theVault. Dein Tresor für die Hosentasche.

Was ist theVault?

So funktioniert's

1. 1

   Anschließen

   theVault per USB an das Gerät anschließen.

2. 2

   PIN eingeben

   Die mindestens achtstellige PIN mit den drei Tasten am Gerät eingeben. Die Ziffern stehen in einem Raster, das nach jeder Stelle neu gemischt wird.

3. 3

   Auswählen

   Eintrag am Stick wählen – oder bei einer Passkey-Anmeldung einfach am Gerät bestätigen.

4. 4

   Fertig

   theVault tippt Benutzername und Passwort ins aktive Fenster, oder der Dienst meldet dich per Passkey an.

Verfügbarkeit

Was gibt es Neues?

Die Änderungen seit der ersten öffentlichen Fassung.

paXCry - Was gibt es Neues?

https://paxcry.com

Diese Liste beginnt mit der Fassung, die als erste an Testerinnen und Tester
ausgegeben wurde. Was davor während der Entwicklung passiert ist, steht nicht
darin.

Neuestes zuerst.


theVault · Firmware 0.2.22.0 — 26. September 2026
-------------------------------------------------

- ENTFERNT: Den Wiederherstellungsschlüssel gibt der Stick nicht mehr aus,
  der Menüpunkt „Rescue key“ ist weg. Gedacht war er für einen Defekt der
  Elektronik: Mit dem notierten Schlüssel ließe sich das Sicherheitselement
  in ein neues Gerät übernehmen. Bei einem vergossenen Stick lohnt dieser
  Weg nicht – der Aufwand dafür übersteigt den Preis eines neuen Geräts
  deutlich. Übrig blieb damit vor allem das Risiko: Wer den Zettel und Ihren
  Stick in die Hände bekommt, umgeht damit die Sperre nach zu vielen
  Fehlversuchen.

  Im Alltag ändert sich für Sie nichts. Bei Verlust oder Defekt gilt
  weiterhin: Ihre Zugangsdaten kommen aus der Sicherungsdatei zurück, die
  Sie auf einem neuen Stick einspielen. Passkeys sind davon ausgenommen –
  sie hängen fest am Sicherheitsbaustein und werden bei den Diensten neu
  eingerichtet. Legen Sie also weiterhin regelmäßig ein Backup an.

  Haben Sie einen solchen Schlüssel auf Papier notiert: Er wird nicht mehr
  gebraucht, und Sie sollten ihn vernichten.


theVault · App 0.9.8.0 · Firmware 0.2.20.1 — 24. September 2026
--------------------------------------------------------------

- GEÄNDERT: Den Wiederherstellungsschlüssel gibt jetzt nur noch der Stick
  selbst aus, nicht mehr die PC-App. Im Menü unter „Rescue key“ wählen Sie,
  ob er am Display angezeigt oder als Tastatur in ein geöffnetes Textfeld
  getippt wird. So verlässt dieser Schlüssel das Gerät nie über die
  Verbindung zum PC. Abgefragt wird dafür immer die normale PIN.

- GEÄNDERT: Der Zugang zu APP-Modus, Tastatur-Backup und
  Wiederherstellungsschlüssel verlangt jetzt die normale PIN. Eine
  Express-Entsperrung reicht dafür nicht mehr - so kommt niemand allein mit
  der Express-PIN an Ihre Zugangsdaten oder den Rettungsschlüssel.

- GEÄNDERT: Die Wiederherstellung eines Sticks läuft jetzt in einem Zug. Nach
  dem Auslösen vergeben Sie einmal eine neue PIN, der Stick richtet sein
  Sicherheitselement dabei selbst wieder ein und ist sofort benutzbar - der
  frühere Umweg über „Check SE“ entfällt.

- GEÄNDERT: Die automatische Löschung nach zu vielen Fehlversuchen greift
  jetzt auch, wenn der Stick nur am Akku läuft und sich nicht abstecken lässt.
  Er startet nach dem Löschen von selbst neu und ist gesperrt.

