theVault. Dein Tresor für die Hosentasche.
theVault ist der Hardware-Tresor von paXCry: Passwörter, Einmalkennwörter und Passkeys liegen verschlüsselt auf einem eigenen Gerät mit Sicherheitschip – und mit ihm meldest du dich auch an deinem Rechner an. Ohne Cloud, ohne Konto.
Was ist theVault?
theVault ist das erste Produkt von paXCry: ein kleiner USB-Stick mit Display, drei Tasten und einem Sicherheitschip von Infineon (OPTIGA Trust M). Er vereint, wofür man sonst mehrere Werkzeuge braucht – Passwortmanager, Authenticator für Einmalkennwörter und Sicherheitsschlüssel für Passkeys.
Die PIN gibst du am Gerät selbst ein, und geprüft wird sie im Sicherheitschip – nicht auf dem Rechner. Zugangsdaten tippt theVault wie eine USB-Tastatur ein; das funktioniert an jedem Gerät, ganz ohne zusätzliche Software. Die PC-App brauchst du nur zum Verwalten.
Was theVault kann
Passwortmanager
Über 250 Einträge, verschlüsselt auf dem Stick. Eintrag wählen, und theVault tippt Benutzername und Passwort ins aktive Fenster – am PC wie am Smartphone mit USB-Anschluss.
Einmalkennwörter (TOTP)
Die sechsstelligen Codes für die Zwei-Faktor-Anmeldung erzeugt theVault selbst, mit eigener gepufferter Uhr. Kein Authenticator am Smartphone nötig – und die Geheimnisse dahinter verlassen den Stick nicht.
Passkeys
Anmelden ohne Passwort bei allen Diensten, die Passkeys unterstützen. theVault ist ein Sicherheitsschlüssel nach FIDO2 – der Schlüssel entsteht mithilfe des Sicherheitschips und lässt sich nicht auslesen. Dazu hmac-secret, das etwa verschlüsselte Datenträger nutzen.
Anmeldung am PC
Mit dem entsperrten Stick meldest du dich am Rechner an, ohne das Passwort zu tippen. Dein normales Passwort bleibt daneben jederzeit gültig. Derzeit für Linux.
PIN im Sicherheitschip
PIN mit mindestens acht Stellen, geprüft im Infineon-Chip OPTIGA Trust M. Er zählt Fehlversuche selbst, und spätestens nach zehn falschen Eingaben löscht sich theVault.
Ab Werk verschlossen, ohne Cloud
Ausgelieferte Geräte starten nur Firmware, die paXCry signiert hat; Debug-Zugang und Auslesewege sind dauerhaft verschlossen. Es gibt kein Konto und keinen Server – das Backup ist eine verschlüsselte Datei (AES-256-GCM, Argon2id), die dort liegt, wo du sie hinlegst.
So funktioniert's
-
1
Anschließen
theVault per USB an das Gerät anschließen.
-
2
PIN eingeben
Die mindestens achtstellige PIN mit den drei Tasten am Gerät eingeben. Die Ziffern stehen in einem Raster, das nach jeder Stelle neu gemischt wird.
-
3
Auswählen
Eintrag am Stick wählen – oder bei einer Passkey-Anmeldung einfach am Gerät bestätigen.
-
4
Fertig
theVault tippt Benutzername und Passwort ins aktive Fenster, oder der Dienst meldet dich per Passkey an.
Häufige Fragen
Zum Aufklappen auf eine Frage tippen.
Läuft irgendetwas über die Cloud?
Nein. Deine Zugangsdaten liegen ausschließlich auf theVault selbst. Es gibt kein Benutzerkonto, keinen Abgleich über einen Server und keine Komponente, die im Internet läuft. Auch das Backup ist eine gewöhnliche Datei, die dort liegt, wo du sie hinlegst.
Genau das war der Anlass für paXCry: ein Passwortmanager, der ohne fremde Server auskommt.
Was passiert, wenn ich theVault verliere?
Ohne die PIN kommt niemand an die gespeicherten Daten. Die PIN prüft der Sicherheitschip, und spätestens nach zehn Fehlversuchen löscht sich theVault vollständig – auch dann, wenn zwischendurch der Strom weggenommen wird.
