So richten Sie die Synchronisierung mit eigenem S3-Speicher (BYOS) in Filarr ein

Kurze Antwort: Im Pro-Tarif oder mit einem Platz in einer Teams- oder Enterprise-Organisation kann Filarr Ihre Dateien über einen S3-kompatiblen Bucket synchronisieren, der Ihnen gehört und den Sie kontrollieren, statt über den Speicher von Filarr. Öffnen Sie „Settings → Account & Sync“ (Einstellungen → Konto und Synchronisierung), suchen Sie den Abschnitt „Where synced files live“, klicken Sie auf „Use my bucket“, wählen Sie Ihren Anbieter, tragen Sie Endpunkt, Region, Bucket, Adressierung, Access key ID und Secret access key ein, klicken Sie auf „Test“ und dann auf „Save“. Ab diesem Moment wird jede Datei auf Ihrem Rechner mit AES-256-GCM verschlüsselt, bevor sie ihn verlässt, und der Server von Filarr leitet sie an Ihren Bucket weiter, sodass Ihr Bucket immer nur undurchsichtige, unlesbare Blöcke enthält. Funktioniert mit Amazon S3, Cloudflare R2, Backblaze B2, Wasabi, Scaleway, OVHcloud und jedem anderen S3-kompatiblen Dienst wie MinIO.

Warum Sie überhaupt einen eigenen Bucket wollen

Die meisten Menschen greifen aus einem von drei sehr praktischen Gründen zu eigenem Speicher (Bring Your Own Storage, BYOS), und keiner davon hat mit Kryptografie auf dem Papier zu tun.

Der erste ist die Kostenkontrolle. Wenn Sie bereits für Backblaze B2 oder Wasabi zahlen oder ein AWS-Konto für andere Projekte haben, zahlen Sie pro Gigabyte zu Preisen, die oft weit unter einem gebündelten App-Abo liegen. Wenn Sie Filarr auf diesen Bucket zeigen lassen, laufen Ihre Notizen und Dateien über Speicher, den Sie ohnehin eingeplant haben.

Der zweite sind Eigentum und Portabilität. Wenn Ihre Daten in einem Bucket liegen, dessen Konto auf Ihren Namen läuft, kann niemand stillschweigend die Bedingungen ändern, den Preis Ihres Tarifs erhöhen oder Sie aussperren. Sie können die Rohobjekte jederzeit mit Standard-S3-Werkzeugen herunterladen, zu einem anderen Anbieter wechseln oder eine Kopie auf einem NAS mit MinIO bei Ihnen zu Hause aufbewahren.

Der dritte ist eine Compliance- oder Richtlinienanforderung. Manche Menschen müssen ihre Daten tatsächlich in einer bestimmten Region, bei einem bestimmten Anbieter oder auf einer Infrastruktur ablegen, die sie einem Prüfer zeigen können. Eine Freiberuflerin, die Kundendateien verwaltet, ein Steuerberater oder jeder, der einer Regel zum Speicherort von Daten unterliegt, kann oft keinen generischen Cloud-Standard nutzen. Wenn das nach Ihrer Situation klingt, lohnen sich neben diesem Artikel auch die Beiträge zum Schutz von Kundendaten ohne IT-Abteilung und der breitere Überblick über selbst gehostete, wirklich verschlüsselte Notion-Alternativen.

Die Verschlüsselung ist bei allen drei Gründen die beruhigende Schicht darunter. Sie bekommen die Kontrolle, für die Sie gekommen sind, und weil Filarr alles vor dem Hochladen verschlüsselt, geben Sie dafür keine Privatsphäre auf. Ich führe Sie ehrlich durch die gesamte Einrichtung, einschließlich der etwas kniffligen Teile.

Was BYOS in Filarr tatsächlich macht (und was nicht)

Bevor Sie Einstellungen anfassen, hilft es zu verstehen, was wohin wandert, denn das verändert, wie Sie über den Bucket denken.

