Passwörter, Notizen, 2FA-Secrets und Wallet-Adressen liegen vollständig verschlüsselt und steganographisch verborgen in einer gewöhnlich wirkenden PNG-Datei. Größere Dateien werden getrennt davon in einem eigenen verschlüsselten Datei-Tresor gespeichert. Kein Cloudkonto und kein zentraler Tresor-Synchronisationsdienst sind erforderlich.
Die Ersteinrichtung dauert etwa zwei Minuten. Bei jedem Öffnen von BlindLock wartest du rund zehn Sekunden auf die PIN-Prüfung. Das fühlt sich langsam an, und genau das ist der Punkt: Wenn später jemand deine PIN ausprobieren will — zum Beispiel nach einem Diebstahl deines Geräts — muss er für jeden falschen Versuch dieselben zehn Sekunden warten. Ohne diese Bremse könnte ein Programm tausende PINs in wenigen Minuten durchprobieren. Mit der Wartezeit dauert dasselbe Vorhaben Tage oder Wochen und lohnt sich nicht. Die PIN öffnet nur BlindLock auf deinem Gerät. Deinen Tresor öffnet sie nicht. Dessen Schlüssel hängt am Sicherheitschip deines Geräts und an einer Freigabe des BlindLock-Lizenzservers, und zum Anmelden verlangt BlindLock zusätzlich dein Master-Passwort.
Wähle eine PNG-Datei auf deinem Gerät mit mindestens 4,4 Megapixeln, etwa 2100 × 2100 Bildpunkten. BlindLock prüft, wie viel die Datei unauffällig aufnehmen kann, und bestätigt, dass die versteckten Daten hineinpassen, ohne das Bild sichtbar zu verändern.
Die Datei bleibt genau dort, wo du sie abgelegt hast.
Du legst dein Master-Passwort fest, und BlindLock bindet den Sicherheitsanker an die geschützte Hardware deines Geräts — TPM 2.0 oder Secure Enclave. Optional kannst du zusätzlich einen Hardware-Schlüssel einrichten.
Der Schlüssel des Login-Bilds hängt am Sicherheitschip deines Geräts und an einer Freigabe des BlindLock-Lizenzservers. Zum Anmelden verlangt BlindLock außerdem dein Master-Passwort. Dieselbe Datei ergibt auf einem fremden Rechner keinen brauchbaren Schlüssel.
Passwörter, TOTP-Secrets und Notizen werden im Arbeitsspeicher verschlüsselt, bevor sie in die Trägerdatei geschrieben werden. Größere Dateien gelangen getrennt in einen verschlüsselten Datei-Tresor. Der im Login-Bild verborgene Passwort-Tresor nutzt klassische 256-Bit-Verschlüsselung mit zwei unabhängigen AEAD-Familien übereinander. Datei-Tresor-Container nutzen authentifizierte Verschlüsselung, wie auf der Sicherheitsseite beschrieben.
BlindLock speichert deinen verschlüsselten Passwort-Tresor unsichtbar in dem Bild, das du gewählt hast. Optisch ändert sich nichts: Vorher und nachher sieht die Datei gleich aus. Man sieht dem Bild nicht an, dass darin Daten stecken.
Sichere die aktive PNG-Datei regelmäßig. Für Gerätewechsel und Notfälle empfehle ich zusätzlich ein verschlüsseltes BlindLock-Backup — und bewahre die zwölf Wörter getrennt davon auf. Nutzt du Datei-Tresore, sichere außerdem deren Tresordatei. Die Rettung für jeden Datei-Tresor legt BlindLock selbst in deiner Sicherungsdatei ab. Du entscheidest selbst, ob diese Backups lokal, auf einem externen Datenträger oder in einem synchronisierten Cloud-Ordner liegen.
Jedes Öffnen folgt demselben lokalen Kryptographiepfad. Aktivierung und jeder neue Entsperrvorgang benötigen zusätzlich eine kurze verschlüsselte Verbindung. Ausgetauscht werden nur technische Angaben: Lizenz-, Geräte-, Plattform- und Versionsdaten, und vom Server kommt ein 32 Byte langer Wert, der in deinen Tresor-Schlüssel eingeht. Tresorinhalte werden dabei nicht übertragen.
Der Schlüssel zu deinem Login-Bild entsteht bei jedem Öffnen neu, gebunden an genau dieses Bild:
Fehlt der Sicherheitschip oder die Freigabe, entsteht gar kein Schlüssel. Der Tresor bleibt zu.
Große Dokumente und Medien liegen in separaten verschlüsselten Datei-Tresoren.
Vier Stellen, vier verschiedene Dinge.
