Ahorro.net liest Ihre Bankkonten im Austausch für Angebote

Ahorro.net verlangt Ihre Online-Banking-Zugangsdaten, um Ihnen Angebote zu verkaufen

Die Szene wiederholt sich bei jedem Familienessen: Jemand schlägt eine App vor, die die Konten ordnet, vor Gebühren warnt und Tipps zum Sparen gibt. Klingt gut, bis man zum Kleingedruckten kommt. Damit Ahorro.net funktioniert, muss man seine Girokonten verknüpfen und dabei die Zugangsdaten für das Online-Banking herausgeben. Der Gründer des Projekts, der sich als Geschäftsführer vorstellt, bestätigte dies im November 2014: Das Tool importiert die Umsätze automatisch und benötigt nur die Lese-Zugangsdaten, niemals die zum Überweisen. Das Geschäftsmodell, ohne Umschweife zugegeben, besteht darin, das Konsumverhalten jedes Nutzers zu kennen und ihm gegen Provision Finanzprodukte anzubieten.

Damit begann das Problem. Denn es ist ein Unterschied, ob die App weiß, dass man für Benzin ausgibt, oder ob sie die Details jeder Rechnung, jedes Versorgungsvertrags und jeder Kartennummer speichert, wie ein Teilnehmer anmerkte.

Was ist Ahorro.net und was verlangt es, um zu funktionieren?

Das Projekt ist seit über zwei Jahren in Entwicklung und läuft im Browser, auf Android und in wenigen Tagen auf dem iPhone. Es bündelt Girokonten, gibt Gebühren-Alarme und Spartipps. Kostenlos. Der Preis dafür ist der Zugriff: Der Nutzer verknüpft seine Bank mit denselben Zugangsdaten, mit denen er sich ins Online-Banking einloggt.

Die technische Verteidigung stützt sich auf das SSL-EV-Zertifikat von VeriSign mit Siegel von Symantec und Norton, 256-Bit-Verschlüsselung, „Banken-Sicherheitsniveau“. Und auf ein gewichtiges Argument: Die angefragten Zugangsdaten sind reine Lese-Zugänge. Spanische Banken verlangen mindestens zwei Sicherheitsebenen, und nur die zweite — elektronische Signatur, Koordinatenkarte oder SMS-Code — erlaubt es, Geld zu bewegen.

Die Argumentation hat ein Loch, das mehrere Leser ohne Umschweife aufzeigten. Mit dem Lese-Zugang gelangt man an Rechnungen, Vertragsnummern von Versorgungsunternehmen, Bankkorrespondenz und Kartennummern. Material genug, um ernsthaften Schaden anzurichten, ohne einen Cent anzufassen.

Das Geschäftsmodell: Ihre Daten als Rohstoff

Wenn der Dienst kostenlos ist, zahlt jemand dafür. Die Antwort des Gründers war transparent: das Konsumverhalten jedes Nutzers kennen und ihm darauf aufbauend Angebote mit Provision machen. Wer viel für Kraftstoff ausgibt, bekommt eine Kreditkarte mit Rabatt an Tankstellen.

Die Frage, die dann in der Luft hängt, ist unbequem. Um zu wissen, dass man für Benzin ausgibt, muss man nicht wissen, dass man an jenem Tag, zu jener Stunde, zehn Stück von etwas in einem bestimmten Geschäft gekauft hat. Die App weiß es jedoch, wie aus der Beschreibung des Dienstes hervorgeht. Und dort öffnet sich die Kluft zwischen dem deklarierten Dienst und den gespeicherten Daten.

Verschlüsselung, Hosting und das Kleingedruckte der Sicherheit

Das SSL-Zertifikat garantiert die Kommunikation zwischen der Website und dem Browser. Nichts weiter. Es sagt nichts darüber aus, wer die Daten verwahrt oder mit welchem Schlüssel sie entschlüsselt werden. Die Website ist bei OVH gehostet, einem französischen Rechenzentrum, das, wie angemerkt wurde, weder Tier-4- noch PCI-DSS-Zertifizierung zur Kartenverarbeitung besitzt. Ein Fehler dort legt nicht ein Konto offen: er legt alle offen.

Der Gründer räumte ein, dass die technischen Fragen ihn überforderten und er sie an seinen Technologiechef weiterleiten werde, mit einer Antwortfrist von fünf oder sechs Tagen.

Vertrauen als einzige Bürgschaft

Das Schlussargument war, dass die Banken bereits Daten „nach links und rechts“ verkaufen und dass es am Ende nur auf Vertrauen ankomme. Das Team wurde veröffentlicht, ein persönlicher Blog verlinkt. In einer der Äußerungen wurde den Lesern eines Sparforums sogar scherzhaft eine private Nachricht angeboten, mit der Einladung, sich zu registrieren.

Das Ergebnis war nicht das erwartete. Das Misstrauen kam nicht aus technischer Unwissenheit, sondern aus der informierten. Wer versteht, was ein Lese-Zugang ist, gibt ihn nicht heraus. Und wer es nicht versteht, sollte es ebenfalls nicht tun.

Die Produktfehler, die beim Testen auftauchten

Wer sie testete, fand banalere Risse. Die Bank zeigte weder Investmentfonds noch Einlagen. Die Karten des Partners blieben außen vor. Und Kreditkartenausgaben wurden als Einnahmen verbucht, nicht als Ausgaben. Für einen erfahrenen Nutzer der alten Version, in der man Daten von Hand eingab, war der Wechsel auch nicht sauber: Die Umsätze blieben beim Speichern hängen, die Android-App war eine Qual, und die Statistiken ließen sich nicht nach Excel exportieren.

Die Alternative existiert und ist ein alter Bekannter: eine Tabellenkalkulation, AceMoney in der kostenlosen Version, auf zwei Konten begrenzt, oder Gnucash. Ohne Zugangsdaten, ohne fremde Server, ohne Empfehlungsprovisionen.

Zum Abschluss dieser Diskussion wartete der Gründer noch immer auf den technischen Bericht seines Teams. Die App verlangt derweil weiter dasselbe: die Schlüssel zu Ihrem Zuhause. Nur zum Ansehen.