Im BYOS-Modus wandert nur Ihre persönliche Synchronisierung in Ihren S3-Bucket, als verschlüsselte Objekte unter undurchsichtigen internen Schlüsseln. Ihr Konto, die Anmeldung, Ihre Geräte und die Abrechnung bleiben bei Filarr, und geteilte Tresore, Freigabelinks, Filarr Send und Dateianfragen bleiben immer in der Filarr Cloud, denn ein Tresor gehört mehreren Menschen und kann nicht im Bucket eines einzelnen Mitglieds liegen. Der Bucket ist also ein Inhaltsspeicher und kein vollständiges Abbild der Organisation Ihres Arbeitsbereichs. Das ist eine bewusste Designentscheidung, und es lohnt sich, sie zu kennen: Ihr Bucket allein ist keine vollständige, für Menschen durchsuchbare Kopie Ihres Arbeitsbereichs, sondern ein Haufen verschlüsselter Objekte, deren Schlüssel interne IDs sind.

Noch wichtiger: Jedes Objekt, das in Ihrem Bucket landet, ist bereits auf Ihrem Gerät verschlüsselt. Filarr verschlüsselt den Dateiinhalt mit AES-256-GCM, bevor der Upload-Aufruf läuft, sodass die S3-API Chiffretext samt Authentifizierungs-Tag erhält. Ihr Verschlüsselungspasswort und Ihre Schlüssel gelangen nie in den Bucket. Wenn Sie die ausführliche Fassung der Schlüsselarchitektur möchten, beschreibt der Beitrag KEK und FEK erklärt die genaue Schlüsselhierarchie, die Filarr verwendet. Die Kurzfassung: Jede Datei wird unter dem Kontoschlüssel (FEK) verschlüsselt, mit einem neuen Zufallswert pro Datei, und der FEK selbst wird von einem aus Ihrem Passwort abgeleiteten Schlüssel umhüllt, sodass er nirgends im Klartext liegt.

Das ist dasselbe Zero-Knowledge-Prinzip, dem auch die optionale Synchronisierung von Filarr selbst folgt. Wenn Sie wissen möchten, wie der Server (oder in diesem Fall Ihr Bucket) blind für Ihre Inhalte bleibt, gilt der Blick hinter die Kulissen in wie die Cloud-Synchronisierung von Filarr Zero-Knowledge bleibt fast unverändert auch für BYOS: Die Dateien werden bereits verschlüsselt hochgeladen, und die Speicherschicht sieht immer nur undurchsichtige Blöcke.

Ein ehrlicher Vorbehalt gleich zu Beginn: BYOS erfordert den Pro-Tarif (8 € im Monat) oder einen Platz in einer Teams- oder Enterprise-Organisation sowie eine bestätigte E-Mail-Adresse (für die rein lokale Nutzung bleibt Filarr dauerhaft kostenlos). In den Tarifen Free und Solo zeigt der Abschnitt „Upgrade to Pro, Teams or Enterprise to use your own bucket.“ an. Das ist der Grund. Das Speicherkontingent von Filarr gilt nicht für Ihren Bucket: Sie bezahlen Ihren Anbieter für den genutzten Speicher und Filarr für den Tarif, der Ihren eigenen Bucket ansteuert.

Bevor Sie anfangen: was Sie brauchen

Für diese Anleitung brauchen Sie drei Dinge:

1. Ein S3-kompatibles Speicherkonto. Amazon S3, Cloudflare R2, Backblaze B2, Wasabi, Scaleway und OVHcloud haben in Filarr einen eigenen Eintrag, und alles andere, was die S3-API spricht, etwa DigitalOcean Spaces oder eine selbst gehostete MinIO-Instanz, gehört unter „Autre (MinIO, Garage, NAS)“, eine Bezeichnung, die auch dann auf Französisch erscheint, wenn die App auf Englisch eingestellt ist.
2. Einen in diesem Konto angelegten Bucket samt seiner Region.
3. Ein Zugangsschlüsselpaar für diesen Bucket: eine Access Key ID und einen Secret Access Key.

Das ist wirklich alles. Der Rest besteht darin, ein kurzes Formular in Filarr auszufüllen. Ich beginne mit der Vorbereitung des Buckets, denn dort steckt die meiste echte Arbeit, und dort passieren die meisten Fehler.

