Sicherheitserklärung

Diese Erklärung beschreibt, wie NotionManager Ihre Daten und Zugangsdaten schützt und wo unsere Grenzen liegen. Sie ergänzt die Datenschutzerklärung: Die Datenschutzerklärung beantwortet, was wir erheben, diese Erklärung beantwortet, wie wir es schützen und was wir nicht zusagen. Jede technische Aussage hier stammt aus der Implementierung und dem Release-Prozess der aktuellen Version.

Dieses Dokument behandelt nur die Frage, wer an Ihre Daten gelangen kann. Was ein Backup enthält, wann es unvollständig bleibt und wie Sie prüfen, ob es brauchbar ist, ist eine andere Frage und steht in der zugehörigen Erklärung zur Datenintegrität. Jedes Dokument behandelt eine Sache und wiederholt die andere nicht.

Sicherheit ist eine Eigenschaft des Ganzen

Sicherheit ist keine einzelne Funktion, sondern eine Eigenschaft, die das ganze System zeigt, sobald es in einer realen Umgebung läuft. Ein gutes Design ist der Anfang von allem, doch die Laufzeitumgebung entscheidet oft mehr über das Ergebnis als das Design: Wer an diesem Rechner angemeldet ist, ob die Festplatte verschlüsselt ist, auf welchem Medium die Backups am Ende liegen, wer sonst noch im Netz ist und welchen Seiten die Integration in Notion freigegeben wurde. Das meiste davon liegt außerhalb unseres Einflussbereichs.

Was wir tun können, ist die Softwareseite zu halten: NotionManager unternimmt alles, um keine Sicherheitsrisiken offenzulegen und die Angriffsfläche nicht zu vergrößern. Konkret heißt das: Wir führen keine Kanäle ein, für die wir nicht geradestehen können (keine Telemetrie, keine automatischen Updates im Hintergrund, kein Relay-Server), wir fordern nur die Mindestberechtigungen, die die Arbeit braucht (schreibgeschützt auf Notion), und wir lassen sensible Informationen auf Ihrem eigenen Rechner. Wo wir es nicht schaffen – der Dienst im lokalen Netz hat kein TLS, der Schlüssel für die lokale Verschlüsselung wird mit dem Programm ausgeliefert, das Installationspaket ist noch nicht signiert – schreiben wir das offen hin, statt es zu umgehen.

Lesen Sie dieses Dokument als zwei Teile: Die ersten Abschnitte beschreiben, was wir tun; Abschnitt 9 beschreibt, was wir nicht erreichen und wobei wir auf Sie angewiesen sind. Sicherheit entsteht aus einer möglichst kleinen Software plus einer Umgebung, die Sie kennen und kontrollieren – fehlt eine Hälfte, hält es nicht.

Zusammenfassung

• NotionManager ist ein Local-First-Desktop-Programm: Backup, Index und Anzeige laufen vollständig auf Ihrem eigenen Rechner. Wir betreiben keinen Server, der Ihre Notion-Inhalte empfängt, einsehen oder speichern könnte.
• An Notion gehen ausschließlich lesende Anfragen, und die Integration erreicht nur die Seiten und Datenbanken, die Sie ausdrücklich für sie freigegeben haben.
• Wir erheben keine Telemetrie, keine Nutzungsstatistik und keine Absturzberichte und binden kein Analyse-, Werbe- oder Verhaltens-Tracking-SDK ein.
• Die aktuelle Version hat keinen Kanal für automatische Updates im Hintergrund: Neue Versionen laden Sie von der Website oder aus den GitHub Releases herunter und installieren sie selbst.
• Die App spricht nur zwei Ziele im Netz an: die Notion API und den Lizenzdienst, der ausschließlich beim Aktivieren oder Prüfen einer Lizenz verwendet wird.
• Eine Lizenz ist ein einmaliger Kauf. Das Token wird mit RSA-PSS signiert, der Client prüft die Signatur offline, und das Token ist an diesen Rechner gebunden.
• Bekannte Grenzen (lesen Sie unbedingt Abschnitt 9): Der Schlüssel für die lokale Verschlüsselung der Zugangsdaten wird mit dem Programm ausgeliefert und ersetzt keine Festplattenverschlüsselung; „Remote-Browsing“ ist ein HTTP-Dienst im lokalen Netz und hat kein TLS; das Installationspaket ist derzeit weder code-signiert noch notarisiert.

