TinyWallet - App zur Portfolio Performance Berechnung

[Acki]

Hi,

 

seit ca. einem 3/4 Jahr arbeite ich an einem Tool, bzw. Web App, zum nachverfolgen / visualisieren des eigenen Portfolios. Ich weiß, dass es da draußen schon einige Softwareprodukte in diese Richtung gibt, aber was mich an allen stört ist das Thema Datenschutz! Tools die zu diesem Punkt eine Aussage treffen, „verstecken“ sich oft hinter den Begriffen „Anonymisierung“ oder „getrennte Datenhaltung“. 

Ich bin jedoch der Überzeugung, dass dies heute nicht mehr ausreicht und sensible Informationen verschlüsselt gespeichert werden müssen. Dabei ist ein Verschlüsselungsalgorithmus zu verwenden, bei dem selbst der Anbieter, also in dem Fall ich, keine Möglichkeit mehr hat die Daten zu entschlüsseln, sondern nur der Benutzer selbst!!

 

Genau nach diesem Prinzip habe ich TinyWallet entworfen! Eine Onlinelösung bei der man keine Abstriche beim Schutz der eigenen Daten machen muss. 

 

Welche Punkte sind mir wichtig:

- hoher Datenschutz durch Verschlüsselung (AES 256Bit)

- hoher Automatisierungsgrad (Wertpapierimport mittels PDFs, automatische Kurse und Kapitalmaßnahmen)

- einfaches Tracking physischer Rohstoffe und Kryptowährungen (anders als bei PP)

- Responsive Design für mobile Endgeräte

intuitive und leicht zu bedienende App

 

Die App steht noch ganz am Anfang und kann mit vielen aktuellen Produkten noch nicht konkurrieren. Ich arbeite aber hart daran, dass dies in Zukunft anders ist. Die Liste mit offenen Features ist sehr lang, wird aber kontinuierlich kleiner. 

 

Über euer Feedback würde ich mich sehr freuen.  

 

Link:  https://www.tinywallet.de/ 

 

Gruß, Christian

[vn5p7aw58aw357pw]

Was bringt mir das gegenüber PP? Bitcoin kann ich damit auch tracken. 

[Acki]

Hi, 

 

bei Bitcoin … leider gar nichts! Tatsache! 
Bei physischen Rohstoffen hingegen ist es deutlich einfacher als PP. Bei PP musste ich immer ein Asset für jede meiner Münzen anlegen, um deren Wertverlauf und Gewinn beim Verkauf nachvollziehen zu können. 
Bei Wertpapieren nimmt es dir zum Beispiel das Erfassen der Stammdaten ab … wobei ich hier noch erwähnen muss, dass ich gerade daran arbeite diese zu visualisieren. 
 

PP hat seine Vorteile, vor allem weil es so krass mächtig ist … ich finde aber, dass der Umgang / Einstieg sehr kompliziert ist und vor allem ist es nur offline, also keine Chance mal eben schnell mit dem Handy einen Blick draufzuwerfen und einen VPN Zugang kann auch nicht jeder einrichten. 
 

Gruß, Christian

 

 

[Ramstein]

Was heisst "App"?

 

Ein Programm, das ich auf PC, Mac, Android oder IOS Smartphone lade um dort meine Daten zu verarbeiten?

Oder ein Web-basiertes Tool, wo ich meine Daten hochladen und den frommen Worten zum Datenschutz vertrauen muss?

[Acki]

vor 7 Minuten von Ramstein:

Oder ein Web-basiertes Tool, wo ich meine Daten hochladen und den frommen Worten zum Datenschutz vertrauen muss?

 

Hallo Ramstein,

 

leider letzteres ... und wirklich beweisen kann ich es auch nicht! Der einzige Punkt wo man es als Nutzer direkt merkt, dass es nicht erfunden ist, ist der Punkt "Passwort vergessen".

Nachdem man sich registriert hat, bekommt man vom System eine Mail zugesandt, in welcher der "private Key" ("Surrogate" genannt) enthalten ist. Dieser wird beim Passwort - Reset benötigt, wird er nicht angegeben, dann wird automatisch alles von dir gelöscht, da es nur noch Datenschrott ist.

