Ausgaben tracken, ohne dein Bankkonto zu verknüpfen

Jede Ausgaben-App fragt irgendwann nach deinem Online-Banking-Passwort. Diesen Tab zu schließen ist keine Paranoia — es ist der richtige Reflex. Und es muss dich kein automatisches Tracking kosten.

Der Bildschirm, an dem die meisten aussteigen

Das Onboarding ist meist ausgezeichnet. Klare Versprechen, ein freundlicher Fortschrittsbalken — und dann Bildschirm drei: Wähle deine Bank. Ein Raster aus Logos, ein Login-Feld, das aussieht wie das deiner Bank, es aber nicht ist, und eine Zeile in kleinem Grau, die dir versichert, die Zugangsdaten seien verschlüsselt.

Viele schließen den Tab genau dort und tracken danach wieder gar nichts: eine Notiz mit vier Einträgen aus dem März, das vage Gefühl, dass Lebensmittel teurer geworden sind, und keine Ahnung, wohin der Monat verschwunden ist. Zur Wahl steht „gib deine Bank-Zugangsdaten her“ oder „flieg im Blindflug“ — und der Blindflug gewinnt weiter.

Das ist eine falsche Wahl, und es lohnt sich zu verstehen, warum.

Was du tatsächlich aus der Hand gibst

Die meisten Budget-Apps verbinden sich nicht selbst mit deiner Bank. Sie mieten die Leitung bei einem Aggregator — Plaid in den USA, Tink oder TrueLayer in Europa, Salt Edge und andere anderswo. Auf diesem Bildschirm meldest du dich nicht wirklich bei deiner Bank an. Du meldest dich bei einem Vermittler an, der sich anschließend bei deiner Bank anmeldet.

Je nach Bank und Land passiert dann eines von zwei Dingen.

Im guten Fall unterstützt deine Bank ein echtes Open-Banking-Verfahren. Du authentifizierst dich auf der Domain deiner eigenen Bank, und der Aggregator erhält ein eingeschränktes, widerrufbares Token — kein Passwort verlässt die Bank. Wo die Regulierung das vorantreibt, wird das zum Standard.

Im anderen Fall sammelt der Aggregator deinen tatsächlichen Benutzernamen und dein Passwort ein und loggt sich regelmäßig als du ein. Der Fachbegriff lautet Screen Scraping, und deine Bank kann das in der Regel nicht davon unterscheiden, dass jemand anderes dein Passwort tippt — genau das ist das Problem. Die CFPB hat ihre Regel zu persönlichen Finanzdatenrechten nach Section 1033 im Oktober 2024 verabschiedet und erwartet, dass Scraping mit der Zeit ausläuft, hat es aber nicht verboten — und die Regel ist seither umstritten.

So oder so bleibt ein Fakt: Ein Unternehmen, das du dir nicht ausgesucht hast, hält am Ende eine dauerhafte, maschinenlesbare Kopie von allem, was du kaufst.

Vier ehrliche Gründe, Nein zu sagen

Nichts davon macht Aggregatoren zu Bösewichten. Sie haben ein echtes Problem gelöst, und die meisten nehmen Sicherheit ernst. Aber „nein, danke“ ist eine informierte Antwort, und sie läuft meist auf vier Dinge hinaus:

• ✓Es kommt ein Angriffsziel dazu. Deine Bank hält eine Kopie deines Transaktionsverlaufs. Verbindest du einen Aggregator, sind es zwei — und du kontrollierst die Sicherheit nur einer davon.
• ✓Kaum jemand weiß, was verbunden bleibt. In einer PYMNTS-Studie unter US-Verbrauchern war 78 % nicht klar, dass Aggregatoren weiter auf ihre Daten zugreifen, auch nachdem eine App geschlossen oder gelöscht wurde.
• ✓Diese Daten sind für jemanden viel wert. Plaid stimmte einem Sammelklagevergleich über 58 Millionen Dollar zu — endgültig genehmigt im Juli 2022 — wegen der Vorwürfe, mehr Daten gesammelt zu haben, als die nutzenden Apps benötigten. Ein Vergleich, kein Urteil, und Plaid bestritt jedes Fehlverhalten; die Größe der Zahl sagt trotzdem etwas.
• ✓Deine Bank steht vielleicht gar nicht auf der Liste. In weiten Teilen der Golfregion, Südasiens, Afrikas und Südostasiens enthält das Logo-Raster deine Bank schlicht nicht. Keine Diskussion nötig — die Tür ist zu.

Und das Unbehagen ist Mehrheitsmeinung, keine Randerscheinung. Dieselbe Untersuchung ergab: Unter denen, die bereits eine Drittanbieter-App mit einem Bankkonto verbunden hatten, fühlten sich nur 9 % dabei wirklich wohl. Die Branche liest das als Aufklärungslücke. Nützlicher ist es, es als Präferenz zu lesen, die ein Produkt verdient.

