Was wir stattdessen gebaut haben

Die fünf Wege, auf denen eine Nachricht reist

CHANNEL nimmt den direktesten Weg, der gerade funktioniert, und probiert sie in dieser Reihenfolge aus. Jeder Weg hat einen Buchstaben, und der Buchstabe an einer Nachricht sagt dir, welcher sie übertragen hat.

• B
  BluetoothBeide Telefone in der Nähe.
• W
  Direktes Wi-FiBeide Telefone in der Nähe. Kein Netzwerk jeglicher Art ist beteiligt.
• L
  Lokales NetzwerkBeide Telefone im selben Wi-Fi. Die Nachricht bleibt in diesem Netzwerk.
• 6
  Direkt über das InternetBeide Telefone haben eine IPv6-Internetadresse, also verbindet CHANNEL sie direkt miteinander, ohne Server dazwischen. Die Netzwerke dazwischen sehen, dass die beiden Adressen miteinander sprechen. Wer das Postfach für ein Profil ausschaltet, schaltet auch diesen Weg aus.
• I
  Internet-PostfachUnser Server hält die versiegelte Nachricht, bis das andere Telefon sie abholt. Du kannst das für ein Profil ausschalten.

Die ersten drei verlassen den Raum nie, und 6 berührt unseren Server nie. Das Postfach ist ein Ausweichweg, keine Kopie: Kann ein anderer Weg das andere Telefon erreichen, geht die Nachricht diesen Weg, und der Server bekommt sie nie zu sehen. Kann ein Funkweg das Telefon zwar sehen, kommt die Nachricht aber nicht durch, hat jeder Kontakt seine eigene Wartezeit, bevor CHANNEL stattdessen das Postfach nutzt — von sofort bis nie; ein neuer Kontakt beginnt mit sofort. E-Mail ist ein sechster Weg: aus, bis du sie für einen Kontakt einschaltest, wird nach allen anderen versucht und trägt nur Text. Die Mail-Dienste unterwegs können sehen, wer wem geschrieben hat.

Neben jedem Kontakt zeigen kleine Lichter, welche Wege gerade offen sind. Ein Kontakt zeigt Warte auf sie, wenn ihm im Moment nichts eine Nachricht bringen kann. CHANNEL sagt dir nie, dass jemand nicht auf CHANNEL ist, weil es das nicht weiß, und das sollte auch niemand wissen, der zusieht.

In Reichweite: kein Server, kein Internet, keine Kosten

Wenn du und ein Kontakt in Bluetooth- oder Wi-Fi-Reichweite seid, geht deine Nachricht direkt von deinem Gerät zu seinem. Kein Server sieht sie, kein Netzwerk trägt sie, und es gibt nichts abzufangen, weil nichts anderswo unterwegs ist. Das kann ganz ohne Empfang und ohne Datentarif funktionieren — ein Keller, ein Flug, ein Schiff, ein Land, in dem das Netz überwacht wird — wenn die Telefone nah beieinander sind und eine direkte Verbindung hält. In unseren eigenen Tests lieferte Bluetooth zwischen einem iPhone und einem Android-Telefon in beiden Richtungen 20 von 20 Nachrichten aus, die Ergebnisse hängen aber vom Telefonmodell ab. Hält eine direkte Verbindung nicht und gibt es kein Internet, wartet die Nachricht, bis sich ein Weg öffnet. Steckt dein Telefon in der Tasche, wenn eine Nachricht so ankommt, wacht die App bei der Verbindung auf und erzeugt die Benachrichtigung selbst.

Es funktioniert auch dort, wo das Netz überlastet ist statt ganz zu fehlen — der Fall, dem die meisten Menschen tatsächlich begegnen. Ein Funkmast ist für die Menschen gebaut, die in seinem Bereich wohnen, arbeiten und durchfahren. Er ist nicht dafür gebaut, dass eine ganze Stadt voller zusätzlicher Menschen fünf Stunden lang auf einem Viertelquadratkilometer steht, die meisten davon dabei, Fotos und Videos desselben Touchdowns zu verschicken. Dein Telefon zeigt vier Balken und verschickt trotzdem keine SMS — weil Signalstärke und Kapazität zwei verschiedene Dinge sind, und die Balken dir immer nur das Erste gezeigt haben. CHANNEL reiht sich nicht hinter dieser Menge ein, weil es den Funkmast nie um irgendetwas bittet.

