Warnsignale 1–3: das Geschäftsmodell scheint durch
Erstens: Werbung in der App. Werbe-SDKs existieren, um zu sammeln und zu übertragen; was auch immer die Datenschutzerklärung sagt – in der Tresor-App lebt eine Datenpipeline. Zweitens: ein Pflichtkonto für eine rein lokale Aufgabe. Lokale Verschlüsselung braucht keine Identität; Konten existieren für den Funnel des Anbieters, und jedes Konto ist ein weiterer Ort, an dem die Nutzung protokolliert wird. Drittens: „PIN per E-Mail wiederherstellen“. Echte Verschlüsselung kann kein Support-Desk wiederherstellen – eine App, die das anbietet, sagt Ihnen damit, dass sie Schlüssel zu Ihren Inhalten hält.
Warnsignale 4–5: die Technik ist ein Rätsel
Viertens: nirgends Verschlüsselungsdetails. „Militärstandard“ und ein Schloss-Symbol sind keine Dokumentation. Ein vertrauenswürdiger Tresor nennt den Algorithmus, die Herkunft der Schlüssel und was bei falschen PINs passiert – Details, die eine Attrappe nicht überzeugend ausfüllen kann. Fünftens: Cloud-Upload, den niemand bestellt hat. Verlassen Dateien das Gerät standardmäßig „zum Backup“ oder „zur Verarbeitung“, ist die Sicherheit des Tresors zur Server-Sicherheit des Anbieters geworden – ohne dass man gefragt wurde.
Warnsignale 6–7: die Details, die niemand prüft
Sechstens: Klartext-Überreste. Importierte Fotos, die ohne Warnung in der Mediathek bleiben, Vorschaubilder, die im App-Umschalter sichtbar sind, Vorschauen, die in einem Computer-Backup lesbar sind – Schlamperei, bei der Inhalte die Verschlüsselungsgrenze verlassen. Siebtens: keine benannten Grenzen. Jedes Sicherheitswerkzeug hat Versagensfälle; ein Anbieter, der keine nennt, kennt sie nicht oder verschweigt sie. Ehrlich dokumentierte Grenzen sind das stärkste einzelne Vertrauenssignal dieser Kategorie.
Zwei Minuten auf der Website eines Anbieters beantworten das meiste davon. Fehlen die Antworten, lautet die Antwort: nein.