Sind Foto-Tresor-Apps sicher? Ein Sicherheitsaudit 2026

Die meisten iOS-Foto-Tresor-Apps schützen den Bildschirm, nicht die Dateien. In unserem Audit vom Juni 2026 über 12 der meistinstallierten Tresor-Apps nannte nur eine einen spezifischen Verschlüsselungsalgorithmus in ihrem App Store-Eintrag, und 7 von 12 erklärten, dass sie dich verfolgen. Die Apps, denen man vertrauen kann, sind die Minderheit, die einen echten Algorithmus benennen, keinen Schlüssel zu deinen Daten besitzen und nichts sammeln.

Foto-Tresor-Apps sind nicht einheitlich sicher. In unserem Audit vom Juni 2026 über 12 der meistinstallierten iOS-Tresor-Apps erklärten 7 von 12, dass sie Nutzer über Apps und Websites hinweg verfolgen, nur 1 nannte in ihrem Eintrag einen spezifischen Algorithmus, und ein Jahrzehnt unabhängiger Forschung hat wiederholt Apps gefunden, die "Verschlüsselung" vermarkten, während sie Dateien im Klartext oder hinter trivialer Verschleierung speichern. Die sicheren benennen einen echten Algorithmus, erfordern kein Konto und besitzen keinen Schlüssel zu deinen Daten.

Was wir geprüft haben und was wir nicht getestet haben

Wir haben das App-Datenschutzetikett, die veröffentlichte Datenschutzrichtlinie und die App Store-Beschreibung für die führenden Foto-Vault- und Fotos-verstecken-Apps im US App Store im Juni 2026 abgerufen, geordnet nach Store-Position und Bewertungsvolumen. Wir klassifizierten jede App nach ihrem tatsächlichen Sicherheitsmodell und glichen ein Jahrzehnt dokumentierter Tresor-App-Fehler ab, wobei wir nur Vorfälle beibehielten, die auf eine primäre oder bestätigte Quelle zurückgeführt werden können.

Zwei Einschränkungen sind wichtig. Erstens sind App Store-Datenschutzetiketten selbst angegeben; Apple überprüft sie nicht, sodass eine App weniger deklarieren könnte, als sie sammelt. Zweitens handelt es sich um eine Etiketten-, Richtlinien- und Architekturüberprüfung sowie ein öffentliches Vorfallsregister. Wir haben keine Live-Netzwerkaufzeichnung durchgeführt, daher machen wir keine Aussagen über Verkehr, den wir nicht persönlich beobachtet haben. Alles hier ist anhand der am Ende dieser Seite aufgeführten Quellen überprüfbar.

Befund 1: "Verschlüsselung" ist meist ein Wort, keine verifizierbare Tatsache

Die Kategorie lebt von der Phrase "militärische Verschlüsselung". Sie bedeutet für sich genommen nichts. AES-256 ist ein öffentlicher Standard ohne militärischen Rang; die Phrase ist Marketing, das überlebt, weil es wie eine Spezifikation klingt. Was tatsächlich zählt, ist, ob eine App einen Algorithmus, eine Schlüssellänge und eine Schlüsselableitungsmethode benennt, die du bewerten kannst.

Im 12-App-Etiketten-Audit nannte genau eine App einen spezifischen Algorithmus in ihrer App Store-Beschreibung: Secret Photos KYMS, die "AES" angibt. Jede andere App sagte entweder "militärische Verschlüsselung", "verschlüsselter Speicher", "Zero-Knowledge-Architektur", oder nannte überhaupt keine Verschlüsselung. Beim tieferen Blick auf die Entwickler-Websites und Richtlinien von acht Apps nannten nur drei einen echten Algorithmus irgendwo in ihren offiziellen Materialien: LockMyPix nennt AES-CTR, das optionale Cloud-Vault von Private Photo Vault nennt AES-256, und Calculator# offenbart AES-256 mit PBKDF2 bei 200.000 Iterationen. Diese drei verdienen Anerkennung dafür, dass sie ihre Arbeit zeigen.

Es gibt eine Unterscheidung, die die meisten Vault-Einträge verwischen: ein Foto zu verstecken ist nicht dasselbe wie es zu verschlüsseln. Verstecken verschiebt eine Datei an einen weniger sichtbaren Ort. Verschlüsseln transformiert sie in Geheimtext, der ohne einen Schlüssel nutzlos ist. Ein PIN-Bildschirm, der einen Ordner mit gewöhnlichen Dateien schützt, ist ein Vorhang, keine Wand. Jeder, der durch ein Backup, ein forensisches Tool oder einen adb-Befehl auf die darunterliegenden Dateien gelangt, kommt direkt hinein.

