theVault. Dein Tresor für die Hosentasche.

Was ist theVault?

So funktioniert's

1. 1

   Anschließen

   theVault per USB an das Gerät anschließen.

2. 2

   PIN eingeben

   Die mindestens achtstellige PIN mit den drei Tasten am Gerät eingeben. Die Ziffern stehen in einem Raster, das nach jeder Stelle neu gemischt wird.

3. 3

   Auswählen

   Eintrag am Stick wählen – oder bei einer Passkey-Anmeldung einfach am Gerät bestätigen.

4. 4

   Fertig

   theVault tippt Benutzername und Passwort ins aktive Fenster, oder der Dienst meldet dich per Passkey an.

Verfügbarkeit

Was gibt es Neues?

Die Änderungen seit der ersten öffentlichen Fassung.

paXCry - Was gibt es Neues?

https://paxcry.com

Diese Liste beginnt mit der Fassung, die als erste an Testerinnen und Tester
ausgegeben wurde. Was davor während der Entwicklung passiert ist, steht nicht
darin.

Neuestes zuerst.


theVault · App 0.11.6.0 · Firmware 0.2.34.2 — 11. Oktober 2026
--------------------------------------------------------------

- NEU: Die App hat eine Hilfe.

  Unter jedem Schalter stand bisher ein Absatz, der erklärte, was er tut.
  Jeder einzelne war richtig, und zusammen haben sie das Wesentliche
  verdrängt: Man liest sie einmal und sieht sie tausendmal. Diese Absätze
  sind jetzt neu geschrieben in acht aufklappbaren Abschnitten hinter dem
  Fragezeichen in der Kopfzeile - auf Deutsch und auf Englisch.

  Am Feld selbst bleibt stehen, was man dort braucht: die Eingaberegeln
  und die Warnungen. Wer sie erst in einer Hilfe suchen müsste, hat den
  Fehler schon gemacht.

- NEU: Passwort und Benutzername lassen sich direkt aus der Tresorliste
  kopieren.

  In der Spalte „PWD“ liegt je Eintrag ein Kopierknopf, und der
  Benutzername ist anklickbar. Beides legt den Wert in die Zwischenablage
  und löscht ihn dort nach 30 Sekunden wieder. Dafür muss kein Eintrag
  mehr geöffnet werden.

- NEU: Das Fenster merkt sich seine Größe - und ob es im Vollbild war.

  Beim nächsten Start kommt es so zurück, wie es geschlossen wurde. Wer
  das Vollbild verlässt, bekommt die alte Größe wieder.

- Zwei Passkeys beim selben Dienst funktionieren jetzt.

  Wer bei einem Dienst zwei Passkeys registriert hatte, konnte sich mit
  keinem davon anmelden. Betroffen war nur diese Kombination; mit einem
  einzigen Passkey je Dienst gab es den Fall nie. Dafür ist ein
  Firmware-Update auf 0.2.34.2 nötig.

- Die PC-Software wurde sicherheitsgeprüft und an fünf Stellen gehärtet.

  Geprüft wurde der gesamte Quellcode durch eine unabhängige Instanz.
  Gefunden wurden keine Lücken, über die sich Zugangsdaten auslesen
  ließen - aber fünf Stellen, an denen die Software mehr Verteidigung
  verträgt. Alle fünf sind behoben. Die beiden, die Sie betreffen:

  Beim Sperren des Tresors werden Hauptschlüssel und Klartext jetzt
  überschrieben, statt nur freigegeben zu werden. Freigegebener Speicher
  behält seinen Inhalt, bis ihn etwas anderes überschreibt - er kann also
  in einer Auslagerungsdatei oder einem Absturzbericht landen.

  Und das Programmfenster hat jetzt eine strenge Sicherheitsregel
  (Content-Security-Policy). Sie verhindert, dass eingeschmuggelter Code
  im Fenster überhaupt an Ihre Zugangsdaten herankäme. Die Software war
  auch vorher nicht angreifbar - aber das ruhte allein darauf, dass jede
  Textausgabe sorgfältig geschrieben ist. Jetzt verbietet es die Regel.


theVault · App 0.11.3.0 · Firmware 0.2.34.1 — 7. Oktober 2026
-------------------------------------------------------------

- NEU: Die App gibt es jetzt auch für macOS.