Wichtig ist deshalb ein aktuelles Backup: Damit spielst du deine Zugangsdaten auf ein neues Gerät zurück.
Was, wenn ich die PIN vergesse?
Dann kommst du an die gespeicherten Daten nicht mehr heran. Es gibt keine Hintertür und keinen Code, der die PIN umgeht – das wäre genau die Lücke, die ein Angreifer suchen würde. Genau dafür gibt es das Backup.
Warum lassen sich Passkeys nicht sichern?
Ein Passkey hängt am Sicherheitschip genau dieses Geräts und verlässt ihn nie – deshalb lässt er sich auch nicht auslesen oder kopieren. Das Backup enthält deine Passwörter und Einmalkennwörter, aber keine Passkeys.
Wer ein zweites Gerät als Reserve nutzt, registriert es bei jedem Dienst zusätzlich – wie bei jedem anderen Sicherheitsschlüssel auch.
Brauche ich auf dem Zielgerät eine App?
Nein. theVault meldet sich als USB-Tastatur an und tippt Benutzername und Passwort in das gerade aktive Fenster. Das funktioniert an jedem Gerät mit USB-Anschluss, auch an einem fremden. Passkeys funktionieren direkt im Browser.
Wofür ist die PC-App dann da?
Zum Verwalten: Zugangsdaten und Einmalkennwörter anlegen, ändern und löschen, Passwörter erzeugen, Backups erstellen und zurückspielen, die Firmware aktualisieren. Für den täglichen Gebrauch brauchst du sie nicht.
Wie viele Zugangsdaten passen auf theVault?
Über 250 Einträge. Der Name darf 31 Zeichen lang sein, Benutzername und Passwort jeweils 63.
Warum darf ein Passwort kein Semikolon enthalten?
Das Semikolon trennt in der Verbindung zwischen PC-App und Stick die einzelnen Felder voneinander. Stünde es mitten im Passwort, würde der Stick an dieser Stelle ein neues Feld beginnen und den Rest verwerfen.
Alle übrigen Sonderzeichen sind erlaubt, und der Passwortgenerator nutzt sie auch.
Wie sicher ist das Backup?
Die Backupdatei ist mit AES-256-GCM verschlüsselt; der Schlüssel wird mit Argon2id aus einem Passwort abgeleitet, das du selbst wählst. Manipulationen an der Datei fallen beim Einspielen auf.
Dieses Passwort kann nicht wiederhergestellt werden. Ohne es ist die Datei wertlos – auch für dich.
Für welche Betriebssysteme gibt es die Software?
Die PC-App gibt es für Windows und Linux, die Anmeldung am PC derzeit für Linux. Eine Fassung für macOS ist noch nicht gebaut. Passwörter und Passkeys funktionieren unabhängig davon an jedem Gerät mit USB-Anschluss.
Warum ein eigenes Gerät und nicht einfach ein Programm?
Ein Passwortmanager auf dem PC ist immer nur so sicher wie der PC. theVault hält die Zugangsdaten auf einem eigenen Gerät mit Sicherheitschip, das nur diese Aufgabe hat und das man abziehen kann.
Ganz aufheben lässt sich das Risiko damit nicht: Ist der Rechner, an dem du den Stick benutzt, bereits mit Schadsoftware befallen, kann diese das Getippte mitlesen. Das gilt für jede Tastatur.
Kann ich theVault schon kaufen?
Noch nicht. theVault wird derzeit als Vorserie erprobt. Sobald sich daran etwas ändert, steht es auf dieser Seite.
Verfügbarkeit
theVault wird derzeit als Vorserie erprobt und ist noch nicht im Handel erhältlich. Die Sicherheitsmechanismen – Sicherheitschip, signierte Firmware und dauerhaft verschlossene Auslesewege – sind bereits aktiv.
Interesse oder Fragen zu theVault? Neuigkeiten erscheinen auf dieser Seite, sobald es sie gibt.
