Sicherheits-Whitepaper

Wie Moments die Erinnerungen deiner Familie schützt

Dieses Dokument erklärt, wie Moments die Momente deiner Familie privat hält: was verschlüsselt wird, wer die Schlüssel hält, was unsere Server sehen können und was nicht — und, weil Vertrauen mit Ehrlichkeit verdient wird, genau dort, wo die Grenzen liegen.

Version 1.1 — Juli 2026 Gilt für die Moments-Apps für Android, iOS und Windows

1. Die zentrale Garantie

Moments ist um ein Versprechen herum gebaut: unsere Server speichern ausschließlich verschlüsselte Daten und halten niemals einen Schlüssel, der deine Inhalte entschlüsseln könnte. Jedes Foto, jedes Video, jede Bildunterschrift, jeder Kommentar und jede Reaktion wird auf deinem Gerät verschlüsselt, bevor es dieses verlässt, und kann nur auf den Geräten der Menschen entschlüsselt werden, die du ausgewählt hast.

Die Konsequenz ist unmissverständlich: Ein vollständiger Einbruch in unsere Systeme würde zwar offenlegen, wer mit wem teilt, wann und wie viel — aber null Inhalte. Es gibt keine Admin-Ansicht deiner Fotos, kein Support-Tool, das einen Moment öffnen kann, und nichts Verwertbares, das wir auf eine rechtliche Anordnung zur Herausgabe von Inhalten hin übergeben könnten.

Unsere Server sehen, speichern oder verarbeiten niemals einen lesbaren Moment. Sämtliches Verschlüsseln und Entschlüsseln passiert in den Apps, auf den Geräten deiner Familie.

2. Unsere Designprinzipien

  • Dem Server werden deine Inhalte nie anvertraut. Er speichert verschlossene Daten und setzt durch, wer was abrufen darf — deine Momente lesen oder Schlüssel erzeugen kann er nie.
  • Zugriff ist Kryptografie, keine Checkboxen. Wo immer möglich bedeutet „diese Person kann das nicht sehen“: Sie hält keinen Schlüssel, der es öffnet — nicht, dass eine Einstellung Nein sagt.
  • Fail closed. Gibt es auch nur den geringsten Zweifel, dass ein Schlüssel noch sicher verwendet werden kann, verweigert die App das Posten, bis das geklärt ist — sie geht das Risiko nie für dich ein.
  • Ein Archiv, kein Chat. Moments ist eine dauerhafte Familienchronik: Inhalte müssen über Jahrzehnte lesbar bleiben und auf neuen Geräten wiederherstellbar sein. Unsere Verschlüsselung ist auf Beständigkeit ausgelegt, nicht auf verschwindende Nachrichten.
  • Ehrlichkeit über Grenzen. Wo wir einen Kompromiss eingehen (und jedes reale System hat welche), steht er in diesem Dokument — und wird nicht versteckt.

3. Wie deine Momente geschützt werden

  • Verschlüsselt vor dem Upload. Jeder Moment wird auf deinem Gerät mit branchenüblicher, vielfach geprüfter Verschlüsselung geschützt — derselben AES-256-Familie, der Banken und Behörden ihre Daten anvertrauen. Keine selbstgebauten Chiffren, nirgendwo.
  • Die Schlüssel bleiben bei deiner Familie. Die Schlüssel, die deine Momente öffnen, existieren nur auf den Geräten deiner Familie. Was unsere Server halten, sind verschlossene Schließfächer, die sie nicht öffnen können.
  • Jeder Moment einzeln versiegelt. Jeder Moment wird für sich geschützt — selbst im schlimmsten vorstellbaren Fall wäre höchstens ein einzelner Moment betroffen, nie dein ganzes Tagebuch.
  • Manipulation wird erkannt. Alle gespeicherten Daten sind kryptografisch authentifiziert: Alles, was verändert, gekürzt oder zusammengestückelt wurde, wird erkannt und abgewiesen, statt stillschweigend angezeigt zu werden.

4. Wer was sehen kann

Ein Space ist nur auf Einladung zugänglich, und die Einladung ist die einzige Tür. Von da an wird Zugriff durch Verschlüsselung erzwungen, nicht durch Einstellungen:

  • Wer entfernt wird, ist wirklich entfernt. Ab dem Moment der Entfernung werden neue Momente mit frischen Schlüsseln versiegelt, die diese Person nie erhält. Selbst wenn sie irgendwie an die gespeicherten Daten käme, würde sich nichts Neues je für sie öffnen.
  • „Nur ab jetzt“ ist ernst gemeint. Ein Mitglied, das ohne Historie eingeladen wurde, kann frühere Momente nicht lesen — und unsere Server liefern ihm diese Momente nicht einmal aus, sodass es weder sehen kann, wie viele es gibt, noch wann oder von wem.
  • Gruppen-Zielgruppen sind echte Mauern. Einen Moment auf „nur Großeltern“ zu beschränken ist kein Sichtbarkeits-Flag: Nur die Mitglieder dieser Gruppe erhalten je den Schlüssel dazu. Für alle anderen könnte der Moment genauso gut nicht existieren — er ist abwesend, nicht versteckt.
  • Admins behalten die Verantwortung. Space-Admins behalten immer den Überblick über den Space, für den sie verantwortlich sind, einschließlich eingeschränkter Momente.

