Ist bonify sicher? So schützen wir deine Daten

Wir werden immer wieder gefragt, ob bonify sicher ist. Mit diesem Artikel möchten wir Antwort auf diese Frage geben und das bonify Sicherheitskonzept vorstellen. Außerdem erklären wir, warum wir nach bestimmten Daten fragen und wie wir diese speichern, verarbeiten und schützen. 

Für uns bei bonify sind die Themen Datenschutz und Datensicherheit von höchster Priorität und sie sind Teil unseres Wertversprechens gegenüber unseren Nutzern. Aus diesem Grund arbeiten wir nach dem Prinzip der Datensparsamkeit. Das heißt, dass wir nur die Daten von unseren Nutzern abfragen, die wir benötigen, um unseren Service anzubieten.

Das Wichtigste vorweg

Wir verkaufen nie deine Daten und geben sie niemals ohne deine explizite Zustimmung an Dritte weiter. Die Weitergabe erfolgt beispielsweise nur bei einem Abschluss eines Angebots, welches du bei bonify erhältst. Alle Angebote, die du bekommst, werden auf Basis anonymer Profile erstellt. Unsere Produktpartner, z.B. Banken, bewerben sich bei dir und sehen dabei nur ein anonymes Profil, welches keine Rückschlüsse auf deine Person zulässt. 

 Welche Daten werden von bonify bei der Registrierung erhoben? 

Wenn du dich bei bonify registrierst, müssen wir dich eindeutig identifizieren. Diese eindeutige Identifizierung ist notwendig, damit wirklich nur du auf die sensiblen Bonitätsdaten zugreifen kannst. 

Für die Registrierung musst du deinen Namen, deine Anschrift und dein Geburtsdatum angeben. Weiterhin benötigen wir zur Betrugsprävention entweder deine Handynummer und deine Personalausweisnummer oder deinen Onlinebanking-Account von einer deutschen Bank.  

 Registrierung und Identifizierung mit dem deutschen Personalausweis

Wenn du dich mit deinem gültigen, deutschen Personalausweis identifizierst, benötigen wir zwei Teile deiner Personalausweisnummer. Nach Überprüfung der Personalausweisnummer wirst du zur Eingabe einer deutschen Handynummer aufgefordert. Auf diese Nummer senden wir dir dann eine Transaktionsnummer (TAN), die du entsprechend eingibst. Stimmt diese mit unseren Systemen überein, ist der Identifizierungsprozess abgeschlossen und du kannst deinen Bonitätsscore sowie die damit verbundenen Bonitätsdaten einsehen. 

Die zur Identitätsprüfung bestimmte Daten des Personalausweises (zwei Teile deiner Personalausweisnummer) verwenden wir ausschließlich zum Zwecke der einmaligen Identifizierung. Die von dir angegebenen Ausweisdaten werden von uns nicht gespeichert und sofort nach erfolgreicher Registrierung gelöscht. Die angegebene Handynummer wird für die Zeit, in der du bonify nutzt, gespeichert.

 Registrierung und Identifizierung mit deinen Onlinebanking-Daten

Bei der Anmeldung und Identifizierung mit deinen Onlinebanking-Daten gleichen wir deinen Namen, den du bei der Registrierung angegeben hast, mit dem Namen des Kontoinhabers ab. Bei der Kontoeröffnung wurde deine Identität sorgfältig durch die Bank oder ein entsprechendes Identifizierungsverfahren geprüft. Dieses Verfahren ist extrem sicher, um dich eindeutig zu identifizieren.

Falls du sensiblen Daten wie bspw. Log-In-Daten oder PINs optional in deinem persönlichen Nutzerprofil bei bonify hinterlegst, werden die Daten in einem zweifach verschlüsselten Bereich gespeichert. Selbstverständlich kannst du eine gespeicherte PIN und/oder das Passwort jederzeit wieder löschen.

 Ist die Weitergabe von Onlinebanking-Login-Daten erlaubt?

Seit der im September 2019 in Kraft getretenen PSD2 gibt es in diesem Bereich endlich Klarheit. Die PSD2 verpflichtet unter anderem Banken dazu, Schnittstellen (API) einzurichten, die es den Dienstleistern ermöglichen, auf die Kontodaten der Kunden zuzugreifen. Kontrolliert wird dies von der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin). Diese vergibt eine Lizenz zur Nutzung an die Anbieter und veröffentlicht auch Listen mit registrierten und lizenzierten Drittdiensten.

