Alien Pass

• Vier Eintragstypen — Logins (Titel, Nutzername, seit v1.4 optional eine zweite E-Mail-Adresse, Passwort, URL, Notizen, optional TOTP), verschlüsselte Notizen, Karten (Inhaber, Nummer, Ablauf, CVV, PIN — maskiert, kopierbar) und seit v1.3 Konten (Inhaber, IBAN, BIC, Bank, PIN — die Liste zeigt die IBAN nur maskiert, die PIN erscheint nur auf Anfrage). Favoriten, Suche über alles.
• Kategorien — wie Ordner: frei eintippen, Filter-Chips über der Liste. Beim Proton-Import werden die Tresore zu Kategorien.
• Zusatzfelder, immer geheim (seit v1.4) — bis zu acht frei benannte Felder je Eintrag, bei jedem Typ: App-PIN, Telefon-Kennwort, Sicherheitsfrage, Auszahlungs-PIN. Der Wert erscheint nur auf Anfrage und hat einen eigenen Kopier-Button; die Bezeichnung ist durchsuchbar, der Wert nie. So muss nichts davon im Klartext in die Notizen. Versteckte Felder aus Proton Pass landen beim Import direkt hier.
• Passwort-Generator — Zeichen-Passwörter (8–64 Zeichen) oder Würfelwörter aus der EFF-Liste (sechs Wörter ≈ 77 Bit). Entropie wird angezeigt, im Zeichen-Modus ehrlich um die Vorgabe „jeder Zeichensatz kommt vor“ bereinigt. Seit v1.4 auch direkt im Eintragsformular: „Generieren“ klappt ein Panel mit Modus, Länge und Zeichensätzen auf, jede Änderung erzeugt sofort neu.
• TOTP pro Eintrag — 2FA-Codes direkt beim Login-Eintrag (RFC 6238, SHA-1/256/512). Für kritische Konten empfiehlt die App trotzdem Aegis.
• Passwort-Gesundheit — markiert wiederverwendete, kurze und seit v1.6 vorhersagbare Passwörter: Wiederholungen, Zeichen- und Tastaturfolgen, Jahreszahlen, häufige Wörter auch in Leetspeak (P4ssw0rt), nur Ziffern. Die Stärke-Anzeige beim Tippen nennt den Grund und heißt ehrlich „Schätzung“ — ob ein Passwort zu dir passt (Name, Geburtstag), sieht sie nicht; wirklich stark ist ein Passwort aus dem Generator. Bei einer vorhersagbaren Tresor-Passphrase fragt die App nach, weil sie auch jedes Backup schützt. Das Alter bewusst nicht: Ein starkes Zufallspasswort wird mit der Zeit nicht schwächer, Zwangsrotation ist ein Anti-Muster (NIST SP 800-63B) — gewechselt wird bei Leak-Verdacht. Rein lokal, keine Leak-Abfrage.
• Zwischenablage mit Auto-Löschen — 15, 30 oder 60 Sekunden, auch im Hintergrund, solange Android die App nicht eingefroren hat; Kopiertes ist als sensibel markiert, die System-Vorschau zeigt den Inhalt nicht (Android 13+). Bei „Sperren im Hintergrund: sofort“ bleibt das Kopierte bis zum Ablauf der Zeit stehen, damit es sich noch in eine andere App einfügen lässt (seit v1.11). Seit v1.22 gilt beides auch für Text, den du über die Auswahlleiste von Android kopierst oder ausschneidest; Einträge wie „Teilen“, „Websuche“ oder „Übersetzen“ in dieser Leiste geben ihn dagegen ohne Zwischenablage direkt an eine andere App.
• Auto-Sperre — nach Inaktivität und im Hintergrund (sofort bis 5 Minuten).
• Verschlüsseltes Backup & Sync — die .vault-Datei ist vollständig verschlüsselt. Zwei Geräte gleichst du über Export und Import ab, z.B. per Syncthing: je Eintrag gewinnt die neuere Änderung, Löschungen werden mitgenommen.
• Papierkorb (seit v1.5) — Gelöschtes bleibt 30 Tage wiederherstellbar, höchstens 200 Einträge gleichzeitig — ist er voll, vernichtet die nächste Löschung die älteste sofort. Der Papierkorb zeigt nur Titel, Typ und Löschdatum, kein Aufdecken, kein Kopieren. „Endgültig löschen“ vernichtet sofort. Er ist gerätelokal: Beim Zusammenführen wandert die Löschung auf deine anderen Geräte, der Inhalt nicht — wiederherstellen geht nur dort, wo du gelöscht hast. Ehrlich dazu: Solange ein Eintrag im Papierkorb liegt, steht er auch in jedem Backup dieses Geräts.
• Mehrfachauswahl und „Rückgängig“ (seit v1.9) — das Symbol ☑ neben dem + schaltet Kästchen an jeder Zeile ein; die Leiste unten legt die gewählten Einträge in den Papierkorb (mit einem gemeinsamen „Rückgängig“), gibt ihnen eine Kategorie oder markiert sie als Favorit. „Alle“ nimmt nur, was gerade zu sehen ist. Auch nach dem Löschen eines einzelnen Eintrags steht sechs Sekunden lang „Rückgängig“ im Hinweis.
• Umzug aus Proton Pass — direkt aus dem Export, am besten der PGP-verschlüsselten Variante: Die Datei wandert verschlüsselt aufs Handy und wird erst in der App entschlüsselt. Logins mit TOTP, Notizen, Kreditkarten, Aliase, WLAN und Identitäten kommen mit. Dazu CSV-Import aus Google Passwortmanager / Chrome, Apple Passwörter, Firefox, KeePassXC, Bitwarden, LastPass, 1Password und NordPass (seit v1.10) — das Format wird an der Kopfzeile erkannt, Ordner und Tags werden zu Kategorien, Favoriten und TOTP kommen mit; jede andere CSV mit Titel und Passwort geht ebenfalls. Steht „Sperren im Hintergrund“ auf „sofort“, wird die gewählte Datei nach dem Entsperren importiert. Der Klartext-Export gehört danach gelöscht, das Handbuch sagt es bei jedem Manager.
• Aegis-Hürde — optional ein TOTP-Code beim Entsperren. Ehrlich benannt als Hürde gegen jemanden, der die Passphrase abgeschaut hat, nicht als zweiter Faktor: Der Schlüssel liegt im Tresor selbst.
• Fingerabdruck-Entsperren (seit v1.2, optional) — der Datenschlüssel wird zusätzlich unter einem Zufallsschlüssel verpackt, den der Android-Keystore nur nach starker Biometrie herausgibt; nichts davon gelangt in Backups. Die Passphrase bleibt der eigentliche Schutz: Sie ist nach jedem Neustart (seit v1.8 abwählbar: ein Haken beim Aktivieren lässt den Fingerabdruck über den Neustart hinaus gelten — ab Werk aus, die Wahl ist im Slot mitauthentisiert und nur durch Deaktivieren und erneutes Aktivieren änderbar), nach einem Passphrase-Wechsel und bei neuem Fingerabdruck im System nötig — und „Jetzt sperren“ ist der bewusste Riegel für Grenze oder Weitergeben des Handys: danach öffnet nur die Passphrase. Seit v1.6.1 erkennt die App einen neu registrierten Fingerabdruck auch über einen Neustart hinweg: Sie richtet den Zugang dann nicht selbst wieder ein und zeigt eine Warnung, bis du sie gelesen hast. Ehrlich dazu: Android bindet den Schlüssel an jede starke Biometrie des Geräts; wo eine starke Gesichtserkennung eingerichtet ist, gilt auch sie (mit Bestätigungs-Tipp).
• Zweisprachig — Deutsch und Englisch, Handbuch in der App.

