Die meisten kostenlosen Apps auf deinem Handy sind nicht kostenlos.
Man bietet sie dir im Tausch gegen deine Daten an.
Das ist ein Tauschhandel.
Im Prinzip ist er transparent, und in vielen Fällen lohnt er sich sogar — daran ist nichts Skandalöses.
Auch viele Apps für persönliche Finanzen funktionieren so.
Sie geben dir ein kostenloses oder fast kostenloses Werkzeug zum Tracking, und im Gegenzug aggregieren sie deine Ausgabendaten, um Marktberichte, personalisierte Empfehlungen, Werbevorschläge, Profilbildung und Handelspartnerschaften daraus zu machen.
Auch das ist im Prinzip eine legitime Entscheidung des Anbieters.
Du akzeptierst in einem Augenblick die Nutzungsbedingungen und machst weiter.
Cashfulness hat sich anders entschieden.
Nicht um die anderen Apps zu verurteilen — jeder baut sein eigenes Modell, und viele tun es ehrlich — sondern weil wir glauben, dass persönliche Finanzen eine andere Behandlung verdienen.
Es ist ein Bereich, in dem der Nebel schon dicht genug ist, und in dem das Bewusstsein, dass jemand (und sei es nur theoretisch) auf deine Zahlen schauen könnte, dem Produkt seinen Sinn nimmt.
Die Ruhe, von der wir sprechen, ist ein leeres Versprechen, wenn die Daten nicht sicher sind.
Deshalb haben wir Cashfulness um eine präzise technische Entscheidung herum gebaut, die in den Fundamenten des Codes steht und auf zwei Ebenen funktioniert.
Die erste Ebene schützt die Dokumente, die du in Cashfulness hineinbringst — mit radikaler Ende-zu-Ende-Verschlüsselung.
Die zweite Ebene schützt deine Identität und deine Buchhaltungsdaten — mit maximaler Anonymisierung.
Die beiden Ebenen antworten auf unterschiedliche Bedürfnisse und verwenden unterschiedliche Werkzeuge. Es lohnt sich, sie einzeln zu erklären.
Warum eine Verbindung nötig ist (und was das für die Privatsphäre bedeutet)
Eine technische Vorbemerkung, bevor wir zu den beiden Ebenen kommen.
Cashfulness funktioniert nur, wenn dein Gerät online ist.
Ob mobil oder auf dem Desktop: Die App muss mit einer entfernten Datenbank sprechen können, die auf unseren Servern lebt (europäische Infrastruktur).
Warum diese Entscheidung? Weil deine Buchhaltungsdaten zwischen den verschiedenen Geräten, die du benutzt, synchronisiert bleiben müssen.
Wenn du in der Mittagspause eine Transaktion vom Smartphone aus hinzufügst, willst du sie am Abend auf dem Laptop wiedersehen. Und umgekehrt genauso.
Ohne einen zentralen Punkt der Wahrheit würden die Daten zwischen den Clients systematisch auseinanderlaufen, und du hättest zwei widersprüchliche Kopien deiner Buchhaltung — ein kleiner Albtraum, der den ganzen Sinn der doppelten Buchführung zunichtemacht.
Also ja: Deine Buchhaltung läuft über einen entfernten Server.
Das ist kein Verzicht auf Privatsphäre, sondern die technische Voraussetzung dafür, dir eine Buchhaltung zu geben, die auf mehreren Geräten wirklich funktioniert.
Die interessante Frage wird damit: Wie schützen wir deine Privatsphäre unter dieser Voraussetzung?
Die Antwort liegt in den beiden Ebenen, von denen ich dir jetzt erzähle.
Ebene 1 — Radikale Ende-zu-Ende-Verschlüsselung für die Dokumente
Wenn du anfängst, Cashfulness zu benutzen, wirst du früher oder später deine Dokumente in die App bringen wollen: Kontoauszüge der Bank, Kredit- oder Mietverträge, Strom- und Gasrechnungen, Versicherungspolicen, Anlagebescheinigungen, Fondsabrechnungen, wichtige Steuerbelege.
Diese Dokumente enthalten alles Mögliche: deinen vollständigen Namen, Adresse, Steuernummer, IBAN, Beträge, Gegenparteien, Details deines Lebens.
Sie sind die allersensibelste Ebene.
