Ihre Dateien.Ihre Schlüssel.Ihr Tenant.

Ihr Browser zerlegt Dateinamen und Textinhalte in Tokens, verschlüsselt jedes Token mit einem persönlichen Suchschlüssel und sendet nur diese blinden Tokens an den Index. Eine Suchanfrage wird genauso transformiert, der Server findet Treffer, ohne die Wörter zu kennen. Der Suchschlüssel selbst ist wie jeder andere Schlüssel hybrid verpackt (RSA-4096 + ML-KEM-768). Was der Server dabei erfährt: welche verschlüsselten Such-Token (blind indexing) in welcher Datei vorkommen, wie oft sie sich wiederholen und welche Dateien eine Suche getroffen hat: Muster, keine Wörter.

Warum das wichtig ist Bei der Suche verraten sich die meisten „Zero-Knowledge“-Produkte: Ein Klartext-Index auf dem Server enthält jedes Wort jedes Dokuments. Hier ist der Index so blind wie der Speicher. Und wir sagen klar, was er trotzdem verrät.

Bevor ein Dokument verschlüsselt wird, entfernt der Client Makros, Skripte, eingebettete Objekte und aktive Inhalte aus Office- und PDF-Dateien und baut eine saubere Kopie. Alte binäre Office-Formate, die sich nicht bereinigen lassen, werden abgewiesen; schlägt die Bereinigung fehl, stoppt der Upload, statt das Original durchzureichen.

Warum das wichtig ist Ein Server, der nur Chiffrat sieht, kann keinen Virenscanner betreiben. Die Bereinigung dort, wo der Klartext existiert, im Browser, schließt die Tür für Makro-Schadsoftware aus geteilten Mandantendateien. Sie entfernt aktive Inhalte; sie ist kein Malware-Scanner und erkennt nicht jede Bedrohung. Endpunktschutz mit aktuellem Virenschutz auf jedem Gerät, das Dateien öffnet, bleibt daher Teil des Gesamtbilds.

Jede Datei wird in 10-MB-Blöcken verschlüsselt, mit eigener Nonce pro Block und dem Blockindex im Authentifizierungs-Tag, ein Block kann nicht umsortiert, weggelassen oder vertauscht werden, ohne dass der Client es bemerkt. Der letzte Block wird auf eine Größenklasse aufgefüllt, was exakte Dateigrößen vor dem Speicheranbieter verbirgt. Dateien über 5 MB gehen als unabhängige Teile über die Multipart-API des Speicheranbieters, und gedrosselte Anfragen werden automatisch mit Backoff wiederholt, Massen-Uploads überstehen Rate-Limits, statt am ersten abgewiesenen Teil zu scheitern. Downloads werden blockweise beim Streamen entschlüsselt, im Browser, im Sync-Client und in der macOS-App.

Warum das wichtig ist Ende-zu-Ende-verschlüsselter Speicher nützt nur, wenn die 4 GB Scans eines Mandanten auch wirklich ankommen. Blöcke lassen große Uploads reale Netze überstehen, Streaming erspart das Puffern im Speicher, und der authentifizierte Blockindex macht aus einem abgeschnittenen oder manipulierten Objekt einen harten Fehler statt eines still beschädigten Dokuments.

Schreiben Sie eine Notiz direkt im Vault, im passenden Ordner, ohne den Browser zu verlassen. Notizen werden genau wie Dateien gespeichert: clientseitig verschlüsselt, versioniert, klassifiziert, mit denselben Rollen teilbar und von derselben Audit-Spur erfasst.

Warum das wichtig ist Der Kontext zu einem Dokument (eine Gesprächszusammenfassung, eine Entscheidung, der Grund einer Freigabe) landet sonst in E-Mail oder Chat, wo keine dieser Garantien gilt. Im Vault bleibt die gesamte Akte an einem geschützten Ort.

Lassen Sie eine Notiz oder ein Dokument zusammenfassen, übersetzen oder eine übersetzte Kopie einer Word-, PowerPoint- oder OpenDocument-Datei erstellen, die ihre Formatierung behält: alles mit Modellen, die in Ihrem Browser laufen. NomadVault nutzt das in Chrome eingebaute lokale Modell und dessen Sprachpakete (Gemini Nano): Der Browser lädt sie einmalig vom Browser-Hersteller und führt sie danach lokal aus. Der verarbeitete Text erreicht weder uns noch den Browser-Hersteller noch einen KI-Dienst. Die übersetzte Kopie wird wie jeder Upload verschlüsselt und neben dem Original gespeichert. Diese Aktionen erscheinen nur in Browsern, die solche Modelle mitbringen (derzeit Chrome auf dem Desktop); überall sonst fehlen sie schlicht, statt in eine Cloud umgeleitet zu werden.

