Sicherheit
Zuletzt aktualisiert am 14. September 2026. Es sind nur Maßnahmen aufgeführt, die es gibt. Was fehlt, wird als fehlend aufgeführt.
Warum diese Seite so direkt ist. Eine einsame Person erzählt einem Begleiter Dinge, die sie niemand anderem erzählt: was weh tut, wovor sie Angst hat, wer nicht mehr anruft. Wenn so etwas durchsickern würde, wäre das keine Unannehmlichkeit, es wäre eine Demütigung. Deshalb steht auf dieser Seite, was tatsächlich vorhanden ist und, am Ende, was noch nicht vorhanden ist.
Wie der Stand ist
Eine eigene Maschine in der EU, kein Shared Hosting. Anbieter: Hetzner Online GmbH.
Sprache wird live verarbeitet. Es gibt keine Aufzeichnung, die leaken, beschlagnahmt oder verloren gehen kann.
Zertifikate von Let's Encrypt, automatisch erneuert.
Ein langes zufälliges Token pro Person. Keine geteilten Konten, keine Passwörter, die wiederverwendet oder verloren werden können.
Passwortanmeldung am Server ist vollständig deaktiviert.
Namentlich aufgeführt in der Datenschutzerklärung. Sonst erhält niemand Daten.
Wie die Erinnerung einer Person bei ihr bleibt
Dies ist das Risiko, das in einem Dienst wie diesem am meisten zählt: dass jemand ein Gespräch öffnet und vom Leben eines Fremden hört oder schlimmer noch, dass das eigene Leben von jemand anderem gelesen wird.
Jede Anfrage trägt das eigene Token der Person. Jeder Speicherabruf ist auf dieses Token auf Datenbankebene begrenzt, daher gibt es keine Abfrage, die Episoden einer anderen Person zurückgeben kann. Tokens sind lang und zufällig, nicht fortlaufend, daher können sie nicht erraten oder durch Erhöhen einer Zahl durchlaufen werden.
Wir testen das bei jeder Codeänderung. Zwei Begleiter werden erstellt, einer erhält ein Gedächtnis, und der Test versucht dann, über das Token des anderen darauf zuzugreifen. Wenn ihm das je gelingt, wird die Änderung nicht ausgeliefert. Es ist keine Richtlinie auf einer Seite, es ist ein Test, den es bestehen muss.
Was unseren Server verlässt und was nicht
Nur auf unserer Maschine gespeichert: Gesprächstext, Erinnerungen, Profile, Namen von Familienmitgliedern, Daten, Notizen zu Gesundheit und Stimmung.
Verlässt unsere Maschine: die laufende Sprache und der Text des Gesprächs an den Sprachmodell-Anbieter, der im Datenschutzerklärung, zur Erkennung und Antwort, genannt ist. Nach deren API-Bedingungen wird dieser Inhalt nicht zum Trainieren von Modellen verwendet. Dies ist der einzige Teil eines Gesprächs, der irgendwo anders hingeht, und wir sagen das lieber klar, als dass Sie es selbst entdecken.
Nirgendwohin gesendet: Nichts wird verkauft, nichts geht an Werbetreibende, und es gibt keine Analyse- oder Tracking-Skripte auf dieser Seite. Es gibt kein Cookie-Banner, weil es nichts gibt, dem zugestimmt werden müsste.
Dinge nachschlagen, ohne etwas zu verraten
Wenn James eine Klinik, ein Buch oder ein Rezept findet, fragt er offene öffentliche Dienste ab: OpenStreetMap, Open Library, Wikisource, TheMealDB. Sie erhalten den Suchbegriff und ein ungefähres Gebiet, niemals einen Namen und niemals etwas anderes aus dem Gespräch.
Wir verwenden absichtlich echte Quellen, statt ein Sprachmodell aus dem Gedächtnis antworten zu lassen. Eine selbstsicher erfundene Klinikadresse, gegeben an jemanden, der einen Arzt braucht, ist ein Sicherheitsfehler und kein äußerliches Problem.
