Passwörter, Notizen, 2FA-Secrets und Wallet-Einträge liegen vollständig verschlüsselt und steganografisch verborgen in einer gewöhnlich wirkenden PNG-Datei. Größere Dateien werden getrennt davon in einem eigenen verschlüsselten Datei-Tresor gespeichert. Kein Cloudkonto und kein zentraler Tresor-Synchronisationsdienst sind erforderlich.
Die Ersteinrichtung dauert etwa zwei Minuten. Bei jedem Öffnen von BlindLock wartest du rund zehn Sekunden auf die PIN-Prüfung. Das fühlt sich langsam an, und genau das ist der Punkt: Wenn später jemand deine PIN ausprobieren will — zum Beispiel nach einem Diebstahl deines Geräts — muss er für jeden falschen Versuch dieselben zehn Sekunden warten. Ohne diese Bremse könnte ein Programm tausende PINs in wenigen Minuten durchprobieren. Mit der Wartezeit dauert dasselbe Vorhaben Tage oder Wochen und lohnt sich nicht. Die PIN öffnet nur BlindLock auf deinem Gerät. Deinen Tresor öffnet sie nicht — dafür brauchst du zusätzlich dein Passwort und genau dieses Gerät.
Wähle eine beliebige PNG-Datei auf deinem Gerät. Ein Urlaubsfoto, ein Screenshot — was auch immer in deinem Dateisystem unauffällig aussieht. BlindLock prüft, wie viel die Datei unauffällig aufnehmen kann, und bestätigt, dass die versteckten Daten hineinpassen, ohne das Bild sichtbar zu verändern.
Die Datei bleibt genau dort, wo du sie abgelegt hast. Es wird kein „Tresor-Ordner“ auf der Platte erzeugt.
Du legst dein Master-Passwort fest, und BlindLock bindet den Sicherheitsanker an die geschützte Hardware deines Geräts — TPM 2.0, Secure Enclave oder StrongBox. Optional kannst du zusätzlich einen Sicherheitsschlüssel einrichten.
Keines dieser Dinge reicht allein: nicht die Datei, nicht das Passwort und nicht das Gerät. Erst alle drei zusammen werden über HKDF zum Tresor-Schlüssel kombiniert. Dieselbe Datei mit demselben Passwort ergibt auf einem fremden Rechner einen mathematisch falschen Schlüssel.
Passwörter, TOTP-Secrets und Notizen werden im Arbeitsspeicher verschlüsselt, bevor sie in die Trägerdatei geschrieben werden. Größere Dateien gelangen getrennt in einen verschlüsselten Datei-Tresor. Der im Login-Bild verborgene Passwort-Tresor nutzt klassische 256-Bit-Verschlüsselung mit zwei unabhängigen AEAD-Familien übereinander. Datei-Tresor-Container nutzen authentifizierte Verschlüsselung, wie auf der Sicherheitsseite beschrieben.
BlindLock speichert deinen verschlüsselten Passwort-Tresor unsichtbar in dem Bild, das du gewählt hast. Optisch ändert sich nichts: Vorher und nachher sieht die Datei gleich aus. Man sieht dem Bild nicht an, dass darin Daten stecken.
Sichere die aktive PNG-Datei regelmäßig. Für Gerätewechsel und Notfälle empfehle ich zusätzlich ein verschlüsseltes BlindLock-Backup — und bewahre die Wiederherstellungsphrase getrennt davon auf. Nutzt du Datei-Tresore, sichere außerdem deren Containerdatei, Recovery-Datei und Recovery-Faktor. Du entscheidest selbst, ob diese Sicherungen lokal, auf einem externen Datenträger oder in einem synchronisierten Cloud-Ordner liegen.
Jedes Öffnen folgt demselben lokalen Kryptografiepfad. Aktivierung und jeder neue Entsperrvorgang benötigen zusätzlich eine kurze verschlüsselte Verbindung für Lizenz- und Versionsprüfung. Tresorinhalte werden dabei nicht übertragen.
┌─────────────────────── träger.png ───────────────────────┐ │ │ │ gewöhnlich wirkende Bilddaten │ │ + │ │ versteckter, verschlüsselter Passwort-Tresor │ │ ├── Passwörter und Login-Daten │ │ └── Notizen und TOTP-Secrets │ │ │ └──── Tarnung + Verschlüsselung + Hardwarebindung ─────────┘ große Dokumente und Medien ──► separate verschlüsselte Datei-Tresor-Container So öffnet sich der Tresor: PIN ──► Eingangstor (Argon2id, 256 MiB, ~10 s — kein Tresor-Faktor) │ entsperrt BlindLocks hardware-versiegelten App-Anker (App-Pfad — keine native Chip-PIN-Policy) ▼ HKDF kombiniert drei Faktoren zum Tresor-Schlüssel: 1) Datei ── verschlüsselter Tresor, im Träger versteckt 2) Passwort ── Argon2id, speicherhart (512 MiB–4 GB je Gerät) 3) Gerät ── nicht exportierbarer Anker im Sicherheitschip (TPM 2.0 / Secure Enclave / StrongBox) (optionaler 4. Faktor: Sicherheitsschlüssel via FIDO2) │ ein falsches Gerät ergibt einen mathematisch falschen Schlüssel ▼ Tresor wird entschlüsselt — nur im Arbeitsspeicher ▼ Tresor im Arbeitsspeicher geöffnet ▼ wird beim Sperren sofort gelöscht
Ehrliche Antworten auf die unangenehmen Fälle.
BlindLock kann es nicht zurücksetzen — und es gibt keinen Weg daran vorbei. Die Wiederherstellungsphrase ersetzt das Passwort nicht, sie ersetzt nur den Hardware-Schlüssel. Bewahre dein Master-Passwort deshalb so sorgfältig auf wie den Tresor selbst.
Trägerdatei und Master-Passwort reichen ohne den autorisierten Hardware-Sicherheitsanker nicht aus. Stelle dein verschlüsseltes Backup auf dem neuen Gerät wieder her — mit der Backup-Datei und der getrennt aufbewahrten Wiederherstellungsphrase. Danach meldest du dich wie gewohnt mit deinem Master-Passwort an.
Solange du dich auf deinem Gerät anmelden kannst, ist nichts verloren: Lass dir deine zwölf Wörter unter Datensicherung erneut anzeigen und notiere sie neu. Es sind immer dieselben zwölf — jedes Backup gehört zu genau ihnen.
Eine kopierte Trägerdatei allein reicht nicht aus. Es fehlen dein Master-Passwort und der Hardware-Sicherheitsanker des autorisierten Geräts — und, falls aktiviert, dein zusätzlicher Sicherheitsschlüssel.
Cloudloser Speicher, Privatsphäre, Hardwarebindung und Steganographie — dann ehrlich vergleichen.
Öffne die interaktive Demo mit dem echten Desktop-Ablauf — oder prüfe die Lifetime-Preise für später.