Für weitere Informationen erreichst du uns unter markus@jucama.at
Weitere Produkte in Arbeit
theVault ist der Anfang. Auf derselben Grundlage entstehen weitere Produkte von paXCry – mehr dazu, sobald es so weit ist.
theLock
Türen öffnen.
theSeal
Chatverschlüsselung.
theVault#Enterprise
Managed theVault für Firmen.
Was gibt es Neues?
Die Änderungen seit der ersten öffentlichen Fassung.
paXCry - Was gibt es Neues? https://paxcry.com Diese Liste beginnt mit der Fassung, die als erste an Testerinnen und Tester ausgegeben wurde. Was davor während der Entwicklung passiert ist, steht nicht darin. Neuestes zuerst. theVault · App 0.9.4.3 · Firmware 0.2.15.1 — 15. September 2026 ----------------------------------------------------------------- AUS DEM PAXCRY-STICK WIRD theVault. paXCry ist ab jetzt der Name der Marke, theVault der Name dieses Produkts - weitere folgen. Die App heißt vorerst weiter paXCry. - NEUER SICHERHEITSCHIP: Infineon OPTIGA Trust M. Die PIN prüft der Chip und nicht die Firmware, und der Schlüssel zu Ihren Zugangsdaten entsteht nur im Zusammenspiel mit ihm. Fehlversuche zählt der Chip selbst. - PASSKEYS: theVault ist ein Sicherheitsschlüssel nach FIDO2/WebAuthn, samt hmac-secret und credProtect. Passkeys lassen sich nicht sichern und nicht auf ein zweites Gerät übertragen - das ist gewollt, sie hängen am Sicherheitschip. Für ein Reservegerät bei jedem Dienst zusätzlich registrieren. - ANMELDUNG AM PC: Mit dem entsperrten Stick am Rechner anmelden, ohne das Passwort zu tippen. Vorerst für Linux. - PIN MIT MINDESTENS ACHT STELLEN. Beim Einrichten und beim PIN-Wechsel verlangt theVault jetzt acht bis zehn Stellen. Eine bestehende kürzere PIN wird weiterhin angenommen - wechseln Sie sie trotzdem. - SIGNIERTE FIRMWARE. Die Firmware im Downloadbereich ist signiert und startet nur auf theVault-Geräten mit Secure Boot. Sie hebt die Rollback-Version: Ist sie einmal gestartet, lässt sich keine ältere Firmware mehr aufspielen. - WIEDERHERSTELLUNGSSCHLÜSSEL: Bei der Einrichtung gibt theVault einen Schlüssel zum Abschreiben aus. Er verbindet nach einem Defekt einen Ersatz-Mikrocontroller wieder mit dem Sicherheitschip. Er ersetzt KEIN Backup. - Behoben: Beim Signieren einer Anmeldung mit hmac-secret konnte der Speicher des Sticks überlaufen. Beim Wechsel von einem älteren Prototyp: - Diese Firmware passt nur auf theVault-Geräte mit dem neuen Sicherheitschip und Secure Boot. Ältere Prototypen lassen sich damit nicht aktualisieren. - Legen Sie vor jedem Firmware-Wechsel ein Backup an. App 0.9.4.0 · Firmware 0.2.3.0 — 22. August 2026 ------------------------------------------------- - NEU: Diagnosebericht in den Einstellungen der App. Ein Klick speichert den Zustand des Sticks als Textdatei - Firmware, Sicherheitsbaustein, Fehlversuchszähler, Uhr, Akku. Bei einer Rückfrage einfach anhängen, dann müssen die üblichen Fragen nicht erst hin und her gehen. Die Datei enthält KEINE Zugangsdaten: weder Kontonamen noch Benutzernamen, Passwörter oder Inhalte des Tresors. Sie beschreibt nur das Gerät. - Die Uhr des Sticks überlebt jetzt einen Stromausfall. Der Sicherungspuffer war ab Werk abgeschaltet - die eingebaute Knopfzelle lag also wirkungslos da, und nach jedem Trennen war die Zeit weg. Das wird beim Entsperren einmalig eingerichtet und bleibt dann dauerhaft. Warum das zählt: Ohne gültige Uhr gibt