So schützt Wiser Locker deine Daten

Veröffentlicht: 24. September 2026
Zuletzt aktualisiert: 12. Oktober 2026

Dieses Sicherheits-Whitepaper richtet sich an alle, die genau wissen möchten, wie Wiser Locker ihre Fotos schützt. Wir veröffentlichen unser Konzept, weil gute Verschlüsselung nicht davon abhängt, dass das Konzept geheim bleibt. Sie hängt allein von dem Passwort ab, das du kennst.

• Dein Passwort wird nur auf deinem Handy verwendet und nie an uns gesendet. Es gibt keine Hintertür und keinen Generalschlüssel, der deinen Tresor für dich öffnen könnte. Auch die optionale Cloud-Synchronisierung lädt nur verschlüsselte Daten in dein eigenes Google Drive hoch.
• Jede Datei hat einen eigenen, zufälligen Schlüssel. Dateilisten, Tags und Vorschaubilder sind ebenfalls verschlüsselt.
• Der Versteckte Bereich hat einen eigenen, unabhängigen Schlüssel. Um ihn zu öffnen, brauchst du sowohl dein Tresor-Passwort als auch dein Passwort für den Versteckten Bereich.
• Die gesamte Verschlüsselung nutzt öffentliche, seit Langem bewährte Standardverfahren.
• Am Ende hängt dein Schutz von deinem Passwort ab. Wähle ein langes Passwort, das du nirgendwo sonst verwendest.

1. Wie aus deinem Passwort ein Schlüssel wird

Wiser Locker verschlüsselt Dateien nie direkt mit deinem Passwort. Stattdessen nutzt es eine Kette von Schlüsseln, von oben nach unten:

1. Dein Tresor-Passwort durchläuft eine absichtlich langsame, speicherhungrige Berechnung und wird so zum Entsperrschlüssel.
2. Der Entsperrschlüssel hat nur eine Aufgabe: den Hauptschlüssel zu öffnen. Der Hauptschlüssel ist ein zufälliger 256-Bit-Schlüssel, der zusammen mit deinem Tresor erzeugt wird und mit deinem Passwort nichts zu tun hat.
3. Aus dem Hauptschlüssel entstehen drei Zweckschlüssel: einer für die Datenbank, einer zum Aufbewahren der Dateischlüssel und einer zum Erkennen von Manipulationen. Jeder hat genau einen Zweck, sodass der Hauptschlüssel auch dann nicht offenliegt, wenn einer davon bekannt wird.
4. Jede Datei hat einen eigenen Dateischlüssel, der verschlüsselt im Dateischlüssel-Verwalter liegt (siehe Abbildung 1).

Durch diesen Aufbau wird beim Ändern deines Passworts nur der Hauptschlüssel neu umhüllt. Das dauert Sekunden, und keines deiner Fotos muss neu verschlüsselt werden.

Der Preis dafür: Beim Ändern des Passworts wird der Hauptschlüssel nicht ersetzt. Wenn jemand deinen gesamten Tresor kopiert hat, bevor du das Passwort geändert hast, und auch das alte Passwort kennt, sperrt die Änderung diese Person aus ihrer Kopie nicht aus.

2. Wie jede Datei gesichert wird

• Wird eine Datei hinzugefügt, bekommt sie einen eigenen zufälligen Dateischlüssel. Das Original und sein Vorschaubild leiten daraus jeweils eigene Schlüssel ab.
• Dateien werden in 1-MiB-Blöcken verschlüsselt. Jeder Block trägt einen Authentifizierungs-Tag und vermerkt, zu welcher Datei er gehört, an welcher Position er steht und wie lang er ist. Abgeschnittene oder umsortierte Daten sowie untergemischte Daten einer anderen Datei werden erkannt und abgelehnt.
• Ein Dateischlüssel ist an seine Datei und seinen Bereich gebunden. In eine andere Datei oder einen anderen Bereich verschoben, lässt er sich nicht mehr entschlüsseln.
• Wenn eine Datei zwischen dem Normalen und dem Versteckten Bereich verschoben wird, wird nur ihr Dateischlüssel neu umhüllt. Das Foto oder Video selbst wird dabei nie entschlüsselt auf den Speicher geschrieben.

