Warum wir uns nicht mit deiner Bank verbinden (und warum das ein Feature ist)
Warum wir uns nicht mit deiner Bank verbinden (und warum das ein Feature ist)
Jede Finanz-App will deine Bankzugangsdaten. "Verbinde deine Konten für automatisches Tracking!" Klingt bequem, und für viele Leute ist es das auch.
Es kostet aber etwas. Und bei Finanzdaten lässt sich dieser Preis immer schwerer wegwischen.
Wie Bankverbindungen wirklich funktionieren
Wenn du ein Bankkonto mit einer Finanz-App "verbindest", passiert hinter den Kulissen normalerweise das hier.
- Du tippst deinen Bank-Benutzernamen und dein Passwort in die App.
- Die App gibt diese Zugangsdaten an einen Daten-Aggregator weiter (Plaid, Yodlee, Finicity).
- Der Aggregator loggt sich mit deinen Daten bei deiner Bank ein und liest deine Kontodaten aus.
- Die Daten gehen zurück an die App. Manchmal behält der Aggregator eine Kopie.
Neuere API-Verbindungen kommen ohne diese Weitergabe aus. Die meisten Verbindungen nutzen sie trotzdem nicht, vor allem bei kleineren Banken und Genossenschaftsbanken.
Das Datenschutzproblem
Der Plaid-Prozess
Eine Sammelklage gegen Plaid, einer der größten Fintech-Datenschutzfälle bisher, warf dem Unternehmen vor:
- Login-Masken gebaut zu haben, die wie Bank-Oberflächen aussahen, sodass Nutzer glaubten, ihre Daten direkt bei der Bank einzugeben
- Mehr Finanzdaten gesammelt zu haben, als Nutzer erlaubt oder Apps gebraucht hatten
- Detaillierte Transaktionshistorien länger gespeichert zu haben, als der Dienst es erforderte
Der Fall deckte Januar 2013 bis November 2021 ab und endete mit einem Vergleich. Plaid hat seine Praktiken seitdem geändert. Der Konflikt dahinter bleibt: Wer seine Zugangsdaten einem Unternehmen gibt, teilt seine Daten womöglich mit vielen. Das ist das praktische Argument dafür, warum finanzielle Privatsphäre zählt.
2021 war nicht Schluss
Im November 2024 warf eine von American Banker berichtete Klage mehreren Unternehmen vor, sensible Finanzdaten ohne Einwilligung zu sammeln und zu teilen, unter anderem über Daten-Aggregatoren und per KI-Analyse von Gesprächen und Kontodaten.
Das sind Gerichtsakten, keine Gedankenspiele.
Das Zuverlässigkeitsproblem
Datenschutz mal beiseite. Bankverbindungen brechen ab, ständig.
Zwei-Faktor-Authentifizierung ist der übliche Grund. Banken ziehen die Sicherheit an, und du meldest dich alle paar Wochen neu an. Wenn eine Verbindung abreißt, sagt das selten jemand: Deine App kann einen veralteten Kontostand einen Monat lang anzeigen, bevor es dir auffällt. Auslandsbanken, Krypto-Börsen und kleine Institute deckt oft gar kein Aggregator ab.
Was mich am meisten stört: Wenn der "automatische" Tracker aussteigt, tippst du die Zahlen trotzdem selbst ein, nur in einer Oberfläche, die nie dafür gedacht war.
Die Antwort der Regulierer
Den Aufsichtsbehörden ist das nicht entgangen. Im Oktober 2024 hat das Consumer Financial Protection Bureau seine Regel "Personal Financial Data Rights" nach Section 1033 des Dodd-Frank Act finalisiert.
Wie Reuters berichtete, legt die Regel fest, dass "ein Unternehmen, das Verbraucherdaten aufnimmt, diese für das angefragte Produkt oder den angefragten Service nutzen darf, aber nicht für unabhängige Zwecke, die der Verbraucher nicht will".
Sie schiebt Banken Richtung API-Zugriff und weg vom Auslesen von Zugangsdaten. Gut so. Sie bestätigt aber auch, dass das heutige System Probleme hat, für die man Regeln schreiben muss.
Die Alternative heißt manuelles Tracking
Statt deine Zugangsdaten einem Dritten zu geben und zu hoffen, dass die Leitung hält, tippst du deine Kontostände selbst ein.
Das ist kein Rückschritt. Es ist eine Design-Entscheidung mit klarer Rechnung.
Was du gewinnst
Keine Bankzugangsdaten gehen irgendwohin, also kann nichts aus einer Datenbank leaken, die du nie gefüllt hast. Nichts synchronisiert, also bricht nichts. Du kannst jedes Asset tracken, bei jedem Institut, in jedem Land. Deine Daten bleiben da, wo du sie hinschreibst, statt sich über Aggregator-Datenbanken zu verteilen.
Das monatliche Update ist der heimliche Gewinn. Fünf Minuten mit den eigenen Zahlen sind der Moment, in dem du wirklich hinschaust, einen Trend bemerkst und das vergessene Konto wiederfindest.
Was es kostet
Rund fünf Minuten im Monat. Das ist der ehrliche Tausch.
Warum wir MyMoneyViz so gebaut haben
Als wir mit MyMoneyViz angefangen haben, war Plaid der naheliegende Weg. Jeder Wettbewerber macht das. Nutzer erwarten es.
An drei Fragen sind wir hängen geblieben. Wollen wir für gespeicherte Bankzugangsdaten verantwortlich sein? Wollen wir von Aggregatoren abhängen, die wegen ihres Datenumgangs verklagt werden? Wollen wir, dass das Produkt jedes Mal kaputtgeht, wenn eine Bank ihren Login umbaut?
Dreimal nein.
Also haben wir einen Vermögens-Tracker ohne Bank-Login gebaut. Du trägst deine Stände in ein Raster wie in einer Tabelle ein, das über 13 Asset-Typen abdeckt, und bekommst Charts, Allokations-Aufteilung, Ziel-Tracking und Historie. Eine monatliche E-Mail erinnert dich ans Aktualisieren.
Alles, wofür eine Finanz-App gut ist, ohne den Teil, in dem du dein Bankpasswort weitergibst.
Wann Bankverbindungen Sinn ergeben
Bankverbindungen sind nicht grundsätzlich falsch. Sie passen, wenn deine Finanzen einfach sind (eine Bank, ein Broker, alles im Inland), wenn du tägliche Transaktionsdaten brauchst oder wenn du eher Ausgaben als Vermögen verfolgst. Da gewinnt die Bequemlichkeit wahrscheinlich.
Wenn dein Geld auf mehreren Plattformen liegt, in mehr als einem Land, oder in Assets steckt, von denen kein Aggregator je gehört hat, ist manuelles Tracking der bessere Deal.
Unterm Strich
Die sichersten Finanzdaten sind die, die nie geteilt wurden. Kein Aggregator kann Zugangsdaten leaken, die er nie bekommen hat. Keine Verbindung kann abbrechen, wenn es keine Verbindung gibt.
Datenschutzfreundliche Finanzen sind nicht mehr Arbeit. Sie sind fünf Minuten im Monat mit dem vollständigen Bild deiner Finanzen, zu deinen Bedingungen, mit deinen Daten genau da, wo du sie hingelegt hast.
