Mehrgeräte-Synchronisierung

Die Funktion: derselbe Passwort-Tresor auf mehreren Geräten

Sie haben Hunderte von Passwörtern und mehrere MacBooks, iPhones, iPads, PCs? Aktivieren Sie die Gerätesynchronisierung. Alle Ihre Passwörter auf allen Ihren Geräten, mit voller Sicherheit.

Das Modell: ein blindes Relay, keine Cloud-Datenbank

Die meisten Passwort-Manager synchronisieren, indem sie Ihren (verschlüsselten) Tresor in die Cloud-Datenbank eines Unternehmens hochladen. MyPwdTool funktioniert anders: Es gibt überhaupt keine zentrale Datenbank von Tresoren. Stattdessen sprechen Ihre Geräte direkt miteinander über einen kleinen Relay-Server, dessen einzige Aufgabe es ist, verschlüsselte Nachrichten weiterzuleiten — er hat kein Konzept eines „Tresors", eines „Passworts" oder auch nur eines „Benutzerkontos".

Das Relay sieht immer nur:

• Zufällige, pseudonyme Geräte- und Postfach-Kennungen (kein Name, keine E-Mail, kein damit verknüpftes Konto)
• Undurchsichtige verschlüsselte Nachrichtenblöcke, die es nicht entschlüsseln kann
• Genug Routing-Metadaten, um jede Nachricht an das richtige Gerät zuzustellen

Es sieht niemals, und kann strukturell niemals sehen, den Verschlüsselungsschlüssel, der es ihm ermöglichen würde, eine dieser Nachrichten zu lesen — denn dieser Schlüssel wird auf Ihren eigenen Geräten erzeugt und direkt zwischen ihnen ausgetauscht, niemals über das Relay (siehe unten).

Der Quellcode des Relays ist öffentlich und für eine unabhängige Prüfung offen unter github.com/ThibaultDucray/e2eerelay — dies ist eine bewusste Design-Entscheidung: Sie sollten einem Anbieter nicht einfach auf sein Wort hin glauben müssen, was sein Server sieht oder nicht sieht.

Das Relay selbst läuft auf Clever Cloud, einer französischen Cloud-Plattform.

Eine Gruppe erstellen (bevor irgendetwas gekoppelt wird)

Bevor Geräte miteinander gekoppelt werden können, muss eines von ihnen die Sync-Gruppe, der die anderen beitreten werden, zunächst starten — oder „erstellen". Betrachten Sie es als Vorbereitung Ihres Tresors zur gemeinsamen Nutzung, noch nicht als Hinzufügen eines zweiten Geräts.

1. Öffnen Sie auf dem Gerät, dessen Tresor Sie teilen möchten, Sync in den Einstellungen.
2. Wählen Sie „Eine Gruppe erstellen". Dadurch wird der Tresor dieses Geräts zum ersten Mitglied einer brandneuen Sync-Gruppe, bereit für den Beitritt weiterer Geräte.

Das Erstellen einer Gruppe ist der einzige kostenpflichtige Schritt im gesamten Prozess — siehe Abonnement & Preise. Sie tun dies nur einmal, auf welcher Plattform auch immer Sie abonniert sind (Apple, Google Play oder Lemon Squeezy unter Windows); jedes Gerät, das danach beitritt, tut dies kostenlos (siehe „Ein Gerät hinzufügen" unten), unabhängig von seiner eigenen Plattform.

Ein Gerät hinzufügen (Koppeln)

1. Öffnen Sie auf einem Gerät, das sich bereits in Ihrer Sync-Gruppe befindet, Sync und wählen Sie „Gerät hinzufügen". Sie erhalten einen QR-Code (und einen Schlüssel, den Sie kopieren und auf dem anderen Gerät einfügen können, falls es keine Kamera hat).
2. Scannen Sie diesen Code auf dem neuen Gerät (oder fügen Sie den kopierten Schlüssel ein).

