Sicherheit
Versprochen ist gut. Verschlossen ist besser.
Bei Intimate schützt euch nicht unser Wort, sondern die Technik: Wir könnten eure Fotos nicht öffnen, selbst wenn wir wollten.
In vier Sätzen
- Verschlossen, bevor es dein Handy verlässt. Jedes Foto bekommt seinen eigenen Schlüssel und wird auf dem Handy verschlüsselt.
- Der Schlüssel wird geteilt. Ein Teil bleibt bei dir, der andere geht verschlüsselt an deinen Partner. Zum Öffnen braucht es immer beide.
- Ein Ja gilt nur kurz. Ein Schlüsselteil geht nur nach deiner Bestätigung weiter, für höchstens 5 Minuten oder für eine Session.
- Danach ist wieder zu. Geöffnete Fotos liegen nur im Arbeitsspeicher und verschwinden, wenn die Zeit abläuft.
Was wir sehen und was nicht
Wir sehen nie: eure Fotos, die vollständigen Schlüssel oder eure Sicherungen in geöffneter Form. Bei uns liegt nur Verschlossenes.
Wir sehen schon: deine E-Mail-Adresse, wer mit wem verbunden ist, wann Fotos hochgeladen und angefragt wurden und den Kurznamen eines Fotos. Das brauchen wir, um die App zu betreiben. Alles dazu steht in der Datenschutzerklärung.
Wer kann ein Foto ohne Freigabe öffnen?
| Wer | Öffnen möglich? |
|---|---|
| Dein Partner allein | Nein. Ihm fehlt dein Schlüsselteil. |
| Wir oder jemand, der unseren Server hackt | Nein. Dort liegen keine Schlüssel. |
| Jemand, der dein gesperrtes Handy stiehlt | Nein. Die Schlüssel liegen im Sicherheitschip. |
| Jemand mit deinem Passwort und deinem Wiederherstellungsschlüssel | Nein. Dein Partner müsste zusätzlich bestätigen. |
| Jemand, der dein Handy und deine Geräte-PIN hat | Nicht allein, aber in deinem Namen. Die PIN gilt wie dein Fingerabdruck: Die Person kann für dich anfragen und zustimmen. Halte sie geheim. |
| Dein Partner mit deinem Passwort und deinem Wiederherstellungsschlüssel | Ja. Wer alle deine Geheimnisse hat, kommt durch. Bewahre sie getrennt auf. |
Wenn ein Handy verloren geht
Die Sicherung deiner Schlüsselteile liegt verschlossen beim Partner, nicht bei uns. Auf dem neuen Handy meldest du dich an, dein Partner bestätigt mit Fingerabdruck, und du öffnest die Sicherung mit deinem Wiederherstellungsschlüssel. Dein Partner kann die Sicherung nicht selbst öffnen, und du kommst ohne seine Bestätigung nicht an sie heran.
Deshalb gilt auch: Den Wiederherstellungsschlüssel bekommst du bei der Registrierung, und nur du hast ihn. Bewahre ihn gut auf. Ohne ihn lassen sich frühere Fotos nach einem Gerätewechsel nicht mehr öffnen.
Was Intimate nicht kann
Ehrlichkeit gehört zur Sicherheit. Gegen diese Dinge schützt keine App vollständig:
- Eine zweite Kamera. Wer ein freigegebenes Foto sieht, kann den Bildschirm mit einem anderen Gerät abfotografieren.
- Eine manipulierte App. Die Sperre nach Ablauf der Zeit setzt die echte App durch. Wer eine veränderte App benutzt, könnte ein einmal freigegebenes Foto behalten. Gib deshalb nur frei, wenn du der Person in diesem Moment vertraust.
- Ein gehacktes Handy. Ist das Betriebssystem selbst unterwandert, kann es mitlesen, solange ein Foto offen ist.
- Das Original in deiner Galerie. Wählst du ein bestehendes Foto aus, bleibt es in der Galerie, denn die App löscht dort nichts. Lösche es selbst, oder nimm das Foto gleich mit der App-Kamera auf.
Intimate macht Missbrauch also nicht unmöglich, aber es nimmt ihm den einfachsten Weg: Das Foto wird nicht verschickt, und ohne dein Ja bleibt es zu.
- Fotos: AES-256-GCM, ein zufälliger Schlüssel pro Foto.
- Teilung: Shamir’s Secret Sharing, zum Öffnen sind zwei Teile nötig. Der dritte Teil wird verworfen.
- Geräteschlüssel: EC P-256 im Android Keystore bzw. in der iOS Secure Enclave, kryptografisch an die Biometrie gebunden.
- Übertragung: Ende-zu-Ende verschlüsselte Schlüsselteile, zusätzlich TLS.
- Partner prüfen: Einladung mit Geheimnis und Sicherheitsnummer, damit niemand einen falschen Schlüssel unterschieben kann.