Trading-Apps im Test: Wie sicher sind Trade Republic, eToro & Co. wirklich?
5 Trading Apps im Vergleich
Trading-Apps ermöglichen einen einfachen Zugang zu dem Handel mit Aktien, ETFs und Kryptowährungen. Gleichzeitig verarbeiten sie sensible Informationen wie personenbezogene Daten und Transaktionsdaten. Entsprechend hoch sind die Anforderungen an Sicherheit und Datenschutz.
Mit der APPVISORY Risk Management Plattform wurden fünf verbreitete Trading-Apps technisch analysiert: Trade Republic, eToro, Bitpanda, Scalable Capital und comdirect. Im Fokus des Trading-App-Test standen unter anderem Netzwerkkommunikation, Berechtigungen, Drittanbieter-Integrationen sowie potenzielle Sicherheitsauffälligkeiten.
Trade Republic (iOS & Android 4.2613.0)
Die Analyse der iOS- und Android-Version von Trade Republic zeigt insgesamt ein stabiles Sicherheitsniveau.
Im Test wurde ein öffentlich erreichbarer Firebase-Endpunkt identifiziert. Dabei handelt es sich um eine Schnittstelle zu einer Cloud-Datenbank. Über diesen Endpunkt waren Inhalte abrufbar, die mit OTP-Codes (Einmalpasswörter zur Bestätigung von Anmeldungen oder Transaktionen) in Verbindung standen.
Die Analyse ergab, dass es sich nicht um produktive Daten handelte. Der Befund wurde an Trade Republic gemeldet. Der Anbieter bestätigte, dass der Endpunkt Teil einer kontrollierten Testumgebung ist und ausschließlich nicht sensible Dummy-Daten enthält. Eine Gefährdung von Nutzerdaten oder Systemen besteht laut Anbieter nicht, der Befund wurde entsprechend als „informational“ eingestuft. Die Rückmeldung erfolgte schnell und nachvollziehbar.
Darüber hinaus zeigen beide Plattformen:
- einzelne Auffälligkeiten bei der Absicherung von Datenübertragungen
- erhöhte Bewertungen in automatisierten Sicherheitsscans (insbesondere Android)
- eine Vielzahl angeforderter Berechtigungen, darunter Kamera, Mikrofon und Kontakte
Einordnung: Der identifizierte Befund ist nicht kritisch, aber vermeidbar. Insgesamt ist das Sicherheitsniveau solide. Positiv hervorzuheben ist die schnelle und transparente Reaktion des Anbieters.
EToro (iOS & Android v651.1238.1)
Die Analyse der iOS- und Android-Version von eToro zeigt in weiten Teilen identische Konfigurationen.
Die App erlaubt grundsätzlich auch unverschlüsselte Verbindungen (HTTP). Diese werden jedoch gezielt auf bestimmte externe Dienste beschränkt, etwa für die Einbindung von Inhalten oder technischen Komponenten. Hintergrund ist die Integration von Drittanbietern, beispielsweise für Inhalte oder Funktionen.
Zusätzlich wird die Prüfung von Sicherheitszertifikaten teilweise an externe Systeme ausgelagert. Das bedeutet, dass die Vertrauensprüfung nicht vollständig innerhalb der App erfolgt, sondern durch angebundene Dienste.
Auffällig ist insbesondere der Umfang an Tracking- und Analyse-Diensten. Mehrere externe Anbieter erfassen Nutzungsdaten, Interaktionen und technische Informationen innerhalb der App.
Einordnung: Funktional und technisch entspricht die App gängigen Branchenstandards. Auffällig ist vor allem die intensive Einbindung externer Analyse- und Marketingdienste, wodurch vergleichsweise viele Nutzungsdaten verarbeitet werden.
Bitpanda (iOS & Android 3.21.1)
Im Rahmen der Untersuchung wurde ein in der App eingebetteter reCAPTCHA Enterprise API Key identifiziert. Dabei handelt es sich um einen Schlüssel für einen Google-Dienst, der automatisierte Zugriffe (z. B. durch Bots) erkennen soll. Solche Schlüssel gelten grundsätzlich als schützenswert, da sie bei unzureichender Absicherung missbraucht werden könnten.
Der Befund wurde an Bitpanda gemeldet. Der Anbieter stellte klar, dass dieser Schlüssel technisch stark eingeschränkt ist:
- Nutzung nur innerhalb der offiziellen App möglich
- Bindung an spezifische App-Signaturen (iOS und Android)
- Einschränkung auf definierte Funktionen innerhalb des Dienstes
Zusätzlich kommen weitere Schutzmechanismen zum Einsatz, sodass eine missbräuchliche Nutzung außerhalb des vorgesehenen Kontexts ausgeschlossen werden soll.