Befund 2: Die Datenschutzetiketten sagen mehr als das Marketing

Apples App-Datenschutzetiketten sind die ehrlichste Seite im App Store, weil es ein Richtlinienverstoß ist, sie zu falschen. Dort hören Marketing-Texte und tatsächliche Datenpraktiken auf, übereinzustimmen. Unser Audit vom Juni 2026 ergab, dass 7 der 12 Apps "Daten zur Nachverfolgung" deklarieren, was Apples Begriff für Daten ist, die dazu verwendet werden, dich über Apps und Websites anderer Unternehmen hinweg zu verfolgen. Nur 2 von 12 tragen Apples "Keine Daten erfasst"-Etikett, die stärkste Datenschutzbestätigung im Store: Safe Lock und Secret Photo Vault Lock Photos.

Die zwei am höchsten bewerteten Apps des Sets, Private Photo Vault (Pic Safe) und SV Private Photo Vault PRO, werden beide von Legendary Software Labs veröffentlicht und haben zusammen rund 1,026 Millionen kombinierte Bewertungen. Beide verfolgen Nutzer und verknüpfen gemäß ihren eigenen Etiketten deine Fotos, Videos und Gerätekennungen mit deiner Identität. Best Secret Folder hat den breitesten "mit dir verknüpft"-Fupabdruck des Sets: Standort, vollständige Kontaktinformationen einschließlich Name, E-Mail und Telefon sowie deine Fotos, Videos und Audio, während Anzeigen geschaltet werden. Eine private Foto-App, die deine Fotos mit deiner Identität verknüpft und dich über andere Apps hinweg verfolgt, löst ein anderes Problem als das, für das du sie heruntergeladen hast.

Die übrigen Apps im Audit erzählen ihre eigene Geschichte. Private Photo Vault (Pic Safe) und SV Private Photo Vault PRO nennen keinen Algorithmus in ihren Einträgen und verwenden nur den Ausdruck "geheimer Wert zum Ver-/Entschlüsseln". Keepsafe beschreibt seine Verschlüsselung als "militärisch" ohne einen Algorithmus zu nennen. Privault sagt "verschlüsselter Speicher". HiddenVault behauptet "Zero-Knowledge-Architektur", nennt aber keinen Algorithmus. Calculator# nennt keinen Algorithmus in seinem App Store-Eintrag. Best Secret Folder und Hide It Pro nennen überhaupt nichts. Nur KYMS nennt AES, und nur Encamera ist Open Source, was eine andere Art von Überprüfbarkeit bietet.

Befund 3: Ein Konto und ein Cloud-Backend sind eine zweite Angriffsfläche

Der lokale Dateihandling kann einwandfrei sein, und die App kann dennoch Daten preisgeben, weil das Backend eine separate Angriffsfläche ist. Apps, die ein Konto erfordern und deine Dateien auf ihren Servern speichern, bitten dich, einer Datenbank zu vertrauen, die du nicht inspizieren kannst.

Keepsafe ist das deutlichste Beispiel für diese strukturelle Entscheidung. Es erfordert eine E-Mail-Adresse, bevor du es verwenden kannst, speichert Inhalte auf eigenen Servern, und eine unabhängige Sicherheitsanalyse ergab, dass das Unternehmen die Fähigkeit behält, auf Nutzerfotos zuzugreifen. Seine Datenschutzrichtlinie ist auch die einzige in unserem Set, die zugibt, dass einige Datenweitergaben gemäß kalifornischem Recht als Verkauf oder Weitergabe deiner persönlichen Informationen klassifiziert werden könnten. Das ist eine Offenlegung, die die anderen nicht gemacht haben, und sie sagt dir, wer den Schlüssel besitzt. Wenn ein Anbieter den Verschlüsselungsschlüssel besitzt, ist eine Panne beim Anbieter auch deine Panne. Das Modell, das dies vermeidet, ist Zero-Knowledge-Verschlüsselung, bei der der Anbieter deine Daten nicht lesen kann, weil er den Schlüssel niemals besitzt.