1. Wo Ihre Daten liegen

• Die Backup-Engine, der Datenbankindex und die Oberfläche zum Durchsuchen laufen auf Ihrem Rechner. Jedes Backup schreibt in das Verzeichnis, das Sie für dieses Profil festgelegt haben; Index und Snapshots liegen in einer lokalen SQLite-Datei im Repository.
• Wir betreiben keinen Mittler: Es gibt kein Kontosystem, keine Kopie in der Cloud und keinen Schritt, in dem Daten erst hochgeladen und dann wieder ausgeliefert werden. Die Dateien auf Ihrem Rechner sind alles – wir sehen sie nicht.
• Welche Objekte in ein Backup gelangen und wo dessen Integrität endet, steht in der Erklärung zur Datenintegrität. Das Repository-Verzeichnis liegt ganz in Ihrer Hand: Löschen Sie das Verzeichnis, löschen Sie das Backup.

2. Die Berechtigungsgrenze zu Notion

• Die App greift über Ihre eigene interne Notion-Integration auf den Workspace zu (ein Personal Access Token funktioniert ebenso). Sie legen die Zugangsdaten an, Sie bewahren sie auf, und Sie können sie jederzeit auf der Notion-Seite widerrufen.
• Die App sendet ausschließlich schreibgeschützte Anfragen an Notion (api.notion.com). Im Code gibt es keinen Aufruf, der eine Seite, einen Block oder eine Datenbank anlegt, ändert oder löscht. Selbst wenn Ihr Token Schreibrechte mitbringt, nutzt das Programm sie nicht.
• Standardmäßig sieht die Integration nur, was Sie ausdrücklich mit ihr teilen. Geben Sie am besten nur die Wurzel-Seiten frei, die gesichert werden sollen, und behalten Sie in den Einstellungen der Integration die Nur-Lese-Berechtigung bei.
• Widerrufen: Heben Sie die Freigabe in Notion auf oder löschen Sie die Integration. Danach ist das lokal gespeicherte Token sofort ungültig, und die App kann nichts mehr lesen.

3. Wie Zugangsdaten gespeichert werden

• Das Integration-Token und das Passwort für „Remote-Browsing“ liegen nicht im Klartext auf der Festplatte: Sie stehen in verschlüsselten Feldern der lokalen Metadatenbank (AES-256-CBC, der Schlüssel wird per scrypt aus einer Konstante im Programm abgeleitet).
• Diese Verschlüsselung soll verhindern, dass Zugangsdaten in Konfigurationsdateien, Protokollen und exportierten Archiven auftauchen. Sie schützt nicht vor jemandem, der Ihre Festplatte bereits lesen kann, denn der Schlüssel wird mit dem Programm ausgeliefert. Ihre tatsächliche Grenze sind das Betriebssystemkonto und die Festplattenverschlüsselung: Aktivieren Sie BitLocker / FileVault / LUKS und setzen Sie ein Kontopasswort.
• Das Token dient nur dem Zugriff auf die Notion API und Ihre eigenen lokalen Dienste. Es geht an keine weiteren Dritten und wird nicht in ein exportiertes Profilarchiv geschrieben.
• Ein exportiertes Profilarchiv enthält nur Metadaten (Name, Repository-Pfad, Zeitplan, Aufbewahrungsrichtlinie, Liste der Einträge) und die Backup-Daten. Es enthält kein Token, kein Lizenz-Token und kein Passwort für das Remote-Browsing; nach dem Import auf einem neuen Rechner müssen Sie das Token neu eintragen.

