Sicherheit

Stand: 1. September 2026 · English

Du sollst einer Anwendung ohne offenen Quellcode eine Anmeldung und, für die Kostenzahlen, einen Admin-Schlüssel anvertrauen. Dass man da zögert, ist berechtigt. Diese Seite ist das Protokoll, das du bei einer solchen App sonst gar nie zu sehen bekommst: was geprüft wurde, was gefunden wurde, was behoben ist — und was bewusst so geblieben ist.

Was diese Prüfung ist und was nicht

Sie ist eine dokumentierte, modellgestützte Prüfung gegen anerkannte Rahmenwerke, durchgeführt mit Claude Fable 5 an vier Terminen, jeder mit schriftlichem Bericht. Sie ist kein externes Audit. Es wurde keine unabhängige Firma beauftragt, und niemand ausserhalb dieses Projekts hat den Quellcode gelesen. Wer ein externes Audit als Messlatte anlegt, wird hier nicht fündig — daran ändert auch keine Formulierung etwas.

Was sie stattdessen liefert, ist eine nachrechenbare Aufstellung, keine Plakette. Jeder Befund unten nennt die Fehlerklasse und was dagegen unternommen wurde.

Welche Fassung geprüft wurde

Der letzte vollständige Durchgang lief am 10. August 2026 gegen den Code, der als Version 5.0 ausgeliefert wurde. Aktuell im Store ist 6.3.

Seither dazugekommen und damit nicht von einem förmlichen Durchgang abgedeckt: die Karten für OpenRouter und Grok, das zweite Claude-Konto, der Demomodus, der Einrichtungsassistent, das Verschieben der Karten, die Monatssummen-Zeile, die Bewertungsanfrage, GitHub Copilot, der Live-Abruf für ChatGPT, die Störungsanzeige und die Kaffeekasse (6.5). Die Härtung aus den Durchgängen — keine Weiterleitungen, Zugangsdaten nur im Schlüsselbund, gedeckeltes Lesen fremder Transkripte — gilt auch dafür, weil sie in den gemeinsamen Schichten sitzt. Ehrlich bleibt trotzdem: 6.3 hat keinen eigenen Durchgang hinter sich, und etwas anderes zu behaupten würde diese Seite sinnlos machen.

Geprüft gegen

OWASP ASVS 4.0 · OWASP MASVS
Apple Secure Coding Guide
RFC 8252 (OAuth in nativen Apps) · RFC 7636 (PKCE)
CWE Top 25

Die Durchgänge

Durchgang 2.1 — fünf Befunde, alle behoben

2. August 2026 · zwei unabhängige Läufe

Befehlseinschleusung über den Codex-Pfad (CWE-78) — AppleScript ist raus, der Pfad wird shell-maskiert in eine .command-Datei geschrieben.
HTML-Einschleusung in der Rückkanal-Seite — die Ausgabe wird maskiert.
Datenwettlauf auf startup im Codex-Anschluss — Zugriff nur noch über die Queue.
Ignorierter Rückgabewert von SecRandomCopyBytes — wirft jetzt, statt stillschweigend schwachen Zufall zu liefern.
Pfadausbruch über eine agentId aus einem fremden Transkript — Zeichen werden gefiltert.

Durchgang 3.1 — kein kritischer und kein hoher Befund, neun Punkte behoben

4. August 2026 · zwei unabhängige Läufe · 103 Tests grün

Die fünf Befunde aus 2.1 waren nachweislich weiterhin geschlossen.

