Von Anfang an versiegelt
Wir haben die Architektur um eine einzige Bedingung herum gebaut: Wir sollen dein Leben nicht lesen können, selbst wenn wir wollten, selbst wenn wir gekauft würden, selbst wenn uns jemand dazu zwingen wollte. Alles hier unten ist so geschrieben, dass man es überprüfen kann, und ausgeliefert ist bisher nichts: Jede technische Aussage trägt eine Markierung, ob sie als Prototyp-Code existiert oder als Plan.
Nur dein Gerät und eine attestierte Enklave sehen deine Daten jemals im Klartext. Wir können sie nicht lesen, nicht behalten und nicht herausgeben.
Das ist die stärkste Aussage, die wir ehrlich machen können. Eine andere machen wir nicht.
Der Inhalt deiner Gespräche, eine Fotomediathek voller privater Momente, wo du warst und wie du geschlafen hast. Das sind keine Daten, die lesbar auf dem Server von jemand anderem liegen sollten. Eine normale Cloud-App könnte sie niemals verantwortungsvoll verlangen. Wir haben genau darum herum entworfen, bevor wir eine Zeile Produktcode geschrieben haben — und nur deshalb können wir mit so intimem Material überhaupt arbeiten.
Dein Telefon verschlüsselt bereits alles, was es speichert. Wir legen ein zweites Schloss darüber, und die App selbst sitzt hinter Face ID oder deinem Code. Dein Telefon zu öffnen ist nicht dasselbe wie dein Leben zu öffnen.
Dein Gerät versiegelt alles, bevor es irgendwohin geht, so wie du einen Brief zuklebst, bevor du ihn einwirfst. Wir kümmern uns um den Umschlag; öffnen können wir ihn nicht, weil der Schlüssel dein Telefon nie verlässt.
Selbst der Teil der App, der deine Daten einsammelt, kann sie nicht lesen. Er arbeitet die Nacht hindurch mit einem Umschlag, den er nicht öffnen kann; den Schlüssel hat nur die App, sobald du sie entsperrst.
Wenn du etwas anfragst, das echte Rechenleistung braucht, wird eine Kopie genau dieser Daten in einer eigenen, hardwaregeschützten Enklave entsiegelt. Sie liegt dort für Sekunden, im Arbeitsspeicher, und wird nie auf eine Festplatte geschrieben. Wir sehen einen Umschlag rausgehen und einen Umschlag zurückkommen. Was darin ist, sehen wir nicht.
Speicher: ein zufälliger Schlüssel, zweifach versiegelt. Prototyp Dein Gerät erzeugt einen zufälligen 256-Bit-Hauptschlüssel, verschlüsselt damit die Datenbank und bewahrt ihn im Hardware-Keystore auf: Keychain unter iOS, Keystore unter Android. Dein Passwort und deine Wiederherstellungsphrase umhüllen jeweils eine eigene Kopie dieses Schlüssels — genau das erlaubt dir die Wiederherstellung auf einem neuen Gerät. Wir sehen keines der drei, es gibt also keinen serverseitigen Schlüssel, den man stehlen oder gerichtlich verlangen könnte. Es ist dasselbe Umschlagmodell, das WhatsApp, Bitwarden und iCloud Advanced Data Protection verwenden.
Eine Grenze, klar benannt. Der Schlüssel zur Datenbank ist nach dem ersten Entsperren nach einem Neustart verfügbar. Ein ausgeschaltetes Telefon ist versiegelt. Ein laufendes, entsperrtes Telefon ist ein laufendes, entsperrtes Telefon. Daran ändert kein Verschlüsselungsdesign etwas.
Sammeln: getrennt vom Lesen. Prototyp Ein Dienst im Hintergrund hält nur deine Zugangsdaten für die Quellen. Er versiegelt alles, was er abruft, mit einem Schlüssel, den er selbst nicht besitzt; der Schlüssel, der das Siegel öffnet, liegt in der Haupt-App hinter deiner Entsperrung. Der Teil unseres Systems, der am häufigsten läuft, ist der Teil, der am wenigsten lesen kann.
