Zum Inhalt springen
BeaconVaultHQ
Kostenlos starten
DE
Kostenlos starten

Zero-Knowledge für gespeicherte Secrets

Wir können deine gespeicherten Secrets nicht lesen.
Punkt.

BeaconVaultHQ verschlüsselt deine Secret- und Dateiinhalte in deinem Browser, bevor sie den Server erreichen. Deine verschlüsselten Tresorinhalte werden auf Systemen in Deutschland gespeichert. Die dafür benötigten Schlüssel werden serverseitig nur in verschlüsselter Form gespeichert.

Kostenlos starten So funktioniert der Schutz

Kein Betreiber- oder Supportschlüssel kann deine gespeicherten Secrets für uns öffnen.

Für Anmeldung, Abrechnung und den Betrieb bleiben notwendige Konto- und Metadaten sichtbar. Wir unterscheiden sie ausdrücklich von deinen verschlüsselten Inhalten.

Vom Browser zum gespeicherten Inhalt

Dein autorisierter Browser

Lesbare Inhalte
Lokal geöffnete Schlüssel

Hier wird verschlüsselt

Verschlüsselte Übertragung

Speicherung in Deutschland

  • Verschlüsselte Inhalte
  • Verschlüsselte Schlüsselpakete
Konto- und Metadaten Für den Betrieb sichtbar

Entschlüsselung erfolgt erst im berechtigten Browser. Metadaten bleiben ein eigener Schutzbereich.

01 / Transparenz

Was verschlüsselt ist.
Was sichtbar bleibt.

Zero-Knowledge bedeutet nicht, dass BeaconVaultHQ keinerlei Informationen verarbeitet. Gespeicherte Secret- und Dateiinhalte sind ohne deine Schlüssel für uns nicht lesbar.

Vor dem Upload verschlüsselt

  • Inhalte deiner gespeicherten Secrets
  • Dateiinhalte
  • Persönlicher Master Key und Tresorschlüssel als geschützte Pakete
  • Private kryptografische Schlüssel

Für den Betrieb sichtbar oder verarbeitbar

  • Konto und E-Mail-Adresse
  • Tarif-, Abrechnungs- und Organisationsdaten
  • Rollen, Berechtigungen, Vertrauenspersonen und Freigabestatus
  • Technische Zeit- und Ereignisdaten
  • Tresornamen und technische Dateiangaben wie Größe und Dateityp
  • Öffentliche kryptografische Schlüssel
  • Sicherheitsdaten für die Kontoanmeldung

Die Zwei-Faktor-Authentifizierung deines BeaconVaultHQ-Kontos gehört zum Kontoschutz. Ihre Sicherheitsdaten werden für die Anmeldung verarbeitet; sie sind keine verschlüsselten Tresorinhalte.

02 / Schlüssel und Inhalte

Ein persönlicher Schlüssel.
Ein Schlüssel pro Tresor.

Eine Schlüsselhierarchie verbindet deinen Zugang mit deinen Inhalten. Die verwendbaren Schlüssel werden im autorisierten Browser geöffnet.

  1. Lokal ableiten

    Der Browser leitet aus deinem eingegebenen Konto-Passwort lokales Schlüsselmaterial ab.

  2. Master Key öffnen

    Damit öffnet er deinen verschlüsselt gespeicherten persönlichen Master Key.

  3. Tresorschlüssel öffnen

    Der Master Key schützt separate Schlüssel für deine einzelnen Tresore.

  4. Inhalte lesen

    Erst mit dem passenden Tresorschlüssel werden Secret- und Dateiinhalte im Browser lesbar.

03 / Wiederherstellung

Ein zweiter Weg zu deinen Inhalten.
Kein Notzugang für uns.

Dein Recovery Key ist ein unabhängiger Wiederherstellungsweg. Er wird in deinem Browser erzeugt und als persönliches Recovery-Dokument bereitgestellt.

Nach einem Passwortverlust öffnet dein Browser damit denselben persönlichen Master Key. Du legst ein neues Konto-Passwort fest; deine Tresore und Secrets müssen nicht neu angelegt werden. Erfolgreiche Recovery widerruft bisherige Sitzungen und vertrauenswürdige Geräte.

Zwei persönliche Wege, dieselben Inhalte
Konto-Passwort Regulärer Zugang
Recovery Key Wiederherstellungsweg

Öffnen im autorisierten Browser

Dein persönlicher Master Key

Tresorschlüssel A Tresorschlüssel B

Jeweils die zugehörigen Inhalte

Serverseitig liegen diese Schlüssel als verschlüsselte Pakete. Der Recovery Key wird dort nicht im Klartext gespeichert.

Recovery Key verloren, Zugang funktioniert?

Solange du dein Konto und deine Tresore regulär öffnen kannst, kannst du einen neuen Recovery Key erzeugen. Sichere das neue Dokument: Es ersetzt den bisherigen Wiederherstellungsweg.

Beide Wege fehlen?