Im Grunde bedeutet all das, dass die Banken es ihren Kunden nicht mehr verbieten dürfen, ihre Onlinebanking-Daten mit lizenzierten Drittanbietern zu teilen. Sie müssen zudem kooperieren und die Verknüpfung mit Nutzerkonten anderer FinTechs wie bonify zulassen.

Wichtig: Niemand greift deine Onlinebanking-Daten ab und verwertet sie weiter. Unser Registrierungsprozess dient der Verknüpfung unseres Systems mit deinem Konto, um dir alle Leistungen zur Verfügung stellen zu können. Bei bonify sind außerdem keine Transaktionen möglich.

 Warum darf bonify die Bonitätsdaten bei der Auskunftei abfragen?

Wenn du dich bei bonify registrierst und eindeutig identifizierst, musst du unsere allgemeinen Geschäftsbedingungen (AGB) akzeptieren. Wenn du die AGB akzeptierst, schließt du mit bonify einen sogenannten Plattformvertrag (Vertrag über die Nutzung der Plattform). Dieser Plattformvertrag beinhaltet auch die Erlaubnis zur Bonitätsabfrage bzw. die Erlaubnis zur Berechtigung der Abfrage durch uns bei unserer Partnerauskunftei, der Creditreform Boniversum. 

Übrigens: Die Kommunikation bzw. Verbindung zur Creditreform Boniversum erfolgt über eine REST-API (REpresentational State Transfer-Schnitstelle). Die Datenübermittlung wird über eine gesicherte Verbindung (HTTPS mit SSL-Zertifikat) und eine TLS-zertifizierte Verbindung abgesichert.

 Wie werden die Bonitätsdaten von bonify genutzt?

Um die Bonitätsdaten, also Informationen zum bisherigen Zahlungsverhalten und Informationen zur Beurteilung der persönlichen Kreditwürdigkeit auf Basis mathematisch-statistischer Verfahren (sog. Scoring), bei Auskunfteien abrufen zu können, müssen wir die personenbezogenen Daten zu deiner Person, d.h. Name, Anschrift und Geburtsdatum, an unsere Partnerauskunftei (Creditreform Boniversum GmbH, Hellersbergstraße 11, 41460 Neuss) übermitteln. Auf diese Weise kannst du dort eindeutig identifiziert werden.

Damit die Bonitätsdaten immer auf dem neusten Stand sind, muss bonify regelmäßig die personenbezogenen Daten an die Creditreform Boniversum übermitteln. Die von der Auskunftei an uns übermittelten Bonitätsdaten  

speichern wir während der Laufzeit des bestehenden Plattformvertrages,

nutzen und verarbeiten wir, um sie dir im Rahmen der Bonitätsabfrage in Übersichten – auch unter Vornahme von Analysen und Auswertungen – im passwortgeschützten Nutzerbereich auf bonify darzustellen,

nutzen und verarbeiten wir, um dich über einen Update-Service automatisch über Veränderungen in den Bonitätsinformationen zu informieren,

nutzen und verarbeiten wir, um dir individuelle Angebote im Rahmen unseres Services der Finanzoptimierung auf bonify unterbreiten zu können.

 Wie werden die Kontodaten von bonify genutzt?

Wenn du dich mit deinen Onlinebanking-Daten bei bonfy registrierst oder dich später dazu entscheidest, dein Bankkonto zu deinem bonify-Account hinzuzufügen, verarbeitet bonify folgende personenbezogene Daten:  

Kontonummer und Bankleitzahl oder IBAN und BIC,

Nutzungskennung / Login,

PIN bzw. Passwort

Wie bereits erklärt, ist es dir selbst überlassen, ob du die PIN bzw. das Passwort für das Online-Banking speichern möchtest. Wenn du das Passwort/die PIN in deinem bonify-Account speicherst, kann bonify eine Finanzanalyse durchführen und dir Mitteilungen, sogenannte Notifications, über eingehende und ausgehende Transaktionen schicken. 

