Häufige Fragen

Nein. Es gibt keine Registrierung, keinen Login und keinen Server, auf dem etwas von Ihnen läge. Der Tresor ist eine Datei auf Ihrem Gerät.

Dann ist der Tresor zu. Es gibt niemanden, der ihn öffnen könnte — auch uns nicht, weil Ihr Schlüssel nie unser Gerät erreicht.

Deshalb bietet die App beim Einrichten mehrere Wege an: Dateien als Schlüsselteil, ein Notweg aus beliebigen zwei von drei Dateien, und bei Ortsbindung ein Notfallcode. Was Sie sich notieren, ist der eigentliche Ersatzschlüssel.

Vollständig. Anlegen, Öffnen, Bearbeiten, Sichern — alles ohne Netz. Zwei Funktionen greifen aufs Internet zu, und beide nur, wenn Sie sie einschalten: der Zeitstempel für Fotos und das Öffnen einer Zeitkapsel. Das Versiegeln einer Kapsel geht offline.

Beim Zeitstempel: der SHA-256-Prüfwert eines Fotos, nie das Foto. Beim Öffnen einer Kapsel: die Angabe, welche Runde beziehungsweise welcher Beat abgefragt wird — nie die Notiz, nie der Schlüssel, nie ein Anteil davon.

Sonst nichts. Keine Analyse, keine Werbe-ID, keine Absturzberichte.

Für alles, was jemand erst später erfahren soll: ein Brief an ein Kind zum achtzehnten Geburtstag, Zugangsdaten, die eine vertraute Person nach einem bestimmten Datum bekommen soll, eine Notiz an sich selbst, die Sie heute nicht in Versuchung führen soll.

Nein, und das ist der Kern der Sache. Über den Zeitpunkt entscheidet nicht Ihr Gerät, sondern eine Signatur, die zwei unabhängige Beacons erst dann veröffentlichen. Vorher existiert sie nirgends — auch nicht bei uns.

Die Kapsel wird so versiegelt, dass zwei von drei Anteilen genügen: drand, ein Schlüsselserver und Ihr Notfallcode. Fällt eine Seite aus, öffnet die Kapsel trotzdem. Verschwinden beide Beacons dauerhaft, bleibt der Notfallcode.

Weil sie unterschiedlich viel können. Der Kapselcode ist einer von drei Anteilen und öffnet allein nichts, solange die Beacons schweigen — im Tresor liegt er also gefahrlos. Der Ortscode ersetzt den Ort vollständig. Läge er neben dem Schloss, in einem Tresor, den jemand ohnehin schon offen hat, wäre das Schloss wertlos. Deshalb wird er einmal gezeigt und nirgends gespeichert.

Voreingestellt sind etwa 150 m um den gespeicherten Punkt. Im Entsperr-Bildschirm lässt sich der Radius auf 300, 600 oder 1200 m stellen. Das schwächt nichts: der Tresor ist an genau ein Rasterfeld gebunden, und der Radius sagt nur, wie viele Nachbarfelder das Gerät durchprobiert. Der weiteste Radius kostet unter einer halben Sekunde.

Dann brauchen Sie den Notfallcode, den die App beim Versiegeln einmal gezeigt hat. Ohne ihn und ohne diesen Ort bleibt die Notiz zu. Wählen Sie die Ortsbindung also für Dinge, die dort hingehören, wo sie sind.

Die Konstruktion ist bislang nicht extern auditiert. Wir schreiben deshalb genau auf, wie sie funktioniert — siehe die technische Beschreibung —, damit Sie oder jemand Ihres Vertrauens sie beurteilen kann. Ein veröffentlichter Prüfbericht ist etwas anderes als eine Selbstauskunft, und solange es ihn nicht gibt, sagen wir das dazu.

Nein. Nicht aus gutem Willen, sondern weil es technisch keine Gegenstelle gibt: Ihr Schlüssel entsteht auf Ihrem Gerät aus Dingen, die wir nie sehen. Ein Gericht könnte uns nichts abverlangen, was wir hätten.

In derselben Datei liegen zwei unabhängige Tresore mit eigenen Passwörtern. Der zweite Platz existiert immer — auch ungenutzt, gefüllt mit Zufallsdaten gleicher Länge. Von außen ist deshalb nicht zu erkennen, ob es einen zweiten gibt.

Was das nicht ist: ein Schutz gegen jemanden, der weiß, dass die App das kann. Wer die Datei und diese Seite kennt, weiß, dass ein zweiter Platz da sein könnte.

Android. Eine iOS-Fassung gibt es nicht und ist derzeit nicht geplant.