  Eine Fassung für Intel-Macs und für Apple Silicon in einer Datei. Sie
  liegt als .dmg im Downloadbereich.

  WICHTIG: Sie ist nicht von Apple beglaubigt. Beim ersten Start meldet
  macOS deshalb, die App stamme von einem unbekannten Entwickler. Öffnen
  Sie sie in diesem Fall einmalig über das Kontextmenü (Rechtsklick auf
  das Programmsymbol, dann „Öffnen“); danach startet sie wie jede andere.

- NEU: Vierzehn Tastaturbelegungen, am Stick selbst wählbar.

  macOS belegt dieselben Tasten anders als Windows und Linux. Ein Passwort
  mit einem „@“ kam am Mac deshalb als „«“ an - ohne jede Fehlermeldung,
  die Anmeldung schlug einfach fehl. Betroffen war jedes Zeichen, das über
  AltGr getippt wird: @ ~ | \ { [ ] }

  Jetzt liegen vierzehn Belegungen im Stick, darunter eigene Mac-Fassungen
  für Deutsch/Österreich, die Schweiz, Großbritannien, Frankreich und
  Italien. Auswählen lässt sie sich am Gerät: im Einstellungsmenü unter
  „Keyboard“, oder im geöffneten Konto die UNTERE Taste gedrückt halten -
  also genau dort, wo auffällt, dass Zeichen falsch ankommen.

  Welche Belegung eingestellt ist, steht ab jetzt links oben im Display,
  auch auf dem Sperrbildschirm. Damit sieht man es, bevor etwas getippt
  wird. In der App lässt sich festlegen, welche der vierzehn am Stick zur
  Auswahl stehen sollen.

- NEU: Die Anleitung liegt im Downloadbereich jetzt als PDF, nicht mehr als
  Word-Datei.

  Es ist dasselbe Heft, das dem Gerät beiliegt: A6 quer, mit
  Inhaltsverzeichnis, Notizseiten und Impressum. Wer es nachdrucken möchte,
  wählt im Druckdialog „Broschüre“ - sonst kommen 28 kleine Einzelseiten
  heraus.

- Hinweis: An älteren Rechnern, mit schlechten Kabeln oder je nach
  Steckrichtung kann es vorkommen, dass der Stick beim Anstecken nicht
  gleich erkannt wird. Dann hilft abziehen und neu anstecken.


theVault · App 0.11.2.0 · Firmware 0.2.31.0 — 2. Oktober 2026
-------------------------------------------------------------

- NEU: Passwörter lassen sich am Stick selbst neu erzeugen.

  Bisher brauchte es dafür die App. Jetzt reicht das Gerät: Im Konto den
  Punkt „Password“ wählen und die OBERE Taste gedrückt halten. Der Stick
  fragt nach - oben bedeutet „Nein“, unten „Ja“ - und erzeugt dann ein
  neues Zufallspasswort aus 15 Zeichen.

  Die Rückfrage liegt bewusst auf der gegenüberliegenden Taste: Hergekommen
  sind Sie über die obere, ein zu lang gehaltener Druck sagt also „Nein“.

  Der Stick nimmt dabei nur Zeichen, die Ihre eingestellte Tastaturbelegung
  auch wirklich tippen kann. Damit kann kein Passwort entstehen, das er
  hinterher nicht ausgeben könnte.

- NEU: Ein Weg zurück, wenn die Änderung beim Dienst fehlschlägt.

  Auf demselben Punkt die UNTERE Taste halten, und der Stick holt die
  vorige Fassung zurück. Es ist ein Tausch: noch einmal gedrückt, und Sie
  sind wieder beim neuen Passwort - ein Fehlgriff kostet also nichts.

  Aufgehoben wird genau EINE vorige Fassung. Erzeugen Sie ein zweites neues
  Passwort, ist die ursprüngliche fort. Ändern Sie es deshalb gleich auch
  beim Dienst und prüfen Sie, dass die Anmeldung danach funktioniert.

- NEU: Der Anmeldeknopf in der App zeigt den Zustand und schaltet ihn um.