 

Gruß, Christian

[Ramstein]

Was passiert , falls du - was natürlich hoffentlich nicht passiert - einen Unfall hast?

Wer sichert den Betrieb?

[Acki]

Das ist ein guter Einwand ... aktuell niemand, was aber nicht bedeutet, dass es nicht mal jemanden gibt.

Mir geht es im ersten Moment erst einmal darum, ob es überhaupt Nutzer gibt und ob Interesse besteht. Gefühlt gibt es aktuell nur zwei Lager:

 

Lager 1: Portfolio Performance -> offline ... Datenschutz relativ hoch (hängt ja vom Nutzer ab ... Schlagwort "Phishing" & "Trojaner" da die Daten auch unverschlüsselt in einer XML stehen)

Lager 2: Online Verfechter denen die persönlichen Daten irgendwie egal scheinen ... (mein Kumpel ist so ein Typ ... hab ja nix zu verbergen) 

 

Ich will halt herausfinden, ob es auch Nutzer gibt, denen prinzipiell eine online Lösung gefällt, die beim Schutz ihrer Informationen aber keine Abstriche machen wollen. Ich persönlich finde online Lösungen sind aktuell die beste Option, aber ich möchte nicht, dass meine Daten einfach so im Klartext Netz liegen ... auch nicht "anonymisiert" ... darüber hinaus sichere ich mich damit als Entwickler ab ... denn wenn einer den Quellcode stiehlt und dazu noch die Datenbank, dann hat er immer noch nichts in der Hand, denn die Informationen können nur vom Nutzer entschlüsselt werden und Passwörter hacken tut heute keiner mehr .. da fehlt einfach die Zeit. Maximal Passwortlisten anwenden oder social Hacking, alles andere ist erfolglos oder zu aufwendig.

 

Gruß, Christian

 

irgendwie ist mein Deutsch heute wieder mal vom allerfeinsten .... Wortfindungsstörung at it's best! 

[alsuna]

vor 59 Minuten von Acki:

Nachdem man sich registriert hat, bekommt man vom System eine Mail zugesandt, in welcher der "private Key" ("Surrogate" genannt) enthalten ist.

Private Schlüssel bei AES256? Weißt du, was symmetrische Verschlüsselung ist?

Nicht-öffentliche Schlüssel per Mail?

Da weiß ich gar nicht, wo ich anfangen soll...

 

vor 36 Minuten von Acki:

Ich will halt herausfinden, ob es auch Nutzer gibt, denen prinzipiell eine online Lösung gefällt, die beim Schutz ihrer Informationen aber keine Abstriche machen wollen.

Daten in der Cloud sind grundsätzlich immer ein Abstrich bei der Informationssicherheit.

 

vor 1 Stunde von Acki:

mal eben schnell mit dem Handy einen Blick draufzuwerfen

Unterwegs eine beliebige online Watchlist, für die Buchung zu Hause PP.

 

Da hast du im Eingangspost ein kleines Detail vergessen zu erwähnen.

 

Und deine Liste von extern geladenen Inhalten ist auch kein hoher Datenschutz. Ich wollte eigentlich gar nicht so genau gucken, aber wenn ublock origin anfängt zu blocken, wo "hoher Datenschutz" dran steht, läuft was schief.

[Acki]

Hi alsuna,

 

vor 16 Minuten von alsuna:

Private Schlüssel bei AES256? Weißt du, was symmetrische Verschlüsselung ist?

Nicht-öffentliche Schlüssel per Mail?

Da weiß ich gar nicht, wo ich anfangen soll...

vielleicht ein doofes Wording von mir ... "Private Schlüssel" => Passwort ... ich verwende den "Surrogate" - Ansatz, da Benutzerpasswörter meist zu einfach sind. Verwendet der Benutzer bei der Registrierung ein zu einfaches Passwort, dann wird er auch automatisch "unterstützt", dass es sicher wird.

