Studio
Warum Velum kein Konto hat und was das für deine Fotos heißt
Vom llcloud-Team 4 Min. Lesezeit
Kurze Antwort
Velum hat kein Konto, weil ein Konto einen Server bedeutet, der deinen Tresor zurücksetzen kann, und alles, was einen Tresor zurücksetzen kann, kann ihn auch öffnen. Stattdessen entsteht der Schlüssel aus dem Muster, das du zeichnest, und eine Wiederherstellungsphrase aus 9 Wörtern, die du aufschreibst, ist der zweite Weg hinein. Deine Fotos erreichen uns nie. Der Preis ist real: Wenn du Muster und Phrase verlierst, kann niemand den Tresor öffnen, auch wir nicht.
Fast jede App will, dass du dich anmeldest. Bei einem Foto-Tresor halten wir das für den falschen Standard. Velum hat kein Konto, keine Anmeldung und keinen Server, der deine Fotos oder deine Schlüssel hält. Das war eine bewusste Entscheidung mit einem echten Preis, und dieser Beitrag erklärt beide Seiten.
Was hätte ein Konto bedeutet?
Ein Konto klingt harmlos. Es gibt dir ein Zurücksetzen des Passworts, Synchronisierung über Geräte und jemanden, dem du schreiben kannst, wenn etwas schiefgeht. Jede dieser Funktionen beruht auf demselben: einem Server, der entscheiden kann, dass du du bist, und dich wieder hineinlässt.
Für einen Tresor ist das die Schwachstelle. Ein Server, der deinen Tresor zurücksetzen kann, lässt sich dazu bringen, ihn für jemand anderen zurückzusetzen. Wer Zugriff auf deine E-Mail hat, kann ein Zurücksetzen anfordern. Ein Einbruch auf dem Server legt offen, was er gespeichert hat. Auf eine rechtliche Aufforderung kann man nur mit Daten antworten, die existieren. Und wenn der Dienst je eingestellt würde, könnte ein daran gebundenes Konto Leute aus ihren eigenen Fotos aussperren.
Nichts davon wollten wir bauen. Also haben wir eine andere Frage gestellt: Was ist das Kleinste, das existieren muss, damit du, und nur du, deinen Tresor öffnen kannst?
Wie funktioniert Velum ohne eines?
Zwei Dinge, beide in deiner Hand.
Dein Muster ist der Schlüssel. Wenn du es zeichnest, streckt Velum es mit Argon2id, einem Verfahren, das jeden Rateversuch echte Zeit und echten Speicher kosten lässt, und verbindet das Ergebnis mit einem Schlüssel in der sicheren Hardware deines Handys. Zusammen öffnen sie den zufälligen Schlüssel, der zu deinem Tresor gehört. Wie Velum ein Foto verschlüsselt geht jeden Schritt durch. Nichts davon braucht einen Server.
Neun Wörter sind der Weg zurück. Wenn du einen Tresor anlegst, zeigt Velum eine Wiederherstellungsphrase aus 9 Wörtern. Sie öffnet den Tresor, wenn du dein Muster vergisst, und stellt auch ein Backup auf einem neuen Handy wieder her. Velum behält keine Kopie und kann die Wörter nicht noch einmal zeigen, weshalb es dich bittet, sie der Reihe nach auf Papier zu schreiben, und nicht in einen Screenshot, eine Notiz oder eine Nachricht. Jeder weitere Tresor hat seine eigene Phrase.
Die Phrase deckt auch einen leiseren Fehlerfall ab. Wenn ein Handy je den Hardware-Schlüssel verliert, den Velum hält, öffnet sich der Tresor trotzdem mit der Wiederherstellungsphrase oder mit deinem Muster aus einem Backup.
Wenn du glaubst, dass jemand deine Phrase gesehen hat, kann Velum eine neue anlegen. Die alten Wörter funktionieren nicht mehr, sobald du die neuen bestätigt hast.
Was passiert, wenn du beides verlierst?
Dann kann niemand diesen Tresor öffnen. Nicht du, keine Support-E-Mail, nicht wir.
Das sagen wir in der App und auf dieser Website offen, weil es die ehrliche Folge des Entwurfs ist. Es gibt keinen Reset-Link zu senden, weil es kein Konto zum Zurücksetzen gibt. Es gibt keinen Generalschlüssel als Rückfall, weil wir nie einen hatten. Ein Backup ändert daran nichts, denn ein Backup öffnet sich mit demselben Muster oder derselben Phrase.
Wir haben versucht, den Verlust beider unwahrscheinlich zu machen, statt so zu tun, als wäre er unmöglich:
- Velum zeigt die Phrase einmal, in dem Moment, in dem du den Tresor anlegst, und bittet dich zu bestätigen, dass du sie aufgeschrieben hast.