der Stick keine Einmalkennwörter heraus - richtig so, ein falscher Code wäre schlimmer als keiner. - Im APP-Modus zeigt der Trennstrich am oberen Rand jetzt ebenfalls, wie viel Zeit noch bleibt, bis der Stick sich sperrt. Bisher stand er dort voll und bewegte sich nicht - ausgerechnet dort, wo man am ehesten wartet. - Der Fortschrittsbalken beim langen Tastendruck erscheint etwas später (nach 0,2 statt 0,15 Sekunden). Bei einem normalen kurzen Druck blitzte er gelegentlich auf. - Die Akkuanzeige stimmt wieder. Die Abweichung kam nicht vom Stick, sondern von einem defekten Lademodul im Testaufbau. App 0.9.4.0 · Firmware 0.2.3.8 — 22. August 2026 ------------------------------------------------- - NEU: Diagnosebericht in den Einstellungen der App. Ein Klick speichert den Zustand des Sticks als Textdatei - Firmware, Sicherheitsbaustein, Fehlversuchszähler, Uhr, Akku, dazu die Fassung der App und Ihr Betriebssystem. Bei einer Rückfrage einfach anhängen. Die Datei enthält KEINE Zugangsdaten, und das steht auch in ihrem Kopf. - Die Uhr des Sticks überlebt jetzt einen Stromausfall. Der Sicherungspuffer war ab Werk abgeschaltet - die eingebaute Zelle lag also wirkungslos da, und nach jedem Trennen war die Zeit weg. Das richtet der Stick beim Entsperren einmalig ein. Warum das zählt: Ohne gültige Uhr gibt er keine Einmalkennwörter heraus. - Behoben: Im Akkubetrieb startete der Stick wenige Sekunden nach dem Abschalten des Displays immer wieder neu. Das Warten auf die Aufweckgeste hatte den internen Wachhund nicht zurückgestellt. - Im APP-Modus zeigt der Trennstrich am oberen Rand jetzt ebenfalls, wie viel Zeit bis zur Sperre bleibt. Bisher stand er dort still. - Die Infoseite hat eine dritte Seite mit Messwerten der Stromversorgung. - Kleinigkeiten: Der Fortschrittsbalken beim langen Tastendruck blitzt bei kurzen Drücken nicht mehr auf. Vor der PIN-Abfrage in „Check SE" und „SE einrichten" entfällt die überflüssige Ankündigung samt Wartesekunde. App 0.9.3.1 · Firmware 0.2.0.0 — 20. August 2026 ------------------------------------------------- DER FEHLVERSUCHSZÄHLER LIEGT JETZT IM SICHERHEITSBAUSTEIN SELBST. - Bisher zählte die Firmware die falschen PIN-Eingaben mit. Das genügt gegen jeden, der den Stick normal bedient - nicht aber gegen jemanden, der das Gehäuse öffnet und den Sicherheitsbaustein unmittelbar anspricht. Der konnte am Zähler vorbei raten. Jetzt zählt der Baustein jeden Versuch selbst mit, auch diesen. - WAS DAS NICHT LEISTET, und das gehört dazugesagt: Der Baustein ZEICHNET einen solchen Angreifer auf, er HÄLT IHN NICHT bei zehn Versuchen an - die Grenze von zehn zieht weiterhin die Firmware, und die umgeht er ja gerade. Was ihn wirklich aufhält, ist die Länge Ihrer PIN: Jeder einzelne Versuch kostet den Baustein rund eine Sekunde, und die lässt sich nicht abkürzen. Vier Stellen sind damit in etwa zwei Stunden durchprobiert, sechs in gut einer Woche. Ab sieben Stellen läuft der interne Zähler an seine Grenze, bevor alle Möglichkeiten durch sind - der Baustein macht sich dann selbst unbrauchbar, und die Zugangsdaten sind endgültig fort statt preisgegeben. - NEHMEN SIE DESHALB MINDESTENS SIEBEN STELLEN, BESSER ACHT. Der Stick erlaubt 4 bis 10; die vier Stellen von früher sind heute die schwächste Wahl. - Wird der Sicherheitsbaustein getauscht, löscht der Stick beim nächsten Start