Für sie haben wir die engstmögliche Entscheidung getroffen: radikale Ende-zu-Ende-Verschlüsselung.
Der Fachbegriff lautet Ende-zu-Ende-Verschlüsselung, oder E2EE.
Um ohne Fachjargon zu verstehen, was das ist, stell dir vor, du willst einen Brief per Kurier verschicken.
Du hast zwei Möglichkeiten.
Möglichkeit 1, das Standardmodell.
Du schreibst den Brief im Klartext, steckst ihn in einen Umschlag und gibst ihn dem Kurier.
Der Kurier kann — wenn er will — den Umschlag öffnen, den Brief lesen, sich Notizen machen, ihn wieder verschließen und zustellen.
Du vertraust darauf, dass er es nicht tut, weil er es versprochen hat, vielleicht auch, weil es Gesetze gibt, die es ihm verbieten und dir eine gewisse Garantie geben.
Aber rein materiell kann er es.
Möglichkeit 2, Ende-zu-Ende-Verschlüsselung.
Du schreibst den Brief und schließt ihn in eine Metallkiste, die sich nur mit einem bestimmten Schlüssel öffnen lässt.
Den Schlüssel hast du. Nur du.
Du gibst die Kiste dem Kurier. Der Kurier transportiert und lagert sie.
Selbst wenn er sie nehmen und mit nach Hause bringen würde, könnte er sie nicht öffnen, weil er den Schlüssel nicht hat.
Wenn du den Brief brauchst, öffnest du die Kiste mit deinem Schlüssel und liest.
Die Ende-zu-Ende-Verschlüsselung der Dokumente in Cashfulness ist die Metallkiste aus Möglichkeit 2.
Wenn du ein Dokument in die App lädst, verschlüsselt dein Gerät es, bevor es an den Server geht. Auf dem Server kommt es verschlüsselt an und bleibt verschlüsselt.
Für den Server ist jedes deiner Dokumente ein Block digitalen Rauschens.
Der Schlüssel zum Entschlüsseln liegt nur auf deinem Gerät, abgeleitet aus deinem persönlichen Passwort und deinen 24 Wiederherstellungswörtern (der sogenannten Seed-Phrase, dem solidesten heute verfügbaren Standard, um persönliche kryptografische Schlüssel zu erzeugen und zu schützen).
Was das in der Praxis bedeutet:
- Der Server von Cashfulness kann deine Dokumente nicht lesen. Weder wir, die die App gebaut haben, noch die Betreiber der Infrastruktur, noch ein möglicher künftiger Angreifer.
- Wenn Cashfulness morgen kompromittiert würde und alle Dokumente auf den Servern gestohlen würden, sähe der Angreifer Rauschen. Unbrauchbar.
- Auch eine Behörde, die deine Dokumente formal anfordern würde, bekäme Rauschen. Wir können sie nicht herausgeben, weil wir sie nicht im Klartext haben.
Es gibt eine Kehrseite der Medaille, und wir wollen dabei ehrlich sein.
Wenn du dein Passwort verlierst und auch die 24 Wiederherstellungswörter verlierst, werden deine Dokumente auch für dich unlesbar.
Für immer.
Wir können sie nicht wiederherstellen, weil wir technisch nicht lesen können, was du verschlüsselt hast. Es gibt keine „Passwort-Wiederherstellung per E-Mail“, die dir die Dokumente zurückgibt, weil auf der anderen Seite niemand ist, der das könnte.
Der Schlüssel gehört nur dir.
Das bedeutet Freiheit — du bist der Einzige, der Zugang hat — und Verantwortung — du bist der Einzige, der den Zugang verlieren kann.
Das ist eine philosophische Entscheidung. Wir geben dir lieber die vollständige Kontrolle, auch wenn das die Last einschließt, deine Zugangsdaten zu verwahren, als eine „Sicherheitskopie“ davon auf unserem Server zu behalten. Diese Kopie könnte früher oder später zu einem Angriffspunkt werden.
Ein Schlüssel, der nur auf deinem Handy existiert, wird das nicht.
Ebene 2 — Maximale Anonymisierung für Identität und Buchhaltungsdaten
Die zweite Ebene ist anders und deckt alles Übrige ab: wer du bist und was du in der App tust, in Zahlen ausgedrückt.
