BYOK-Vault — der Verein sieht den Klartext nicht

Es gibt einen einfachen Gradmesser für Daten-Souveränität: kann der Anbieter, wenn er wollte, den Inhalt sehen? Wenn ja, dann ist das, was zwischen ihm und dem Klartext steht, Vertrauen — eine Datenschutz- Erklärung, eine Compliance-Abteilung, ein Audit. Vertrauen ist gut. Es ist nur weniger gut als das technische Unvermögen.

Der Vault-Modus ist unsere Antwort darauf. Für sensible Inhalte — private Notizen, intime Listen, vertrauliche Sprachaufnahmen — gibt es einen Schaltmodus, in dem der Verschlüsselungs-Schlüssel ausschließlich auf den Geräten der Nutzerin existiert. Wir verschlüsseln im Client, schicken Chiffretext an sync2, und der Server speichert ihn, ohne ihn lesen zu können. Auf dem nächsten Gerät, das mit demselben Schlüssel gekoppelt ist, entschlüsseln wir wieder.

Das ist nicht das gleiche wie „server-side encryption at rest”. Es ist auch nicht das gleiche wie das, was die meisten kommerziellen Anbieter „Ende-zu-Ende-Verschlüsselung” nennen — weil wir nicht im Besitz des Schlüssels sind. Es heißt: wenn ein Gericht uns zwingen würde, alles herauszugeben, was wir über eine Person haben, wäre das Ergebnis ein Berg unbrauchbarer Chiffretext-Zellen. Nicht weil wir es kompliziert gemacht haben, sondern weil der Schlüssel woanders ist.

Das hat eine harte Kehrseite. Wenn alle gekoppelten Geräte verloren gehen, sind die Inhalte unwiderruflich verloren. Wir können nicht helfen. Das ist nicht ein Versäumnis, das ist die Bedingung dafür, dass wir vorher auch nicht helfen können. Wir kommunizieren das offen, weil das einzige Schlimmere als kein Vault ein Vault wäre, dem man den Schlüssel-Auffang heimlich hinten anbaut.