4. Remote-Browsing (kostenpflichtige Funktion, standardmäßig aus)

• Wenn Sie es einschalten, startet die App auf Ihrem Rechner einen HTTP-Dienst und stellt das Backup anderen Geräten im selben Netz als Webseiten bereit (Smartphone, Tablet, ein weiterer Computer). Der Standardport ist 8732; die Bindeadresse ist standardmäßig jede Netzwerkschnittstelle, damit Geräte im lokalen Netz ohne weitere Konfiguration zugreifen können. Dieser Standardwert ist bewusst so gewählt, um es Anwendern ohne technischen Hintergrund leicht zu machen.
• Jede Anfrage verlangt HTTP-Basic-Authentifizierung. Die Zugangsdaten werden als SHA-256-Digest in konstanter Zeit verglichen, das Passwort wird verschlüsselt gespeichert, und eine Fehlerantwort verrät nicht, ob der Benutzername oder das Passwort falsch war.
• Die entfernte Schnittstelle ist eine schreibgeschützte Ansicht: Sie gibt weder das Token noch den Repository-Pfad zurück, und von außen ist nur eine Profilliste ohne sensible Felder zu sehen.
• Pfade zu statischen Dateien und Anhängen werden normalisiert und auf das Repository-Verzeichnis begrenzt; mit .. kommt man nicht heraus.
• Dieser Dienst hat kein TLS: Passwort und Inhalte laufen im selben Netz im Klartext. Nutzen Sie ihn deshalb nur in einem Netz, dem Sie vertrauen – das LAN zu Hause oder im Büro, Ihr eigenes VPN. Stellen Sie ihn nicht direkt ins Internet und betreiben Sie ihn nicht in einem Netz, dem Sie nicht vertrauen (öffentliches WLAN, gemeinsam genutztes Büronetz, Gästenetz). Wenn Sie von außen zugreifen müssen, setzen Sie ihn hinter Ihren eigenen TLS-Reverse-Proxy oder ein VPN.

5. Mit welchen Diensten die App Verbindungen aufbaut

Die App kommuniziert nur mit zwei Arten externer Dienste:

1. Notion API (api.notion.com): liest während des Backups die Daten Ihres Workspace, direkt zwischen Ihrem Rechner und Notion.
2. Lizenzdienst (lic.notionmanager.com): wird nur beim Aktivieren oder Prüfen einer Lizenz kontaktiert, um die Lizenz beim Zahlungsdienstleister zu bestätigen und das signierte Token zu holen. Er erhält den Lizenzschlüssel, die install_id (siehe Abschnitt 6) sowie die Bestell- und E-Mail-Angaben, die beim Zahlungsdienstleister ohnehin vorliegen. Ihre Workspace-Inhalte erhält er nicht.

Außerdem:

• Keine Telemetrie, keine Nutzungsstatistik, keine automatischen Absturzberichte – und kein Analyse-, Werbe- oder Verhaltens-Tracking-SDK.
• Die aktuelle Version baut keinen Kanal für automatische Updates im Hintergrund auf: Neue Versionen erscheinen auf der Website und in den GitHub Releases; Sie laden und installieren sie selbst.
• Lokale Protokolle dienen nur der Fehlersuche und bleiben auf Ihrem Rechner. Wenn Sie Protokolle selbst an den Support schicken, prüfen Sie vorher, ob sie etwas enthalten, das Sie nicht weitergeben möchten.

6. Lizenz, Signatur und Gerätebindung

• Eine Lizenz ist ein einmaliger Kauf, kein Abonnement. Der Lizenzdienst signiert das Lizenz-Token mit RSA-PSS/SHA-256, der Client prüft die Signatur offline mit einem eingebauten öffentlichen Schlüssel. Aktivierungsanfragen werden in einem Umschlag aus RSA-OAEP und AES-256-GCM übertragen.
• Die install_id wird mit SHA-256 aus dem Fingerabdruck dieses Rechners berechnet (der machine-id des Systems, bei Fehlen ersatzweise hostname|platform|arch|CPU-Modell). Sie wird bei jedem Start neu berechnet und nicht auf der Festplatte gespeichert. Ihr einziger Zweck ist, das Gerät für die Lizenzprüfung und die Zählung der Aktivierungsplätze zu identifizieren; sie enthält keine persönlichen Daten und ist mit ihnen nicht verknüpft. Das Token ist damit an diesen Rechner gebunden: Auf einen anderen Rechner kopiert ist es ungültig, und uns die install_id einer anderen Person samt deren Schlüssel zu schicken, hilft ebenfalls nicht.
• Nach erfolgreicher Aktivierung gibt es keine periodische Rückverbindung mehr; gekaufte Funktionen bleiben offline dauerhaft nutzbar.