- NEU: Klarere Führung bei der ersten Einrichtung, mit deutlichem Hinweis,
  dass es keinen Ersatzschlüssel gibt.


theVault · Firmware 0.2.17.4 — 19. September 2026
-------------------------------------------------

- BEHOBEN: Eine falsche normale PIN in der PIN-Abfrage, die der Stick nach
  einer Express-Entsperrung für einen Passkey öffnet, sperrte den Stick nicht
  wie vorgesehen ganz - die Abfrage konnte gleich noch einmal erscheinen.
  Jetzt ist der Stick danach gesperrt und verlangt die normale PIN.


theVault · App 0.9.5.1 · Firmware 0.2.17.3 — 19. September 2026
---------------------------------------------------------------

- NEU: Passkey nach der Express-PIN. Ist der Stick mit der Express-PIN
  entsperrt und eine Seite möchte einen Passkey, öffnet er dafür von selbst
  die normale PIN-Eingabe („passkey“ oben im Display). Der Browser wartet
  so lange, danach bestätigen Sie die Anmeldung wie gewohnt. Ein langer
  Druck auf Runter bei noch leerer Eingabe bricht ab. Eine falsche PIN
  sperrt den Stick ganz. Am gesperrten Stick ändert sich nichts: Dort
  öffnet eine Passkey-Anfrage keine Eingabe - zuerst entsperren.

- GEÄNDERT: Die Backup-Mahnung erscheint nicht mehr, nur weil ein Passkey
  angelegt wurde - Passkeys lassen sich ohnehin nicht sichern. Und nach dem
  Einspielen eines Backups auf einen leeren Stick gilt dieser als gesichert,
  die Mahnung beim nächsten Entsperren entfällt.

- BEHOBEN: Die Anzeige der Fehlversuche lag um eins zu niedrig, und die
  Löschschwelle griff dadurch erst einen Versuch später als eingestellt.
  Jetzt zählt jeder falsche Versuch sofort.


theVault · App 0.9.5.0 · Firmware 0.2.16.2 — 17. September 2026
---------------------------------------------------------------

- BEHOBEN: Nach zu vielen Fehlversuchen ließ sich der Stick nicht mehr
  zurückholen, obwohl das Display „Wiederherst.: App“ anzeigte. Jetzt gibt
  es den Weg wirklich: In der App unter Einstellungen „Stick zurücksetzen“
  wählen und am Stick die mittlere Taste halten. Danach vergeben Sie eine
  neue PIN, bestätigen am Stick die Neueinrichtung des Sicherheitsbausteins
  und spielen Ihr Backup ein. Die gelöschten Zugangsdaten kommen dabei
  nicht zurück.

- NEU: EXPRESS-PIN. Vier Stellen, am Stick unter Einstellungen „Express
  PIN“ vergeben. Sie steht vor dem APP-Modus und dem Backup, und nach
  Untätigkeit, fünf Minuten Nutzung oder dem APP-Modus reicht sie 30 Minuten
  lang zum Entsperren. Es gibt nur einen Versuch - danach und nach einem
  langen Druck auf Auswählen gilt wieder die normale PIN. Passkeys brauchen
  immer die normale PIN. In der App lässt sich einstellen, wie viele Stunden
  (ab Werk 8) und wie viele Express-Entsperrungen (ab Werk 10) sie reicht,
  oder sie ganz abschalten.

- GEÄNDERT: Die Bestätigung „send ALL secrets for 2 min?“ gilt jetzt genau
  zwei Minuten ab dem Tastendruck und verlängert sich nicht mehr, solange die
  App liest.

- Die Löschschwelle steht ab Werk auf 9 Fehlversuche und lässt sich
  zwischen 5 und 9 einstellen. Die Anleitungen nannten noch 10.

- Passkeys: Ein zweites Programm am Rechner kann eine laufende Anmeldung
  nicht mehr abbrechen.

- Der Diagnosebericht sagt jetzt, ob eine Express-PIN hinterlegt ist und wie
  lange sie reicht - und womit zuletzt entsperrt wurde. Die PIN selbst steht
  dort nie, so wenig wie Ihre Zugangsdaten.


theVault · App 0.9.4.4 · Firmware 0.2.15.1 — 15. September 2026
---------------------------------------------------------------

- BEHOBEN (Linux): Die App startete auf manchen Rechnern gar nicht - kein
  Fenster, keine Meldung. Betroffen sind vor allem Rechner mit
  NVIDIA-Grafik, zum Beispiel nach einem Treiberupdate ohne Neustart. Die
  App erkennt diesen Fall jetzt beim Start und öffnet sich über einen
  einfacheren Darstellungsweg. Auf allen anderen Rechnern ändert sich nichts.

