Bramble

Ein Passwort-Manager, der deine Geheimnisse auf deinen eigenen Geräten aufbewahrt. Kein Konto, kein Server, der deinen Tresor speichert, kein Unternehmen, das gehackt werden und alles preisgeben könnte. Du hast den Tresor, du hast das Passwort – und das war's.

Bramble läuft dort, wo du arbeitest:

• Browser-Erweiterung für Chromium-Browser (Brave, Vivaldi, Chrome, Arc und Co.). Installiere sie und du bist in einer Minute startklar.
• iOS-App mit System-AutoFill, Face-ID-/Touch-ID-Entsperrung und Passkeys.
• Android-App mit nativem Autofill-Dienst, biometrischer Entsperrung und Passkeys.

Hinter allen dreien stecken derselbe verschlüsselte Tresor und derselbe Rust-Krypto-Core, und deine Geräte können direkt Peer-to-Peer miteinander synchronisieren – ohne Cloud in der Mitte.

Bramble holen:

• Chromium: Chrome Web Store
• Firefox: Firefox Add-ons Store
• Android: Releases
• iOS: App Store

Screenshots

Dein Tresor	Tresor auswählen	Autofill auf einer Seite
Neuen Login speichern	Vorhandenen Login aktualisieren	Eintrag bearbeiten
Passkey erstellen	Mit Passkey anmelden	Einstellungen
Entsperrmethoden	Backups und Import	Geplante Cloud-Backups
Gerätesynchronisierung

Was es tut

Deine Passwörter werden auf deinem eigenen Gerät verschlüsselt und bleiben dort: auf dem Desktop im privaten Erweiterungsspeicher des Browsers und auf dem Handy im app-privaten, verschlüsselten Speicher. Es gibt keinen Server, der deinen Tresor speichert, und kein Konto, für das du dich anmelden müsstest. Um denselben Tresor auf mehreren Geräten zu nutzen, synchronisiert Bramble ihn direkt zwischen deinen Geräten, Peer-to-Peer, Ende-zu-Ende verschlüsselt, ohne Cloud in der Mitte. Du willst eine Kopie in den eigenen Händen? Exportiere jederzeit eine verschlüsselte Backup-Datei.

Alle kryptografischen Vorgänge laufen in einem einzigen Rust-Core ab: im Browser zu WebAssembly kompiliert und auf iOS und Android als native Bibliothek. Schlüsselableitung, Verschlüsselung und Entschlüsselung laufen alle in diesem Core, und abgeleitete Schlüssel werden nach der Verwendung aus dem Speicher gelöscht.

Backups

Niemand sonst besitzt eine Kopie deines Tresors, also liegt es an dir, ein Backup zu machen. Bramble gibt dir zwei Möglichkeiten, das zu tun:

• Explizit: eine Backup-Datei exportieren. Exportiere in den Einstellungen (derzeit in der Browser-Erweiterung) deinen gesamten Tresor in eine verschlüsselte .bramble-Datei und verwahre sie an einem sicheren Ort: einem anderen Laufwerk, einem USB-Stick, wo auch immer du willst. Sie bleibt Chiffretext, sodass das Öffnen weiterhin dein Master-Passwort erfordert und ein gestohlenes Backup für sich allein nutzlos ist. Tu das ab und zu, besonders vor größeren Änderungen.
• Implizit: Peer-to-Peer-Synchronisierung. Aktiviere die Synchronisierung und jedes Gerät in deiner Sync-Gruppe ist im Grunde eine Live-Kopie des Tresors. Kopple ein zweites Gerät und jedes davon enthält alles – wenn du also eines verlierst oder zurücksetzt, haben die anderen weiterhin deine Daten. Das ist das einfachste Sicherheitsnetz, das es gibt, ohne Dateien, an deren Export du denken musst.
• Automatisch: geplante Cloud-Backups (Browser-Erweiterung). Richte Bramble auf Speicher aus, den du bereits nutzt, und es legt dort nach dem von dir gewählten Zeitplan ein verschlüsseltes Backup ab. Melde dich mit einem Klick bei Dropbox an, nutze einen beliebigen S3-kompatiblen Bucket (Backblaze B2, Cloudflare R2, Storj, Wasabi, MinIO und Co.) oder richte es auf deinem eigenen selbst gehosteten WebDAV-Server ein (Nextcloud, ownCloud, Fastmail und Ähnliche). Füge so viele Ziele hinzu, wie du möchtest, jedes in seinem eigenen Rhythmus (täglich, wöchentlich oder monatlich), oder drücke jederzeit auf Jetzt sichern. Es verlässt ausschließlich Chiffretext dein Gerät, der Anbieter speichert also etwas, das er nicht lesen kann, und ein gestohlenes Backup benötigt zum Öffnen weiterhin dein Master-Passwort; Bramble behält die neuesten Snapshots und verwirft den Rest. Das Wiederherstellen eines Backups auf einem neuen oder zurückgesetzten Gerät funktioniert über die Erweiterung und die mobilen Apps.