Für diese Daten haben wir eine andere Strategie gewählt, weil das Problem anderer Natur ist.
Dokumente sind „Kisten“ mit sensiblem Inhalt, und es ergibt Sinn, sie vollständig zu verschlüsseln.
Buchhaltungsdaten sind dagegen eine lebendige Struktur: Zahlen, Konten, Kategorien, Bewegungen, die du jeden Tag brauchst und auf denen Cashfulness die Kennzahlen zu deiner finanziellen Gesundheit aufbaut, die es dir zeigt.
Sie auf dieselbe Weise wie die Dokumente zu verschlüsseln, würde die App extrem langsam und in vielen Fällen unbrauchbar machen.
Unsere Antwort ist nicht die absolute Verschlüsselung. Sie ist maximale Anonymisierung.
In der Praxis bedeutet das zweierlei.
Cashfulness will nicht einmal wissen, wie du heißt.
Wenn du dich registrierst, fragen wir dich nicht nach Vor- und Nachnamen.
Wir fragen dich nach einem Nickname — nach dem, den du willst, gern auch reine Fantasie.
Wir fragen dich nach einer E-Mail für technische Kontakte (Zugangswiederherstellung, Servicemitteilungen) und nach einem Passwort.
Schluss.
Keine Steuernummer, kein Geburtsdatum, keine Adresse, keine Telefonnummer, keine Verknüpfung mit deinem Bankkonto, keine Identitätsprüfung.
Für Cashfulness bist du ein Nickname mit einer E-Mail. Nichts weiter.
Deine Buchhaltungsbereiche sind für alle, die nicht du sind, schwer zu entschlüsseln.
Die App lädt dich ein, Einnahmen und Ausgaben in spezifische Konten und Unterkonten zu gliedern. Die Namen, die du diesen Konten gibst, die Bezeichnungen deiner Bewegungen, der Detailgrad, mit dem du dein finanzielles Leben beschreibst — das entscheidest du, mit dem Vokabular, das dir am meisten nützt.
Cashfulness verlangt nie von dir, persönliche Daten in die Kontonamen zu schreiben: keine Steuernummer, keine IBAN in den Bezeichnungen, keine Eigennamen. Die Namen sind operativ (zum Beispiel: „Gehalt“, „Hauptgirokonto“, „Immobilienkredit“, „Autokosten“, „Vereinnahmte Mieten“): Sie beschreiben eine Funktion, nicht dich.
Zusammen machen diese beiden Faktoren — ein Nickname, der nicht verrät, wer du bist, und Kontonamen, die das Was beschreiben und nicht das Wer — deine Buchhaltung für jeden, der nicht du selbst ist, schwer zu verstehen und unmöglich mit dir in Verbindung zu bringen.
Das konkrete Ergebnis ist dieses: Selbst wenn jemand (ein Angreifer, ein unehrlicher Mitarbeiter, eine Behörde) serverseitig in die Datenbank schauen könnte, sähe er einen bestimmten Nickname mit einem Kontenplan, mit Salden und Bewegungen.
Er wüsste nicht, wer dieser Nickname ist.
Er hätte keine Möglichkeit, diese Zahlen mit der realen Person hinter dem Bildschirm zu verknüpfen.
Er sähe eine Buchhaltung ohne Biografie.
Ein paar praktische Tipps, um wirklich anonym zu bleiben
Anonymität ist nicht nur ein Versprechen von uns: Sie ist auch eine kleine Geste von dir.
Wenn du willst, dass deine Buchhaltung für jeden, der nicht du ist, unverständlich bleibt, empfehlen wir dir:
- Nenne die Konten nach ihrer Funktion, nicht nach Personen. „Bankkonto“, „Gehalt“, „Immobilienkredit“, „Gemeinschaftskonto“ funktionieren gut. „Konto Mario Rossi“ oder eine vollständige IBAN in der Bezeichnung öffnen einen unnötigen Spalt.
- Lass die Beschreibungen der Transaktionen ruhig generisch. Von Natur aus sind sie das ohnehin schon: „Frühstück im Café“, „Abendessen im Restaurant“, „Tanken“, „Wocheneinkauf“. Niemand außer dir würde verstehen, ob dieses Abendessen in München mit einem Kunden war oder in Lübeck mit deiner Schwester.
