Datenschutz & Sicherheit

So schützen wir die Daten in der Vermögensakte

Die Vermögensakte enthält Vermögens-, Einkommens- und Kreditdaten. Auf dieser Seite steht konkret, was wir technisch und organisatorisch tun, und ebenso, wo die Grenzen liegen. Jede Angabe beruht auf unserer Beschreibung der technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) und auf unserer Datenschutzerklärung.

Stand: 20. Oktober 2026 · Grundlage: technische und organisatorische Maßnahmen (Anhang 1 zum Vertrag zur Auftragsverarbeitung), Fassung 2.4

Das Wichtigste in Kürze

Wo die Daten liegen

• Website, Beraterportal und Kundenportal laufen auf einem virtuellen Server der netcup GmbH im Rechenzentrum Nürnberg. Mit netcup besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
• Das Rechenzentrum hat Zutrittskontrolle, Videoüberwachung, unterbrechungsfreie Stromversorgung und Brandfrüherkennung. Nach Angabe von netcup ist es nach ISO/IEC 27001 zertifiziert.
• Verschlüsselte Sicherungskopien liegen zusätzlich räumlich getrennt außerhalb des Rechenzentrums in Deutschland: auf einem verschlüsselten Rechner des Betreibers und offline auf einem verschlüsselten externen Datenträger, der nur zur Sicherung angeschlossen wird.
• Die Website lädt keine Inhalte Dritter und verwendet keine Analyse-, Werbe- oder Tracking-Werkzeuge. Gesetzt wird nur das Anmelde-Cookie nach dem Einloggen.

Verschlüsselung

• Übertragung: ausschließlich verschlüsselt über HTTPS (TLS mit HSTS); unverschlüsselte Aufrufe werden umgeleitet.
• Speicher: Datenbank, Dokumente, Schlüsseldateien und alle Sicherungen auf dem Server liegen in einem verschlüsselten Speicherbereich (LUKS2, AES-XTS mit 512-Bit-Schlüssel). Nach einem Neustart des Servers bleibt er verschlossen, bis der Betreiber ihn von Hand öffnet; der Schlüssel liegt nicht auf dem Server. Das schützt bei Zugriff auf Datenträger, Abbilder oder ausgesonderte Hardware.
• Einzelne Angaben zusätzlich: IBAN, Konto-, Depot-, Steuer-ID- und Grundbuchdaten, Freitexte, Nachrichten, zweite Faktoren und alle hochgeladenen Dokumente werden zusätzlich mit AES-256-GCM verschlüsselt. Jeder Mandant hat einen eigenen Datenschlüssel; dieser ist mit einem Hauptschlüssel verschlüsselt, der getrennt von der Datenbank liegt.
• Codes: Einladungs- und Verbindungscodes werden nur als HMAC-Wert gespeichert, Passwörter nur als Argon2-Hashwert.

Namen, Geburtsdaten, Anschriften, Beträge und Objektbezeichnungen sind nur durch den verschlüsselten Speicherbereich geschützt, nicht zusätzlich in der Anwendung. Bei laufendem Server sind sie für das System lesbar (siehe Grenzen). Die Datenbank ist nur auf dem Server selbst erreichbar.

