Persönliche Vermögensdaten sind hochsensibel. Deshalb speichert der Personal Finance Planner alle Daten ausschließlich lokal auf deinem Gerät und schützt sie auf Datenbank-, Backup- und Netzwerkebene.
Deine gesamte lokale Finanzdatenbank wird über GRDB 7.9.0 und SQLCipher 4.20.0 mit AES-256 verschlüsselt. Der 256-Bit-Rohschlüssel wird kryptografisch zufällig erzeugt (SecRandomCopyBytes) und mit aktivierter cipher_memory_security im Speicher geschützt.
Der Datenbankschlüssel liegt ausschließlich im lokalen Schlüsselbund deines Macs oder iPhones mit dem Attribut kSecAttrAccessibleAfterFirstUnlockThisDeviceOnly. Er wird weder in den iCloud-Schlüsselbund noch in unkontrollierte Geräte-Backups übertragen.
Schütze die Programmoberfläche mit Face ID, Touch ID oder deinem Gerätecode/Mac-Passwort. Die Sperrzeit ist frei wählbar (sofort, 30 Sek., 1, 5 oder 15 Min.). Im App-Umschalter blendet ein Sichtschutz deine Zahlen automatisch aus.
Backups werden direkt im Arbeitsspeicher ohne unverschlüsselte Zwischendateien erstellt und mit AES-256-GCM verschlüsselt. Der Schlüssel wird per PBKDF2-HMAC-SHA256 mit 600.000 Iterationen und 16-Byte-Salt aus deinem Passwort (mind. 10 Zeichen) abgeleitet. Vor jeder Datenbank-Migration legt die App automatisch ein Sicherheits-Backup an.
Beim Koppeln über Bonjour tauschen Mac und iPhone per 10-stelligem Einmalcode (Crockford-Base32) und kurzlebigem P-256-ECDH-Schlüssel ein paarweises Geheimnis aus. Jede Sync-Sitzung läuft über TLS 1.2 PSK (AES-128-GCM-SHA256) mit gegenseitiger HMAC-Challenge-Response-Prüfung.
Die Anwendung läuft in der macOS App-Sandbox mit Hardened Runtime. Es werden keinerlei Analysedaten gesammelt, keine externen Server kontaktiert und niemals Finanzbeträge in System-Logs geschrieben.
Damit deine Daten auch beim Abgleich zwischen iPhone und Mac niemals über fremde Server laufen, nutzt die App ein mehrstufiges lokales Synchronisierungsprotokoll:
Beide Geräte finden sich im lokalen Netz über Bonjour (_pfplanner._tcp). Zur Kopplung zeigt Gerät A einen 10-stelligen Einmalcode (Crockford-Base32) an, der exakt 3 Minuten gültig ist und nach 3 Fehlversuchen verworfen wird.
Aus dem Einmalcode wird zunächst der TLS-PSK-Kanal aufgebaut (TLS_PSK_WITH_AES_128_GCM_SHA256). Innerhalb des Kanals vereinbaren beide Geräte über kurzlebige P-256-ECDH-Schlüssel und HKDF-SHA256 einen dauerhaften paarweisen Sync-Schlüssel im Keychain.
Übertragen werden nur geänderte Datensätze seit der letzten bestätigten Sequenznummer. Bei gleichzeitigen unterschiedlichen Änderungen auf beiden Geräten bleibt deine lokale Version aktiv und du wählst transparent die gewünschte Version aus.
