„Wir können Ihre Fotos nicht sehen“ ist eine Behauptung, kein Gefühl
Jede Privatsphäre-App sagt irgendeine Version davon. Meist ist es Marketing-Kurzform für „wir versuchen, vorsichtig mit Ihren Daten zu sein“. Das ist nicht dasselbe wie „wir können strukturell nicht darauf zugreifen“. Das sind verschiedene Behauptungen, und nur eine davon lässt sich prüfen.
So sieht die Prüfung aus, in zwei Teilen: was auf Ihrem iPhone passiert, bevor Privately überhaupt beteiligt ist, und was Privately darüber legt.
Ihre Fotos sind verschlüsselt, bevor irgendeine App sie anfasst
Seit dem iPhone 8 ist jede Datei auf dem Gerät, auch jedes Foto, durch einen Chip namens Secure Enclave geschützt. Das ist ein eigener Prozessor, der Schlüssel unabhängig von der Haupt-CPU verwaltet. Wenn ein Foto in den Speicher geschrieben wird, bekommt es einen eigenen Schlüssel. Dieser Schlüssel ist selbst von einem weiteren Schlüssel umschlossen, der an Ihren Code und an eine Hardware-Kennung gebunden ist, die bei der Fertigung in die Secure Enclave gebrannt wird. Diese Kennung lässt sich nicht auslesen und nicht extrahieren, weder von jemandem mit dem iPhone in der Hand noch von Apple.
Sperren Sie das iPhone, werden die Schlüssel, die zum Entschlüsseln nötig sind, für den Rest des Systems unerreichbar. Face ID, Touch ID oder Ihr Code macht sie wieder verfügbar. Deshalb ist ein gestohlenes, gesperrtes iPhone, abgesehen von exotischen Hardware-Angriffen, kein Stapel lesbarer Fotodateien. Es ist verschlüsseltes Rauschen, bis jemand beweist, dass er Sie ist.
Nichts davon ist Privately eigen. Es ist die Basis, die Apple jeder App auf der Plattform gibt, und sie schützt Ihre Kamerarolle schon jetzt, ausgeblendet oder nicht.
Was „wir sehen Ihre Fotos nicht“ für eine App auf dieser Basis heißt
Bei dieser Basis kann eine App das Versprechen auf genau eine Weise brechen: indem sie Ihre Fotos an einen Ort verschiebt, den der Schutz der Secure Enclave nicht erreicht. Ein Server, ein Cloud-Bucket, eine Analyse-Pipeline, ein Support-Ticket. Alles mit einem Netzwerk im Weg zählt.
Genau das tut Privately nicht. Es gibt keinen Upload-Schritt irgendwo in der App, keinen Account, über den gesperrte Fotos zu einem Backend synchronisiert werden, keinen Server, der vorgeladen, gehackt oder einfach falsch konfiguriert Ihre Fotos enthalten könnte. Wenn die Mediathek das Gerät nie verlässt, gibt es keine Version von „wir haben hineingesehen“, die physikalisch möglich wäre, ob wir wollten oder nicht.
Das müssen Sie auch nicht speziell uns glauben. Der EXIF-Entferner und das Foto-Zensur-Tool auf dieser Site laufen genauso, nur können Sie es selbst in etwa zehn Sekunden prüfen. Öffnen Sie die Entwicklertools des Browsers, beobachten Sie den Netzwerk-Tab, legen Sie ein Foto ab und entfernen Sie die Metadaten. Nichts geht hinaus. Dieselbe Architektur, nur leichter mit einem Debugger zu treffen als eine native App.
Wo gesperrte Alben etwas hinzufügen, das das System nicht von allein gibt
Wenn das ganze Gerät schon verschlüsselt ist, was bleibt einer App? Trennung. Der normale Datenschutz verschlüsselt alles in der Mediathek gleich. Genau das ist das Problem. Die Geburtstagsfotos Ihres Kindes und das eine Foto, das niemand nebenbei durchblättern soll, liegen hinter derselben Entsperrung. Einmal Face ID, und alles ist sichtbar.
Gesperrte Alben sind ein zweiter, unabhängiger Tresor. Fotos, die Sie hineinlegen, verschwinden aus Mediathek, Kamerarolle und iCloud-Fotos-Synchronisierung, und das Entsperren des iPhone öffnet sie nicht. Sie brauchen eine eigene Prüfung mit Face ID, Touch ID oder PIN. Das ist der Unterschied zwischen „zusammen mit allem anderen verschlüsselt“ und „verschlüsselt, und außerdem nicht im selben Raum wie alles andere“. Eine längere Fassung dieser Lücke steht in dem Vergleich mit dem eingebauten ausgeblendeten Album. Das benutzt denselben Datenschutz, den dieser Text beschreibt, und lässt die Trennung aus.
Was das nicht abdeckt
Zur Grenze, damit sie klar ist: Alles oben betrifft die Architektur, also wo Ihre Daten physisch liegen und wer sie technisch erreichen kann. Es sagt nichts über ein rechtliches Verfahren gegen Apple als Betriebssystemhersteller, über ein jailbreaktes oder kompromittiertes Gerät, oder über jemanden, der hinter Ihnen steht, während das Album entsperrt ist. Verschlüsselung löst das Problem „können sie es über ein Netzwerk erreichen“. Das Problem „steht der Code auch auf einem Klebezettel“ war nie ihres.
Wenn Sie das vollständigere Bild wollen, was ein Foto offenlegen kann, noch bevor es weggeschlossen ist, haben wir über die Metadaten geschrieben, die jedes Foto standardmäßig trägt: GPS-Koordinaten, Gerätemodell, Zeitstempel. Die Secure Enclave hat dazu keine Meinung, denn das ist nicht, was sie schützt.
Privately kann kostenlos geladen werden. Gesperrte Alben und die anderen Pro-Funktionen gibt es als klares Abo: keine kostenlose Testversion, und kein Zusatzverkauf im Tresor selbst.