Sicherheit / Architektur der Verschlüsselung

SicherheitAktualisiert am 24. Oktober 2026

Architektur der Verschlüsselung

Technische Einzelheiten zum Schutz Ihrer Daten durch Parrot Scribe

Version: Diese Anleitung beschreibt die stabile Version Parrot Scribe 1.0.8. Die öffentliche Beta von 1.1.0 hat andere Bedienelemente und einige noch nicht fertige Funktionen. Lesen Sie Beta installieren und Unterschiede beachten, bevor Sie diese Schritte auf die Beta übertragen.

Im Folgenden wird die Architektur der stabilen Version beschrieben. Der Abschnitt zur Beta von 1.1.0 erklärt deren andere Speicher- und Löschgrenzen.

Parrot Scribe speichert Sitzungsdateien und den Sitzungsmetadatenindex im Ruhezustand verschlüsselt. Transkription und Sprecherverarbeitung verwenden lokale Modelle und senden keine rohen Sitzungsinhalte an einen Server. Lizenzierung, Geräteverwaltung und Modelldownloads verwenden Netzwerkdienste.

Vertrauensbasis: Data-Protection-Schlüsselbund

Parrot Scribe erzeugt ein zufälliges Hauptgeheimnis aus 32 Bytes und speichert es als synchronisierbaren Eintrag im macOS-Data-Protection-Schlüsselbund, Apple-Dokumentation auf Englisch.

  • Bei entsperrtem Mac verfügbar: macOS gibt den Eintrag nach dem Entsperren des Macs frei.
  • Übertragung durch den iCloud-Schlüsselbund: Ist der iCloud-Schlüsselbund aktiviert, kann Apple das Hauptgeheimnis an einen anderen Mac mit demselben Apple Account übertragen.
  • Wiederherstellungsschlüssel aus 24 Wörtern: Die Wörter rekonstruieren dasselbe Hauptgeheimnis ohne iCloud-Schlüsselbund. Wenn Sie Kopieren oder Speichern wählen, legt die App die Wörter in der Zwischenablage ab oder schreibt eine unverschlüsselte Datei mit Zugriff nur für den Eigentümer an den gewählten Ort. Parrot Scribe sendet die Wörter nicht an seine Server.
  • Keine Schlüsselhinterlegung bei Parrot Scribe: Die App hat keine serverseitige Kopie des Hauptgeheimnisses.

Die aktuelle Vertrauensbasis ist ein Software-Geheimnis, das der Schlüsselbund schützt. Ältere Bibliotheken können bis zum Abschluss der Migration auf portable Schlüssel weiterhin an den ursprünglichen Mac gebundenes Schlüsselmaterial enthalten.

Schlüsselhierarchie und Trennung

Parrot Scribe verschlüsselt nicht jede Datei direkt mit dem Hauptgeheimnis:

  1. HKDF-SHA256, Dokumentation auf Englisch leitet einen Schlüssel zum Schutz anderer Schlüssel aus dem Hauptgeheimnis ab.
  2. Dieser schützt zufällige Geheimnisse je Sitzung und Speicherbereich mit AES Key Wrap in begleitenden Schlüsseldateien.
  3. Aus diesen Geheimnissen werden mit dateispezifischen Salts und bereichsspezifischen Kennungen AES-256-GCM-Datenschlüssel abgeleitet.

Datenschlüssel für Transkripte, Audio, Kommentare und Sprecherpakete sind voneinander getrennt. Die Dateien einer Sitzung teilen sich jedoch das zugrunde liegende Sitzungsgeheimnis. Die Offenlegung eines abgeleiteten Datenschlüssels legt nicht die anderen Bereichsschlüssel offen. Die Offenlegung des Sitzungsgeheimnisses betrifft dagegen alle Bereiche dieser Sitzung. Keine dieser Grenzen schützt einen entsperrten Mac vor Software, die als derselbe Benutzer läuft.