Behandeln Sie diesen QR-Code und Schlüssel als geheim. Sie ändern sich während der gesamten Lebensdauer der Gruppe nicht — jeder, der sie sieht (ein Screenshot, ein Foto, ein Blick über Ihre Schulter), könnte sie nutzen, um Ihrer Sync-Gruppe selbst beizutreten. Behandeln Sie sie wie ein Passwort: zeigen oder scannen Sie sie nur direkt zwischen Ihren eigenen Geräten, und veröffentlichen, versenden oder hinterlassen Sie sie niemals sichtbar irgendwo, wo jemand anderes darauf stoßen könnte.

Sollten sie dennoch einmal offengelegt werden, besteht der einzige Weg, sie zu ändern, darin, die Synchronisierung auf allen Geräten zu deaktivieren, dann eine völlig neue Gruppe zu erstellen und Ihre Geräte erneut damit zu koppeln. Alle Einträge, die vor dem Deaktivieren der Synchronisierung bestanden, bleiben auf jedem Gerät erhalten und werden nach der Kopplung erneut mit der Gruppe geteilt — ohne Risiko doppelter Einträge.

Der Verschlüsselungsschlüssel, der Ihre synchronisierten Daten schützt, wird auf Ihrem Gerät erzeugt und reist nur durch diesen direkten QR-Austausch, von Hand zu Hand zwischen Ihren eigenen Geräten. Er berührt niemals das Relay. Sobald ein Gerät beitritt, stellt es sich jedem anderen bereits in der Gruppe befindlichen Gerät vor, sodass eine Familie von 3, 4 oder 10 Geräten eine vollständig verbundene Gruppe bleibt — keine Kette, die reißt, wenn ein Gerät gerade offline ist.

In der Zeile jedes Geräts in Ihrer Sync-Gruppe sehen Sie außerdem eine kleine bernsteinfarbene Pause-Schaltfläche neben dem roten Widerrufs-Schild. Diese pausiert dieses eine Gerät vorübergehend: Ihr Gerät hört einfach auf, ihm weitere Aktualisierungen zu senden, bis Sie erneut darauf tippen, um fortzusetzen (sie wird dann zu einer grünen Wiedergabe-Schaltfläche) — nichts wird gelöscht, kein Verschlüsselungsschlüssel wird erneuert, und Sie erhalten in der Zwischenzeit weiterhin ganz normal die Aktualisierungen dieses Geräts. Es ist eine lokale, umkehrbare Entscheidung, die nur beeinflusst, wie dieses Gerät mit jenem einen Gerät umgeht — praktisch, wenn Sie wissen, dass ein Gerät eine Weile offline oder nicht erreichbar sein wird, und Sie sich deswegen nicht mit einem vollständigen Entfernen aufhalten möchten.

Synchronisierung deaktivieren (eine Sync-Gruppe verlassen)

Wenn Sie einfach möchten, dass das aktuelle Gerät die Synchronisierung beendet — etwa bevor Sie es verkaufen, oder weil dieser bestimmte Tresor nicht mehr geteilt werden soll —, deaktivieren Sie die Synchronisierung auf diesem Gerät (Einstellungen › Sync › „Synchronisierung deaktivieren"). Dies ist der sichere, alltägliche Weg, ein Gerät von der Gruppe zu trennen:

• Die Daten Ihres Tresors bleiben auf diesem Gerät genau so, wie sie sind — nichts wird gelöscht, nichts wird entfernt.
• Dieses Gerät verlässt die Gruppe und vergisst den gemeinsamen Verschlüsselungsschlüssel, sodass es künftigen Sync-Verkehr nicht mehr entschlüsseln kann, und hört auf, eigene Änderungen an den Rest der Gruppe zu senden.
• Jedes andere Gerät in der Gruppe wird benachrichtigt und erzeugt einen neuen gemeinsamen Schlüssel, genau wie bei einem normalen Geräte-Entfernen (siehe unten) — die Gruppe besteht ohne Sie weiter.

Verwenden Sie dies immer dann, wenn sich das Gerät in Ihren eigenen Händen befindet und Sie direkt darauf einwirken können. Es ist das Gegenteil des „erzwungenen Entfernens" unten, das für ein Gerät gedacht ist, dem Sie nicht mehr vertrauen oder das Sie nicht mehr erreichen können.

Ein Gerät zwangsweise entfernen (im Notfall)

Wir sprechen hier vom roten Revoke-Schild.