- Das Zurücktippen ist nachsichtig. Vier Buchstaben pro Wort reichen, und ein vertipptes oder vertauschtes Wort wird mit einer klaren Meldung statt eines vagen Fehlers abgefangen.
- Falsche Muster kosten eine Wartezeit, die nach fünf Versuchen wächst, ein Ausrutscher sperrt dich also nicht für immer aus.
Unser Rat ist einfach. Schreibe die Phrase auf Papier, bewahre sie getrennt vom Handy auf und behandle sie wie einen Ersatzschlüssel fürs Haus.
Wie hält das deine Fotos von uns fern?
Deine Fotos werden auf deinem Handy verschlüsselt, bevor sie gespeichert werden, und sie bleiben dort. Sie laufen nie über einen Server von uns, weil es keinen Server von uns gibt, über den sie laufen könnten.
Backups folgen derselben Regel. Die kostenlose Sicherung geht in einen Ordner deiner Wahl, etwa auf dein Handy, eine Speicherkarte oder einen USB-Stick. Die Google-Drive-Sicherung in Pro geht in einen versteckten App-Bereich in deinem eigenen Google Drive, den nur Velum lesen kann. In beiden Fällen ist das Kopierte schon verschlüsselt, das Backup enthält also Daten, die ohne dein Muster oder deine Phrase nichts bedeuten. Unsere Anleitung zum Sichern privater Fotos behandelt die Optionen, und private Fotos auf ein neues Handy umziehen zeigt die Wiederherstellung.
Wie unsere anderen Apps sendet Velum anonyme Nutzungszahlen und Absturzberichte, damit Probleme gefunden werden. Diese Ereignisse enthalten kein Foto, keinen Dateinamen und nichts, was Tresore zählt oder unterscheidet. Werbung gibt es ebenfalls keine. Wir haben darüber geschrieben, warum unsere Apps keine Werbung haben und wie sich das Studio stattdessen trägt.
Ist kein Konto wirklich besser als eine Reset-Mail?
Für einen Tresor ja. Eine Reset-Mail bedeutet, dass jemand anderes einen Weg hinein besitzt: das Unternehmen und jeder, der sich in dein E-Mail-Konto hackt. Bei Velum hältst du die einzigen Schlüssel, und die neun Wörter auf Papier machen das sicher. Eingebaute Optionen wie der Samsung Secure Folder verlassen sich auf einen Konto-Reset, genau die Tür, die wir bewusst nicht gebaut haben. Fotos auf Android verstecken zeigt, wie sie sich vergleichen.
Wenn du Hilfe für eine starke Passphrase für etwas anderes brauchst, läuft unser Passphrasen-Generator in deinem Browser, ohne dass etwas irgendwohin gesendet wird.
Quellen
Fragen
Warum hat Velum kein Konto?
Weil ein Konto einen Server braucht, und ein Server, der dich wieder hineinlassen kann, kann auch jemand anderen hineinlassen. Velums Schlüssel entsteht aus deinem Muster und liegt nur auf deinem Handy, mit einer Wiederherstellungsphrase aus 9 Wörtern als zweitem Weg hinein. Es gibt kein Passwort zum Zurücksetzen, keine E-Mail zum Phishen und keine Kopie deiner Fotos bei uns.
Was passiert, wenn ich Muster und Wiederherstellungsphrase verliere?
Dann kann niemand diesen Tresor öffnen, auch wir nicht. Es gibt keine Reset-E-Mail und keinen Support-Trick, weil wir nie einen Schlüssel halten. Ein Backup hilft auch nicht, denn es öffnet sich mit demselben Muster oder derselben Phrase. Deshalb bittet dich Velum, die neun Wörter beim Anlegen des Tresors der Reihe nach auf Papier zu schreiben.
Können die Entwickler von llcloud meine Fotos sehen?
Nein. Fotos werden auf deinem Handy verschlüsselt, bevor sie gespeichert werden, und sie laufen nie über unsere Server. Die Google-Drive-Sicherung in Pro geht, schon verschlüsselt, in einen versteckten App-Bereich in deinem eigenen Drive. Die anonymen Nutzungszahlen, die Velum sendet, enthalten kein Foto, keinen Dateinamen und nichts, was sich zwischen Tresoren unterscheidet.
Was, wenn jemand meine Wiederherstellungsphrase sieht?
Erstelle eine neue. Velum kann für einen Tresor eine frische Phrase aus 9 Wörtern anlegen, und die alten Wörter funktionieren nicht mehr, sobald du die neuen bestätigt hast. Jeder weitere Tresor hat seine eigene Phrase, eine Phrase, die jemand gesehen hat, öffnet also nur den Tresor, zu dem sie gehört.