Schritt 1: Den Bucket anlegen und vorbereiten

Die genauen Klicks unterscheiden sich je nach Anbieter, aber das Muster ist immer dasselbe: einen privaten Bucket anlegen, seine Region notieren und ein Schlüsselpaar erzeugen, das auf ihn beschränkt ist.

Legen Sie den Bucket privat an. Machen Sie ihn nie öffentlich. Filarr braucht keinen öffentlichen Lesezugriff, und weil Ihre Objekte verschlüsselt sind, wäre der Inhalt des Buckets für jeden anderen ohnehin nutzlos, aber einen Bucket öffentlich zu lassen ist eine schlechte Angewohnheit, die zur versehentlichen Preisgabe von Objektlisten und Metadaten einlädt. Halten Sie ihn privat.

Wählen Sie eine Region, die Sie sich merken. Sie tragen diese Region in Filarr ein, und bei manchen Anbietern steckt sie auch in der URL des Endpunkts. Wählen Sie eine Region in Ihrer Nähe für geringere Latenz oder eine, die Ihre Anforderungen an den Speicherort der Daten erfüllt.

Erzeugen Sie ein beschränktes Schlüsselpaar. Legen Sie einen Zugangsschlüssel an, der in genau diesem Bucket Objekte lesen, schreiben, auflisten und löschen darf. Bei AWS bedeutet das einen IAM-Benutzer oder eine IAM-Rolle mit einer Richtlinie, die s3:GetObject, s3:PutObject, s3:DeleteObject und s3:ListBucket für den Bucket und seinen Inhalt gewährt. Bei Backblaze, Wasabi oder DigitalOcean erzeugen Sie den entsprechenden Anwendungsschlüssel und beschränken ihn auf den Bucket, sofern der Anbieter das erlaubt. Ist der Schlüssel auf einen einzigen Bucket beschränkt, kann ein durchgesickerter Schlüssel selbst im schlimmsten Fall den Rest Ihres Kontos nicht berühren.

Optional, aber empfohlen: Versionierung aktivieren. Die Versionierung des Buckets gibt Ihnen ein Sicherheitsnetz. Wird eine Datei überschrieben oder gelöscht, lässt sich die vorherige Version auf der Speicherebene noch wiederherstellen. Das passt gut zu einer umfassenderen Backup-Routine, die ich weiter unten bei den Fallstricken behandle, ebenso wie in der Anleitung verschlüsselte Notizen sichern, ohne Zero-Knowledge zu brechen.

Wenn Sie die Kommandozeile bevorzugen und speziell AWS nutzen, liefert das Repository ein Hilfsskript unter scripts/setup-s3.sh mit, das Ihre AWS-Zugangsdaten prüft, den Bucket anlegt, Versionierung und serverseitige Verschlüsselung aktiviert, eine Lebenszyklusrichtlinie festlegt und einen Upload- und Download-Test für Sie ausführt. Es kann auch einen lokalen MinIO-Container zum Testen starten. Das ist eine Erleichterung, keine Voraussetzung, und der Ablauf in der App weiter unten hängt nicht davon ab.

Schritt 2: Den Anbieter in Filarr eintragen

Jetzt der einfache Teil. Öffnen Sie Filarr, gehen Sie zu „Settings → Account & Sync“ und suchen Sie den Abschnitt „Where synced files live“ (Wo die synchronisierten Dateien liegen). In der Desktop-App und auf app.filarr.com funktioniert das gleich.

