Sicherheit bei Vaulted
Zero-Knowledge-Verschlüsselung — wir können deine Geheimnisse nicht lesen, selbst wenn wir wollten.
Entwickelt und gepflegt von Maxim Novak · [email protected]
Vertrau uns nicht — prüf es selbst
Jede Aussage auf dieser Seite lässt sich direkt in deinem Browser nachvollziehen. Öffne die DevTools, führe vier kurze Tests durch und bestätige, dass weder Klartext noch Schlüssel das Netzwerk überqueren. Fünf Minuten, keine zusätzlichen Tools nötig.
AES-256-GCM-Verschlüsselung
Jedes Geheimnis wird in deinem Browser mit AES-256-GCM verschlüsselt, wie in NIST SP 800-38D spezifiziert — derselbe Standard, den Regierungen und Finanzinstitute weltweit verwenden. Die Verschlüsselung erfolgt, bevor irgendwelche Daten dein Gerät verlassen.
Der Schlüssel verlässt nie deinen Browser
Der Verschlüsselungsschlüssel wird im URL-Fragment untergebracht (dem Teil nach #). Gemäß RFC 3986 werden URL-Fragmente nie an den Server gesendet — sie existieren nur in deinem Browser. Nur wer den vollständigen Link hat, kann das Geheimnis entschlüsseln.
Zero-Knowledge-Architektur
Unser Server speichert nur verschlüsselten Geheimtext und Metadaten (Aufrufzähler, Ablaufzeit). Wir haben keine Möglichkeit, deine Daten zu entschlüsseln — wir sehen weder den Schlüssel noch den Klartext. Selbst eine vollständige Kompromittierung des Servers würde nur verschlüsselte Blobs liefern.
Optionaler Passphrase-Schutz
Für zusätzliche Sicherheit kannst du beim Erstellen eines Geheimnisses eine Passphrase festlegen. Die Passphrase schützt den Verschlüsselungsschlüssel — selbst wenn jemand den Link abfängt, kann er das Geheimnis ohne sie nicht entschlüsseln. Teile die Passphrase über einen anderen Kanal (z. B. per Telefon oder separater Nachricht) für maximalen Schutz.
Was der Server speichert
Einen verschlüsselten Blob, die Anzahl der verbleibenden Aufrufe und einen Ablauf-Zeitstempel. Das war's. Keine IP-Logs, keine Nutzerkonten, keine Analyse von Geheimnisinhalten.
Automatische Löschung
Geheimnisse werden dauerhaft gelöscht, wenn das Aufruflimit erreicht wird oder die Ablaufzeit verstrichen ist. Es gibt keinen Papierkorb, kein Backup, keine Möglichkeit, gelöschte Geheimnisse wiederherzustellen.
Offen per Design
Die Verschlüsselungs- und Entschlüsselungslogik läuft vollständig in deinem Browser über die Web Crypto API. Du kannst den Quellcode einsehen, die kryptografische Implementierung überprüfen und bestätigen, dass kein Klartext dein Gerät verlässt.
Wogegen Vaulted schützt
Netzwerk-Abhören
Alle Daten werden in deinem Browser vor der Übertragung verschlüsselt. Selbst wenn der Netzwerkverkehr abgefangen wird, sehen Angreifer nur AES-256-GCM-Geheimtext — der Verschlüsselungsschlüssel überquert das Netzwerk nie.
Kompromittierung des Servers
Vaulted verwendet eine Zero-Knowledge-Architektur. Der Server speichert nur verschlüsselten Geheimtext und Metadaten. Er erhält weder den Verschlüsselungsschlüssel noch den Klartext, daher liefert ein vollständiger Server-Einbruch nichts Verwertbares.
Unbefugter Zugriff
Geheimnisse sind durch konfigurierbare Aufruflimits, automatischen Ablauf (TTL) und optionalen Passphrase-Schutz gesichert. Sobald das Aufruflimit erreicht oder der TTL abgelaufen ist, wird das Geheimnis dauerhaft gelöscht.
Datenpersistenz
Geheimnisse werden nach dem Abrufen oder Ablaufen automatisch und dauerhaft aus dem Speicher gelöscht. Es gibt keine Backups, keinen Papierkorb und keine Wiederherstellungsmechanismen.
Wogegen Vaulted NICHT schützt
Kompromittierter Browser oder Gerät
Hat Malware Zugriff auf deinen Browser, kann sie den entschlüsselten Inhalt aus dem DOM lesen, nachdem du ein Geheimnis aufgerufen hast.
