Wie das Datenschutzversprechen tatsächlich gebaut ist.

Jedes Datum, und wo es liegt

Drei Listen, weil es genau drei Orte gibt, an denen Daten liegen können: dein Gerät, der Raum, den du mit deinem Gegenüber teilst, und unser Server. Einen vierten gibt es nicht.

• Wir sehen Metadaten, und Verschlüsselung beseitigt sie nicht

  Wir sehen, dass ein Konto existiert, dass zwei Konten verbunden sind, dass eine Nachricht einer bestimmten Größe zu einer bestimmten Zeit zwischen ihnen bewegt wurde, und den Token, den Apple zum Zustellen braucht. Wir behalten so wenig wie möglich und verkaufen nichts davon, aber „wir können eure Nachrichten nicht lesen“ und „wir wissen nichts über euch“ sind verschiedene Sätze, und nur der erste stimmt bei irgendjemandem.

• Die Frage des Tages ist nicht Ende-zu-Ende-verschlüsselt

  Deine Antwort und die deines Gegenübers reisen wie ein Satz des Tages in eurem geteilten iCloud-Bereich, statt zusätzlich verschlüsselt zu werden wie der Chat. Sie verfallen binnen 48 Stunden aus dem geteilten Raum und bleiben höchstens sieben Tage auf jedem Gerät. Wir sagen das ausdrücklich, weil es die eine Eigenschaft ist, die ein Leser sonst vernünftigerweise annehmen würde.

• Manche geteilten Einträge sind absichtlich im Klartext

  Watchlist- und Wunschlisteneinträge, ein Titel, eine Art, ein Link, ein Status, synchronisieren als einfache Datensätze in eurem geteilten Bereich, weil sie vor dem Schlüsselaustausch fließen, der den Chat schützt. Gesundheitsdaten enthalten sie nie. Die Kommentare und Reaktionen darauf sind verschlüsselt.

• Das Verbinden hinterlässt eine kurze öffentliche Spur

  Solange eine Einladung offen ist, ist ein Datensatz mit einer pseudonymen iCloud-Kennung, deinem gewählten Anzeigenamen und einem kurzen Code für andere angemeldete Nutzer des iCloud-Containers der App lesbar. Codes verfallen nach 48 Stunden, und die Datensätze werden bei Annahme, beim Trennen und beim Löschen des Kontos bereinigt. Der geteilte Bereich selbst ist so nicht offen: Er ist auf die iCloud-Identität deines Gegenübers beschränkt, ein abgegriffener Link öffnet also nichts.

• Der Mitteilungs-Endpunkt ist mit einem Schlüssel geschützt, der in der App mitreist

  Das heißt, er ist kein echtes Geheimnis. Der schlimmste Fall ist, dass jemand eine inhaltslose Mitteilung auf einem Telefon erscheinen lassen könnte, dessen pseudonyme Kennung er ohnehin schon kennt; der Endpunkt gibt eine Zustellzahl zurück und verrät nichts über die Person. Er ist ratenbegrenzt, und ihn mit einer Geräteprüfung zu härten steht auf der Liste, ist aber nicht erledigt.

• Deine eigenen Geräte, und die Menschen in ihrer Nähe

  Wer dein Telefon entsperren kann, kann deine Nachrichten lesen, und das gilt für jede Messenger-App. Schalte die Face-ID-Sperre in der App ein, wenn dir das wichtig ist. Ebenso schützt Ende-zu-Ende-Verschlüsselung die Leitung, nicht die Person, der du etwas geschickt hast.

• Noch keine unabhängige Prüfung

  Die Prüfung, aus der diese Seite gebaut ist, haben wir selbst gemacht, gegen unseren eigenen Code, an den unten genannten Daten. Das ist mehr als eine Absicht und weniger als ein externes Audit, und es anders zu nennen wäre der erste unehrliche Satz auf dieser Seite. Eine unabhängige Prüfung wollen wir beauftragen, und wenn es so weit ist, steht das Datum hier.

Wann das zuletzt geprüft wurde

Jeder Eintrag ist eine Prüfung des ausgelieferten Codes gegen das, was die Seite und die Richtlinie behaupten, mit dem, was gefunden und behoben wurde.

1. 2. Juli 2026

   Vollständige Prüfung beider Repositories. Gefunden und behoben: eine unvollständige Empfängerliste, eine Behauptung „wir speichern nichts“, die für den Push-Eintrag nicht stimmte, und eine Kontolöschung, die diesen Eintrag nicht entfernte. Das Datenschutzlabel im App Store wurde im selben Zug korrigiert.

2. 24. Juli 2026

   Prüfung des Echtzeit-Relays und zweier neuer Funktionen. Das Relay wurde als zusätzlicher Übertragungsweg offengelegt, und es steht jetzt ausdrücklich da, dass die Frage des Tages nicht wie der Chat Ende-zu-Ende-verschlüsselt ist.

3. 29. August 2026

   Prüfung der gemeinsamen Watchlist und des WHOOP-Imports. WHOOP wurde als benannter Empfänger für alle aufgenommen, die ein Band verbinden, und es ist dokumentiert, dass Linkvorschauen und Cover ausschließlich vom Gerät des Absenders geholt werden.