Dein Charakter, dein Gerät: die Architektur-Entscheidung gegen Server-Sync im Klartext
Personarium ist heute eine Desktop-App: Ein Charakter samt seiner Chats lebt in der lokalen Datenbank auf genau dem Gerät, auf dem du ihn erstellt hast. Das ist keine Lücke, die wir noch schließen müssen — es ist eine direkte Folge der Regel, die das ganze Produkt trägt.
Warum wir nicht einfach eine Cloud-Datenbank anschließen
Die bequemste Lösung für Mehr-Geräte-Nutzung wäre eine gehostete Datenbank gewesen, die im Hintergrund synchronisiert — für dich unsichtbar, für uns ein Server, der deine Chats zwangsläufig im Klartext sieht, um sie abzugleichen. Genau das schließt unsere Grundregel aus: kein serverseitiger Klartext-Sync von Chats oder Bildern, egal wie praktisch. Diese Regel gilt nicht nur für den Text-Chat, sondern für jede Funktion, die wir bauen — auch für eine, die es noch gar nicht gibt.
Fertige Lösungen geprüft — und verworfen
Bevor wir uns für einen Eigenbau entschieden haben, haben wir bestehende Sync-Frameworks geprüft. Turso, PowerSync, ElectricSQL und Zero sehen serverseitig Klartext — raus. Evolu, die einzige fertige Ende-zu-Ende-verschlüsselte Lösung, bringt eine eigene SQLite-Instanz mit, die mit unserer Volltextsuche kollidiert. cr-sqlite ist verwaist, seit über einem Jahr ohne Release. Keine dieser Optionen passt, ohne entweder die Datenschutz-Regel oder unser bestehendes Datenmodell zu brechen — der Eigenbau ist deshalb eine bewusste Entscheidung, kein Notbehelf.
Was stattdessen kommt: Geräte-Bündel statt Server-Konto
Mehr-Geräte-Nutzung ist für ein späteres Update geplant, nach demselben Prinzip: Deine Änderungen laufen lokal in ein Protokoll, das aus einem Passwort-Satz (einer Mnemonic) abgeleitet Ende-zu-Ende verschlüsselt wird — als Gerät-Bündel, wahlweise in deiner eigenen Cloud oder auf einem bewusst „dummen“ Blob-Speicher, der nur Ciphertext und Dateinamen zu sehen bekommt. Eine spätere Stufe ergänzt direkten Abgleich zwischen deinen Geräten im selben Netzwerk, unterwegs optional über einen Relay, der konstruktionsbedingt nur verschlüsselte Pakete weiterleiten kann.
Was das für dich bedeutet
Dein Hub-Konto kennt auch nach diesem Ausbau nur deine E-Mail-Adresse und deinen Mitgliedschaftsstatus — nie den Inhalt deiner Gespräche. Verlierst du die Mnemonic, ist das gesyncte Archiv verloren, wie beim Tresor: keine Hintertür, aus demselben Grund. Und bis dahin bleibt die Desktop-Nutzung genau das, was sie heute ist — ein Charakter, ein Gerät, kein Konto, das mitliest.
Ein Server, der deine Chats abgleicht, kann sie lesen. Wir haben früh entschieden, dass unserer das nicht können soll — auch später nicht.