Wenn du deine Tresore nicht mehr regulär öffnen kannst und kein gültiger Recovery Key verfügbar ist, können wir deine gespeicherten Secrets nicht wiederherstellen. Auch der Support hat keinen Ersatzschlüssel.

Bewahre dein aktuelles Recovery-Dokument sicher außerhalb von BeaconVaultHQ auf, mit getrennten Sicherungskopien. Gib den Recovery Key weder an den Support noch an Vertrauenspersonen weiter.

06 / Schutzwirkung

Die Schutzgrenze.
Offen erklärt.

Verschlüsselung, Kontoschutz und Freigaben wirken zusammen. Ein Abzug gespeicherter Serverdaten ist ein anderer Angriff als die Kontrolle über einen entsperrten Browser.

Abzug gespeicherter Serverdaten
Schutz

Secret- und Dateiinhalte sowie Schlüsselpakete liegen verschlüsselt vor.

Verbleibende Grenze

Notwendige Metadaten können sichtbar sein. Verschlüsselung ersetzt keine starke Passphrase.

Abhören der Verbindung
Schutz

TLS schützt den Transport; Inhalte werden zusätzlich vor dem Upload verschlüsselt.

Verbleibende Grenze

Ein kompromittiertes Endgerät bleibt ein eigener Angriffsweg.

Gestohlenes Konto-Passwort
Schutz

Eingerichtete MFA und frische Bestätigungen erschweren unbefugten Kontozugriff.

Verbleibende Grenze

Schütze auch den zweiten Faktor und deine Wiederherstellungswege.

Verlorenes oder gestohlenes Gerät
Schutz

Sicherheits- und Inaktivitätssperren begrenzen die Verfügbarkeit von Schlüsseln.

Verbleibende Grenze

Ein bereits entsperrtes Gerät kann unmittelbar gefährdet sein.

Schadsoftware oder aktiver Eingriff
Schutz

Browserrichtlinien und begrenzte Schlüsselverfügbarkeit reduzieren die Angriffsfläche.

Verbleibende Grenze

Schadsoftware, bösartige Erweiterungen oder manipulierter Anwendungscode können während der Nutzung Klartext und Schlüssel angreifen.

Berechtigter Portalzugriff
Schutz

Lesender, zeitlich begrenzter und widerrufbarer Zugang.

Verbleibende Grenze

Bereits gelesene oder kopierte Informationen können nicht zurückgerufen werden.

Clientseitige Verschlüsselung kann ein kompromittiertes oder aktiv manipuliertes Endgerät nicht vollständig absichern. Während der Nutzung müssen lesbare Inhalte und verwendbare Schlüssel im Browser verfügbar sein.

07 / Plattform

Verschlüsselte Inhalte brauchen
eine geschützte Plattform.

Inhaltsschutz ergänzt den sicheren Betrieb. Konten, Metadaten und Berechtigungen benötigen eigene Schutzmaßnahmen.

Geschützte Verbindung
HTTPS/TLS schützt die Übertragung zwischen Browser und Plattform.
Kontrollierte Abrufe
Tresore, Organisationen und Dateidownloads durchlaufen Authentifizierungs- und Berechtigungsprüfungen, bevor verschlüsselte Daten bereitgestellt werden.
Restriktive Browserrichtlinien
Content Security Policy und ergänzende Sicherheitsheader begrenzen unerwünschte Skripte, fremde Einbettungen und unnötige Browserberechtigungen.
Sensible Inhalte bleiben online
Portalantworten tragen restriktive Cache-Vorgaben. Sensible API-Inhalte werden nicht für Offline-Nutzung in der PWA gespeichert; der Offline-Cache bleibt auf Oberfläche und statische Assets begrenzt.

08 / Technischer Blick

Die Verfahren sind offen.
Die Schlüssel bleiben geschützt.

Die Architektur verbindet bewährte Verfahren mit getrennten Schlüsselwegen. Entscheidend ist ihr Zusammenspiel, nicht ein einzelner Algorithmusname.

Kryptografische Architektur ansehen
Secret- und Dateiinhalte
AES-256-GCMAuthentifizierte Inhaltsverschlüsselung mit zufälligen Nonces.
Lokale Schlüsselableitung
Argon2id bei verfügbarer Browser-Runtime, PBKDF2-HMAC-SHA-256 für kompatible Schlüsselwege. Zufällige Salts und gespeicherte Ableitungsparameter gehören zum Schlüsselpaket.
Schlüsselhierarchie
Persönlicher Master Key, separate Tresorschlüssel und verschlüsselte Schlüsselpakete.
Geschützte Freigaben
RSA-OAEP · 4096 · SHA-256Tresorschlüssel werden für berechtigte Empfänger mit ihrem öffentlichen Schlüssel geschützt; geöffnet wird mit dem passenden privaten Schlüssel im Browser.
Wiederherstellung
Ein zufällig im Browser erzeugter Recovery Key schützt einen zweiten Weg zum selben Master Key. Der Server erhält einen abgeleiteten Besitznachweis und ein verschlüsseltes Recovery-Paket.
Schlüssel während der Nutzung
Verwendbare Schlüssel liegen im Browser-Arbeitsspeicher und werden an Sicherheitsgrenzen bestmöglich entfernt. JavaScript kann keine vollständige physische Speicherlöschung garantieren.
Transport
HTTPS/TLS schützt die Verbindung zusätzlich zur Inhaltsverschlüsselung.