5. Fotos, Videos & der Sicher-Tag

  • Medien werden verschlüsselt wie alles andere. Fotos und Videos — auch lange — werden vor dem Upload auf deinem Gerät verschlüsselt und so gespeichert, dass Manipulation auffällt: Wird die gespeicherte Datei geschnitten, umsortiert oder zusammengestückelt, wird das erkannt.
  • Videos existieren nie ungeschützt auf der Festplatte. Videos spielen sofort ab und bleiben dabei im Speicher verschlüsselt; entschlüsselt werden sie nur im Arbeitsspeicher auf dem Gerät der Betrachtenden und nie als abspielbare Datei geschrieben.
  • Der Sicher-Tag. Ein als Sicher markierter Moment kann von Betrachtenden nicht gespeichert, geteilt oder heruntergeladen werden, und seine Medien existieren nie unverschlüsselt im Gerätespeicher der Betrachtenden.
  • Bildschirmaufnahmen sind app-weit blockiert. Auf Android werden Screenshots verweigert, und Aufnahmen bleiben schwarz. Auf Windows erscheint die App in Aufnahmen und Bildschirmfreigaben schwarz. Auf iOS nutzen wir denselben Schutz, auf den sich die ganze Branche verlässt — mit einer ehrlichen Einschränkung: iOS bietet keinen offiziellen Weg, Aufnahmen zu blockieren. Sollte ein künftiges iOS-Update ihn abschalten, würde die App schlicht das Blockieren verlieren, statt zu riskieren, dass deine Fotos schwarz angezeigt werden. Wir prüfen das bei jedem iOS-Release.

Was keine App verhindern kann: Ein gerootetes Gerät oder eines mit Jailbreak kann seinen eigenen Bildschirm auslesen, und nichts hindert ein zweites Handy daran, das Display des ersten abzufotografieren. Der Sicher-Tag legt die Latte spürbar höher; die Physik hebelt er nicht aus — und wir tun nicht so, als ob.

6. Deine Geräte & Wiederherstellung

  • Ein neues Gerät muss genehmigt werden. Ein neues Handy kann sich nicht einfach anmelden und deine Spaces lesen. Eines deiner bestehenden Geräte muss es genehmigen, wobei beide Bildschirme einen übereinstimmenden Verifizierungscode zeigen — was auch bedeutet, dass niemand, nicht einmal unsere eigenen Server, ein untergeschobenes Gerät in dein Konto schmuggeln kann.
  • Alles zu verlieren ist eine menschliche Entscheidung, keine automatische. Wer alle Geräte verliert, beginnt ohne Inhalte neu. Ein Space-Admin muss die Wiederherstellung des Zugriffs persönlich bestätigen — den Zugang nach Totalverlust zurückzubekommen wird behandelt wie eine Neuaufnahme.
  • Inhaber halten eine Wiederherstellungsphrase. Space-Inhaber besitzen eine 12-Wort-Wiederherstellungsphrase, die ihre Spaces ganz ohne verbliebenes Gerät wiederherstellen kann. Die App überprüft, dass du sie wirklich gesichert hast, bevor sie sich darauf verlässt — und wir sehen sie nie.

Es gibt keine Schlüsselhinterlegung. Wir halten niemals deine Wiederherstellungsphrase oder einen daraus abgeleiteten Schlüssel. Verliert ein Inhaber sowohl seine Geräte als auch seine Phrase, können wir seine Inhalte nicht wiederherstellen — das ist der ehrliche Preis eines Systems, in dem auch wir sie nicht lesen können.

7. Anmeldung

  • Keine Passwörter, nirgendwo. Du meldest dich mit einem einmaligen Link an, der an deine E-Mail geschickt wird. Links laufen innerhalb von Minuten ab und funktionieren genau einmal — es gibt nichts, das wiederverwendet, gephisht oder bei einem Einbruch geleakt werden könnte.
  • Sitzungen sind kurzlebig und rotieren automatisch. Abmelden beendet die Sitzung auf unseren Servern, nicht nur auf deinem Gerät.
  • Anmelden ist nicht dasselbe wie Lesen. Selbst wer dein E-Mail-Konto kontrolliert, könnte sich nur als du anmelden — entschlüsseln könnte er nichts, denn sein Gerät bräuchte immer noch die Genehmigung durch eines deiner Geräte.

