Deine Daten, dein Gerät, deine Sache
Keine Passwörter auf unseren Servern, ganz bewusst
Wir speichern keine Passwörter. Punkt. Du meldest dich mit deinem Google-Konto oder mit einem Einmalcode per E-Mail an, dein Konto hat also gar kein Passwort. Das einzige Passwort ist das Workspace-Passwort, mit dem jeder Workspace verschlüsselt wird, und es verlässt nie dein Gerät.
Die Verschlüsselung erfolgt automatisch auf Workspace-Ebene. Wenn du einen Workspace anlegst, werden seine Schlüssel auf deinem Gerät erzeugt und erreichen unsere Server nur verschlossen, in einer Form, die wir nicht öffnen können.So gehen wir mit deinen Daten um
Alles bleibt lokal
Unsere radikale Idee: Deine Daten bleiben immer unter deiner Kontrolle. Damit du bequem auf mehreren Geräten arbeiten kannst, synchronisieren wir automatisch verschlüsselte Kopien zwischen ihnen. Verschlüsselt werden die Daten, bevor sie dein Gerät überhaupt verlassen. Unsere Server sehen deine Portfolio- und Wallet-Daten nur als verschlüsselte Datenpakete, nie in lesbarer Form. Wie du die App auf jedes dieser Geräte bekommst, erfährst du unter Turbobulls auf Desktop und Smartphone installieren.Workspaces sind standardmäßig verschlüsselt
Wenn du einen Workspace anlegst, legst du ein eigenes Passwort für genau diesen Workspace fest. Dein Gerät erzeugt die Schlüssel des Workspace zufällig, leitet dann mit einem kryptografischen Verfahren (PBKDF2-SHA-256) aus diesem Passwort einen eigenen Schlüssel ab und verschließt die Schlüssel damit.
Das Workspace-Passwort wird nirgends gespeichert, weder auf deinem Gerät noch auf unseren Servern, und es wird nie an uns geschickt. Auch der daraus abgeleitete Schlüssel verlässt nie dein Gerät. Auf unseren Servern liegen nur die verschlossenen Schlüssel, und öffnen lassen sie sich nur mit deinem Passwort oder deinem Wiederherstellungsschlüssel.
So arbeiten die Schlüssel zusammen: Wenn du einen Workspace anlegst, erzeugt dein Gerät ein RSA-OAEP-Schlüsselpaar (2048 Bit) und einen zufälligen 256-Bit-Datenschlüssel. Der Datenschlüssel ver- und entschlüsselt deine eigentlichen Workspace-Daten mit AES-256-GCM, jeden Eintrag mit einem neuen Zufallswert. Gespeichert wird er nur verschlüsselt, mit dem öffentlichen Schlüssel des Workspace. Der private Schlüssel, der ihn öffnet, wird ebenfalls nur verschlüsselt gespeichert: einmal mit dem Schlüssel, der aus deinem Passwort abgeleitet wird, und eine zweite Kopie mit deinem Wiederherstellungsschlüssel.
Änderst du das Passwort, wird derselbe Datenschlüssel unter dem neuen Passwort wieder verschlossen, und du bekommst einen neuen Wiederherstellungsschlüssel. Deine Daten müssen also nie neu verschlüsselt werden.
Die Schlüssel werden auf deinem Gerät erzeugt, wenn du einen Workspace anlegst. Auf unsere Server gelangen sie nur verschlossen, und das Passwort und der Wiederherstellungsschlüssel, mit denen sie sich öffnen lassen, werden nie übertragen. Damit dich dieses Gerät nicht bei jedem Besuch nach dem Passwort fragt, wird der aus deinem Passwort abgeleitete Schlüssel in deinem Browser zwischengespeichert. Er lässt sich aber nicht exportieren: Die App kann ihn zum Entsperren deiner Daten verwenden, den Schlüssel selbst aber buchstäblich weder auslesen noch herauskopieren. Beim Abmelden wird er gelöscht.
Für alle Verschlüsselungsvorgänge und für die Erzeugung von Zufallszahlen nutzen wir die Web Crypto API.