- Verwende für die Registrierung eine pseudonyme E-Mail, wenn du es auf die Spitze treiben willst. Deine E-Mail dient nur zum Login und zur Zustellung von Servicemitteilungen: Niemand zwingt dich, eine „offizielle“ der Art
vorname.nachname@domain.dezu benutzen. Eine pseudonyme der Artaurora.der.nacht@protonmail.comoder jede andere, die dir passt, ist völlig in Ordnung.
Auch die Zahlung ist anonym (für uns)
Ein Punkt, den Lesende in der Regel nicht erwarten und den es sich lohnt, klar zu sagen.
Für die Abonnements von Cashfulness fragen wir dich nicht direkt nach Kreditkarte, IBAN oder Rechnungsdaten. Die Zahlung läuft über den Store, aus dem du die App heruntergeladen hast: App Store (Apple) oder Google Play (Google) für die mobilen Versionen, Stripe für Zahlungen über die Website.
Es sind diese Dritten, die deinen Namen, deine Adresse, deine Kreditkarte oder IBAN sehen — weil technisch gesehen sie es sind, die kassieren. Ihnen obliegt in der Regel auch die Ausstellung von Rechnungen oder Steuerbelegen für dein Abonnement (nach den Regeln deines Landes).
Cashfulness erhält am anderen Ende dieser Leitung nur den Nettoerlös und eine undurchsichtige Kennung des Abonnements (etwas in der Art sub_abc123).
Wir sehen nie: Kundenname, Steuernummer, Kreditkarte, IBAN.
Wir stellen Endnutzern keine Rechnungen oder Steuerbelege aus.
Mit anderen Worten: Auch auf der kommerziellen Seite genügt es uns, von dir zu wissen, dass es ein aktives Abonnement gibt, das mit einem bestimmten Nickname und einer bestimmten pseudonymen E-Mail verknüpft ist. Die Biografie der Kundin oder des Kunden liegt auf der anderen Seite, beim Store, und dort bleibt sie.
Die schwierigen Entscheidungen, die daraus folgen
Diese beiden Ebenen zusammenzubringen, ist keine geschenkte Funktion.
Es ist eine Entscheidung, die einige Türen strukturell verschließt, und über diese Türen lohnt es sich, deutlich zu sein, denn hier zeigt sich der Preis der Konsequenz.
Keine granulare Verhaltensanalyse pro Profil.
Wir können die Aktivität in der App nicht mit realen Identitäten in Beziehung setzen, weil wir die realen Identitäten nicht haben.
Die Produktentwicklung ist bei individuellen Mustern ein Stück weit blinder. Wir stützen uns viel stärker auf direktes Feedback, auf Tests in der Beta, auf qualitative Interviews.
Das funktioniert, ist aber weniger automatisch.
Keine personalisierten kommerziellen Empfehlungen.
Wir sagen dir nicht „andere Nutzer wie du haben X gekauft“, ausgehend von deinem Profil. Wir drängen dir keine Produkte gesponserter Partner auf, gestützt auf deine Zahlen. Das Modell kommerzieller Profilbildung, das für viele kostenlose Apps das täglich Brot ist, gibt es in Cashfulness nicht.
Was wir dagegen tun — und das wollen wir klar sagen — sind Wege zur Verbesserung deiner finanziellen Situation: Hinweise darauf, wo deine Zahlen nahelegen, dass sich sparen ließe, wo die Zusammensetzung des Vermögens eine Überlegung verdient, wo die Monate an Deckung mit kleinen Anpassungen wachsen könnten.
Das sind lehrreiche Hinweise, aufgebaut auf deinen Daten und — wenn die Natur der Daten es erfordert — auf deinem Gerät berechnet, auf einer lokal entschlüsselten Kopie.
Eine wichtige Klarstellung: Cashfulness gibt keine personalisierten Anlageempfehlungen. Das ist das Terrain zugelassener Finanzberaterinnen und -berater, und das aus guten Gründen: Es ist eine regulierte Tätigkeit, die Kompetenz, Verantwortung und ein Vertrauensverhältnis anderer Art verlangt als das zwischen dir und einer App. Cashfulness hilft dir, klar zu sehen — nicht dabei, den Fonds auszuwählen, den du nächste Woche kaufst.