- Die Firmware bleibt bei 0.2.15.1.


theVault · App 0.9.4.3 · Firmware 0.2.15.1 — 15. September 2026
-----------------------------------------------------------------

AUS DEM PAXCRY-STICK WIRD theVault. paXCry ist ab jetzt der Name der Marke,
theVault der Name dieses Produkts - weitere folgen. Die App heißt vorerst
weiter paXCry.

- NEUER SICHERHEITSCHIP: Infineon OPTIGA Trust M. Die PIN prüft der Chip und
  nicht die Firmware, und der Schlüssel zu Ihren Zugangsdaten entsteht nur im
  Zusammenspiel mit ihm. Fehlversuche zählt der Chip selbst.

- PASSKEYS: theVault ist ein Sicherheitsschlüssel nach FIDO2/WebAuthn, samt
  hmac-secret und credProtect. Passkeys lassen sich nicht sichern und nicht
  auf ein zweites Gerät übertragen - das ist gewollt, sie hängen am
  Sicherheitschip. Für ein Reservegerät bei jedem Dienst zusätzlich
  registrieren.

- ANMELDUNG AM PC: Mit dem entsperrten Stick am Rechner anmelden, ohne das
  Passwort zu tippen. Vorerst für Linux.

- PIN MIT MINDESTENS ACHT STELLEN. Beim Einrichten und beim PIN-Wechsel
  verlangt theVault jetzt acht bis zehn Stellen. Eine bestehende kürzere PIN
  wird weiterhin angenommen - wechseln Sie sie trotzdem.

- SIGNIERTE FIRMWARE. Die Firmware im Downloadbereich ist signiert und
  startet nur auf theVault-Geräten mit Secure Boot. Sie hebt die
  Rollback-Version: Ist sie einmal gestartet, lässt sich keine ältere
  Firmware mehr aufspielen.

- WIEDERHERSTELLUNGSSCHLÜSSEL: Bei der Einrichtung gibt theVault einen
  Schlüssel zum Abschreiben aus. Er verbindet nach einem Defekt einen
  Ersatz-Mikrocontroller wieder mit dem Sicherheitschip. Er ersetzt KEIN
  Backup.

- Behoben: Beim Signieren einer Anmeldung mit hmac-secret konnte der
  Speicher des Sticks überlaufen.

Beim Wechsel von einem älteren Prototyp:
- Diese Firmware passt nur auf theVault-Geräte mit dem neuen Sicherheitschip
  und Secure Boot. Ältere Prototypen lassen sich damit nicht aktualisieren.
- Legen Sie vor jedem Firmware-Wechsel ein Backup an.


App 0.9.4.0 · Firmware 0.2.3.0 — 22. August 2026
-------------------------------------------------

- NEU: Diagnosebericht in den Einstellungen der App. Ein Klick speichert den
  Zustand des Sticks als Textdatei - Firmware, Sicherheitsbaustein,
  Fehlversuchszähler, Uhr, Akku. Bei einer Rückfrage einfach anhängen, dann
  müssen die üblichen Fragen nicht erst hin und her gehen.
  Die Datei enthält KEINE Zugangsdaten: weder Kontonamen noch Benutzernamen,
  Passwörter oder Inhalte des Tresors. Sie beschreibt nur das Gerät.

- Die Uhr des Sticks überlebt jetzt einen Stromausfall. Der Sicherungspuffer
  war ab Werk abgeschaltet - die eingebaute Knopfzelle lag also wirkungslos
  da, und nach jedem Trennen war die Zeit weg. Das wird beim Entsperren
  einmalig eingerichtet und bleibt dann dauerhaft.
  Warum das zählt: Ohne gültige Uhr gibt der Stick keine Einmalkennwörter
  heraus - richtig so, ein falscher Code wäre schlimmer als keiner.

