Was „Zero-Knowledge“ bei einer Foto-App heißt und was du fragst

Woher der Begriff kommt

In der Kryptografie ist ein Zero-Knowledge-Beweis eine Möglichkeit zu zeigen, dass du etwas weißt, ohne das Ding selbst zu zeigen. App-Hersteller haben den Begriff für eine lockerere Idee übernommen: Die Firma speichert deine Daten und kann sie nicht lesen. Diese lockerere Idee ist nützlich. Sie ist nur kein Standard mit einem Test dahinter, sodass jede App etwas leicht Anderes meinen kann.

Die nützliche Version hat einen Kern: Die Firma hält nie den Schlüssel, der deine Dateien öffnet. Alles andere auf dieser Seite folgt daraus.

Was sie nicht lesen kann, wenn die Behauptung stimmt

• Die Fotos und Videos selbst. Sie kommen schon verschlüsselt an.
• Dateinamen und Bildunterschriften, wenn die App auch diese verschlüsselt. Viele vergessen das. Ein Name wie „mietvertrag_unterschrieben.pdf“ sagt viel.
• Notizen und Textfelder, die du neben den Dateien hältst.

Gelangt eines davon im Klartext zur Firma, deckt die Behauptung weniger ab, als sie klingt. Dieser Ratgeber hat vier Fragen, die prüfen, wer den Schlüssel hält.

Was sie trotzdem wissen kann

Zero-Knowledge über den Inhalt ist nicht Zero-Knowledge über dich. Je nachdem, wie die App gebaut ist, kann die Firma noch sehen:

Eine starke Datenschutzgeschichte entfernt Zeilen aus dieser Tabelle, nicht nur die Inhaltszeile. Eine App ohne Account, ohne eigenen Server und ohne Analyse-Werkzeuge lässt viel weniger zu wissen übrig.

Sechs Fragen

1. Brauche ich einen Account? Kein Account heißt: keine E-Mail und kein Passwort, die mit deinem Tresor verknüpft sind.
2. Könnt ihr mein Passwort zurücksetzen? Wenn der Support dich per E-Mail wieder hineinlassen kann, hat auch jemand in der Firma einen Weg hinein. Siehe Passwort deines Foto-Tresors vergessen?
3. Sind Namen und Notizen verschlüsselt oder nur die Dateien?
4. Wohin geht das Backup, und ist es verschlüsselt, bevor es das Handy verlässt?
5. Was listet das Datenschutzlabel? Das Label im App Store ist die eigene Aussage der App darüber, was sie erfasst.
6. Ist das Format dokumentiert? Ein veröffentlichtes Format lässt andere die Behauptung prüfen.

Wie Sealed sie beantwortet

So beantwortet Sealed die sechs, damit du selbst urteilen kannst.

1. Sealed hat kein Konto, also gibt es nichts, wofür du dich anmelden musst.
2. Weil dein Schlüssel uns nie erreicht, können wir deinen Tresor nicht wiederherstellen und deinen Code nicht für dich zurücksetzen.
3. Namen, Notizen und die Felder eines Eintrags werden ebenfalls mit deinem Tresorschlüssel versiegelt, nicht nur die Fotos.
4. Das Backup geht in deinen eigenen iCloud-Account, nicht auf einen Server von uns. Dateien, Namen, Notizen und Eintragsfelder werden auf deinem iPhone verschlüsselt, bevor sie hochgeladen werden, sodass iCloud nur Chiffretext erhält.
5. Sealed enthält keine Analyse- oder Tracking-SDKs und erhebt keine Daten.
6. Die Formate stehen auf der Seite zur Verschlüsselungsspezifikation. Sealed verschlüsselt jede Datei mit AES-256-GCM, bevor sie gespeichert wird.

Zwei Firmen, zwei Antworten

Bei Sealed gibt es zwei Firmen, die du fragen kannst. Die erste sind wir: Wir betreiben keinen Server, also gibt es nichts von dir, was wir sehen könnten. Sealed enthält keine Analyse- oder Tracking-SDKs und erhebt keine Daten. Die zweite ist Apple, weil das Backup in deinem eigenen iCloud-Account liegt. Apple sagt, dass die Daten, die eine App in der privaten CloudKit-Datenbank eines Nutzers ablegt, standardmäßig nur für diesen Nutzer zugänglich sind, im Entwicklerportal nicht sichtbar sind und auf den iCloud-Speicher des Nutzers angerechnet werden. Apple speichert Chiffretext und kann den Umriss davon trotzdem sehen. In deinem iCloud-Backup kann Apple den Typ jedes Datensatzes, einen zufälligen Datensatznamen, wann der Datensatz erstellt und geändert wurde, die Größe seiner Dateien und die Zahl der Datensätze sehen, aber nicht, was darin steht.

So sieht Zero-Knowledge aus, wenn es ehrlich ist: nichts Lesbares und eine kurze, benannte Liste dessen, was noch sichtbar ist.

Wo Sealed hilft und wo nicht

Es hilft, weil kein Server von uns deine Daten hält. Wir betreiben keinen Server, also gibt es nichts von dir, was wir sehen könnten. Dein Tresorschlüssel erreicht uns nie.

Es hilft, weil es keinen Account gibt, der einen Tresor an einen Namen bindet. Sealed hat kein Konto, also gibt es nichts, wofür du dich anmelden musst.

Es hält keinen Weg bereit, dich wieder hineinzulassen, wenn du Code und Wiederherstellungsschlüssel verlierst. Weil dein Schlüssel uns nie erreicht, können wir deinen Tresor nicht wiederherstellen und deinen Code nicht für dich zurücksetzen.

Es hält den Umriss des Backups nicht vor Apple verborgen: dass es existiert, wie viele Einträge es hat, ihre Größen und ihre Daten. In deinem iCloud-Backup kann Apple den Typ jedes Datensatzes, einen zufälligen Datensatznamen, wann der Datensatz erstellt und geändert wurde, die Größe seiner Dateien und die Zahl der Datensätze sehen, aber nicht, was darin steht. Apple sagt, dass die Daten, die eine App in der privaten CloudKit-Datenbank eines Nutzers ablegt, standardmäßig nur für diesen Nutzer zugänglich sind, im Entwicklerportal nicht sichtbar sind und auf den iCloud-Speicher des Nutzers angerechnet werden.