Die TradeOgre-iOS-App, die es nie gab

Warum es nie eine iOS-App gab

Die Veröffentlichung im App Store ist weniger eine technische als eine institutionelle Übung. Apple verlangt ein an eine juristische Person gebundenes Entwicklerkonto, die Prüfung der eingereichten Binärdatei und – für alles in der Finanzkategorie – den Nachweis, dass der Herausgeber das Unternehmen ist, das er zu vertreten vorgibt, oft einschließlich einer Registrierung bei der Aufsicht oder einer überprüfbaren Unternehmensidentität.

Nichts davon konnte TradeOgre erfüllen. Es hatte keinen öffentlich genannten Betreiber, kein offengelegtes Unternehmen und keine Registrierung bei irgendeiner Finanzaufsicht. Eine anonyme Börse kann nicht beweisen, dass sie die Börse ist – und genau darum geht es im Prüfverfahren.

Dafür gibt es eine dokumentierte Folge. Mindestens ein unabhängiger Entwickler baute einen iOS-Client für die Börse und berichtete, ihn nicht veröffentlichen zu können; TradeOgre habe auf Anfragen nach der Mitwirkung, die eine Einreichung im App Store erfordert hätte, nicht reagiert. Das ist eine kleine Anekdote mit großer Aussage: Dieselbe Anonymität, die Kunden anzog, schloss die Plattform von jedem Vertriebskanal aus, der Identitäten prüft.

Es lohnt sich, hier kurz innezuhalten. Das Prüfverfahren des App Store wird häufig kritisiert, oft zu Recht. In diesem Fall funktionierte es genau wie vorgesehen: Es hielt eine nicht registrierte, anonym betriebene verwahrende Börse aus einem Kanal fern, dem man zu Recht vertraut.

Was Leute auf dem iPhone tatsächlich nutzten

Den mobilen Browser. Die Website von TradeOgre war responsiv genug, um vom Handy aus zu handeln, und das war das gesamte offizielle mobile Erlebnis. Es gab keine Push-Benachrichtigungen, keine biometrische Entsperrung, kein Widget und keine Preisalarme im Hintergrund.

Manche speicherten die Website auf dem Home-Bildschirm, was unter iOS ein Symbol erzeugt, das die Seite in einer eigenständigen Browseransicht startet. Das ist ein Lesezeichen, keine App – eine Unterscheidung, die man klar halten sollte, denn diese gespeicherten Symbole liegen noch auf den Handys der Leute und führen jetzt zu einem Beschlagnahmehinweis.

Die praktische Folge des reinen Browserzugangs war vor allem Unbequemlichkeit: Ohne Alarme musste man manuell nachsehen, und Sitzungen im mobilen Safari laufen ab, sodass man die Zugangsdaten öfter neu eingab als am Desktop. Der letzte Punkt zählt im Rückblick. Ein Börsenpasswort wiederholt auf dem Handy einzutippen, mitunter in nicht vertrauenswürdigen Netzwerken, ist eine Gewohnheit, die den Wert der Zwei-Faktor-Authentifizierung erheblich steigert.

Drittanbieter-Clients und ihr Risiko

Weil die API öffentlich und einfach war, bauten unabhängige Entwickler Clients dagegen. Manche waren Open-Source-Hobbyprojekte, und die in guter Absicht geschriebenen waren tatsächlich nützlich – schreibgeschützte Portfolio-Ansichten, Preismonitore, Orderbuch-Viewer.

Das Risikomodell verdient dennoch eine klare Beschreibung, weil es für jeden Drittanbieter-Client einer Börse auf jeder Plattform gilt.

Eine Drittanbieter-App, die Ihre Guthaben anzeigt, braucht Ihren API-Schlüssel. Die Schlüssel von TradeOgre nutzten HTTP Basic Authentication ohne Begrenzung der Berechtigungen und ohne IP-Beschränkung – ein Schlüssel, der Guthaben lesen konnte, konnte also auch Orders platzieren. Das einer Anwendung zu überlassen, die Sie nicht geschrieben haben, deren Quellcode Sie nicht gelesen haben und die auf einem Server läuft, den Sie nicht kontrollieren, ist eine gewichtige Vertrauensentscheidung – und viele trafen sie beiläufig, weil die App hilfreich aussah.