- Im APP-Modus zeigt der Trennstrich am oberen Rand jetzt ebenfalls, wie viel
  Zeit noch bleibt, bis der Stick sich sperrt. Bisher stand er dort voll und
  bewegte sich nicht - ausgerechnet dort, wo man am ehesten wartet.

- Der Fortschrittsbalken beim langen Tastendruck erscheint etwas später
  (nach 0,2 statt 0,15 Sekunden). Bei einem normalen kurzen Druck blitzte er
  gelegentlich auf.

- Die Akkuanzeige stimmt wieder. Die Abweichung kam nicht vom Stick, sondern
  von einem defekten Lademodul im Testaufbau.


App 0.9.4.0 · Firmware 0.2.3.8 — 22. August 2026
-------------------------------------------------

- NEU: Diagnosebericht in den Einstellungen der App. Ein Klick speichert den
  Zustand des Sticks als Textdatei - Firmware, Sicherheitsbaustein,
  Fehlversuchszähler, Uhr, Akku, dazu die Fassung der App und Ihr
  Betriebssystem. Bei einer Rückfrage einfach anhängen.
  Die Datei enthält KEINE Zugangsdaten, und das steht auch in ihrem Kopf.

- Die Uhr des Sticks überlebt jetzt einen Stromausfall. Der Sicherungspuffer
  war ab Werk abgeschaltet - die eingebaute Zelle lag also wirkungslos da, und
  nach jedem Trennen war die Zeit weg. Das richtet der Stick beim Entsperren
  einmalig ein.
  Warum das zählt: Ohne gültige Uhr gibt er keine Einmalkennwörter heraus.

- Behoben: Im Akkubetrieb startete der Stick wenige Sekunden nach dem
  Abschalten des Displays immer wieder neu. Das Warten auf die Aufweckgeste
  hatte den internen Wachhund nicht zurückgestellt.

- Im APP-Modus zeigt der Trennstrich am oberen Rand jetzt ebenfalls, wie viel
  Zeit bis zur Sperre bleibt. Bisher stand er dort still.

- Die Infoseite hat eine dritte Seite mit Messwerten der Stromversorgung.

- Kleinigkeiten: Der Fortschrittsbalken beim langen Tastendruck blitzt bei
  kurzen Drücken nicht mehr auf. Vor der PIN-Abfrage in „Check SE" und
  „SE einrichten" entfällt die überflüssige Ankündigung samt Wartesekunde.


App 0.9.3.1 · Firmware 0.2.0.0 — 20. August 2026
-------------------------------------------------

DER FEHLVERSUCHSZÄHLER LIEGT JETZT IM SICHERHEITSBAUSTEIN SELBST.

- Bisher zählte die Firmware die falschen PIN-Eingaben mit. Das genügt gegen
  jeden, der den Stick normal bedient - nicht aber gegen jemanden, der das
  Gehäuse öffnet und den Sicherheitsbaustein unmittelbar anspricht. Der
  konnte am Zähler vorbei raten. Jetzt zählt der Baustein jeden Versuch
  selbst mit, auch diesen.

- WAS DAS NICHT LEISTET, und das gehört dazugesagt: Der Baustein ZEICHNET
  einen solchen Angreifer auf, er HÄLT IHN NICHT bei zehn Versuchen an - die
  Grenze von zehn zieht weiterhin die Firmware, und die umgeht er ja gerade.
  Was ihn wirklich aufhält, ist die Länge Ihrer PIN: Jeder einzelne Versuch
  kostet den Baustein rund eine Sekunde, und die lässt sich nicht abkürzen.
  Vier Stellen sind damit in etwa zwei Stunden durchprobiert, sechs in gut
  einer Woche. Ab sieben Stellen läuft der interne Zähler an seine Grenze,
  bevor alle Möglichkeiten durch sind - der Baustein macht sich dann selbst
  unbrauchbar, und die Zugangsdaten sind endgültig fort statt preisgegeben.

- NEHMEN SIE DESHALB MINDESTENS SIEBEN STELLEN, BESSER ACHT. Der Stick erlaubt
  4 bis 10; die vier Stellen von früher sind heute die schwächste Wahl.

