Das System ist in zwei Hälften geschnitten: eine Verwaltung, die keine Inhalte sieht, und eine Verarbeitung, die Inhalte nur im Arbeitsspeicher hält.
Ihr Browser
Schlüssel bleibt im Gerät
│
├─ Verwaltung
│ ▼
│ Kern-Server, Hetzner
│ Metadaten und
│ verschlüsselte Blöcke
│
└─ Inhalt, direkt
▼
Verarbeitung
netcup, AKI.IO,
Scaleway
nur im Arbeitsspeicher
Die Datengrenze
Der Kern-Server führt Konten, Abrechnung und Metadaten. Gespeicherte Ergebnisse hält er in der Voreinstellung als verschlüsselte Datenblöcke, die er nicht öffnen kann; lesbar nur, wenn Sie das für eine Kategorie ausdrücklich wählen. Live-Inhalte erreichen ihn nicht: Der Browser sendet sie über TLS direkt an die Verarbeitung.
Zero-Knowledge-Ablage
Der Browser erzeugt einen zufälligen Kontoschlüssel. Ein Schlüssel, den er mit Argon2id aus Ihrem Passwort ableitet, umschließt ihn; gespeicherte Inhalte sind mit XChaCha20-Poly1305 (libsodium) verschlüsselt. Der Server erhält einen davon getrennten Anmeldenachweis, nie den Schlüssel. Die Folge: Es gibt keinen Passwort-Reset, der Ihre Daten wiederherstellt, sondern Wiederherstellungscodes.
Verarbeitung ohne Spuren
Inhalte liegen in der Verarbeitung nur im Arbeitsspeicher und werden danach überschrieben. In den Logs stehen Metadaten, nie Inhalte. Eine GPU-Instanz für eine Live-Sitzung wird nach der Sitzung zerstört.
Nachprüfen statt glauben
Der Quellcode liegt unter der AGPL-3.0-or-later offen auf git.souveraene-systeme.de. Dienstleister, Standorte und jede Änderung daran stehen im Transparenzbericht.