So schützen wir Ihre Daten

Das Wichtigste in einem Satz

Ihre Einträge werden auf Ihrem eigenen Gerät verschlüsselt, bevor sie zu uns kommen. Den Schlüssel dazu haben nur Sie.

Bei uns kommt nur Datensalat an, eine lange Folge von Zeichen ohne erkennbaren Sinn. Wir speichern diesen Datensalat für Sie, können ihn aber nicht lesen. Das gilt auch für die Namen der Anbieter und die Rubriken: Wir wissen nicht einmal, bei welcher Bank Sie sind.

Eine Ausnahme gibt es nur, wenn Sie es ausdrücklich wollen: Auf Wunsch erkennt eine KI, was ein hochgeladenes Dokument ist. Dafür schickt Ihr Browser genau dieses eine Dokument unverschlüsselt an uns, und wir reichen es an OpenAI weiter, ohne es zu speichern. Wir fragen jedes Mal vorher. Ohne Ihre Zustimmung verlässt kein Dokument unverschlüsselt Ihr Gerät.

Wie das funktioniert

1. 1Ihr Master-Passwort bleibt bei Ihnen. Aus ihm berechnet Ihr Gerät den Schlüssel zu Ihrem Tresor. Das Passwort selbst wird nie zu uns geschickt. Wir speichern nur einen Prüfwert, mit dem wir erkennen, ob die Anmeldung stimmt, aus dem sich das Passwort aber nicht zurückrechnen lässt.
2. 2Verschlüsselt wird auf Ihrem Gerät. Zugangsdaten, Notizen, Dokumente und Fotos werden verschlüsselt, bevor sie Ihr Gerät verlassen. Zu uns kommt nur der Datensalat.
3. 3Wir können nichts aufschließen. Weil uns der Schlüssel fehlt, können wir Ihre Einträge weder lesen noch an Dritte herausgeben. Deshalb können wir auch Ihr Master-Passwort nicht zurücksetzen. Das ist kein Mangel, sondern der Beweis, dass es bei uns nicht gespeichert ist.

Warum es kein „Passwort vergessen“ per E-Mail gibt

Bei einem normalen Anbieter ist das Passwort nur die Eintrittskarte. Es lässt Sie hinein, mehr nicht. Ihre Daten liegen beim Anbieter so, dass er sie selbst lesen kann. Bei einem E-Mail-Anbieter etwa kann der Anbieter Ihre Mails lesen, sonst könnte er sie Ihnen gar nicht anzeigen. Ihr Passwort speichert er zwar nur als verschlüsselten Prüfwert. Bei jeder Anmeldung schicken Sie es aber an seinen Server, der es dort prüft. In diesem Moment könnte er es mitlesen. „Passwort vergessen“ funktioniert deshalb so einfach: Der Anbieter tauscht nur die Eintrittskarte aus. Die Daten dahinter bleiben, wie sie sind, und für ihn lesbar.

Bei uns ist das Master-Passwort der Schlüssel selbst. Aus ihm berechnet Ihr Gerät den Schlüssel, mit dem Ihr Tresor verschlüsselt ist. Ihre Daten liegen bei uns nur verschlüsselt, und wir haben keinen Schlüssel dazu. Das Master-Passwort verlässt Ihr Gerät nie. Bei der Anmeldung geht nur ein daraus berechneter Prüfwert an uns. Wir sehen Ihr Passwort also auch dann nicht, wenn Sie sich anmelden.

Ein neues Passwort per E-Mail würde nichts nützen. Sie kämen damit zwar in Ihr Konto, aber der Tresor bliebe verschlossen: Der alte Schlüssel ist weg, und der neue passt nicht. Damit ein Zurücksetzen per E-Mail funktioniert, müssten wir selbst einen Schlüssel zu Ihrem Tresor aufbewahren. Dann könnten wir hineinschauen, und ebenso jeder, der bei uns einbricht oder Ihr E-Mail-Postfach übernimmt. Genau das wollen wir verhindern.

Ein Vergleich: Ein normaler Anbieter ist wie ein Hotel. Haben Sie Ihre Zimmerkarte verloren, macht Ihnen die Rezeption eine neue, denn das Hotel hat einen Generalschlüssel. Unser Tresor ist wie ein Safe mit Ihrer eigenen Zahlenkombination. Die Rezeption kennt sie nicht und kann sie Ihnen deshalb auch nicht neu ausstellen.