- Wird der Sicherheitsbaustein getauscht, löscht der Stick beim nächsten
  Start seine Zugangsdaten - ohne Rückfrage. Der fertige Stick ist
  vergossen: Wer an den Baustein kommt, hat ihn geöffnet. Zu holen ist damit
  ohnehin nichts, denn die Daten hängen am Schlüssel des alten Bausteins.

- Fehlerbehebung: Auf einem leeren Stick ließ sich über einen langen
  Tastendruck ein leerer Eintrag öffnen.
- Fehlerbehebung: Nach der ersten falschen Eingabe stand der Zähler um eine
  Stelle daneben.
- Die Infoseite nennt jetzt die tatsächliche Bauform des Bausteins.


App 0.9.3.1 · Firmware 0.1.36.0 — 16. August 2026
-------------------------------------------------

Die erste Fassung, die zum Testen ausgegeben wird.

Was der Stick kann:

- Zugangsdaten verschlüsselt speichern und auf Tastendruck in das gerade
  aktive Fenster tippen - ohne dass auf dem Rechner etwas installiert sein
  muss.
- Einmalkennwörter (TOTP) selbst berechnen. Der zweite Faktor liegt damit
  nicht mehr auf demselben Telefon wie die erste Anmeldung.
- Passkeys, auch die Anmeldung OHNE Benutzernamen. Der Stick merkt sich einen
  Passkey selbst und findet ihn allein an der Adresse des Dienstes; Ihre
  Passkeys stehen unter dieser Adresse auch im Menü des Sticks.
- Die PIN wird am Gerät eingegeben und verlässt es nie. Geprüft wird sie vom
  Sicherheitschip, nicht von der Software.

Was Sie beim Ausprobieren wissen sollten:

- Einmalkennwörter lassen sich auch im Tresor der App aufbewahren. Nur so
  bekommen Sie denselben Zugang samt zweitem Faktor auf einen zweiten Stick.
  Passkeys gehen diesen Weg NICHT - sie sind an einen Stick gebunden und
  müssen bei jedem Dienst für jeden Stick einzeln registriert werden.
- Im Menüpunkt „Info“ zeigt eine zweite Seite Datum und Uhrzeit des Sticks
  (mit Runter dorthin blättern). Damit lässt sich ohne PC prüfen, ob die Uhr
  richtig geht - davon hängen die Einmalkennwörter ab. Angezeigt wird UTC, in
  unserer Zeitzone also ein bis zwei Stunden früher.
- Reagiert der Stick einmal nicht mehr: alle drei Tasten fünf Sekunden halten,
  dann startet er neu. Die Zugangsdaten bleiben erhalten.

- BITTE MACHEN SIE EIN BACKUP, bevor Sie ernsthaft etwas hinterlegen. Es gibt
  keinen Ersatzschlüssel: Bei vergessener PIN oder einem Defekt sind die
  Zugangsdaten endgültig verloren. Der Stick erinnert daran und wird mit der
  Zeit hartnäckiger.
- SCHAUEN SIE AUF DAS DISPLAY, während die PC-App arbeitet. Sie bestätigen den
  Zugriff einmal am Gerät; danach bleibt er zwei Minuten offen und verlängert
  sich, solange die App arbeitet. In dieser Zeit zeigt der Stick durchgehend
  an, welcher Eintrag gerade gelesen, geschrieben oder gelöscht wird. Läuft
  dort etwas, das Sie nicht angestoßen haben, stimmt etwas nicht.
- Beim Wiederherstellen einer Sicherung steht oben eine Bilanz: wie viele
  Konten zurückgekommen sind und wie viele davon ihr Einmalkennwort
  mitbekommen haben.
- Manche Dienste verlangen eine Herstellerbescheinigung für
  Sicherheitsschlüssel (verbreitet in Unternehmen und Behörden, teils bei
  Banken). Die gibt paXCry bewusst nicht ab - sie wäre ein
  Wiedererkennungsmerkmal über alle Dienste hinweg. Solche Dienste weisen den
  Stick ab.
- paXCry ist ein funktionierender Prototyp, kein unabhängig zertifiziertes
  Sicherheitsprodukt. Ausgelieferte Geräte starten nur signierte Firmware
  (Secure Boot); eine unabhängige Sicherheitszertifizierung steht noch aus.

Zum Download