Verschlüsselung im Ruhezustand

Gespeicherte Dateien

Transkriptabschnitte, aufbewahrte Audioabschnitte, Sprecher-Embeddings, Kommentare und Ordnermetadaten verwenden AES-256-GCM, Dokumentation auf Englisch. Die Dateiformate speichern Nonce, Chiffretext und Authentifizierungstag. Zusätzliche authentifizierte Daten binden den Chiffretext an den jeweiligen Format- oder Dateikontext.

Transkript- und Audiodateien einer Sitzung sind verschlüsselte Container, an die weitere Abschnitte angehängt werden. Abschnitte sind unabhängig authentifiziert. Das ermöglicht eine begrenzte Wiederherstellung nach Abstürzen, ohne ein Klartexttranskript oder eine abspielbare Audiodatei in der Bibliothek zu speichern.

Sitzungsmetadatenindex

Der SQLite-Sitzungsindex wird separat mit SQLCipher, Website auf Englisch und einem 256-Bit-Schlüssel verschlüsselt. SQLCipher wird hier nicht als AES-GCM bezeichnet, sondern verwendet seine eigene Datenbankverschlüsselung.

Wiederherstellbare Bibliothek

Verschlüsselte Datensätze bewahren den festgeschriebenen Sitzungs- und Bibliothekszustand unabhängig von der Abfragedatenbank auf. Dazu gehören Titel, Kommentare, Ordner, Sprecherkorrekturen und noch nicht abgeschlossene Löschvorgänge. SQLCipher stellt den lokalen Auflistungs- und Suchindex bereit. Bei intakten Datensätzen und passenden Schlüsseln kann der Startvorgang diesen Index rekonstruieren, ohne festgeschriebene Änderungen zu verlieren.

Der Suchindex enthält eine zusätzliche verschlüsselte Kopie des Transkripttexts der gesamten Bibliothek. Zugriff auf seinen Datenbankschlüssel kann diese durchsuchbaren Inhalte offenlegen, obwohl die Quellsitzungen getrennte Schlüssel haben. Beim Löschen werden deshalb die verwaltete Datenbank und ihr Write-Ahead-Log bereinigt sowie Sitzungsdateien und Schlüssel entfernt. Separate Sicherungen haben ihre eigene Löschgrenze.

Bibliotheken ab 0.4.0 haben einen automatischen, fortsetzbaren Upgradepfad. Halten Sie den ursprünglichen Mac verfügbar, bis eine gegebenenfalls erforderliche Umwandlung älterer Schlüssel abgeschlossen ist. Für frühere Formate bewahrt Ältere Bibliothek exportieren lesbare Inhalte in einem portablen Archiv. Dieses Archiv wird dadurch nicht in die Mediathek importiert.

Eine Wiederherstellung kann fehlende Dateien oder Schlüssel nicht ersetzen. Sind Sitzungsdaten teilweise unlesbar, kann die Mediathek verfügbare Sitzungen mit einem Hinweis auf unvollständige Wiederherstellung anzeigen und die betroffenen Dateien behalten. Lesen Sie Fehler bei der Bibliothekswiederherstellung, bevor Sie Bibliotheksdateien ändern oder löschen.

Wo Klartext notwendig ist

Verschlüsselung im Ruhezustand bedeutet nicht, dass Daten niemals als Klartext vorliegen. Audio- und Transkriptinhalte müssen während Aufnahme, Transkription, Suche, Anzeige, Export und Wiedergabe im Prozessspeicher unverschlüsselt verfügbar sein. Export und Freigabe können Klartext an ein gewähltes Ziel oder vorübergehend in einen nur für den Eigentümer zugänglichen Ordner schreiben. Temporäre Dateien werden bei der normalen Bereinigung entfernt.