8. Übersetzung & Verschlüsselung

Familien schreiben in verschiedenen Sprachen, und Moments kann Posts und Kommentare in die Sprache der jeweiligen Lesenden übersetzen. Wo immer die Plattform es erlaubt, passiert das jetzt direkt auf dem Gerät; Cloud-KI-Übersetzung ist die zustimmungspflichtige Ausnahme, nicht die Regel:

  • Übersetzung auf dem Gerät (heute auf Android) übersetzt lokal, nach einem kleinen einmaligen Sprachdownload. Der Text verlässt den Ende-zu-Ende-Schutz nie, und kein Drittanbieter ist beteiligt.
  • Cloud-KI-Übersetzung deckt Plattformen ohne On-Device-Engine ab, plus den optionalen Schritt „Mit KI verbessern“ auf jedem On-Device-Ergebnis. Dein Gerät entschlüsselt den Text lokal und leitet ihn erst dann über eine verschlüsselte Verbindung durch unsere Server an einen KI-Übersetzungsdienst eines Drittanbieters weiter. Wir loggen und speichern den Text nie, und er wird nicht zum Trainieren von Modellen verwendet.
  • Übersetzungen bleiben nur auf deinem Gerät, sind dort im Ruhezustand geschützt und werden beim Abmelden gelöscht.
  • Selbst welche Sprachen deine Familie spricht, können unsere Server nicht lesen.

Der ehrliche Kompromiss: Für die Dauer eines Cloud-KI-Übersetzungsaufrufs verlässt der Text den Ende-zu-Ende-Schutz — er ist unterwegs für uns und für den KI-Anbieter lesbar. Cloud-Übersetzung ist deshalb strikt opt-in und zustimmungsbasiert: Es wird nie etwas in die Cloud geschickt, bevor du danach fragst, und nicht vor einem Zustimmungsdialog, der genau das erklärt. Übersetzung auf dem Gerät kennt diesen Kompromiss nicht — der Text verlässt dein Gerät nie — und wir bringen sie auf weitere Plattformen; siehe Abschnitt 10.

9. Ehrliche Grenzen

Geschützt gegen

  • Einen vollständigen Einbruch in unsere Server oder unseren Speicher — deine Inhalte sind durchgehend verschlüsselt.
  • Einen neugierigen oder zur Herausgabe gezwungenen Betreiber: Es gibt keine Inhalte zu sehen und keinen verwertbaren Schlüssel zu übergeben.
  • Ein entferntes Mitglied, das künftige Momente liest — selbst mit Zugriff auf die gespeicherten Daten.
  • Ein ohne Historie eingeladenes Mitglied, das an frühere Momente gelangt — oder auch nur erfährt, dass es sie gibt.
  • Manipulation gespeicherter Inhalte oder Medien — Veränderungen werden erkannt und abgewiesen.
  • Einbrüche im Stil von Passwort-Datenbanken — es gibt keine Passwörter.

Akzeptierte Kompromisse, festgehalten

  • Wann ein Moment passiert ist, ist für unsere Server sichtbar. Das ist der bewusste Kompromiss hinter Altersfilter und Zeitleiste. Das Geburtsdatum deines Kindes bleibt verschlüsselt, sodass aus einem Datum nirgendwo ein Alter wird — außer auf den Geräten deiner Familie.
  • Kommentare an alten Momenten. Ein entferntes Mitglied, das sein Gerät behalten hat, könnte — nur wenn zusätzlich unsere gespeicherten Daten geleakt würden — Kommentare lesen, die später zu Momenten hinzugefügt wurden, die es bereits hatte. Unsere Server verweigern sie ihm in dem Moment, in dem es kein Mitglied mehr ist; diese Ausnahme setzt obendrein einen Einbruch voraus.
  • Der Sicher-Tag selbst ist sichtbar — die App muss wissen, dass ein Moment sicher ist, bevor sie ihn entsperrt. Er verrät genau diese eine Tatsache und keinen Inhalt.
  • Cloud-KI-Übersetzungen sind während des Aufrufs unterwegs lesbar — opt-in und offengelegt (Abschnitt 8); Übersetzung auf dem Gerät ist davon nicht betroffen.

Nicht geschützt gegen

  • Ein kompromittiertes Mitgliedsgerät. Ein Gerät, das dir ein Foto zeigen kann, hält zwangsläufig, was es zum Entschlüsseln braucht. Das ist jedem Ende-zu-Ende-verschlüsselten System inhärent.
  • Metadaten. Wer mit wem teilt, wann, wie oft und wie viele Daten — für unsere Server sichtbar, wie bei praktisch allen realen Systemen.
  • Eine zweite Kamera, die auf einen Bildschirm gerichtet ist.

10. Wie es weitergeht

  • Übersetzung auf dem Gerät auf weiteren Plattformen — auf Android ausgeliefert, wo Text den Ende-zu-Ende-Schutz nie verlässt; wir bringen dieselbe lokale Übersetzung auf unsere übrigen Plattformen, damit der in Abschnitt 8 beschriebene Kompromiss überall entfällt.
  • Fortlaufende Härtung — wir stärken weiter, wie Geräte und Schlüssel gegeneinander verifiziert werden, und prüfen diese Schutzmaßnahmen bei jedem Plattform-Release.

Dieses Whitepaper wird aktualisiert, sobald sich die Architektur ändert. Wenn du glaubst, eine Schwachstelle in Moments gefunden zu haben, wollen wir von dir hören: security@momentsapp.eu.