Verschlüsselter Tresor · sicherer Versand
Box ist ein verschlüsselter Tresor für Passwörter, Wiederherstellungscodes, Notizen und Dateien und zugleich ein sicherer Weg, sie an Ihre anderen Geräte oder an andere Menschen zu senden. Alles wird auf Ihrem Gerät verschlüsselt, bevor es hochgeladen wird, deshalb liegen auf unseren Servern nur verschlüsselte Daten.
Konten gibt es derzeit nur auf Einladung. Wer von Ihnen einen Link bekommt, braucht keines. Zugang anfragen
AES-GCM-Schlüssel, verschlüsselt wird auf Ihrem Gerät
Speicher pro Rateversuch eines Passworts (Argon2id)
lesbare Inhalte auf unseren Servern
Dateien pro Karte, jede bis 2 GB
01 · Vault + Transfer
Box kann beides, mit derselben Ende-zu-Ende-Verschlüsselung: Geheimnisse und Dateien so lange aufbewahren, wie Sie sie brauchen, und sie bei Bedarf zwischen Ihren Geräten oder an andere Menschen weitergeben.
Vault
Karten mit der Laufzeit „Never“ bleiben im Vault, bis Sie sie löschen: Logins, WLAN-Passwörter, PINs, Wiederherstellungscodes, API-Schlüssel, Verträge und Ausweisscans. Sie werden in Echtzeit mit allen Ihren Geräten synchronisiert.
Transfer
Ein Foto vom Smartphone auf den Laptop holen, einem Kollegen ein Passwort geben oder einem Kunden einen Vertrag schicken. Alles ist unterwegs verschlüsselt, und Karten, die Sie nur eine Weile brauchen, löschen sich selbst.
02 · Vorschau
Die Vorschau entsteht nach dem Entschlüsseln in Ihrem Browser. Keine Datei wird je auf einem Server umgewandelt, deshalb gilt Zero Knowledge auch beim Lesen, Ansehen und Anhören.
Bilder
Karten mit Bildern zeigen eine kleine Vorschau, die getrennt vom Original verschlüsselt ist. Öffnen Sie ein Bild im Vollbild, zoomen Sie mit zwei Fingern oder mit Strg und Mausrad, vergrößern Sie per Doppeltipp und blättern Sie mit den Pfeilen oder per Wischgeste durch die Dateien einer Karte.
Dokumente
PDF-Seiten zeichnet pdf.js, mit Seitenzähler und Zoom. Word-Dokumente behalten Überschriften, Listen und Tabellen, ältere DOC-Dateien zeigen ihren Text. Tabellen öffnen sich mit einem Reiter pro Blatt.
Es sind reine Lesevorschauen: Formeln und exakte Formatierung werden nicht angezeigt.
ZIP-Archive
Durchsuchen Sie den Ordnerbaum mit Größen und Zeilenzahlen und öffnen Sie Text, Code, PDF-, Word- und Excel-Dateien direkt aus dem Archiv. Ziehen Sie einen Ordner in Box, packt Ihr Browser ihn für Sie in ein ZIP.
Für Projektarchive: Dateinamen im Code sind anklickbar, Namen aus anderen YAML- oder Jinja-Dateien springen zu ihrer Definition, und wenn Sie mit der Maus über eine YAML-Zeile fahren, zeigt Box, wo sie steht, mit einer kurzen Erklärung gängiger Kubernetes- und Ansible-Schlüssel.
Video
Videos laufen im Player Ihres Browsers. Welche Formate funktionieren, hängt vom Browser ab, zum Beispiel MP4 und WebM.
Audio
Abspielen und pausieren, 10 Sekunden zurück oder vor springen und die Fortschrittsleiste ziehen. MP3, WAV, OGG, M4A und weitere Formate, die Ihr Browser unterstützt.
Code und Text
Zeilennummern, Zeilenumbruch, Links, die sich in einem neuen Tab öffnen, und ein Doppelklick, der jedes Vorkommen eines Wortes markiert. Auf dem Smartphone ändern Sie die Schriftgröße mit zwei Fingern.
