Bequem, aber nicht leichtsinnig

Dein Tresor ist eine KDBX-4-Datei, verschlüsselt mit deinem Master-Passwort und/oder deiner Schlüsseldatei (Schlüsselableitung mit Argon2). Der WebDAV-Server bekommt nur diese verschlüsselte Datei zu sehen. Entschlüsselt wird ausschließlich in der App auf deinem Gerät.

• Standardmäßig liegt das Master-Passwort nur im Arbeitsspeicher und wird beim Sperren verworfen. Die Schlüsseldatei wird nie gespeichert.
• Nur wenn du Biometrie einschaltest, wird es gespeichert – im macOS-Schlüsselbund (Zugriff nur nach Touch ID, Ablauf nach 24 h), im Android Keystore (an die aktuell registrierten Finger/Gesichter gebunden) bzw. im iOS-Schlüsselbund (nur dieses Gerät, nur mit Gerätecode, ohne Ausweichen auf den Code).
• Ein neuer Finger oder ein neues Gesicht macht das gespeicherte Passwort auf Android und iOS ungültig.

• Die Verbindung (URL, Benutzer, WebDAV-Passwort) liegt verschlüsselt im Schlüsselbund bzw. Keystore – nie im Klartext.
• Die Offline-Kopie auf Android und iOS ist dieselbe KDBX-verschlüsselte Datei wie auf dem Server, im privaten App-Speicher und vom Backup ausgenommen.
• Auf iOS zusätzlich: Dateischutz von iOS, Abdeckung im App-Umschalter, fremde Tastaturen in der App gesperrt.

Kopierte Passwörter und Codes werden nach 15 Sekunden gelöscht und beim Sperren noch einmal. Auf Mac und iOS nur, wenn noch genau dein kopierter Text darin steht. Auf iOS bleibt die Zwischenablage zudem lokal (kein Universal Clipboard) und hat ein vom System erzwungenes Ablaufdatum.

• Dein WebDAV-Server: bekommt die verschlüsselte Tresor-Datei. Weiterleitungen werden nie befolgt, damit niemand eine andere Datei unterschieben kann.
• Logos: Für Einträge mit URL lädt die App das Symbol der Website, ersatzweise über den Symboldienst von DuckDuckGo (der dabei die Domain erfährt). Nur per HTTPS an öffentliche Adressen – eine Eintrags-URL kann die App nicht in dein Heimnetz schicken.
• Optional DeepSeek: Nur wenn du selbst einen DeepSeek-API-Schlüssel einträgst, wird für Einträge ohne URL der Name des Eintrags geschickt, um das passende Logo zu finden. Ohne Schlüssel nichts.
• Passwörter, Benutzernamen, Notizen oder Codes verlassen das Gerät nie unverschlüsselt. Es gibt kein Konto, keine Statistik, keine Werbung.

• Kein Klartext-Verzeichnis von Seiten oder Namen beim System: Welche Einträge passen, weiß die App erst nach dem Entsperren.
• Ausgefüllt wird nur nach URL oder verknüpfter App, nie nach dem Titel. Einträge, die nur zur selben Domain passen, sind markiert und brauchen einen Tipp.
• Website-Adressen werden nur von bekannten Browsern geglaubt (Paket und Signatur geprüft). Apps müssen über die assetlinks.json der Domain belegen, dass sie dazugehören – oder du vertraust ihnen ausdrücklich, nach einem Warnbildschirm, nur für genau dieses Paket, Zertifikat und diese Domain.
• Der private Schlüssel eines Passkeys wird nie angezeigt und lässt sich nicht kopieren.

Angezeigt werden nur Anfragen, die mit dem Schlüssel eines im Tresor eingetragenen Geräts signiert sind. Ohne dein Bestätigen geht nichts heraus; die Antwort ist für einen Einmal-Schlüssel verschlüsselt, der nur diese Runde existiert. Auf dem fragenden Gerät wird nichts gespeichert. Vergleiche immer den vierstelligen Code.

• Die Apps sind (noch) nicht von einer externen Stelle geprüft. Das Protokoll für die Geräte-Freigabe ist eine eigene Zusammenstellung aus Standard-Bausteinen von WebCrypto.
• Android zeigt ab Version 13 kurz eine Vorschau des kopierten Textes.
• Ein Passwort-Manager schützt nicht vor einem Gerät, das bereits kompromittiert ist.