Seit Inkrafttreten der PSD2 im September 2019 musst du deiner Bank ausdrücklich mitteilen, dass bonify deine Kontodaten (wie zum Beispiel Kontoinhaber, Kontostand, Transaktionshistorie, Kontotyp) abrufen darf. Diese Einwilligung erteilst du, indem du dich eindeutig mit einem zweiten Faktor (2-Faktor-Authentifizierung) identifizierst. Das bedeutet, dass du wie beim Login in dein Online-Banking neben deinem Nutzernamen / deiner Banking-ID und Passwort  / der PIN noch eine zusätzliche TAN eingeben musst. Um diese TAN zu generieren, stehen dir die TAN-Verfahren deiner Bank zur Verfügung. Das können zum Beispiel smsTAN, photoTAN, chipTAN und pushTAN sein.

Die Einwilligung, mit der du bonify erlaubst, auf deine Kontodaten zuzugreifen, hat eine Gültigkeitsdauer von maximal 90 Tagen. Abhängig von der Bank kann diese Dauer aber auch weitaus kürzer ausfallen und im Extremfall bei jedem Abruf deiner Kontodaten notwendig werden.

 Der Finanzmonitor  

Der Finanzmonitor ist die übersichtliche Darstellung aller Zahlungseingänge und -ausgänge in deinem bonify-Nutzerkonto. Im Rahmen des Finanzmonitors werden Kontodaten, also Daten über Zahlungseingänge und -ausgänge, von der kontoführenden Bank an uns übermittelt. 

Diese Kontodaten

speichern wir während der Laufzeit des mit dir bestehenden Plattformvertrags,

nutzen und verarbeiten wir, um dir Information im Rahmen des Finanzmonitors in Übersichten – auch unter Vornahme von Analysen und Auswertungen – im passwortgeschützten Benutzerkonto auf bonify darzustellen,

nutzen und verarbeiten wir, um dich per Mitteilungen (Notifications) über Bewegungen auf deinem Konto auf dem Laufenden zu halten (sog. Kontoradar),

nutzen und verarbeiten wir, um dir individuelle Angebote im Rahmen unserer Finanzoptimierung unterbreiten zu können.

Sämtliche Kontodaten sind sowohl während der Speicherung als auch auf Anwendungsebene verschlüsselt, zudem ist das Speichermedium verschlüsselt. 

 Die Finanzoptimierung

Neben dem Finanzmonitor bietet dir bonify den Service der Finanzoptimierung an. Um dir Optimierungsvorschläge unterbreiten zu können, nutzt und verarbeitet bonify deine Daten zur Ermittlung von individuellen Einsparpotenzialen. Dafür nutzen wir eine Software bzw. einen Algorithmus. 

 Datennutzung für die Mieterauskunft

Als weiteren Service bietet bonify eine kostenlose Bonitätsauskunft für Dritte an, die auch als Mieterauskunft bekannt ist. 

Wenn du die Mieterauskunft erstellst, gehst du mit bonify einen zusätzlichen Ergänzungsvertrag ein. Damit wir diesen Vertrag erfüllen können, verarbeiten und nutzen wir die von dir im Rahmen der Plattformnutzung zur Verfügung gestellten Kontodaten und Kontobuchungen (Zahlungseingänge und -abgänge). Damit wir auf der Mieterauskunft dein Gehalt und deine bisherigen Mietzahlungen darstellen können, sucht unser Algorithmus aus den Kontobuchungen die Gehaltseingänge und die Mietzahlungen und deren Häufigkeit in den vergangenen drei bis zwölf Monaten heraus. Daraus wird dann jeweils ein Durchschnitt oder eine Summe berechnet, die dann auf der Mieterauskunft zu sehen ist. 

Neben den Summen/Durchschnitten werden des Weiteren die Personenstammdaten (Name, Anschrift, Geburtsdatum) und die Bonitätsinformationen in einer elektronischen Datei zusammengefasst, die dir dann als PDF zum Download bereitsteht. 

Die Daten werden im Umfang, wie sie auf der Mieterauskunft angegeben sind, anhand eines eindeutigen Bestätigungscodes für die Dauer von 90 Tagen im Internet zugänglich gemacht und dementsprechend übermittelt. Das bedeutet, dass beispielsweise ein Vermieter mit dem Code prüfen kann, dass das Dokument echt und nicht gefälscht ist. Die Übermittlung erfolgt im Internet potenziell weltweit.

Wir speichern eine elektronische Kopie des Zertifikats höchstens bis zu dem Zeitpunkt, der sechs Monate nach Ablauf der gesetzlichen Verjährung (§ 195 BGB), gerechnet ab Ablauf der 90 Tage, liegt. Die Kopie wird danach binnen eines weiteren Monats gelöscht.