Sicherheitsgarantien
Datenlecks in der Datenbank: Verschlüsselte Daten in unserer Datenbank sind ohne dein Workspace-Passwort oder seinen Wiederherstellungsschlüssel unlesbar. Die AES-GCM-Verschlüsselung, deren Schlüssel unter einem über PBKDF2 abgeleiteten Schlüssel verschlossen sind, sorgt dafür, dass deine Daten sicher bleiben, selbst wenn jemand Zugriff auf die Datenbank erlangt.
Unbefugtes Entschlüsseln: Dein privater Schlüssel ist mit Schlüsseln verschlüsselt, die aus deinem Workspace-Passwort und aus deinem Wiederherstellungsschlüssel abgeleitet werden. Ohne eines von beiden ist das Entschlüsseln rechnerisch praktisch unmöglich.
Auslesen der Schlüssel: Der Schlüssel, den dein Browser aufbewahrt, liegt in der Web Crypto API des Browsers als nicht exportierbar vor. Mit ihm lassen sich kryptografische Vorgänge ausführen, aber er lässt sich nicht lesen, kopieren oder übertragen.
Zugriff auf dem Server: Deine Portfolio- und Wallet-Daten werden vor dem Synchronisieren auf deinem Gerät verschlüsselt. Unsere Server speichern sie nur als verschlüsselte Datenpakete, mit verschlossenen Schlüsseln, und haben nie etwas, womit sie sich öffnen lassen.
Angriffe auf die Lieferkette - jemand tauscht unseren Code gegen manipulierte Versionen aus
Direkte Manipulation der Datenbank - unbefugtes Schreiben oder Löschen
Erkennen von Aktivitätsmustern - wir sehen, wann Vorgänge stattfinden und welcher Art sie sind, nur nicht ihren Inhalt
Der Unterschied: verschlüsselt vs. Ende-zu-Ende-verschlüsselt
Andere Portfolio-Apps versprechen, „deine Daten sind verschlüsselt“, oder werben mit „Sicherheit auf Bankniveau“. Hier erklären wir, warum das nicht dasselbe ist wie das, was wir tun.„Verschlüsselt“ heißt nicht privat
Verschlüsselt bei der Übertragung und bei der Speicherung heißt:
- Die Daten sind verschlüsselt, während sie zwischen deinem Gerät und den Servern des Anbieters unterwegs sind (HTTPS)
- Die Daten sind verschlüsselt, während sie in seiner Datenbank liegen (Verschlüsselung im Ruhezustand)
Aber jetzt kommt der Haken: Die Schlüssel liegen beim Anbieter. Er kann deine Daten jederzeit entschlüsseln. Wenn du dein Portfolio-Dashboard, deine Diagramme oder Auswertungen siehst, lesen seine Server deine unverschlüsselten Daten, um diese Funktionen zu erzeugen.
„Verschlüsselt“ heißt nur, dass die Daten vor Hackern von außen geschützt sind oder für den Fall, dass jemand seine Festplatten stiehlt. Es schützt dich nicht davor, dass der Anbieter selbst deine Daten sieht.
Ende-zu-Ende-Verschlüsselung ist etwas anderes
Nur du kannst die Schlüssel öffnen. Deine Daten werden auf deinem Gerät verschlüsselt, und die Schlüssel, die sie öffnen, sind mit deinem Workspace-Passwort verschlossen. Dieses Passwort sehen wir nie, und die Schlüssel haben wir nur verschlossen.
Unsere Server sehen nur verschlüsselte Datenpakete. Wenn deine Daten synchronisiert werden, speichern wir unlesbaren Zeichensalat. Wir können ihn nicht entschlüsseln, keine Auswertungen darauf laufen lassen und weder deine Positionen noch ihre Werte sehen, selbst wenn wir wollten.
Keine Verarbeitung auf dem Server. Funktionen, für die wir deine Portfoliodaten lesen müssten (KI-Empfehlungen, Auswertungen auf dem Server), können wir nicht anbieten, weil wir buchstäblich keinen Zugriff darauf haben.