Wählen Sie zuerst den Geltungsbereich: „Account (all profiles)“ (Konto, alle Profile) oder „Profile“, gefolgt vom Namen des aktuellen Profils, um einen Bucket nur für dieses Profil festzulegen. Klicken Sie dann auf „Use my bucket“ (Meinen Bucket verwenden). Sie sehen ein kurzes Formular mit diesen Feldern:

• „Provider“ (Anbieter). Amazon S3, Cloudflare R2, Backblaze B2, Wasabi, Scaleway, OVHcloud oder „Autre (MinIO, Garage, NAS)“ für alles andere.
• „Endpoint“ (Endpunkt). Der Endpunkt der S3-API, nicht die Website des Anbieters. Es muss eine öffentliche HTTPS-Adresse sein, ohne etwas hinter dem Host, zum Beispiel https://s3.eu-west-1.amazonaws.com. Filarr lehnt http://, localhost und private Adressen ab.
• „Region“. Die Region, die Sie beim Anlegen des Buckets gewählt haben, zum Beispiel us-east-1 oder eu-west-1.
• „Bucket“. Der exakte Name des Buckets.
• „Addressing“ (Adressierung). „Path-style“ oder „Virtual-hosted“.
• „Access key ID“. Der öffentliche Teil Ihres Schlüsselpaars.
• „Secret access key“. Der geheime Teil. Das ist der sensible.

Während Sie das Formular ausfüllen, zeigt Filarr eine Karte an, „The access key to create at your provider“ (Der Zugangsschlüssel, den Sie bei Ihrem Anbieter anlegen), mit den genauen Regeln zum Einfügen für Amazon S3, Wasabi, Backblaze B2 und „Autre“ und mit den Optionen, die Sie in der Konsole von Cloudflare R2, Scaleway und OVHcloud wählen müssen.

Ein Detail, das für die Korrektheit zählt: Das Feld „Addressing“ entscheidet, ob Anfragen an endpoint/bucket/key („Path-style“) oder an bucket.endpoint/key („Virtual-hosted“) gehen. Cloudflare R2 verlangt Path-style, mit dem Endpunkt https://YOUR_ACCOUNT_ID.r2.cloudflarestorage.com und der Region auto; Amazon S3 verlangt Virtual-hosted. Im Zweifel hilft die Dokumentation Ihres Anbieters.

Ein Wort dazu, wo Ihr Geheimnis landet, denn diese Frage stellen datenschutzbewusste Nutzer immer. Es ist der Server von Filarr, der Ihre bereits verschlüsselten Dateien an Ihren Bucket weiterleitet; deshalb wird der Secret access key von Filarr verschlüsselt aufbewahrt und nach dem Speichern nie wieder angezeigt. Aus demselben Grund braucht Ihr Bucket keine CORS-Einstellung: Weder die Desktop-App noch der Browser sprechen direkt mit ihm. Was dieser Schlüssel öffnet, ist ein Bucket voller Chiffretext; Ihr Kontoschlüssel (FEK) verlässt Ihr Gerät nie im Klartext.

Schritt 3: Die Verbindung testen

Überspringen Sie das nicht. Klicken Sie vor dem Speichern auf „Test“. Filarr prüft, ob es den Bucket mit Ihren Schlüsseln erreichen kann; das dauert ein paar Sekunden und lädt nichts hoch. „Bucket reachable.“ bedeutet, dass Filarr mit Ihrem Bucket sprechen kann.

Schlägt der Test fehl, liegt es in neun von zehn Fällen an einem dieser Punkte, grob nach Wahrscheinlichkeit geordnet:

• Ein Tippfehler im Namen des Buckets oder in der Region. Groß- und Kleinschreibung und jedes Zeichen müssen exakt stimmen.
• Ein falscher Endpunkt: die Website des Anbieters statt der Adresse seiner S3-API oder eine Adresse, die kein öffentliches HTTPS ist. Prüfen Sie den genauen Host, den Ihr Anbieter angibt.
• Ein Schlüsselpaar ohne Berechtigung für den Bucket oder eines, das auf einen anderen Bucket beschränkt wurde.
• Eine abweichende Region: Der Bucket liegt in einer Region, Sie haben aber eine andere eingetragen.

Korrigieren Sie das Feld und testen Sie erneut. Beim ersten Anbieter sind ein oder zwei Versuche normal.

Schritt 4: Speichern und synchronisieren

Sobald der Test erfolgreich ist, klicken Sie auf „Save“. Ab der nächsten Synchronisierung gehen neue Dateien in Ihren Bucket: Dateiinhalte, die Sie Ihrem Arbeitsbereich hinzufügen, werden lokal verschlüsselt und an Ihren Bucket weitergeleitet, und beim Lesen einer Datei wird der verschlüsselte Block heruntergeladen und auf Ihrem Rechner entschlüsselt.