 Wie schützt bonify deine Daten?

Nachdem wir erklärt haben, wie und warum wir bestimmte Daten erheben und zu welchem Zweck wir sie verarbeiten, wollen wir euch in diesem Abschnitt erklären, wie wir die Sicherheit eurer Daten gewährleisten. 

 Sichere Kommunikation 

Grundsätzlich ist die komplette Datenübermittlung zwischen dir und bonify nur über eine gesicherte Verbindung möglich. Das kannst du auch ganz einfach überprüfen, in dem du in deinem Browser in der URL-Eingabe-Leiste auf Sicherheitssymbole achtest. Die Internet-Browser Chrome und FireFox zeigen dir beispielsweise ein kleines graues Schloss links neben der Webadresse an, wenn die Website als “Sicher” eingestuft wird. Wenn du auf das Schloss klickst, kannst du dir weitere Details und Berechtigungen der Website und das Sicherheitszertifikat ansehen. Das Sicherheitszertifikat, das bonify verwendet, wurde von CloudFlare ausgestellt. Die Sicherheits-Services von CloudFlare schützen uns zudem vor DDoS-Angriffen, missbräuchlichen Bots und dem Missbrauch von Daten.

bonify speichert die von dir angegeben Daten in der Cloud. Dafür setzten wir auf einen der weltweit größten Cloud-Anbieter, der von vielen unterschiedlichen Unternehmen auf der ganzen Welt genutzt wird. Die von uns verwendeten Hochsicherheitsserver, auf denen die Daten verschlüsselt gespeichert werden, befinden sich in Deutschland. Die Kommunikation mit dem Rechenzentrum, in dem die Server stehen, erfolgt immer in verschlüsselter Form und über einen sicheren Transportweg. Auch die Kommunikation der Server innerhalb des Rechenzentrums sowie die Kommunikation der eingesetzten Sicherheits- und Analyse-Tools untereinander erfolgt immer in geschütztem Netz und wird von bonify gemanagt.  

 Doppelt verschlüsselt

Deine Daten werden auf den Servern verschlüsselt gespeichert. Das bedeutet, dass keine persönlichen Daten über Nutzer in lesbarer Form gespeichert werden. Die Daten werden als verschlüsselte Binärdatei gespeichert, die mit dem Passwort des Nutzers entschlüsselt werden können.  

Für die sichere Verschlüsselung setzten wir auf den Advanced Encryption Standard (AES). Dabei handelt es sich um eine sichere symmetrische Verschlüsselungsmethode. Da bisher laut SecurityInsider keine praktisch relevanten Angriffsmethoden auf die Verschlüsselungsmethode bekannt ist, eignet sich AES für die Verschlüsselung von sensiblen Dokumenten und Daten und kommt unter anderem für staatliche Dokumente der USA mit höchster Geheimhaltungsstufe zum Einsatz. Neben der Verschlüsslung der Daten an sich sind auch die Hardware-Komponenten, also die Festplatten, auf denen die Daten liegen, verschlüsselt. Das bedeutet, dass wir deine Daten doppelt verschlüsseln. Die von uns angelegten Backups sind ebenfalls durch AES verschlüsselt. 

 Zugang zu sensiblen Daten für den automatisierten Abruf

Wenn du deine Zugangsdaten zum Online-Banking bei bonify hinterlegt hast, kann bonify Kontoinformationen wie Einzahlungen und Zahlungsausgänge automatisiert abrufen. Für den automatisierten Abruf der Kontoinformationen über einen unserer API-Provider (Schnittstellen-Provider) hat eine einzige Komponente des bonify-Systems das Recht (Autorisierung), die sensiblen Zahlungsdaten zu entschlüsseln und für den Abrufprozess bereitzustellen. Dieser Vorgang geschieht ausschließlich systemintern innerhalb der Anwendung und wird nicht von einer natürlichen Person durchgeführt.

Der Ablauf für den automatisierten Abruf sieht so aus:

Täglich, zu einer bestimmten Uhrzeit, wird der Prozess zum Abruf automatisch gestartet. 

Die Nutzer-IDs, für die der Abruf erfolgen sollen, werden bereitgestellt.