03 · Editor
Tippen, einfügen oder hineinziehen. Jede Karte kann einen optionalen Titel, eine Notiz und bis zu 20 Anhänge haben, alle gleich verschlüsselt.
Geben Sie jeder Karte einen Titel. Dateien können eine Notiz tragen, die auf der Karte und in der Vorschau erscheint.
Mit Strg+V fügen Sie einen Screenshot in eine Karte ein, oder Sie nutzen „Paste image“. Unter Android landet ein gerade kopiertes Bild von selbst im Eingabefeld.
Legen Sie Dateien auf der Seite oder auf einer geöffneten Karte ab. Ein abgelegter Ordner wird in Ihrem Browser zu einem ZIP gepackt, bevor er verschlüsselt wird.
Eine Karte, die nur einen Link enthält, wird zur Link-Karte. Links in jedem Text der Vorschau bekommen eine kleine Schaltfläche, die sie in einem neuen Tab öffnet.
Ändern Sie jederzeit Text und Titel, fügen Sie Dateien hinzu oder entfernen Sie sie. Löschen braucht immer zwei Klicks.
Suchen Sie in Titeln, Namen, Texten und Namen von Anhängen, lokal in Ihrem Browser. Wechseln Sie zwischen „Expiring“, „Vault“ und „Shared“, in der Web-App filtern Sie zusätzlich nach Typ.
Wählen Sie 15 Minuten bis 30 Tage oder „Never“, um eine Karte im Vault zu behalten. Abgelaufene Karten und ihre Dateien werden automatisch gelöscht.
04 · Teilen
Der Empfänger öffnet den Link in jedem Browser, ohne Konto, und sieht Vorschauen von Bildern, Videos, Audio, PDF-, Word- und Excel-Dateien, Code und dem Inhalt von ZIP-Archiven, mit einer Download-Schaltfläche.
Jeder Link bekommt einen eigenen zufälligen 256-Bit-Schlüssel. Er steht im Teil nach dem #-Zeichen, den Browser nie an einen Server senden. Ihr Konto behält eine Kopie, verpackt mit Ihrem eigenen Schlüssel, damit Sie den Link später erneut kopieren können.
Von 15 Minuten bis 30 Tage, aber nie länger als die Karte selbst. Ändern Sie die Laufzeit, setzen Sie den Aufrufzähler zurück, erstellen Sie einen neuen Link oder widerrufen Sie ihn, jederzeit.
Begrenzen Sie einen Link auf 1, 3, 5 oder 10 Aufrufe. Nach dem letzten funktioniert er nicht mehr.
Eine zweite Sperre zusätzlich zum Schlüssel: Der Server gibt die verschlüsselten Daten erst nach dem richtigen Passwort heraus. Nach 10 Fehlversuchen sperrt sich der Link für 5 Minuten, und jeder weitere Fehlversuch sperrt ihn erneut.
Der Link öffnet eine Ansicht im Browser. Text lässt sich kopieren, Dateien lassen sich ansehen und herunterladen.
Die Ansicht „Shared“ sammelt jede Karte mit aktivem Link. Öffnen Sie eine, um Aufrufe und verbleibende Zeit zu sehen.
Ein Link trägt eine Karte: ihren Text oder ihre Datei. Anhänge einer Karte gehören nicht zum Link, und wenn Sie eine geteilte Textkarte bearbeiten, wird ihr Link widerrufen.
05 · Sicherheit
Box folgt einer Regel: Inhalte werden nur auf Ihren Geräten ver- und entschlüsselt. So funktioniert das, in klaren Worten, und das sehen unsere Server tatsächlich.
Texte, Notizen, Titel, Dateinamen, Dateien und Miniaturen werden vor dem Hochladen in Ihrem Browser verschlüsselt. Datenbank und Dateispeicher enthalten nur Chiffretext und zufällige IVs.
AES-GCM mit 256-Bit-Schlüsseln über die Web Crypto API des Browsers. Jede Verschlüsselung nutzt einen neuen zufälligen IV, und veränderte Daten lassen sich nicht entschlüsseln.