Was bereits in der Filarr Cloud liegt, ziehen Sie über das Feld „Bring your data into this bucket“ (Ihre Daten in diesen Bucket holen) um, und die Synchronisierung bleibt pausiert, bis alles kopiert ist. Klicken Sie auf „Copy now“: Die Kopie läuft von Server zu Server, die verschlüsselten Dateien wandern unverändert, Sie können sie anhalten und fortsetzen, und ein Objekt, das schon in Ihrem Bucket liegt, wird nie überschrieben. Ist die Kopie abgeschlossen, gibt „Delete Filarr Cloud copy“ den Platz in der Filarr Cloud frei. Dieser Schritt lässt sich nicht rückgängig machen, führen Sie ihn also erst aus, wenn die Kopie fertig ist.

Das ist der ganze Kreislauf. Ihr Arbeitsbereich fühlt sich genauso an wie bei rein lokaler Nutzung, aber Ihre Dateien liegen jetzt in einem Speicher, der Ihnen gehört.

Hinweise je nach Anbieter

Die Felder sind überall dieselben, aber das Format des Endpunkts bringt viele ins Stolpern, deshalb hier die üblichen Muster. Prüfen Sie den genauen Host immer im Dashboard Ihres Anbieters, denn Regionen und Formate ändern sich.

AWS S3. Tragen Sie den regionalen Endpunkt ein, zum Beispiel https://s3.eu-west-1.amazonaws.com, die Region des Buckets (hier eu-west-1), den Bucket und die Adressierung „Virtual-hosted“. Legen Sie einen IAM-Schlüssel an, der auf den Bucket beschränkt ist.

Backblaze B2. Verwenden Sie den S3-kompatiblen Endpunkt, der in den Details Ihres Buckets angezeigt wird und etwa so aussieht: https://s3.us-west-004.backblazeb2.com. Die Region ist der passende Wert, etwa us-west-004. Erzeugen Sie einen Anwendungsschlüssel, der auf den Bucket beschränkt ist.

Wasabi. Der Endpunkt sieht etwa so aus: https://s3.eu-central-1.wasabisys.com (der Regionsteil variiert). Die pauschalen Preise pro Terabyte machen Wasabi gerade für diesen Anwendungsfall beliebt.

DigitalOcean Spaces. Wählen Sie „Autre (MinIO, Garage, NAS)“. Der Endpunkt sieht etwa so aus: https://nyc3.digitaloceanspaces.com, wobei nyc3 die Region ist. Erzeugen Sie Spaces-Zugangsschlüssel im API-Bereich Ihres DigitalOcean-Dashboards.

Selbst gehostetes MinIO. Wählen Sie „Autre (MinIO, Garage, NAS)“ und richten Sie den Endpunkt über eine öffentliche HTTPS-URL auf Ihren eigenen Server, zum Beispiel MinIO hinter einem Reverse Proxy: Der Server von Filarr leitet an Ihren Bucket weiter und muss ihn deshalb erreichen können. In der Desktop-App bietet „Where the storage lives“ außerdem „On my network (NAS, MinIO, Garage)“ (In meinem Netzwerk) an, das eine Adresse wie http://192.168.1.50:9000 in einem Heimnetz akzeptiert. Die Server von Filarr können einen solchen Speicher nicht erreichen; sein Zustand wird deshalb nicht geprüft, und Ihre vorhandenen Dateien werden nicht hinüberkopiert: Er startet leer und füllt sich mit Ihren nächsten Synchronisierungen, und bei http:// gehen Ihre Speicherschlüssel unverschlüsselt durch dieses Netzwerk. Verwenden Sie den Zugangsschlüssel und das Geheimnis, die Sie auf der Seite von MinIO eingerichtet haben. Das ist die privateste Option überhaupt, denn der Speicher verlässt nie Hardware, die Sie physisch kontrollieren. Wenn Sie MinIO schnell testen möchten, kann das mitgelieferte scripts/setup-s3.sh einen lokalen MinIO-Container für Sie starten.