7. Verteilung und Prüfung des Installationspakets

• Die Installationspakete erscheinen in den GitHub Releases; jede Version führt ihren SHA-256-Prüfwert mit, und die Downloadseite nennt den Befehl zum Prüfen. Bitte prüfen Sie ihn vor der Installation.
• Passt der Prüfwert nicht, wurde die Datei verändert oder beschädigt: Verwerfen Sie sie und laden Sie sie erneut aus einer offiziellen Quelle.
• Das aktuelle Installationspaket ist weder code-signiert noch notarisiert (der macOS-Build aktiviert die hardened runtime nicht, unter Windows ist kein Signaturzertifikat eingerichtet). Das System warnt deshalb möglicherweise vor einem „unbekannten Entwickler“. Das ist der bekannte Stand; siehe Abschnitt 9.

8. Website und Zahlungen

• Die Website ist eine vorgerenderte statische Seite, gehostet bei Vercel. Die Schriften werden selbst ausgeliefert, und die Seiten laden keine Analyse-, Werbe- oder Tracking-Skripte Dritter. Sprach- und Theme-Einstellungen liegen im localStorage Ihres eigenen Browsers.
• Die Abwicklung übernimmt der Zahlungsdienstleister (Paddle als Merchant of Record, dazu der Kanal Dodo Payments): Karten- und Zahlungsdaten gehen ausschließlich an den Zahlungsdienstleister, wir berühren und speichern sie nicht. Die Website erhebt Ihr Notion-Token nicht und braucht es nicht.
• Gespeichert wird nur, was Sie uns selbst schicken (Support-E-Mail, Kommentare, Erstattungsanträge) – und zwar um zu antworten und es anzuzeigen.

9. Bekannte Grenzen und was wir ausdrücklich nicht zusagen

• Lokale Verschlüsselung ist kein lokaler Schutz: siehe Abschnitt 3, und ergänzen Sie sie um Festplattenverschlüsselung und ein Kontopasswort.
• Remote-Browsing hat kein TLS: siehe Abschnitt 4. Es ist als bequeme Funktion für den Einsatz im LAN oder VPN gedacht, nicht für die Exposition ins Internet.
• Das Installationspaket ist nicht signiert und nicht notarisiert: Über die Signaturkette des Systems können wir die Herkunft der Binärdatei nicht belegen. Orientieren Sie sich am SHA-256-Prüfwert in den GitHub Releases.
• Ob ein Backup vollständig ist, liegt außerhalb dieses Dokuments: Was ein Backup enthält, was darin nicht auftaucht (der Berechtigungsumfang der Notion API und ihre bekannten Lücken) und die von uns empfohlene 3-2-1-Praxis für Kopien stehen in der Erklärung zur Datenintegrität. Dieses Dokument behandelt nur, wer an die Daten gelangen kann, und wiederholt diesen Teil nicht.
• Wir bieten kein Bug-Bounty-Programm und kein SLA: Dies ist ein Softwareprodukt zum einmaligen Kauf; unsere Reaktion auf Sicherheitsmeldungen folgt der Zusage in Abschnitt 10.

10. Sicherheitsprobleme melden

• Sicherheitsprobleme senden Sie bitte an security@notionmanager.com. Allgemeine Fragen, Funktionswünsche und Erstattungen gehen an support@notionmanager.com.
• Bitte geben Sie so viel wie möglich an: Softwareversion, Betriebssystem, Schritte zum Nachvollziehen, Ausmaß der Auswirkung und Ihre Einschätzung. Reproduzieren Sie das Problem bei Bedarf in einem Test-Workspace und hängen Sie keine echten Workspace-Daten an.
• Veröffentlichen Sie ungefixte Probleme nicht in öffentlichen Kanälen (Issue-Tracker, Foren, soziale Netzwerke).
• Unsere Zusage: Wir bestätigen den Eingang innerhalb von 3 Werktagen; danach nennen wir den Plan und den Zeitrahmen für die Behebung. Sobald der Fix erscheint, danken wir Ihnen in den Release Notes – wenn Sie mit der Nennung Ihres Namens einverstanden sind.