Sicherheit & Architektur

Ein Steuer-Tool sieht deine kompletten Handelsdaten. Da wäre „vertrau uns einfach" zu wenig. Diese Seite erklärt, wie Journalwolf gebaut ist, was du selbst nachprüfen kannst. Genauso wichtig: was du nicht nachprüfen kannst und warum die Architektur genau dafür ausgelegt ist. Nach dem Motto: Don’t trust, verify.

Das Wichtigste zuerst: dein Kraken-Key kann nichts anrichten

Du erstellst deinen Kraken-API-Key selbst und vergibst dabei nur Leserechte. Die App leitet dich beim Einrichten exakt so an: Abfragen erlaubt, Ein- und Auszahlungen sowie Handel niemals aktivieren. Diese Rechtevergabe passiert bei Kraken, nicht bei uns: Du kannst sie dort jederzeit unabhängig kontrollieren und den Key mit einem Klick widerrufen.

Die ehrliche Konsequenz: Selbst im schlimmsten anzunehmenden Fall (du unterstellst uns böse Absichten, oder unser Server würde vollständig kompromittiert) kann mit deinem Key niemand handeln, nichts abheben, nichts bewegen. Das maximale Risiko ist, dass jemand deine Handelshistorie sehen könnte. Unangenehm, aber eine völlig andere Liga als „Geld weg". Genau deshalb ist die App so gebaut: Du musst uns nicht vertrauen, damit dein Guthaben sicher ist.

Der Datenfluss: Wer sieht was?

Dein Gerät

API-Keys & Steuer-Stammdaten liegen nur hier, im verschlüsselten Android-Keystore (SecureStore). Der KI-Chatverlauf ist lokal mit AES-256-GCM verschlüsselt.

→

Journalwolf-Server

Empfängt Keys pro Anfrage als Header, nutzt sie für genau diesen Aufruf und verwirft sie. Keine Speicherung, keine Datenbank-Spalte dafür. Erreichbar nur über einen Cloudflare-Tunnel: kein einziger offener Port.

→

Kraken & Anthropic

Kraken: nur Lese-Abfragen mit deinem Read-only-Key. KI: läuft über deinen eigenen Anthropic-Key (BYOK). Jede Nutzung siehst du in deiner eigenen Anthropic-Konsole.

Jede Verbindung ist TLS-verschlüsselt. Es gibt keinen Weg, auf dem deine Keys an Dritte gehen. Prüfbar: siehe unten.

Was liegt wo?

Daten	Wo sie liegen
Kraken-/Anthropic-Keys	Nur auf deinem Gerät (Android-Keystore). Werden pro Anfrage als HTTP-Header (`X-Kraken-Key`, `X-Claude-Key`, …) übermittelt und serverseitig nicht persistiert.
Steuer-Stammdaten	Name/Adresse/Steuernummer: Eingabe und Speicherung nur auf deinem Gerät; Übermittlung nur pro Berichts-Anfrage. Sie stehen naturgemäß im fertigen PDF-Bericht (siehe nächste Zeile).
KI-Chatverlauf	Nur auf deinem Gerät, at rest verschlüsselt (AES-256-GCM, Schlüssel im Keystore).
Handels-/Ledger-Daten, PDF-Berichte	Auf dem Server (nötig für Berechnung & Berichte), strikt pro Nutzer isoliert und im at-rest-verschlüsselten Datenbereich. Wenn du dein Konto löschst, ist alles sofort und unwiderruflich weg. Das geht jederzeit direkt in der App.
Konto-Daten	E-Mail-Adresse + Passwort-Hash (argon2id: Dein Klartext-Passwort kennt niemand, auch wir nicht).
Tracking, Werbe-IDs, Analytics	Nirgends. Weder die App noch diese Website enthalten Tracker, Werbe-SDKs oder Analytics. Diese Website setzt nicht einmal Cookies.

Prüf es selbst: zwei Wege

Du musst uns das alles nicht glauben. Zwei ehrliche Prüfpfade, die jeder mit etwas technischem Interesse gehen kann:

1. Schau dir den Netzwerkverkehr an

Schneide den Traffic der App auf deinem eigenen Gerät mit, zum Beispiel mit PCAPdroid (direkt auf Android) oder mitmproxy am PC. Du wirst sehen: Die App spricht ausschließlich mit api.journalwolf.com; deine Keys tauchen nur als Request-Header dorthin auf; es gibt keine Verbindungen zu Werbe- oder Tracking-Diensten.

2. Nimm die App auseinander

Android-Apps sind für technisch Versierte faktisch einsehbar: Lade dir die APK vom Gerät und öffne sie mit jadx oder apktool. Du findest die Schlüssel-Handhabung (SecureStore, Header-Übergabe) genau so, wie hier beschrieben, und keinerlei Tracking-SDKs. Wir laden ausdrücklich dazu ein.

Was du nicht prüfen kannst: Ehrlichkeit statt Versprechen

Dass unser Server durchgereichte Keys wirklich nicht speichert, kann dir von außen niemand beweisen. Wir auch nicht. Wer dir für seinen Server „beweisbare Nicht-Speicherung" verspricht, erzählt das aus Marketinggründen.

Unsere Antwort darauf ist keine Beteuerung, sondern das Design: Die Architektur ist so gebaut, dass diese Frage für dein Guthaben keine Rolle spielt. Read-only-Keys können nichts bewegen, den KI-Key kontrollierst und widerrufst du selbst bei Anthropic, und den Kraken-Key widerrufst du jederzeit bei Kraken. Das Restrisiko ist Datensichtbarkeit gegenüber dem Betreiber: dasselbe strukturelle Restrisiko, das du bei jedem Cloud-Steuer-Tool hast, nur dass wir es offen aussprechen und technisch so klein wie möglich halten.

Dazu kommt: Journalwolf ist kein anonymes Projekt. Betreiber mit Klarnamen und Anschrift (Impressum), deutsches Recht, volle DSGVO-Pflichten inklusive Auskunfts- und Löschrechten (Datenschutzerklärung).

Weitere Sicherheitsmaßnahmen (Kurzliste)

Transport: TLS auf jeder Verbindung; Server ausschließlich hinter Cloudflare-Tunnel, keine offenen Ports.
Konto: argon2id-Passwort-Hashing · Abgleich neuer Passwörter gegen bekannte Datenlecks (Have-I-Been-Pwned, k-Anonymity: Dein Passwort verlässt dabei nie das System) · kurzlebige Anmelde-Tokens mit Rotation und Diebstahl-Erkennung · ein aktives Gerät pro Konto · optionale biometrische App-Sperre.
Server: Nutzerdaten strikt pro Konto isoliert (Zugriffe schlagen im Zweifel fehl, statt fremde Daten zu zeigen) · Datenbereich at rest verschlüsselt · Sicherheits-Logs pseudonymisiert, max. 12 Monate · rollierende Backups, nach max. 30 Tagen überschrieben.
KI: Bring-your-own-key: Abrechnung und Kontrolle liegen bei dir; Anthropic verwendet API-Daten nach eigenen Bedingungen nicht zum Training (Details in der Datenschutzerklärung).
Löschung: Konto + alle Daten jederzeit selbst in der App löschen: sofort und unwiderruflich (so geht’s). DSGVO-Datenexport inklusive.

Schwachstelle gefunden?

Wenn du ein Sicherheitsproblem entdeckst, schreib uns bitte direkt an support@journalwolf.com, bevor du es veröffentlichst. Wir antworten schnell, nehmen jeden Hinweis ernst und sagen ehrlich Danke. Kritik macht dieses Projekt besser.

Stand: 10. Juli 2026