Fallstricke und bewährte Vorgehensweisen

Ein paar Dinge, die Ihnen Ärger ersparen, auf die ehrliche Art gelernt.

Ihre Wiederherstellungsphrase ist alles. Weil die Dateien vor dem Hochladen verschlüsselt werden, ist Ihr Bucket für einen Angreifer wertlos, aber genauso wertlos für Sie, wenn Sie Ihr Passwort und Ihre Wiederherstellungsphrase aus 24 Wörtern nach BIP-39 verlieren. Es gibt kein „Passwort zurücksetzen“, das Ihre Daten lesen könnte, denn Filarr hält Ihren Schlüssel nie in nutzbarer Form. Schreiben Sie die Wiederherstellungsphrase auf und bewahren Sie sie sicher und offline auf. Das ist der direkte Preis echter Zero-Knowledge-Verschlüsselung, und jedes ernsthafte verschlüsselte Werkzeug zahlt ihn. Die umfassendere Anleitung Notizen verschlüsseln erklärt ausführlicher, warum Wiederherstellungsschlüssel wichtig sind.

BYOS ist Synchronisierung, kein Backup. Ein synchronisierter Bucket und ein Backup sind zwei verschiedene Dinge. Löschen Sie eine Datei und die Löschung wird übertragen, ist sie auch aus dem Bucket verschwunden. Aktivieren Sie die Versionierung des Buckets (Schritt 1), damit die Speicherebene alte Versionen behält, und halten Sie mindestens eine unabhängige Kopie vor. Die Synchronisierung schützt vor einem kaputten Laptop, nicht davor, dass Sie das Falsche löschen.

Beschränken Sie Ihre Schlüssel eng und tauschen Sie sie regelmäßig aus. Verwenden Sie einen Schlüssel, der auf den einen Bucket beschränkt ist. Wenn Sie je vermuten, dass ein Schlüssel kompromittiert ist, erzeugen Sie beim Anbieter ein neues Paar, aktualisieren Sie es in Filarr über „Edit bucket“ und löschen Sie den alten Schlüssel. Das Ersetzen der Schlüssel bei gleichem Endpunkt und gleichem Bucket zählt nicht als Wechsel des Speicherziels, der Austausch ist also in zwei Minuten erledigt.

Achten Sie bei der Region auf Latenz und Compliance. Ein Bucket am anderen Ende der Welt fühlt sich bei großen Dateien langsam an. Wählen Sie eine nahe Region, sofern keine Regel zum Speicherort etwas anderes verlangt.

Schützen Sie trotzdem den Rechner. Ihre Bucket-Einstellungen gehören zu Ihrem Filarr-Konto und liegen nicht in einer Datei auf Ihrem Computer, aber Ihre Dateien werden auf Ihrem Rechner entschlüsselt und geöffnet. Eine vollständige Festplattenverschlüsselung auf Ihrem Rechner lohnt sich weiterhin als zweite Schicht, aus Gründen, die der Vergleich lokale Verschlüsselung gegen klassische Cloud bei einem Datenleck darlegt.

Testen Sie nach jeder Änderung. Schlüssel geändert, Region gewechselt, Bucket umbenannt? Führen Sie „Test“ erneut aus. Das dauert Sekunden und zeigt Ihnen sofort, ob die Übertragungen funktionieren werden. Denken Sie daran, dass Sie das Speicherziel zweimal alle 7 Tage wechseln können, oder einmal mit „Autre (MinIO, Garage, NAS)“.

Häufige Fragen

Sieht Filarr meine Dateien, wenn ich meinen eigenen Bucket nutze? Nein. Die Dateien werden vor dem Hochladen auf Ihrem Gerät mit AES-256-GCM verschlüsselt. Der Server von Filarr leitet die verschlüsselten Objekte an Ihren Bucket weiter, und weder er noch Ihr Bucket halten je etwas anderes als undurchsichtige verschlüsselte Blöcke. Ihr Kontoschlüssel (FEK) verlässt Ihren Rechner nie im Klartext.