09 / Im Gespräch

Fragen zum Schutz
deiner Daten?

Wenn du die Architektur oder einen persönlichen Zugriffsweg besser verstehen möchtest, nutze unseren Kontaktweg. Beschreibe deine Frage, ohne vertrauliche Inhalte mitzusenden.

Kontakt aufnehmen

Sende niemals dein Konto-Passwort, deinen Recovery Key, MFA-Codes oder Tresorinhalte an den Support.

10 / Häufige Fragen

Klare Antworten.
Auch auf die Grenzen.

Was bedeutet Zero-Knowledge bei BeaconVaultHQ?

Gespeicherte Secret- und Dateiinhalte werden im Browser verschlüsselt. Wir speichern sie nicht als lesbaren Klartext und haben keinen Betreiber- oder Supportschlüssel, der sie öffnen könnte. Notwendige Konto- und Metadaten werden separat verarbeitet.

Ist wirklich alles in meinem Konto verschlüsselt?

Nein. Anmeldung, Abrechnung, Organisationen, Freigaben und der Betrieb benötigen sichtbare oder verarbeitbare Informationen. Dazu gehören unter anderem Konto, E-Mail-Adresse, Tresornamen, Rollen, Status und technische Dateiangaben. Die Inhaltsverschlüsselung ist klar davon getrennt.

Verlässt mein Konto-Passwort den Browser?

Ja, für die Anmeldung wird es über eine TLS-geschützte Verbindung an den Server übertragen und dort als Passwort-Hash gespeichert. Parallel leitet der Browser lokales Schlüsselmaterial ab. Dieses verwendbare Schlüsselmaterial wird nicht an den Server übertragen.

Wo befinden sich meine Schlüssel?

Verschlüsselte Schlüsselpakete können auf dem Server liegen. Verwendbare Schlüssel werden erst im autorisierten Browser geöffnet und während der Nutzung im Arbeitsspeicher gehalten. Das ist kein Versprechen, dass JavaScript jede Speicherkopie physisch löschen kann.

Kann der Support nach einem Schlüsselverlust helfen?

Der Support kann deine gespeicherten Secrets nicht entschlüsseln. Wenn Konto und Tresore noch regulär zugänglich sind, kannst du einen neuen Recovery Key erstellen. Fehlen der reguläre Tresorzugang und ein gültiger Recovery Key, können wir die verschlüsselten Inhalte nicht wiederherstellen.

Ersetzen MFA-Wiederherstellungscodes meinen Recovery Key?

Nein. MFA-Codes ersetzen einen verlorenen zweiten Anmeldefaktor. Der Recovery Key ist dein Wiederherstellungsweg für verschlüsselte Inhalte nach Passwortverlust. Der Zugriffsschlüssel einer Vertrauensperson erfüllt wiederum eine andere Aufgabe.

Darf meine Passphrase Leerzeichen enthalten?

Ja. Wir empfehlen eine lange, einzigartige Passphrase aus mehreren nicht zusammenhängenden Wörtern. Verwende keine bekannten Zitate oder persönlichen Angaben und nutze die Passphrase ausschließlich für BeaconVaultHQ.

Was passiert bei einem kompromittierten Browser?

Während der Nutzung sind lesbare Inhalte und Schlüssel im Browser verfügbar. Schadsoftware, bösartige Erweiterungen oder aktiv manipulierter Anwendungscode können sie dort angreifen. Clientseitige Verschlüsselung kann ein kompromittiertes Endgerät nicht vollständig schützen.

Erhält eine Vertrauensperson mein gesamtes Konto?

Nein. Der Zugang ist ein eigener, lesender Portalweg für den vorbereiteten Umfang im gültigen Ernstfall. Eigener Portalzugang, aktiver Freigabestatus und der separate Schlüssel der jeweiligen Beziehung sind erforderlich. Dein Konto-Passwort und Recovery Key bleiben bei dir.

Was kann ein Widerruf zurücknehmen?

Ein Widerruf sperrt weiteren Zugriff über die Plattform. Bereits gelesene oder außerhalb der Plattform gespeicherte Informationen können nicht zurückgerufen werden. Ein gewöhnlicher Check-in hebt einen bereits aktiven Ernstfall nicht auf; dafür ist die ausdrückliche Aufhebung erforderlich.

Deine Schlüssel. Deine Verantwortung.

Mit einem Tresor beginnen.
Den Wiederherstellungsweg mitdenken.

Lege deine ersten verschlüsselten Inhalte an und sichere dein persönliches Recovery-Dokument. Du kannst kostenlos beginnen und deine Vorsorge später erweitern.

Kostenlos starten Tarife vergleichen

Secret- und Dateiinhalte werden im Browser verschlüsselt, bevor sie den Server erreichen.