Das anschauliche Beispiel für das, was schiefgehen kann, kam 2025. Eine separate App namens Photo Vault, veröffentlicht vom Entwickler Brain Craft, ließ seine Firebase-Datenbank ohne Passwortschutz. Die Offenlegung wurde 2025 von Cybernews gemeldet und von The Dead Pixels Society bestätigt. Sie legte Nutzer-E-Mail-Adressen, Klartextpasswörter, Datei- und Ordnernamen sowie den Inhalt der Funktion für sichere Notizen der App offen, für eine App mit etwa 72.000 Downloads. Um es genau zu sagen: Diese Brain Craft App ist nicht dasselbe Produkt wie Private Photo Vault oder Pic Safe von Legendary Software Labs, trotz des ähnlichen Namens. Die Fotos selbst waren nicht in der Datenbank, aber alles, was benötigt wird, um die Konten anzugreifen, war vorhanden, einschließlich Passwörter im Klartext, die eine Tresor-App niemals in lesbarer Form besitzen, geschweige denn preisgeben sollte.

Befund 4: Das Werbe-SDK in der "privaten" App

Sieben der acht Datenschutzrichtlinien, die wir lasen, verwiesen auf Werbung von Drittanbietern. Der auffallendste Fall ist NQ Vault, auch als Vault-Hide vertrieben, dessen Richtlinie sechs in der App eingebettete Werbe-SDKs auflistet: AdMob, Facebook Audience Network, InMobi, MoPub, AppLovin und Unity. Die Aufgabe eines Werbenetzwerks ist es, ein Profil des Nutzers zu erstellen. Sechs davon in eine App einzubetten, deren gesamte Prämisse Privatsphäre ist, ist die prägende Ironie der Kategorie, und sie steht im Richtlinientext, nicht in unserer Spekulation.

Das breitere Muster aus der Richtlinienüberprüfung der acht Apps: Nur eine der acht, LockMyPix, positioniert sich in ihrem Kernmodell als werbefrei. Private Photo Vault erwähnt Cookies von Drittanbietern und Werbung. Privault listet AdMob und Umeng Analytics. Best Secret Folder verweist auf maßgeschneiderte Anzeigen, Google Analytics und Firebase. Hide It Pro verweist auf ein Werbe-SDK von Drittanbietern. Apps, die keine Cloud haben, kein Konto erfordern und einen Algorithmus benennen, sind die Ausnahme, nicht der Standard.

Ein Jahrzehnt dokumentierter Fehler

Nichts davon ist neu. Das Muster von "Verschlüsselung", die keine ist, ist seit 2014 wiederholt dokumentiert worden, von benannten Forschern und begutachteten Studien. Was folgt, ist das Vorfallsregister mit Vertrauensstufen, da einige davon besser belegt sind als andere.

Im September 2014 zeigte der Forensikforscher Jonathan Zdziarski, dass Private Photo Vault, das damals über 3 Millionen Nutzer meldete, keine Verschlüsselung über die Standard-iOS-Speicherung hinaus anwendete. Fotos waren in etwa fünf Minuten im Klartext wiederherstellbar. Dieser Vorfall ist anhand einer Primärquelle auf zdziarski.com verifiziert.

Im April 2015 berichteten The Register und Slate, dass NQ Mobile Vault, das "Verschlüsselung" vermarktete und über 10 Millionen Downloads hatte, eine Ein-Byte-XOR-Operation nur auf die ersten 128 Bytes jeder Datei anwendete. Das lässt 256 mögliche Schlüssel und den Rest jeder Datei im Klartext. Dieser Vorfall ist verifiziert.

Im November 2015 testete der IOActive-Forscher Michael Allen Private Photo Vault, eine App namens "My Media" und Keepsafe und brach in alle drei in jeweils unter 30 Minuten ein. Die Methoden umfassten Klartextbasierte PINs in Property-List-Dateien, einen nicht authentifizierten Webserver auf Port 5555 und Album-Passwörter, die im Klartext vom Server zurückgegeben wurden. Dieser Vorfall ist verifiziert.

Im Jahr 2017 veröffentlichten Zhang, Baggili und Breitinger eine begutachtete Studie in Computers and Security (Band 70), die 18 Android-Tresor-Apps mit rund 220 Millionen kombinierten Downloads analysierte. Sechs verschlüsselten gespeicherte Fotos nicht, 7 speicherten Passwörter im Klartext, und 10 gaben versteckte Daten ohne Root-Zugriff preis. Die Forschung half, Beweise in einem Straffall zu sichern: 66 Bilder und 18 Videos. Diese Studie ist verifiziert.

