Datenschutz und Sicherheit
Ihre Zwischenablage enthält alles, was Sie gerade einfügen wollten — Passwörter auf dem Weg zum Ziel, Adressen, halbfertige Nachrichten und Token. Diese Seite erklärt so genau, was damit geschieht, dass Sie es überprüfen können.
Was mit einem Element geschieht
Vier Schritte in dieser Reihenfolge. Der erste findet einmal statt, die übrigen bei jedem Kopiervorgang.
- 1
Aus Ihrer Passphrase wird ein Schlüssel abgeleitet — einmalig beim Einrichten der Synchronisierung auf einem Gerät
Die Ableitung erfolgt auf dem Gerät mit PBKDF2 und 600.000 Durchläufen; anschließend verbleibt der Schlüssel im Schlüsselbund dieses Geräts. Er wird nicht bei jedem Kopiervorgang neu abgeleitet. Die Passphrase gehört Ihnen; der daraus erzeugte Schlüssel verlässt Ihre Geräte nie und wird nie an uns gesendet.
- 2
Das Element wird mit AES-GCM verschlüsselt
Die Verschlüsselung erfolgt auf dem Gerät, das das Element erfasst hat, noch vor jedem Upload. AES-GCM bietet authentifizierte Verschlüsselung; bei einem veränderten Datenblock schlägt das Öffnen daher fehl, statt falschen Inhalt zu entschlüsseln.
- 3
Das Chiffrat wird hochgeladen
Den Server erreicht ein Datenblock, für den er keinen Schlüssel besitzt, zusammen mit den wenigen für die Synchronisierung nötigen Metadaten: Konto, Zeitpunkt und Position im Feed.
- 4
Ihre anderen Geräte öffnen das Element
Sie leiten aus derselben Passphrase denselben Schlüssel ab und entschlüsseln lokal. Aus demselben Grund läuft die Suche auf dem Gerät — der Server hat nichts, das er indexieren könnte.
Was unsere Server sehen können
Verschlüsselt heißt nicht unsichtbar. Die Synchronisierung braucht einige Metadaten. Es ist ehrlicher, sie aufzulisten, als den Eindruck zu erwecken, der Server besitze überhaupt nichts.
Das verschlüsselte Element
Ein AES-GCM-Datenblock. Gespeicherte Zeilen sind von Zufallsdaten nicht zu unterscheiden.
Zu welchem Konto es gehört
Ihre UniAuth-Benutzeridentität, damit Ihre Geräte Ihre Elemente finden können.
Wann es hinzugefügt wurde und wo es im Feed steht
Zeitstempel und ein Synchronisierungscursor, damit Geräte erkennen, was neu ist.
Seine ungefähre Größe
Chiffrat hat eine Länge. Wir behaupten nichts anderes.
Was Sie kopiert haben
Der Inhalt wird vor dem Upload verschlüsselt. Auf unserer Seite gibt es keinen Schlüssel.
Ihre Passphrase oder ein daraus abgeleiteter Schlüssel
Auf dem Gerät abgeleitet und nie übertragen.
Alles Durchsuchbare
Es gibt keinen Index, weil nichts indexiert werden kann.
Bernsteinfarben markiert, was der Server besitzt. Grün markiert, was er nicht besitzt.
Was vor der Erfassung zurückgehalten wird
Alles zu verschlüsseln hilft nicht, wenn ungeeignete Inhalte überhaupt erst erfasst werden. Drei Arten von Inhalten werden ab der Installation von UniClip zurückgehalten. Bei zweien können Sie dies ändern, bei einer nicht.
Inhalte, die eine App als vertraulich kennzeichnet — immer
Alles, was als org.nspasteboard.ConcealedType veröffentlicht wird, wird allein aufgrund seines Typs abgelehnt, bevor sein Wert gelesen wird. Es wird nicht verschlüsselt und gespeichert — es wird nie übernommen. Das ist absichtlich keine Einstellung: Die Kennzeichnung ist die Bitte einer anderen Anwendung, nicht erfasst zu werden. Sie sind daher nicht die einzige Partei dieser Entscheidung. Es gibt auch einen praktischen Grund. Der Sinn besteht gerade darin, den Inhalt abzulehnen, ohne ihn zu lesen. Ein Schalter würde bedeuten, verborgene Werte in die App zu laden, nur um sie zu verwerfen.
Alles aus einem Passwortmanager Kopierte — sofern Sie nichts anderes festlegen
Bei der Installation sind zwölf Apps ausgeschlossen, von 1Password und Bitwarden bis KeePassXC und zum macOS-Schlüsselbund. Wenn Sie aus einer davon ein Passwort kopieren, wird kein Element angelegt. Sie können weitere Apps hinzufügen und jede mitgelieferte entfernen — auch alle. Eine Entfernung bleibt gespeichert; die App kehrt nicht unbemerkt zurück.
