Ich beschäftige mich ja schon länger mit Altersvorsorge-Themen und kann sagen: das Sicherheitsbewusstsein bei Depot-Apps steckt bei vielen Nutzern leider noch in den Kinderschuhen.
Ein Punkt der hier noch nicht genannt wurde: Phishing. Gerade wenn 2027 das neue Altersvorsorgedepot anläuft, werden mit Sicherheit gefälschte Apps und E-Mails im Umlauf sein die legitime Anbieter imitieren. Deshalb: Apps immer nur direkt aus den offiziellen Stores laden, Links in E-Mails grundsätzlich nicht direkt anklicken sondern manuell die bekannte URL eintippen.
Zum Serverstandort: Ich würde das nicht überbewerten solange der Anbieter DSGVO-konform arbeitet und klare Aussagen zu Datenweitergabe macht. Wichtiger ist das Sicherheitskonzept selbst: Verschlüsselung at rest, Verschlüsselung in transit, regelmäßige Audits. Das kann man oft in den technischen FAQs nachlesen oder direkt beim Support erfragen.
Für 2027 empfehle ich ohnehin erstmal abzuwarten welche Apps sich als zuverlässig etablieren, bevor man nach Beta-Stadium sofort alles drauf trackt.
Die Frage kenne ich – hab mich im Thread Wo trackt ihr eigentlich laufend die Zinsen für 2027? auch schon mit ähnlichem beschäftigt, nämlich womit man Finanzdaten sinnvoll verfolgt.
Zum Thema Sicherheit: Der Unterschied zwischen Read-Only-Token und Vollzugriff ist erheblich. Ein Read-Only-API-Token kann im schlimmsten Fall eure Depotstände auslesen, aber keine Transaktionen auslösen. Das ist deutlich weniger kritisch als wenn eine App eure echten Zugangsdaten kennt.
Zwei-Faktor-Auth ist meiner Meinung nach kein optionales Extra, sondern absolutes Minimum. Ja, es ist manchmal fünf Sekunden länger, aber bei einem Depot das man 30 Jahre lang bespart, ist das doch wirklich verhältnismäßig. Ich nutze einen TOTP-Authenticator, das ist schneller als SMS und sicherer dazu.
Zur Serverfrage in Deutschland: DSGVO-Compliance bedeutet, dass Anbieter mit EU-Sitz gewisse Mindeststandards einhalten müssen. Rein deutsche Server sind nochmal eine Stufe drüber, aber ich würde nicht sagen dass es automatisch unsicher ist wenn Server in einem anderen EU-Land stehen.
Kurzer praktischer Hinweis: schaut ob die App OAuth2 unterstützt oder ob sie tatsächlich eure Passwörter speichert. OAuth2 bedeutet, dass ihr der App nur begrenzten Zugriff gebt ohne das Passwort weiterzugeben – ähnlich wie wenn ihr euch mit Google-Account irgendwo einloggt. Das ist technisch deutlich sicherer als Passwort-Weitergabe.
Ansonsten zum Thema 2FA: TOTP-Apps wie Aegis (Android, Open Source) oder die Google/Microsoft Authenticator sind SMS-basierter 2FA klar vorzuziehen. SMS kann abgefangen werden, TOTP läuft lokal auf dem Gerät.
Ich hab dazu schon im Berufseinsteiger-Thread geschrieben, dass man gerade bei begrenztem Budget keine Kompromisse bei der digitalen Sicherheit machen sollte – gilt hier genauso.
Kurz und pragmatisch: 2FA ist Pflicht, keine Diskussion. Wer das lästig findet soll mal googlen was passiert wenn ein Finanz-Account gekapert wird. Der Aufwand von 10 Sekunden pro Login ist wirklich verhältnismäßig.