Argon2id mit 64 MiB Speicher und 3 Durchläufen macht aus Ihrem Passwort einen Schlüssel, damit jeder Rateversuch teuer wird. Konten aus der Zeit vor Argon2id (PBKDF2-SHA256, 600.000 Runden) werden bei der nächsten Anmeldung automatisch umgestellt.
Ein zufälliger Datenschlüssel verschlüsselt Ihre Karten, Ihr Passwort verpackt ihn nur. Beim Passwortwechsel wird der Schlüssel neu verpackt, nichts muss neu verschlüsselt werden. Nach dem Entsperren hält der Browser den Schlüssel als nicht exportierbar und vergisst ihn nach 7 Tagen ohne Nutzung.
Ein 160-Bit-Wiederherstellungscode wird einmalig beim Einrichten Ihres Kontos angezeigt. Wurde Ihr Passwort zurückgesetzt, entsperrt der Code Ihre Daten wieder. Verlieren Sie beides, kann niemand Ihre Daten entschlüsseln, auch wir nicht.
Ergänzen Sie Einmalcodes aus einer beliebigen Authenticator-App (TOTP). Sie sehen alle angemeldeten Geräte und Sitzungen und melden alle anderen Geräte mit einem Klick ab.
Ein Freigabelink trägt seinen eigenen Schlüssel nach dem #-Zeichen, der Server bekommt ihn also nie. Ein optionales Passwort bildet eine zweite Sperre, gespeichert als PBKDF2-SHA256-Hash, mit Sperrzeit nach 10 Fehlversuchen.
Dateien über 45 MB werden blockweise verschlüsselt, standardmäßig in 8-MB-Blöcken, jeder mit eigenem IV. Jeder Block ist an seine Position und an die Gesamtzahl gebunden, vertauschte oder abgeschnittene Daten werden abgelehnt.
PDFs werden ohne Skripte und Formulare auf eine Zeichenfläche gezeichnet, Word-Inhalte durchlaufen einen strengen Filter (DOMPurify), und der Inhalt eines Dokuments muss zu seinem Dateityp passen, bevor es geöffnet wird. Nichts wird auf einem Server umgewandelt.
Eine strenge Content Security Policy: Die App lädt ihren Code nur von box.sortia.de. HSTS, keine Einbettung in fremde Seiten, keine Werbung, keine Analyse, kein Tracking.
Die Android-App führt ihren Code aus der signierten APK aus, unser Server kann ihn also nicht austauschen. Die Anmeldung per Fingerabdruck ist im Android Keystore versiegelt (AES-256-GCM, StrongBox, wo vorhanden, nur starke Biometrie). Eine App-Sperre kann Box nach 1 bis 60 Minuten im Hintergrund verdecken.
Datenbank und Speicher laufen in Frankfurt am Main (Supabase, Region eu-central-1). Dateien über 45 MB liegen auf unserem eigenen Server in der EU. Row-Level-Security beschränkt jedes Konto auf seine eigenen Daten.
Gut zu wissen: Ihr Box-Passwort ist zugleich Ihr Anmeldepasswort. Es geht per TLS an den Anmeldedienst (Supabase Auth), der nur einen Hash davon speichert; der Verschlüsselungsschlüssel wird getrennt davon in Ihrem Browser abgeleitet. In der Web-App liefert unser Server den Seitencode bei jedem Aufruf aus, die Android-App bringt ihren Code in der signierten APK mit.
So verarbeiten wir personenbezogene Daten: Datenschutzerklärung
06 · Plattformen
Melden Sie sich auf Smartphone und Computer an: Neue Karten, Änderungen und Löschungen erscheinen in Echtzeit auf Ihren anderen Geräten.
Web
Nichts zu installieren. Oder legen Sie Box als App (PWA) auf den Startbildschirm oder den Desktop.
Android
Die Android-App verpackt dieselbe verschlüsselte App und ergänzt, was ein Smartphone braucht. Ab Android 8.
Signierte APK, direkt von box.sortia.de.
