel steht: Dieser Schlüssel verlässt dein Gerät nie.
Er läuft nicht über unsere Server. Wir speichern ihn nirgendwo. Wir sehen ihn nicht vorbeikommen.
Es ist, als würde der Schlüssel zum Schließfach bei dir zu Hause geschmiedet, von dir, und käme nie hinaus. Die Bank hat ihn nie gesehen, nicht einen Augenblick lang.
Für unsere Server ist und bleibt, ich wiederhole es, jedes deiner Dokumente ein Block digitalen Rauschens.
Wer deine Dokumente nicht lesen kann (also: alle außer dir)
Ich versuche, deutlich zu werden, denn genau hier hält ein Datenschutzversprechen normalerweise stand — oder es fällt in sich zusammen.
Deine hochgeladenen Dokumente können wir, die Cashfulness gebaut haben, nicht lesen. Es gibt kein Fenster irgendwo, in dem einer unserer Techniker deine Police öffnet. Technisch existiert das nicht, weil wir den Schlüssel nicht haben.
Lesen kann sie auch nicht, wer die Server betreibt, auf denen die Daten laufen.
Lesen könnte sie auch ein Angreifer nicht, der eines Tages in unsere Systeme einbräche und alles mitnähme: Er hätte Rauschen in der Hand, unbrauchbare Dateien.
Und wir könnten sie nicht einmal dann lesbar herausgeben, wenn eine Behörde sie förmlich von uns verlangte, weil wir sie nicht im Klartext haben. Wir können nur das Rauschen herausgeben, das wir verwahren.
Der Satz „wir sehen deine Dokumente nicht“ hört an dieser Stelle auf, eine freundliche Beruhigung zu sein.
Er wird zur technischen Beschreibung einer Tatsache.
Wir sehen sie nicht, weil wir es nicht können. Das ist ein Unterschied.
Die Kehrseite (und ich will sie dir selbst sagen, vorab)
Ein so enger Schutz hat einen Preis, und es wäre unredlich, ihn zu verschweigen.
Wenn du dein Passwort verlierst und dazu auch deine 24 Wiederherstellungswörter, werden deine Dokumente unlesbar. Für immer. Auch für uns.
Es gibt keinen Knopf „ich habe alles vergessen, schickt mir die Dateien noch mal“. Es gibt keinen Techniker von uns, der durchs Fenster zurückkäme und sie dir herausholte.
Zurück zum Schließfach in der Bank: Wenn du deinen Schlüssel verlierst und niemand sonst eine Kopie hat, bleibt alles im Fach — nur öffnet es niemand mehr.
Ich verstehe, dass das so gesagt ein wenig beunruhigen kann. Aber sieh es von der anderen Seite, denn deshalb haben wir uns dafür entschieden.
Gäbe es irgendwo eine „Sicherungskopie“ deines Schlüssels — auf unserem Server, in der Schublade des Filialleiters —, dann wäre diese Kopie die Schwachstelle des ganzen Systems. Sie wäre das, wonach ein Angreifer als Erstes suchen würde. Sie wäre die Tür, die eine Behörde uns zu öffnen auftragen könnte. Sie wäre die Datei, die eine unehrliche Angestellte sich kopieren könnte.
Ein Schlüssel, der nur auf deinem Gerät existiert, öffnet diese Tür schlicht nicht.
Wir haben uns entschieden, dir die ganze Kontrolle zu geben — mit dem Gewicht, das dazugehört —, statt uns eine Abkürzung zu behalten, die früher oder später das Loch im Deich geworden wäre.
Die praktische Geste, um die wir dich im Gegenzug bitten, ist eine einzige: Verwahre deine 24 Wörter so, wie du die Eigentumsurkunde deiner Wohnung verwahren würdest. Aufgeschrieben, an einem sicheren Ort, fern von fremden Augen. Nicht in einer E-Mail an dich selbst, nicht in einer Notiz auf dem Handy. Diese 24 Wörter sind die Reservekopie deines Schlüssels. Behandle sie wie die Dinge, auf die es ankommt.
Eine ehrliche Klarstellung: Die E2EE deckt hier die Dokumente ab
Ich will dir nicht mehr verkaufen, als da ist, denn das wäre das Gegenteil dieses ganzen Artikels.