Benachrichtigungen und Newsletter: nur wenn du sie willst, nie standardmäßig.
Dass wir allergisch auf kommerzielle Profilbildung reagieren, heißt nicht, dass wir eine stumme Plattform sind.
Cashfulness kann dir nützliche Dinge schicken — und wenn ich „nützlich“ sage, meine ich wirklich für dich, nicht für Dritte: eine Warnung, wenn ein Budget zu überschreiten droht, Vorschläge dazu, wo deine Zahlen erzählen, dass du sparen könntest, einen kurzen periodischen Newsletter mit lehrreichen Überlegungen zu persönlichen Finanzen und zu den Neuerungen im Produkt.
All das ist Opt-in: Du aktivierst es bei der Registrierung oder später, wann du willst, und du deaktivierst es, wann du willst.
Kein Kästchen ist standardmäßig angehakt. Deine E-Mail — auch wenn sie pseudonym ist — dient uns nur dazu, dir zuzustellen, worum du gebeten hast, nicht dazu, dich mit Nachrichten zu verfolgen, die du nicht wolltest.
KI, die sich streng an die beiden Ebenen der Privatsphäre hält.
Die Funktionen künstlicher Intelligenz, die Cashfulness entwickelt oder entwickeln wird, respektieren die oben beschriebene Unterscheidung.
Bei den Dokumenten (Kontoauszüge, Verträge, Rechnungen, Policen) finden KI-Verarbeitungen, die deren Inhalt lesen müssen, auf deinem Gerät statt, auf einer lokal entschlüsselten Kopie. Der Server sieht den Inhalt dieser Dokumente nie.
Bei den Buchhaltungsdaten (Salden, Bewegungen, Kategorien deines Nicknames) laufen etwaige serverseitige Verarbeitungen auf Zahlen ohne personenbezogene Identität — die „Buchhaltung ohne Biografie“, von der ich vorhin sprach. Die KI kann dir helfen, nützliche Muster zu lesen (dir zum Beispiel eine Ausgabe zu melden, die aus deinem üblichen Rahmen fällt, oder vorzuschlagen, wo sich kürzen ließe), aber ohne diese Zahlen jemals mit einem realen Vor- und Nachnamen verknüpfen zu können.
Was wir nicht tun werden, ist ein KI-Modell zu bauen, das das Wer du bist mit deinem finanziellen Leben verknüpft — denn das „Wer du bist“ haben wir in Cashfulness nicht.
Kein Verkauf aggregierter Daten, die sich auf Personen zurückführen lassen.
Wir können keine „Datensätze zu den Ausgaben der Italiener nach Altersgruppe und Wohnort“ an Banken, Forschungsinstitute oder Werbeagenturen verkaufen. Personen- und Adressdaten haben wir nicht.
Das wäre ein bedeutender Einnahmekanal gewesen. Wir haben ihn bewusst aus dem Geschäftsmodell gestrichen.
Die kommerzielle Folge dieser Entscheidungen ist klar: Um uns zu tragen, leben wir allein von direkten Abonnements der Nutzerinnen und Nutzer.
Minimaler Free-Tarif, Abonnement Base, Abonnement Top.
Keine Werbung, kein Datenverkauf, keine Partnerschaft, die Zugang zu den Daten der Nutzenden verlangt.
Das ist ein engeres Modell als der Marktstandard, aber es ist ehrlich, und es ist das einzige, das es Cashfulness erlaubt, das Versprechen zu halten, das es auf dem ersten Bildschirm des Onboardings gibt.
Eine Folge dieses Modells, die uns gefällt: Jede Person, die sich entscheidet, für Cashfulness zu zahlen, will das Produkt wirklich.
Es gibt nicht die Dynamik, nach der „das Produkt gratis ist, weil du das Produkt bist“.
Du bist die Kundin oder der Kunde, und das Produkt ist das, wofür du zahlst.
Auch die Partnerschaften halten sich an diese Regel
Es gibt eine Frage, die uns früher oder später gestellt werden wird — und die es sich lohnt vorwegzunehmen.
Wenn Cashfulness sich in Zukunft für Integrationen mit anderen Finanzdiensten öffnen würde (Tarifvergleiche, Versicherungsmakler, Vermögensverwalter), blieben diese beiden Schutzebenen dann bestehen?
