Wie das Datenschutzversprechen tatsächlich gebaut ist.

Jedes Datum, und wo es liegt

Drei Listen: was auf deinem Gerät bleibt, was in den Raum hinübergeht, den du mit deinem Gegenüber teilst, und was unsere Anwendung speichert. Jeder Eintrag sagt, was ihn schützt, und wo dieser Schutz aufhört.

• Der Satz des Tages ist aus deinen Gesundheitsdaten abgeleitet, und er verlässt dein Telefon

  Er muss es. Er ist für dein Gegenüber geschrieben. Er reist in eurem geteilten iCloud-Bereich, neben dem Stimmungslabel, und er ist nicht zusätzlich Ende-zu-Ende-verschlüsselt wie der Chat, Apple ist also technisch in der Lage, ihn zu lesen. Wir sagen das deutlich, weil „auf dem Gerät ausgewertet“ leicht als „nichts über deine Gesundheit geht je hinaus“ gehört wird, und nur das Erste davon stimmt. Was nicht reist, ist der Messwert hinter dem Satz: kein Puls, keine HRV, keine Schlafstunden. Die einzige Gesundheitsangabe, die für sich allein reisen kann, ist der Zykluskalender: ein getrennter, standardmäßig ausgeschalteter Schalter mit einer eigenen Zeile in der Tabelle oben.

• Wir sehen Metadaten, und Verschlüsselung beseitigt sie nicht

  Wir sehen, dass ein Konto existiert, dass zwei Konten verbunden sind, dass eine Nachricht einer bestimmten Größe zu einer bestimmten Zeit zwischen ihnen bewegt wurde, und den Token, den Apple zum Zustellen braucht. Wir behalten so wenig wie möglich und verkaufen nichts davon, aber „wir können eure Nachrichten nicht lesen“ und „wir wissen nichts über euch“ sind verschiedene Sätze, und nur der erste stimmt bei irgendjemandem.

• Kopien in einem Kalender liegen außerhalb der Verschlüsselung

  Spiegelst du eure Pläne in einen Kalender, schreibt Pulse gewöhnliche Kalendereinträge: Titel, Zeiten, Orte und Notizen, lesbar. Ein Kalender, der mit iCloud, Google oder Outlook synchronisiert, legt sie bei diesem Dienst ab, und alle, mit denen du ihn teilst, können sie sehen. Pulse fragt, bevor es in einen solchen Kalender schreibt, aber sobald die Kopie dort liegt, gelten die Regeln dieses Kalenders, nicht unsere. Wir sagen das ausdrücklich, weil der gemeinsame Kalender selbst Ende-zu-Ende-verschlüsselt ist und ein Leser sonst vernünftigerweise annehmen würde, die Kopie sei es auch.

• Manche geteilten Einträge sind absichtlich im Klartext

  Watchlist- und Wunschlisteneinträge, ein Titel, eine Art, ein Link, ein Status, bei einem Wunsch zu einem echten Ort auch Adresse und Kartenposition, synchronisieren als einfache Datensätze in eurem geteilten Bereich, weil sie vor dem Schlüsselaustausch fließen, der den Chat schützt. Ebenso der Tag, ab dem ihr zählt. Apple kann sie lesen; Gesundheitsdaten enthalten sie nie. Die Kommentare und Reaktionen auf Watchlist-Einträge sind verschlüsselt.

• Apple liegt unter all dem

  Euer geteilter Raum ist ein iCloud-Bereich, deine Schlüssel liegen im iCloud-Schlüsselbund, und deine Messwerte liegen in Apple Health. Die verschlüsselten Einträge sind für Apple genauso undurchsichtig wie für uns. Der Rest des geteilten Bereichs ist es nicht, wie die beiden Zeilen darüber beschreiben. Pulse zu benutzen heißt, Apple so weit zu vertrauen, und eine Architektur, die etwas anderes behauptet, würde eine andere App beschreiben.

