Secure Vault

📄 Technisches Paper: SecureVault_Technical_Paper_v3.5.0.pdf · Auf Zenodo zitieren

Lokale Dateiverschlüsselung für Windows, gesichert durch einen physischen USB-Schlüssel statt eines Passworts.

⚠️ v3.5.0 enthält einen Breaking-Security-Fix — siehe CHANGELOG.md, bevor du von einer früheren Version aktualisierst.

---

Inhaltsverzeichnis

• Was das ist
• Warum ein USB-Schlüssel statt eines Passworts
• Funktionen
• Installation
• Ersteinrichtung
• Secure Vault verwenden
  • Eine Datei verschlüsseln
  • Eine Datei entschlüsseln
  • Einen USB-Schlüssel registrieren
  • Registrierte Geräte anzeigen
  • Backups
  • Eine Datei wiederherstellen
  • E-Mail-Benachrichtigungen (Option 7)
  • Rechtsklick-Integration
• Kommandozeilen-Nutzung
• Konfigurationsdateien
• Den Installer aus dem Quellcode bauen
• Sicherheitshinweise
• Fehlerbehebung
• Lizenz

---

Was das ist

Secure Vault verschlüsselt einzelne Dateien (oder Ordner) auf deinem Windows-Rechner mit AES-256-GCM. Statt den Verschlüsselungsschlüssel nur mit einem Passwort zu schützen, wird der Schlüssel zufällig generiert und auf einem USB-Flash-Laufwerk deiner Wahl gespeichert. Um später etwas zu entschlüsseln, muss genau dieses USB-Laufwerk physisch angeschlossen sein.

Warum ein USB-Schlüssel statt eines Passworts

Passwörter können erraten, per Phishing abgefangen, per Keylogger ausgelesen oder per Brute-Force geknackt werden. Ein physischer Schlüssel kann nicht auf die gleiche Weise aus der Ferne gestohlen werden wie ein Passwort. Abwägungen, die du verstehen solltest, bevor du dich darauf verlässt:

• Wenn jemand dein Laptop stiehlt, aber nicht dein USB-Laufwerk, kann er deine Dateien nicht entschlüsseln.
• Es gibt nichts einzutippen, zu merken oder preiszugeben.
• Es gibt kein Zurücksetzen des Passworts. Wenn du das USB-Laufwerk verlierst und keine Sicherungskopie der Schlüsseldatei darauf hast, ist alles damit Verschlüsselte dauerhaft unwiederbringlich verloren. Behandle dieses Laufwerk wie einen physischen Hausschlüssel — wisse jederzeit, wo es ist, und ziehe in Betracht, eine Sicherungskopie der Schlüsseldatei selbst an einem sicheren zweiten Ort aufzubewahren.

Funktionen

• AES-256-GCM-Verschlüsselung mit scrypt-Schlüsselableitung
• USB-basierter Master-Schlüssel, plus optionale gerätespezifische Schlüssel für mehrere Rechner
• Verschlüsselte lokale Backups mit automatischer Rotation (behält die letzten 5, verfallen nach 30 Tagen)
• Datei-Integritätsprüfsummen (erkennt Manipulation/Beschädigung)
• Mehrfach-Sicheres-Löschen der Originaldatei nach der Verschlüsselung
• Optionale E-Mail-Benachrichtigungen, wenn Vault-Aktionen stattfinden
• Optionaler Rechtsklick-Eintrag „Mit Secure Vault verschlüsseln/entschlüsseln" im Windows-Explorer
• Vollständig unbeaufsichtigter Installer — keine Interaktion über den anfänglichen Doppelklick hinaus erforderlich