seine Zugangsdaten - ohne Rückfrage. Der fertige Stick ist vergossen: Wer an den Baustein kommt, hat ihn geöffnet. Zu holen ist damit ohnehin nichts, denn die Daten hängen am Schlüssel des alten Bausteins. - Fehlerbehebung: Auf einem leeren Stick ließ sich über einen langen Tastendruck ein leerer Eintrag öffnen. - Fehlerbehebung: Nach der ersten falschen Eingabe stand der Zähler um eine Stelle daneben. - Die Infoseite nennt jetzt die tatsächliche Bauform des Bausteins. App 0.9.3.1 · Firmware 0.1.36.0 — 16. August 2026 ------------------------------------------------- Die erste Fassung, die zum Testen ausgegeben wird. Was der Stick kann: - Zugangsdaten verschlüsselt speichern und auf Tastendruck in das gerade aktive Fenster tippen - ohne dass auf dem Rechner etwas installiert sein muss. - Einmalkennwörter (TOTP) selbst berechnen. Der zweite Faktor liegt damit nicht mehr auf demselben Telefon wie die erste Anmeldung. - Passkeys, auch die Anmeldung OHNE Benutzernamen. Der Stick merkt sich einen Passkey selbst und findet ihn allein an der Adresse des Dienstes; Ihre Passkeys stehen unter dieser Adresse auch im Menü des Sticks. - Die PIN wird am Gerät eingegeben und verlässt es nie. Geprüft wird sie vom Sicherheitschip, nicht von der Software. Was Sie beim Ausprobieren wissen sollten: - Einmalkennwörter lassen sich auch im Tresor der App aufbewahren. Nur so bekommen Sie denselben Zugang samt zweitem Faktor auf einen zweiten Stick. Passkeys gehen diesen Weg NICHT - sie sind an einen Stick gebunden und müssen bei jedem Dienst für jeden Stick einzeln registriert werden. - Im Menüpunkt „Info“ zeigt eine zweite Seite Datum und Uhrzeit des Sticks (mit Runter dorthin blättern). Damit lässt sich ohne PC prüfen, ob die Uhr richtig geht - davon hängen die Einmalkennwörter ab. Angezeigt wird UTC, in unserer Zeitzone also ein bis zwei Stunden früher. - Reagiert der Stick einmal nicht mehr: alle drei Tasten fünf Sekunden halten, dann startet er neu. Die Zugangsdaten bleiben erhalten. - BITTE MACHEN SIE EIN BACKUP, bevor Sie ernsthaft etwas hinterlegen. Es gibt keinen Ersatzschlüssel: Bei vergessener PIN oder einem Defekt sind die Zugangsdaten endgültig verloren. Der Stick erinnert daran und wird mit der Zeit hartnäckiger. - SCHAUEN SIE AUF DAS DISPLAY, während die PC-App arbeitet. Sie bestätigen den Zugriff einmal am Gerät; danach bleibt er zwei Minuten offen und verlängert sich, solange die App arbeitet. In dieser Zeit zeigt der Stick durchgehend an, welcher Eintrag gerade gelesen, geschrieben oder gelöscht wird. Läuft dort etwas, das Sie nicht angestoßen haben, stimmt etwas nicht. - Beim Wiederherstellen einer Sicherung steht oben eine Bilanz: wie viele Konten zurückgekommen sind und wie viele davon ihr Einmalkennwort mitbekommen haben. - Manche Dienste verlangen eine Herstellerbescheinigung für Sicherheitsschlüssel (verbreitet in Unternehmen und Behörden, teils bei Banken). Die gibt paXCry bewusst nicht ab - sie wäre ein Wiedererkennungsmerkmal über alle Dienste hinweg. Solche Dienste weisen den Stick ab. - paXCry ist ein funktionierender Prototyp, kein geprüftes Sicherheitsprodukt. Signierte Firmware (Secure Boot) fehlt noch.
Kontakt
Fragen oder Interesse am Projekt? Schreib mir direkt.
Deine Angaben werden nur zur Beantwortung deiner Anfrage verwendet und nicht weitergegeben - siehe Datenschutzerklärung.