Warum das wichtig ist Jeder „KI-Assistent“ in Cloud-Speichern funktioniert, indem Ihre Dokumente an ein Modell irgendwo anders geschickt werden, also genau über den Datenpfad, den Ende-zu-Ende-Verschlüsselung schließen soll. In dieser Architektur existiert Klartext an einem einzigen Ort, im Browser, und nur dort darf ein Modell laufen. Lieber bieten wir in einem Browser ohne lokales Modell keine KI an, als für eine Funktionsliste einen Seitenkanal zu öffnen.

Jeder Upload einer bestehenden Datei erzeugt eine neue verschlüsselte Version mit eigenem Schlüssel. Frühere Versionen bleiben für alle Zugriffsberechtigten wiederherstellbar, und Ordnerbäume lassen sich nach versehentlichem Löschen zurückholen.

Warum das wichtig ist Ransomware und menschliche Fehler überschreiben Dateien. Eine Versionshistorie, die der Angreifer weder entschlüsseln noch löschen kann, macht aus einem Vorfall eine Wiederherstellung.

Beim Teilen einer Datei oder eines Ordners verpackt Ihr Browser den Schlüssel neu für den Empfänger und signiert die Freigabe mit Ihrem Ed25519-Schlüssel. Empfänger pinnen die öffentlichen Schlüssel ihrer Kontakte bei der ersten Nutzung und lehnen Freigaben ab, deren Signatur nicht passt.

Warum das wichtig ist Der klassische Angriff auf Ende-zu-Ende-Verschlüsselung ist ein Server, der seinen eigenen öffentlichen Schlüssel unterschiebt. Signaturen und Pinning machen daraus einen sichtbaren Fehler statt einer stillen Kompromittierung.

Geben Sie Externen einen Link, und sie können Dateien in einen Ordner ablegen oder ein Dokument abrufen, ohne Konto. Die Dateien werden in deren Browser verschlüsselt, bevor sie übertragen werden; Links können ablaufen und passwortgeschützt sein.

Warum das wichtig ist Mandantenunterlagen per E-Mail-Anhang landen in Postfächern und Backups, die Sie nicht kontrollieren. Links verlagern diesen Verkehr in den Vault.

Jeder Zugriff, jede Freigabe und jede Admin-Aktion wird in ein hash-verkettetes Protokoll geschrieben, dessen Kettenende sich in den Einstellungen prüfen lässt. Die Aufbewahrung ist eine Tenant-Einstellung (Standard 365 Tage), Bereinigungen werden neu verankert und bestätigt, und Alarme melden Massen-Downloads.

Warum das wichtig ist Aufsicht und Mandanten fragen, wer wann was gesehen hat. Ein Protokoll ist nur dann ein Nachweis, wenn belegbar ist, dass es nachträglich niemand verändert hat.

Anmeldung mit Passkeys oder Passwort plus MFA, oder über Microsoft Entra Single Sign-on. Automatisierung nutzt Service-Accounts mit eingeschränkten API-Schlüsseln statt der Zugangsdaten einer Person, und jede Sitzung trägt eigenes Post-Quanten-Schlüsselmaterial.

Warum das wichtig ist Phishing-resistente Anmeldung schützt das Eine, was die Architektur nicht schützen kann: Gerät und Passwort des Nutzers. Eingeschränkte Schlüssel verhindern, dass Integrationen zur Hintertür werden.

Ist die Klassifizierung aktiviert, scannt der Browser jedes textbasierte Dokument vor der Verschlüsselung und versieht es mit den erkannten Kategorien: personenbezogene Daten nach DSGVO, Gesundheitsdaten, Finanzdaten, Zugangsdaten und Geheimnisse sowie selbst definierte Muster wie Mandantennummern oder Projektcodes. Das Ergebnis wird mit der Datei gespeichert, im Eigenschaftenbereich und im Compliance-Bericht angezeigt und kann von jedem mit Bearbeitungsrechten korrigiert werden, jede Änderung wird auditiert. Binärformate werden nicht gescannt, und außer den resultierenden Labels verlässt nichts vom Scan das Gerät.

