--- title: "Was ein Profilpasswort wirklich schützt" description: "Argon2id mit 64 MiB und drei Durchläufen, ein zufälliger 256-Bit-Schlüssel und eine Liste dessen, was Verschlüsselung nicht verhindert." url: "https://stonqs.app/de/blog/wie-das-profilpasswort-das-portfolio-verschluesselt/" lang: "de" updated: "2026-10-25" --- [ Wie die Zahlen entstehen, und was die App mit ihnen macht](https://stonqs.app/de/blog/) Privacy und Ihre Daten # Was das Profilpasswort schützt und was nicht [Von Vladimir Varvorkin](https://stonqs.app/de/about/) Aktualisiert 9\. Oktober 2026 5 Min. Lesezeit Stonqs hält Ihr Portfolio in einer Datei auf Ihrer eigenen Festplatte. Geben Sie dem Profil ein Passwort, wird diese Datei mit SQLCipher unter einem zufälligen 256-Bit-Schlüssel verschlüsselt, den Ihr Passwort nur aufsperrt. Das hilft gegen einen gestohlenen Rechner und eine kopierte Sicherung. Gegen vier andere Dinge nicht. ## Auf dieser Seite 1. [Die Parameter, weil sie sonst niemand aufschreibt](https://stonqs.app/de/blog/wie-das-profilpasswort-das-portfolio-verschluesselt/#die-parameter-weil-sie-sonst-niemand-aufschreibt) 2. [Wogegen es schützt](https://stonqs.app/de/blog/wie-das-profilpasswort-das-portfolio-verschluesselt/#wogegen-es-sch%C3%BCtzt) 3. [Wogegen es nicht schützt](https://stonqs.app/de/blog/wie-das-profilpasswort-das-portfolio-verschluesselt/#wogegen-es-nicht-sch%C3%BCtzt) 4. [Was absichtlich unverschlüsselt bleibt](https://stonqs.app/de/blog/wie-das-profilpasswort-das-portfolio-verschluesselt/#was-absichtlich-unverschl%C3%BCsselt-bleibt) 5. [Wenn Sie es vergessen](https://stonqs.app/de/blog/wie-das-profilpasswort-das-portfolio-verschluesselt/#wenn-sie-es-vergessen) 6. [Was den Rechner dennoch verlässt](https://stonqs.app/de/blog/wie-das-profilpasswort-das-portfolio-verschluesselt/#was-den-rechner-dennoch-verl%C3%A4sst) Ihr Passwort verschlüsselt die Datenbank nicht. Das klingt nach einem Mangel und ist das Gegenteil. Beim Setzen eines Profilpassworts erzeugt die App einen zufälligen 256-Bit-Schlüssel und übergibt ihn an SQLCipher. Ihr Passwort wird mit [Argon2id](https://www.rfc-editor.org/rfc/rfc9106.html) zu einem zweiten Schlüssel gestreckt, und dieser zweite versiegelt den ersten in einer kleinen Datei neben der Datenbank. Ein Passwortwechsel versiegelt 32 Byte neu. Er schreibt nie Ihr Portfolio um, das hundert Megabyte Buchungen umfassen kann, und hinterlässt keine halb umgewandelte Datei, wenn mitten darin der Strom ausfällt. ## Die Parameter, weil sie sonst niemand aufschreibt Argon2id, 64 MiB Speicher, 3 Durchläufe, 1 Spur, Ergebnis 32 Byte. Das liegt deutlich über dem [Minimum, das OWASP empfiehlt](https://cheatsheetseries.owasp.org/cheatsheets/Password%5FStorage%5FCheat%5FSheet.html), und die Kosten stehen im Profil statt im Programm, lassen sich also später anheben, ohne vorhandene Dateien unbrauchbar zu machen. Die versiegelten Blöcke nutzen XChaCha20-Poly1305 und sind an ihren Zweck und ihr Profil gebunden: Ein Schlüssel, der aus einem Profilordner in einen anderen kopiert wird, fällt durch, statt stillschweigend zu passen. Der Datenbankschlüssel ist zufällig und bereits 256 Bit lang, deshalb bekommt SQLCipher ihn roh und leitet selbst nichts ab. Dort gibt es nichts zu raten. Angreifbar ist allein Ihr Passwort, und genau dort sitzen die 64 MiB und die drei Durchläufe. Das kürzeste akzeptierte Passwort hat acht Zeichen, ohne Regeln zur Zusammensetzung. Genau das verlangt NIST SP 800-63B und nichts weiter, denn Vorschriften über Großbuchstaben und Ziffern erzeugen vor allem Passwörter, die niemand behält und die auf einem Zettel landen. ## Wogegen es schützt - Ein verlorener oder gestohlener Rechner im ausgeschalteten Zustand. - Jemand kopiert den Profilordner aus einer Sicherung, einem synchronisierten Ordner oder von einer externen Platte. - Ein Blick auf einem gemeinsam genutzten Rechner von jemandem, der sich nicht als Sie anmelden kann. Solange ein Profil gesperrt ist, wird seine Datenbank gar nicht erst geöffnet. Lassen Sie einen Rechner das Profil merken, liegt im Schlüsselbund des Betriebssystems der Datenschlüssel, nie Ihr Passwort. ## Wogegen es nicht schützt Eine Sicherheitsseite, die alles verspricht, lohnt die Lektüre nicht, deshalb die Grenzen, in der Reihenfolge, in der sie uns Sorgen machen. - **Schadsoftware, die als Sie läuft, während das Profil entsperrt ist.** Die Datenbank ist offen und der Schlüssel im Speicher. Verschlüsselung im Ruhezustand hilft nicht gegen Code, der in derselben Sitzung läuft und den Schlüssel rechtmäßig hat. - **Jede Person an der Tastatur einer entsperrten Sitzung.