Im Juni 2019 fand ein Forscher, der unter dem Namen forensicmike1 publiziert, dass Private Photo Vault AES-Verschlüsselung über RNCryptor hinzugefügt hatte, aber der Masterschlüssel statisch im iOS Keychain gespeichert wurde und nie rotiert wurde, wenn der Nutzer seinen PIN änderte. Ein 4-stelliger PIN machte den Schlüssel trivial per Brute-Force knackbar. Dieser Vorfall ist verifiziert.

Im Jahr 2022 veröffentlichten Ruffin und Kollegen eine begutachtete Studie bei ACM WPES, die 20 beliebte Android-Tresor-Apps mit jeweils über 10 Millionen Downloads analysierte. Nur 5 von 20 versuchten Dateiverschlüsselung. 15 waren vollständig mit einem einfachen adb pull wiederherstellbar, und 7 speicherten PINs oder Wiederherstellungs-E-Mails im Klartext. Diese Studie ist verifiziert.

Im Februar 2025 meldete Kaspersky die SparkCat-Kampagne: Malware in Apps sowohl im App Store als auch auf Google Play, die geräte-interne optische Zeichenerkennung nutzte, um Foto-Bibliotheken der Nutzer nach Kryptosaatphrasen und Screenshots von Passwörtern zu durchsuchen und die Treffer zu exfiltrieren. Apple und Google entfernten die Apps. Es war der erste OCR-basierte Fotostehler, der nachweislich die App Store-Überprüfung passiert hatte. Dieser Vorfall ist verifiziert.

Zwei weitere Vorfälle haben partielle Verifizierung und sollten mit diesem Vorbehalt gelesen werden. Eine Analyse aus 2021 fand eine Familie von Taschenrechner-Tresor-Apps auf Android, die einen einzigen hartcodierten AES-CBC-Schlüssel über jede Installation hinweg teilte, was bedeutet, dass ein bekannter Schlüssel die Medien jedes Nutzers entschlüsselte. Dies ist partiell verifiziert, von einem einzigen technisch spezifischen Forscher. Separat wurde die Vault-Hide-App 2017 vom indischen Ministerium für Elektronik und Informationstechnologie wegen der Exfiltration von Telefonnummern, IMEI-Nummern und Listen installierter Apps gemeldet und entzog sich angeblich der Entfernung durch Umbenennung. Dies ist partiell verifiziert über Cybernews und CPO Magazine als Sekundärquellen.

Ein Datenpunkt ist durch seine Abwesenheit bemerkenswert: Wir fanden keinen CVE, der einer Verbraucher-Foto-Tresor-App zugewiesen wurde. Die nächste formale Offenlegung ist ein Hinweis aus 2018 zu einem unzusammenhängenden "Photo Vault"-Produkt mit einem nicht authentifizierten WLAN-Server, bewertet mit mittlerer Schwere (CVSS 4.8), ohne ausgegebenen CVE (seclists.org Full Disclosure, Januar 2018). Die Kategorie wird formal nicht verfolgt, was bedeutet, dass die meisten dieser Fehler von unabhängigen Forschern außerhalb jedes koordinierten Offenlegungsprozesses entdeckt wurden.

Wie man eine Tresor-App wirklich bewertet

Du musst nichts dekompilieren. Fünf Fragen filtern den Großteil des Risikos heraus. Erstens: Benennt sie einen Algorithmus? "AES-256" oder "AES-GCM" ist eine Aussage, die du prüfen kannst. "Militärisch" ist es nicht. Zweitens: Erfordert sie ein Konto? Eine E-Mail und ein Passwort erstellen einen Anmeldedatenspeicher, der undicht werden kann, wie der Brain Craft Firebase-Vorfall zeigte. Drittens: Wenn sie in die Cloud sichert, wer besitzt den Schlüssel? Wenn der Anbieter dein Passwort zurücksetzen und deine Fotos wiederherstellen kann, kann der Anbieter deine Fotos lesen, und dasselbe gilt für jeden, der den Anbieter kompromittiert.

Viertens: Was sagen das App-Datenschutzetikett und die Richtlinie? Öffne den App-Datenschutzbereich. Wenn er dich verfolgt oder deine Fotos mit deiner Identität verknüpft, glaube es. Lies die Richtlinie auf Werbe-SDK-Offenlegungen. Fünftens: Ist sie prüfbar? "Keine Daten erfasst", benannte Algorithmen mit Schlüsselableitungsdetails und Open-Source-Code sind Signale, dass eine App damit rechnet, geprüft zu werden. Apps, die nicht geprüft werden können, verlassen sich darauf, dass du nicht prüfst.

