Das Sicherheitsmodell von KutunaCo

KutunaCo ist ein Passwortmanager für iOS und Android, der offline und ohne Konto funktioniert. Diese Seite erklärt, was KutunaCo 1.12.0 schützt, wo deine Daten liegen und wovor die App sie schützt – und sagt offen, was sie nicht leisten kann.

Kurz gesagt

• Die Box und die Einstellungen werden auf dem Smartphone mit AES-256 verschlüsselt; der Schlüssel liegt im iOS-Schlüsselbund oder im Android Keystore, und zwar nur auf diesem Gerät.
• Es gibt kein Konto, keinen Server, keine Synchronisierung, keine Werbung und keine Analyse. Die Android-Version hat nicht einmal die Internetberechtigung; die App kann keine Netzwerkanfrage senden.
• Backups werden mit AES-256-GCM verschlüsselt, und zwar mit einem Schlüssel, der per Argon2id aus deinem Backup-Passwort abgeleitet wird (64 MiB Arbeitsspeicher bei neuen Backups).
• Die App-Sperre lässt sich mit Biometrie, dem Gerätecode oder einer App-PIN mit 4 bis 8 Ziffern aufheben.

Warum offline?

Cloud-Passwortmanager bewahren Millionen von Tresoren auf denselben Servern auf, und diese Server sind ein einziges großes Angriffsziel. Bei KutunaCo gibt es keine zentrale Datenbank, aus der Daten abfließen könnten, keinen Server, der angegriffen werden könnte, und kein Konto, das sich übernehmen ließe. Deine Box gibt es nur auf deinem Smartphone und in den Backups, die du erstellst.

Der Preis dafür ist ebenso klar: Es gibt keine automatische Synchronisierung zwischen Geräten. Um auf ein anderes Smartphone umzuziehen, erstellst du ein verschlüsseltes Backup und importierst es auf dem neuen Gerät.

Wo deine Daten liegen

• Einträge der Box und Einstellungen: im eigenen Ordner der App, mit AES-256 und einem zufällig erzeugten 256-Bit-Schlüssel verschlüsselt.
• Schlüssel der Box: unter iOS im Schlüsselbund mit dem Schutz „nur dieses Gerät“ (er wird nie an iCloud gesendet und nie auf einem anderen Gerät wiederhergestellt); unter Android mit einem Schlüssel verschlüsselt, der im Keystore liegt.
• App-PIN: Die PIN selbst wird nie gespeichert, nur ein gesalzener PBKDF2-HMAC-SHA256-Hash (210.000 Iterationen). Ab dem fünften Fehlversuch gilt eine zunehmende Wartezeit von 30 Sekunden bis zu einer Stunde.
• Kopie für das automatische Ausfüllen: Übergeben werden nur Passwort-Einträge, die nicht im Papierkorb liegen. 2FA-Schlüssel, Notizen, Kartendaten und API-Schlüssel werden nie in den Speicher für das automatische Ausfüllen geschrieben.
• Backups: werden nur dort gespeichert, wo du es festlegst; temporäre Dateien werden nach dem Teilen gelöscht.
• Scannen von 2FA-QR-Codes: Kamerabilder werden nie gespeichert; die temporäre Kopie eines Screenshots, den du auswählst, wird gelöscht, sobald er ausgelesen ist, und Codes, die du beim Übertragen aus Google Authenticator scannst, bleiben im Arbeitsspeicher, bis du sie importierst.

Sperre und Authentifizierung

• Die Sperre lässt sich mit Biometrie (Face ID, Fingerabdruck), dem Gerätecode oder der App-PIN aufheben. Unter Android akzeptiert sie nur starke Biometrie (Klasse 3) oder den Gerätecode.
• Ist die App nur mit einer PIN gesperrt, fragt sie beim Aktivieren der Biometrie-Entsperrung zuerst nach der PIN.
• Optionen für die automatische Sperre: sofort, 30 Sekunden, 1 Minute, 5 Minuten, 15 Minuten oder nie. Die Zeit wird so gemessen, dass sich die Sperre nicht umgehen lässt, indem man die Uhr des Geräts zurückstellt.
• Bei sensiblen Aktionen wie dem Exportieren, dem Löschen aller Daten, dem Deaktivieren der Sperre und dem Ändern der PIN musst du deine Identität erneut bestätigen.
• Wenn du deine PIN vergisst, bestätigst du deine Identität mit der Displaysperre des Geräts oder per Biometrie und legst eine neue PIN fest. Das funktioniert, solange PIN-Zurücksetzen per Gerätesperre erlauben aktiviert ist (Standardeinstellung). Deaktiviere die Option, damit niemand, der deinen Gerätecode kennt, eine neue PIN festlegen kann; bei einer vergessenen PIN bleibt dir dann nur, alle Daten zu löschen und ein Backup wiederherzustellen – genau wie auf einem Gerät ohne Displaysperre.

Automatisches Ausfüllen

• Android: Ein Eintrag wird nur vorgeschlagen, wenn Paketname und Signaturzertifikat der anfragenden App mit der verknüpften App übereinstimmen oder wenn in einem bekannten Browser mit verifizierter Signatur die Domain übereinstimmt. Bei jedem Ausfüllen musst du deine Identität bestätigen, und ist die App nur mit einer PIN gesperrt, wird zusätzlich die App-PIN abgefragt. Entschlüsselt wird nur das Passwort, das gerade ausgefüllt wird. Ohne sichere Displaysperre funktioniert das automatische Ausfüllen nicht.
• iOS: Ohne Authentifizierung des Geräteinhabers (Face ID, Touch ID oder Gerätecode) wird nichts aufgelistet. Das System erfährt nur die Domain und den Benutzernamen, nie das Passwort.
• 2FA-Links: Ein otpauth://-Link, den eine Website oder eine andere App öffnet, wird mit einer Warnung angezeigt und erst gespeichert, nachdem du bestätigt hast; ein vorhandener 2FA-Schlüssel wird nie ersetzt.

