Nur die Macs, die du bestätigt hast, erhalten je etwas.

Zwei Macs auf demselben Schreibtisch. Einen Absatz vom einen zum anderen zu bewegen sollte keine dritte Kopie bei irgendeinem Cloud-Dienst hinterlassen. Unterstützte Zwischenablageninhalte und ausgewählte Dateien gehen direkt zwischen bestätigten Macs in einem lokalen Netzwerk, das beide erreichen.

Die Verbindung läuft über lokales WLAN oder Ethernet. Geteilte Inhalte laufen über keinen Server des Deskferry-Entwicklers, und es gibt keine Deskferry-Cloud-Zwischenablage, aus der Geräte später herunterladen. Der empfangende Mac holt sich den Inhalt über die eigene Verbindung zum sendenden Mac. In Protokoll-Begriffen ist das Peer-to-Peer-(P2P)-LAN-Transport, ganz ohne Deskferry-Cloud-Relay dazwischen.

Im Alltag bringt das vor allem eines: eine Stelle weniger, die man im Auge behalten muss. Nichts sammelt sich in einer Cloud-Bibliothek, die man ab und zu aufräumen müsste, kein hochgeladenes Archiv zum Durchsuchen später, kein Dienstkonto, das erst verbunden werden muss, bevor die erste Kopie funktioniert. Am meisten zählt das, wenn derselbe Laptop und derselbe Schreibtisch-Mac zwanzigmal am Tag Dinge hin- und herreichen.

Erreichbarkeit ist eine echte Bedingung, keine Formalität — und sie schlägt zu, wenn man nicht damit rechnet. Ein Gastnetzwerk, das seine Clients voneinander isoliert, blockiert die Verbindung vollständig, selbst wenn beide Macs denselben WLAN-Namen anzeigen. Zuhause und Büro verbindet nichts miteinander. Der lokale Verlauf auf einem einzelnen Mac bleibt davon völlig unberührt.

Der Arbeits-Mac läuft über den Firmenaccount, der private über deinen eigenen. Dafür beide zusammenzulegen gibt es selten einen guten Grund, und zwei Geräte zu verbinden sollte das auch nicht erzwingen.

Deshalb gibt es vor dem Koppeln oder Synchronisieren nichts zu registrieren und keinen Login-Schritt. Die beiden Macs können auf völlig verschiedenen Apple Accounts laufen. Die Berechtigung kommt aus einer bestätigten Gerätegruppe statt aus einem gemeinsamen Login: Geräteidentität und gruppenbezogene Autorisierung übernehmen, was sonst ein Dienstkonto leisten müsste.

In einem Haushalt oder kleinen Team bedeutet das: Du lädst einen bestimmten Mac ein. Niemand reicht Zugangsdaten herum, private und dienstliche Logins bleiben genau da, wo sie sind, und ein Gerät hinzuzufügen bleibt eine Entscheidung, die tatsächlich jemand treffen muss.

App-Store-Downloads, Käufe und die damit verbundenen Kontoanforderungen übernimmt weiterhin Apple. Was Deskferry vermeidet, ist ein zweites Produktkonto — die gekoppelten Macs müssen sich nie einen Apple Account teilen.

In der Nähe zu sein sagt nichts darüber aus, ob ein Mac deine Arbeit bekommen sollte. Erkennung und Berechtigung sind bewusst getrennt: Im selben WLAN aufzutauchen bringt ein Gerät in keine Gruppe und verschafft ihm gar nichts.

Die Kopplung läuft als kurze Abfolge ab, damit der Administrator sich das Gerät ansehen kann, bevor die Mitgliedschaft erteilt wird:

1. Der Administrator startet aus der eigenen Gruppe mit Add Mac eine Einladung. Der sechsstellige Code gilt 120 Sekunden und erlaubt drei Authentifizierungsversuche.
2. Auf dem beitretenden Mac wählt Join a Group diese nahe Einladung aus und nimmt den Code entgegen. Der verschlüsselte Kopplungsaustausch nutzt SPAKE2, um beide Seiten zu verifizieren, bevor die Anfrage überhaupt zur Bestätigung kommt, und bindet sein Ergebnis über einen TLS-Exporter an die gesicherte Verbindung, sodass der kurzlebige Code und die folgende Gerätesitzung zum selben Vertrauensaufbau gehören.
3. Der Administrator prüft den beitretenden Mac und bestätigt ihn. Läuft der Code ab oder sind die drei Versuche aufgebraucht, muss die Einladung neu gestartet werden.

Diese Prüfungen gehören zu dem Moment, in dem Zugriff erteilt wird. Für jede einzelne Kopie muss kein Code mehr eingegeben werden — spätere Verbindungen verifizieren die Geräteidentität, die bei der Kopplung festgelegt wurde. Vor der ersten Übertragung auf beiden Macs dieselbe aktuelle Gruppe auswählen und warten, bis die Verbindung bereit ist.

Ein Teil davon ist überhaupt nicht kryptografisch: Bestätige nur eine Anfrage, die du auch erkennst. Der Code und der verschlüsselte Austausch schützen den Kopplungsvorgang selbst. Ob das wirklich das Gerät ist, dem du vertrauen wolltest, kannst nur du beantworten.

Ein WLAN-Passwort klärt, wer ins Netzwerk kommt. Über den Inhalt, den du danach hindurch schickst, sagt es nichts. Bei beiden Macs wird die Identität verifiziert, und die Verbindung zwischen ihnen ist verschlüsselt — genau das verhindert, dass kopierter Text, Bilder und Dateien unterwegs mitgelesen werden können.