  Oben neben den Einstellungen steht jetzt ein Knopf: rot heißt „dieser
  Stick ist hier nicht angemeldet“, grün heißt angemeldet. Ein Klick auf
  rot meldet an, ein Klick auf grün meldet wieder ab.

  Das ist vor allem für fremde Rechner gedacht - wer dort schnell abmelden
  will, braucht den Umweg über die Einstellungen nicht mehr. Der Knopf
  verschwindet, sobald der Stick abgezogen wird.

- GEÄNDERT: Nach der Express-PIN verlangt die Anmeldung die normale PIN.

  Wie bei Passkeys. Der Stick zeigt die Eingabe am Gerät an, und die App
  wartet so lange. Vorher wurde die Anmeldung in diesem Fall nur
  abgewiesen, ohne dass erkennbar war, warum.

- GEÄNDERT: Die Kontenliste in der App leert sich, sobald der Stick weg ist.

  Vorher blieb sie stehen und zeigte Konten eines Geräts, das gar nicht
  mehr steckte.

- GEÄNDERT: Die Uhr des Sticks lässt sich nur noch von einer angemeldeten
  App stellen.

  Für Sie ändert sich nichts - die App tut das von selbst. Ein beliebiges
  anderes Programm auf dem Rechner kann die Uhr jetzt aber nicht mehr
  verstellen.


theVault · App 0.11.0.0 · Firmware 0.2.28.0 — 1. Oktober 2026
-------------------------------------------------------------

- NEU: Der Stick gibt Zugangsdaten nur noch an eine angemeldete App heraus.

  Bisher prüfte nur die App den Stick. Jetzt prüft auch der Stick die App:
  Ein anderes Programm auf Ihrem Rechner kann Ihre Konten nicht mehr
  auflisten, anlegen oder löschen - selbst dann nicht, wenn der Stick
  gerade im APP-Modus steckt.

  Das Anmelden geschieht einmal je Rechner. In den Einstellungen auf
  „App anmelden“ klicken und am Gerät die mittlere Taste halten, wenn
  „PAIR APP“ erscheint. Genau diese Handbewegung ist der Schutz: Ein
  Schadprogramm kann sie nicht ausführen.

  Jeder Stick und jeder Rechner werden einzeln angemeldet. Nach einem
  Zurücksetzen des Sticks ist eine erneute Anmeldung nötig - die App sagt
  das dann auch.

  Einzelheiten in Abschnitt 4.7 der Bedienungsanleitung, einschließlich
  dessen, was dieser Schutz NICHT leistet.

- GEÄNDERT: Vor „APP“ fragt der Stick nicht mehr nach der PIN.

  Diese zweite Eingabe hat die Anmeldung der App abgelöst. Sie war dafür
  da, dass ein entsperrt liegengelassener Stick nicht alle Zugangsdaten
  herausgibt - das erledigt jetzt die Anmeldung, und zwar besser.

  Vor „Backup“ bleibt die PIN-Abfrage. Dort werden die Zugangsdaten in ein
  fremdes Fenster getippt, und darüber sagt eine angemeldete App nichts.

- HINWEIS: Mit der Express-PIN bekommt die App keine Zugangsdaten.

  Der APP-Modus selbst öffnet sich, aber die Anmeldung gelingt nur mit der
  normalen PIN. Dieselbe Grenze gilt seit jeher für Passkeys und
  Begleitgeräte.

- HINWEIS: Firmware-Update, Diagnosebericht, das Stellen der Uhr und die
  Wiederherstellung nach einem Löschvorgang gehen weiterhin ohne Anmeldung.

  Ein Rettungsweg darf nie von dem abhängen, was gerade kaputt ist.

- HINWEIS: Diese Fassung hebt die Rollback-Version. Ist sie einmal
  gestartet, lässt sich keine ältere Firmware mehr aufspielen.

  Das ist Absicht und gehört zum Schutz oben: Die Fassungen davor haben den
  Riegel nicht. Wären sie weiter aufspielbar, liesse er sich mit einem
  Firmware-Wechsel umgehen.


theVault · App 0.10.3.2 · Firmware 0.2.27.2 — 30. September 2026
----------------------------------------------------------------

- NEU: Die Echtheitsprüfung stellt dem Stick jetzt eine Zufallsfrage.