• Argon2id leitet den Schlüssel aus deiner Passphrase ab (Standard 64 MiB, wählbar 32/64/128) — memory-hard, also teuer für GPU-Angriffe auf eine gestohlene Datei.
• AES-256-GCM über die native WebCrypto. Ein zufälliger Datenschlüssel verschlüsselt den Tresor, die Passphrase verpackt nur diesen Schlüssel. Die Kopfdaten der Datei sind mitauthentisiert — Manipulation fällt auf.
• Import-Grenzen. Eine fremde Backup-Datei darf keine beliebigen Argon2-Parameter erzwingen; alle Inhalte laufen durch eine Feld-Whitelist — auch der eigene Tresor beim Entsperren.
• Kein Reset, kein Backdoor. Wer die Passphrase vergisst, verliert die Daten — dafür kann auch niemand sonst ran.
• Open Source. Der komplette Client-Code ist öffentlich, der Fremdcode (Argon2-Bibliothek, EFF-Wortliste) ist gebündelt und wird im Build per Hash geprüft. Der OpenPGP-Leser für Proton-Exporte ist eigener, bewusst kleiner Code, samt eigener AES-Blockchiffre, die die Testsuite gegen FIPS-197-Vektoren und WebCrypto prüft. Auch der native Android-Code (FLAG_SECURE, Backup-Regeln, Zwischenablage- und Fingerabdruck-Plugin, seit v1.22 die Tastatur-Bitte) liegt im Klartext im Repo.
• Interne Security-Audits (kein unabhängiges Audit) vor v1.0, v1.1, v1.2 und v1.5 sowie eine gezielte Durchsicht der Änderungen vor v1.4; v1.6.1 übernimmt zwei Funde aus dem internen Audit der Schwester-App Sachwert-Tresor, deren Fingerabdruck-Code aus Alien Pass stammt. Vor v1.7 zwei interne Audits der neuen Desktop-Hülle, vor v1.8 ein drittes zum PIN-Entsperren, zum Zusammenspiel der drei Pforten (Passphrase, Fingerabdruck, PIN) und zum Neustart-Schalter — keine mittleren oder schweren Funde. Vor v1.15 ein gezieltes internes Audit zum nachgeholten Import und ein internes Diff-Review, vor v1.18 und v1.19 interne Release-Audits über die Änderungen, vor v1.19 in zwei Runden und einer Nachprüfung zur Zwischenablage am Desktop, vor v1.20 ein internes Diff-Review; v1.20 übernimmt dazu die Funde zur Zwischenablage am Desktop aus dem internen Release-Audit der Schwester-App Alien Notes — nur niedrige Funde. Vor v1.21 ein gezieltes internes Audit in drei Runden zur Mittelklick-Auswahl am Desktop; Anlass war ein Fund aus dem internen Release-Audit der Schwester-App Alien Notes, der auch Alien Pass betraf. Vor v1.22 ein internes Release-Audit in zwei Runden über die Änderungen; v1.22 übernimmt dazu Funde aus den internen Audits der Schwester-Apps Alien Notes und Sachwert-Tresor. Vor v1.23 ein internes Release-Audit in zwei Runden über die Änderungen samt einer Nachprüfung; v1.23 übernimmt dazu Funde aus den internen Audits der Schwester-Apps Sachwert-Tresor, Alien Notes und BTC Steuertool. Die Audit-Funde sind behoben und mit Tests abgesichert; wenige wurden nach Prüfung bewusst belassen, zuletzt: läuft die Frist einer Kopie, gilt sie auch für eine danach gemachte Markierung. Die behobenen Punkte sind im Changelog des Repos dokumentiert.