Deine Bank erzählt dir längst alles

Hier ist der Teil, der übersehen wird. Dein Handy vibriert bereits mit einer vollständigen Aufzeichnung deiner Ausgaben.

Jede Kartenzahlung, jede Überweisung, jede Onlinebestellung — die Bank schreibt dir innerhalb von Sekunden. Händler, Betrag, Währung, letzte Kartenziffern, Uhrzeit. Apple Pay schickt bei jedem Bezahlvorgang seine eigene Mitteilung. Das Kassenbuch, das man sonntagabends aus dem Gedächtnis zu rekonstruieren versucht, landet die ganze Woche über auf dem Sperrbildschirm, Nachricht für Nachricht — und wird weggewischt wie der Wetterbericht.

Das Informationsproblem ist längst gelöst. Es fehlt nur das Zusammensetzen.

Die Benachrichtigung lesen statt des Kontos

Das ist die Idee hinter Dibba. Du leitest die Banking-SMS und Apple-Pay-Mitteilungen weiter, die du ohnehin bekommst, und die KI liest jede einzelne beim Eintreffen — sie zieht Händler, Betrag, Währung und Kategorie heraus und legt alles in deinem Feed ab. Kein Bank-Login. Kein Aggregator. Keine Zugangsdaten, weil es nichts gibt, wo man sich einloggen könnte.

Das Auslesen ist schwieriger, als es klingt: Jede Bank formuliert ihre Nachrichten anders, und ein einziges Land kann zwanzig Formate haben. Dieser Teil ist unser Problem, nicht deins. Wenn du sehen willst, wie die Nachrichten deiner Bank aussehen, sobald sie ausgelesen sind, veröffentlichen wir echte Beispiele aus 20 Ländern.

Die Einrichtung passiert einmal und dauert etwa zwei Minuten. Danach gibt es für dich keinen Schritt mehr. Du zahlst wie immer, und die Aufzeichnung schreibt sich selbst.

Was das in der Praxis ändert

In der ersten Woche öffnen die meisten die App immer wieder, um zu prüfen, ob sie wirklich funktioniert. Der Kaffee um 8:40 steht um 8:41 im Feed, kategorisiert, ohne jede Eingabe.

In der zweiten Woche gibt es weniger Grund nachzusehen, weil die Zahl zu dir kommt: die heutigen Ausgaben gegen das heutige Limit, auf dem Sperrbildschirm. Und das dreht die Reihenfolge um — die Summe erscheint jetzt vor dem nächsten Kauf statt danach. Nicht durch Disziplin. Durch Position.

Der tiefere Effekt ist, dass nichts mehr übrig bleibt, woran man scheitern könnte. Ein voller Monat kann automatisches Tracking nicht zerstören. Eine Reise auch nicht. Zu vergessen, dass die App existiert, ist ihr Normalbetrieb, kein Aussetzer — und genau deshalb überlebt die Aufzeichnung lange genug, um etwas wert zu sein.

Die Abwägungen, ehrlich

Benachrichtigungen auszulesen ist nicht in jeder Hinsicht besser als eine Bankverbindung. Wo dieser Weg Boden abgibt, gibt er ihn klar ab:

Konkret: kein automatischer Saldoabgleich und keine sofortige Historie aus der Zeit davor — für den Rückblick kannst du einen Kontoauszug importieren. Und wenn eine Bank gar nichts sendet — weder SMS noch Push — gibt es nichts zu lesen.

Dafür bekommst du ein System, in dem keine Zugangsdaten stecken. Nichts, das auslaufen kann, nichts zu widerrufen, nichts neu zu verbinden, wenn deine Bank ihren Login-Ablauf ändert.

Für wen das wirklich gedacht ist

In Märkten, in denen SMS-Banking Standard ist — die Emirate und die Golfregion insgesamt, Indien, weite Teile Afrikas und Südostasiens — ist das kein Datenschutz-Kompromiss. Es ist die einzige automatische Option, die mit deiner Bank überhaupt funktioniert.

Und wenn du dort lebst, wo Aggregatoren gut funktionieren, du diesen Anmelde-Tab aber mehr als einmal geschlossen hast: Dieser Reflex war Information, keine Sturheit. Du hast einen Tausch abgelehnt, der dir nicht gefiel, und es gab nichts anderes im Angebot. Wenn du die zugangsdatenbasierten Tools ehrlich verglichen sehen willst, haben wir über Mint und Copilot geschrieben.

Niemals Bank-Zugangsdaten — darum geht es im Kern. Zwei Minuten Einrichtung, und der Kaffee von morgen trägt sich selbst ein.