Was dein Gerät tatsächlich verlässt
Wenn Turbobulls synchronisiert, wird eine gespeicherte Transaktion als verschlüsseltes Datenpaket übertragen: der verschlüsselte Text plus der Initialisierungsvektor, der nötig ist, um ihn mit einem Schlüssel zu entschlüsseln, den nur dein Gerät öffnen kann. Die Beträge, Ticker und Notizen, die du eingegeben hast, stecken in diesem verschlüsselten Text, nicht daneben.
{
"amount": 1234.56,
"ticker": "AAPL",
"note": "monthly dca",
"date": "2026-07-27"
}{
"action": "transaction added",
"encrypted": "k3JhbmRvbS1sb29raW5nIGJhc2U2...",
"iv": "9tK2fQ7xW1pL4mNz",
"created_at": "2026-07-27T14:22:31Z"
}Der Unterschied liegt in der Architektur: Bei einem Tracker, der auf dem Server rechnet, enthält die Anfrage deine Zahlen in lesbarer Form, weil sein Server sie lesen muss, um seine Arbeit zu machen. Die Anfrage von Turbobulls kann sie gar nicht lesbar enthalten, weil die Verschlüsselung schon auf deinem Gerät passiert ist. Wenn die Daten ankommen, gibt es für den Server nichts zu lesen.
Warum andere Apps das nicht tun
Echte E2EE ist schwieriger umzusetzen und schränkt die Funktionen ein. Die meisten Portfolio-Apps müssen deine Daten sehen, um:
- Auswertungen deines Portfolios auf ihren Servern zu erzeugen
- KI-gestützte Empfehlungen anzubieten
- Performance-Berichte zu erstellen
- Dir Dashboards zu zeigen, ohne dass dein Gerät viel rechnen muss
Du bekommst dieselben Funktionen, nur lokal verarbeitet statt auf unseren Servern.
Wenn eine App beides verspricht:
- „Deine Daten sind vollständig verschlüsselt und privat“
- UND „Wir bieten KI-Analysen und Empfehlungen für dein Portfolio“
Dann ist eine der beiden Aussagen wahrscheinlich irreführend. KI-Analysen auf dem Server setzen voraus, dass deine unverschlüsselten Daten gelesen werden.
Deshalb ist uns das so wichtig: Wir verwalten unsere eigenen Portfolios in dieser App. Jede Entscheidung zur Sicherheit schützt unser Geld genauso wie deins. Eigeninteresse ist ein starker Antrieb für gute Sicherheit.
Fragen? Wir haben dieses System gebaut, weil wir die App selbst nutzen. Deine Privatsphäre ist keine Funktion, sie ist das Fundament. Schreib uns
Anleitungen wie diese per E-Mail
Eine wichtige Kennzahl fürs Investieren - verständlich und gründlich erklärt. Der Newsletter erscheint auf Englisch. Du kannst dich jederzeit mit einem Klick abmelden.
Weiterlesen
Warum deine Finanzdaten Ende-zu-Ende-Verschlüsselung brauchen
Die meisten Portfolio-Tracker können deine Positionen, Salden und Transaktionen sehen. Warum das ein Problem ist und wie echte Ende-zu-Ende-Verschlüsselung aussieht.
Eigene Vermögenswerte aus einer CSV- oder Excel-Datei importieren
Viele eigene Vermögenswerte auf einmal anlegen: einer pro Zeile in einer CSV- oder Excel-Datei, eine Prüfung, was dazukommt, dann ein Import. Kostenlos, solange dein Tarif Platz hat.
Kurse für eigene Vermögenswerte von deinem eigenen Datenanbieter
Verknüpfe einen eigenen Vermögenswert mit EODHD, Twelve Data, Alpha Vantage, Finnhub oder einem eigenen Feed über den kostenlosen Turbobulls Connector, damit seine Kurse von selbst aktuell bleiben. Dein API-Schlüssel bleibt auf deinem Gerät.