Ganzzahl-Falle aus fremden Transkripten (CWE-190). Eine einzige Zeile mit "input_tokens": 1e300 brachte die App beim Umrechnen zum Absturz — und weil die Datei im Aktivitätsfenster blieb, beim Neustart gleich wieder. Werte werden gedeckelt, Summen sättigend gerechnet.
«Projektordner öffnen» startete alles, worauf der Pfad zeigte (CWE-73). Der Pfad stammt aus dem cwd-Feld eines fremden Transkripts; zeigte er auf ein Programmbündel, war der Klick ein Programmstart. Jetzt nur noch im Finder zeigen, und nur bei einem echten Ordner.
Weiterleitungen mit dem Admin-Schlüssel im Kopf (CWE-522). Alle Clients nutzen eine Session, die HTTP-Weiterleitungen nicht folgt — eine 301-Antwort kann den Schlüssel nicht zu einem fremden Host tragen.
Wettlauf beim Abmelden (CWE-613). Eine laufende Token-Erneuerung schrieb die eben gelöschten Token wieder in den Schlüsselbund. Sie verwirft ihr Ergebnis jetzt.
Prüfen-und-Setzen-Wettlauf beim Start des Codex-Dienstes (CWE-362) — zwei Aufrufer konnten zwei Kindprozesse starten, einer blieb als Waise zurück. Jetzt atomar.
Fehlende Ressourcengrenzen (CWE-400): 4 MB je Lesedurchgang, 200 Subagenten-Dateien je Sitzung, 4 MB Puffer im Codex-Anschluss, 25 Projekte bei OpenAI, und die Codex-Protokolle werden nur noch am Dateiende gelesen.
Symbolische Verweise (CWE-59) — die Verlaufsdatei wird mit O_NOFOLLOW geöffnet.
Ehrliche Zeitstempel — Werte aus dem Codex-Protokoll tragen den Zeitpunkt aus dem Protokoll, nicht den der Abfrage; Kontostand und Coding-Kontingent von Kimi haben getrennte Zustände, damit nicht der eine den anderen als frisch ausweist.
Weniger Preisgabe — die Schlüsselvorschau zeigt nur noch die letzten vier Zeichen (der Selbsttest ist zum Verschicken gedacht), und die Schlüsselbund-Einträge stehen auf «nur dieses Gerät».

Durchgang 4.1 — Anzeigeschicht

9. August 2026 · zwei Läufe: einmal auf Fehler und Verbesserungen, einmal auf die Sicherheit der Anzeigeschicht

Beide Berichte wurden vor der Veröffentlichung eingearbeitet. Eine eigene Befundliste hat dieser Durchgang nicht hervorgebracht — hier eine zu konstruieren wäre Füllmaterial.

Durchgang 4.2 — kein kritischer Befund; zwei wichtige und drei kleine behoben

10. August 2026 · ausgeliefert als Version 5.0

UTC-Tagesgrenze in der Guthabenrechnung. Die Kostenintervalle der Schnittstelle beginnen an UTC-Mitternacht, der Stichtag wurde aber mit dem lokalen Kalender gebildet — westlich von UTC fiel der Aufladetag aus der Summe, und die App zeigte zu viel Guthaben. Sie rechnet jetzt in UTC, ein Test prüft acht Zeitzonen.
Ungedeckeltes Int(…) auf die Restzeit im Menüleistensymbol: eine masslose resets_at-Antwort des Servers konnte die App zum Absturz bringen. Jetzt auf acht Tage gedeckelt.
Klein: Decimal(Double) verfälscht Beträge, der Aufladebetrag läuft deshalb über die Zeichenkette; eine veraltete Kostensumme konnte neben einem neuen Betrag stehen; eine unnötig offene Schnittstelle wurde geschlossen.

Die Befunde von 2.1 bis 4.1 waren nachweislich weiterhin geschlossen.

Bewusst nicht umgesetzt

Das sind Abwägungen, keine Versäumnisse. Sie stehen hier, weil eine Prüfung, der man nicht widersprechen kann, nichts wert ist.

Kein Browser-Sitzungsschlüssel für den OpenAI-Guthabenstand. Das Restguthaben wäre mit einem sess-…-Cookie leicht zu lesen — und dieses Cookie bedeutet Vollzugriff auf das OpenAI-Konto. Stattdessen ergibt sich der Stand aus dem Aufladebetrag, den du selbst einträgst, minus den Tageskosten, die die App ohnehin holt. Keine zusätzliche Anfrage, kein neues Geheimnis.
Sandbox — beim geprüften Stand noch keine. Die geprüfte 5.0 lief ohne App-Sandbox, weil sie ~/.claude und ~/.codex frei lesen musste. Seit 5.1 läuft die Mac-App-Store-Fassung in der Sandbox und erfragt genau diese zwei Ordner als ausdrückliche Freigabe — der Zugriff bleibt rein lesend und kommt von dir.
Der Rückkanal bleibt http://localhost:<port>/callback. RFC 8252 §7.3 empfiehlt das Literal 127.0.0.1, aber genau diese Form akzeptiert der Client von Anthropic — eine Umstellung bräche die Anmeldung. Das Rebinding-Risiko ist entschärft, weil der Server ausschliesslich auf der Rückschleife lauscht (requiredInterfaceType = .loopback).

