Sind Foto-Tresor-Apps sicher?

1. Was sicher bedeuten muss

Sicher wovor, und vor wem? Von einer Tresor-App werden zwei verschiedene Aufgaben erwartet. Die ehrliche Antwort auf „Ist sie sicher?“ hängt davon ab, welche Sie meinen.

• Ein Foto aus dem Blickfeld halten, wenn jemand das iPhone in der Hand hat oder wenn ein Widget oder ein Rückblick es anzeigt. Das leistet fast jede App dieser Art. Ebenso das integrierte Album „Ausgeblendet“.
• Die Datei unlesbar halten für eine Person, die das iPhone und den Code hat, oder eine Kopie des Speichers. Das leistet nur eine App, die die Dateien mit einem Passwort verschlüsselt, das sich vom Code unterscheidet. Das ist eine Foto-Tresor-App in dem Sinn, den das Wort nahelegt.

Diese Apps werden mit der zweiten Aufgabe beworben und erfüllen oft die erste. Das ist nicht immer unehrlich, denn für viele Menschen ist die erste Aufgabe das ganze Problem. Zum Problem wird es, wenn jemand eine App für die zweite Aufgabe wählt und die erste bekommt. Der Rest dieser Seite zeigt, wie Sie das erkennen, und dann, was auch die zweite Art nicht kann.

2. Fünf Merkmale, die Sie prüfen können

Alle stammen aus dem App-Store-Eintrag und von der Website des Entwicklers, bevor Sie etwas installieren. Unser Vergleich mit Rangliste wendet sie mit Quellen auf sechs namentlich genannte Apps an. Hier folgt die allgemeine Fassung.

Sie nennt, was sie verschlüsselt, und wie

Ein Verschlüsselungsverfahren, ein Weg, aus Ihrem Passwort einen Schlüssel zu machen, mit Rundenzahl, und was abgedeckt ist: Fotos, Videos, Vorschaubilder und die Datenbank mit Namen und Alben. Das sind vier verschiedene Dinge. „AES-256-GCM, PBKDF2 mit 600.000 Runden“ ist eine Aussage, die Sie prüfen und auf die Sie den Entwickler festlegen können. „Bankniveau“ oder „Militärstandard“ verspricht nichts. Eine App, die nur ihre Einstellungen verschlüsselt, könnte das wahrheitsgemäß sagen. Was die Begriffe bedeuten, erklärt ein eigener Ratgeber.

Sie sagt, ob der Entwickler Ihre Fotos zurückholen kann

Das ist die aufschlussreichste Einzelfrage. Lautet die Antwort ja, hat der Entwickler etwas, das Ihre Dateien ohne Ihr Passwort entsperren kann. Der Schutz gilt dann Außenstehenden, nicht dem Entwickler. Lautet die Antwort nein, ist ein vergessenes Passwort endgültig. Beides ist legitim. Ein Entwickler, der nicht klar antwortet, ist das Problem.

Ihr Datenschutzlabel passt zu ihrem Versprechen

Im Abschnitt „App-Datenschutz“ gibt der Entwickler an, was die App erfasst. Lesen Sie ihn darauf, ob es zusammenpasst. Eine App, die ein Cloud-Backup anbietet und Nutzerinhalte aufführt, ist schlüssig. Eine App, deren ganzes Versprechen „nichts verlässt Ihr iPhone“ lautet, die aber umfangreiches Tracking aufführt, verdient einen genaueren Blick in ihre Datenschutzerklärung. Das Label ist die eigene Auskunft des Entwicklers, und niemand prüft es. Das gilt auch für unseres.

Sie funktioniert im Flugmodus

Das einzige Merkmal, das Sie testen statt lesen können. Installieren Sie die App, schalten Sie den Flugmodus ein und nutzen Sie sie normal. Eine App, die vollständig offline funktioniert, lädt offline nichts hoch. Das beweist nicht, was sie online tut. Aber es ist etwas, das Sie gesehen haben, statt dass man es Ihnen erzählt hat, und davon gibt es in dieser Kategorie wenig.