Lokale Daten und Übertragbarkeit

Parrot Scribe lädt Sitzungstranskripte, aufbewahrtes Audio und Sitzungsmetadaten nicht automatisch hoch und synchronisiert sie nicht. Lizenzierung und Geräteverwaltung senden Lizenz- und Geräteinformationen an gehostete Dienste. Modelldownloads verwenden externe Dienste. Inhalte, die Sie ausdrücklich exportieren, freigeben oder über den optionalen MCP-Server zugänglich machen, gehen an das von Ihnen gewählte Ziel oder den autorisierten Client.

Der Hauptgeheimnis-Eintrag im Schlüsselbund ist als synchronisierbar gekennzeichnet. Überträgt der iCloud-Schlüsselbund ihn, kann ein anderer Mac nach der Migration erzeugte Daten nur entschlüsseln, wenn Sie separat die verschlüsselte Bibliothek mit den zugehörigen Schlüsseldateien kopieren. Eine kopierte Sitzung benötigt ihre Datei session.key und das passende Hauptgeheimnis aus dem iCloud-Schlüsselbund oder der Wiederherstellung mit den 24 Wörtern.

Ältere Daten vor der Migration können weiterhin an den ursprünglichen Mac gebundenes Schlüsselmaterial benötigen.

Sicherungen und Umzug auf einen anderen Mac

Beenden Sie Parrot Scribe, bevor Sie den vollständigen Datenordner ~/Library/Application Support/Parrot Scribe/ kopieren. Bewahren Sie die Dateien derselben Kopie bei geschlossener App zusammen auf, einschließlich verschlüsselter Datensätze, Schlüsseldateien und Datenbankbegleitdateien. Kopieren Sie nicht nur eine Datenbank oder wenige Transkriptdateien. Mischen Sie keine Dateien aus Sicherungen verschiedener Zeitpunkte und legen Sie die laufende Datenbank nicht in einem iCloud-Drive-Synchronisationsordner ab.

Der Wiederherstellungsschlüssel aus 24 Wörtern stellt das Hauptgeheimnis wieder her, nicht die Bibliotheksdateien. Eine Wiederherstellung benötigt die verschlüsselten Daten mit ihren passenden Schlüsseldateien und das passende Hauptgeheimnis, entweder vom iCloud-Schlüsselbund oder aus den Wiederherstellungswörtern. Behalten Sie den ursprünglichen Mac und die Sicherung, bis Sie die wiederhergestellten Inhalte geprüft haben. Parrot Scribe synchronisiert Bibliotheksinhalte nicht zwischen Macs.

Bewahren Sie die unabhängigen Wiederherstellungsdatensätze zusammen mit Sitzungsdateien und gemeinsamen Bibliotheksdateien auf. Gemeinsame Sprechernamen und Identitätsmetadaten können gesichert werden. Sicherungsprogramme, die macOS-Ausschlüsse beachten, lassen biometrische Stimmmodelle und deren Schlüsseldateien aus. Eine Sicherung kann deshalb die Identität eines Sprechers ohne seine Stimmerkennung wiederherstellen. Siehe Wiederhergestellte Sprecher.

Grenzen der Löschung

Wenn Sie eine Sitzung löschen, entfernt Parrot Scribe zuerst deren aktives Schlüsselmaterial und anschließend das Sitzungsverzeichnis und den Indexeintrag. In Storage v2 widerruft und löscht das Vergessen eines Sprechers jede Sitzung, in der er vorkommt. Danach werden sein Embedding und Indexeintrag gelöscht. Dabei gehen auch die Inhalte anderer Sprecher in diesen Sitzungen verloren.

Kryptografische Löschung gilt für den aktuellen von der App verwalteten Speicher. Eine separate Kopie mit alter verpackter Schlüsseldatei und passendem Hauptgeheimnis kann ihren Chiffretext weiterhin entschlüsseln.

Wiederherstellungsdatensätze bewahren die Löschabsicht bei einer Unterbrechung und verhindern, dass eine veraltete lokale Datenbank eine gelöschte Sitzung zurückbringt. Unabhängige Sicherungen und exportierte Dateien werden dadurch nicht gelöscht.