 

Das verschicken des Schlüssels per Mail ist natürlich so eine Sache. Good Point. Mir ist bewusst, dass eine Mail eine "Postkarte" ist. Das Problem ist, dass ich den Nutzer mit dem "Gesicht darauf drücken" muss, dass er den Key irgendwie speichert ... sollte man in der Mail statt dem Key mitteilen, dass er unbedingt in das Profil schauen und sich dort den Key abschreiben soll, anstatt ihn einfach zu schicken? Hintergrund war der: am Anfang habe ich Freunde testen lassen und einer von Ihnen musste das Passwort zurücksetzen und hatte den Key nicht. Als ich ihm dann sagte, dass jetzt alle bisherigen Eingaben weg sind, war er sauer und meinte, was das soll? Ist ja nirgendwo der Fall, dass beim zurücksetzen die Daten gelöscht werden. Daher die Idee mit der Mail.

 

vor 18 Minuten von alsuna:

Daten in der Cloud sind grundsätzlich immer ein Abstrich bei der Informationssicherheit.

Geb ich dir Recht! Ist so .. kann man nicht schön reden ... dafür aber dann die Verschlüsselung.

 

vor 19 Minuten von alsuna:

Unterwegs eine beliebige online Watchlist, für die Buchung zu Hause PP.

Dann sieht man aber nur Kursdaten und nicht wie sich dein Portfolio entwickelt hat. Dann müsste man alles im Kopf rechnen und spätestens beim Gold oder "Mikroanteilen" wird es kompliziert.

 

vor 20 Minuten von alsuna:

 

Da hast du im Eingangspost ein kleines Detail vergessen zu erwähnen.

Gut ... hätte man anbringen können ... Was man aber erwähnen muss: 

- lediglich der Dateiupload, falls man sich eine Bildergalerie erstellen möchte und der Performance-Vergleich von Wertpapieren gegeneinander (also deine einzelnen Positionen) sind kostenpflichtig. 

 

So würde eine Galerie aussehen:

 

Man muss aber auch meinen Standpunkt verstehen, komplett kostenlos kann ich mir dann auch nicht leisten. Der Cloud-Speicher für den Dateiupload und die APIs für die Kurs- und Stammdaten gibt es nicht umsonst. Aktuell kostet mich das Projekt / der Versuch fast 300€ pro Monat und das seit Anfang Dezember. Mein Versuch ist, dass es sich selbst trägt ... mal schauen ob das klappt.

 

vor 25 Minuten von alsuna:

Und deine Liste von extern geladenen Inhalten ist auch kein hoher Datenschutz. Ich wollte eigentlich gar nicht so genau gucken, aber wenn ublock origin anfängt zu blocken, wo "hoher Datenschutz" dran steht, läuft was schief.

 

 

Upps ... was genau wird blockiert? "Extern" geladen wird nur "Gleap" ... das ist der "Feedback" - Button, bzw. Bug-Tracker und der muss sich an die DSGVO halten, da die Firma in Österreich sitzt. Es werden aber ohne eure Interaktion keine benutzerbezogenen Daten erfasst! Das war mir wichtig und habe ich auch vorher angefragt.

 

Ich danke aber für das gute Feedback!! Wirklich!!! Gerne mehr!

 

Gruß, Christian

[Acki]

Nachtrag (da Bearbeiten nicht geht): Vielen Dank für den Hinweis bzgl "ublock" ... Gleap lädt in der Tat die Schriften von "fonts.google", was gar nicht nett ist. Ich suche nach einer Lösung!

 

Gruß, Christian

[goccih]

Meine Hypothese: du überschätzt das Interesse der User an Datenschutz und Verschlüsselung. Das ist ein Thema von Experten für Experten. Echtes Fachpublikum wird bei deiner Lösung den Daumen senken (Schlüssel in unverschlüsselter EMail und in deinen Logfiles?, kein Opensource oder Audit, etc.). Und für einen Laien sieht es nach einer normalen Webseite mit einer komisch komplizierten Password-vergessen-Funktion aus. Den Rest muss man dir einfach glauben (oder auch nicht).

 

Am Ende sind die User auch bequem und werden nicht damit leben wollen, dass es bei Verlust des Schlüssels kein Möglichkeit gibt an die Daten wieder ran zu kommen.

