🛡️ So sind Ihre Daten geschützt

Kurz und ehrlich: was verschlüsselt wird, womit, und wo der Schutz endet.

Was verschlüsselt ist

Passwörter, Logins, Website-Adressen und Notizen; Kartennummern, CVV, PIN, Karten-Logins und Notizen; Seriennummern mit Verlauf; Anhangsdateien.
Dienstnamen, Kartentypen und Daten bleiben lesbar: sie werden für Listen und Suche gebraucht.
E-Mail und Konto-Passwort schützen die Anmeldung, nicht die Daten: die Daten haben ihr eigenes Master-Passwort.

Aus dem Master-Passwort wird ein Schlüssel abgeleitet (Argon2id, 128 MB Speicher). Er wird nirgends gespeichert, weder auf dem Server noch in Sicherungen.
Einträge und Dateien sind mit AES-256-GCM und einem Tresorschlüssel verschlüsselt, der selbst mit dem Master-Passwort-Schlüssel und dem Wiederherstellungscode-Schlüssel umhüllt ist.
Öffnen per Gesicht oder Fingerabdruck: der Passkey liefert ein Geheimnis, das eine weitere Kopie des Tresorschlüssels umhüllt. Ohne das Gerät ist sie wertlos.
Solange der Tresor offen ist, liegt der Schlüssel geteilt: eine Hälfte in der Server-Sitzung, die andere in einem Browser-Cookie. Keine Hälfte allein verrät etwas.

Master-Passwort und Passkey-Geheimnis gehen beim Öffnen über den Server: entschlüsselt wird auf dem Server, nicht im Browser. Eine Kopie der Datenbank oder Festplatte ist ohne sie unlesbar, ein kompromittierter laufender Server während Ihrer Sitzung wäre aber nicht abgedeckt.
Ein schwaches Master-Passwort lässt sich erraten. Schadsoftware auf Ihrem Gerät sieht, was Sie sehen.
Wir können Daten nicht auf Anfrage wiederherstellen: weder per E-Mail noch per Telefon.

Nur der bei der Einrichtung ausgegebene Wiederherstellungscode öffnet die Daten. Ohne ihn können die Einträge nur gelöscht und neu angelegt werden.