Wir verwahren Ihre Arbeit.
Nicht die Schlüssel dazu.

Die Anmeldung beweist Encloq, dass Sie es sind, und öffnet Ihr Konto, Ihre Daten bleiben dabei verschlüsselt. Das Entsperren ist ein eigener Schritt und geschieht nur auf Ihrem Gerät: Ihr Passkey öffnet dort Ihren Verschlüsselungsschlüssel, und dieser entschlüsselt Ihre Dateien und Nachrichten.

Ihr Verschlüsselungsschlüssel liegt bei Encloq, aber nur versiegelt, damit er auf jedem Gerät bereitsteht, das Sie entsperren. Was ihn öffnet, kommt vom Passkey selbst: Über die WebAuthn-Erweiterung PRF berechnet Ihr Passkey bei jeder Bestätigung ein Geheimnis, das nur dieser Passkey erzeugen kann. Das Geheimnis wird auf Ihrem Gerät verwendet und nie an Encloq gesendet. Encloq verwahrt Ihren Schlüssel also, kann ihn aber nicht öffnen.

Nur ein Passkey mit PRF-Unterstützung kann einen Verschlüsselungsschlüssel schützen. Encloq prüft das beim Hinzufügen und sagt es Ihnen, bevor sich etwas ändert. Jeder Passkey mit Verschlüsselungszugriff öffnet seine eigene versiegelte Kopie Ihres Schlüssels, sodass die anderen weiter funktionieren, wenn Sie einen entfernen.

Passkeys stehen an erster Stelle, Encloq bietet aber auch ein Passwort als Notlösung für Geräte, die keine Passkeys nutzen können. Ihr Passwort verlässt Ihr Gerät nie und kann ebenfalls eine versiegelte Kopie Ihres Schlüssels enthalten. Es bleibt aber schwächer als ein Passkey: Ein Passwort kann erraten, wiederverwendet oder durch Phishing erbeutet werden.

Auch Vorschauen öffnen sich auf Ihrem Gerät. PDFs, Videos und Audio laden und entschlüsseln nur die Teile, die Sie ansehen. So öffnen sich selbst große Dateien bis 250 GiB, ohne dass zuerst alles heruntergeladen wird. Jedes Teil wird beim Entschlüsseln geprüft. Ein verändertes Teil wird abgewiesen und nie angezeigt.

Vorschaubilder, die Texterkennung für die Suche, der Dokumentscanner und die eingebauten Editoren laufen ebenfalls auf Ihrem Gerät. Was Sie in einem Editor speichern, wird dort verschlüsselt, und frühere Versionen bleiben im Versionsverlauf. Auf den Servern von Encloq schaut nichts in Ihre Dateien.

Bevor Geräte Nachrichten austauschen, vereinbaren sie Schlüssel auf zwei Arten zugleich: mit P-521-Diffie-Hellman auf elliptischen Kurven, einem bewährten Verfahren, und mit ML-KEM-1024, einem NIST-Standard, der Quantencomputern standhalten soll. Beide Ergebnisse fließen in den Schlüssel ein. Er bleibt geheim, solange eines der beiden Verfahren hält.

Das ist die Antwort auf „Harvest now, decrypt later“, also jetzt sammeln und später entschlüsseln: Wer verschlüsselte Nachrichten heute kopiert und auf einen leistungsfähigen Quantencomputer wartet, müsste trotzdem ML-KEM brechen.

Den Schlüssel geben Sie auf anderem Weg weiter, etwa am Telefon, oder Sie senden einen sicheren Link oder QR-Code, der ihn bereits enthält, über einen vertrauenswürdigen Weg. Ihr Gast meldet sich mit der eingeladenen Adresse an oder erstellt ein Konto, und sein Gerät entsperrt mit dem Schlüssel die Unterhaltung.

Bis Ihr Gast beitritt, stammen die Schlüssel seiner Einladung von Ihrem Gerät, Sie könnten also mitlesen, was an ihn gesendet wird. Encloq zeigt das in der Unterhaltung an, und es endet mit seinem Beitritt.

30 Tage

Dann läuft eine ungenutzte Einladung ab, und die eingeladene Adresse wird entfernt.

Erneuern

Erzeugt einen neuen Zugangsschlüssel. Der alte funktioniert nicht mehr.

Widerrufen

Die Einladung öffnet die Unterhaltung nicht mehr.

Alle, mit denen das Dokument geteilt wird, sehen, wer es signiert hat. Ändert sich die Datei danach, zeigt die Prüfung, dass die Signatur nicht mehr passt. Das Signieren fügt eine neue Version hinzu, das Original bleibt im Versionsverlauf.

Auch Nachrichten können so signiert werden. Signieren Sie eine einzelne Nachricht, wenn sie belegbar sein soll, oder bitten Sie um eine signierte Lesebestätigung: Die App zeigt die Nachricht, sobald die empfangende Person das Lesen signiert, und die Bestätigung kommt zu Ihnen zurück.

ML-KEM-1024 und ML-DSA-87 sind Post-Quanten-Standards des NIST in der höchsten Sicherheitskategorie 5. Der Post-Quanten-Schutz umfasst Schlüsselaustausch und Signaturen. Die Anmeldung mit Passkey und TLS nutzen heutige, bewährte Kryptografie.

• Geräte und Code müssen vertrauenswürdig sein.

  Encloq verschlüsselt in der App auf Ihrem Gerät. Sie verlassen sich also auf dieses Gerät und auf den App-Code, den Ihr Browser lädt. Schadsoftware oder ein kompromittierter Browser sieht, was Sie sehen.

• Empfangende können behalten, was sie lesen können.

  Wer etwas von Ihnen erhält, kann es speichern, kopieren, drucken oder fotografieren. Widerrufener Zugriff, Dateiberechtigungen und Einmal-Nachrichten begrenzen, was in Encloq geschieht, nicht bereits erstellte Kopien.

• Ein verlorener Schlüssel bleibt verloren.

  Bleibt kein Passkey und kein Passwort, das Ihren Schlüssel enthält, kann Encloq Ihre verschlüsselten Inhalte nicht wiederherstellen. Halten Sie einen zweiten Passkey bereit.

• Manche Angaben bleiben sichtbar.

  Encloq sieht, was es für den Dienst braucht, etwa wer wann mit wem austauscht. Die Datengrenze oben zählt es auf.

• Diese Seite ist kein Zertifikat.

  Sie beschreibt, wie Encloq heute arbeitet. Sie ist kein unabhängiges Audit, und die Nutzung von Encloq allein macht Ihre Arbeit nicht mit einer bestimmten Vorschrift konform.