Wohin die Mac-App Verbindungen aufbaut

Das ist die vollständige Liste — dieselbe, die die App auf ihrer Über-Seite zeigt. Weiterleitungen werden nicht befolgt, und die Inhalte deiner Sitzungen werden nie übertragen.

Adresse	Wofür	Voraussetzung
`claude.com`, `platform.claude.com`	An- und Abmeldung bei Claude	Dein Claude-Abo
`api.anthropic.com`	Nutzungsfenster des Abos und, davon getrennt, die Kosten der Schnittstelle	Anmeldung bzw. Admin-Schlüssel
`auth.openai.com`	Anmeldung beim ChatGPT-Konto — die Seite gehört OpenAI	Nur während der Anmeldung (App-Store-Fassung)
`chatgpt.com`	Kontingente und Guthaben des angemeldeten ChatGPT-Kontos	ChatGPT-Anmeldung
`api.openai.com`	Kosten und Tokenverbrauch der OpenAI-Schnittstelle	Admin-Schlüssel, freiwillig
`api.moonshot.ai` / `api.moonshot.cn`, `api.kimi.com`	Kontostand und Coding-Kontingent bei Kimi	API-Schlüssel, freiwillig
`openrouter.ai`	Guthaben, Verbrauch und das Limit auf deinem Schlüssel	Gewöhnlicher Schlüssel, freiwillig
`management-api.x.ai`	Guthaben und Ausgabenlimit bei xAI	Management-Schlüssel, freiwillig
`api.github.com`	Der Benutzername zu deinem Token und der Abrechnungsbericht für GitHub Copilot	GitHub-Token, freiwillig
`status.claude.com`, `status.openai.com`, `status.moonshot.cn`	Die öffentlichen Störungsmeldungen der Anbieter — es geht nichts hin, es kommt nur eine öffentliche Statusdatei zurück	Nur bei eingerichteter Karte des jeweiligen Anbieters
`localhost:<port>/callback`	Der Rückweg der Anmeldung, ausschliesslich auf der Rückschleife	—
Lokale Dateien: `~/.claude`, `~/.codex`	Deine Claude-Code-Sitzungen und die Kontingente des ChatGPT-Abos, gelesen auf deinem Mac. Nichts davon verlässt das Gerät.	Lesezugriff, den du einmal erteilst

In dieser Liste steht kein eigener Server — es gibt keinen. Die ChatGPT-Kontingente kommen entweder aus der lokalen Codex-Installation oder, wenn du dich in der App bei ChatGPT anmeldest, direkt von chatgpt.com.

Warum ein Admin-Schlüssel — und was er kann

OpenAI und Anthropic geben Kosten- und Verbrauchszahlen ausschliesslich über ihre Admin-Endpunkte heraus; ein gewöhnlicher Projektschlüssel liefert dort nichts. Das ist ein echtes Zugeständnis von dir, darum die zwei Punkte, auf die es ankommt:

Das Cockpit liest ausschliesslich. Es legt nichts an, ändert nichts und löscht nichts in deinem Konto.
Der Schlüssel liegt im macOS-Schlüsselbund, auf «nur dieses Gerät», und geht nur an den Host, zu dem er gehört — nie über eine Weiterleitung. Einstellungen → «Alles zurücksetzen» entfernt ihn lokal; bei deinem Anbieter bleibt er gültig, bis du ihn dort widerrufst.

Wer diesen Tausch nicht machen will, lässt die beiden Karten weg. Jede Karte ist optional, und der Rest des Cockpits arbeitet ohne sie.

Eine Lücke melden

Über das Kontaktformular — bitte gleich zu Beginn vermerken, dass es eine Sicherheitsmeldung ist, und eine Adresse hinterlassen, unter der du erreichbar bist. Die Antwort kommt dorthin, die Einzelheiten müssen also nicht ins Formular selbst. Bitte vor einer Veröffentlichung ein paar Tage Zeit lassen — hier sitzt eine Person, kein Sicherheitsteam.