Den Weg zurück gibt es trotzdem. Statt eines Links per E-Mail ist Ihr Ausdruck von Teil B der Ersatzschlüssel. Melden Sie sich bei uns. Nach einer Prüfung Ihrer Identität per POSTIDENT oder persönlich mit Ausweis bekommen Sie einen Link an Ihre hinterlegte E-Mail-Adresse und einen Code per SMS. Mit beidem und mit Teil B setzen Sie ein neues Master-Passwort, und Ihr Tresor ist wieder offen. Teil B ist also nicht nur für Ihre Vertrauensperson da, sondern auch für Sie selbst.

Der Notfallschlüssel: zwei Hälften

Damit Ihre Vertrauensperson im Notfall hineinkommt, gibt es einen zweiten Schlüssel. Er ist in zwei Hälften geteilt, und nur beide zusammen öffnen den Tresor.

So sieht ein Ausdruck von Teil B aus (Muster, PDF)

Wir allein kommen also nicht hinein, weil uns Teil B fehlt.

Zum Öffnen braucht es drei Dinge

Selbst Ihre Vertrauensperson kommt nur hinein, wenn sie alle drei beisammen hat:

1. 1Den Brief von uns mit einem persönlichen Zugangscode. Er kommt per Einschreiben, und zwar erst, wenn alle Fristen abgelaufen sind.
2. 2Das Handy der Vertrauensperson für einen Code per SMS an die Nummer, die Sie für sie hinterlegt haben.
3. 3Den Ausdruck von Teil B von dem Ort, den Sie festgelegt haben.

Erst nach Zugangscode und SMS-Code geben wir Teil A heraus. Zusammen mit Teil B vom Ausdruck öffnet sich der Tresor, und zwar nur im Browser der Vertrauensperson. Wer zufällig Ihren Ausdruck findet, kommt ohne Brief und Handy also nicht hinein.

Niemand bekommt Zugang ohne Ihr Wissen

• Bevor Ihre Vertrauensperson Zugang erhält, erinnern wir Sie mehrfach per E-Mail und SMS und schicken Ihnen einen Brief. Ein Klick von Ihnen bricht alles ab.
• Fordert Ihre Vertrauensperson selbst Zugang an, warnen wir Sie sofort auf allen Wegen. Sie können ablehnen.
• Ändert jemand Ihre E-Mail-Adresse, Ihre Handynummer oder Ihre Vertrauensperson, schicken wir eine Warnung an die bisherigen Kontaktdaten, und für eine Sperrfrist ist keine Herausgabe möglich.
• Sie sehen jederzeit, ob jemand Zugang hat und welche Einträge geöffnet wurden. Mit einem Klick beenden Sie den Zugang. Dabei wird Ihr Tresor neu verschlüsselt.

Ihre Anmeldung ist doppelt gesichert

Das Master-Passwort allein reicht nicht. Bei jeder Anmeldung fragen wir zusätzlich einen Code ab: aus einer E-Mail an Sie, aus einer Authenticator-App oder über einen Passkey (Fingerabdruck oder Gesichtserkennung). Wer nur Ihr Passwort kennt, kommt also nicht an Ihren Tresor.

Was wir sehen können, und was nicht

Und wenn bei uns eingebrochen wird?

Ein Angreifer fände nur verschlüsselte Daten. Teil A allein öffnet keinen Tresor. Um an Inhalte zu kommen, müsste er Ihr Master-Passwort erraten. Dagegen ist das Verfahren absichtlich so gebaut, dass jeder einzelne Rateversuch viel Rechenzeit kostet. Ein langes, zufälliges Master-Passwort macht das Erraten praktisch aussichtslos. Deshalb schlagen wir Ihnen bei der Anmeldung eines vor.

Gibt es Grenzen dieses Schutzes?

Ja, und wir sprechen offen darüber. Die Verschlüsselung läuft in Ihrem Browser mit Programmcode, den unsere Website liefert. Würde jemand unsere Website unbemerkt verändern, könnte er diesen Code verfälschen. Deshalb laden wir keinerlei fremde Programme, verwenden strenge Sicherheitseinstellungen und schützen unseren Server besonders.

Der zweite wichtige Punkt ist Ihr Master-Passwort. Ist es kurz oder leicht zu erraten, hilft die beste Verschlüsselung wenig. Nehmen Sie deshalb unseren Vorschlag aus zufälligen Wörtern oder ein ähnlich langes, zufälliges Passwort.

Was wir außerdem tun

• Keine Werbung, kein Tracking, keine Analyse-Werkzeuge.
• Keine Inhalte von fremden Anbietern auf unseren Seiten. Alles, was Ihr Browser von uns lädt, kommt von unserem eigenen Server.
• Server in Deutschland, Verbindung immer verschlüsselt (HTTPS).
• Jede sicherheitsrelevante Aktion wird protokolliert, auch die unserer eigenen Mitarbeiter. Eine Herausgabe durch uns braucht immer zwei Personen.