---

Installation

1. Gehe zur Releases-Seite und lade die neueste SecureVaultSetup-x.x.x.exe herunter.
2. Führe sie aus.
   • Windows zeigt möglicherweise eine SmartScreen-Warnung „Windows hat Ihren PC geschützt" an. Das ist bei einem neuen, nicht signierten Installer zu erwarten — klicke auf „Weitere Informationen" → „Trotzdem ausführen". Siehe Sicherheitshinweise, warum das passiert.
   • Der Installer benötigt Administratorrechte (er installiert möglicherweise Node.js, falls es fehlt, und kann eine Rechtsklick-Shell-Erweiterung registrieren).
3. Während der Einrichtung wirst du gefragt, ob eine Desktop-Verknüpfung erstellt und ob die Rechtsklick-Menü-Integration hinzugefügt werden soll — beides optional, setze die Häkchen, die du möchtest.
4. Der Installer wird:
   • Node.js prüfen und es still installieren, falls es fehlt
   • Die App nach Program Files\SecureVault installieren (oder an den von dir gewählten Ort)
   • Die eine erforderliche Abhängigkeit installieren (nodemailer, nur für die optionale E-Mail-Funktion verwendet)
   • Startmenü-/Desktop-Verknüpfungen erstellen
5. Klicke auf Fertigstellen — Secure Vault startet automatisch.

Keine manuellen Schritte, keine Kommandozeile für eine normale Installation erforderlich.

---

Ersteinrichtung

Das Allererste, was nach der Installation zu tun ist, ist ein USB-Laufwerk als deinen Master-Schlüssel zu registrieren. Nichts kann verschlüsselt oder entschlüsselt werden, bis dies erledigt ist.

1. Schließe ein USB-Flash-Laufwerk an, das du bereit bist, für diesen Zweck zu reservieren.
2. Starte Secure Vault (Startmenü- oder Desktop-Verknüpfung).
3. Wähle aus dem Menü Option 3 — Register USB.
4. Gib ein: master
5. Gib den Laufwerksbuchstaben ein, z. B. E: (siehe Fehlerbehebung, falls dies fehlschlägt).
6. Secure Vault schreibt eine .vault_master.key-Datei in das Stammverzeichnis dieses Laufwerks. Lösche diese Datei nicht und verliere dieses Laufwerk nicht.

Optional, aber empfohlen: Kopiere diese .vault_master.key-Datei als Backup auf ein zweites, sicher aufbewahrtes USB-Laufwerk, falls das primäre jemals verloren geht oder beschädigt wird.

---

Secure Vault verwenden

Starte die App über die Startmenü-/Desktop-Verknüpfung, um das interaktive Menü zu erhalten:

========================================
  SECURE VAULT
========================================
  1. Encrypt a file
  2. Decrypt a file
  3. Register USB
  4. View devices
  5. View backups
  6. Restore file
  7. Configure email
  8. Install right-click menu
  9. Exit

1. Eine Datei verschlüsseln

Wähle Option 1 und gib dann den vollständigen Pfad zur Datei oder zum Ordner ein. Dein registriertes USB-Laufwerk muss angeschlossen sein. Die Ausgabe ist eine .vault-Datei; das Original wird nach einer erfolgreichen Verschlüsselung und Sicherung sicher gelöscht (3-mal überschrieben).

2. Eine Datei entschlüsseln

Wähle Option 2 und gib den Pfad zur .vault-Datei ein. Dein registriertes USB-Laufwerk muss angeschlossen sein — ohne es ist eine Entschlüsselung unmöglich.

3. USB-Schlüssel registrieren

Behandelt in Ersteinrichtung oben. Du kannst auch zusätzliche gerätespezifische Schlüssel registrieren (wähle device statt master), wenn du einen separaten Schlüssel für einen zweiten Rechner möchtest, während du insgesamt einen Master-Schlüssel behältst.

4. Registrierte Geräte anzeigen

Listet jeden derzeit registrierten USB-Schlüssel (Master und Gerät) auf, entnommen aus config/registered-devices.json.

5. Backups

Jedes Mal, wenn du eine Datei verschlüsselst, speichert Secure Vault automatisch eine verschlüsselte Backup-Kopie lokal (rotiert — behält die 5 neuesten, verfällt automatisch nach 30 Tagen). Option 5 ermöglicht es dir, diese aufzulisten und anzuzeigen.

6. Wiederherstellen

Stellt eine Datei aus einem dieser lokalen Backups wieder her, falls du die Version vor der Verschlüsselung zurückhaben möchtest, ohne den Weg über die Entschlüsselung zu gehen.