  Die App prüft seit jeher, ob im Gerät ein echter Sicherheitsbaustein
  steckt und ob wir genau diesen Baustein gegengezeichnet haben. Beide
  Angaben sind aber öffentlich und lauten bei jeder Abfrage gleich - ein
  Nachbau konnte sie von einem echten Stick abschreiben und kam damit
  durch.

  Jetzt würfelt die App zusätzlich 32 Zufallszahlen und lässt den Stick sie
  unterschreiben. Das kann nur der Baustein selbst, mit einem Schlüssel,
  der ihn nie verlässt - und abschreiben lässt sich nichts, weil die Frage
  jedes Mal eine andere ist.

  Antwortet ein Gerät darauf nicht oder falsch, sagt die App das jetzt in
  Rot. Bei einem echten Stick kann das nicht vorkommen.


theVault · Firmware 0.2.26.0 — 28. September 2026
--------------------------------------------------

- GEÄNDERT: Die PIN-Eingabe läuft jetzt in zwei Bildern, und beide
  Tastendrücke sind dieselbe Bewegung.

  Der erste Druck wählt wie bisher die Zeile, in der Ihre Ziffer steht.
  Danach zeigt der Stick nur noch diese drei Ziffern, untereinander - wieder
  genau neben der Taste, die sie meint. Der zweite Druck wählt die Ziffer.

  Ein Beispiel: Sie brauchen die 6, und das Feld zeigt oben „1 5 3“, in der
  Mitte „7 2 6“ und unten „7 8 9“. Die 6 steht in der mittleren Zeile, also
  drücken Sie die mittlere Taste. Danach stehen dort nur noch „7“, „2“ und
  „6“ - die 6 unten. Ein Druck auf Runter, und die Ziffer ist eingegeben.

  Vorher war der zweite Druck eine Rechenaufgabe: Die Ziffern standen
  nebeneinander, die Tasten sitzen aber untereinander. Man musste von links,
  Mitte oder rechts auf die passende Taste schließen.

  An der Sicherheit ändert sich nichts: Das Feld wird weiterhin nach jeder
  Stelle neu gemischt, und es sind dieselben zwei Tastendrücke - nur anders
  dargestellt.


theVault · Firmware 0.2.25.0 — 27. September 2026
--------------------------------------------------

- GEÄNDERT: Die PIN-Eingabe wählt jetzt zuerst die ZEILE und danach die
  Spalte - bisher war es umgekehrt.

  Der Grund liegt am Gerät: Die drei Tasten sitzen untereinander neben dem
  Display, und die drei Zeilen des Ziffernfeldes stehen genau auf ihrer
  Höhe. Der erste Druck zeigt damit dorthin, wo die Taste ist. Vorher
  markierte ein Druck auf die mittlere Taste die mittlere Spalte, während
  die gesuchte Ziffer womöglich oben stand - man musste zwei Richtungen im
  Kopf behalten.

  Beim zweiten Druck bedeutet oben die linke, Mitte die mittlere und unten
  die rechte Ziffer der gewählten Zeile. Ein langer Druck auf Runter nimmt
  wie bisher einen Schritt zurück.

  An der Sicherheit ändert sich nichts: Das Ziffernfeld wird weiterhin nach
  jeder Stelle neu gemischt, die Tastenfolge verrät die PIN also nach wie
  vor nicht.


theVault · App 0.10.2.1 · Firmware 0.2.24.4 — 27. September 2026
----------------------------------------------------------------

- NEU: Jeder Stick weist sich gegenüber der PC-App aus. Der verbaute
  Sicherheitsbaustein bringt vom Hersteller ein Zertifikat mit; die App prüft
  dessen Unterschrift gegen Infineon. Zusätzlich hat die Jucama KG genau
  diesen Baustein gegengezeichnet. Beides zusammen beantwortet die Frage, ob
  ein Gerät wirklich aus unserer Fertigung kommt.

  Sie sehen das Ergebnis in den Einstellungen unter „Echtheit prüfen“.