Gehärtet auf Betriebssystem-Ebene

• Keine Internet-Berechtigung. Der App ist das Netz-Recht im Android-Manifest komplett entzogen; „keine Telemetrie“ ist damit nachprüfbar, nicht nur versprochen. Die einzigen Berechtigungen sind die zwei normalen für den Fingerabdrucksensor (USE_BIOMETRIC, USE_FINGERPRINT bis Android 8.1) — dazu eine von AndroidX erzeugte Signatur-Berechtigung, die nichts freigibt. Der Build bricht ab, sobald eine andere auftaucht.
• FLAG_SECURE. Keine Screenshots, kein Screen-Recording, keine Passwort-Vorschau im App-Switcher. Seit v1.9 sind auch alle Rückfragen eigene Dialoge im Fenster der App: Der Android-Systemdialog erbte diesen Schutz nicht, ein Screenshot bei offener Löschnachfrage zeigte den Eintragstitel (intern gefunden beim Gerätetest von Alien Notes). Seit v1.13 nimmt die App ihre Felder zusätzlich vom Android-Autofill-Framework aus: Ein anderer Passwort-Manager, der als Autofill-Dienst eingerichtet ist, sieht die Passphrase-Felder nicht und kann nicht anbieten, sie zu speichern.
• Kein Cloud-, ADB- oder Gerät-zu-Gerät-Backup. Der Tresor landet in keinem automatischen Backup (Backup-Regeln schließen auch den D2D-Transfer aus) — Sicherungen machst nur du selbst über die verschlüsselte .vault-Datei.
• Grenzen, ehrlich benannt: kein Autofill — bewusst, weil ein Autofill-Dienst den Tresor außerhalb der App lesen und den Schlüssel im Hintergrund halten müsste. Nativer Code beschränkt sich auf fünf kleine, im Repo einsehbare Stücke: FLAG_SECURE, Backup-Ausschluss, das Zwischenablage- und das Fingerabdruck-Plugin und seit v1.22 eine WebView-Unterklasse, die die Tastatur-App bittet, aus den Feldern nichts zu lernen (Gboard zeigt dann sein Inkognito-Symbol; nur eine Bitte, nicht jede Tastatur hält sich daran).