3. Dateilisten und Tags

• Dateinamen, Tags, Filter, Datumsangaben, Orte und Statistiken liegen alle in einer verschlüsselten Datenbank.
• Der Datenbankschlüssel wird aus dem Hauptschlüssel abgeleitet. Es gibt also kein separates Passwort, das jemand erraten könnte.
• Jeder Dateieintrag trägt zusätzlich einen Authentifizierungscode und lässt sich daher ohne den Schlüssel nicht verändern.

4. Zwei Schlösser am Versteckten Bereich

Der Versteckte Bereich hat einen eigenen versteckten Hauptschlüssel. Auch er ist zufällig und steht in keinem Zusammenhang mit dem Hauptschlüssel des Normalen Bereichs. Um ihn freizugeben, braucht es zwei Dinge gleichzeitig:

1. Der Normale Bereich ist entsperrt. Du hast dich also mit deinem Tresor-Passwort oder per Biometrie angemeldet.
2. Das richtige Passwort für den Versteckten Bereich.

Erst beide zusammen ergeben den Schlüssel, der den versteckten Hauptschlüssel öffnet. Daraus folgt:

• Das Passwort für den Versteckten Bereich allein reicht nicht.
• Auch das Tresor-Passwort allein reicht nicht – etwa wenn du gezwungen wurdest, es preiszugeben.
• Mit Biometrie meldest du dich nur beim Normalen Bereich an; den Versteckten Bereich kann sie nicht öffnen.

Der Wiederherstellungsschlüssel ist ein zufälliger Code, der beim Einrichten des Versteckten Bereichs erzeugt wird, damit du mit deinen Daten umgehen kannst, falls du das Passwort für den Versteckten Bereich vergisst. Auch er funktioniert nur, solange der Normale Bereich entsperrt ist. In der App gilt für einen damit geöffneten Versteckten Bereich „Nur Aufräumen“: Du kannst Elemente einblenden oder löschen, aber keine Fotos oder Videos ansehen. Kryptografisch entsperrt er den versteckten Hauptschlüssel jedoch genauso wie das Passwort für den Versteckten Bereich. Bewahre ihn deshalb genauso sicher auf.

Wir behaupten nicht, dass niemand erkennen kann, ob es einen Versteckten Bereich gibt. Wer die Dateien auf deinem Handy untersuchen kann, sieht womöglich, dass du einen eingerichtet hast, und etwa auch, wie viele Dateien er ungefähr enthält und wie groß sie sind. Was wir schützen, ist der Inhalt.

5. Entsperrmethoden und das Panik-Passwort

Das Panik-Passwort (eine Funktion der Mitgliedschaft) ist ein eigenes Passwort, das du vorab festlegst. Wirst du gezwungen, die App zu entsperren, und gibst es ein, löscht die App sofort den gesamten Tresor auf deinem Handy und zeigt dann je nach Einstellung „Anmeldung fehlgeschlagen“ oder einen leeren Tresor an. Das lässt sich nicht rückgängig machen, und es kann keine .wlz-Backups löschen, die du anderswo gespeichert hast. Das Speicherformat des Panik-Passworts hat keinen Platz für einen Schlüssel, deshalb kann es nie verwendet werden, um an irgendwelche Daten zu gelangen.

Die App bremst außerdem wiederholte Passwortversuche aus. Beachte, dass dies nur Versuche innerhalb der App begrenzt; siehe Abschnitt 9.