Ein synchronisiertes zweites Gerät und der gelegentliche Export zusammen bedeuten, dass du nie nur ein verlorenes oder defektes Gerät davon entfernt bist, deinen Tresor zu verlieren.

Auf deinem Telefon

Die mobilen Apps verwenden Brambles Rust-Krypto-Core und Tresorformat wieder, mit nativem OS-Autofill obendrauf:

• System-AutoFill. Bramble registriert sich als nativer OS-Anbieter für Anmeldedaten, sodass deine Logins und Einmalcodes in der Tastatur und der Autofill-Leiste in Apps und Browsern erscheinen.
• Passkeys. Erstelle Passkeys und melde dich mit ihnen an; sie werden als gewöhnliche Tresoreinträge gespeichert und synchronisieren sich daher mit allem anderen zwischen deinen Geräten.
• Biometrische Entsperrung. Entsperre mit Face ID, Touch ID oder Android-Biometrie, die über den OS-Keystore abgesichert ist, oder weiche auf dein Master-Passwort oder deinen Wiederherstellungscode aus.
• Speicherung auf dem Gerät. Der Tresor liegt im nativen Dateisystem, im Ruhezustand verschlüsselt, nicht in einer Webview-Datenbank, die das OS möglicherweise verwirft.
• Peer-to-Peer-Synchronisierung. Kopple ein Telefon mit deinen anderen Geräten und der Tresor synchronisiert sich direkt zwischen ihnen – ohne Relay, das deine Daten hält.

Die iOS- und Android-Apps werden unabhängig von der Erweiterung versioniert und veröffentlicht.