- WICHTIG: Die App überträgt Zugangsdaten nur noch an Sticks, die diese
  Prüfung bestehen.

  Warum das nötig ist: Ein nachgebautes Gerät braucht weder Display noch
  Sicherheitsbaustein – es genügt, sich gegenüber der App wie ein neuer Stick
  zu verhalten. Wer dann eine Sicherung wiederherstellt, entschlüsselt sie am
  PC und schickt jeden Eintrag im Klartext an dieses Gerät. Die Seriennummer
  hilft dagegen nicht: Sie steht auf dem Etikett und wird von jedem Gerät
  frei angegeben.

  Was weiterhin geht, auch bei einem Stick ohne bestätigte Echtheit:
  Firmware-Update, Diagnosebericht und die Wiederherstellung nach einem
  Löschvorgang. Diese Wege bleiben absichtlich offen – sonst wäre ein Gerät
  mit veralteter Firmware nicht mehr zu retten.

  Was die Prüfung NICHT leistet: Sie erkennt keinen Nachbau, der Zertifikat
  und Gegenzeichnung eines echten Sticks abgeschrieben hat. Beides ist
  öffentlich und unveränderlich. Diese Lücke schließt erst ein künftiger
  Schritt, bei dem der Stick eine Zufallsfrage mit seinem eigenen Schlüssel
  beantwortet.

- Kleinere Korrekturen an der Firmware: Der Stick gibt seine Gegenzeichnung
  vollständig heraus, und die Hilfe bei einem unbekannten Befehl nennt wieder
  alle Befehle.


theVault · Firmware 0.2.22.0 — 26. September 2026
-------------------------------------------------

- ENTFERNT: Den Wiederherstellungsschlüssel gibt der Stick nicht mehr aus,
  der Menüpunkt „Rescue key“ ist weg. Gedacht war er für einen Defekt der
  Elektronik: Mit dem notierten Schlüssel ließe sich das Sicherheitselement
  in ein neues Gerät übernehmen. Bei einem vergossenen Stick lohnt dieser
  Weg nicht – der Aufwand dafür übersteigt den Preis eines neuen Geräts
  deutlich. Übrig blieb damit vor allem das Risiko: Wer den Zettel und Ihren
  Stick in die Hände bekommt, umgeht damit die Sperre nach zu vielen
  Fehlversuchen.

  Im Alltag ändert sich für Sie nichts. Bei Verlust oder Defekt gilt
  weiterhin: Ihre Zugangsdaten kommen aus der Sicherungsdatei zurück, die
  Sie auf einem neuen Stick einspielen. Passkeys sind davon ausgenommen –
  sie hängen fest am Sicherheitsbaustein und werden bei den Diensten neu
  eingerichtet. Legen Sie also weiterhin regelmäßig ein Backup an.

  Haben Sie einen solchen Schlüssel auf Papier notiert: Er wird nicht mehr
  gebraucht, und Sie sollten ihn vernichten.


theVault · App 0.9.8.0 · Firmware 0.2.20.1 — 24. September 2026
--------------------------------------------------------------

- GEÄNDERT: Den Wiederherstellungsschlüssel gibt jetzt nur noch der Stick
  selbst aus, nicht mehr die PC-App. Im Menü unter „Rescue key“ wählen Sie,
  ob er am Display angezeigt oder als Tastatur in ein geöffnetes Textfeld
  getippt wird. So verlässt dieser Schlüssel das Gerät nie über die
  Verbindung zum PC. Abgefragt wird dafür immer die normale PIN.

- GEÄNDERT: Der Zugang zu APP-Modus, Tastatur-Backup und
  Wiederherstellungsschlüssel verlangt jetzt die normale PIN. Eine
  Express-Entsperrung reicht dafür nicht mehr - so kommt niemand allein mit
  der Express-PIN an Ihre Zugangsdaten oder den Rettungsschlüssel.

- GEÄNDERT: Die Wiederherstellung eines Sticks läuft jetzt in einem Zug. Nach
  dem Auslösen vergeben Sie einmal eine neue PIN, der Stick richtet sein
  Sicherheitselement dabei selbst wieder ein und ist sofort benutzbar - der
  frühere Umweg über „Check SE“ entfällt.

