Datenschutz & Sicherheit
Deine Finanzdaten werden verschlüsselt, bevor sie deinen Browser verlassen
WalletCalm ist Ende-zu-Ende-verschlüsselt. Konten, Buchungen, Budgets, Ziele, Depots und Belege werden auf deinem Gerät mit Schlüsseln verschlüsselt, die nur du hast – die Betreiber von WalletCalm können sie nicht lesen.
Dein Browser
{ "merchant": "REWE Berlin",
"amount": -42.18,
"category": "Groceries" }Mit deinem Schlüssel verschlüsselt
Server von WalletCalm
Gespeichert wird nur das:
x9F3kQ2v…H7wa71cP0mZr4Ls8uB1yTt6NqE5dJ
Im Browser verschlüsselt
Jeder Eintrag wird mit XChaCha20-Poly1305 verschlüsselt, bevor er gespeichert wird. Der Server speichert nur Chiffretext.
Dein Passwort bleibt bei dir
Die Anmeldung nutzt OPAQUE: Der Server prüft dein Passwort, ohne es je zu erhalten.
Keine Werbung, kein Tracking
Keine Analyse-Tools, keine Skripte von Dritten, kein Datenverkauf. Sogar die Schrift kommt von unserem Server.
Deine Daten, deine Entscheidung
Exportiere alles als CSV oder lösche dein Konto samt aller Daten auf einmal.
So funktioniert die Verschlüsselung
Bei der Registrierung erzeugt dein Browser einen zufälligen Schlüssel für deine Daten und sichert ihn doppelt: mit einem Schlüssel aus deinem Passwort (OPAQUE und Argon2id) und mit einem Wiederherstellungsschlüssel, der dir einmal angezeigt wird. Einträge werden damit verschlüsselt, bevor sie synchronisiert werden, und jede Berechnung – Salden, Auswertungen, Prognosen, Regeln, Suche – läuft in deinem Browser.
- XChaCha20-Poly1305 für jeden Eintrag und jede Datei
- OPAQUE (RFC 9807) und Argon2id für die Anmeldung
- Ein Wiederherstellungsschlüssel, den nur du hast
- Berechnungen auf deinem Gerät, nicht auf einem Server
Haushalte, ohne Privatsphäre aufzugeben
Ein gemeinsamer Haushalt hat einen eigenen Schlüssel, der für jedes Mitglied mit dessen öffentlichem Schlüssel (X25519) versiegelt wird. Mitglieder vergleichen vorher einen kurzen Fingerabdruck, damit der Server keinen eigenen Schlüssel unterschieben kann.
- Ein Schlüssel pro Haushalt, je Mitglied versiegelt
- Fingerabdrücke zum Vergleichen
- Persönliches bleibt persönlich
- Ein neuer Schlüssel, wenn jemand austritt
Kurse, ohne dein Depot zu verraten
Kurse kommen aus einer gemeinsamen täglichen Datei, die jeder Nutzer vollständig herunterlädt. Dein Browser sucht sich die passenden Kurse heraus – so erfährt der Server nie, welche Aktien, ETFs oder Coins du besitzt.
- Dieselbe Datei für alle
- Abgleich in deinem Browser
- Deine Positionen bleiben verschlüsselt
Zahlungen und E-Mail
Pro-Abos wickelt Lemon Squeezy als Händler (Merchant of Record) ab. Lemon Squeezy erhält deine E-Mail-Adresse und Rechnungsdaten, nie deine Buchungen, Kontostände oder Budgets. WalletCalm sieht deine Karte nie.
- Keine Kartendaten bei WalletCalm
- Keine Finanzdaten beim Zahlungsanbieter
- E-Mails nur für Anmeldung, Einladungen und Passwort-Reset
Was der Server sieht
- Deine E-Mail-Adresse und einen optionalen Anzeigenamen
- Deinen Tarif und nicht-finanzielle Einstellungen wie Design und Zeitzone
- Wie viele verschlüsselte Einträge welcher Art du hast, ihre Größe und wann sie sich geändert haben
- Namen, Mitglieder und Rollen von Haushalten
- IP-Adressen im Netzwerk von Cloudflare
Was er nicht sehen kann
- Kontonamen, Kontostände und Buchungen
- Beträge, Händler, Kategorien und Notizen
- Budgets, Ziele, Kredite und Szenarien
- Depots und deine Kaufpreise
- Belege und Backups
- Dein Passwort und deinen Wiederherstellungsschlüssel
Die ehrlichen Grenzen
Wie jede verschlüsselte Web-App führt WalletCalm den Code aus, den die Website ausliefert – diesem Code vertraust du. Er kommt von einer einzigen Adresse, mit strenger Content Security Policy und ohne Skripte von Dritten. Und weil niemand sonst deine Schlüssel hat, sind deine Daten verloren, wenn du Passwort und Wiederherstellungsschlüssel verlierst – auch wir können sie nicht zurückholen.
- Eine Adresse, keine Skripte von Dritten
- Strenge Content Security Policy
- Bewahre deinen Wiederherstellungsschlüssel sicher auf
- Die erfundenen Demo-Daten sind unverschlüsselt und werden nach einem Tag gelöscht
Fragen & Antworten
Kann WalletCalm meine Buchungen lesen?
Nein. Sie werden in deinem Browser mit Schlüsseln verschlüsselt, die der Server nie erhält. Admins sehen, wie viele Einträge ein Konto hat und wie groß sie sind, aber nicht, was darin steht.
Was passiert, wenn ich mein Passwort vergesse?
Dein Wiederherstellungsschlüssel entsperrt deine Daten, und du wählst ein neues Passwort. Hast du beides verloren, gibt dir der Link per E-Mail dein Konto mit einem leeren Tresor zurück: Die alten Daten bleiben verschlüsselt, niemand kann sie öffnen.
Verkauft oder teilt ihr meine Daten?
Nein. Es gibt keine Werbung, keine Analyse-Tools und kein Tracking, und nichts geht an KI-Dienste. Der einzige Dritte ist Lemon Squeezy – und nur, wenn du Pro kaufst.
Wo werden meine Daten gespeichert?
Verschlüsselte Einträge liegen in der D1-Datenbank von Cloudflare, Belege in Cloudflare R2 – beides nur als Chiffretext. Website und API laufen auf Cloudflare Workers.
Kann ich meine Daten exportieren oder löschen?
Ja. Du kannst deine Daten jederzeit als CSV exportieren, und wenn du dein Konto löschst, werden es und alle Daten darin sofort entfernt.
Behalte dein Geld im Blick.
Kostenlos, privat und in unter einer Minute startklar.
Gut zu wissen: Die App selbst ist derzeit auf Englisch. Deutsche Kontoauszüge, Datumsangaben und Beträge mit Komma werden beim Import vollständig erkannt.