Funktionen

• Immer Local-first. Dein Tresor wird auf deinem eigenen Gerät verschlüsselt und gespeichert (der private Speicher des Browsers auf dem Desktop, app-privater Speicher auf dem Handy), niemals auf einem Server.
• Keine Abkürzungen bei der Kryptografie. Argon2id für deinen Schlüssel, AES-256-GCM für die Daten, Envelope-Encryption, sodass jeder Eintrag seinen eigenen Schlüssel hat. Geheimnisse werden nach der Verwendung aus dem Speicher gelöscht.
• Alles ist verschlüsselt. Websitenamen, Benutzernamen, Notizen – alles. Der einzige lesbare Teil des gespeicherten Tresors ist sein Header.
• Cleveres Autofill überall. www.ikea.com, ca.accounts.ikea.com und ikea.com passen alle zum selben Login. Ein Eintrag, mehrere URLs. Im Browser ist es ein Dropdown auf der Seite, das Formulare in iframes und im shadow DOM erreicht; auf dem Handy ist es die OS-Autofill-Leiste in Apps und Browsern.
• Passkeys. Bramble ist dein eigener WebAuthn-Authentifikator: Erstelle Passkeys und melde dich mit ihnen an, in der Erweiterung und in beiden mobilen Apps. Passkeys werden als Tresoreinträge gespeichert und synchronisieren sich daher ohne Anbieter-Cloud über deine Geräte.
• Mehr als nur Logins. Logins, Zahlungskarten, sichere Notizen und SSH-Schlüssel, jeweils mit eigenen Feldern.
• Verschlüsselte Backups. Exportiere deinen gesamten Tresor in eine verschlüsselte .bramble-Datei, wann immer du eine Kopie in den eigenen Händen haben möchtest. Zum Öffnen wird weiterhin dein Master-Passwort benötigt.
• Export nach KeePass. Speichere deinen Tresor als standardmäßige .kdbx-Datei (KDBX4) unter einem Passwort, das du für die Datei wählst, und öffne sie in KeePassXC oder einer beliebigen anderen KeePass-App. Kein Lock-in: Die Tür nach draußen ist genauso einfach wie die nach innen.
• Geplante Cloud-Backups. Einmal eingerichtet, vergessen: verschlüsselte Backups zu Dropbox (mit einem Klick), beliebigen S3-kompatiblen Buckets oder selbst gehostetem WebDAV, jeweils in dem Rhythmus, den du wählst. Nur Chiffretext, der Anbieter kann also nichts lesen (derzeit in der Browser-Erweiterung).
• Integrierter Passwortgenerator. Starke Passwörter auf Knopfdruck.
• Entsperre, wie du willst. Master-Passwort, ein Hardware-Schlüssel (YubiKey, Touch ID, Windows Hello per WebAuthn PRF auf dem Desktop), Biometrie auf dem Handy oder ein Wiederherstellungscode. Nutze sie zusätzlich zu deinem Passwort oder schalte das Passwort ab und mache eine davon zu deinem einzigen Zugangsweg.
• Wiederherstellungscodes. Jeder Tresor erhält bei der Einrichtung einen Wiederherstellungscode mit hoher Entropie: ein ausdruckbares Backup, das ihn unabhängig von deinem Master-Passwort entsperrt. Einmal angezeigt, offline aufbewahrt, niemals im Klartext gespeichert. Du kannst ihn jederzeit zurücksetzen.
• TOTP-/2FA-Codes. Füge eine otpauth://-URI oder ein blankes Secret ein und Bramble erzeugt die sechsstelligen Codes.
• Peer-to-Peer-Synchronisierung. Spiegle deinen Tresor direkt zwischen deinen eigenen Geräten über eine Ende-zu-Ende verschlüsselte Verbindung. Keine Cloud, kein Relay, das deine Daten hält.
• Leak-Prüfung. Optionale Have-I-Been-Pwned-Abfrage mit k-Anonymität, sodass nichts über dein Passwort deinen Rechner verlässt.
• Auto-Sperre. Sperrt standardmäßig nach Inaktivität (konfigurierbar).
• Import von den anderen. Übernimm Einträge aus 1Password, Bitwarden, Proton Pass, KeePass (inklusive KDBX4-Schlüsseldateien), Apple Passwords oder Google Password Manager.
• Tresore mit mehreren Schlüsseln. Schlüsselslots im LUKS-Stil, sodass dein Master-Passwort, ein Sicherheitsschlüssel, Biometrie oder dein Wiederherstellungscode jeweils denselben Tresor entsperren können.
• Mehrere Tresore. Halte mehr als einen Tresor nebeneinander und wähle beim Öffnen von Bramble aus, welchen du entsperren möchtest. Praktisch, um sich ein Gerät zu teilen oder um separate Login-Sets hinter eigenen Master-Passwörtern abzuschotten.

Warum das besser ist als die Cloud-Manager

Die Cloud-Anbieter lagern die Tresore aller auf ihren Servern – ein einziges großes Angriffsziel. Wenn einer geknackt wird, leakt nicht dein Tresor, sondern Millionen auf einmal, und du erfährst es Monate später aus einem Blogbeitrag. Das gilt besonders für euch, LastPass und Dashlane 👀

Bramble dreht das um:

• Kein Server, den man angreifen könnte. Dein Tresor verlässt nie deine Kontrolle. Kein zentraler Datenhaufen, den jemand angreifen könnte.
• Kein Konto, kein Abo, keine Telemetrie. Nichts, wofür du dich anmelden müsstest, nichts, was nach Hause telefoniert.
• Du besitzt deine Daten. Sie leben auf deinen Geräten, synchronisieren sich direkt zwischen ihnen und werden jederzeit in eine verschlüsselte Datei exportiert, wenn du eine Offline-Kopie möchtest. Lass sie komplett vom Internet fern, wenn du möchtest. Deine Entscheidung.
• Cloud-Komfort ohne die Cloud. Die Synchronisierung hält jedes Gerät automatisch auf dem neuesten Stand, wie es ein Cloud-Manager tun würde, aber dein Tresor wandert direkt zwischen ihnen über eine Ende-zu-Ende verschlüsselte Verbindung. Kein zentraler Honeypot, kein Unternehmen in der Mitte.
• Nichts zu vertrauen außer dem Code. Die Kryptografie ist offen und läuft vollständig auf deinem Gerät. Du musst niemandem aufs Wort glauben, dass der Server „deine Daten nicht lesen kann“.

Der Kompromiss ist real, und es lohnt sich, ehrlich darüber zu sein: Es gibt keinen „Ich habe mein Passwort vergessen“-Button irgendwo auf einem Server. Aber du bist nicht ohne Sicherheitsnetz: Jeder Tresor erhält einen Wiederherstellungscode, und du kannst einen Hardware-Schlüssel als weiteren Zugangsweg registrieren. Bewahre den Wiederherstellungscode auf, halte ein zweites Gerät synchronisiert und exportiere ab und zu ein Backup. Wenn du alle deine Zugangswege verlierst (Passwort, Schlüssel und Wiederherstellungscode), ist der Tresor weg – denn niemand sonst hat eine Kopie.

So funktioniert die Verschlüsselung

Bramble verwendet Schlüsselslots im LUKS-Stil und Envelope-Encryption. Es gibt einen zufälligen Vault Key (VEK), der deine Daten tatsächlich schützt. Jede Entsperrmethode (Master-Passwort, Sicherheitsschlüssel, Biometrie oder Wiederherstellungscode) leitet ihren eigenen Key-Encryption Key (KEK) ab, der eine Kopie desselben Vault Keys entschlüsselt. Das Hinzufügen oder Entziehen einer Entsperrmethode verschlüsselt also nie einen einzigen Eintrag neu. Der Vault Key entschlüsselt dann für jeden Eintrag einen frischen Schlüssel, und dieser Schlüssel entschlüsselt den Eintrag selbst. Alles ist AES-256-GCM, alles innerhalb desselben Rust-Cores (im Browser zu WebAssembly kompiliert, auf dem Handy als native Bibliothek).

flowchart TD
    subgraph unlock["Unlock (any one of these)"]
        PW["Master password"]
        SK["Security key<br/>(WebAuthn PRF)"]
        RC["Recovery code"]
    end

    PW -->|"Argon2id"| KEK["Key-Encryption Key (KEK)<br/>32 bytes, never stored"]
    SK -->|"HKDF-SHA256"| KEK
    RC -->|"Argon2id"| KEK

    subgraph slots["Key slots (in the vault)"]
        S["wrapped Vault Key<br/>per slot"]
    end

    KEK -->|"AES-256-GCM unwrap"| VEK["Vault Key (VEK)<br/>random, protects everything"]
    S -.->|"one slot per unlock method"| VEK

    VEK -->|"decrypt entries blob"| ENTRIES["Encrypted entries"]
    VEK -->|"AES-256-GCM unwrap"| DEK["Per-entry key (DEK)<br/>fresh & random per save"]
    DEK -->|"AES-256-GCM decrypt"| DATA["Entry data<br/>(passwords, notes, cards, keys)"]

Dein Master-Passwort wird nur dazu verwendet, innerhalb des Krypto-Cores Schlüssel abzuleiten, und KEK und entschlüsselte Schlüssel werden nach der Verwendung aus dem Speicher gelöscht. Im Speicher ist nur der Tresor-Header lesbar; alles andere ist Chiffretext.

