Ich schicke meine Bilanzen über Gmail. Öffnen kann sie nur mein Partner in New York.
lake8.dev — Journal | 2. September 2026
Es gibt eine Art, Crypt-in zu benutzen, die nicht in der offiziellen Dokumentation steht — und die einwandfrei funktioniert.
Zwei baugleiche Dongles. Ein verschlüsselter Kanal über Gmail.
Das Vorgehen
Kaufen Sie zwei ESP32-S3 für je 5 Euro. Flashen Sie beide mit der Crypt-in-Firmware.
Auf dem ersten: registrieren, Lizenz aktivieren, die 30 Euro im Jahr bezahlen. Auf dem zweiten: ein Backup des ersten anlegen — die Prozedur fragt die 24 Wörter des Haupt-Dongles ab und leitet daraus einen identischen ab, gleiches Schlüsselmaterial, gleiche PIN. Anschließend registriert die App den zweiten Chip auf dem Server und überträgt das Entitlement: zwei Vorgänge, ein einziger geführter Ablauf. Ab diesem Punkt haben Sie zwei Chips, die aus Sicht der Verschlüsselung dasselbe sind.
Schicken Sie den zweiten Dongle an Ihren Partner in New York. Einmal. Mit irgendeinem Kurier, per Einschreiben, persönlich, wenn Sie ohnehin hinfahren. Wie, ist gleichgültig — wichtig ist, dass er physisch ankommt.
Danach wird nie wieder etwas verschickt.
Was Sie jetzt haben
Sie können in Rom einen Vertrag verschlüsseln. Ihn an eine Gmail-Nachricht hängen. Ihn auf ein geteiltes Drive laden. Beliebig viele Leute in Kopie setzen. Ihn als Rundmail verschicken.
Öffnen kann ihn nur der Dongle in New York. Im Rest der Welt existiert kein anderer Chip, der es könnte.
Nicht Google. Nicht lake8.dev. Nicht Ihre Bank. Kein Mitlauscher dazwischen, über welchen Weg auch immer. Die verschlüsselte Datei ist ein undurchsichtiges Objekt für jeden, der nicht physisch einen der beiden Chips in der Hand hält.
Der öffentliche Kanal spielt keine Rolle mehr.
Warum es funktioniert
Die beiden Dongles teilen denselben Seed. Aus diesem Seed leitet sich K_identity ab, der Schlüssel, der den Dongle identifiziert. Aus K_identity und einem zufälligen Salt pro Datei leitet sich K_file ab, der eigentliche Verschlüsselungsschlüssel — über HKDF-SHA256, auf dem Chip, ohne den Chip je zu verlassen.
Wenn New York die .crin-Datei erhält, erkennt der dortige Dongle K_identity als die eigene, berechnet K_file aus demselben Schlüsselmaterial neu und entschlüsselt. Es gibt keinen Schlüsselaustausch über das Netz. Keinen Handshake. Keinen Server dazwischen. Der Kanal war in dem Moment hergestellt, in dem der zweite Dongle in New York ankam.
Der physische Moment ist kein Mangel
Den zweiten Dongle physisch zu verschicken wirkt wie ein Rückschritt. Ist es nicht.
Jedes System für sicheren Austausch muss das Vertrauen irgendwo herstellen. Moderne Systeme stellen es über das Netz her, mit Schlüsselaustauschprotokollen, die genau diese Anfangsphase absichern. Crypt-in stellt es physisch her, ein einziges Mal. Danach braucht der Kanal überhaupt keinen Schutz mehr: die Datei darf über Gmail laufen, über WhatsApp, über einen FTP-Server von 1997.
Im Gegenteil: je öffentlicher der Kanal, desto einfacher die Nutzung. Nichts zu konfigurieren. Kein VPN. Kein gemeinsamer Server. Nötig ist nur, dass die .crin-Datei auf der anderen Seite ankommt — auf welchem Weg auch immer.
Eines reist nicht mit dem Dongle mit: die PIN. Sie muss getrennt übermittelt werden, auf beliebigem Weg, vor oder nach dem Versand. Ein unterwegs abgefangener Dongle ist ohne sie ein nutzloses Objekt.
Wie es in der Praxis läuft
Bevor der zweite Dongle funktionieren kann, muss er einmalig über die App registriert werden — die Prozedur überträgt das Entitlement auf den neuen Chip und erkennt ihn an seiner eindeutigen K_attestation. Diese Übertragung ist in den 30 Euro im Jahr enthalten: ein Backup pro Kalenderjahr, mit Reset am 1. Januar. Eine Lizenz deckt insgesamt zwei Chips ab — ab dem dritten braucht es eine eigene Lizenz.
Nach diesem Schritt teilen die beiden Chips dieselbe kryptografische Identität und dieselbe Lizenz. Beide verschlüsseln. Beide entschlüsseln. Rom schickt nach New York, New York schickt nach Rom: der Kanal ist von Natur aus bidirektional und braucht keine zweite Lizenz.
Nach der Registrierung gibt es keinen Handshake, kein periodisches Check-in, keine Netzabhängigkeit. Selbst wenn die Lizenz abläuft, bleiben bereits verschlüsselte Dateien zu öffnen — die Lizenz regelt das neue Verschlüsseln, nicht das Entschlüsseln dessen, was schon existiert.
Ein Jahr bidirektionaler verschlüsselter Kanal zwischen Rom und New York: 30 Euro und zwei Chips zu je 5 Euro. Ohne festen Server. Ohne VPN. Ohne Geheimhaltungsvereinbarungen mit irgendeinem Infrastrukturanbieter.
Eine letzte Sache, präzise gesagt
Diese Konfiguration schützt den Inhalt der Dateien auf einem öffentlichen Kanal. Sie schützt nicht die Metadaten: wer Ihnen schreibt, wann, wie oft — das sieht Gmail wie eh und je, und man kann Ihren Partner in New York fragen, warum er .crin-Dateien aus Rom bekommt.
Sie schützt auch nicht den Dongle selbst: wer einen der beiden Chips in der Hand hat, kann alles öffnen. Das Threat Model führt die physische Kompromittierung unter den Dingen auf, die Crypt-in nicht löst — weil keine Technologie sie löst. Das sollte man wissen, bevor man entscheidet, wo der Dongle liegt und mit wem man ihn teilt.
Die ehrliche Fassung der Behauptung lautet: der Kanal ist genau so sicher wie die beiden physischen Chips. Die Datei auf Gmail ist unerheblich. Der Chip in der Schublade ist das, worüber nachzudenken sich lohnt.
Crypt-in ist ein Produkt von lake8.dev, einer Einzelunternehmer-Softwareschmiede in San Pietro in Casale, Bologna. Die Beta ab dem 30. September 2026 ist für Entwickler: man bringt seinen eigenen ESP32-S3 mit und flasht ihn selbst. Die Anwenderversion, mit fertigen Hardware-Kits und der hier beschriebenen Lizenz zu 30 Euro im Jahr, kommt im April 2027. cryptin.lake8.dev
lake8.dev | San Pietro in Casale, Bologna
Geschrieben von Giantommaso Fogli für lake8.dev
Rechte und Quellenangaben
Bilder, Logos und Fotografien, die in diesem Artikel zitiert oder gezeigt werden, sind Eigentum ihrer jeweiligen Rechteinhaber. Es wird keine Verletzung von Rechten beabsichtigt: Die Materialien werden in Bezug auf Drittquellen und zu Kommentarzwecken verwendet.
← Back to journal