Sicherheit & Bedrohungsmodell

• Kein Konto, keine E-Mail, kein Passwort — dein Arbeitsbereich ist eine anonyme ID in einem Cookie.
• Keine Bankverbindung: Du lädst selbst exportierte Kontoauszüge hoch.
• Uploads werden serverseitig geparst und in deinem eigenen, isolierten Arbeitsbereich gespeichert — mit einem Klick löschbar.
• Keine Dritt-Analytics, keine Werbung, keine Tracking-Skripte, kein Datenverkauf.
• Pinke ruft nie einen KI-Anbieter auf. Wenn du KI-Hilfe willst, liest dein eigenes LLM deine Daten über einen Token, den du erstellst und widerrufen kannst.

Es gibt keine Registrierung. Beim ersten Besuch (nach dem Cookie-Consent-Klick) erzeugt Pinke eine zufällige Nutzer-ID und legt sie in einem HttpOnly-Cookie mit signiertem Sitzungstoken ab. Keine E-Mail-Adresse, kein Passwort, kein persönliches Merkmal wird erhoben. Der Wechsel auf ein anderes Gerät läuft über einen QR-Code-Transfer, nicht über ein Konto.

Die Kehrseite, ehrlich gesagt: Geht das Cookie verloren, ohne dass du vorher exportiert oder transferiert hast, ist der Arbeitsbereich verwaist. Es gibt kein Passwort-Zurücksetzen, weil es nichts zurückzusetzen gibt.

Hochgeladene Kontoauszüge (CSV/PDF) und E-Rechnungen (XRechnung/ZUGFeRD) gehen per TLS zum Server, werden dort geparst und zusammen mit den abgeleiteten Transaktionszeilen, deinen Regeln und Einstellungen in einem Arbeitsbereich pro Nutzer gespeichert. Pinke ist eine serverseitige Anwendung — kein reines Client-Tool, und diese Seite tut auch nicht so.

Was der Server nicht tut:

• Keine Verbindung zu deiner Bank — es gibt nichts zu verbinden; du exportierst die Dateien selbst.
• Keine Dritt-Analytics oder Werbeskripte. Seitenaufrufe werden nur first-party gezählt (Pfad und externe Referrer-Domain), einzig um zu sehen, welche Seiten gelesen werden.
• Kein Teilen oder Verkaufen von Daten. Infrastruktur-Anbieter (Hosting/Storage) verarbeiten Daten nur zum Betrieb des Dienstes.

Löschen ist echt: Auf deiner Profilseite löschst du einzelne Uploads oder den kompletten Arbeitsbereich samt aller abgeleiteten Zeilen. Demo-Daten für Erstbesucher werden automatisch entfernt, sobald du deinen eigenen Kontoauszug importierst.

Pinke betreibt kein LLM und besitzt keine Schlüssel von KI-Anbietern. KI-Unterstützung ist umgedreht: Statt dass Pinke deine Daten an einen Anbieter schickt, liest dein eigener Assistent (ChatGPT, Claude, beliebiger Agent) über Pinkes Daten-API — aber erst, nachdem du einen Zugriffstoken erzeugt hast.

• Tokens sind begrenzt, widerrufbar und laufen nach 7 Tagen ab.
• Die API liefert minimierte Daten: Transaktionscluster, Kategorien und Regeln — keine rohen Auszugsdateien.
• Jede KI-Schreibaktion (z. B. eine vorgeschlagene Regel) wird validiert und als ai-created markiert — du kannst sie prüfen und entfernen.
• Das vollständige API-Handbuch ist öffentlich: /api/ai/llm.txt.

Konsequenz: Welche KI deine Daten sieht — und unter welcher Datenschutzerklärung — entscheidest allein du. Auch: gar keine.

Ein ehrliches Bedrohungsmodell benennt seine Vertrauensanker. Wenn du Pinke nutzt, vertraust du:

• Dem Betreiber. Daten werden serverseitig verarbeitet, der Betreiber könnte technisch darauf zugreifen. Die Gegenmaßnahmen: Minimierung (keine Identität am Arbeitsbereich), Ein-Klick-Löschung und die Regeln auf der Datenschutzseite. Pinke ist derzeit Closed Source — das hier ist eine Vertrauensaussage, kein auditierter Nachweis.
• TLS für den Transport zwischen Browser und Server.
• Deinem eigenen Gerät und Browser — das Cookie ist der Schlüssel zum Arbeitsbereich.

Worauf du ausdrücklich nicht vertrauen musst:

• Der API-Anbindung deiner Bank oder einem Screen-Scraping-Aggregator — beides gibt es hier nicht.
• Irgendeinem KI-Anbieter — außer du verbindest selbst einen, und dann nur den, den du gewählt hast.
• Einem Werbe- oder Analytics-Netzwerk — es ist keins vorhanden.

Sicherheitsproblem gefunden? Mail an info@pinke.pro — Meldungen liest der Entwickler, keine Ticket-Warteschlange. Bitte Schritte zum Reproduzieren mitschicken; Good-Faith-Research ist willkommen.