Sie schreibt ihre Grenzen auf

Das stärkste Merkmal überhaupt. Jede echte Bauweise hat Grenzen. Ein Entwickler, der sie durchdacht hat, kann sie benennen, weil er sie für den Bau der App herausarbeiten musste. Suchen Sie nach einer Sicherheitsseite, auf der die Worte „schützt nicht gegen“ stehen. Eine Seite, die nur Stärken aufzählt, bedeutet: Entweder hat niemand hingesehen, oder jemand hat es getan und beschlossen, es nicht zu sagen.

3. Risiken, die für jede Tresor-App gelten, auch für unsere

Diese verschwinden nicht durch bessere Verschlüsselung. Obscura Photo Vault unterliegt allen vier, und das Sicherheitsdokument sagt das auch.

Ein vergessenes Passwort

Bei einem verschlüsselten Tresor ohne Zurücksetzen ist das der wahrscheinlichste Weg, Ihre Fotos zu verlieren. Er ist weit wahrscheinlicher als jeder Angriff. Es ist dieselbe Tatsache wie „niemand sonst kann ihn öffnen“, nur von der anderen Seite betrachtet. Die zwei Gewohnheiten, die davor schützen, ein Passwort-Manager und ein getesteter Export, stehen in Was passiert, wenn Sie Ihr Tresor-Passwort vergessen.

Die Originale

Ein kompromittiertes iPhone, während der Tresor offen ist

Um Ihnen ein Foto zu zeigen, muss die App es entschlüsseln. Der Schlüssel und das lesbare Foto liegen also im Arbeitsspeicher. Alles, was in diesem Moment innerhalb der App läuft, kann beides erreichen. Keine Verschlüsselung auf App-Ebene repariert ein kompromittiertes iPhone, und kein Entwickler sollte etwas anderes behaupten.

Die App ist sichtbar, und das iPhone auch

Ein Tresor-Symbol verrät, dass etwas darin ist. Eine Tarnung ändert das Symbol, nicht die Kaufhistorie im App Store oder die Liste in den Einstellungen. Bildschirmfotos, Bildschirmaufnahmen und jemand, der Ihnen über die Schulter schaut, setzen alle erst ein, nachdem das Foto entschlüsselt ist. Verschlüsselung verbirgt Inhalte. Sie verbirgt nicht, dass es etwas zu verbergen gibt.

4. Besondere Risiken von Tresoren mit Server

Ein Tresor, der mit einem Konto synchronisiert, gewinnt echte Vorteile: Zugriff von mehreren Geräten, eine Kopie, die ein verlorenes iPhone übersteht, und meist ein Zurücksetzen des Passworts. Er gewinnt aber auch einen zweiten Ort, an dem Ihre Daten liegen, mit Risiken, die ein Tresor nur auf dem iPhone nicht hat:

• Ein Server, der Kopien hält, mit eigenem Risiko, angegriffen zu werden, eigenen Mitarbeitern und eigenen rechtlichen Risiken.
• Ein Konto, das angegriffen werden kann, durch Phishing, SIM-Swapping oder ein wiederverwendetes, geleaktes Passwort, unabhängig vom Tresor-Passwort.
• Ein Wiederherstellungsprozess, also ein Weg, der schiefgehen, ausgetrickst oder erzwungen werden kann. Wenn er Ihnen Ihre Fotos zurückgeben kann, kann er sie im Prinzip auch jemandem geben, der überzeugend genug ist.
• Eine Abhängigkeit davon, dass es den Entwickler weiter gibt. Ein exportierter Tresor, der nur auf dem iPhone liegt, überdauert den Entwickler. Ein Cloud-Tresor vielleicht nicht.

Nichts davon macht Cloud-Tresore insgesamt unsicher. Es macht sie zu einem anderen Kompromiss. Wo die Verschlüsselungsschlüssel liegen, entscheidet, wie dieser Kompromiss ausfällt. Unser Ratgeber zu den vier Arten von Apps stellt die Bauweisen nebeneinander.

5. Was Sie von außen nicht prüfen können

Zwei Dinge, und eine Seite wie diese, die etwas anderes andeutete, wollte Ihnen etwas verkaufen.

Ob die App tut, was ihre Beschreibung sagt. Ohne den Quellcode oder eine unabhängige Prüfung ist „AES-256-GCM“ eine Behauptung. Alles oben prüft, ob ein Entwickler konkret und offen ist. Das geht meist mit Sorgfalt einher. Es beweist nicht, dass die App fehlerfrei ist. Auch unsere App hat niemand unabhängig geprüft. Wir haben den Code veröffentlicht, der ihre Dateien verschlüsselt, und was das beweist und was nicht, erklärt ein eigener Ratgeber.

