Was eine Foto-Tresor-App ist und wie sie funktioniert

1. Die Definition und der eine Unterschied, auf den es ankommt

Eine Foto-Tresor-App speichert Fotos und Videos in einem eigenen Bereich, getrennt von der Fotos-App, und braucht zum Öffnen ein eigenes Passwort oder eine PIN. Das ist schon die ganze Definition. Sie umfasst zwei Bauweisen, die sich sehr unterschiedlich verhalten:

• Tresore, die verschlüsseln. Jede Datei wird mit einem aus Ihrem Passwort erzeugten Schlüssel verschlüsselt. Was im Speicher liegt, ist ohne diesen Schlüssel nicht lesbar. Wer das entsperrte iPhone oder eine Kopie seines Speichers hat, sieht nichts.
• Tresore, die nur den Bildschirm sperren. Die Dateien liegen als gewöhnliche Bilder im Speicher der App. Die Sperre ist nur ein Bildschirm vor der App. Wer eine Kopie des Speichers hat, hat gewöhnliche Bilder.

Alles andere an diesen Apps, die Tarnungen, die Ablenkungstresore, die Einbruchsalarme, die Cloud-Synchronisierung, baut auf einer dieser beiden Bauweisen auf. Unser Ratgeber zu den vier Arten von Apps, die Fotos verstecken, geht sie genauer durch. Diese Seite beschreibt die erste Art, weil das Wort „Tresor“ genau sie nahelegt.

2. Was mit einem Foto in einem verschlüsselten Tresor passiert

Als Beispiel nehmen wir Obscura Photo Vault, denn dessen Aufbau können wir mit Sicherheit beschreiben und die zugehörige Dokumentation verlinken.

1. Sie legen ein Passwort fest. Die App schickt es durch ein langsames Verfahren, PBKDF2 mit 600.000 Runden und beigemischten Zufallsdaten, und erzeugt daraus einen Schlüssel. Dieser Schlüssel entsperrt die Fotos nicht direkt. Er entsperrt einen zweiten, zufälligen Schlüssel, und mit diesem zweiten Schlüssel sind die Daten des Tresors tatsächlich verschlüsselt. Der Tresor speichert Ihr Passwort nicht. Wenn Sie Face ID aktivieren, legt iOS eine Kopie des Passworts in seinem Schlüsselbund hinter Face ID ab. Das ist eine Bequemlichkeit, kein zweiter Schlüssel.
2. Sie holen ein Foto in den Tresor. Die App liest es aus Ihrer Mediathek in den Arbeitsspeicher und verschlüsselt es dort mit AES-256-GCM, bevor irgendetwas in ihren eigenen Speicher geschrieben wird. Auf dem iPhone landen die verschlüsselte Datei, ihr verschlüsseltes Vorschaubild und ein verschlüsselter Datenbankeintrag mit Name und Album. Das Original in der Fotos-App bleibt unverändert.
3. Sie sperren den Tresor. Der Schlüssel wird aus dem Arbeitsspeicher gelöscht. Auf dem iPhone bleiben verschlüsselte Daten und eine gesperrte Kopie des Schlüssels, die ohne das Passwort nutzlos ist.
4. Sie entsperren und sehen sich Fotos an. Aus dem Passwort wird wieder der Schlüssel erzeugt, der zweite Schlüssel wird entsperrt, und die Datei wird zum Anzeigen im Arbeitsspeicher entschlüsselt. Auch Videos werden im Arbeitsspeicher entschlüsselt, große Dateien Stück für Stück während der Wiedergabe. So wird keine lesbare Kopie eines Videos auf das iPhone geschrieben.
5. Sie löschen das Original. Diesen Schritt kann die App Ihnen nicht abnehmen. Solange Sie das Foto nicht in der Fotos-App löschen, „Zuletzt gelöscht“ leeren und iCloud nachziehen lassen, liegt das Original noch dort, wo es war.

Der Namensteil GCM ist wichtiger, als viele denken. Er bedeutet, dass jede Datei einen Prüfwert trägt. Eine auf dem iPhone veränderte Datei lässt sich dann nicht öffnen, statt sich still mit falschen Daten zu öffnen. Was die Verschlüsselungsbegriffe bedeuten erklärt jeden davon in einfachen Worten.

3. Wovor er schützt und wovor nicht

Abgedeckt heißt, dass die Bauweise mit dieser Situation umgehen kann. Es heißt nicht, dass eine App unangreifbar wäre. Das ist eine eigene Frage, die keine Produktseite beantworten kann.

Die untere Hälfte der Tabelle ist der Teil, der Entscheidungen verändert, und sie gilt für jede Tresor-App, die es je gab. Ein Entwickler, der sie auflistet, zeigt Ihnen, dass er darüber nachgedacht hat. Unsere Liste steht in Abschnitt 11 des Sicherheitsdokuments. Ob solche Apps überhaupt sicher sind, beantwortet ein eigener Ratgeber: Sind Foto-Tresor-Apps sicher?

4. Was ein Tresor nicht ersetzt

Das Album „Ausgeblendet“. Die meisten, die einen Tresor nutzen, verwenden weiterhin das Album „Ausgeblendet“, nur für andere Fotos. Der Tresor nimmt die wenigen auf, auf die es ankäme, wenn das entsperrte iPhone in fremde Hände geriete. Das Album „Ausgeblendet“ nimmt die vielen auf, die einfach nicht in einem Widget auftauchen sollen. Mehr dazu: beide im direkten Vergleich und alles, was das Album „Ausgeblendet“ abdeckt und was nicht.