Dies ist die Gefahrenzone, vorbehalten für ein Gerät, auf das Sie nicht mehr direkt einwirken können — verloren, gestohlen, oder das Gerät eines Familien- oder Teammitglieds, dem Sie nicht mehr vertrauen. Anders als das oben beschriebene Deaktivieren der Synchronisierung ist dies etwas, das Sie an einem anderen Gerät vornehmen, von einem Gerät aus, das Sie noch kontrollieren, ohne die Mitwirkung seines Besitzers. Greifen Sie nur in dieser Situation darauf zurück; für ein Gerät, das Sie noch besitzen, ist das direkte Deaktivieren der Synchronisierung darauf die einfachere, sicherere Wahl.

Der Widerruf eines Geräts ist so konzipiert, dass er sicher fehlschlägt:

• Es wird von Ihrer Seite sofort entfernt, selbst ohne Internetverbindung in diesem genauen Moment — Ihr Gerät hört von diesem Augenblick an einfach auf, ihm irgendetwas weiteres zu senden.
• Für alle anderen in der Gruppe wird ein brandneuer Verschlüsselungsschlüssel erzeugt, und der alte wird außer Dienst gestellt. Selbst jemand, der den alten Schlüssel irgendwie aus einem gestohlenen Gerät extrahiert hat, gewinnt daraus nichts mehr für künftig übertragene Daten.
• Wenn das entfernte Gerät noch online und erreichbar ist, erhält es den Widerruf, löscht seine eigene lokale Kopie des Tresors und entfernt jede gespeicherte Entsperrmethode — automatisch. Wenn es offline ist, wartet diese Anweisung bis zu 30 Tage lang auf es.
• Ein bereits entferntes Gerät kann nicht stillschweigend durch eine veraltete, verspätet eintreffende Nachricht wieder hinzugefügt werden — jedes verbleibende Gerät erinnert sich daran, dass es entfernt wurde, und verweigert die erneute Aufnahme.

Der Kompromiss, den Sie verstehen sollten

Ein Relay, das Ihre Daten nicht lesen kann, kann sie auch nicht für Sie wiederherstellen. Wenn Sie jedes Gerät verlieren, das eine Kopie Ihres Tresors enthält, ohne separates Backup, sind diese Daten endgültig verloren — siehe Lokale Tresore & Backups für die genaue Bedeutung und wie Sie sich dagegen schützen können (Kurzfassung: bewahren Sie einen verschlüsselten Backup-Export irgendwo getrennt von Ihren Geräten auf).

„Gerät hinzufügen" führt immer zum selben Ziel

Sowohl das Erstellen einer Gruppe als auch das Einladen weiterer Geräte dazu erfordern das Abonnement (siehe Abonnement & Preise) — der Beitritt zu einer bestehenden Gruppe bleibt auf jeder Plattform bedingungslos kostenlos, ohne Einladungslimit. Die Schaltflächen „Gruppe erstellen" und „Gerät hinzufügen" sind auf jeder Plattform immer sichtbar und klickbar; auf einem Gerät ohne aktives Abonnement in seiner Gruppe öffnet ein Tippen auf eine der beiden einfach denselben Abonnement-Bildschirm, den auch „Gruppe erstellen" öffnen würde. Es gibt keinen separaten Zähler „X Einladungen übrig" zu verfolgen — die Berechtigungsprüfung ist dieselbe, unabhängig davon, wie viele Geräte sich bereits in der Gruppe befinden.

Es gibt jedoch eine feste technische Obergrenze: Eine Sync-Gruppe kann höchstens 50 Geräte umfassen. Jede Änderung, die ein Gerät vornimmt, wird in einer einzigen Relay-Nachricht direkt an alle anderen Geräte der Gruppe verteilt, und das Relay selbst weigert sich, eine Nachricht mit mehr Empfängern als diesem Wert anzunehmen — das ist eine feste Grenze des Relay-Protokolls, nicht etwas, das die App durchsetzt oder das ein Abonnement aufheben könnte. In der Praxis liegt das weit über dem, was ein tatsächlicher Haushalt oder ein Team benötigt.