[Acki]

Hallo goccih,

 

das wäre sehr schade, wenn du Recht behältst. Das Thema E-Mail kann ich auch noch mal überdenken, was aber klar ist, keine sensiblen Daten in Logs, andernfalls kann man sich das Thema Verschlüsselung schenken. 
 

Gruß, Christian

 

 

[hattifnatt]

vor 23 Minuten von Acki:

Das Thema E-Mail kann ich auch noch mal überdenken, was aber klar ist, keine sensiblen Daten in Logs

Sobald du den Key per Email versenden kannst, hast du ihn doch auch zu irgendeinem Zeitpunkt auf deinem System verfügbar und damit ist die ganze Verschlüsselungsgeschichte doch für die Katz, oder?

 

Der Knackpunkt ist m.E. auch die Bezahlfunktion: Es hindert mich ja niemand daran, mich als John Doe mit einer Wegwerf-Email-Adresse bei einer Depot-Management-Webseite anzumelden und meine Positionen da einzugeben. So lange ich nicht die PDFs meiner Bank dort hochlade, ist es für mich keine relevante PII, und es ist mir egal, was der Betreiber mit den Daten macht. Wenn Bezahlung ins Spiel kommt, gibt es aber doch meistens eine "echte" Email-Adresse, Kreditkarten-Nr. o.ä., die nicht mehr wirklich anonym sind, sodass eigentlich erst dann ein Datenschutz-Problem entsteht. Ich würde bei Bedenken da immer lieber den kostenlosen Service nutzen.

[chirlu]

vor 2 Minuten von hattifnatt:

Sobald du den Key per Email versenden kannst, hast du ihn doch auch zu irgendeinem Zeitpunkt auf deinem System verfügbar und damit ist die ganze Verschlüsselungsgeschichte doch für die Katz, oder?

 

Na ja, wenn der Server die Berechnungen durchführt, muß er die Daten entschlüsseln können. Der Vorteil der Verschlüsselung liegt darin, daß bei einem zeitlich begrenzten Angriff der Angreifer nur an die Daten derjenigen herankommt, die sich in diesem Zeitraum eingeloggt haben.

 

Ansonsten wäre nur denkbar, daß die Berechnungen und Dateneingaben rein im Browser des Nutzers passieren. Dann dient der Server nur als dummer Speicher, der Datensätze verschlüsselt entgegennimmt und verschlüsselt wieder ausgibt.

[Acki]

vor 35 Minuten von hattifnatt:

Der Knackpunkt ist m.E. auch die Bezahlfunktion: Es hindert mich ja niemand daran, mich als John Doe mit einer Wegwerf-Email-Adresse bei einer Depot-Management-Webseite anzumelden und meine Positionen da einzugeben. So lange ich nicht die PDFs meiner Bank dort hochlade, ist es für mich keine relevante PII, und es ist mir egal, was der Betreiber mit den Daten macht. Wenn Bezahlung ins Spiel kommt, gibt es aber doch meistens eine "echte" Email-Adresse, Kreditkarten-Nr. o.ä., die nicht mehr wirklich anonym sind, sodass eigentlich erst dann ein Datenschutz-Problem entsteht. Ich würde bei Bedenken da immer lieber den kostenlosen Service nutzen.

Deine E-Mail ist bei der Bezahlfunktion irrelevant, da diese nicht notwendig ist. 

Es läuft wie folgt: du klickst auf die Bezahlfunktion, damit wird eine eindeutige ID generiert und zwischengespeichert, danach geht es weiter zu PayPal. Schließt du dort den Vorgang der Bezahlung ab, sendet PayPal eine Meldung an meinen API-Endpunkt mit dem Inhalt „ID hat die Bezahlfunktion abgeschlossen“. Damit wird alles für einen Monat freigeschaltet. Wird erneut eine Bezahlung über PayPal autorisiert, bekommt die API erneut eine Meldung, dass ID einen Monat bezahlt hat und deine Funktionen bleiben weiter aktiv.

