Kann sonst jemand die Dateien im Cloud-Laufwerk lesen

Private Fotos, eingescannte Dokumente und Arbeitsdateien in ein Cloud-Laufwerk zu legen bedeutet, sie dem Server von jemand anderem anzuvertrauen. Anbieter versprechen, nicht hineinzusehen, und ein Versprechen ist keine Verschluesselung. Genau diese Luecke behandelt Cryptomator. Es ist ein Open-Source-Werkzeug, das auf dem eigenen Rechner laeuft und dort einen verschluesselten Tresor anlegt; alles, was hineingelegt wird, ist verschluesselt, bevor es den Rechner verlaesst. In die Cloud geht der Geheimtext und sonst nichts.

Diese Reihenfolge ist der ganze Gedanke, und sie verdient eine klare Formulierung, weil die meisten Angebote zur Cloud-Verschluesselung es umgekehrt machen. Liegt der Schluessel beim Anbieter, kann der Anbieter die Daten lesen, egal was die Werbung sagt. Verlaesst der Schluessel den eigenen Rechner nie, bleibt dem Anbieter nur das Lagern von Bloecken, die er nicht deuten kann.

Zero Knowledge, mit dem Passwort nur in eigener Hand

Die Architektur wird als Zero Knowledge beschrieben. Ver- und Entschluesselung geschehen lokal, das Passwort des Tresors laeuft ueber keinen Server, und weder der Speicheranbieter noch der Netzbetreiber noch die Entwickler selbst koennen den Inhalt entschluesseln. Verwendet wird das verbreitete AES-256, und zwar pro Datei getrennt.

Die Trennung pro Datei hat eine praktische Folge. Beim Abgleich werden nur die geaenderten Dateien uebertragen, ein einzelnes geaendertes Wort schiebt also nicht den ganzen Tresor erneut durch die Leitung, und genau das macht die Sache auf einer gewoehnlichen Verbindung brauchbar. Auch Dateinamen und Ordnerstruktur werden verschleiert, sodass die Liste auf der anderen Seite ihre Bedeutung verliert.

Einfach ein Ordner, und darin liegt die Kompatibilitaet

Die zweite Staerke ist, dass ein Tresor ein ganz gewoehnlicher Ordner ist. In das Sync-Verzeichnis irgendeines Cloud-Dienstes gelegt, funktioniert er, was Verbraucher-Sync-Laufwerke, WebDAV und Netzspeicher ohne besondere Unterstuetzung abdeckt. Eine Liste zertifizierter Anbieter gibt es nicht, weil der Mechanismus keine braucht.

Der Quelltext erscheint unter der GPLv3 in einem oeffentlichen Archiv, der Code ist pruefbar, und das Projekt hat in der Vergangenheit ein Penetrationstest eines professionellen Sicherheitsunternehmens in Auftrag gegeben. Die Fassungen fuer Windows, macOS und Linux sind kostenlos, die aktuelle Version 1.19.3 erschien Ende 2026-06. Die mobilen Apps sind bezahlte Vollfassungen, und diese Zahlung haelt die Arbeit am Projekt am Laufen.

Fuer wen es passt

Fuer alle, die den Komfort eines Cloud-Laufwerks wollen, ohne die Kontrolle ueber den Inhalt abzugeben, ist das die anspruchsloseste Kombination. Es verlangt keinen Wechsel des Anbieters, keine Aenderung der Sync-Gewohnheiten und keine andere Art des Teilens. Es kommt ein Schloss an einer Stelle hinzu, die der Anbieter nicht erreicht.

Der Preis ist ein Passwort, das nicht verloren gehen darf. Mit Zero Knowledge kommt null Wiederherstellung: Niemand kann es zuruecksetzen, ein vergessenes Passwort bedeutet einen Tresor, der verschlossen bleibt. Das ist der ehrliche Tausch im Zentrum des Entwurfs, und er verdient einen Plan fuer den Notfall, bevor die erste Datei hineingeht.

Ein Hinweis aus der Praxis noch: Das Passwort gehoert nicht in denselben Sync-Ordner wie der Tresor. Wer es dort ablegt, haengt den Schluessel neben die Tuer.

Das Kluge daran ist, dass es den Anbieter nicht bekaempft. Die Gewohnheiten beim Abgleich und beim Teilen bleiben, und vor dem Hochladen kommt leise ein Schloss dazu. Die richtige Haltung zum Datenschutz war nie, Dienste aufzugeben, sondern dafuer zu sorgen, dass das, was der Anbieter hat, nicht verstanden werden kann.