• Wir behaupten keine Forward Secrecy

  Der Chat-Schlüssel entsteht aus einer Curve25519-Einigung zwischen euren beiden Identitätsschlüsseln, nicht aus der Ratsche pro Nachricht, die ein reiner Messenger benutzt. Wir behaupten deshalb keine Forward Secrecy: Ein privater Schlüssel, der von einem Gerät genommen wird, könnte die Nachrichten öffnen, die er geschützt hat, nicht nur die nächste. Wir benennen die Grenze lieber, als „Ende-zu-Ende-verschlüsselt“ eine Eigenschaft tragen zu lassen, die wir nicht gebaut haben.

• Deine Schlüssel hängen an deinem Apple-Konto

  Dein privater Schlüssel liegt in deinem iCloud-Schlüsselbund, damit deine eigenen Geräte ihn erreichen. Das ist es, was ein neues Telefon funktionieren lässt, ohne dass wir je eine Kopie halten, und es ist zugleich eine Abhängigkeit: Wer dein Apple-Konto kontrolliert und ihm ein Gerät hinzufügen kann, ist an einer Stelle, an der wir nicht helfen können, weil kein Passwort von uns im Weg steht. Lass die Zwei-Faktor-Anmeldung dieses Kontos an.

• Das Verbinden hinterlässt eine kurze öffentliche Spur

  Solange eine Einladung offen ist, ist ein Datensatz mit einer pseudonymen iCloud-Kennung, deinem gewählten Anzeigenamen und einem kurzen Code für andere angemeldete Nutzer des iCloud-Containers der App lesbar. Codes verfallen nach 48 Stunden, und die Datensätze werden bei Annahme, beim Trennen und beim Löschen des Kontos bereinigt. Der geteilte Bereich selbst ist so nicht offen: Er ist auf die iCloud-Identität deines Gegenübers beschränkt, ein abgegriffener Link öffnet also nichts.

• Der Mitteilungs-Endpunkt ist mit einem Schlüssel geschützt, der in der App mitreist

  Das heißt, er ist kein echtes Geheimnis. Der schlimmste Fall ist, dass jemand eine inhaltslose Mitteilung auf einem Telefon erscheinen lassen könnte, dessen pseudonyme Kennung er ohnehin schon kennt; der Endpunkt gibt eine Zustellzahl zurück und verrät nichts über die Person. Er ist ratenbegrenzt, und ihn mit einer Geräteprüfung zu härten steht auf der Liste, ist aber nicht erledigt.

• Deine eigenen Geräte, und die Menschen in ihrer Nähe

  Wer dein Telefon entsperren kann, kann deine Nachrichten lesen, und das gilt für jede Messenger-App. Schalte die Face-ID-Sperre in der App ein, wenn dir das wichtig ist. Ebenso schützt Ende-zu-Ende-Verschlüsselung die Leitung, nicht die Person, der du etwas geschickt hast.

• Ein Gegenüber ist nicht immer ein sicherer Mensch

  Pulse ist für zwei Menschen gebaut, die einander gewählt haben, und nichts darin kann unterscheiden, ob sich jemand Sorgen um dich macht oder dich kontrolliert. Wenn dich jemand drängt, die App zu installieren, das Teilen wieder einzuschalten oder dein Telefon herzugeben, ist das kein Problem, das Verschlüsselung löst. Pause und Trennen sind einen Tipp entfernt, die Pause kann unsichtbar sein, und du schuldest niemandem eine Erklärung dafür.

• Die Pause stoppt, was kommt, nicht was schon da ist

  Die Pause stoppt alles Neue, und sie kann es tun, ohne dein Gegenüber zu informieren. Sie greift nicht zurück: Ein Satz oder eine Nachricht, die schon angekommen ist, liegt auf dem anderen Gerät, und kein Knopf von uns holt sie zurück. Das Trennen entfernt die geteilten Einträge und kann aus demselben Grund das andere Telefon nicht leeren. So verhält sich jeder Messenger, und es ist gut, das vor dem Tag zu wissen, an dem es zählt.