Ja, und die Regel formulieren wir so: Wenn Cashfulness einen externen Partner integriert, geht der Aufruf an den Partner immer von deinem Gerät aus, auf deine ausdrückliche Anfrage hin, für einen bestimmten Posten.
Nie serverseitig aggregiert.
Nie automatisch.
Nie ohne deine bewusste Geste.
Ich gebe ein konkretes Beispiel, so zukünftig und hypothetisch es auch sein mag.
Nehmen wir an, du hast deine Stromrechnung in Cashfulness geladen und willst wissen, ob es auf dem Markt ein besseres Angebot gibt.
In einer Standard-App würde das System die Daten der Rechnung (und vielleicht weitere Kontextdaten) automatisch an den Partner schicken, die Antwort empfangen und sie dir zeigen.
Im Modell von Cashfulness siehst du dagegen bei genau dieser Rechnung eine Schaltfläche „mit [Partner] prüfen“.
Wenn du sie drückst, lädt dein Handy die Rechnung aus dem Archiv von Cashfulness herunter und entschlüsselt sie lokal — denn erinnern wir uns: Die hochgeladenen Dokumente sind Ende-zu-Ende verschlüsselt, und nur dein Gerät hat den Schlüssel, um sie im Klartext zu lesen —, extrahiert nur die für die Prüfung nötigen Daten (Verbrauch, Tarifstufe, aktueller Anbieter), schickt sie direkt an den Partner, ohne über unseren Server zu laufen, und zeigt dir die Antwort.
Der Server von Cashfulness hat auch in diesem Szenario nichts gesehen.
Weder das Dokument noch die Zahlen noch deine Identität.
Das ist kein nachträgliches Zugeständnis an die Privatsphäre.
Es ist die Art, wie Partnerschaften in den persönlichen Finanzen unserer Meinung nach funktionieren sollten.
Sie ist technisch unbequemer zu bauen — sie verlangt ein SDK auf der Geräteseite, feingranulare Authentifizierung, Verwaltung von Zugangsdaten auf dem Handy —, aber sie ist die einzige Art, die mit dem Markenversprechen zusammengeht.
Partnerschaften, die von Cashfulness einen serverseitigen, aggregierten Zugang zu den Daten verlangen, bekommen höflich ein Nein.
Das Versprechen, in einem Satz
Das ist das Versprechen, zusammengefasst in einem Satz, der bleiben soll:
Cashfulness weiß nicht, wer du bist, liest deine Dokumente nicht, versteht deine Zahlen nicht. Nur du hast alle Schlüssel.
Drei verschiedene Verben für drei verschiedene Ebenen.
Weiß nicht, wer du bist: weil du es ihm nicht sagst. Du wirst einen Nickname benutzen, und der genügt dir.
Liest deine Dokumente nicht: weil sie mit einem Schlüssel verschlüsselt sind, den nur du besitzt.
Versteht deine Zahlen nicht: weil sie ohne deinen Kontext eine Buchhaltung ohne Biografie sind.
Der ganze Rest des Produkts stützt sich auf diesen Satz.
Die Kennzahlen zur finanziellen Gesundheit, die Unterscheidung zwischen Vermögenswerte+ und Vermögenswerte−, die unsichtbare doppelte Buchführung, das wöchentliche Ritual der zehn Minuten — alles Dinge, über die wir in den anderen Artikeln dieses Blogs sprechen — funktionieren nur dann wirklich, wenn über ihnen ein Dach aus Privatsphäre liegt, das sie wirklich zu deinen macht und nicht nur in der Sprache des Marketings.
Wenn du das suchst, bist du hier richtig.
Wir warten auf dich in der Beta-Warteliste unter cashfulness.com/beta.
Wenn du dagegen eine App bevorzugst, die dein Verhalten analysiert, um dich besser zu beraten, im Tausch gegen einen Teil deiner Privatsphäre, dann ist das eine legitime Entscheidung — daran ist nichts falsch —, aber wir werden nicht dieser Ort sein.
Das ist in Ordnung so.
Cashfulness ist für Menschen gedacht, für die die Zahlen des Hauses im Haus bleiben müssen, und es weiß genau, dass es eine Wahl unter anderen ist.
— Vittorio