Keylogger
Ein Keylogger auf dem Gerät des Absenders oder Empfängers kann eine Passphrase beim Eintippen mitschneiden.
Bösartige Browser-Erweiterungen
Erweiterungen mit DOM-Zugriff können den entschlüsselten Geheimnis-Inhalt lesen, nachdem er im Browser gerendert wurde.
Teilen oder Screenshots durch den Empfänger
Sobald ein Geheimnis entschlüsselt ist, sieht der Empfänger Klartext. Es gibt kein DRM — er kann es kopieren, einen Screenshot machen oder weitergeben.
Link-Abfangen vor dem Aufruf
Wird die vollständige URL (einschließlich des Fragments mit dem Schlüssel) abgefangen, bevor der vorgesehene Empfänger sie öffnet, ist das Geheimnis kompromittiert.
Schwache Passphrasen
Wird eine Passphrase verwendet und ist sie schwach, kann ein Angreifer mit Zugriff auf den geschützten Schlüssel sie per Brute-Force knacken.
Was wir bei einer Vorladung herausgeben würden
Eine häufige Frage von Sicherheits- und Rechtsteams: Was könnte Vaulted bei einem rechtlich erzwungenen Zugriff tatsächlich herausgeben? Die ehrliche Antwort ist „nicht viel“ — und das ist by Design, keine Richtlinie. Wir können nicht teilen, was wir nie erhalten haben.
Was wir zu einem bestimmten Geheimnis speichern
- AES-256-GCM-Geheimtext, verbleibender Aufrufzähler und ein TTL-Zeitstempel — gespeichert als Redis-Hash in Upstash.
- Optionaler Key-Wrapping-Salt, falls der Absender eine Passphrase gewählt hat.
- All das wird automatisch beim TTL-Ablauf oder beim Erreichen der maximalen Aufrufzahl gelöscht. Keine Backups, keine Archive.
Was nie gespeichert oder geloggt wird
- Klartext-Inhalt.
- Der Verschlüsselungsschlüssel — er lebt nur im URL-Fragment (nach dem
#), das Browser gemäß RFC 3986 nicht an den Server senden. - Passphrasen (nur ein nicht umkehrbarer Salt wird gespeichert).
- Identität, E-Mail oder Geräte-Fingerprint des Empfängers.
- Request-Bodies, Response-Bodies oder Referrer.
Was kurzzeitig geloggt wird
- Die IP des Anfragers, ausschließlich genutzt vom Upstash Ratelimit (Sliding Window) zur Durchsetzung von 10 Erstellungen/min und 30 Aufrufen/min pro IP. Wird nur so lange aufbewahrt, wie das Rate-Limit-Fenster es erfordert.
- Standard-Betriebslogs von Vercel und Upstash (Status-Codes, Latenzen) — nicht mit Geheimnis-Inhalten verknüpft.
Was Strafverfolgungsbehörden mit einem gültigen Verfahren erhalten könnten
Maximal: ein opaker Geheimtext-Blob, solange er noch innerhalb seines TTL-Fensters liegt, plus die oben genannten Metadaten. Der Blob ist ohne den Entschlüsselungsschlüssel unlesbar — den wir nie besessen haben und nicht wiederherstellen können.
Wir haben schlicht nichts Nützliches herauszugeben.
Verantwortungsvolle Offenlegung
Wir nehmen Sicherheit ernst. Wenn du eine Schwachstelle entdeckst, melde sie bitte verantwortungsvoll, damit wir sie beheben können, bevor sie Nutzer betrifft.
Was ein Bericht enthalten sollte
- Eine Beschreibung der Schwachstelle und ihrer möglichen Auswirkungen
- Schritte zur Reproduktion des Problems
- Optionaler Proof-of-Concept-Code oder Screenshots
Umfang
- Im Scope: Verschlüsselungsimplementierung, Authentifizierungsumgehung, Datenexposition, serverseitige Schwachstellen
- Außerhalb des Scope: Social Engineering, Denial of Service, Spam
Wir streben an, Meldungen innerhalb von 48 Stunden zu bestätigen.
Willst du es in Aktion sehen?
Probier den Verschlüsselungs-Playground aus — eine interaktive Demo derselben AES-256-GCM-Verschlüsselung, die Vaulted verwendet. Oder lies unseren visuellen Leitfaden zur Ende-zu-Ende-Verschlüsselung.