Von Anfang an versiegelt
Wir haben die Architektur um eine einzige Bedingung herum gebaut: Wir sollen dein Leben nicht lesen können, selbst wenn wir wollten, selbst wenn wir gekauft würden, selbst wenn uns jemand dazu zwingen wollte. Alles hier unten ist so geschrieben, dass man es überprüfen kann, und ausgeliefert ist bisher nichts: Jede technische Aussage trägt eine Markierung, ob sie als Prototyp-Code existiert oder als Plan.
Nur dein Gerät und eine attestierte Enklave sehen deine Daten jemals im Klartext. Wir können sie nicht lesen, nicht behalten und nicht herausgeben.
Der Inhalt deiner Gespräche, eine Fotomediathek voller privater Momente, wo du warst und wie du geschlafen hast. Das sind keine Daten, die lesbar auf dem Server von jemand anderem liegen sollten. Eine normale Cloud-App könnte sie niemals verantwortungsvoll verlangen. Wir haben genau darum herum entworfen, bevor wir eine Zeile Produktcode geschrieben haben, und nur deshalb können wir mit so intimem Material überhaupt arbeiten.
Das ist die stärkste Aussage, die wir ehrlich machen können. Eine andere machen wir nicht.
Die ganze Architektur, in einem Bild
Dein Gerät versiegelt alles, bevor es irgendwohin geht, so wie du einen Brief zuklebst, bevor du ihn einwirfst. Wir kümmern uns um den Umschlag; öffnen können wir ihn nicht, weil der Schlüssel dein Telefon nie verlässt.
Dein Telefon verschlüsselt bereits alles, was es speichert. Wir legen ein zweites Schloss darüber, und die App sitzt hinter Face ID oder deinem Code. Dein Telefon zu öffnen ist nicht dasselbe wie dein Leben zu öffnen.
Schlüssel: nur deiner
Liest im Klartext, sobald du entsperrst
Der Teil der App, der deine Daten abruft, kann sie nicht lesen. Er arbeitet die Nacht hindurch mit einem Umschlag, den er nicht öffnen kann, und den Schlüssel hat nur die App, sobald du sie entsperrst.
Schlüssel: keiner vorhanden
Sieht nie den Klartext
Wenn du etwas anfragst, das echte Rechenleistung braucht, wird eine Kopie genau dieser Daten in eigenem, hardwaregeschütztem Speicher entsiegelt. Sie liegt dort für Sekunden und wird nie auf eine Festplatte geschrieben.
Schlüssel: keiner vorhanden
Klartext für Sekunden, im Arbeitsspeicher
Backups werden auf deinem Gerät verschlüsselt, bevor sie es verlassen, und landen in deiner eigenen iCloud oder deinem eigenen Google Drive. Wir haben keinen Schlüssel dafür.
Schlüssel: keiner vorhanden
Sieht nie den Klartext
Wir sehen einen Umschlag rausgehen und einen Umschlag zurückkommen. Was darin ist, sehen wir nicht.
Schlüssel: keiner vorhanden
Sieht nie den Klartext
Der Schlüssel entsteht auf deinem Gerät und wird nie an uns gesendet. Alles andere auf dieser Seite folgt aus dieser einen Tatsache.
Für technisch Neugierige
Klapp auf, was dich interessiert. Nichts hier ist eine Kurzfassung: jede Schicht steht so da, wie wir sie heute beschreiben können.
Dein Gerät erzeugt einen zufälligen 256-Bit-Hauptschlüssel, verschlüsselt damit die Datenbank und bewahrt ihn im Hardware-Keystore auf: Keychain unter iOS, Keystore unter Android. Dein Passwort und deine Wiederherstellungsphrase umhüllen jeweils eine eigene Kopie dieses Schlüssels, und genau das erlaubt dir die Wiederherstellung auf einem neuen Gerät. Wir sehen keines der drei, es gibt also keinen serverseitigen Schlüssel, den man stehlen oder gerichtlich verlangen könnte. Es ist dasselbe Umschlagmodell, das WhatsApp, Bitwarden und iCloud Advanced Data Protection verwenden.
Der Schlüssel zur Datenbank ist nach dem ersten Entsperren nach einem Neustart verfügbar. Ein ausgeschaltetes Telefon ist versiegelt. Ein laufendes, entsperrtes Telefon ist ein laufendes, entsperrtes Telefon. Daran ändert kein Verschlüsselungsdesign etwas.