Backups: deine Cloud, nicht unsere. geplant Dein Gerät verschlüsselt Backups, bevor sie es verlassen, und sie landen in deiner eigenen iCloud oder deinem eigenen Google Drive, zusammen mit den umhüllten Kopien des Schlüssels. Dein Passwort oder deine Wiederherstellungsphrase genügt zum Wiederherstellen. Wir haben zu nichts davon einen Schlüssel — was auch heißt, dass wir kein Backup für dich wiederherstellen können, wenn du beides verlierst. Das ist keine Lücke; das ist das Design.
Verarbeitung: attestierte sichere Enklave. geplant Schwerere KI wird in einer in der EU gehosteten Trusted Execution Environment laufen, deren Zustand dein Gerät kryptografisch prüft, bevor es irgendetwas sendet. Klartext existiert dort für Sekunden, im Arbeitsspeicher, nie auf unseren Festplatten. Vor dem Start wollen wir die Hülle veröffentlichen, die Ein- und Ausgaben verarbeitet, und extern prüfen lassen, dass der veröffentlichte Code auch der laufende Code ist. Solange dieses Audit nicht existiert, lies diesen Absatz als Selbstverpflichtung, nicht als Beweis.
Training: nur, wenn du es spendest. geplant Modelle trainieren auf anonymen Merkmalen, nie auf rohem persönlichem Text, und selbst dafür musst du sie aktiv anbieten. Nichts wird standardmäßig fürs Training verwendet, und nichts wird jemals verkauft oder für Werbung genutzt.
Zu viel zu behaupten wäre unehrlich und nach europäischem Verbraucherrecht auch verboten, deshalb hier die Linien, die wir halten. Wir nennen deine Daten nicht anonym. Wir behaupten nicht, wir hörten auf, Verantwortliche im Sinne der DSGVO zu sein, nur weil wir nichts lesen können; etwas nicht lesen zu können nimmt einem die Verantwortung dafür nicht ab. Wir sagen nicht, die DSGVO gelte für uns irgendwie nicht. Konto-Metadaten, also deine E-Mail-Adresse und Gerätekennungen, sind ganz gewöhnliche personenbezogene Daten, die wir sehr wohl haben und für die wir geradestehen.
In deinen Nachrichten und Fotos kommen Menschen vor, die sich nirgends angemeldet haben. Wir nehmen das ernst und schränken das Produkt deswegen ein: Wir setzen nie Gesichtserkennung ein, und wir analysieren nie, was jemand dir geschrieben hat, um daraus Schlüsse über diese Person, ihre Stimmung oder ihr Leben zu ziehen. Was die App über die Menschen um dich herum behält, ist immer deine Seite der Geschichte: mit wem du einen Tag verbracht hast, wen du länger nicht angerufen hast. Sie beschreibt deine Beziehungen, nie die andere Person — und wie alles andere bleibt das versiegelt auf deinem Gerät. Nichts über irgendjemanden wird im Hintergrund über Nutzende hinweg zusammengeführt; dafür gibt es keinen Mechanismus. Wenn wir jemals Teilen bauen, heißt das, dass du bewusst ein Stück deiner eigenen Zeitleiste einer Person zeigst, die du auswählst — und nie, dass unsere Systeme zusammenführen, was zwei Menschen über eine dritte wissen.
Das ist unsere Zielarchitektur, und Teile davon sind noch in aktiver Entwicklung. Die Markierungen oben sagen, wo jede Schicht wirklich steht; wir bewegen eine Markierung erst, wenn die Arbeit getan ist, und wir behaupten nicht, etwas erreicht zu haben, bevor wir es haben. Der Gedanke hinter dieser Gewohnheit steht in unseren Werten.
Lebendes Dokument · wird aktualisiert, während wir bauen
Du suchst die rechtliche? Die Datenschutzerklärung für diese Website nach Art. 13 DSGVO steht hier.
UnderstandUrself ist ein Werkzeug für Wohlbefinden und Selbstreflexion. Es ist kein Medizinprodukt und dient nicht der Diagnose, Behandlung, Vorhersage oder Früherkennung von Erkrankungen. Wenn es Ihnen nicht gut geht, wenden Sie sich bitte an eine qualifizierte Fachperson.