Alles, was wie Zugangsdaten aussieht — sofern Sie die Erkennung nicht ausschalten
API-Schlüssel, JWTs, private Schlüssel und Zahlungskartennummern werden erkannt, auf dem Gerät belassen, auf dem sie kopiert wurden, maskiert in der Liste angezeigt und nie hochgeladen. Kartennummern werden mit dem Luhn-Verfahren geprüft, damit eine gewöhnliche 16-stellige Zahl nicht dafür gehalten wird. Schalten Sie die Erkennung aus, entfällt all das: Passende Elemente werden wie alle anderen erfasst und synchronisiert.
Das Ausschalten ist eine Entscheidung, kein Geständnis
Es gibt ganz gewöhnliche Gründe: Testzugangsdaten ohne Zugriff auf echte Systeme, ein Schlüssel, den Sie absichtlich zwischen Rechnern übertragen, oder schlicht der Wunsch nach einem vollständigen Verlauf, weil er Ende-zu-Ende-verschlüsselt ist — genau darum geht es. UniClip fragt nicht zweimal, zeigt kein Banner an und schaltet die Funktion beim nächsten Update nicht selbst wieder ein.
Unverändert bleibt die Verschlüsselung. Alles, was Sie zulassen, wird vor dem Upload auf dem Gerät mit Ihrem Schlüssel verschlüsselt. Ein synchronisierter API-Schlüssel ist für uns daher genauso Chiffrat wie eine synchronisierte Anschrift. Diese Einstellungen bestimmen, was erfasst wird; sie schwächen dessen Schutz nicht.
Diese Seite in der App
Der Datenschutzbereich auf dem Mac enthält den gesamten obigen Abschnitt in überprüfbarer Form: die oben genannte absolute Regel, den Erkennungsschalter und jede mitgelieferte App in der Ausschlussliste samt Schaltfläche zum Entfernen.
Der Preis dieser Garantie
Ein Design, bei dem wir Ihre Daten nicht lesen können, ist zugleich eines, bei dem wir sie nicht retten können. Das wirkt in beide Richtungen, und Sie sollten es wissen, bevor Sie sich darauf verlassen.
Niemand bei uns kann Ihren Verlauf für Sie wiederherstellen
Der aus Ihrer Passphrase abgeleitete Schlüssel existiert nur auf Ihren Geräten. Bei uns liegt keine Kopie als Rückfalllösung, kein Supportprozess kann Ihre Elemente entschlüsseln und kein Zurücksetzen bringt Ihren Verlauf zurück. Genau das macht die Aussage auf dieser Seite überhaupt wertvoll — es bedeutet aber auch, dass Sie Ihre Passphrase sicher aufbewahren müssen.
Ihre Daten löschen
Die App kann einzelne Elemente und auch Ihr gesamtes Synchronisierungskonto löschen; damit wird zugleich das gespeicherte Chiffrat entfernt. Ihr UniAuth-Konto ist davon getrennt und wird hier verwaltet: Einstellungen Ihres UniAuth-Kontos.
macOS fragt möglicherweise künftig nach der Zwischenablage
Seit macOS 15.4 kann das System Sie jedes Mal warnen, wenn eine App die Zwischenablage ohne Einfügegeste liest. Ein Zwischenablagemanager muss sie abfragen — macOS bietet keine Änderungsbenachrichtigung. UniClip entspricht daher genau der Art von App, auf die diese Funktion abzielt.
In macOS 26.6 ist die Funktion noch nicht eingeschaltet: Das System meldet, dass Lesezugriffe immer erlaubt sind, und sie erfolgen lautlos. Apples Flag für die Entwicklervorschau kehrt diesen Wert um. Daran erkennen wir, dass der Mechanismus bereits im ausgelieferten Betriebssystem steckt und Apple nur noch den Schalter zurückhält, statt ihn erst zu bauen.
Wir können Sie nicht selbst um diese Berechtigung bitten
Apps können diese Berechtigung nur auslesen. Es gibt keine Anfrage, keinen Dialog, den wir öffnen könnten, und keinen Abschluss-Handler — nur die Systemeinstellungen. UniClip liest diesen Status daher bereits. Sollte die Erfassung eines Tages blockiert sein, zeigt die App das an und sagt Ihnen, wo Sie es ändern können. Eine App, die dies erst am Morgen der Aktivierung durch Apple entdeckt, muss ein Notfallupdate ausliefern; wir kümmern uns lieber schon jetzt um einen Schalter, der noch nicht umgelegt wurde.
Anmeldung
UniClip meldet sich über OpenID Connect mit einem Autorisierungscode-Flow samt PKCE bei Ihrem UniAuth-Konto an. Ihr UniAuth-Passwort verarbeitet die App nie.
Hier sind zwei getrennte Geheimnisse im Spiel, die nicht verwechselt werden sollten. Die Anmeldung beweist, wer Sie sind, damit der Synchronisierungsdienst die Elemente ihren Besitzern zuordnen kann. Ihre Passphrase macht die Elemente lesbar, und der Dienst sieht die Passphrase nie. Wer Ihre Anmeldung kompromittiert, findet verschlüsselte Datenblöcke; wer nur die Passphrase besitzt, hat nichts, worauf sie sich anwenden ließe.