Ein Dienst im Hintergrund hält nur deine Zugangsdaten für die Quellen. Er versiegelt alles, was er abruft, mit einem Schlüssel, den er selbst nicht besitzt; der Schlüssel, der das Siegel öffnet, liegt in der Haupt-App hinter deiner Entsperrung. Der Teil unseres Systems, der am häufigsten läuft, ist der Teil, der am wenigsten lesen kann.
Dein Gerät verschlüsselt Backups, bevor sie es verlassen, und sie landen in deiner eigenen iCloud oder deinem eigenen Google Drive, zusammen mit den umhüllten Kopien des Schlüssels. Dein Passwort oder deine Wiederherstellungsphrase genügt zum Wiederherstellen. Wir haben zu nichts davon einen Schlüssel, was auch heißt, dass wir kein Backup für dich wiederherstellen können, wenn du beides verlierst. Das ist keine Lücke; das ist das Design.
Ein Sprachmodell, mit dem man sich unterhalten kann, und eine Auswertung, die Jahre einer Zeitleiste auf einmal überblicken muss, passen nicht auf ein Telefon. Alles, was auf deinem Gerät laufen kann, läuft dort, und das hier ist die kurze Liste dessen, was nicht geht. Sie wird in einer in der EU gehosteten Trusted Execution Environment laufen, deren Zustand dein Gerät kryptografisch prüft, bevor es irgendetwas sendet. Klartext existiert dort für Sekunden, im Arbeitsspeicher, nie auf unseren Festplatten. Vor dem Start wollen wir die Hülle veröffentlichen, die Ein- und Ausgaben verarbeitet, und extern prüfen lassen, dass der veröffentlichte Code auch der laufende Code ist. Solange dieses Audit nicht existiert, lies diesen Absatz als Selbstverpflichtung, nicht als Beweis.
Was du spenden kannst, ist genau eine Sache, und wir benennen sie: eine pseudonyme Kopie deiner Zeitleiste, heruntergerechnet auf eine Handvoll Zahlen, nie Text, nie Nachrichten, nie Fotos. Es braucht jedes Mal eine aktive Entscheidung von dir, nichts wird standardmäßig fürs Training verwendet, und nichts wird jemals verkauft oder für Werbung genutzt.
Zu viel zu behaupten wäre unehrlich und nach europäischem Verbraucherrecht auch verboten, deshalb hier die Linien, die wir halten.
In deinen Nachrichten und Fotos kommen Menschen vor, die sich nirgends angemeldet haben. Wir nehmen das ernst und schränken das Produkt deswegen ein: Wir setzen nie Gesichtserkennung ein, und wir analysieren nie, was jemand dir geschrieben hat, um daraus Schlüsse über diese Person, ihre Stimmung oder ihr Leben zu ziehen.
Was die App über die Menschen um dich herum behält, ist immer deine Seite der Geschichte: mit wem du einen Tag verbracht hast, wen du länger nicht angerufen hast. Sie beschreibt deine Beziehungen, nie die andere Person, und wie alles andere bleibt das versiegelt auf deinem Gerät.
Nichts über irgendjemanden wird im Hintergrund über Nutzende hinweg zusammengeführt; dafür gibt es keinen Mechanismus. Wenn wir jemals Teilen bauen, heißt das, dass du bewusst ein Stück deiner eigenen Zeitleiste einer Person zeigst, die du auswählst, und nie, dass unsere Systeme zusammenführen, was zwei Menschen über eine dritte wissen.
Das ist unsere Zielarchitektur, und Teile davon sind noch in aktiver Entwicklung. Die Markierungen oben sagen, wo jede Schicht wirklich steht; wir bewegen eine Markierung erst, wenn die Arbeit getan ist, und wir behaupten nicht, etwas erreicht zu haben, bevor wir es haben. Der Gedanke hinter dieser Gewohnheit steht in unseren Werten.
Lebendes Dokument · wird aktualisiert, während wir bauen
Du suchst die rechtliche? Die Datenschutzerklärung für diese Website nach Art. 13 DSGVO steht hier.
UnderstandUrself ist ein Werkzeug für Wohlbefinden und Selbstreflexion. Es ist kein Medizinprodukt und dient nicht der Diagnose, Behandlung, Vorhersage oder Früherkennung von Erkrankungen. Wenn es Ihnen nicht gut geht, wenden Sie sich bitte an eine qualifizierte Fachperson.