Question 1

Kann ich ohne Internet entsperren?

Accepted Answer

Speichern: ja. Entsperren: nein.
Dein WQR-Tresor wird lokal auf deinem Gerät gespeichert, aber das Entsperren wird durch einen Online-„Server-Shield“-Schritt geschützt. Dieses Design verhindert groß angelegte Offline-Brute-Force-Versuche, wenn jemand deine Tresordateien stiehlt oder kopiert.

Question 2

Was passiert, wenn der Server down ist?

Accepted Answer

Wenn der Server nicht verfügbar ist, ist Entsperren vorübergehend nicht möglich.
Deine Daten bleiben auf deinem Gerät verschlüsselt und nichts geht verloren — aber weil das Entsperren server-gestützt ist, musst du warten, bis der Dienst wieder verfügbar ist.
Genau diese Einschränkung blockiert im Incident-Fall auch Angreifer.

Question 3

Was passiert, wenn euer Server gehackt wird?

Accepted Answer

Selbst bei einem schweren Server-Compromise werden Klartext-Passwörter dadurch nicht allein vom Server aus lesbar.

Warum:
• Klartext erreicht den Server nie.
• Dein Master-Passwort verlässt dein Gerät nie.
• Der Server ist als „Shield-Schritt“ gebaut, nicht als Tresor-Speicher.

Im Incident-Fall können wir außerdem:
• Einen Notfall-Lockdown aktivieren, um Entsperr-Anfragen zu stoppen.
• Das serverseitige Härtungsgeheimnis („Pepper“) rotieren, um den Angriff einzudämmen.

Question 4

Wie funktioniert QR-Code als Speicher?

Accepted Answer

In WQR werden deine Secrets als verschlüsselte WQR-Code-Dateien gespeichert.
Ein WQR-Code enthält Ciphertext (verschlüsselte Daten), nicht Klartext (lesbare Daten).
Beispiel: Klartext wäre z. B. „MyEmailPassword123“, während Ciphertext wie zufällige Zeichen aussieht.
Die App speichert diese WQR-Codes im geschützten App-Speicher deines Geräts, solange du sie nicht exportierst.

Question 5

Warum überhaupt QR / WQR?

Accepted Answer

WQR-Speicherung bringt praktische Vorteile:
• Portabilität: Deine Secrets können als sichere Dateien übertragen werden.
• Kontrollierter Transfer: Teilen durch Scannen/Importieren statt durch das Senden von Roh-Klartext.
• Extra Hürde gegen Casual Scanning: WQR ist kein Standard-QR, den beliebige Scanner-Apps dekodieren können.

Wichtig: Verschlüsselung ist der Hauptschutz. WQR ergänzt das um praktische Sicherheitsvorteile im Alltag.

Question 6

Speichert ihr meinen Tresor?

Accepted Answer

Nein.
Wir speichern deinen Tresor nicht in einer unbekannten Online-Datenbank.
Dein Tresor besteht aus verschlüsselten WQR-Codes, die lokal auf deinem Gerät liegen, geschützt durch deine Gerätesicherheit (und innerhalb der App).
Der Server hilft nur bei Sicherheitsfunktionen (dem server-gestützten Entsperr-Schritt).

Question 7

Was, wenn jemand mein Gerät stiehlt?

Accepted Answer

Wenn jemand dein Gerät stiehlt, stehen ihm mehrere Hürden im Weg:
• Geräteschutz (PIN/Biometrie).
• Die Tresor-Schutzmechanismen in der WQR-App.
• Verschlüsselte WQR-Speicherung (Ciphertext, kein Klartext).
• Server-gestütztes Entsperren, das Offline-Brute-Force im großen Stil verhindert.

Question 8

Was, wenn jemand ein Foto von meinem WQR-Code macht?

Accepted Answer

Ein Foto eines WQR-Codes ist weiterhin verschlüsselter Ciphertext.
Ohne das richtige Master-Passwort (und den server-gestützten Entsperr-Schritt) bleibt er unlesbar.

Trotzdem: Behandle WQR-Bilder als sensibel:
• Nicht öffentlich posten.
• Nicht an Orten speichern, denen du nicht vertraust.
Verschlüsselung schützt dich — gute Hygiene schützt dich noch mehr.

Question 9

Ist es nicht ein Sicherheitsproblem, einen QR-Code zu zeigen, weil andere ihn sehen können?

Accepted Answer

Einen WQR-Code zu sehen ist nicht dasselbe wie dein Passwort zu sehen.
Ein WQR-Code ist ein verschlüsselter Container. Ohne die nötigen Entsperr-Schritte kann niemand dein Passwort daraus „lesen“.
Trotzdem ist es nicht empfehlenswert, sensible Codes in der Öffentlichkeit zu zeigen — vermeide unnötige Sichtbarkeit.

Question 10

Mehrere Master-Passwörter sind nervig — warum mehr statt eins?

Accepted Answer

Du musst nicht mehr als eins verwenden.
WQR unterstützt mehrere Master-Passwörter optional, um den „Blast Radius“ zu reduzieren.
Wenn ein Master-Passwort kompromittiert wird, soll es nicht automatisch dein ganzes digitales Leben entsperren — nur die Einträge, die durch dieses Master geschützt sind.

Question 11

Sollte ich starke Passwörter erstellen?