Wo Vaultaire in dieses Bild passt

Wir haben Vaultaire gezielt gegen die oben dokumentierten Fehlerklassen gebaut, daher ist es fair, uns an ihnen zu messen und nicht am Marketing. Ein 5x5-Muster und ein geräteweites Keychain-Salt fließen in PBKDF2-HMAC-SHA512 ein, um den lokalen Tresorschlüssel abzuleiten. Dieser Schlüssel authentifiziert den verschlüsselten Index und entpackt einen separaten zufälligen Hauptschlüssel für die AES-256-GCM-Dateiverschlüsselung. Geschütztes Muster- und Wiederherstellungsmaterial bleibt in einer verschlüsselten Keychain-Datenbank, und die AES-GCM-Authentifizierung macht kopierten Speicher für Offline-Mustertests angreifbar.

Vaultaire erfordert kein Identitätskonto und sendet keine von Wraxle lesbaren Tresordateien oder Klartext-Entschlüsselungsschlüssel. Das iCloud-Backup, standardmäßig aktiviert, wird vor dem Hochladen unter einem separaten Sicherungsschlüssel verschlüsselt. Apple kann weiterhin Konto- und CloudKit-Dienstmetadaten beobachten, und die App, iOS, die Keychain und ein entsperrtes Gerät bleiben innerhalb der Vertrauensgrenze. Dies bedeutet nicht, dass Vaultaire die einzig sichere Wahl ist. Es handelt sich um eine Anbieter-Schlüssel-Grenze, die mit den oben dokumentierten Fehlern verglichen und anhand des veröffentlichten Sicherheitsmodells überprüft werden kann.

Weiterführende Artikel:

• Sind Foto-Tresor-Apps sicher? Die Kurzversion
• Was AES-256-Verschlüsselung wirklich bedeutet
• Zero-Knowledge-Verschlüsselung erklärt
• Was Datenschutzrichtlinien für Cloud-Fotospeicher wirklich sagen
• Wie der aus einem Muster abgeleitete Tresorschlüssel von Vaultaire den Hauptschlüssel entriegelt

Häufig gestellte Fragen

Sind Foto-Tresor-Apps wirklich sicher?

Es hängt vollständig von der App ab, und die meisten sind schwächer als sie wirken. In unserem Audit vom Juni 2026 erklärten 7 von 12 der meistinstallierten iOS-Tresor-Apps, dass sie dich verfolgen, und nur 1 nannte einen spezifischen Algorithmus in ihrem Eintrag. Ein Jahrzehnt Forschung hat wiederholt Apps gefunden, die "Verschlüsselung" vermarkten, während sie Dateien im Klartext oder hinter trivialer Verschleierung speichern. Die sicheren benennen einen echten Algorithmus, erfordern kein Konto und besitzen keinen Schlüssel zu deinen Daten.

Kann ein Foto-Vault-Entwickler meine Fotos sehen?

Wenn die App deine Fotos in ihrer eigenen Cloud speichert und dein Konto wiederherstellen kann, wenn du dein Passwort vergisst, dann ja: Der Entwickler besitzt den Verschlüsselungsschlüssel und kann technisch auf deine Fotos zugreifen, genauso wie jeder, der die Server des Entwicklers kompromittiert. Eine unabhängige Analyse fand, dass dies bei Keepsafe der Fall ist. Apps, die Zero-Knowledge oder nur lokal sind, können deine Fotos nicht sehen, weil sie den Schlüssel niemals besitzen.

Ist Private Photo Vault (Pic Safe) wirklich verschlüsselt?

Das optionale Cloud Vault von Private Photo Vault nennt AES-256, was ein echter Algorithmus ist. Aber die App hat eine dokumentierte Geschichte von Schwachstellen: keine Verschlüsselung 2014 gefunden (Zdziarski), in unter 30 Minuten 2015 geknackt (IOActive), und ein statischer, nicht rotierender Masterschlüssel 2019 gefunden (forensicmike1). Ihr aktuelles App Store-Datenschutzetikett deklariert auch, dass sie dich verfolgt und deine Fotos mit deiner Identität verknüpft.

Verwenden Foto-Tresor-Apps wirklich Verschlüsselung oder nur einen PIN?

Viele verwenden nur einen PIN über einem versteckten Ordner, was keine Verschlüsselung ist. Verstecken verschiebt eine Datei an einen weniger sichtbaren Ort; die Datei bleibt für jeden lesbar, der über ein Backup oder ein forensisches Tool darauf zugreift. Eine begutachtete Studie aus 2022 über 20 Android-Tresor-Apps (Ruffin et al., ACM WPES) fand, dass nur 5 echte Dateiverschlüsselung versuchten, und 15 mit einem einfachen adb pull vollständig wiederherstellbar waren. Echte Verschlüsselung wandelt die Datei in Geheimtext um, der einen Schlüssel erfordert.

