Warum dein Sexleben nicht in Apple Notizen gehört
Nicht, weil etwas Dramatisches passiert. Sondern wegen der ganz gewöhnlichen, banalen Wege, wie eine Notiz ihren geschützten Ort verlässt.
Die meisten Menschen, die so etwas festhalten, tun es an einem improvisierten Ort: eine Notiz auf dem Smartphone, eine Excel-Tabelle, ein Chatverlauf mit sich selbst, das Notizfeld einer Zyklus-App. Das funktioniert — genau bis zu dem Moment, in dem man darüber nachdenkt, wo dieser Text eigentlich überall liegt.
Was mit einer Notiz passiert
Eine Notiz ist keine einzelne Datei an einem einzigen Ort. Sie synchronisiert sich — das heißt, sie existiert auf jedem Gerät, das mit diesem Konto verknüpft ist: auf dem iPad, das auch andere nutzen, und auf dem Firmenlaptop. Sie taucht in den systemweiten Suchergebnissen auf, was bedeutet, dass ein Name oder ein intimes Wort plötzlich auf dem Sperrbildschirm oder beim Vorzeigen des Handys erscheint. Sie wird im Backup gespeichert, oft bei einem Anbieter, der den Inhalt technisch mitlesen kann. Sie erscheint in Widgets und Vorschauen. Und sie landet im Gesamtexport deines Accounts, falls Behörden jemals Auskunft verlangen.
Nichts davon ist ein Hack oder eine Sicherheitslücke. Es ist exakt das, was die Software tun soll. Das Problem ist nur: Das Design geht davon aus, dass der Inhalt harmlos und alltäglich ist. Deiner ist es nicht.
Notizen, Docs, Tabellen, Chatverläufe
- Mit jedem angemeldeten Gerät synchronisiert
- Von der systemweiten Suche indexiert
- In Standardkonfigurationen vom Anbieter einsehbar
- Teil von Konten-Exports und behördlichen Auskunftsersuchen
- Sichtbar in Widgets, Vorschauen und Mitteilungen
- Aus Backups noch lange nach dem Löschen wiederherstellbar
- Keine zweite Authentifizierungsebene
Ein lokales On-Device-Tagebuch
- Lokal gespeichert, auf einem einzigen Smartphone
- Nicht in der Systemsuche auffindbar
- Kein Entwickler-Account — nichts, was herausgegeben werden könnte
- Backup optional, im eigenen verschlüsselten Container
- Keine verräterischen Vorschauen auf dem Sperrbildschirm
- Gelöscht heißt wirklich gelöscht
- Face ID und Passcode als Standard ab erstem Start
Das Bedrohungsszenario, das wirklich zählt
Man stellt sich das Risiko gerne als Hacker vor. Es ist fast nie ein Hacker. In der Praxis sind die realistischen Szenarien extrem banal und viel wahrscheinlicher:
- Jemand nimmt dein entsperrtes Handy, um sich schnell ein Foto anzusehen
- Eine Mitteilungsvorschau poppt auf, während das Smartphone auf dem Tisch liegt
- Ein gemeinsamer iCloud- oder Google-Account, den man vor Jahren eingerichtet und längst vergessen hat
- Ein Arbeitslaptop, auf dem das private Konto angemeldet ist, und eine harmlose Suche nach etwas ganz anderem
- Familie, Partner, Grenzbeamte bei der Einreise, Reparaturtechniker
Jedes einzelne dieser Szenarien ist unspektakulär. Jedes davon hat schon Beziehungen beendet, Menschen ungefragt vor der Familie geoutet und zieht in manchen Ländern weit schlimmere Konsequenzen nach sich als bloße Scham. Der Schutz vor all dem ist immer derselbe: Die Daten dürfen nicht an einem Ort liegen, an dem man zufällig über sie stolpern kann.
Was „On-Device“ wirklich bedeuten muss
Der Begriff wird oft schwammig verwendet. Hier ist, worauf es in der Praxis wirklich ankommt:
Kein Account. Wenn es keine Registrierung gibt, gibt es keinen serverseitigen Datensatz über dich, kein Passwort, das lecken könnte, und keine Daten, die jemand herausverlangen könnte. Das ist der mit Abstand größte Unterschied, und alles andere baut darauf auf.
Keine Analysen. Nutzungsstatistiken sind in moderner Software üblich und in den meisten Fällen unbedenklich. In diesem Kontext ist „Nutzer hat den STI-Screen geöffnet“ ein hochsensibles Detail über einen echten Menschen. Die einzig sichere Menge an erfassten Daten ist: null.
Backups unter deiner vollen Kontrolle. Wenn du deine Daten auf ein neues Smartphone mitnehmen willst, sollte das über deinen eigenen, verschlüsselten Speicher laufen — nicht über die Datenbank eines Unternehmens.
Eine Sperre, die ab Werk aktiv ist — und idealerweise ein zweiter Code, der die Daten im Ernstfall sofort und spurlos vernichtet. Denn die reale Bedrohung ist eine Person, die dein entsperrtes Smartphone in der Hand hält, und kein entfernter Angreifer im Netz.
Frag dich bei jeder App: Was könnte das Unternehmen aushändigen, wenn es gerichtlich dazu gezwungen würde? Und was könnte bei einem Datenleck verloren gehen? Wenn die ehrliche Antwort lautet: „Deine intime Historie, verknüpft mit deiner E-Mail-Adresse“, spielt die Datenschutzerklärung keine Rolle mehr. Die einzigen Daten, die niemals lecken können, sind Daten, die gar nicht erst erhoben wurden.
Fragen, die Leute wirklich stellen
Ist ein iCloud-Backup dafür sicher genug?
Backups landen in deinem persönlichen Apple-Speicher und werden von Apple verschlüsselt. Ob diese Verschlüsselung vollständig Ende-zu-Ende erfolgt, hängt davon ab, ob du den Erweiterten Datenschutz (Advanced Data Protection) aktiviert hast — prüfe das in deinen Apple Account-Einstellungen, das lohnt sich völlig unabhängig von einzelnen Apps. Oder verzichte ganz auf Backups und behalte das Tagebuch ausschließlich auf diesem einen Gerät.
Was passiert, wenn ich mein Handy verliere?
Ohne Backup sind die Daten weg. Das ist der reale Kompromiss dieses Sicherheitsmodells, und man sollte ihn ganz offen aussprechen statt schönzureden. Für viele Menschen ist der Verlust von Aufzeichnungen eines Jahres ein ungleich kleineres Problem als das alternative Risiko eines Datenlecks.
Taucht eine solche App in meinem App-Store-Kaufverlauf auf?
Käufe und Downloads sind im Apple Account sichtbar — auch innerhalb einer Familienfreigabe. Das gilt für jede App, die du installierst, und man sollte es wissen, wenn ein Account geteilt wird. Sichtbar sind dort allerdings nur der Name der App und das Icon — niemals die Inhalte darin.
Diese Seite beschreibt allgemein, wie verschiedene Softwarekategorien mit Daten umgehen. Sie stellt keine Rechtsberatung und kein Sicherheitsaudit einzelner Produkte dar. Candor ist eine persönliche Dokumentations-App; sie stellt keine Diagnosen, behandelt nicht und verschreibt nichts.
Hol dir Candor
Ein Tagebuch, das genau dort bleibt, wo du es ablegst
Kein Account, kein Server, kein Tracking. Face ID und Code ab dem ersten Start — und eine Panic PIN, die bei Bedarf alles sofort löscht.
14 Tage kostenlos, danach 22,99 € / Jahr · iOS 26 oder neuer · Ab 18