 

Somit ist zu keinem Zeitpunkt deine „richtige“ Email relevant. 

Folgendes aber trotzdem zwecks Transparenz: deine richtige Email ist für einen kurzen Zeitraum meinem System bekannt, nämlich dann, wenn PayPal die Meldung an die API schickt, das bezahlt wurde. Diese „Bezahlt - Nachricht“ beinhaltet immer die PayPal - EMail-Adresse. Diese Nachricht wird aber nicht gespeichert, auch nicht im Falle einer Fehlermeldung. 

 

Gruß, Christian 

[masu]

Lässt sich mit Tiny Wallet auch die Daten von Portfolio Performance importieren?

[Acki]

vor 7 Stunden von masu:

Lässt sich mit Tiny Wallet auch die Daten von Portfolio Performance importieren?

 

Guten Morgen Masu,

 

noch nicht ganz, aber zu 98% ... der Feinschliff fehlt noch, aber spätestens zum Wochenende habe ich das fertig.

Ich würde dir Bescheid geben.

 

Gruß, Christian

[Acki]

Am 26.4.2022 um 22:05 von masu:

Lässt sich mit Tiny Wallet auch die Daten von Portfolio Performance importieren?

 

Hallo @masu,

 

wie angekündigt, der Import ist fertig. Du kannst nun deine Wertpapiere aus Portfolio Performance importieren.

Wie das genau funktioniert und was ggf. beachtet werden muss, habe ich in einem Blog-Beitrag zusammengefasst ... kurz und knapp: du musst deine Transaktionen als CSV exportieren und dann einfach in den Browser ziehen.

 

Eins muss ich noch erwähnen. Im Moment kann man noch keine Optionsscheine und Zertifikate mit TinyWallet tracken, ich arbeite aber schon an einer Lösung.

 

Gruß, Christian

[Acki]

 

Hallo,

 

da bin noch mal. Ich wollte eigentlich schon vor „Wochen“ schreiben, aber ich war schwer damit beschäftigt Zertifikate in die Web-App zu klopfen, was nun endlich funktioniert.

 

Nun aber zum eigentlichen Anliegen. Das Feedback hier war ziemlich genial und ich habe mich ebenfalls noch einmal mit Freunden über das Thema Verschlüsselung unterhalten. Dabei sind wir auf die Idee gekommen, dass man während der Registrierung und im Profil (für die Unentschlossenen) eine Option bereitstellen könnte, wo der Nutzer zwischen serverseitiger Verwahrung des „Surrogates“ und „privater“ wählen kann. Meine Freunde meinten, so wie hier auch der Tenor war, dass man standardmäßig die „serverseitige Verwahrung“ aktivieren (Option bei der Registrierung vorbelegen) sollte. Zusätzlich würde ich darüber informieren, was diese Option bedeutet und welches „Risiko“ damit einhergeht.

 

Wie seht ihr das? Eigentlich ein sehr guter Kompromiss zwischen „Maximalisten“ und „Mir doch egal“, oder?

 

Gruß, Christian

[alsuna]

Serverseitig als Standard ist kein Security by design. Das macht das ganze Produkt zum No-Go 

[Acki]

Hi @alsuna,

 

naja,  standardmäßig wäre ja nur die Option aktiviert und der Nutzer kann direkt bei der Registrierung die Option auch wieder deaktivieren, so dass nie "by design" die Verschlüsselung nur serverseitig ist.

Die Einwände meiner Bekannten gegen das standardmäßige Deaktivieren dieser Funktion waren, dass erst wenn das Passwort vergessen wurde und der Surrogate nicht zur Verfügung steht, der Nutzer sich über diese "Funktion" informiert. 

Ich würde ja bei der Registrierung direkt und unübersehbar darauf hinweisen und die "Ja, Ja, Ja - Weiter ... Fraktion" würde niemals alle Hinweise bzgl. Surrogate und Passwort-Reset lesen. Die kann ich aber mit dem automatischen Deaktivieren auch vor sich selbst schützen. x) ... wenn mir mal erlaubt ist, das so dreist zu formulieren.

 

Gruß, Christian