Sicherheit
Zuletzt aktualisiert: 14. Oktober 2026
Deine Einträge werden auf deinem Gerät verschlüsselt. Ohne Konto bleibt dein Tagebuch auf diesem Gerät, und nichts davon wird an uns gesendet. Mit Konto erreichen uns Einträge nur verschlüsselt. Der Schlüssel, der sie öffnet, ist mit einer Passphrase gesperrt, die nur du kennst, und diese Passphrase verlässt dein Gerät nie. Wir speichern dieses Tagebuch, können es aber nicht lesen. Wenn du deine Passphrase verlierst, kann niemand diese Einträge zurückholen, auch wir nicht.
PrivaLog ist nicht Open Source. Stattdessen dokumentieren wir auf dieser Seite, was der Code tut. Sie beschreibt die Apps für iPhone, iPad und Mac und die Web-App so, wie sie heute funktionieren.
Wenn du ein Tagebuch beginnst, erzeugt die App einen Tagebuchschlüssel: eine zufällige 256-Bit-Zahl, die deine Einträge ver- und entschlüsselt. Einträge werden mit AES-256-GCM verschlüsselt, einem weit verbreiteten Verschlüsselungsverfahren. Es erkennt auch Manipulation: Wurde ein verschlüsselter Eintrag verändert, öffnet die App ihn nicht, statt veränderten Text anzuzeigen.
Wenn du ohne Konto losschreibst, gibt es keine Passphrase. Der Tagebuchschlüssel liegt im Schlüsselbund deines Geräts, und das Tagebuch öffnet sich so, wie du dein Gerät entsperrst: mit Face ID, Touch ID oder deinem Gerätecode. Das ist eine Sperre in der App, kein zweiter Schlüssel: Wer dein Gerät entsperren kann, kann auch das Tagebuch öffnen. Auf einem Gerät ohne Code wird das Tagebuch nicht gesperrt. Nichts aus deinem Tagebuch wird an uns gesendet. Der Schlüssel ist nicht an dieses eine Gerät gebunden. Ein verschlüsseltes Backup deines iPhone oder iPad, in iCloud oder auf einem Computer, enthält deshalb dein Tagebuch samt Schlüssel. Wie gut dieses Backup geschützt ist, hängt von Apple ab: Ein iCloud-Backup ist nur mit dem erweiterten Datenschutz Ende-zu-Ende-verschlüsselt. Wir bekommen nie eine Kopie.
Wenn du ein Konto erstellst, wählst du eine Tagebuch-Passphrase mit mindestens 8 Zeichen. Die App macht daraus mit Argon2id einen zweiten Schlüssel. Argon2id ist ein Verfahren, das jeden Rateversuch langsam macht und viel Speicher braucht. Dieser zweite Schlüssel sperrt deinen Tagebuchschlüssel. Nur der gesperrte Tagebuchschlüssel wird an uns gesendet. Beim Entsperren lädt dein Gerät den gesperrten Schlüssel herunter und erledigt die ganze Arbeit selbst. Deine Passphrase wird nie an uns gesendet. Hast du vorher ohne Konto geschrieben, behält dein Tagebuch denselben Tagebuchschlüssel: Die Passphrase sperrt ihn, und deine Einträge ziehen in dein Konto um. Ab dann ist der Schlüssel auf deinem Gerät nicht mehr in Geräte-Backups enthalten; auf einem neuen Gerät nutzt du deine Passphrase.
Alles, was du in einen Eintrag schreibst, wird zusammen verschlüsselt: der Titel, der Text, deine Stimmung, Tags, die Favoriten-Markierung und Orte, einschließlich ihrer Koordinaten. Das Datum eines Eintrags ist nicht verschlüsselt. Siehe Was unsere Server speichern.
Mit Konto öffnest du dein Tagebuch mit deiner Passphrase oder mit Face ID oder Touch ID. Auf einem Gerät mit Face ID oder Touch ID wird das eingeschaltet, sobald du deine Passphrase erstellst oder ein Tagebuch mit deinem Konto zusammenführst, außer du hast vorher etwas anderes gewählt. In den Einstellungen kannst du es ausschalten. Die App speichert dann den Tagebuchschlüssel, nicht deine Passphrase, im Schlüsselbund. Diese Kopie bleibt auf diesem Gerät, ist nicht in Backups enthalten und kann erst gelesen werden, nachdem Face ID oder Touch ID erfolgreich war. Der Gerätecode reicht nicht: Wer gesehen hat, wie du ihn eintippst, kann dein Tagebuch trotzdem nicht öffnen. Auf einem Gerät ohne Face ID oder Touch ID kannst du stattdessen das Entsperren mit dem Gerätecode wählen. Das System prüft dein Gesicht oder deinen Fingerabdruck; PrivaLog erhält sie nie. Fügst du ein Gesicht oder einen Fingerabdruck hinzu oder entfernst eins, funktioniert der gespeicherte Schlüssel nicht mehr und du entsperrst einmal mit deiner Passphrase.