Wie es sich gegen KeePass behauptet

Wenn du KeePass liebst, wirst du dich wie zu Hause fühlen: deine verschlüsselte Datenbank, deine Kontrolle, kein Cloud-Zwischenhändler. Bramble importiert sogar deine KDBX4-Dateien. Wo es anders ist:

• 🌐 Es trifft dich dort, wo du bist. Eine Browser-Erweiterung und native iOS- und Android-Apps, alle auf einem Tresor. Keine separate Desktop-App oder kein Plugin, das mit einem lokalen Programm spricht, und kein Gefummel, um Autofill auf deinem Handy zum Laufen zu bringen.
• Autofill funktioniert einfach. Domain-Abgleich und ein Dropdown auf der Seite im Browser, plus System-Autofill und Passkeys auf dem Handy – integriert statt nur angeflanscht.
• Ein einziger konsequenter, moderner Build statt eines Wildwuchses an Plugins und Forks. Argon2id und AES-256-GCM ab Werk.
• Moderne Oberfläche. KeePass sieht aus, als wäre es direkt aus 2003 (ganz ohne Respektlosigkeit). Bramble ist aufgeräumt und schnell, mit Dunkelmodus und einem Layout, bei dem du nicht zusammenzucken musst.

Die KeePass-Philosophie mit einem browser- und mobil-nativen Anstrich und Autofill, das reibungslos funktioniert.

Offenlegung zur KI-Nutzung

Teile von Bramble wurden mit KI-Unterstützung geschrieben (Claude Opus), aber jede Zeile wurde von einem Softwareentwickler mit über einem Jahrzehnt Erfahrung gesteuert, überprüft und geformt – insbesondere die sicherheitskritischen Teile. Die KI war eine schnelle Tippkraft, nicht die Architektin. Die Codebasis ist umfassend getestet, automatisiert und manuell, denn bei Sicherheitssoftware ist „scheint zu funktionieren“ nicht gut genug.

Was als Nächstes kommt

• Cloud-Backups auf dem Handy. Die Browser-Erweiterung sichert heute planmäßig zu Dropbox, S3 und WebDAV; als Nächstes sollen diese geplanten Uploads in die iOS- und Android-Apps kommen (mobil kann bereits aus einer Backup-Datei wiederhergestellt werden).

Mitwirken

Open Source und Beiträge sind willkommen. CONTRIBUTING.md enthält die Einrichtungsschritte, den Codestandard und die Erwartungen von CI. Ein paar Dinge, die du vorab wissen solltest:

• Öffne für alles Große zuerst ein Issue. Fehlerberichte und kleine Fixes können direkt als PR eingereicht werden. Der Tracker befindet sich unter github.com/flythenimbus/bramble/issues.
• Sicherheitssoftware hat eine höhere Messlatte. Erwarte, dass Änderungen mit Tests kommen und die Krypto- und Tresorformat-Pfade besonders genau geprüft werden.
• Einen Sicherheitsfehler gefunden? Bitte melde ihn nicht im öffentlichen Tracker. Melde ihn privat über GitHub Security Advisories oder per E-Mail, damit er behoben werden kann, bevor er an die Öffentlichkeit gelangt. Details findest du in SECURITY.md.

PRs, die Autofill-Fixtures für echte Websites oder Abdeckung für Importformate hinzufügen, sind besonders hilfreich.

Unterstützung

Bramble ist kostenlos und Open Source. Wenn es dir nützlich ist, ist ein Trinkgeld sehr willkommen. 💜 Scanne mit deiner Wallet einen Code oder kopiere eine der Adressen unten.

Monero (XMR)	Bitcoin · Lightning	Bitcoin · on-chain

Monero (XMR)

4AC3txuTwFm4fkamoYeK47c9EpnPwbreHNxJeKDYHiDNN6weD5vVA4BCH1azQhSxa6JjereuVpt21Pu2MyRDFDNNH6KGnWq

Bitcoin · Lightning

[email protected]

Bitcoin · on-chain

bc1q78sd5rnuufqdtv9plp0p56hrq72c9unj8tec8t

Lizenz

Bramble ist freie Software, veröffentlicht unter der GNU General Public License v3.0. Den vollständigen Text findest du in der Datei LICENSE. Kurz gesagt: Nutze sie, studiere sie, forke sie und teile sie. Wenn du eine modifizierte Version weiterverbreitest, gib dieselben Freiheiten weiter und stelle deinen Quellcode ebenfalls unter der GPLv3 bereit.