Die Ende-zu-Ende-Verschlüsselung, von der ich gesprochen habe, schützt die Dokumente, die du hochlädst: Kontoauszüge, Rechnungen, Verträge, Policen. Das ist die heikelste Ebene, und dort haben wir das engste Schloss angebracht.
Deine eigentlichen Buchhaltungsdaten — die Konten, die Salden, die Bewegungen, aus denen sich deine Standortbestimmung ergibt, also dein Nettovermögen — folgen dagegen einer anderen Logik.
Sie liegen in einer Datenbank von uns, auf europäischen Servern, und sind serverseitig im Klartext. Das ist eine notwendige technische Entscheidung: Sie werden gebraucht, um deine Buchhaltung zwischen Handy und Computer abzugleichen und um die Kennzahlen, die wir dir zeigen, in Echtzeit zu berechnen. Sie genauso zu verschlüsseln wie die Dokumente würde die App extrem langsam und faktisch unbrauchbar machen.
Aber — und hier kommt der Teil, den viele nicht erwarten — diese Zahlen reisen ohne deine Biografie im Gepäck.
Bei der Registrierung fragen wir dich nach einem Spitznamen (nach dem, den du willst, gern auch erfunden), nach einer E-Mail und einem Passwort. Wir fragen dich nicht nach Vorname, Nachname, Steuernummer, Geburtsdatum, Adresse, Telefon.
So sähe selbst jemand mit Zugriff auf die Datenbank einen bestimmten Spitznamen mit Konten, Salden und Bewegungen — aber ohne eine Möglichkeit, diese Zahlen mit der echten Person zu verbinden, die du bist.
Wie diese zweite Schicht funktioniert und warum wir sie auf zwei Ebenen statt auf einer gebaut haben, steht in einem eigenen Artikel: Radikale Privatsphäre: zwei Ebenen, ein einziges Versprechen. Hier höre ich auf, denn das heutige Thema ist der Schlüssel zum Schließfach.
Was ich festhalten wollte, ist dies: Wenn wir sagen, dass die Ende-zu-Ende-Verschlüsselung deine Dokumente unlesbar macht, sprechen wir von den Dokumenten. Für den Rest gilt ein anderer Schutz, der ebenso ernst gemeint ist. Und ich sage es dir lieber selbst und genau, statt dich an eine magische Verschlüsselung glauben zu lassen, die alles abdeckt.
Warum uns das so wichtig war
Ich könnte hier bei der Technik aufhören. Aber die Technik allein ist nicht der Grund.
Der Grund ist, dass persönliche Finanzen der Ort sind, an dem die Dinge liegen, über die du nicht einmal mit Freunden gern sprichst. Wie viel du wirklich verdienst. Wie viel du zurückgelegt hast, oder wie wenig. Eine Schuld, die drückt.
Wenn beim Öffnen einer solchen App im Hinterkopf der Zweifel bleibt, dass irgendjemand irgendwo einen Blick darauf werfen könnte, wird diese App dir nie das geben, wofür sie da ist.
Wir nennen dieses Etwas Ruhe. The calm side of money, die ruhige Seite des Geldes. Und Ruhe ist, wenn deine Zahlen nicht wirklich sicher sind, nur ein Wort auf der Website.
Die Ende-zu-Ende-Verschlüsselung der Dokumente ist keine technische Trophäe fürs Schaufenster. Sie ist der Fußboden, auf dem alles Übrige steht: ohne sie stehen die Kennzahlen und die Standortbestimmung wie Möbel auf der Leere.
Deshalb haben wir sie ins Fundament geschrieben und nicht später als zusätzlichen Schalter hinzugefügt.
In einer Zeile
Ich lasse sie dir in der kürzesten Form, die ich habe.
Deine Dokumente schließt du in ein Fach. Den Schlüssel zu diesem Fach hast nur du, und er verlässt dein Gerät nie. Wir verwahren das verschlossene Fach und können es nicht öffnen.
Nicht, weil wir versprochen hätten, anständig zu sein.
Sondern weil wir uns die Möglichkeit, es nicht zu sein, absichtlich genommen haben.
— Vittorio