6. Backups und Cloud-Synchronisierung

6.1 Backup-Dateien

• Backup-Dateien (.wlz) sind durch dein Tresor-Passwort geschützt, aber jedes Backup hat einen eigenen zufälligen Schlüssel.
• Anzahl und Größe der Dateien und ähnliche Angaben liegen im verschlüsselten Inhalt und sind von außen an einer Backup-Datei nicht zu erkennen.
• Daten des Versteckten Bereichs kommen weiterhin verschlüsselt, so wie sie sind, ins Backup. Weder beim Erstellen noch beim Wiederherstellen eines Backups wird der Versteckte Bereich geöffnet, und nach dem Wiederherstellen brauchst du weiterhin das Passwort für den Versteckten Bereich.
• Backups werden vor dem Wiederherstellen vollständig geprüft. Stimmt etwas nicht, bricht die Wiederherstellung ab, statt deinen Tresor mit unvollständigen Daten zu überschreiben.

6.2 Cloud-Synchronisierung und Backup

„Cloud-Synchronisierung und Backup“ ist eine optionale Funktion der Silber-Mitgliedschaft, mit der du über dein eigenes Google Drive denselben Tresor auf mehreren Handys nutzt. Sie bleibt aus, bis du sie einschaltest.

• Direkt in dein eigenes Drive. Dein Handy spricht direkt mit Google Drive und nutzt nur einen versteckten Ordner, der für die App reserviert ist. Nichts läuft über unsere Server, und die App sieht deine übrigen Drive-Dateien nicht.
• Kein neues Passwort. Die Sync-Schlüssel werden aus dem Hauptschlüssel und dem versteckten Hauptschlüssel abgeleitet, die du schon hast, jeweils mit einem eigenen HKDF-Zweck. Aus einem Sync-Schlüssel lässt sich weder ein Hauptschlüssel noch ein anderer Schlüssel zurückrechnen. Ein neues Handy kommt mit deiner Google-Anmeldung und deinem Tresor-Passwort dazu.
• Hochgeladen wird nur Chiffretext. Fotos und Videos werden genau so hochgeladen, wie sie auf deinem Handy schon verschlüsselt sind, unter undurchsichtigen Namen, die nichts über die Datei verraten. Änderungen an Dateilisten, Tags, Filtern und Einstellungen reisen als Änderungseinträge, die mit AES-256-GCM versiegelt sind. Schlüsseldateien werden unverändert hochgeladen und bleiben durch dein Passwort geschützt. Jedes hochgeladene Objekt außer Fotos und Videos trägt zusätzlich einen MAC mit einem aus deinem Hauptschlüssel abgeleiteten Schlüssel, gebunden an seinen Namen in der Cloud.
• Manipulation fällt auf, legt die Synchronisierung aber nicht lahm. Jeder Änderungseintrag trägt die laufende Nummer seines Handys und einen MAC des vorherigen Eintrags desselben Handys, sodass eine Kette entsteht. Ein Objekt, das die Prüfung nicht besteht (verändert, gefälscht oder umbenannt), wird übersprungen und nie verwendet, um etwas auf deinem Handy zu ändern; betroffen ist nur dieses Objekt oder dieser Teil einer Kette, deine anderen Handys und Einträge synchronisieren weiter. Eine Lücke in einer Kette bekommt 24 Stunden Zeit, danach wartet nur dieser Teil, und ein aktueller Snapshot eines anderen Handys füllt ihn auf. Ein Handy, das eigene Einträge vermisst, beginnt eine neue Kette, veröffentlicht alles, was es geschrieben hat, erneut und lädt einen frischen Snapshot hoch; Schlüsseldateien, die Tresor-Markierung sowie fehlende oder beschädigte Fotos und Videos legt ein Handy mit den richtigen Daten genauso wieder ab. Etwas, das in der Cloud fehlt, wird auf deinem Handy nie zu einer Löschung. Jede heruntergeladene Datei wird vor der Aufnahme in den Tresor mit ihrem SHA-256 abgeglichen.
• Der Versteckte Bereich bleibt getrennt. Änderungseinträge des Versteckten Bereichs werden mit einem Schlüssel versiegelt, der aus dem versteckten Hauptschlüssel abgeleitet ist, auf dieselben festen Größen aufgefüllt und in derselben Folge nummeriert wie die Einträge des Normalen Bereichs. Ein Handy übernimmt sie nur, solange der Versteckte Bereich geöffnet ist; bis dahin warten sie verschlüsselt.
• Passwort ändern. Wenn du dein Tresor-Passwort änderst, wird nur eine neu umhüllte Schlüsseldatei hochgeladen. Die Schlüssel selbst bleiben gleich, mit demselben Kompromiss wie in Abschnitt 1. Frühere Schlüsseldateien bleiben 30 Tage in der Cloud, damit du zu einem früheren Zeitpunkt zurückkehren kannst, es gilt aber immer das neueste Passwort.
• Löschen und Panik-Passwort. Endgültig gelöschte Dateien und der Änderungsverlauf lassen sich 30 Tage lang wiederherstellen. Das Panik-Passwort löscht nur den Tresor und die Sync-Verbindung auf diesem Handy, aber keine Cloud-Daten.

