Sicherheit in der Mac-App

kaiport verwaltet die Zugänge zu deinen Servern und schützt sie deshalb auf mehreren Ebenen: Zugangsdaten werden mit dem macOS-Schlüsselbund verschlüsselt, die App läuft in Apples Sandbox und kann sich sperren, SSH-Host-Schlüssel werden geprüft, und AI Pilot fragt, bevor er handelt. Hier findest du diese Schutzmechanismen, wo kaiport seine Daten ablegt und welche Verbindungen die App aufbaut.

Zugangsdaten im Schlüsselbund

kaiport verschlüsselt jedes Geheimnis, bevor es auf die Festplatte kommt, mit einem Schlüssel, den der macOS-Schlüsselbund schützt (über safeStorage von Electron, Schlüsselbund-Eintrag „kaiport Safe Storage“). So verschlüsselt werden:

• Passwörter und Schlüssel-Passphrasen deiner Verbindungen
• private Schlüssel, die du in eine Verbindung importiert hast
• Secret Access Keys und Zugriffsschlüssel von Speicherverbindungen
• der API-Token deines KI-Anbieters
• der Token des MCP-Servers

Die Geheimnisse bleiben im Hauptprozess der App. Die Fenster erfahren nur, ob ein Passwort gespeichert ist, nie das Passwort selbst. Fragt kaiport beim Verbinden nach einem Passwort, kannst du es mit Verschlüsselt für diese Verbindung speichern ablegen.

Verschlüsselung prüfen

Einstellungen → Über → Verschlüsselung zeigt den Stand:

• „Systemschlüsselbund (safeStorage)“: Alles ist wie beschrieben verschlüsselt.
• „Nicht verfügbar – Secrets werden nur kodiert gespeichert“: kaiport konnte den Schlüsselbund nicht nutzen. Die App funktioniert weiter, legt Geheimnisse aber nur kodiert statt verschlüsselt ab; wer deinen Datenordner lesen kann, kann sie lesen. Starte kaiport neu; bleibt der Stand, sieh unter Fehlerbehebung nach oder schreib uns.

SSH-Schlüssel im verschlüsselten Tresor

Wählst du im Verbindungsdialog mit Auswählen (Choose) einen privaten Schlüssel, liest kaiport die Schlüsseldatei und legt ihren Inhalt verschlüsselt im Tresor ab. Die Verbindung funktioniert weiter, wenn du die Datei verschiebst oder löschst. Unterstützt werden OpenSSH-, PEM- und PuTTY-Schlüssel (.ppk). Die App-Sandbox lässt kaiport keine Schlüsseldateien über ihren Pfad öffnen; verweist eine Verbindung nur auf eine Schlüsseldatei, etwa nach einem Import, bittet kaiport dich deshalb, den Schlüssel zuerst mit Auswählen zu importieren. Einen SSH-Agent unterstützt kaiport nicht. Siehe SSH-Verbindungen.

App-Sperre

Die App-Sperre legt einen Sperrbildschirm über kaiport, bis du mit deinem Passwort oder auf dem Mac mit Touch ID entsperrst.

App-Sperre einschalten

1. Öffne Einstellungen → Sicherheit (Settings → Security).
2. Gib bei Entsperr-Passwort ein Passwort ein und klicke auf Speichern.
3. Schalte App-Sperre ein.
4. Lege bei Sperren nach (Minuten) fest, nach wie vielen Minuten Inaktivität kaiport sperrt.

EN

Einstellungen: Sicherheit und bekannte Hosts

Das Entsperr-Passwort gilt nur für diesen Mac. kaiport speichert davon nur einen Hash (scrypt mit zufälligem Salt), und es wird nirgendwohin gesendet.

Wann kaiport sperrt

Mit eingeschalteter App-Sperre sperrt kaiport:

• beim Start
• wenn der Mac in den Ruhezustand geht
• wenn der Bildschirm des Macs gesperrt wird
• wenn am Mac so viele Minuten keine Eingabe über Tastatur oder Maus kam, wie bei Sperren nach (Minuten) eingestellt; 0 schaltet das aus
• wenn du ⌘L drückst (Datei → kaiport sperren)

⌘L wirkt nur, solange die App-Sperre an ist.

Der Sperrbildschirm

Der Sperrbildschirm zeigt „kaiport ist gesperrt“ und liegt über dem Startfenster und allen Terminalfenstern. Deine Sitzungen laufen dahinter weiter.