- GEÄNDERT: Die automatische Löschung nach zu vielen Fehlversuchen greift
  jetzt auch, wenn der Stick nur am Akku läuft und sich nicht abstecken lässt.
  Er startet nach dem Löschen von selbst neu und ist gesperrt.

- NEU: Klarere Führung bei der ersten Einrichtung, mit deutlichem Hinweis,
  dass es keinen Ersatzschlüssel gibt.


theVault · App 0.9.5.1 · Firmware 0.2.17.3 — 19. September 2026
---------------------------------------------------------------

- NEU: Passkey nach der Express-PIN. Ist der Stick mit der Express-PIN
  entsperrt und eine Seite möchte einen Passkey, öffnet er dafür von selbst
  die normale PIN-Eingabe („passkey“ oben im Display). Der Browser wartet
  so lange, danach bestätigen Sie die Anmeldung wie gewohnt. Ein langer
  Druck auf Runter bei noch leerer Eingabe bricht ab. Eine falsche PIN
  sperrt den Stick ganz. Am gesperrten Stick ändert sich nichts: Dort
  öffnet eine Passkey-Anfrage keine Eingabe - zuerst entsperren.

- GEÄNDERT: Die Backup-Mahnung erscheint nicht mehr, nur weil ein Passkey
  angelegt wurde - Passkeys lassen sich ohnehin nicht sichern. Und nach dem
  Einspielen eines Backups auf einen leeren Stick gilt dieser als gesichert,
  die Mahnung beim nächsten Entsperren entfällt.


theVault · App 0.9.5.0 · Firmware 0.2.16.2 — 17. September 2026
---------------------------------------------------------------

- NEU: EXPRESS-PIN. Vier Stellen, am Stick unter Einstellungen „Express
  PIN“ vergeben. Sie steht vor dem APP-Modus und dem Backup, und nach
  Untätigkeit, fünf Minuten Nutzung oder dem APP-Modus reicht sie 30 Minuten
  lang zum Entsperren. Es gibt nur einen Versuch - danach und nach einem
  langen Druck auf Auswählen gilt wieder die normale PIN. Passkeys brauchen
  immer die normale PIN. In der App lässt sich einstellen, wie viele Stunden
  (ab Werk 8) und wie viele Express-Entsperrungen (ab Werk 10) sie reicht,
  oder sie ganz abschalten.

- GEÄNDERT: Die Bestätigung „send ALL secrets for 2 min?“ gilt jetzt genau
  zwei Minuten ab dem Tastendruck und verlängert sich nicht mehr, solange die
  App liest.

- Die Löschschwelle steht ab Werk auf 9 Fehlversuche und lässt sich
  zwischen 5 und 9 einstellen. Die Anleitungen nannten noch 10.

- Passkeys: Ein zweites Programm am Rechner kann eine laufende Anmeldung
  nicht mehr abbrechen.

- Der Diagnosebericht sagt jetzt, ob eine Express-PIN hinterlegt ist und wie
  lange sie reicht - und womit zuletzt entsperrt wurde. Die PIN selbst steht
  dort nie, so wenig wie Ihre Zugangsdaten.


theVault · App 0.9.4.3 · Firmware 0.2.15.1 — 15. September 2026
-----------------------------------------------------------------

AUS DEM PAXCRY-STICK WIRD theVault. paXCry ist ab jetzt der Name der Marke,
theVault der Name dieses Produkts - weitere folgen. Die App heißt vorerst
weiter paXCry.

- NEUER SICHERHEITSCHIP: Infineon OPTIGA Trust M. Die PIN prüft der Chip und
  nicht die Firmware, und der Schlüssel zu Ihren Zugangsdaten entsteht nur im
  Zusammenspiel mit ihm. Fehlversuche zählt der Chip selbst.

- PASSKEYS: theVault ist ein Sicherheitsschlüssel nach FIDO2/WebAuthn, samt
  hmac-secret und credProtect. Passkeys lassen sich nicht sichern und nicht
  auf ein zweites Gerät übertragen - das ist gewollt, sie hängen am
  Sicherheitschip. Für ein Reservegerät bei jedem Dienst zusätzlich
  registrieren.