Ein weiterer Befund betraf ein selbstsigniertes Zertifikat im Zusammenhang mit einem Drittanbieter-Dienst (Onfido, Identitätsprüfung). Zertifikate dienen der Absicherung von Verbindungen; selbstsignierte Varianten verfügen jedoch über keine unabhängige Vertrauenskette. Laut Bitpanda handelt es sich hierbei um eine ältere, nicht mehr genutzte Integration, die aktuell keine Daten verarbeitet und perspektivisch entfernt wird.
Die Rückmeldung des Anbieters erfolgte zeitnah und ausführlich.
Zusätzlich zeigt die Analyse auf beiden Plattformen:
- fehlende konkrete Begründungen für einzelne Berechtigungen
- Integration mehrerer Analyse- und Marketingdienste
Einordnung: Die identifizierten Punkte sind technisch nicht optimal umgesetzt, werden jedoch durch Einschränkungen und Kontext abgesichert. Ein konkretes Risiko ergibt sich daraus nach aktueller Bewertung nicht. Positiv ist die schnelle und transparente Einordnung durch den Anbieter.
Scalable Capital (iOS & Android 26.4.1)
Die Analyse der iOS- und Android-Version von Scalable Capital zeigt ein einheitliches Bild.
Beide Apps fordern Zugriff auf das Mikrofon, ohne dass ein klarer funktionaler Zusammenhang erkennbar ist. Auch die Begründungen für weitere Berechtigungen sind allgemein gehalten und bieten wenig Transparenz für Nutzer.
Darüber hinaus werden mehrere Drittanbieter-Dienste integriert, unter anderem für Analyse, Werbung und Monitoring. Diese erfassen Nutzungsdaten und übertragen sie an externe Systeme.
Einordnung: Es bestehen keine akuten Sicherheitsrisiken. Auffällig sind jedoch Defizite bei Transparenz und Datenminimierung.
comdirect (iOS & Android 1.5.66)
Die Analyse der iOS- und Android-Version von comdirect zeigt vergleichbare Auffälligkeiten auf beiden Plattformen.
Die App fordert Zugriff auf das Mikrofon, ohne dass ein konkreter Anwendungsfall erkennbar ist. Es ist wahrscheinlich, dass diese Berechtigung durch integrierte Drittanbieter-Komponenten entsteht und nicht aktiv genutzt wird.
Zusätzlich werden Analyse- und Marketingdienste eingesetzt, die Nutzungsdaten erfassen und verarbeiten.
Einordnung: Technisch unauffällig, mit Verbesserungspotenzial bei Transparenz und Berechtigungsmanagement.
Fazit: Wie schneiden die Trading-Apps im Test ab?
Die untersuchten Trading-Apps weisen insgesamt ein solides Sicherheitsniveau auf. Kritische Schwachstellen konnten nicht festgestellt werden.
Unterschiede bei den Tests zeigen sich vor allem bei der Einbindung externer Dienste sowie bei Transparenz und Berechtigungsmanagement. Bei der Einbindung externer Dienste schneidet Trade Republic am besten ab: Die App integriert deutlich weniger Drittanbieter als etwa eToro oder Scalable Capital, die beide mehrere Analyse- und Marketingdienste einsetzen, die Nutzungsdaten erfassen und an externe Systeme übertragen. Besonders eToro fällt durch eine intensive Einbindung solcher Dienste auf.
Bei der Transparenz zu Berechtigungen zeigen sich ebenfalls Unterschiede. Scalable Capital und comdirect fordern beide Zugriff auf das Mikrofon, ohne einen klaren funktionalen Zusammenhang zu erläutern. Bitpanda liefert für einzelne Berechtigungen keine konkreten Begründungen. Trade Republic hingegen kommuniziert Befunde offen und reagierte im Rahmen dieser Analyse schnell und nachvollziehbar auf gemeldete Punkte.
Für Nutzer bedeutet das: Die Anwendungen sind technisch zuverlässig, unterscheiden sich jedoch im Detail bei Datenschutz, Transparenz und Umsetzung.
Die Analyse verdeutlicht, dass Sicherheitsbewertungen über klassische Schwachstellen hinausgehen. Mit der APPVISORY Plattform lassen sich solche Aspekte systematisch erfassen, bewerten und einordnen – auch im direkten Austausch mit den Anbietern.
Sie haben Fragen? Nehmen Sie gerne Kontakt mit uns auf.