Desktop-Fassung, ehrlich eingeordnet

• Kein Netz, vom System erzwungen. Das Flatpak hat keine Netzwerk-Berechtigung und keinen Zugriff auf deine Dateien. Backup und Import laufen über den Dateidialog des Systems, der nur die gewählte Datei freigibt. Nachprüfbar mit flatpak info --show-permissions org.alieninvestor.pass.
• Zwischenablage. Kopiertes ist für KDE als Passwort markiert, Klipper übernimmt es nicht in den Verlauf (unter Plasma geprüft). Die App löscht ihre Kopie nach der eingestellten Zeit, beim Sperren und beim Beenden — auch nach Strg+C, Strg+X und bei Text, den du in der App mit Maus oder Tastatur markierst (unter Linux sofort per Mittelklick einfügbar). Klipper kann jede Kopie zusätzlich in diese Mittelklick-Auswahl spiegeln (Einstellung „Auswahl und Zwischenablage synchronisieren“); seit v1.19 löscht die App sie auch dort, solange sie noch von der App stammt. Scheitert das Löschen beim Beenden einmal, fasst die App seit v1.20 direkt nach. Ausnahme: Sperrt die App beim Minimieren sofort („Sperren im Hintergrund: sofort“), bleibt eine Kopie bis zum Ablauf der Zeit stehen, damit sie sich noch einfügen lässt, ebenso eine Markierung, die in dieser Zeit entsteht (seit v1.11 bzw. v1.19). Strg+A markiert seit v1.21 nur den Inhalt eines gefüllten Feldes, nie die ganze Seite.
• Eigene Browser-Engine. Die Desktop-App bringt Electron selbst mit. Sicherheits-Updates dafür kommen nur mit einer neuen App-Version, nicht über das System.
• Grenzen: kein Schutz vor Bildschirmfotos (Linux kennt kein Gegenstück zu FLAG_SECURE). Unter X11 kann jedes laufende Programm Tastatur und Zwischenablage mitlesen — das gilt für jeden Passwort-Manager, Wayland trennt Programme besser. Bei Bildschirmsperre und Ruhezustand sperrt die App nicht von selbst: Systemsperre nutzen (vor allem beim Ruhezustand), dazu eine kurze Inaktivitäts-Sperre; Strg+L sperrt sofort. „Hintergrund“ heißt am Desktop minimiert oder versteckt — ein Fensterwechsel sperrt nicht, leert aber getippte Passphrasen und PINs. Kein Fingerabdruck.
• Schnell-Entsperren mit PIN (seit v1.8, optional) — nach einer Sperre durch Inaktivität oder Hintergrund genügt eine PIN mit 6 bis 12 Ziffern statt der Passphrase, bis die App beendet wird, höchstens 24 Stunden. Ehrlich dazu: Die PIN schützt nie die Tresordatei (sechs Ziffern sind ein winziger Suchraum, auf einer Grafikkarte in etwa zehn Minuten durch), sondern nur eine Kopie des Datenschlüssels, die beim Sperren im Arbeitsspeicher bleibt; nichts davon wird gespeichert. Drei Fehlversuche, ein Passphrase-Wechsel, eine getauschte Tresordatei, veränderte Kopfdaten oder ein veränderter Passphrase-Slot und das Beenden verwerfen sie (ist nur der Inhalt der Datei beschädigt, bleibt sie, seit v1.23); Strg+L ist der Riegel, danach einmal die Passphrase. Wer den Rechner teilt oder unverschlüsselten Swap hat, lässt sie aus.

Open Source auf GitHub

Der Client-Code ist quelloffen (MIT-Lizenz) und kostenlos. Build- und Signatur-Interna bleiben privat, der prüfbare Teil — die App selbst — ist offen. Keine Konten, keine Server-Abhängigkeit.

🔗 github.com/Alien-Investor/alien-pass