- ANMELDUNG AM PC: Mit dem entsperrten Stick am Rechner anmelden, ohne das
  Passwort zu tippen. Vorerst für Linux.

- PIN MIT MINDESTENS ACHT STELLEN. Beim Einrichten und beim PIN-Wechsel
  verlangt theVault jetzt acht bis zehn Stellen. Eine bestehende kürzere PIN
  wird weiterhin angenommen - wechseln Sie sie trotzdem.

- SIGNIERTE FIRMWARE. Die Firmware im Downloadbereich ist signiert und
  startet nur auf theVault-Geräten mit Secure Boot. Sie hebt die
  Rollback-Version: Ist sie einmal gestartet, lässt sich keine ältere
  Firmware mehr aufspielen.

- WIEDERHERSTELLUNGSSCHLÜSSEL: Bei der Einrichtung gibt theVault einen
  Schlüssel zum Abschreiben aus. Er verbindet nach einem Defekt einen
  Ersatz-Mikrocontroller wieder mit dem Sicherheitschip. Er ersetzt KEIN
  Backup.

- Diese Firmware passt nur auf theVault-Geräte mit dem neuen Sicherheitschip
  und Secure Boot. Ältere Prototypen lassen sich damit nicht aktualisieren.

- Legen Sie vor jedem Firmware-Wechsel ein Backup an.


App 0.9.4.0 · Firmware 0.2.3.8 — 22. August 2026
-------------------------------------------------

- NEU: Diagnosebericht in den Einstellungen der App. Ein Klick speichert den
  Zustand des Sticks als Textdatei - Firmware, Sicherheitsbaustein,
  Fehlversuchszähler, Uhr, Akku, dazu die Fassung der App und Ihr
  Betriebssystem. Bei einer Rückfrage einfach anhängen.
  Die Datei enthält KEINE Zugangsdaten, und das steht auch in ihrem Kopf.

- Die Uhr des Sticks überlebt jetzt einen Stromausfall. Der Sicherungspuffer
  war ab Werk abgeschaltet - die eingebaute Zelle lag also wirkungslos da, und
  nach jedem Trennen war die Zeit weg. Das richtet der Stick beim Entsperren
  einmalig ein.
  Warum das zählt: Ohne gültige Uhr gibt er keine Einmalkennwörter heraus.

- Im APP-Modus zeigt der Trennstrich am oberen Rand jetzt ebenfalls, wie viel
  Zeit bis zur Sperre bleibt. Bisher stand er dort still.

- Die Infoseite hat eine dritte Seite mit Messwerten der Stromversorgung.


App 0.9.3.1 · Firmware 0.2.0.0 — 20. August 2026
-------------------------------------------------

DER FEHLVERSUCHSZÄHLER LIEGT JETZT IM SICHERHEITSBAUSTEIN SELBST.

- Bisher zählte die Firmware die falschen PIN-Eingaben mit. Das genügt gegen
  jeden, der den Stick normal bedient - nicht aber gegen jemanden, der das
  Gehäuse öffnet und den Sicherheitsbaustein unmittelbar anspricht. Der
  konnte am Zähler vorbei raten. Jetzt zählt der Baustein jeden Versuch
  selbst mit, auch diesen.

- WAS DAS NICHT LEISTET, und das gehört dazugesagt: Der Baustein ZEICHNET
  einen solchen Angreifer auf, er HÄLT IHN NICHT bei zehn Versuchen an - die
  Grenze von zehn zieht weiterhin die Firmware, und die umgeht er ja gerade.
  Was ihn wirklich aufhält, ist die Länge Ihrer PIN: Jeder einzelne Versuch
  kostet den Baustein rund eine Sekunde, und die lässt sich nicht abkürzen.
  Vier Stellen sind damit in etwa zwei Stunden durchprobiert, sechs in gut
  einer Woche. Ab sieben Stellen läuft der interne Zähler an seine Grenze,
  bevor alle Möglichkeiten durch sind - der Baustein macht sich dann selbst
  unbrauchbar, und die Zugangsdaten sind endgültig fort statt preisgegeben.