Was passiert mit meinen Fotos, wenn ich eine Tresor-App lösche?

Wenn die App die Dateien nur versteckt hat (keine Verschlüsselung), können die Dateien auf dem Gerät an einem zugänglichen Ort oder in Backups verbleiben. Wenn die App die Dateien lokal verschlüsselt hat und du die App löschst, ohne zu exportieren, könnte der Geheimtext unwiederherstellbar werden, weil der Schlüssel weg ist. Wenn die App Cloud-Speicher verwendet, können die Dateien auf den Servern des Anbieters bestehen bleiben. Prüf die Export- und Löschungsdokumentation der App, bevor du sie deinstallierst.

Können Forensik-Tools oder die Polizei einen Foto-Vault-PIN umgehen?

Nur-PIN-Schutz bietet wenig Widerstand gegen forensische Extraktionstools. Forschung von 2014, 2015, 2017 und 2022 zeigte, dass Tresor-App-PINs in Minuten umgangen wurden oder Dateien ganz ohne Authentifizierung wiederhergestellt wurden. Ein 4-stelliger PIN aus Private Photo Vaults 2019-Implementierung wurde als trivial per Brute-Force knackbar eingestuft. Echte Dateiverschlüsselung mit einer starken Schlüsselableitungsfunktion erhöht die Hürde erheblich; eine PIN-Absicherung allein tut es nicht.

Verkauft Keepsafe meine Daten?

Keepsafes Datenschutzrichtlinie ist die einzige in unserem Audit-Set, die explizit feststellt, dass einige Datenweitergaben gemäß kalifornischem Recht als "Verkauf" oder "Weitergabe" persönlicher Informationen klassifiziert werden könnten. Die Richtlinie verweist auch auf Werbepartner. Das ist eine Offenlegung, die die anderen Apps in unserem Set nicht gemacht haben. Ob das einen Verkauf darstellt, hängt von der angewandten Rechtsdefinition ab, aber die Richtlinie ist die expliziteste der Kategorie zu diesem Punkt.

Was ist der Unterschied zwischen dem Verstecken und dem Verschlüsseln von Fotos?

Verstecken verschiebt eine Datei an einen weniger sichtbaren Ort auf dem Gerät; die zugrundeliegende Datei ist unverändert und für jeden mit Zugriff auf den Speicher lesbar, einschließlich Backup-Tools oder forensischer Software. Verschlüsseln transformiert die Datei in Geheimtext, der ohne den richtigen Schlüssel unlesbar ist. Viele Tresor-Apps verstecken nur. Eine akademische Studie aus 2022 (Ruffin et al.) fand, dass 15 von 20 beliebten Android-Tresor-Apps mit einem einfachen adb pull wiederherstellbar waren, ohne jede Entschlüsselung.

Ist es sicher, Cloud-Backup in einer Foto-Tresor-App zu aktivieren?

Nur wenn das Backup verschlüsselt wird, bevor es dein Gerät verlässt, und der Anbieter es nicht entschlüsseln kann. Wenn der Anbieter deine Dateien wiederherstellen kann, wenn du dein Passwort verlierst, ist das Backup für den Anbieter lesbar und bei jeder Server-Panne exponiert. Der Brain Craft Firebase-Vorfall aus 2025 legte E-Mails, Klartextpasswörter und Ordnernamen offen, genau weil die Cloud-Seite keinen Schutz hatte. Suche nach Zero-Knowledge-Architektur mit Verschlüsselung vor dem Upload.

Welche Foto-Tresor-App benötigt kein Konto oder Internetzugang?

Mehrere Apps funktionieren vollständig offline und ohne Konto. In unserer Prüfung trugen zwei von Apple die Kennzeichnung „Daten nicht erfasst“: Safe Lock und Secret Photo Vault Lock Photos. Vaultaire erfordert kein Identitätskonto, keine E-Mail-Adresse oder Netzwerkverbindung, um Dateien zu verschlüsseln und zu speichern. Damit entfällt ein vom Entwickler betriebener Speicher für Kontozugangsdaten, dessen Risiko der Firebase-Vorfall bei Brain Craft im Jahr 2025 zeigte. Die Angriffsflächen von Gerät, Keychain, CloudKit, Analyse und Betriebssystem bleiben bestehen.