Ob es subtile Fehler gibt. Die meisten echten Verschlüsselungsfehler sind gute Verfahren, die leicht falsch eingesetzt werden: eine Zahl, die nie wiederverwendet werden dürfte, wird wiederverwendet, ein Schlüssel wird zu billig erzeugt, ein Vorschaubild bleibt lesbar in einem Cache liegen. Nichts davon ist auf einer Produktseite zu sehen, oft nicht einmal von außerhalb des Unternehmens.

Das realistische Ziel ist also keine Gewissheit. Es geht darum, die Auswahl auf Entwickler einzugrenzen, deren Aussagen Sie prüfen können und die ihre eigenen Grenzen beschreiben. Bewahren Sie dann einen getesteten Export an einem sicheren Ort auf. Das schützt Sie vor dem Entwickler ebenso wie vor dem Verlust des iPhones. Wie das geht und was das Löschen der App tatsächlich entfernt, steht in Eine Tresor-App löschen oder auf ein neues iPhone übertragen.

6. Häufige Fragen

Sind Foto-Tresor-Apps sicher?

Manche, in einem bestimmten Sinn. Sie verschlüsseln Ihre Dateien auf dem iPhone mit einem Schlüssel, der aus einem Passwort entsteht, das nur Sie kennen, und sie sagen schriftlich, wogegen das nicht schützt. Andere setzen einen PIN-Bildschirm vor gewöhnliche Dateien, was gegen einen kurzen Blick schützt und gegen wenig sonst. Das Wort Tresor verrät nicht, welche Art es ist. Das verraten die Verschlüsselungsangabe im App Store, das Datenschutzlabel und ob der Entwickler die Grenzen aufschreibt.

Können Foto-Tresor-Apps Ihre Fotos sehen?

Das hängt von der Art ab. Eine App ohne Server und ohne Konto hat keinen Ort, an den sie die Fotos senden könnte, und das können Sie im Flugmodus testen. Eine App, die mit einem Cloud-Konto synchronisiert, hält Kopien auf ihren Servern. Ob der Entwickler sie lesen kann, hängt davon ab, wer die Verschlüsselungsschlüssel hat. Wenn der Entwickler Ihr Passwort zurücksetzen und Ihnen Ihre Fotos zurückgeben kann, hat der Entwickler einen Schlüssel. Datenschutzlabels sind die eigene Auskunft des Entwicklers, unsere eingeschlossen, also behandeln Sie sie als Behauptungen.

Was ist das größte Risiko bei einer Foto-Tresor-App?

Bei einem verschlüsselten Tresor ohne Zurücksetzen: das Passwort zu vergessen. Das ist endgültig. Bei jeder Art von Tresor: die Originale. Das verschobene Foto liegt weiter in Ihrer Mediathek, bis Sie es löschen, dann dreißig Tage lang in „Zuletzt gelöscht“ und in iCloud, bis die Löschung dort ankommt. Ein Tresor ist nur so privat wie das Aufräumen danach.

Kann ein Foto-Tresor gehackt werden?

Jede Software kann Fehler haben, und keine App auf dieser Website wird als unangreifbar beschrieben. Was Verschlüsselung ändert, ist, was ein Angreifer braucht: Ihr Passwort oder Zugriff auf das iPhone, während der Tresor entsperrt ist. Ein Tresor, der verschlüsselt und seine Grenzen nennt, verringert die Wege hinein. Er beseitigt sie nicht.

Ist eine Tresor-App sicherer als das Album „Ausgeblendet“ auf dem iPhone?

Gegen unterschiedliche Dinge. Das Album „Ausgeblendet“ öffnet sich mit Ihrem Gerätecode und wird mit iCloud synchronisiert. Ein verschlüsselter Tresor öffnet sich nur mit seinem eigenen Passwort und kann alles auf dem iPhone behalten. Geht es um einen kurzen Blick, sind beide gleich. Geht es um jemanden mit Ihrem Code oder Ihrem Apple Account, hilft nur der verschlüsselte Tresor.