Die SCHUFA hatte bonify schon ende 2022 gekauft. Dann kam der SCHUFA-Score kostenlos in die Apps, das ist noch keinen Monat her und jetzt die Datenpanne, das Datenleck, die Bonität von Jens Spahn? Was ist los bei bonify und SCHUFA. Regelmäßige Updates inklusive.
Mitte 2022 gab es die Vertriebskooperation wegen des BonitätsChecks. Es knisterte zwischen SCHUFA und bonify. Es kam, wie es musste – die SCHUFA kaufte das Start-up. Jetzt knistert es nicht nur, es brennt an allen Ecken. Was ist da los?
Was ist los bei bonify?
Das FinTech zeigt seit kurzer Zeit den SCHUFA-Basisscore kostenlos in der App. Das kleine Fintech hatte immerhin schon vorher 2 Millionen Nutzer, die mitunter Bankdaten dort hatten und PINs speicherten. Sind die Sicher? Ja! Soweit erstmal keine Angst!
Jens Spahns Score und Mieterauskunft
Eine Aktivistengruppe hat ein Finleap-Connect Problem genutzt, um eine andere Mieterauskunft (von Boniversum / nicht der SCHUFA) zu erstellen. Die stellt Jens Spahn jetzt eine gute Bonität aus, die geleisteten Mietzahlungen im Dokument sind natürlich nicht von ihm, sondern von den Aktivisten.
Durch die Identifikation bekommt sie auch einen Score angezeigt, wieder von Boniversum, nicht der SCHUFA. Aber warum? Ist das der Score von Jens Spahn? Es ist eher der Score einer Person (die Boniversum nicht kannte) und damit ist das Ergebnis ein absoluter GEO-Score von einer unbekannten Person an dieser Adresse. So funktionierte der bonify / Boniversum Score. Hätte man jetzt Angela Merkel oder Ronald McDonald geschrieben, wäre der Score vermutlich ähnlich.
Hätte Boniversum Jens Spahn an dieser Adresse gekannt, wäre es noch um einiges interessanter geworden, was wäre dann? Es wäre wirklich sein Score – dazu habe ich allerdings keine Aussage gefunden. Vermeindlich, war es ein reiner Regio-Score. Schlimm genug. SCHUFA und bonify halten hin, aber Finleap wird an vielen Stellen benutzt. Die Aktivisten weisen darauf hin.
DSGVO-Verstösse in der App
Ich sagte es schon beim Kauf damals, bonify muss erwachsen und konformer werden. Ein Fintech-Start-up lebt von Presse, auch der schlechten, weil wieder eine Klage droht. Sie „preschen vor und machen möglich“. Unter anderem werden in den Apps Daten an Google gesendet und die Einwilligung kommt später. Auch das ist (leider) nicht unüblich. Aber als SCHUFA-Tochter kannst du das nicht bringen.
Und natürlich hat bonify viele Tracker in der App. Wobei auch hier Dinge genannt werden. Landingi baut die Landingpages, mit Convertflow kommen Popups und Forteil ist bonify selbst. Blueshift ist das CRM und Segment verknüpft ihre Daten. Nimmt man dann die Socials raus, sind es nur noch wenige Tracker. Verglichen mit vielen Spielen, ist es mMn auch nicht viel – aber wie gesagt, eine SCHUFA-Tocher. Ob hier die Einwilligungen zur richtigen Zeit erfragt werden ist auch unklar.
Das sind schon zwei Hammer – auf Medium stellt die Aktivistengruppe dar, über welche Endpunkte die beteiligten Microservices kommunizierten und wie einfach es möglich war, hier zu manipulieren. Die Verifizierung beruhe auf einem untauglichen Namensvergleich, so einer der Kritikpunkte:
Wenn der Vor- und Nachname, unter dem das Bankkonto geführt wird, im Namen, der bei bonify eingegeben werden, irgendwie drin stecken, dann ist der Name valide
So ihre Feststellung. Auf diese Weise erlangte sie Zugang zum Boniversum-Score von Jens Spahn.
Während die Schufa und Forteil behaupten, es seien keinerlei persönlichen Daten des CDU-Politikers abrufbar gewesen. Was an der oben erklärten „Geo-Score“ Geschichte liegt, die Boniversum beim bonify-Score macht. Aber weder hatte Jens Spahn je ein bonify Konto, noch war der Fake-Name an dieser Adresse bekannt. Man kann sich das noch genauer durchlesen, aber es wird nicht verständlicher.
Der Unterschied war – wie ich es verstanden habe – Boniversum gibt den GEO-Score für unbekannt zurück und die SCHUFA sagt bei unbekannt: Die Person kennen wir nicht. Nicht identifiziert! Ergibt Sinn. Man streitet nun, ob es eine Datenpanne ist, auch Datenleck genannt werden darf und vermutlich arbeitet man auch an der Lösung.
Die Webapp ist nicht erreichbar, die Appstore Apps ohne Funktion!
Jede Presse ist gute Presse
Wenn ein Fintech-Start-up eines kann, dann Presse managen und Probleme lösen. Ich denke, dass wir bonify bald wieder online sehen. Durch die viele Presse sind sie jetzt bekannt wie ein bunter Hund. Was bonify an Marketingbudget hätte nehmen müssen, um so eine Auflage zu bekommen. Klar haben alle die Panne im Kopf. Aber auch, dass es bei bonify SCHUFA-Daten gibt. Mich sollte nicht wundern, wenn die App bald 3, 5, 7 oder gar 10 Millionen Nutzer hat.
Letztes Update
bonify ist wieder da, in den App Stores und als Webapp. Wieder zuerst im Web, dann auch als native App. Das Finleap Problem behoben. Man ist erwachsen geworden, denn einige Tracker sind raus. Beim Bank-ID wird nur der Name gecheckt und nichts gespeichert, was nicht darf. Die Datenschutzbehörden sind zufrieden. Es wird jetzt auch eID Angeboten und man kündigt schon Neues an.
Es soll alle „bonitätsrelevanten SCHUFA-Daten“ kostenlos bei bonify geben und Benachrichtigungen bei Negativeinträgen, ebenfalls kostenlos. Das ist gut, aber meiner Meinung nach haben wir in Deutschland jetzt etwas verpasst.
Denn Boniversum ist gegangen und wird wohl nicht mehr zurückkommen. Mit bonify hatten wir eine App mit 2 Scores von 2 Auskunfteien und die größte war dabei. Das wäre mittel genug, um alle Auskunfteien kostenlos in diese App zu bringen. Deine Selbstauskunft von allen Auskunfteien – das hättest du immer digital, kostenlos und in einer App haben können. Ich denke, der Skandal hat diese Chance genommen. Und vermutlich somit die SCHUFA noch etwas mehr Monopol gegeben.
Künftig wird man über diese Regio-Scores sprechen und dass es so ein Leck nicht wieder geben darf. Dann müssen alle handeln – na ja, außer die SCHUFA, die so ja nicht arbeitet. Die Datenpanne war in der SCHUFA-App bonify, den Medienrummel hatte die SCHUFA und bonify, das Problem betraf aber nur Bonvirsum (und etwas Finleap).
Nichtsdestotrotz, Experian kommt und mischt das Land auf – ich bin gespannt, was bonify und die SCHUFA uns in den nächsten Jahren bringen werden. Auch an Presse.