- NEHMEN SIE DESHALB MINDESTENS SIEBEN STELLEN, BESSER ACHT. Der Stick erlaubt
  4 bis 10; die vier Stellen von früher sind heute die schwächste Wahl.

- Wird der Sicherheitsbaustein getauscht, löscht der Stick beim nächsten
  Start seine Zugangsdaten - ohne Rückfrage. Der fertige Stick ist
  vergossen: Wer an den Baustein kommt, hat ihn geöffnet. Zu holen ist damit
  ohnehin nichts, denn die Daten hängen am Schlüssel des alten Bausteins.

- Die Infoseite nennt jetzt die tatsächliche Bauform des Bausteins.


App 0.9.3.1 · Firmware 0.1.36.0 — 16. August 2026
-------------------------------------------------

Die erste Fassung, die zum Testen ausgegeben wird.

Was der Stick kann:

- Zugangsdaten verschlüsselt speichern und auf Tastendruck in das gerade
  aktive Fenster tippen - ohne dass auf dem Rechner etwas installiert sein
  muss.

- Einmalkennwörter (TOTP) selbst berechnen. Der zweite Faktor liegt damit
  nicht mehr auf demselben Telefon wie die erste Anmeldung.

- Passkeys, auch die Anmeldung OHNE Benutzernamen. Der Stick merkt sich einen
  Passkey selbst und findet ihn allein an der Adresse des Dienstes; Ihre
  Passkeys stehen unter dieser Adresse auch im Menü des Sticks.

- Die PIN wird am Gerät eingegeben und verlässt es nie. Geprüft wird sie vom
  Sicherheitschip, nicht von der Software.

Was Sie beim Ausprobieren wissen sollten:

- Einmalkennwörter lassen sich auch im Tresor der App aufbewahren. Nur so
  bekommen Sie denselben Zugang samt zweitem Faktor auf einen zweiten Stick.
  Passkeys gehen diesen Weg NICHT - sie sind an einen Stick gebunden und
  müssen bei jedem Dienst für jeden Stick einzeln registriert werden.

- Im Menüpunkt „Info“ zeigt eine zweite Seite Datum und Uhrzeit des Sticks
  (mit Runter dorthin blättern). Damit lässt sich ohne PC prüfen, ob die Uhr
  richtig geht - davon hängen die Einmalkennwörter ab. Angezeigt wird UTC, in
  unserer Zeitzone also ein bis zwei Stunden früher.

- Reagiert der Stick einmal nicht mehr: alle drei Tasten fünf Sekunden halten,
  dann startet er neu. Die Zugangsdaten bleiben erhalten.

- BITTE MACHEN SIE EIN BACKUP, bevor Sie ernsthaft etwas hinterlegen. Es gibt
  keinen Ersatzschlüssel: Bei vergessener PIN oder einem Defekt sind die
  Zugangsdaten endgültig verloren. Der Stick erinnert daran und wird mit der
  Zeit hartnäckiger.

- SCHAUEN SIE AUF DAS DISPLAY, während die PC-App arbeitet. Sie bestätigen den
  Zugriff einmal am Gerät; danach bleibt er zwei Minuten offen und verlängert
  sich, solange die App arbeitet. In dieser Zeit zeigt der Stick durchgehend
  an, welcher Eintrag gerade gelesen, geschrieben oder gelöscht wird. Läuft
  dort etwas, das Sie nicht angestoßen haben, stimmt etwas nicht.

- Beim Wiederherstellen einer Sicherung steht oben eine Bilanz: wie viele
  Konten zurückgekommen sind und wie viele davon ihr Einmalkennwort
  mitbekommen haben.

- Manche Dienste verlangen eine Herstellerbescheinigung für
  Sicherheitsschlüssel (verbreitet in Unternehmen und Behörden, teils bei
  Banken). Die gibt paXCry bewusst nicht ab - sie wäre ein
  Wiedererkennungsmerkmal über alle Dienste hinweg. Solche Dienste weisen den
  Stick ab.

- paXCry ist ein funktionierender Prototyp, kein unabhängig zertifiziertes
  Sicherheitsprodukt. Ausgelieferte Geräte starten nur signierte Firmware
  (Secure Boot); eine unabhängige Sicherheitszertifizierung steht noch aus.

Zum Download