Passwörter, Notizen, 2FA-Secrets und Wallet-Einträge liegen vollständig verschlüsselt und steganografisch verborgen in einer gewöhnlich wirkenden PNG-Datei. Größere Dateien werden getrennt davon in einem eigenen verschlüsselten Datei-Tresor gespeichert. Kein Cloudkonto und kein zentraler Tresor-Synchronisationsdienst sind erforderlich.
Die Ersteinrichtung dauert etwa zwei Minuten. Bei jedem Öffnen von BlindLock wartest du rund zehn Sekunden auf die PIN-Prüfung. Das fühlt sich langsam an, und genau das ist der Punkt: Wenn später jemand deine PIN ausprobieren will — zum Beispiel nach einem Diebstahl deines Geräts — muss er für jeden falschen Versuch dieselben zehn Sekunden warten. Ohne diese Bremse könnte ein Programm tausende PINs in wenigen Minuten durchprobieren. Mit der Wartezeit dauert dasselbe Vorhaben Tage oder Wochen und lohnt sich nicht. Die PIN öffnet nur BlindLock auf deinem Gerät. Deinen Tresor öffnet sie nicht — dafür brauchst du zusätzlich dein Passwort und genau dieses Gerät.
Wähle eine beliebige PNG-Datei auf deinem Gerät. Ein Urlaubsfoto, ein Screenshot — was auch immer in deinem Dateisystem unauffällig aussieht. BlindLock prüft, wie viel die Datei unauffällig aufnehmen kann, und bestätigt, dass die versteckten Daten hineinpassen, ohne das Bild sichtbar zu verändern.
Die Datei bleibt genau dort, wo du sie abgelegt hast. Es wird kein „Tresor-Ordner“ auf der Platte erzeugt.
Du legst dein Master-Passwort fest, und BlindLock bindet den Sicherheitsanker an die geschützte Hardware deines Geräts — TPM 2.0, Secure Enclave oder StrongBox. Optional kannst du zusätzlich einen Hardware-Schlüssel einrichten.
Keines dieser Dinge reicht allein: nicht die Datei, nicht das Passwort und nicht das Gerät. Erst alle drei zusammen werden über HKDF zum Tresor-Schlüssel kombiniert. Dieselbe Datei mit demselben Passwort ergibt auf einem fremden Rechner einen mathematisch falschen Schlüssel.
Passwörter, TOTP-Secrets und Notizen werden im Arbeitsspeicher verschlüsselt, bevor sie in die Trägerdatei geschrieben werden. Größere Dateien gelangen getrennt in einen verschlüsselten Datei-Tresor. Der im Login-Bild verborgene Passwort-Tresor nutzt klassische 256-Bit-Verschlüsselung mit zwei unabhängigen AEAD-Familien übereinander. Datei-Tresor-Container nutzen authentifizierte Verschlüsselung, wie auf der Sicherheitsseite beschrieben.
BlindLock speichert deinen verschlüsselten Passwort-Tresor unsichtbar in dem Bild, das du gewählt hast. Optisch ändert sich nichts: Vorher und nachher sieht die Datei gleich aus. Man sieht dem Bild nicht an, dass darin Daten stecken.
Sichere die aktive PNG-Datei regelmäßig. Für Gerätewechsel und Notfälle empfehle ich zusätzlich ein verschlüsseltes BlindLock-Backup — und bewahre die zwölf Wörter getrennt davon auf. Nutzt du Datei-Tresore, sichere außerdem deren Containerdatei, Recovery-Datei und Recovery-Faktor. Du entscheidest selbst, ob diese Sicherungen lokal, auf einem externen Datenträger oder in einem synchronisierten Cloud-Ordner liegen.
Jedes Öffnen folgt demselben lokalen Kryptografiepfad. Aktivierung und jeder neue Entsperrvorgang benötigen zusätzlich eine kurze verschlüsselte Verbindung für Lizenz- und Versionsprüfung. Tresorinhalte werden dabei nicht übertragen.
┌─────────────────────── träger.png ───────────────────────┐ │ │ │ gewöhnlich wirkende Bilddaten │ │ + │ │ versteckter, verschlüsselter Passwort-Tresor │ │ ├── Passwörter und Login-Daten │ │ └── Notizen und TOTP-Secrets │ │ │ └──── Tarnung + Verschlüsselung + Hardwarebindung ─────────┘ große Dokumente und Medien ──► separate verschlüsselte Datei-Tresor-Container So öffnet sich der Tresor: PIN ──► Eingangstor (Argon2id, 256 MiB, ~10 s — kein Tresor-Faktor) │ entsperrt BlindLocks hardware-versiegelten App-Anker (App-Pfad — keine native Chip-PIN-Policy) ▼ HKDF kombiniert drei Faktoren zum Tresor-Schlüssel: 1) Datei ── verschlüsselter Tresor, im Träger versteckt 2) Passwort ── Argon2id, speicherhart (512 MiB–4 GB je Gerät) 3) Gerät ── nicht exportierbarer Anker im Sicherheitschip (TPM 2.0 / Secure Enclave / StrongBox) (optionaler 4. Faktor: Hardware-Schlüssel via FIDO2) │ ein falsches Gerät ergibt einen mathematisch falschen Schlüssel ▼ Tresor wird entschlüsselt — nur im Arbeitsspeicher ▼ Tresor im Arbeitsspeicher geöffnet ▼ wird beim Sperren sofort gelöscht
Vier Stellen, vier verschiedene Dinge.