• Noch keine unabhängige Prüfung

  Die Prüfung, aus der diese Seite gebaut ist, haben wir selbst gemacht, gegen unseren eigenen Code, an den unten genannten Daten. Das ist mehr als eine Absicht und weniger als ein externes Audit, und es anders zu nennen wäre der erste unehrliche Satz auf dieser Seite. Eine unabhängige Prüfung wollen wir beauftragen, und wenn es so weit ist, steht das Datum hier.

• Eine Verbindung kann enden, ohne dass einer von euch sie beendet

  Pulse hält nach dem geteilten Bereich deines Partners Ausschau, denn ein ausdrückliches Ende kann untergehen: Sie können die Verbindung beenden, während dein Handy offline ist, und ohne diese Prüfung bliebe ein Gerät für immer mit niemandem "verbunden". Ein geteilter Bereich, der dauerhaft nicht erreichbar ist, gilt daher irgendwann als beendete Verbindung, wobei deine Daten bleiben. Wir nennen das hier, weil die App diese Entscheidung für dich trifft, und weil wir sie einmal gründlich falsch getroffen haben: eine frühere Version handelte nach drei Prüfungen, etwa einer Minute, und da das Beenden auf dem einen Handy genau das entfernt, wonach das andere Ausschau hält, konnte eine kurze Störung beide Menschen binnen Minuten trennen. Jetzt braucht es sieben durchgehende Tage, eine einzige Sichtung setzt die Uhr zurück, und was die App nicht sicher feststellen kann, Offline-Sein eingeschlossen, zählt gar nicht.

Wann das zuletzt geprüft wurde

Jeder Eintrag ist entweder eine Prüfung des ausgelieferten Codes gegen das, was diese Seite und die Richtlinie behaupten, oder eine Korrektur dieser Behauptungen, mit dem, was gefunden und geändert wurde.

1. 2. Juli 2026

   Vollständige Prüfung beider Repositories. Gefunden und behoben: eine unvollständige Empfängerliste, eine Behauptung „wir speichern nichts“, die für den Push-Eintrag nicht stimmte, und eine Kontolöschung, die diesen Eintrag nicht entfernte. Das Datenschutzlabel im App Store wurde im selben Zug korrigiert.

2. 24. Juli 2026

   Prüfung des Echtzeit-Relays und zweier neuer Funktionen. Das Relay wurde als zusätzlicher Übertragungsweg offengelegt, und es steht jetzt ausdrücklich da, dass die Frage des Tages nicht wie der Chat Ende-zu-Ende-verschlüsselt ist.

3. 29. August 2026

   Prüfung der gemeinsamen Watchlist und des WHOOP-Imports. WHOOP wurde als benannter Empfänger für alle aufgenommen, die ein Band verbinden, und es ist dokumentiert, dass Linkvorschauen und Cover ausschließlich vom Gerät des Absenders geholt werden.

4. 13. September 2026

   Eine Textprüfung der ganzen Website, keine neue Prüfung des Codes, das Datum oben bleibt daher unverändert. Korrigiert wurden Behauptungen, die breiter geworden waren als die Architektur: der Satz des Tages, beschrieben als bliebe er auf dem Gerät, die Frage des Tages, auf der Funktionsseite als Ende-zu-Ende-verschlüsselt wie der Chat beschrieben, ein als vollständig bezeichnetes Serververzeichnis ohne Funktionsideen und Live-Activity-Token, und eine Antwort zu behördlichen Anordnungen, die nahelegte, wir hätten überhaupt nichts. Apples Sicht auf den geteilten Bereich wurde ausdrücklich gemacht, und die Grenzen zu Forward Secrecy, Apple-Konto, Druck durch eine Person und Pause kamen dazu.