Welche Anbieter werden unterstützt? Jeder S3-kompatible Speicher. Amazon S3, Cloudflare R2, Backblaze B2, Wasabi, Scaleway und OVHcloud haben einen eigenen Eintrag; jeder andere S3-kompatible Dienst, etwa DigitalOcean Spaces oder selbst gehostetes MinIO, gehört unter „Autre (MinIO, Garage, NAS)“. Der Endpunkt ist immer erforderlich, als öffentliche HTTPS-Adresse (die Desktop-App akzeptiert zusätzlich Speicher in Ihrem eigenen Netzwerk).

Ist BYOS kostenlos? Für die rein lokale Nutzung ist Filarr dauerhaft kostenlos. BYOS erfordert den Pro-Tarif (8 € im Monat) oder einen Platz in einer Teams- oder Enterprise-Organisation. Das Speicherkontingent von Filarr gilt nicht für Ihren Bucket, und den Bucket selbst bezahlen Sie gesondert bei Ihrem Speicheranbieter. Endet der Tarif, schreibt Filarr nicht mehr in Ihren Bucket, liest ihn noch etwa 30 Tage lang und hört dann auf, ihn zu nutzen; Ihre Dateien bleiben bei Ihrem Anbieter.

Was passiert, wenn ich mein Passwort verliere? Ihre verschlüsselten Dateien im Bucket lassen sich dann nicht mehr wiederherstellen, denn niemand, auch Filarr nicht, hält eine nutzbare Kopie Ihres Schlüssels. Genau darum geht es bei Zero-Knowledge-Verschlüsselung. Ihre Wiederherstellungsphrase aus 24 Wörtern ist der einzige Ausweg, bewahren Sie sie also offline und sicher auf.

Wird auch meine Ordnerstruktur hochgeladen? Im BYOS-Modus geht nur Ihre persönliche Synchronisierung in Ihren Bucket, als verschlüsselte Objekte unter undurchsichtigen internen Schlüsseln. Geteilte Tresore, Freigabelinks, Send und Dateianfragen bleiben in der Filarr Cloud. Der Bucket ist ein Inhaltsspeicher, kein durchsuchbares Abbild Ihres Arbeitsbereichs.

Kann ich später den Anbieter wechseln oder mehrere nutzen? Ja, mit Grenzen. Sie legen einen Bucket für Ihr Konto fest und optional einen anderen für ein bestimmtes Profil. Für einen Wechsel nutzen Sie „Edit bucket“, testen den neuen Bucket und speichern; das Speicherziel können Sie zweimal alle 7 Tage wechseln, oder einmal mit „Autre (MinIO, Garage, NAS)“. „Switch back to Filarr Cloud“ bringt Sie zurück, entweder mit vorheriger Rückkopie aller Daten oder ohne Kopie. In beiden Fällen leert Filarr Ihren Bucket nicht.

Zum Abschluss

Die Einrichtung von BYOS in Filarr läuft auf vier Schritte hinaus: einen privaten Bucket mit beschränktem Schlüsselpaar vorbereiten, ihn unter „Settings → Account & Sync → Where synced files live“ eintragen, testen und speichern. Einmal erledigt, synchronisiert sich Ihr Arbeitsbereich über einen Speicher, der Ihnen gehört, zu dem Preis, den Sie bereits mit Ihrem Anbieter ausgehandelt haben, zusätzlich zu Ihrem Pro-Tarif, und kein Anbieter hält Ihre Daten als Geisel.

Die Verschlüsselung ist das, was Ihnen all das erlaubt, ohne beim Datenschutz etwas aufzugeben. Ihre Dateien werden mit AES-256-GCM versiegelt, bevor sie den Bucket überhaupt erreichen, sodass Eigentum und Vertraulichkeit kein Widerspruch mehr sind. Bucket anlegen, Schlüssel einfügen, Test ausführen, fertig. Wenn Sie noch überlegen, ob Local-first-Eigentum zu Ihrer Arbeitsweise passt, ist der Überblick über die besten Local-first-Apps 2026 ein guter nächster Schritt.