Notfallnachrichten
Nur die Nachricht selbst und die Kennung der empfangenden Person gehen an den Messaging-Anbieter. Das Gespräch geht nicht mit. Jeder Versuch wird mit seinem Ergebnis protokolliert, und Ein Fehler wird der Person laut mitgeteilt. statt still geschluckt. Zu glauben, Hilfe sei unterwegs, wenn sie es nicht ist, ist der schlimmste Ausgang, den dieses System erzeugen kann, deshalb wird es als Sicherheitseigenschaft behandelt, nicht als Nettigkeit.
Die Software ehrlich halten
- Vor jeder Auslieferung laufen automatisierte Tests, die Speichertrennung, die Weigerung, ein vergangenes Gespräch zu erfinden, die ehrliche Meldung fehlgeschlagener Nachrichten und die Krisenregeln abdecken.
- Jede Datei, die auf dem Live-Server geändert wird, wird zuerst mit einem Zeitstempel gesichert, damit eine schlechte Änderung sofort zurückgenommen werden kann.
- Geheimnisse werden in Dateien aufbewahrt, die nur vom Dienstkonto lesbar sind, niemals in der Seite, niemals im Repository.
- Die Systemanweisung verbietet das Erfinden von Erinnerungen. Die Testsuite prüft das Verhalten, denn eine Regel in einer Anweisung ist eine Bitte und ein Test ist ein Beweis.
Was noch nicht vorhanden ist
Diese aufzulisten ist der Zweck der Seite. Die guten Teile kann jeder behaupten.
- Jede Datenbank ist im Ruhezustand verschlüsselt. SQLCipher, AES-256, auf unserem eigenen Server in Finnland. Die Schlüsseldatei ist nur für root lesbar, und die Klartextkopien, die während der Migration erstellt wurden, wurden geschreddert, nicht gelöscht. Audio wird überhaupt nie auf die Festplatte geschrieben.
- Kein unabhängiges Sicherheitsaudit. Kein externes Unternehmen hat dieses System überprüft. Wir sagen es auf dieser Seite, sobald eines das getan hat, mit Datum.
- Keine ISO 27001 oder SOC 2 Zertifizierung. Wir haben keines von beidem und legen nichts anderes nahe.
- Die Festplatte selbst ist nicht verschlüsselt. Die Datenbanken sind es (siehe oben), aber die vollständige Festplattenverschlüsselung ist deaktiviert, was für eine Maschine normal ist, die unbeaufsichtigt neu starten muss. Physischer Zugriff auf den Host bleibt daher eine echte Risikogrenze, und wir verlassen uns dafür auf die Kontrollmechanismen des Rechenzentrums des Anbieters.
- Der Datenbankschlüssel liegt auf demselben Server. Das muss so sein, damit James um drei Uhr morgens antworten kann, ohne dass ein Mensch etwas entsperrt. So schützt die Verschlüsselung eine gestohlene Festplatte oder eine geleakte Sicherungsdatei. Sie schützt nicht vor einem Angreifer, der bereits administrativen Zugriff auf den laufenden Server hat. Wer bei einem Dienst wie diesem etwas anderes behauptet, verkauft ihn übertrieben.
- Keine Zwei-Faktor-Authentifizierung für Konten, weil es keine Passwörter gibt: Zugriff ist der private Link. Das ist für eine 80-jährige Person einfacher, und es bedeutet auch, dass ein geleakter Link ein geleaktes Konto ist. Sagen Sie uns Bescheid und wir stellen ihn sofort neu aus.
- Kein formales Bug-Bounty-Programm. Aber siehe unten, und wir antworten.
Wenn Sie ein Problem finden
Schreiben Sie an security@hellojames.io oder legal@hellojames.io. Sagen Sie uns, was Sie gefunden haben und wie man es nachstellen kann. Wir antworten innerhalb von 72 Stunden, wir werden Ihnen nicht drohen, und wir nennen Ihren Namen, wenn Sie das möchten.
Wenn Sie glauben, dass Daten offengelegt wurden, schreiben Sie das in die Betreffzeile und wir behandeln es sofort als Vorfall: zuständige Stelle wird, wo nötig, innerhalb von 72 Stunden benachrichtigt, und betroffene Menschen werden direkt in klaren Worten informiert.