Passwörter, Notizen, 2FA-Secrets und Wallet-Einträge liegen vollständig verschlüsselt und steganografisch verborgen in einer gewöhnlich wirkenden PNG-Datei. Größere Dateien werden getrennt davon in einem eigenen verschlüsselten und getarnten Datei-Tresor gespeichert. Kein Cloudkonto und kein zentraler Tresor-Synchronisationsdienst sind erforderlich.
Die Ersteinrichtung dauert etwa zwei Minuten. Der längste Teil ist die bewusste Wartezeit beim Sichern deiner PIN: Sie läuft durch Argon2id über 256 MiB Arbeitsspeicher, kalibriert auf rund 10 Sekunden pro Prüfung. Die PIN ist das Eingangstor zum versiegelten App-Anker im Sicherheitschip, nicht der Tresor-Schlüssel — diese gewollte Verzögerung bremst späteres Durchprobieren deutlich aus.
Wähle eine beliebige PNG-Datei auf deinem Gerät. Ein Urlaubsfoto, ein Screenshot — was auch immer in deinem Dateisystem unauffällig aussieht. BlindLock prüft, wie viel die Datei unauffällig aufnehmen kann, und bestätigt, dass die versteckten Daten hineinpassen, ohne das Bild sichtbar zu verändern.
Die Datei bleibt genau dort, wo du sie abgelegt hast. Es wird kein „Tresor-Ordner“ auf der Platte erzeugt.
Du legst dein Master-Passwort fest, und BlindLock bindet den Sicherheitsanker an die geschützte Hardware deines Geräts — TPM 2.0, Secure Enclave oder StrongBox. Optional kannst du zusätzlich einen Sicherheitsschlüssel verlangen.
Keines dieser Dinge reicht allein: nicht die Datei, nicht das Passwort und nicht das Gerät. Erst alle drei zusammen werden über HKDF zum Tresor-Schlüssel kombiniert. Dieselbe Datei mit demselben Passwort ergibt auf einem fremden Rechner einen mathematisch falschen Schlüssel.
Passwörter, TOTP-Secrets und Notizen werden im Arbeitsspeicher verschlüsselt, bevor sie in die Trägerdatei geschrieben werden. Größere Dateien gelangen getrennt in einen verschlüsselten und getarnten Datei-Tresor. Beide Speicherorte sind mit 256-Bit-Verschlüsselung geschützt, die auch gegen relevante künftige Quantenangriffe bestehen bleibt.
BlindLock bettet den bereits verschlüsselten Passwort-Tresor in die Trägerdatei ein — mit F5-Matrix-Encoding für PNG. Für einen flüchtigen Blick und gängige Dateiscanner bleibt der Träger eine gewöhnlich wirkende Bilddatei.
Sichere die aktive PNG-Datei regelmäßig. Für Gerätewechsel und Notfälle empfehlen wir zusätzlich ein verschlüsseltes BlindLock-Backup mit getrennt aufbewahrter Wiederherstellungsphrase. Nutzt du Datei-Tresore, sichere außerdem deren Containerdatei, Recovery-Datei und Recovery-Faktor. Du entscheidest selbst, ob diese Sicherungen lokal, auf einem externen Datenträger oder in einem synchronisierten Cloud-Ordner liegen.
Jedes Öffnen folgt demselben lokalen Kryptografiepfad. Aktivierung und jeder neue Entsperrvorgang benötigen zusätzlich eine kurze verschlüsselte Verbindung für Lizenz- und Versionsprüfung; Tresorinhalte werden dabei nicht übertragen.
┌────────────────────── trägerbild.png ──────────────────────┐ │ │ │ Pixel-Daten │ versteckte Daten — voll verschlüsselt │ │ (visuell │ ┌───────────────────────────────────────┐ │ │ unverändert)│ │ Doppel-AEAD-Ciphertext + Auth-Tags │ │ │ │ │ └── AES-256-GCM innerhalb von │ │ │ │ │ XChaCha20-Poly1305 │ │ │ │ │ hardware-gebundene Versiegelung │ │ │ │ │ (Schlüssel aus dem Sicherheitschip) │ │ │ │ │ Argon2id-Parameter (hw-bestätigt) │ │ │ │ └───────────────────────────────────────┘ │ │ │ └─────────────── Geräteschlüssel als HKDF-Salz (TPM / SE) ───┘ Ruhende Daten: 256-Bit-symmetrisch verschlüsselt — quantenhart; größere Dateien liegen im separaten Datei-Tresor So öffnet sich der Tresor: PIN ──► Eingangstor (Argon2id, 256 MiB, ~10 s; kein Tresor-Faktor) │ öffnet nur den im Sicherheitschip versiegelten App-Anker ▼ HKDF kombiniert drei Faktoren zum Tresor-Schlüssel: 1) Datei ── 32-Byte-Schlüssel, im Träger versteckt 2) Passwort── Argon2id, speicherhart (512 MiB–4 GB je Gerät) 3) Gerät ── nicht auslesbarer Schlüssel im Sicherheitschip (TPM 2.0 / Secure Enclave) als HKDF-Salz (optionaler 4. Faktor: Sicherheitsschlüssel via FIDO2) │ ein falsches Gerät ergibt einen mathematisch falschen Schlüssel ▼ Tresor wird entschlüsselt — nur im Arbeitsspeicher ▼ Tresor im Arbeitsspeicher geöffnet ▼ beim Sperren wird der entschlüsselte Sitzungszustand bereinigt
Ehrliche Antworten auf die unangenehmen Fälle.
BlindLock kann es nicht zurücksetzen. Nutze dein verschlüsseltes Backup und die getrennt aufbewahrte Wiederherstellungsphrase für den vorgesehenen Wiederherstellungsweg.
Trägerdatei und Master-Passwort reichen ohne den autorisierten Hardware-Sicherheitsanker nicht aus. Stelle den Tresor auf einem neuen Gerät aus deinem verschlüsselten Backup wieder her.
Solange du noch auf den entsperrbaren Tresor zugreifen kannst, erstelle umgehend ein neues Backup mit neuer Wiederherstellungsphrase und bewahre sie getrennt auf.
Eine kopierte Trägerdatei allein reicht nicht aus. Es fehlen dein Master-Passwort und der Hardware-Sicherheitsanker des autorisierten Geräts — und, falls aktiviert, dein zusätzlicher Sicherheitsschlüssel.
Genau 1.000 Lifetime-Lizenzen in drei Phasen — sichere dir eine zum niedrigsten Preis, den BlindLock je anbieten wird.