• Auf einem Mac mit Touch ID fragt kaiport sofort nach deinem Fingerabdruck. Mit Touch ID entsperren fragt erneut.
• Sonst gibst du dein Passwort ein und klickst auf Entsperren. Bei einem falschen Passwort erscheint „Falsches Passwort.“

EN

Der Sperrbildschirm

Prüfung der Host-Schlüssel

Beim Verbinden mit einem SSH-Server prüft kaiport dessen Host-Schlüssel, ähnlich wie ssh mit known_hosts:

• Erste Verbindung: Der Dialog Unbekannter Host zeigt Schlüsseltyp und SHA256-Fingerabdruck. Vergleiche ihn mit dem Fingerabdruck des Servers, zum Beispiel aus ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub auf dem Server, und klicke dann auf Vertrauen. kaiport speichert den Schlüssel.
• Weitere Verbindungen: Passt der Schlüssel, verbindet kaiport ohne Rückfrage.
• Geänderter Schlüssel: Die Warnung Host-Schlüssel hat sich geändert zeigt den neuen und den gespeicherten Fingerabdruck. Ein geänderter Schlüssel kann auf einen Man-in-the-Middle-Angriff hindeuten – oder der Server wurde neu installiert. Abbrechen stoppt die Verbindung; klicke nur auf Neuen Schlüssel akzeptieren, wenn du weißt, warum sich der Schlüssel geändert hat.

Bekannte Hosts

Einstellungen → Sicherheit → Bekannte Hosts listet jeden vertrauten Schlüssel mit Host, Schlüsseltyp und Fingerabdruck. Vergessen entfernt einen Eintrag, und beim nächsten Verbinden fragt kaiport erneut. kaiport speichert diese Schlüssel in einer eigenen Datei, getrennt von ~/.ssh/known_hosts. Du bestätigst jeden Server also einmal pro Mac.

Schutz bei AI Pilot

AI Pilot arbeitet in deinen Sitzungen und fragt deshalb zuerst:

• Jeden Befehl gibst du mit Ausführen oder Ablehnen frei, außer du schaltest den Autopilot ein.
• Auch im Autopilot fragen potenziell gefährliche Befehle immer nach.
• Pro Verbindung kannst du Befehle per Muster verbieten oder nur bestimmte erlauben; das gilt auch im Autopilot.
• Bei FTP-, S3-, WebDAV- und Azure-Verbindungen fragen Löschen, Umbenennen und Überschreiben immer nach.
• AI Pilot fragt im Chat nie nach Passwörtern; für sudo tippst du das Passwort im Terminal.
• Dateiinhalte gehen nur an den Anbieter, den du eingerichtet hast, und unter Einstellungen → AI Pilot kannst du das Senden abschalten.

Details stehen in Freigaben und Sicherheit und Kontext, Tokens und Datenschutz.

KI-Protokoll

kaiport schreibt alles, was AI Pilot ausführt oder auszuführen versucht, in ein lokales Protokoll: Befehl, Entscheidung, Host, Zeitpunkt, Exit-Code und die berührten Dateien. Du öffnest es unter Einstellungen → AI Pilot → KI-Protokoll → Protokoll ansehen; es zeigt die letzten 300 Einträge. Jeder Eintrag ist als Freigegeben, Autopilot, Abgelehnt, Blockiert oder Fehler markiert. Datei im Finder zeigen öffnet die Protokolldatei ai-audit.jsonl mit einem JSON-Objekt pro Zeile. Das Protokoll bleibt auf deinem Mac.

Keine Telemetrie

kaiport sendet keine Nutzungsdaten und keine Absturzberichte. Die App verbindet sich nur mit:

• deinen Servern und Speicherdiensten
• dem KI-Anbieter, den du eingerichtet hast, wenn du AI Pilot nutzt

Updates kommen aus dem App Store; kaiport sucht nicht selbst danach. kaiport hat kein Konto und keinen kaiport-Dienst, mit dem es spricht. kaiport fragt den App Store auf deinem Mac, ob kaiport Pro aktiv ist; den Kauf wickelt Apple ab, und nichts davon wird an uns gesendet.

App-Sandbox und abgeschottete Fenster

Die Mac-App läuft in Apples App-Sandbox: Sie erreicht nur Dateien und Ordner, die du in einem Dialog ausgewählt oder auf sie gezogen hast, und kann keine anderen Programme starten. Siehe Die App-Sandbox.

Die Fenster der App laufen in einer Sandbox mit Context Isolation, ohne Zugriff auf Node.js und unter einer strengen Content Security Policy, und Links öffnen sich in deinem Browser statt in der App.

Wo deine Daten liegen

kaiport legt seine Daten im Sandbox-Container der App ab: ~/Library/Containers/de.kernich.kaiport/Data/Library/Application Support/kaiport. Einstellungen → Über → Daten zeigt den genauen Pfad, und Hilfe → Datenordner öffnen (Einstellungen, Logs) in der Menüleiste öffnet den Ordner.

Sicherheitslücke melden

Hast du ein Sicherheitsproblem gefunden, melde es uns bitte vertraulich per E-Mail; die Adresse steht auf der Kontaktseite. Wir antworten schnell und nennen verantwortungsvolle Meldungen gern.