Passwörter, Notizen und 2FA-Geheimnisse werden zweimal versiegelt, bevor sie das Bild überhaupt erreichen: AES-256-GCM und XChaCha20-Poly1305 übereinander, mit unabhängigen Schlüsseln. Wer das eine Siegel bricht, steht vor dem zweiten.
Die Daten werden in die Bildpunkte selbst geschrieben, ein winziger Anteil je Punkt — zu wenig, als dass ein Auge es sehen könnte. Das Verfahren heißt F5-Matrixkodierung. Sein Trick: Es verteilt die Daten so, dass von sieben Stellen, die es benutzen könnte, höchstens eine verändert werden muss. Und je weniger verändert wird, desto weniger unterscheidet sich das Bild von einem unbearbeiteten Foto — auch für Messwerkzeuge, die genau danach suchen.
Welche Stellen benutzt werden, bestimmt ein zufälliger Schlüssel, den der Sicherheitschip deines Geräts versiegelt hält. Ohne diesen Schlüssel weiß niemand, wo er überhaupt suchen müsste. Und es gibt keine offensichtliche BlindLock-Markierung in der Datei.
Der Schlüssel zu deinem Tresor liegt nirgends — weder bei dir noch auf dem BlindLock-Server. Er entsteht bei jedem Öffnen neu aus dem Schlüsselteil deines Sicherheitschips und einer Freigabe des Lizenzservers, gebunden an genau dieses Bild. Die Freigabe ist eine Zufallszahl, die für sich genommen nichts bedeutet. Dein Rechner holt sie bei jedem Öffnen frisch beim BlindLock-Server ab. Zusätzlich verlangt BlindLock deine PIN und dein Master-Passwort.
Fehlt der Sicherheitschip oder die Freigabe, kommt gar kein Schlüssel zustande. Der Tresor bleibt zu.
Ausgetauscht werden dabei nur technische Angaben: Lizenz-, Geräte-, Plattform- und Versionsdaten, und vom Server kommt ein 32 Byte langer Wert, der in deinen Tresor-Schlüssel eingeht. Was in deinem Tresor liegt, erfährt der BlindLock-Server nie — das verlässt deinen Computer nicht.
Und wenn der BlindLock-Server einmal nicht erreichbar ist, sperrt dich das nicht aus. Beim letzten Öffnen hat er deinem Gerät einen signierten Passierschein mitgegeben, den der Sicherheitschip versiegelt hält und der sieben Tage gilt. So lange öffnet BlindLock auch ohne Internet.
Dateien liegen in eigenen verschlüsselten Containern mit ChaCha20-Poly1305, hardware-versiegelt an den Sicherheitschip deines Computers. Aus dem Tresor-Passwort leitet Argon2id den Schlüssel selbst ab, mit mindestens 512 MiB. Die Größe eines Containers legst du beim Anlegen selbst fest.
Ehrliche Antworten auf die unangenehmen Fälle.
BlindLock kann es nicht zurücksetzen. Deine Einträge holst du trotzdem zurück: Leg ein neues Login-Bild mit einem neuen Master-Passwort an und stell darin deine Einträge aus der Sicherungsdatei mit den zwölf Wörtern wieder her. Änderungen nach deinem letzten Backup sind nicht dabei.
Ohne den Sicherheitschip des alten Geräts entsteht aus der Trägerdatei kein brauchbarer Schlüssel, auch nicht mit deinem Master-Passwort. Stelle dein verschlüsseltes Backup auf dem neuen Gerät wieder her — mit der Backup-Datei und den getrennt aufbewahrten zwölf Wörtern. Danach meldest du dich wie gewohnt mit deinem Master-Passwort an.
Solange du dich auf deinem Gerät anmelden kannst, ist nichts verloren: Lass dir deine zwölf Wörter unter Datensicherung erneut anzeigen und notiere sie neu. Willst du sie loswerden, erzeugst du dort zwölf neue. Die alten verlieren sofort jede Wirkung, und BlindLock schreibt dir eine neue Sicherungsdatei — die alten passen dann nicht mehr.
Eine kopierte Trägerdatei allein reicht nicht aus. Ohne den Sicherheitschip deines Geräts und die Freigabe des Lizenzservers entsteht kein brauchbarer Schlüssel. Dazu verlangt BlindLock deine PIN, dein Master-Passwort und, falls aktiviert, deinen zusätzlichen Hardware-Schlüssel.
Cloudloser Speicher, Privatsphäre, Hardwarebindung und Steganographie — dann ehrlich vergleichen.
Öffne die interaktive Demo mit dem echten Desktop-Ablauf — oder prüfe die Lifetime-Preise für später.