Accepted Answer

Ja.
Wir verlangen starke Regeln für Master-Passwörter und empfehlen dringend, für Accounts starke Passwörter zu generieren.

Tipp:
• Generiere starke Passwörter für Websites/Apps.
• Nutze ein starkes Master-Passwort, das du zuverlässig behalten kannst (und niemals anderswo wiederverwendest).

Question 12

Gibt es Autofill?

Accepted Answer

Ja — Autofill ist auf Desktop und Android verfügbar.
WQR unterstützt außerdem sichere Workflows, um deine Daten dorthin zu bringen, wo du sie brauchst (z. B. geschützte Templates und sicherere Copy-Nutzung).

Question 13

Was ist Phishing?

Accepted Answer

Phishing bedeutet, dass Angreifer dich dazu bringen wollen, deine Zugangsdaten auf einer gefälschten Website oder einem gefälschten Login-Screen einzugeben.
Es sieht oft echt aus — gleiches Logo, gleiches Design — aber die Seite wird von Angreifern kontrolliert.

Ein Passwort-Manager kann das Phishing-Risiko reduzieren, indem er:
• Dir die korrekte Website/App-Identität zeigt.
• Warnt, wenn etwas nicht passt.
• Gewohnheiten wie „copy/paste in unbekannte Orte“ reduziert.

Question 14

Kann ich auch andere Dinge im Passwort-Feld speichern, z. B. mein WLAN-Passwort oder Bankdaten?

Accepted Answer

Ja.
Alles Sensible kann als verschlüsselter WQR-Eintrag (oder Dokument) gespeichert werden.

Für WLAN-Sharing kannst du auch einen Standard-WLAN-QR-Code erzeugen — aber denk daran:
Standard-QR-Codes sind nicht wie WQR-Codes verschlüsselt, also nutze das nur, wenn du absichtlich einen teilbaren Code willst.

Question 15

Verlässt Klartext jemals mein Gerät?

Accepted Answer

Nein.
Klartext wird nur auf deinem Gerät entschlüsselt.
Er existiert kurz im Speicher, wenn du ihn ansiehst/verwendest, und wird nie an den Server gesendet und nie geloggt.

Question 16

Was loggt ihr?

Accepted Answer

Wir speichern minimale Betriebs-Logs, um den Dienst zu betreiben und zu verteidigen, z. B.:
• Zeitstempel von Requests.
• Fehlercodes.
• Rate-Limit-/Abuse-Signale.
• Basis-Metriken zur Service-Gesundheit.

Wir loggen nicht:
• Klartext-Secrets.
• Entschlüsselte Passwörter.
• Den Inhalt deiner WQR-Payloads.

Question 17

Basiert die Sicherheit von WQR auf „custom QR“?

Accepted Answer

Nein — Verschlüsselung ist die primäre Sicherheit.
WQR ist ein eigenes QR-ähnliches Format, das praktische Schutzwirkung ergänzt:
• Verhindert das beiläufige Scannen durch beliebige Apps.
• Verbessert sichere Speicher-/Transfer-Workflows.

Aber selbst wenn jemand das WQR-Format dekodieren könnte, bekäme er nur Ciphertext.

Question 18

Kann ich jederzeit exportieren / migrieren?

Accepted Answer

Du kannst deine WQR-Codes (verschlüsselt) als Dateien exportieren — als Backup oder für Transfer.
Wenn du zu einem anderen Manager migrieren willst, hängt das von den Export-Optionen ab, die du aktivierst.

Ein sicherer Ansatz ist:
• WQR-Export (immer verfügbar).
• Optionale Standard-Exporte (nur wenn du sie bewusst wählst und die Tradeoffs akzeptierst).

(Export/Import-Optionen werden noch verfeinert.)

Question 19

Was, wenn ich mein Master-Passwort vergesse?

Accepted Answer

Aus Sicherheitsgründen können wir es nicht wiederherstellen.
Wir speichern dein Master-Passwort nicht — und ohne es können deine verschlüsselten Daten nicht entschlüsselt werden.
Wir empfehlen einen Notfallplan (Offline-Backup + klare Recovery-Regeln).

Question 20

Kann mein Account wiederhergestellt werden, wenn ich mein Master-Passwort verliere?

Accepted Answer

Ja — dein Account ist nicht an dein Master-Passwort gebunden.
Das Passwort, mit dem du dich einloggst, sollte nicht dasselbe sein wie das, mit dem du deine Secrets verschlüsselst.
WQR nutzt Passkeys, E-Mail-Verifikation und (wenn nötig) 2FA. Ein klassisches Passwort kann nur für Account-Recovery verwendet werden.

Question 21

Gibt es ein Audit / Bug Bounty?

Accepted Answer

Unser Ziel ist unabhängige Validierung.
• Audit: geplant.
• Bug Bounty: geplant — wir könnten z. B. ein paar Monate Fortified-Abo als Reward für valide Reports anbieten.

Question 22

Seid ihr Open Source?

Accepted Answer

Teilweise, vorerst.
Wir ermöglichen sicherheitsfokussierten Code-Review für Verifikation und Audits, veröffentlichen aber derzeit nicht den gesamten Codebase für uneingeschränkte kommerzielle Nutzung.

Schon bevor es ein vollständiges Programm gibt, halten wir eine Responsible-Disclosure-Policy bereit, damit Researchers Issues sicher melden können.

Fragen & Antworten