Beta von 1.1.0

Die öffentliche 1.1.0-beta.1 verwendet eine getrennte Bibliothek unter ~/Library/Application Support/Parrot Scribe/rs/library/. Sie importiert die ursprüngliche Bibliothek, ohne deren Dateien zu ersetzen. Die Wiederherstellungswörter kodieren weiterhin dasselbe Hauptgeheimnis. Die neue Bibliothek verwendet jedoch einen getrennt abgeleiteten Schlüssel und ein anderes Dateiformat.

  • Verschlüsselte Inhalte: Sitzungsdatensätze, aufbewahrtes Audio, Einstellungen, Ordner, Sprecherinformationen und Client-Berechtigungen verwenden authentifizierte XChaCha20-Poly1305-Verschlüsselung. Jeder verschlüsselte Datensatz erhält eine neue zufällige Nonce aus 24 Bytes. Ein bibliotheksweiter Schlüssel wird mit HKDF-SHA256 aus dem Hauptgeheimnis abgeleitet.
  • Kleiner Klartextindex: index.sqlite ist gewöhnliches SQLite und nicht SQLCipher. Er enthält Sitzungs-IDs und Startzeiten, aber weder Transkripttext noch Titel oder Sprechernamen. Die App kann ihn aus den verschlüsselten Sitzungsdatensätzen rekonstruieren. Dateinamen und Dateigrößen sind für jemanden mit Lesezugriff auf den Datenordner ebenfalls sichtbar.
  • Andere Schlüsselgrenze: Die Beta verwendet nicht die getrennten verpackten Sitzungsschlüssel der stabilen App. Beim Löschen einer Sitzung werden ihre aktuellen verwalteten Datensätze und ihr Audio entfernt, während der Bibliotheksschlüssel erhalten bleibt. Es ist kein kryptografischer Schlüsselwiderruf je Sitzung. Ein kopierter verschlüsselter Datensatz kann mit dem passenden Hauptgeheimnis weiterhin entschlüsselbar sein.
  • Originale und Sicherungen: Löschen in der Beta entfernt weder die bewahrte ursprüngliche Bibliothek noch unabhängige Sicherungen oder Exporte. Verwalten Sie die Aufbewahrung dieser Kopien selbst. Gehen Sie nicht davon aus, dass mit dem Löschen einer Beta-Sitzung jede frühere Kopie davon verschwindet.

Die Authentifizierung weist veränderte verschlüsselte Daten und falsche Schlüssel zurück. Sie belegt aber nicht generell den ursprünglichen Dateipfad oder die neueste Version. Sie verhindert deshalb nicht grundsätzlich, dass gültig verschlüsseltes Audio innerhalb derselben Bibliothek an einen anderen Aufnahmepfad kopiert oder ältere gültige Daten wieder eingespielt werden. Software, die unter Ihrem Benutzerkonto Zugriff auf die Bibliotheksdateien hat, liegt außerhalb dieses Schutzes für gespeicherte Daten.

Das Hauptgeheimnis verwendet die produktive Data-Protection-Schlüsselbundidentität, ist bei entsperrtem Mac verfügbar und als synchronisierbar gekennzeichnet. Die Übertragung des Hauptgeheimnisses durch den iCloud-Schlüsselbund kopiert weiterhin keine Bibliotheksinhalte. Die Wiederherstellung benötigt eine vollständige passende Datenkopie und das richtige Hauptgeheimnis. Wiederherstellungswörter können fehlende Dateien nicht rekonstruieren.

Klartext bleibt bei der Verarbeitung im Arbeitsspeicher und an Zielen notwendig, an die Sie ausdrücklich exportieren oder mit einem KI-Client Inhalte teilen. Lokale Verschlüsselung verhindert nicht, dass ein autorisierter cloudbasierter KI-Client Transkripte an seinen Anbieter sendet. Diese Grenzen gelten auch bei dem vom stabilen Produkt abweichenden Speichermechanismus der Beta.

Weiterführende Informationen