Die Übertragung läuft über TLS 1.3 mit gegenseitiger Authentifizierung (mTLS), sodass beide Seiten sich ausweisen, statt dem Netzwerk einfach zu vertrauen. Ereignisse werden signiert, und ein Wiedergabeschutz sorgt dafür, dass eine alte, gültige Nachricht sich nicht als neue Aktion erneut einschleusen lässt. Die Verbindung trägt außerdem ihren Kontext mit sich: Sie gehört zu einer bestätigten Gruppe, nicht zu wem auch immer gerade mithört.

Gespeicherter Verlauf hat einen eigenen Schutz. Texte und Anhänge werden auf jedem Mac verschlüsselt, den Schlüssel hält der macOS-Schlüsselbund. Indexdaten wie Zeitpunkt und Status liegen getrennt davon — dass der Inhalt verschlüsselt ist, heißt also nicht, dass jedes Feld im Index es auch ist.

Was davon nichts regelt: was ein vertrauter Empfänger anschließend damit macht. Ein Mac, der deinen Inhalt empfangen hat, kann ihn behalten, so lange er will, und ein entsperrter Mac gehört, wer auch immer gerade davorsitzt. Empfänger auszuwählen und die Geräte selbst zu sichern bleibt deine Aufgabe.

Sobald mehr als zwei Macs beteiligt sind, zählt mehr, wer eine Kopie überhaupt empfangen kann, als wie schnell sie ankommt. Die aktuelle Gruppe ist der Kreis — nicht jeder Mac in der Nähe und nicht jede Gruppe, der du je beigetreten bist. Darunter halten gruppengebundene v2-Frames Nachrichten im vorgesehenen Gruppenkontext, während eine signierte Mitgliederliste und ein signierter Widerruf festhalten, wer noch berechtigt ist. Jeder Mac wendet darüber hinaus seine eigene Sync-Richtlinie an.

Die Steuerung trennt Mitgliedschaftsentscheidungen bewusst vom Alltagsgebrauch:

• Administratoren verwalten die Mitgliedschaft. Einen neuen Mac zu bestätigen ist ihre Sache, ebenso ein Mitglied aus einer Gruppe zu entfernen, die ihnen gehört — auch ein Gerät, das dabei gerade offline ist. Mitglieder können einander nicht entfernen.
• Jeder Mac steuert das eigene Teilen. Welche Gruppe aktuell ist, ob Sync pausiert, welche Inhaltstypen dieses Gerät senden darf — alles lokale Entscheidungen. Vor einer wichtigen Kopie lohnt ein Blick auf die Gruppe.
• Der persönliche Verlauf bleibt persönlich. In einer Gruppe mit jemandem zu sein verschafft dieser Person keinen Zugang zu deiner Verlaufsbibliothek, den Administrator eingeschlossen. Was ein Empfänger behält, ist nur der eigene lokale Datensatz dessen, was du zum Synchronisieren freigegeben hast.

Eine private Gruppe und eine Arbeitsgruppe können nebeneinander bestehen, ausgewählt wird vor dem Teilen. Der Wechsel ändert den aktiven Kreis; beide zu haben heißt nicht, dass jede neue Kopie an beide geht.

Ein Mitglied zu entfernen widerruft künftigen autorisierten Zugriff über diese Kopplung — und dabei bleibt es. Dateien, eingefügte Inhalte oder Verlauf, die der andere Mac bereits gespeichert hat, bleiben unangetastet. Zugriffskontrolle regelt, wer die nächste Kopie bekommt, nie, was aus der letzten geworden ist.

Du fügst ein Passwort ein und vergisst es wieder. Jetzt ist es ein Eintrag in einer Liste, an der du wochenlang vorbeiscrollst. Eine lokale Prüfung für unterstützte vertrauliche Formate soll genau verhindern, dass manche dieser Kopien überhaupt erst zu lesbarem Verlauf werden.

Die Regeln erfassen Zugangsdaten mit eindeutigen Feldern, bestimmte private Schlüsselformate und unterstützte Wiederherstellungsphrasen, erkannt anhand ihrer Struktur — nicht, indem jede zufällig aussehende Zeichenkette als Geheimnis behandelt wird. Die Erkennung ist deterministisch: Sie nutzt die eigene Struktur des Formats, NFKD-Normalisierung und Prüfsummen, wo das Format sie vorsieht, darunter unterstützte BIP39- und SLIP39-Phrasen, BIP32-, BIP38- und WIF-Private-Keys sowie PEM- oder OpenSSH-Container. Die Prüfung läuft auf deinem Mac, der Inhalt der Zwischenablage wird zur Kontrolle nirgendwohin hochgeladen.

Trifft ein unterstütztes Format zu, wird das ganze Ereignis nur als vertraulicher Platzhalter gespeichert. Lesbarer Inhalt, Anhangsnamen und Miniaturansichten fehlen in diesem Eintrag komplett, sodass sich das Geheimnis später nicht daraus wiederherstellen lässt.

Und jetzt der Unterschied, der wirklich zur Stolperfalle wird: Etwas aus dem Verlauf herauszuhalten und es vom Netzwerk fernzuhalten sind zwei verschiedene Einstellungen. Sync für vertrauliche Inhalte ist standardmäßig aktiviert, und jeder Mac wendet seine eigenen Einstellungen unabhängig an. Soll privates Material die aktuelle Gruppe gar nicht erst erreichen, muss diese Einstellung ausgeschaltet oder Sync pausiert werden, bevor du kopierst. Ein Platzhalter im Verlauf beweist nicht, dass nichts gesendet wurde.