Was die Cloud sieht: Google oder jemand, der in dein Google-Konto gelangt, sieht, wie viele verschlüsselte Objekte es gibt, wie groß sie sind und wann sie sich ändern, und kann eventuell ableiten, ob der Versteckte Bereich genutzt wird. Inhalte, Dateinamen, Tags oder Filter kann die Cloud nicht lesen, und sie hat keinen Schlüssel. Einzige Ausnahme ist der Name, den du jedem Cloud-Tresor gibst: Er ist nicht verschlüsselt, also lass private Angaben weg.

Bekannte Grenzen:

• Die Kette erkennt fehlende oder veränderte Einträge, kann die Cloud aber nicht zwingen, sie auszuliefern. Hält die Cloud neue Einträge zurück, verzögert sich die Synchronisierung; wir bemerken das nur indirekt, als Lücke, die deine anderen Handys sehen.
• Wer Zugriff hat, kann die gesamte Cloud-Kopie löschen, und das können wir nicht verhindern. Jedes Handy behält seine Daten, und die nächste Synchronisierung legt sie wieder in der Cloud ab.
• Geht ein Handy verloren, bevor ein anderes Handy seine Änderungen erhalten hat, und wird auch die Cloud-Kopie dieser Änderungen gelöscht, lassen sich diese Änderungen nicht wiederherstellen.
• Entfernst du ein Handy aus der Geräteliste, lehnen deine anderen Handys seine späteren Änderungen ab, aber was es schon heruntergeladen hat, lässt sich nicht zurückholen. Um weiteren Zugriff zu unterbinden, melde dieses Handy in deinem Google-Konto ab. Wir tauschen Hauptschlüssel nicht aus: Eine Änderung des Tresor-Passworts sorgt dafür, dass das alte Passwort die neueste Schlüsseldatei nicht mehr öffnet, widerruft aber keine Schlüssel, die das Handy schon hat.

7. Schutz, während du die App nutzt

• Entschlüsselte Fotos und Vorschaubilder existieren nur im Arbeitsspeicher und werden nie als temporäre Dateien geschrieben.
• Videos werden über eine Verbindung abgespielt, die nur innerhalb deines Handys erreichbar ist, mit einem zufälligen, nicht erratbaren Zugangscode in der Adresse.
• Screenshots und Bildschirmaufnahmen sind standardmäßig blockiert. Zum Ausschalten ist dein Tresor-Passwort nötig.
• Beim Sperren, beim automatischen Sperren im Hintergrund oder beim Abmelden werden die verwendeten Schlüssel sofort gelöscht und ungültig gemacht.
• Die App nimmt nicht an der Android-Systemsicherung teil und stellt anderen Apps nichts zur Verfügung.
• Die optionale Nutzungsanalyse ist standardmäßig aus. Auch wenn sie eingeschaltet ist, erfasst sie nur, welche Funktionen genutzt werden – nie Dateinamen, Tags, Inhalte oder Schlüssel.
• Originaldateien werden nur dann in den Speicher deines Handys geschrieben, wenn du dich entscheidest, sie zu entschlüsseln.