Zugang und Rollen

• Berater, Org-Admins und Kunden mit eigenem Konto melden sich mit Passwort und Authenticator-App (TOTP) an. Für den Verlust des Telefons gibt es einmal verwendbare Wiederherstellungscodes. Nach wiederholten Fehlversuchen wird der Zugang gestaffelt gesperrt.
• Eingeladene Kunden öffnen ihre Akte über einen persönlichen Link mit Einmalcode und sehen nur die eigene Akte und nur die Abschnitte, die ihr Berater freigeschaltet hat.
• Sitzungen enden nach 30 Minuten Inaktivität im Beraterportal und nach 60 Minuten im Kundenportal. Vor Auskunft, Löschung, Gesamtexport und dem Abschluss des Vertrags zur Auftragsverarbeitung wird der zweite Faktor erneut abgefragt.
• Die Oberfläche des Beraterportals und der eigenen Konten liefert der Server erst nach vollständiger Anmeldung aus; vorher gibt es nur die Anmeldeseite. Die Programmteile für den Plattformbetrieb erhalten nur Betreiber.
• Die Datenbank trennt die Mandanten selbst (PostgreSQL Row Level Security); jede Abfrage läuft im Kontext von Mandant, Benutzer und Rolle.
• Die Demo unter demo.vermoegensakte.de läuft als eigene Instanz mit eigener Datenbank, eigenem Datenbankbenutzer und eigenen Schlüsseln; sie enthält nur erfundene Musterfälle und hat keinen Zugriff auf die Daten der Portale.
• Freigaben an Dritte und Verbindungen zwischen Berater und Kunde sind zweckgebunden, auf Bereiche beschränkbar, widerruflich und werden erst nach Annahme wirksam.
• Der Server ist nur per SSH-Schlüssel erreichbar; eine Firewall lässt nur die nötigen Ports zu, Sicherheitsupdates werden automatisch eingespielt.

Protokoll und Nachvollziehbarkeit

• Protokolliert werden Anmeldungen, Zugriffe, Änderungen, Freigaben, Exporte, Auskünfte, Löschungen und KI-Verbindungen, jeweils mit Zeitpunkt, Benutzer, Aktion und Objekt. Feldwerte stehen nicht im Protokoll.
• Die Anwendung kann Protokolleinträge weder ändern noch löschen. IP-Adresse und Browserkennung werden nach 90 Tagen entfernt.
• Offenlegungen und Jahresstände werden mit SHA-256-Prüfsumme gespeichert. So lässt sich erkennen, ob ein übergebenes Exemplar vom gespeicherten Stand abweicht.
• Hochgeladene Dateien prüft ein auf dem Server betriebener Virenscanner (ClamAV); ungeprüfte Dateien bleiben gesperrt.
• E-Mails der Plattform enthalten keine Finanzdaten, nur Hinweise und Links.

Sicherung und Wiederherstellung

• Datenbank, Dokumente und Konfiguration werden täglich auf dem Server gesichert und mit GnuPG verschlüsselt; der Server selbst kann seine Sicherungen nicht entschlüsseln. Der private Schlüssel ist mit einer Passphrase geschützt und liegt nur offline auf einem verschlüsselten Datenträger, eine Notfallkopie auf einem zweiten.
• Der Betreiber holt die verschlüsselten Sicherungen regelmäßig auf seinen Rechner ab; der externe Datenträger wird bei jedem Anschließen aktualisiert. Eine überfällige Abholung meldet die Überwachung.
• Die Wiederherstellung wurde am 16. Oktober 2026 auf einem getrennten System erfolgreich getestet; der Test wird mindestens halbjährlich und nach größeren Umbauten am Server wiederholt.
• Ein Wächterdienst auf dem Server prüft Dienste, Speicherplatz und Sicherungen; eine Prüfung von außen kontrolliert Erreichbarkeit und Zertifikate. Alarme gehen an den Betreiber und eine benannte Vertretung.

Speicherung und Löschung

Online-Banking-Zugangsdaten, PINs, TANs und Gesundheitsangaben werden nicht abgefragt; dafür gibt es keine Felder. Daten lassen sich jederzeit als Gesamtexport herunterladen; der Wechsel zu einem anderen Anbieter ist kostenfrei.

KI

• Ausfüllhilfe mit Kopieren und Einfügen: Das Portal zeigt einen Auftrag, den Sie selbst in einen KI-Dienst Ihrer Wahl kopieren. Unser Server übermittelt dabei nichts an den KI-Dienst.
• Direkte Verbindungen (Connector für Kunden, KI-Assistent für Berater) stehen nur zur Verfügung, solange der Betreiber sie anbietet, entstehen nur auf ausdrückliche Erlaubnis und lassen sich jederzeit trennen. Konto-, Depot-, IBAN- und Grundbuchnummern werden nie ausgeliefert; beim KI-Assistenten der Berater sind Namen und Anschriften standardmäßig durch Kennungen ersetzt. Der KI-Assistent ist je Mandant voreingestellt aus.
• Dateien gehen nur an eine KI, wenn sie ausdrücklich dafür freigegeben wurden; ihr Inhalt wird nicht gefiltert.
• Werte aus der KI-Ausfüllhilfe bleiben markiert, bis ein Mensch sie bestätigt. Solange unbestätigte KI-Werte bestehen, sind Offenlegung und Bankexport gesperrt.