Warum das wichtig ist Aufbewahrungsfristen, Zugriffsregeln oder eine DSFA lassen sich nicht auf Dokumente anwenden, die man nicht identifiziert hat. Serverseitige Klassifizierer bräuchten Klartext, den diese Architektur nicht herausgibt, also findet der Scan dort statt, wo der Klartext einzig existiert. Die Labels steuern anschließend Flow-Regeln automatisch: Eine als Gesundheitsdaten markierte Datei kann in dem Moment verschoben, aufbewahrt und gemeldet werden, in dem sie ankommt.

Dateien und Ordner können ein Ablaufdatum mit einer Aktion tragen: löschen, archivieren oder benachrichtigen. Flow-Regeln wenden Aufbewahrungsfristen je Ordner oder je Klassifizierung an, und der Compliance-Bericht listet jedes Dokument mit Klassifizierung, Ablaufdatum und der folgenden Aktion. Löschungen laufen planmäßig und werden im Audit-Log festgehalten.

Warum das wichtig ist Aufbewahrungspflichten schneiden in beide Richtungen: Unterlagen für die gesetzliche Frist behalten, und danach nicht länger. Von Hand über tausende Mandantendateien passiert das nicht; per Regel, mit einem Audit-Eintrag für jede Löschung, ist es das, was ein Prüfer sehen will.

Legen Sie Gruppen wie „Steuerteam“ oder „Vorstand“ an und teilen Sie Ordner mit einer Gruppe genauso wie mit einer Person, mit denselben Rollen Leser, Bearbeiter und Mitinhaber. Jede Gruppe hat ein eigenes Schlüsselpaar: Eine Freigabe an die Gruppe ist eine Freigabe, versiegelt für den Gruppenschlüssel, und Mitglieder erhalten den Gruppenschlüssel verpackt für ihre eigenen Schlüssel. Gruppenleiter verwalten die Mitgliedschaft selbst; wer hinzukommt, sieht alles, was die Gruppe sieht, und wer entfernt wird, ist durch Rotation des Gruppenschlüssels kryptographisch ausgeschlossen, nicht nur ausgeblendet.

Warum das wichtig ist Freigaben an Einzelpersonen überleben keinen Personalwechsel: Jeder Ein- und Austritt bedeutet Dutzende Ordner anzufassen. Gruppen machen aus Zugriffsverwaltung Mitgliederverwaltung (so denkt Ihre Organisation ohnehin) und halten die Verschlüsselung ehrlich, wenn Menschen gehen.

Der native Client für Windows, macOS und Linux zeigt Ihren Vault als normalen Ordner. Dateien erscheinen als Platzhalter und werden erst beim Öffnen geladen und entschlüsselt, ein großer Vault kostet keinen lokalen Speicher, bis Sie ihn brauchen. Schlüssel verlassen das Gerät nie, und eine optional gemerkte Anmeldung liegt im Schlüsselbund des Betriebssystems.

Warum das wichtig ist Verschlüsselung, die nur im Browser funktioniert, wird umgangen, sobald jemand eine Datei im Explorer oder Finder braucht. Sync bringt dieselben Garantien dorthin, wo tatsächlich gearbeitet wird.

Optional und standardmäßig aus. Wenn Sie ihn aktivieren, erzeugt Ihre Organisation ein Escrow-Schlüsselpaar im Browser und behält den privaten Teil; Dateischlüssel werden zusätzlich dafür verpackt, und jede Nutzung des Escrow-Schlüssels landet im Audit-Log. Aktivieren Sie ihn nie, existiert ein solcher Schlüssel nirgends.

Warum das wichtig ist Viele als Ende-zu-Ende-verschlüsselt vermarktete Produkte halten selbst still einen Wiederherstellungs- oder Escrow-Schlüssel. So weisen sie die Dateien ausgeschiedener Mitarbeiter neu zu oder setzen vergessene Passwörter zurück, und auf den Sicherheitsseiten steht das selten. Ein solcher Schlüssel bedeutet: Der Anbieter kann Ihre Daten lesen, egal was der Prospekt sagt. NomadVault hat keinen. Mitarbeiter gehen trotzdem und Passwörter gehen trotzdem verloren, deshalb gibt es Escrow als Option, die Sie selbst anlegen, halten und auditieren.