Der komplette Datenweg
1) Ihr WhatsApp-Backup wird mit Ihrem Schlüssel auf Ihrem Gerät entschlüsselt — im Hintergrund-Worker des Browsers oder in der Android-App. 2) Nachrichten wandern in eine lokale Datenbank; Medien bleiben als Dateien, benannt nach ihrem Hash. 3) Wenn Sie möchten, werden Backups in den verborgenen App-Ordner (appDataFolder) Ihres eigenen Google Drive hochgeladen — ausschließlich mit dem Bereich drive.appdata. 4) WaChat Web liest dieselben Dateien aus Drive mit Ihrem eigenen Token direkt in den Browser.
Was unser Server speichert
Ihre Konto-ID (Firebase Auth), Ihren Abonnementstatus (Tarif, Ablauf, Preisgruppe) und — nur wenn Sie einen Browser über die App verknüpfen — ein pro verknüpftem Gerät mit Cloud KMS verschlüsseltes Drive-Refresh-Token, widerrufbar aus der App. Keine Chat-Datei, keine Medien, keinen WhatsApp-Schlüssel, keine Passphrase.
Einen Browser per Code verknüpfen
Der Browser erzeugt ein Schlüsselpaar und einen 8-stelligen Einmalcode, der 3 Minuten gültig ist. Die App bestätigt ihn mit Ihrem Konto-Token, und der Server verschlüsselt das Anmelde-Token für den öffentlichen Schlüssel des Browsers — selbst wer den Eintrag lesen könnte, könnte ihn nicht nutzen.
Optionale Passphrase-Verschlüsselung
AES-256-GCM mit einem per PBKDF2 (200.000 Iterationen) aus einer von Ihnen gewählten Passphrase abgeleiteten Schlüssel. Das Salt wird mit dem Backup gespeichert; die Passphrase nicht. Vergessen Sie sie, gibt es keine Wiederherstellung — auch nicht durch uns.
Berechtigungen
Android: Drive (nur appdata), Zugriff auf den WhatsApp-Ordner über die System-Dateiauswahl, optional Kontakte für Namen, Benachrichtigungen. Web: nichts außer den Dateien und Ordnern, die Sie selbst auswählen; dauerhafter Speicher wird angefordert, damit der Browser Ihre Chats nicht verwirft.
Verantwortungsvolle Offenlegung
Alles oben entspricht der Datenschutzerklärung und dem Datensicherheitsformular bei Google Play. Wenn Sie eine Schwachstelle finden, schreiben Sie an security@wachatplus.com; wir antworten innerhalb von zwei Werktagen und nennen Melder, die genannt werden möchten.