8. Wogegen Wiser Locker schützt

9. Wogegen Wiser Locker nicht schützen kann

Bitte beachte diese Grenzen:

• Schwache Passwörter lassen sich offline erraten. Dein Tresor liegt im gemeinsamen Speicher deines Handys. Wer den gesamten Ordner in die Hände bekommt, kann ihn auf einen Computer kopieren und Passwörter ohne Begrenzung durchprobieren, außerhalb der Wartezeit der App bei Fehlversuchen. Jeder einzelne Versuch ist langsam, aber ein kurzes Passwort wie sechs Ziffern lässt sich trotzdem finden. Nutze für Tresor und Versteckten Bereich lange Passwörter. Solange die Cloud-Synchronisierung eingeschaltet ist, gilt das auch für alle, die in dein Google-Konto gelangen.
• Ein kompromittiertes Handy. Ist dein Handy gerootet oder mit Schadsoftware infiziert, kann ein Angreifer den Bildschirm oder den Arbeitsspeicher auslesen, während du entsperrt bist.
• Jemand, der deinen Bildschirm beobachtet oder filmt. Blockierte Screenshots halten eine andere Kamera nicht auf.
• Vergessene Passwörter. Es gibt keine Hintertür. Wenn du dein Tresor-Passwort vergisst, lassen sich deine Daten nicht entsperren. Wenn du dein Passwort für den Versteckten Bereich vergisst, kann der Wiederherstellungsschlüssel Elemente nur einblenden oder löschen.
• Kopien, die vor einer Passwortänderung angelegt wurden. Siehe Abschnitt 1.
• Backups, die schon anderswo kopiert wurden. Das Panik-Passwort löscht nur den Tresor auf deinem Handy. Es kann keine .wlz-Backups löschen, die irgendwo anders liegen. Auch Cloud-Sync-Daten in deinem Google Drive löscht es nicht.
• Dass es einen Versteckten Bereich gibt. Siehe Abschnitt 4.
• Was die Cloud sieht und was sie zurückhält. Siehe Abschnitt 6.2.
• Ein entferntes Handy. Was es schon heruntergeladen hat, behält es. Siehe Abschnitt 6.2.

10. Was wir bewusst nicht tun

• Wir erhalten oder speichern nie dein Tresor-Passwort oder irgendeinen deiner Schlüssel. Auf unseren Servern liegt keine Kopie deines Tresor-Passworts, Hauptschlüssels oder Wiederherstellungsschlüssels, deshalb können wir weder deine Daten sehen noch dein Passwort für dich wiederherstellen. Schaltest du die Cloud-Synchronisierung ein, gelangt dein verschlüsselter Tresor direkt von deinem Handy in dein eigenes Google Drive, ohne über unsere Server zu laufen, und wir erhalten trotzdem nie das Tresor-Passwort oder die Schlüssel, die ihn öffnen.
• Wir binden deinen Tresor nicht an ein einzelnes Handy. Nach einer Neuinstallation oder dem Wechsel auf ein neues Handy brauchst du nur dein Passwort und deinen Tresor-Ordner (oder ein Backup). Der Preis dafür ist das Risiko des Offline-Ratens aus Abschnitt 9.
• Wir erfinden keine eigenen Verschlüsselungsverfahren.

11. Technische Angaben

Für alle, die die Einzelheiten wissen möchten:

Die Argon2id-Parameter sind im Format festgelegt und werden beim Lesen abgelehnt, wenn sie abweichen. Niemand kann also eine Datei bearbeiten, um die Berechnung zu schwächen.