07 · FAQ
Ja, zum sicheren Aufbewahren von Passwörtern und anderen Geheimnissen: Legen Sie Logins, WLAN-Passwörter, PINs, Wiederherstellungscodes und API-Schlüssel als Karten im Vault ab. Sie werden auf Ihrem Gerät verschlüsselt, mit Ihren anderen Geräten synchronisiert und sind durchsuchbar, und der Server kann sie nicht lesen. Box füllt keine Passwörter in Websites oder Apps ein: Es gibt kein Autofill, keine Browsererweiterung, keinen Passwortgenerator und keinen Import aus anderen Passwortmanagern. Sie kopieren den Text einer Karte mit einem Klick und fügen ihn dort ein, wo Sie ihn brauchen.
Nein. Texte, Notizen, Titel, Dateinamen, Dateien und Miniaturen werden vor dem Hochladen auf Ihrem Gerät verschlüsselt, der Server speichert nur Chiffretext. Er sieht technische Metadaten: Ihre E-Mail-Adresse, wann Karten erstellt werden und ablaufen, ihre Art, Größe und ihren Dateityp, ob sie im Vault liegen, und Ihre Freigabeeinstellungen.
Ihr Passwort schützt sowohl Ihre Anmeldung als auch Ihren Datenschlüssel. Beim Einrichten Ihres Kontos zeigt Box einmalig einen Wiederherstellungscode: Bewahren Sie ihn sicher auf. Wurde Ihr Passwort zurückgesetzt, melden Sie sich mit dem neuen Passwort an, wählen „Forgot password? Use recovery code“ und geben den Code ein. Box entsperrt Ihre Daten und verpackt Ihren Datenschlüssel mit dem neuen Passwort. Ohne den Wiederherstellungscode kann niemand Ihre Daten entschlüsseln, auch wir nicht.
Derzeit hat Box keine kostenpflichtigen Tarife, keine In-App-Käufe und keine Werbung, und Konten gibt es auf Einladung. Jedes Konto kann bis zu 1.000 ablaufende Einträge und 500 Einträge im Vault halten (jede angehängte Datei zählt als einer), mit Dateien bis je 2 GB. Der Gesamtspeicher pro Konto ist begrenzt, die App zeigt Ihre aktuelle Nutzung.
Nein. Ein Freigabelink öffnet sich in jedem modernen Browser, ohne Konto und ohne App. Der Empfänger sieht die Vorschau und kann die Datei herunterladen. Haben Sie ein Passwort gesetzt, braucht er auch dieses.
In der EU. Datenbank und Dateispeicher laufen in Frankfurt am Main (Supabase, Region eu-central-1), Dateien über 45 MB liegen auf unserem eigenen Server in der EU. Alles wird verschlüsselt, bevor es Ihr Gerät verlässt. Datenschutzerklärung
Box-Konten gibt es derzeit auf Einladung. Wenn Sie eines möchten, schreiben Sie an info@sortia.de. Einen Freigabelink, den Sie senden, kann jeder öffnen.
Bis 2 GB pro Datei und bis zu 20 Dateien pro Karte. Dateien über 45 MB werden in verschlüsselten Blöcken auf unseren eigenen Server in der EU hochgeladen.
Bilder, PDF, Word (DOCX, und DOC als Text), Tabellen (XLSX, XLS, ODS), ZIP-Archive, Audio, Video sowie Text und Code in 50 Sprachen. Alle anderen Dateien lassen sich speichern, teilen und herunterladen.
Nur, wenn Sie das wollen. Wählen Sie eine Laufzeit zwischen 15 Minuten und 30 Tagen, dann werden Karte und Dateien nach Ablauf automatisch gelöscht. Karten mit „Never“ bleiben im Vault, bis Sie sie löschen.
Die Oberfläche der App ist auf Englisch. Ihre Karten können Text in jeder Sprache enthalten.
Sie haben schon ein Konto? Öffnen Sie Box im Browser oder unter Android. Neu hier? Fragen Sie nach einer Einladung.
Sortia Labs (sortia.de) · Software · Cloud · AI