Passwörter, Notizen und 2FA-Geheimnisse werden zweimal versiegelt, bevor sie das Bild überhaupt erreichen: AES-256-GCM und XChaCha20-Poly1305 übereinander, mit unabhängigen Schlüsseln. Wer das eine Siegel bricht, steht vor dem zweiten.
Die Daten werden in die Bildpunkte selbst geschrieben, ein winziger Anteil je Punkt — zu wenig, als dass ein Auge es sehen könnte. Das Verfahren heißt F5-Matrixkodierung. Sein Trick: Es verteilt die Daten so, dass von sieben Stellen, die es benutzen könnte, im Schnitt nur eine einzige wirklich verändert werden muss. Und je weniger verändert wird, desto weniger unterscheidet sich das Bild von einem unbearbeiteten Foto — auch für Messwerkzeuge, die genau danach suchen.
Welche Stellen benutzt werden, ergibt sich aus deinem Passwort. Ohne das Passwort weiß niemand, wo er überhaupt suchen müsste. Und es bleibt keine Kennung zurück: Nichts an der Datei verrät, dass BlindLock sie geschrieben hat.
Der Schlüssel zu deinem Tresor liegt nirgends — weder bei dir noch bei uns. Er entsteht bei jedem Öffnen neu, aus vier Teilen: deiner Trägerdatei, deinem Passwort, dem Sicherheitschip deines Computers und einem vierten Teil, den BlindLock in diesem Moment beim Lizenzserver abholt. Dieser vierte Teil ist eine Zufallszahl, die für sich genommen nichts bedeutet. Sie liegt bei uns, nicht bei dir: Dein Rechner holt sie bei jedem Öffnen frisch ab und behält sie nicht.
Fehlt einer der vier Teile, kommt keine Fehlermeldung. Es entsteht ein Schlüssel, der einfach nicht passt.
Zu uns geht dabei nur die Frage, ob deine Lizenz gültig ist und welche Fassung du installiert hast. Was in deinem Tresor liegt, erfährt unser Server nie — das verlässt deinen Computer nicht.
Und wenn unser Server einmal nicht erreichbar ist, sperrt dich das nicht aus. Beim letzten Öffnen hat er deinem Gerät einen Passierschein mitgegeben, der sieben Tage gilt. So lange öffnet BlindLock auch ohne Internet.
Dateien liegen in eigenen verschlüsselten Containern mit ChaCha20-Poly1305, geöffnet mit deinem Passwort, hardware-versiegelt an den Sicherheitschip deines Computers. Die Größe eines Containers legst du beim Anlegen selbst fest.
Ehrliche Antworten auf die unangenehmen Fälle.
BlindLock kann es nicht zurücksetzen — und es gibt keinen Weg daran vorbei. Die zwölf Wörter ersetzen das Passwort nicht, sie ersetzen die Gerätebindung und, wenn eingerichtet, den Hardware-Schlüssel. Bewahre dein Master-Passwort deshalb so sorgfältig auf wie den Tresor selbst.
Trägerdatei und Master-Passwort reichen ohne den autorisierten Hardware-Sicherheitsanker nicht aus. Stelle dein verschlüsseltes Backup auf dem neuen Gerät wieder her — mit der Backup-Datei und den getrennt aufbewahrten zwölf Wörtern. Danach meldest du dich wie gewohnt mit deinem Master-Passwort an.
Solange du dich auf deinem Gerät anmelden kannst, ist nichts verloren: Lass dir deine zwölf Wörter unter Datensicherung erneut anzeigen und notiere sie neu. Willst du sie loswerden, erzeugst du dort zwölf neue. Die alten verlieren sofort jede Wirkung, und BlindLock schreibt dir eine neue Sicherungsdatei — die alten passen dann nicht mehr.
Eine kopierte Trägerdatei allein reicht nicht aus. Es fehlen dein Master-Passwort und der Hardware-Sicherheitsanker des autorisierten Geräts — und, falls aktiviert, dein zusätzlicher Hardware-Schlüssel.
Cloudloser Speicher, Privatsphäre, Hardwarebindung und Steganographie — dann ehrlich vergleichen.
Öffne die interaktive Demo mit dem echten Desktop-Ablauf — oder prüfe die Lifetime-Preise für später.