Warum Dribs dich nie nach deinem Bankpasswort fragt

Die meisten Finanz-Apps fangen gleich an. Du wählst deine Bank aus einer Liste, loggst dich ein, und deine Umsätze erscheinen. Der Login-Bildschirm sieht oft aus wie der deiner Bank. Meist gehört er aber einem Aggregator, also einer Firma, die zwischen der App und Tausenden von Banken sitzt. Die App ist ihr Kunde.

Zwei Arten der Verbindung

Die bessere arbeitet mit einem Token. Du loggst dich auf der Website oder in der App deiner Bank ein und gibst den Zugriff frei. Die Bank stellt dem Aggregator dann ein Token aus, mit dem er deine Daten lesen kann, ohne je dein Passwort zu sehen. So ist Open Banking gedacht.

Die ältere arbeitet mit deinen Zugangsdaten. Du tippst Benutzername und Passwort (bei vielen Banken die Online-Banking-PIN) in die Maske des Aggregators. Er loggt sich dann als du bei deiner Bank ein und liest oft einfach die Seiten aus, die deine Bank dir anzeigt. Das funktioniert mit fast jeder Bank. Es heißt aber auch, dass eine Firma, von der du nie gehört hast, die Schlüssel zu deinem Konto hat.

Dieses zweite Modell landete in den USA vor Gericht. In einer Sammelklage gegen Plaid, einen der größten Aggregatoren, warfen die Kläger dem Unternehmen vor, seine Login-Masken hätten das „look and feel“ der Bankseiten gehabt. Außerdem habe Plaid die Zugangsdaten genutzt, um so viele Daten wie möglich abzurufen, im Schnitt 3.700 Transaktionen pro Person. So steht es im Gerichtsbeschluss von 2021. Plaid erklärte, die Vorwürfe gäben seine Praxis nicht wieder. 2022 schloss das Unternehmen einen Vergleich über 58 Millionen Dollar und sagte zu, die Transaktionsdaten von Personen zu löschen, deren Apps diese Daten gar nicht angefordert hatten.

Open Banking hilft, aber nur bis zu einem gewissen Punkt

In der EU sind Apps, die deine Konten auslesen, reguliert. Sie müssen registriert sein und werden beaufsichtigt, und du musst den Zugriff mindestens alle 180 Tage bei deiner Bank bestätigen. Im Vereinigten Königreich muss der Anbieter deine Einwilligung alle 90 Tage neu einholen. In den USA hat ein Gericht 2025 die Regel ausgesetzt, die Verbrauchern ähnliche Rechte an ihren Finanzdaten geben sollte. Sie wird gerade neu geschrieben.

Diese Regeln machen die Verbindung sicherer, ändern aber nichts daran, wozu sie da ist. Sobald du ein Konto verknüpfst, geht eine Kopie jeder Buchung an den Aggregator und auf die Server der App, und zwar so lange, wie die Verbindung besteht. Jede Firma in dieser Kette speichert eine Kopie deiner Finanzgeschichte nach ihrer eigenen Datenschutzerklärung, und bei jeder kann ein Datenleck passieren.

Was Dribs stattdessen macht

Dribs verbindet sich überhaupt nicht mit Banken. Du trägst Buchungen selbst ein oder importierst eine CSV-Datei aus deinem Online-Banking, ein Konto nach dem anderen. Alles liegt auf deinem iPhone, auf Wunsch mit Sync über deinen eigenen iCloud-Account. Es gibt kein Dribs-Konto, für das du dich registrieren müsstest, und auf keinem Server von uns liegen deine Buchungen. Der einzige Server, den wir betreiben, liefert Wechselkurse und Versionshinweise.

Das hat einen Preis, und den sagen wir lieber gleich: Du tippst selbst. In der Praxis sind das ein paar Sekunden pro Ausgabe, mit wiederkehrenden Buchungen weniger, und ein CSV-Import holt einen ganzen Monat auf einmal nach. Für viele ist das Aufschreiben sogar schon die halbe Miete. Einen Kauf nimmst du bewusster wahr, wenn du ihn eintragen musst.