Eine interne Systemkomponente ist autorisiert, die sensiblen Zahlungsdaten zu entschlüsseln und für den Abruf der Kontoinformationen bereitzustellen.

Die Daten werden in sicherer Form über eine gesicherte REST-Schnittstelle gesendet. Die Kommunikation ist über TLS abgesichert.

bonify erhält die Kontoinformationen von der kontoführenden Bank über den API-Provider.

Die erhaltenen Kontoinformationen werden in verschlüsselter Form gespeichert und der Prozess wird beendet. 

 Zugang zu sensiblen Daten durch den Nutzer

Wenn du deine Zugangsdaten zum Online-Banking bei bonify hinterlegt hast, ist dir sicherlich aufgefallen, dass du die PIN bzw. das Passwort nicht einsehen kannst. Das hat einen sicherheitsrelevanten Hintergrund, da wir so sicherstellen, dass kein Dritter die PIN / das Passwort sehen und eventuell missbrauchen kann. Du kannst deine PIN / dein Passwort aber natürlich jederzeit löschen. 

Nachdem du dich in deinen passwortgeschütztes bonify-Account eingeloggt hast, erfolgt die Autorisierung - soweit du deine PIN / Passwort für das Online-Banking gespeichert hast - über die “Entschlüsselung durch den Kundenschlüssel”. Das bedeutet, dass du über dein Benutzerpasswort auf dein Benutzerkonto bei bonify zugreifst. Mit dem Benutzerpasswort wird eine zufällig generierte Passphrase, welcher nur einem Nutzer zugeordnet ist, entschlüsselt. Mit dieser Passphrase werden die Nutzerdaten innerhalb der Datenbank entschlüsselt, welche nun in deinem bonify-Nutzerkonto sichtbar sind. Die sensiblen Zahlungsdaten (PIN / Passwort für das Online-Banking) sind, wie bereits erklärt, auch nach dem Einloggen nicht sichtbar.

Da das Passwort, mit dem du dich bei bonify anmeldest, sehr wichtig ist und dir den Zugang zu den Bonitäts- und Finanzinformationen in lesbarer Form ermöglicht, möchten wir dich darauf hinweisen, ein sicheres Passwort zu verwenden. Die Grundregel für ein sicheres Passwort sind nicht kompliziert. Passwörter sollten immer länger sein als 8 Zeichen sein und Zahlen sowie Sonderzeichen haben. Auch Groß- und Kleinschreibung sollte beachtet werden. Außerdem sollte es keine Entsprechungen im Wörterbuch haben. 

 Zusammenfassung

Zum Schutz von sensiblen Daten setzten wir bei bonify auf eine umfassende Verschlüsslung nach den neusten Standards (AES). Dabei verschlüsseln wir sowohl die Daten an sich als auch die Festplatten, auf denen die Daten verschlüsselt gespeichert wurden. 

Wie bereits erläutert besteht nur ein sehr eingeschränktes Rechte für den Zugang zu den sensiblen Zahlungsdaten wie PIN / Passwort zum Online-Banking. Für Externe ist es äußerst aufwendig, unerlaubt an die Daten zu kommen oder diese zu stehlen, da vorher mehr als sieben Sicherheitsmechanismen überbrückt werden müsse. 

Das bonify-Team arbeitet laufend am Ausbau der Präventions- als auch der Überwachungsmaßnahmen. Zudem überwacht unser DevOps-Team laufend unsere Logs, um abnormale und/oder gefährliche Aktivitäten aufzudecken und entsprechend handeln zu können. Unsere Verbindungen zu unseren API-Providern (Schnittstellen-Provider) sind abgesichert. Sowohl wir als auch unsere Partner überwachen die Verbindung laufend. Des Weiteren überwachen wir unsere Datenbanken zum einen durch die vorhandenen Tools unseres Cloud-Dienstleisters und zum anderen durch externe Sicherheits-Tools. Dies gilt auch bzgl. des Zugriffs auf Server, Backupserver und Rechenzentren im Allgemeinen. 

 Hast du noch Fragen?

Datenschutz und Datensicherheit haben bei bonify oberste Priorität. Wenn du mehr darüber erfahren möchtest, wirf am besten einen Blick in unsere Datenschutzerklärung und AGB oder richte deine Frage an unseren Kundensupport – entweder über unser Kontaktformular oder per E-Mail an support@bonify.de.