Nach dem Entsperren bleibt der Tagebuchschlüssel im Speicher der App, bis das Tagebuch gesperrt wird. Das passiert, wenn du es selbst sperrst, dich abmeldest oder die App beendest, und wenn PrivaLog so lange im Hintergrund war, wie du in den Einstellungen festlegst: sofort, nach 1, 5 oder 15 Minuten, nach einer Stunde oder nie. Standardmäßig ist das 1 Minute auf iPhone und iPad und 5 Minuten auf dem Mac. Auf dem Mac wird das Tagebuch außerdem sofort gesperrt, wenn der Bildschirm gesperrt wird oder in den Ruhezustand geht, außer du hast „Nie“ gewählt. Solange die App im Hintergrund ist, wird ihr Bildschirm verdeckt, sodass der App-Umschalter deine Einträge nicht zeigt. Beim Abmelden wird der gespeicherte Schlüssel aus dem Schlüsselbund gelöscht. Die verschlüsselten Kopien deiner Einträge bleiben auf dem Gerät, damit du noch nicht synchronisierte Einträge nicht verlierst.
Die Suche läuft auf deinem Gerät, über Einträge, die bereits entschlüsselt im Speicher liegen. Es wird kein Suchindex auf die Festplatte geschrieben oder an uns gesendet.
Das gilt für Konten. Ein Tagebuch ohne Konto erreicht unsere Server nie. Wir nutzen Supabase für Konten und Speicherung. Unser Supabase-Projekt läuft in der EU, in Irland. Jedes Konto kann nur auf seine eigenen Zeilen zugreifen; die Datenbank setzt das durch.
Kurz gesagt: Wir sehen, dass du ein Konto hast, deine E-Mail-Adresse, an welchen Tagen du geschrieben hast und wann. Wir sehen nicht, was du geschrieben hast.
Cloud-Sync setzt eine aktive Testphase oder Pro voraus. Ohne sie bleiben neue Einträge auf deinem Gerät und werden nicht an uns gesendet. Bereits synchronisierte Einträge bleiben verschlüsselt gespeichert, bis du sie oder dein Konto löschst. Der gesperrte Tagebuchschlüssel und die Entsperrprüfung werden für jedes Konto gespeichert.
Wenn du dein Konto löschst, werden dein Konto, deine Einträge, der gesperrte Schlüssel und der Abo-Status sofort aus unserer Datenbank gelöscht. Kopien können für begrenzte Zeit in Backups unserer Dienstleister verbleiben. Kaufdaten, die Apple und RevenueCat speichern, werden dadurch nicht gelöscht.
Mit Konto nutzt PrivaLog zwei getrennte Geheimnisse. Sie haben unterschiedliche Aufgaben.
Dein Kontopasswort wird zur Anmeldung über eine verschlüsselte Verbindung gesendet, wie auf jeder Website. Deine Tagebuch-Passphrase wird gar nicht gesendet. Verwende für beides etwas anderes.
Der Ort, den du auswählst, wird nur im verschlüsselten Eintrag gespeichert. Die Apps und die angemeldete Web-App enthalten keinen Analyse- oder Werbecode.
Offline-Kopien sind genauso verschlüsselt wie die Kopien auf unseren Servern.
Die Web-App verschlüsselt in deinem Browser, mit demselben Verfahren und denselben Einstellungen wie die Apps: AES-256-GCM über das eingebaute Web Crypto des Browsers und Argon2id über eine WebAssembly-Bibliothek.
Es gibt einen wichtigen Unterschied. Eine App aus dem App Store ist signiert und geprüft, bevor sie dich erreicht, und bleibt gleich, bis du sie aktualisierst. Die Web-App wird bei jedem Öffnen von unserem Server gesendet. Würde dieser Server veränderten Code senden, könnte dieser Code deine Passphrase lesen, während du sie eingibst. Wenn du die Web-Version nutzt, vertraust du bei jedem Besuch uns und unserem Hosting-Anbieter.
Einige Maßnahmen begrenzen das, beseitigen es aber nicht. Die Website wird nur über HTTPS ausgeliefert. Eine Content Security Policy erlaubt Seiten nur Verbindungen zu unserer eigenen Website und den oben genannten Diensten, und Bilder nur von unserer eigenen Website. Inline-Skripte sind erlaubt, weil das Framework der Website sie braucht. Wir nutzen keine Subresource Integrity.
Nach dem Entsperren bewahrt die Web-App deinen Tagebuchschlüssel im Speicher des Browsers auf, in einer Form, die die Seite nutzen, aber nicht lesen oder kopieren kann. Der Tab kann ihn nutzen, bis du das Tagebuch sperrst, dich abmeldest oder den Tab schließt. Es gibt keine automatische Zeitsperre. Beim Abmelden werden alle gespeicherten Schlüssel entfernt, die verschlüsselten Kopien deiner Einträge bleiben aber im Browser.
Wenn du das stärkere Modell willst, nutze die App für iPhone, iPad oder Mac.
Es gibt kein Zurücksetzen und keine Wiederherstellung. Wir haben weder deine Passphrase noch deinen Tagebuchschlüssel, also können wir dein Tagebuch nicht für dich öffnen, und niemand sonst auch nicht. Das ist Absicht: Ein Zugang für uns wäre auch ein Zugang für andere. Ohne die Passphrase sind deine Einträge nicht mehr lesbar. Du kannst dein Konto löschen und ein neues anlegen.
{"v":1,"user_id":…,"entry_id":…,"entry_date":…,"crypto_schema_version":…}Wenn du ein Sicherheitsproblem findest, schreib eine E-Mail an privacy@nextdevstudio.com. Beschreibe bitte die Schritte, um es nachzustellen, und gib uns angemessen Zeit, es zu beheben, bevor du Details veröffentlichst.
14. Oktober 2026. Wenn wir ändern, wie Verschlüsselung, Speicherung oder externe Dienste funktionieren, aktualisieren wir diese Seite. Siehe auch die Datenschutzerklärung.