** Eine automatische Sperre nach Untätigkeit gibt es noch nicht. Das ist eine Lücke, und sie zu benennen ist besser, als sie als gedeckt erscheinen zu lassen. - **Ein Profil ohne Passwort.** Dessen Datenbank ist eine gewöhnliche Datei, die jedes Programm öffnet. Die Profilliste zeigt, welche Profile geschützt sind. - **Ein schwaches Passwort.** Argon2id macht Raten teuer, nicht unmöglich. Eine merkbare Passphrase aus mehreren Wörtern schlägt ein kurzes Passwort mit einem Sonderzeichen darin. ## Was absichtlich unverschlüsselt bleibt Oberflächensprache, Erscheinungsbild, Dashboard-Aufteilung und Ihre Import-Layouts liegen unverschlüsselt neben der Datenbank, weil der Sperrbildschirm sich zeichnen muss, bevor Sie etwas getippt haben. Buchungen, Positionen, Bestände, Kontonamen, Notizen, Ziele und Pläne liegen in der verschlüsselten Datei. Falls dieser Tausch Sie beschäftigt: Ein Import-Layout hält fest, welche Spalte der Brokerdatei was bedeutet, und nichts über Ihre Positionen. ## Wenn Sie es vergessen Dann sind die Daten weg. Es gibt kein Zurücksetzen, keine Wiederherstellungsdatei und keine Hintertür, und die App sagt das auf dem Bildschirm, auf dem Sie das Passwort setzen. Zwei Gewohnheiten machen das verkraftbar: das Passwort dort aufbewahren, wo Ihre anderen wichtigen liegen, und den Profilordner hin und wieder an einen sicheren Ort kopieren. Die verschlüsselte Datei kopiert sich wie jede andere, und die Kopie ist so verschlüsselt wie das Original. Achtung Eine Sicherung eines verschlüsselten Profils nützt nur mit dem Passwort. Der Eintrag im Passwortmanager und die Sicherung sind zwei Hälften derselben Vorsorge, und nur eine davon zu haben ist der übliche Weg, beide zu verlieren. ## Was den Rechner dennoch verlässt Verschlüsselung im Ruhezustand sagt nichts über das Netz, deshalb der Rest des Bildes: Anfragen gehen hinaus für Kurse, Wechselkurse, Inflationsdaten und die Suche nach Wertpapieren, an die Quellen, die Sie eingeschaltet haben, und bei einem neuen Profil ist jede Quelle aus, bis Sie wählen. Dazu kommt eine tägliche Aktualisierungsprüfung bei der Release-Seite, die sich abschalten lässt, und der KI-Assistent, falls Sie einen verbinden. Kurs- und Wechselkursanfragen tragen ein Kürzel oder ein Währungspaar und nichts über Sie. Ihre Positionen gehen an niemanden. Die Ausnahme ist der Assistent, und nur die Teile, die Sie freigeben, was [ein eigenes Thema](https://stonqs.app/de/blog/was-der-ki-assistent-darf-und-was-nicht/) ist. ## Quellen - [Stonqs: der Profil-Tresor](https://github.com/vvvlladimir/stonqs/blob/v0.5.0/app/src-tauri/src/vault/mod.rs) · Schlüsselableitung und versiegelte Schlüssel, wie die App sie umsetzt. - [SQLCipher design](https://www.zetetic.net/sqlcipher/design/) · Wie die verschlüsselte SQLite-Datenbank aufgebaut ist. - [RFC 9106: Argon2](https://www.rfc-editor.org/rfc/rfc9106.html) - [NIST SP 800-63B, Digital Identity Guidelines](https://pages.nist.gov/800-63-3/sp800-63b.html) · Warum die einzige Passwortregel eine Mindestlänge ist. - [OWASP Password Storage Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/Password%5FStorage%5FCheat%5FSheet.html) ## Mehr zu Privacy und Ihre Daten - [Was der KI-Assistent darf und was nicht ](https://stonqs.app/de/blog/was-der-ki-assistent-darf-und-was-nicht/) - [Was Broker-Exporte tatsächlich enthalten ](https://stonqs.app/de/blog/was-broker-csv-exporte-enthalten/) - [Alle Beiträge ](https://stonqs.app/de/blog/) --- [ Stonqs](https://stonqs.app/de/) Ein Portfolio-Tracker, der auf Ihrem eigenen Rechner läuft. Kostenlos, Open Source, ohne Konto. ## Produkt [Download](https://stonqs.app/de/download/) [Privacy](https://stonqs.app/de/privacy/) ## Wissen [Anleitungen](https://stonqs.app/de/guides/) [Blog](https://stonqs.app/de/blog/) [Fragen](https://stonqs.app/de/faq/) ## Projekt [Über](https://stonqs.app/de/about/) [Quellcode](https://github.com/vvvlladimir/stonqs) [Änderungen](https://github.com/vvvlladimir/stonqs/blob/main/CHANGELOG.md) [Diskussionen](https://github.com/vvvlladimir/stonqs/discussions) [Fehler melden](https://github.com/vvvlladimir/stonqs/issues) Stonqs ist ein Werkzeug, um die eigenen Anlagen zu erfassen und zu analysieren. Es ist keine Anlage-, Steuer- oder Rechtsberatung, und die Antworten seines Assistenten sind es auch nicht. Marktdaten kommen von kostenlosen Drittquellen, ohne Gewähr für ihre Richtigkeit. Diese Website setzt keine Cookies und lädt nichts von anderen Servern; in Ihrem Browser bleibt allein die Sprache, die Sie wählen. [Impressum](https://stonqs.app/impressum/) [Datenschutzerklärung](https://stonqs.app/datenschutz/)