KI-Anbieter verarbeiten Daten nach eigenen Bedingungen, häufig auch in den USA. Welche Grundlage für die Übermittlung gilt, entnehmen Sie den Angaben des gewählten Anbieters.

Wer verantwortlich ist

Berater bleiben für ihre eigenen Pflichten verantwortlich, zum Beispiel für die Datenschutzhinweise an ihre Kunden. Diese hinterlegen sie im Portal; eine Kundenerfassung ist erst danach möglich.

Grenzen und bekannte Restrisiken

Absolute Sicherheit gibt es nicht. Diese Punkte haben wir bewertet und benennen sie offen:

• Verschlüsselter Speicherbereich: schützt den ruhenden Bestand, nicht den laufenden Server. Programmcode und Systemprotokolle liegen außerhalb; sie enthalten keine Akteninhalte. Nach einem Neustart ist das Portal erst wieder erreichbar, wenn der Betreiber den Bereich geöffnet hat.
• Hauptschlüssel: liegt in einer getrennten Datei im verschlüsselten Speicherbereich desselben Servers. Das schützt bei Abfluss der Datenbank, einer Sicherung oder eines Datenträgerabbilds, nicht bei vollständiger Übernahme des laufenden Servers.
• Zugriff des Betreibers: technisch nicht ausgeschlossen. Grundsatz ist, keine Akteninhalte zu lesen; ein Zugriff ist nur für Betrieb, Fehlerbehebung, Wiederherstellung oder auf Weisung zulässig und wird mit Anlass vermerkt.
• Kleiner Betrieb: Die Vermögensakte betreibt Marco Thierfelder als Einzelunternehmer. Eine Vertretung ist benannt und verpflichtet. Die Plattform läuft auf einem Server ohne Ausfallrechenzentrum. Für kostenpflichtige Verträge mit Unternehmern sagen die AGB eine Verfügbarkeit von 98 % im Kalendermonat zu (Anlage 2); für die Pilotnutzung und für Privatkunden gibt es keine Verfügbarkeitszusage.
• KI-Lesezugriffe: Verbindungen, Freigaben und Trennungen werden protokolliert; das einzelne Lesen der Akte durch ein verbundenes KI-Konto eines Kunden wird derzeit nicht einzeln protokolliert.
• Keine Zertifizierung der Plattform: Die Angabe ISO/IEC 27001 betrifft das Rechenzentrum von netcup, nicht die Vermögensakte selbst.
• Externer Sicherheitstest: Ein unabhängiger Penetrationstest der Plattform steht noch aus. Sobald er durchgeführt und nachgeprüft ist, nennen wir hier Prüfer, Datum und Umfang.

Dokumente und Kontakt

• Datenschutzerklärung
• Vertrag zur Auftragsverarbeitung mit den technischen und organisatorischen Maßnahmen als Anhang: im Beraterportal unter „Auftragsverarbeitung“ einsehbar und abschließbar; vorab auf Anfrage an datenschutz@vermoegensakte.de
• AGB für Unternehmer · Nutzungsbedingungen · Impressum
• Fragen zum Datenschutz: datenschutz@vermoegensakte.de
• Sicherheitslücke oder Verdacht auf einen Vorfall: sicherheit@vermoegensakte.de

Diese Seite fasst unsere Maßnahmen verständlich zusammen und ersetzt keine Rechtsberatung. Maßgeblich sind der Vertrag zur Auftragsverarbeitung und die Datenschutzerklärung in ihrer jeweils gültigen Fassung.