Eine App, die nach Ihrem Börsenpasswort statt nach einem API-Schlüssel fragt, ist um Größenordnungen schlimmer. Es gibt keinen legitimen Grund, warum ein Drittanbieter-Client Kontozugangsdaten bräuchte, und jede App, die danach fragt, sollte gelöscht statt bewertet werden.

Die allgemeine Regel, die aus diesem Fall bleibt: Verwenden Sie API-Schlüssel statt Passwörtern, begrenzen Sie sie auf das Minimum an Berechtigungen, das das Werkzeug wirklich braucht, und widerrufen Sie sie, wenn Sie das Werkzeug nicht mehr nutzen. Bietet eine Plattform keine begrenzten Schlüssel an, behandeln Sie jeden Schlüssel, den sie ausstellt, wie Ihr Passwort.

Gefälschte Börsen-Apps und wie sie funktionieren

Fälschungen sind in beiden großen App-Stores immer wieder aufgetaucht, auch in der Finanzkategorie, und sie gehen zunehmend geduldig vor. Ein verbreitetes Muster: Zuerst wird etwas Harmloses veröffentlicht, das die Prüfung besteht, und das schädliche Verhalten wird erst in einem späteren Update eingeführt oder nur in bestimmten Regionen aus der Ferne aktiviert.

Die Mechanik variiert, das Ziel nicht. Ein überzeugender Anmeldebildschirm erfasst E-Mail, Passwort und – wenn Sie ihn liefern – einen gültigen Zwei-Faktor-Code, der sofort verwendet wird, solange er noch gilt. Manche Klone zeigen stattdessen eine funktional wirkende Handelsoberfläche, auf der Einzahlungen echt und Auszahlungen es nicht sind; der Kunde bleibt wochenlang beschäftigt, während das Guthaben fiktiv ist.

Eine tote Börse ist dafür ungewöhnlich attraktiv. Es gibt kein Unternehmen, das eine Löschaufforderung stellen könnte, keinen Support-Account, der Betroffene warnt, und eine große Zahl von Menschen, die aktiv nach einem Weg zurück in ihre Konten suchen. Wer 2026 eine gefälschte TradeOgre-App baut, hat ein Publikum, das hoch motiviert ist, Ungereimtheiten ungewöhnlich bereitwillig übersieht und keine offizielle Quelle zum Gegenprüfen hat.

Deshalb beginnt die Prüfliste auf dieser Seite mit „Gehen Sie zuerst auf die offizielle Website“. Bei TradeOgre endet dieser Schritt heute in einem polizeilichen Beschlagnahmehinweis – und das ist die richtige und vollständige Antwort.

Was Sie jetzt auf iOS tun sollten

Löschen Sie jede TradeOgre-bezogene App und jede Verknüpfung auf dem Home-Bildschirm von Ihrem Gerät. Nichts, worauf sie zeigen, existiert noch, und eine gespeicherte Verknüpfung ist nur einen versehentlichen Tipp von einer Phishing-Seite entfernt, falls die Domain je den Besitzer wechselt.

Falls Sie jemals einen Drittanbieter-Client für TradeOgre installiert haben, entfernen Sie ihn und behandeln Sie alle darin hinterlegten Zugangsdaten als kompromittiert. Ändern Sie das Passwort überall, wo Sie es sonst verwendet haben.

Wenn Sie bei einer neuen Plattform starten, installieren Sie deren App auf dem langsamen Weg: Öffnen Sie die offizielle Website auf dem Handy, folgen Sie deren Link zum App Store, prüfen Sie den Entwicklernamen und installieren Sie erst dann. Aktivieren Sie die Zwei-Faktor-Authentifizierung, bevor Sie eine Einzahlung vornehmen, nicht danach.

Und seien Sie ganz allgemein skeptisch gegenüber Bequemlichkeit auf dem Handy. Ein Telefon ist das Gerät, das am ehesten in einem nicht vertrauenswürdigen Netzwerk genutzt wird, am ehesten verloren geht und mit dem man am ehesten abgelenkt durch eine Anmeldung tippt. Das ist kein Argument gegen mobilen Handel – es ist ein Argument für Zwei-Faktor-Authentifizierung, biometrische Sperre und dafür, langfristige Bestände dort zu halten, wo ein Handy nicht hinkommt.