Ein Backup. Ein verschlüsselter Tresor auf Ihrem iPhone ist eine Kopie auf einem Gerät. Geht das iPhone verloren und wurde der Tresor nie exportiert, sind die Fotos weg. Bei einem Tresor ohne Server müssen Sie selbst irgendwo einen Export aufbewahren. Bei einem Tresor mit Server müssen Sie wissen, wer die Schlüssel hat.

Ihr Gedächtnis. Wenn der Tresor ein Passwort nicht zurücksetzen kann, kann es auch sonst niemand. Die zwei Gewohnheiten, die dagegen helfen, finden Sie unter Was passiert, wenn Sie Ihr Tresor-Passwort vergessen.

5. Gängige Funktionen, erklärt

Entsperren mit Face ID oder Touch ID

Eine Abkürzung, kein zweiter Schlüssel. In einem gut gebauten Tresor holt sie Ihr gespeichertes Passwort aus dem iOS-Schlüsselbund, statt es zu ersetzen. iOS nimmt diese Abkürzung weg, sobald ein neues Gesicht oder ein neuer Fingerabdruck auf dem iPhone hinzugefügt wird.

Ablenkungstresore

Ein zweiter Tresor mit einem anderen Passwort, der Fotos enthält, die Sie ohne Bedenken zeigen können. Richtig umgesetzt ist der Ablenkungstresor ein echter Tresor, die App zeigt keine Liste und keine Anzahl, und die Dateien auf dem iPhone verraten nicht, welche Tresore genutzt werden. Wird er nur als Markierung in einer Einstellungsdatei umgesetzt, ist genau diese Markierung die Antwort. So oder so hat das Prinzip bekannte Grenzen. Unsere beschreibt der Ratgeber Glaubhafte Abstreitbarkeit in einem Foto-Tresor.

Getarnte Symbole

Die App sieht aus wie ein Taschenrechner oder ein Hilfsprogramm. Das ändert, was ein flüchtiger Blick auf den Home-Bildschirm zeigt, aber nichts daran, wie die Dateien gespeichert sind. Gegen einen flüchtigen Blick hilft es, gegen eine genaue Untersuchung nicht.

Ordner-Passwörter

Ein zweites Passwort für einen Ordner im Tresor. In einer verschlüsselten Bauweise bedeutet das eine zweite Verschlüsselungsschicht mit einem aus dem Ordner-Passwort erzeugten Schlüssel. Für den Inhalt des Ordners braucht man dann beide Passwörter.

Verschlüsselter Export

Eine einzelne Datei mit dem ganzen Tresor, so stark verschlüsselt wie der Tresor selbst, die Sie auf einem anderen Gerät importieren können. So übersteht ein Tresor ohne Server den Verlust des iPhone. Als Backup zählt die Datei erst, wenn Sie getestet haben, dass sich der Import durchführen lässt.

6. Häufige Fragen

Was ist eine Foto-Tresor-App?

Eine App, die Fotos und Videos außerhalb Ihrer Fotomediathek aufbewahrt, hinter einer eigenen Sperre. Entscheidend ist, ob die App die Dateien verschlüsselt, sodass sie ohne einen aus Ihrem Passwort erzeugten Schlüssel nicht lesbar sind, oder ob sie nur einen PIN-Bildschirm vor gewöhnliche Dateien setzt. Von außen sehen beide gleich aus.

Wie funktioniert eine Foto-Tresor-App?

Sie holen ein Foto aus Ihrer Mediathek, und die App kopiert es in ihren eigenen Speicher. In einem verschlüsselten Tresor wird die Kopie in diesem Moment mit einem aus Ihrem Passwort erzeugten Schlüssel verschlüsselt und bleibt auf dem iPhone verschlüsselt. Zum Ansehen entsperren Sie den Tresor. Die App entschlüsselt die Datei im Arbeitsspeicher, zeigt sie an und verwirft die lesbare Kopie, sobald der Tresor gesperrt wird. Das Original in Ihrer Mediathek bleibt unverändert, bis Sie es löschen.

Was ist der Unterschied zwischen einem Foto-Tresor und dem Album „Ausgeblendet“?

Das Album „Ausgeblendet“ ändert, wo ein Foto in der Fotos-App erscheint, und öffnet sich mit Ihrem Gerätecode. Ein Foto-Tresor holt das Foto ganz aus der Fotos-App heraus und öffnet sich mit einem eigenen Passwort. Wenn der Tresor verschlüsselt, ist dieses Passwort auch der einzige Weg, die Datei zu lesen. Das Album „Ausgeblendet“ wird weiterhin mit iCloud synchronisiert. Ein Tresor entscheidet selbst, ob etwas das iPhone verlässt.

Wo speichert eine Foto-Tresor-App Ihre Fotos?

In ihrem eigenen Speicher auf dem iPhone, getrennt von Ihrer Fotomediathek. In einem verschlüsselten Tresor enthält dieser Speicher verschlüsselte Daten statt Bilder. Tresore, die auf einem Konto aufbauen, legen zusätzlich eine Kopie auf den Servern des Entwicklers ab. Erst das ermöglicht Synchronisierung und das Zurücksetzen des Passworts. Der App-Store-Eintrag zeigt Ihnen, welches Modell Sie vor sich haben, denn eine Kontopflicht wird dort immer angegeben.

Was ist ein Ablenkungstresor?

Ein zweiter Tresor mit einem anderen Passwort, der Fotos enthält, die Sie ohne Bedenken zeigen können. In einer gut gebauten Lösung ist der Ablenkungstresor ein echter Tresor und keine Attrappe, und die App zeigt keine Liste und keine Anzahl der Tresore. Wer den Ablenkungstresor öffnet, erfährt also nichts darüber, ob es weitere gibt. Das Prinzip hat bekannte Grenzen, und ein seriöser Entwickler legt sie offen.