Privatsphäre · Bedrohungsmodell
Wer kommt an deine Daten — und wer nicht.
Ein Privacy-Versprechen ohne Bedrohungsmodell ist Marketing. Hier steht konkret, welche Angriffe Endearist abwehren soll, welche es abschwächen könnte — und welche außerhalb unserer Kontrolle liegen.
Endearist ist noch nicht gestartet. Diese Seite beschreibt das geplante Modell, keinen heute testbaren Dienst. Ende-zu-Ende-verschlüsselter Sync über Speicher, den du selbst betreibst — einen lokalen oder geteilten Ordner oder einen WebDAV-Server — ist für v1 geplant. Google Drive als Ziel ist noch nicht entschieden. Verwalteter Sync auf Endearist Cloud ist für nach v1 geplant, nur im Pro-Cloud-Abo.
Was wir aktiv schützen
Wir selbst
Das ist die wichtigste Kategorie. Selbst wenn du uns voll vertraust, solltest du nicht darauf angewiesen sein, dass wir vertrauenswürdig bleiben. Das geplante Local-first-Modell soll Inhalte auf deinem Gerät statt auf einem zentralen Content-Server halten.
Der geplante Sync über eigenen Speicher soll Inhalte mit AES-256-GCM verschlüsseln, bevor sie dein Gerät verlassen. Endearist Cloud ist erst für nach v1 geplant. In diesem Modell würde ein Server nur verschlüsselte Daten sehen, keine Kontaktnamen oder Notizen. Der Schlüssel soll auf deinem Gerät abgeleitet und nicht an uns gesendet werden.
Ein zweites Gerät soll dieses Modell nicht ändern. Das Pairing soll ein bereits vertrauenswürdiges Gerät oder deinen Recovery-Code verwenden, keine serverseitige Kopie des Schlüssels.
Drittanbieter und Tracker
Auf dieser Website: kein Google Analytics, kein Facebook Pixel, kein Hotjar, keine eingebetteten Social-Buttons. Wir nutzen eine selbst gehostete Plausible-Instanz, die keine personenbezogenen Daten und keine Cookies sammelt — nur anonyme Seitenaufrufe.
In der App: keinerlei Drittanbieter-SDKs, die Nutzungsverhalten ohne deine Einwilligung übertragen. Die vorgeschlagene Telemetrie-Regel ist opt-in; eine öffentliche Version muss die Standardeinstellung bestätigen. Keine Amplitude, kein Mixpanel, kein Segment.
Mitarbeitende und interne Zugriffe
Die geplante App hat keinen zentralen Content-Server. Der Support soll keinen Zugriff auf Kontakte brauchen. Inhalte, die du bewusst in eine Support-Anfrage kopierst, können uns dennoch erreichen.
Was wir abschwächen, aber nicht vollständig verhindern
Staatliche Akteure mit Gerichtsbeschlüssen
Wenn eine Behörde mit einem rechtsgültigen Beschluss zu uns kommt, müssten wir die Daten herausgeben, die wir besitzen. Nach dem geplanten Local-first-Modell könnten das Kontodaten sein und, falls du den künftigen verwalteten Dienst nutzt, verschlüsselte Sync-Pakete. Der Schlüssel zur Entschlüsselung soll nicht bei uns liegen.
Was wir nicht garantieren: Schutz vor Behörden, die Zugriff auf dein Gerät haben. Wenn du ein entsperrtes Gerät in den Händen einer Behörde hast, ist das außerhalb unserer technischen Kontrolle. Geräte-Vollverschlüsselung (FileVault, BitLocker, iOS Secure Enclave) ist deine erste Verteidigungslinie in diesem Szenario.
Kompromittierte Sync-Dienste
Wenn ein geplanter Speicher unter deiner Kontrolle kompromittiert wird, könnte ein Angreifer verschlüsselte Pakete erhalten. Die vorgesehene Verschlüsselung soll den Inhalt schützen, aber nicht Metadaten wie Zeitpunkte und Dateigrößen. Google Drive als direktes Ziel ist noch nicht entschieden; iCloud ist kein geplantes Sync-Ziel.
KI-Anfragen, die du bewusst auslöst
KI ist als eigener Datenpfad vorgesehen, nicht als Schlupfloch im lokalen Speicher. Die App soll ohne KI funktionieren. Eine geplante KI-Aktion würde nur den für die Aufgabe benötigten Kontext senden: direkt an den Anbieter deines eigenen Schlüssels oder über einen künftigen verwalteten Dienst. Die gesamte Beziehungsdatenbank soll dabei nicht hochgeladen werden.
Die ehrliche Grenze: Wenn du einen externen KI-Anbieter bittest, einen Nachrichtenentwurf, Journal-Auszug oder eine Kontaktnotiz zu verarbeiten, verlässt dieser ausgewählte Text für diese Anfrage dein Gerät. Behandle KI-Aktionen als bewusstes Teilen, nicht als unsichtbaren Hintergrund-Sync.
Für Abläufe, bei denen kein serverseitiger KI-Call nötig ist, bevorzugen wir ein Prompt-Bridge-Muster: Endearist bereitet den Prompt lokal vor, zeigt dir genau, was gesendet würde, und lässt dich den Text in dein eigenes KI-Tool kopieren. In diesem Pfad verlässt der erzeugte Prompt dein Gerät nur, wenn du ihn bewusst woanders einfügst.
Was wir ehrlich nicht schützen können
Physischer Gerätezugriff durch Angreifer
Wenn jemand dein entsperrtes Gerät in den Händen hält und Endearist geöffnet ist, sieht er deine Daten. Das ist kein Versagen unserer App — das ist Physik. Wir planen eine optionale App-Sperre per PIN oder Biometrie für genau diesen Fall. Aber wir werden nie behaupten, dass wir dich vor einem Angreifer mit physischem Gerätezugriff und ausreichend Zeit schützen können.
Screenshots durch Angreifer, die dein Gerät kontrollieren
Screenshot-Schutz: für v1 geplant; für Windows nicht angeboten. Plattformspezifischer Schutz ist keine Garantie gegen Malware oder eine Person, die das Gerät kontrolliert.
Die vendorte App-Messung bestätigt keine verschlüsselte lokale Datenbank. Sie verzeichnet eine unverschlüsselte SQLite-Datei; eine App-Sperre ersetzt keine Verschlüsselung der Datei. Schütze Gerät und Sicherung unabhängig.
Vergessene Passphrasen ohne Recovery-Pfad
Wenn du im geplanten Modell Passphrase, Recovery-Code und alle vertrauenswürdigen Geräte verlierst, könntest du den Zugang zu verschlüsselten Sync-Daten dauerhaft verlieren. Ein serverseitiger Wiederherstellungsschlüssel würde die vorgesehene Ende-zu-Ende- Verschlüsselung schwächen. Bewahre eine unabhängige lokale Sicherung auf; ihr Schutz hängt davon ab, wie du sie speicherst.