Zwischenablage und Bildschirm

• Kopierte Passwörter werden als vertraulich markiert: Unter Android 13 und höher erscheinen sie nicht in Vorschauen oder im Zwischenablageverlauf der Tastatur, und unter iOS gelangen sie nicht über die Universelle Zwischenablage auf deine anderen Geräte.
• Die Zwischenablage wird nach der von dir gewählten Zeit (30, 60 oder 90 Sekunden oder nie) und beim Sperren der App geleert. Auch kopierte 2FA-Codes werden als vertraulich markiert.
• Unter Android sind Screenshots und Bildschirmaufnahmen blockiert. Unter iOS wird der Inhalt ausgeblendet, während die App im Hintergrund läuft oder der Bildschirm aufgenommen wird.
• In sensiblen Feldern sind das Lernen der Tastatur und die Autokorrektur deaktiviert.

Backups

• Der Schlüssel wird mit Argon2id aus deinem Backup-Passwort abgeleitet (64 MiB Arbeitsspeicher, 3 Iterationen, 4 Lanes: die von RFC 9106 empfohlene Einstellung); jede Datei nennt ihre eigenen Parameter, sodass sich Backups, die vor 1.8.0 mit 19 MiB / 2 Iterationen erstellt wurden, weiterhin öffnen lassen; der Inhalt wird mit AES-256-GCM verschlüsselt, und auch der Header wird authentifiziert, sodass sich eine manipulierte Datei nicht öffnen lässt.
• Das Backup-Passwort muss mindestens 10 Zeichen lang sein. Leicht zu erratende Passwörter wie „Password123!“ werden abgelehnt, ebenso der Produktname KutunaCo.
• Wenn du das Passwort vergisst, kann niemand das Backup öffnen – auch wir nicht.
• Ein unverschlüsselter Export erfolgt nur, wenn du ihn ausdrücklich bestätigst, und wer diese Datei öffnet, kann deine Einträge lesen.

Bekannte Einschränkungen

• Die App-Sperre ist eine Sperre der Benutzeroberfläche. Der Schlüssel der Box ist nicht an die Biometrie gebunden; die Box ist mit einem Schlüssel verschlüsselt, der nach dem ersten Entsperren des Geräts verfügbar ist.
• Die Biometrie-Entsperrung akzeptiert auch den Gerätecode; wer deinen Gerätecode kennt, kann die Box öffnen.
• Mit einem Geräte-Backup über iCloud oder Google zieht die Box nicht auf ein neues Smartphone um. Erstelle ein verschlüsseltes KutunaCo-Backup, bevor du dein Smartphone wechselst oder zurücksetzt.
• Es gibt keine Prüfung auf Datenlecks (etwa über Have I Been Pwned); die App geht nie online und kann daher keine externe Liste abfragen. Der Passwort-Check wird vollständig auf dem Gerät durchgeführt.
• Passkeys werden nicht unterstützt.
• Die Erweiterung für das automatische Ausfüllen unter iOS fragt nicht nach der App-PIN, sondern nur nach der Authentifizierung des Geräteinhabers. Ist die App nur mit einer PIN gesperrt und das PIN-Zurücksetzen deaktiviert, werden deshalb keine Passwörter an das automatische Ausfüllen von iOS übergeben; das automatische Ausfüllen ist dort dann nicht verfügbar.
• Bevor du deine Identität bestätigst, zeigen Vorschläge für das automatische Ausfüllen den Titel und den Benutzernamen des Eintrags (iOS QuickType; gesperrte Vorschläge unter Android). Unter Android blendet die Option Einstellungen › Sicherheit › Benutzernamen in Vorschlägen ausblenden den Benutzernamen aus.
• Der QR-Code-Leser wird unter Android mit den Google Play-Diensten bereitgestellt und liest auch die Screenshots, die du auswählst; ohne die Google Play-Dienste tippst du den 2FA-Schlüssel ein oder fügst ihn ein. Die Google Play-Dienste können zu jeder Verwendung des Lesers anonyme Diagnosedaten an Google senden (die Art des Ereignisses, dessen Dauer, einen Fehlercode sowie Angaben zu Gerät und App, etwa das Smartphone-Modell und die Version der App); das Bild, der Inhalt des QR-Codes und die Einträge in deiner Box sind darin niemals enthalten.
• Damit du siehst, wann eine neue Version verfügbar ist, fragt die Android-App bei jedem Start und, wenn du zu ihr zurückkehrst, höchstens einmal pro Stunde die Play Store-App auf deinem Smartphone, ob es ein Update gibt (Google Play In-App Updates). Um zu antworten, kann der Play Store Geräte- und App-Angaben wie das Smartphone-Modell und die Version der App an Google senden; die Einträge in deiner Box sind darin niemals enthalten, und die App selbst stellt weiterhin keine Netzwerkanfragen. Auf dem iPhone prüft die App nichts: Einstellungen › Info öffnet die Seite von KutunaCo im App Store.
• Keine App kann Daten auf einem gerooteten, per Jailbreak entsperrten oder mit Schadsoftware infizierten Gerät vollständig schützen.

Sicherheitslücke melden

Wenn du ein Sicherheitsproblem findest, schreib bitte an support@kutuna.co. Gib die betroffene Version, die Plattform und die Schritte zum Reproduzieren an; schicke niemals echte Passwörter oder andere Daten aus deiner Box. Die Kontaktdaten stehen auch in der Datei security.txt.