Sei bei der Reichweite aber realistisch. Das ist eine Funkverbindung zwischen zwei Handys: deine Gruppe ein paar Reihen auseinander, die Bahnhofshalle, das Tailgate-Fest, das Nebenzimmer, derselbe Wagon, ein Boot, ein Keller. Sie reicht nicht von der Loge bis zu den billigen Plätzen, und sie erweitert deine Reichweite nicht über den direkten Funkkontakt hinaus. Eine Menschenmenge ist der schwierigste Fall für eine kleine Antenne — Körper absorbieren diese Frequenzen, und genau deshalb kämpft auch der Funkmast damit.

Außer Reichweite: ein Server, der nichts weiß

Die meisten Unterhaltungen finden nicht statt, während man nebeneinandersteht. Ist keine direkte Funkverbindung verfügbar, kann deine Nachricht stattdessen eingereiht und, wenn du es erlaubst, von unserem Server über das Internet übertragen werden.

Dieser Server ist kein Nachrichtendienst. Er kann deine Nachrichten nicht lesen — sie bleiben den ganzen Weg über Ende-zu-Ende-verschlüsselt, und er hält niemals die Schlüssel. Er führt keine Konten, und eine Telefonnummer oder E-Mail-Adresse, die du nachweist, wird als Hash mit geheimem Schlüssel gehalten, nie als die Nummer oder Adresse selbst. Er identifiziert dein Postfach nur über ein Token, das sich alle zehn Minuten ändert, und unser Code speichert die IP-Adressen, die sich verbinden, nicht; Netlify, das Unternehmen, das ihn betreibt, führt eigene Zugriffsprotokolle, die sie enthalten. Eine Nachricht wird gelöscht, sobald ihr Empfang bestätigt ist, und alles, was niemand erfasst, läuft von selbst ab: nach dreißig Tagen, wenn du nicht eine Woche oder einen Tag wählst.

Nichts Neues zu lernen

CHANNEL sieht aus und funktioniert wie der Messenger, den du bereits nutzt — dieselbe Unterhaltungsliste, derselbe Unterhaltungsbildschirm, dieselben Gesten. Die Privatsphäre steckt in der Technik dahinter, nicht in der Bedienung, und sie ist bewusst auf jeder Plattform identisch, damit dir der Wechsel zwischen Telefon und Mac nichts Neues beibringt.

Was in der App steckt

Alles unten ist in beiden Apps. Die Seite Status listet jede Funktion auf.

Profile

Ein Profil ist eine eigenständige Identität: eigene Schlüssel, eigene Kontakte, eigene Unterhaltungen. Zwei Profile auf einem Telefon teilen sich nichts, und niemand, mit dem du sprichst, kann erkennen, dass zwei davon auf demselben Telefon liegen. Ein neues Profil kann als Kopie eines bestehenden starten, aber es werden nur die Einstellungen kopiert. Schlüssel, Kontakte, Nachrichten und Verifizierung nie, denn ein Profil, das die teilt, wäre keine eigenständige Identität.

Jemanden hinzufügen, persönlich oder per Einladung

Einer von euch zeigt einen Verbindungscode, der andere tippt ihn ein, oder du schickst ihm einen über etwas, das ihr ohnehin nutzt. Der Code trägt einen öffentlichen Schlüssel und nichts Geheimes, er kann also gefahrlos in der Öffentlichkeit gezeigt werden. Wenn jemand sich koppelt, indem er deinen Code von deinem Bildschirm abliest, sagt danach jedes Telefon das auch: diese Person stand dort, und genau das wird geprüft. Die Kontaktseite jedes Kontakts zeigt außerdem eine Sicherheitsnummer, acht Gruppen aus fünf Ziffern, die auf beiden Telefonen gleich sind, damit ihr sie persönlich oder in einem Gespräch vergleichen könnt. Vergleichen ist freiwillig: Nichts verlangt es, und eine Unterhaltung funktioniert gleich, ob du je hinschaust oder nicht. Du kannst auch einfach jemandem an eine Nummer oder Adresse schreiben, die er nachweislich besitzt: die Nachricht wird versiegelt und eingereiht, eine Einladung bleibt für ihn liegen, und sobald er sie annimmt geht sie ohne weiteres Zutun hinaus.

Gefunden werden

Du kannst Leute dich über eine Telefonnummer oder eine E-Mail-Adresse erreichen lassen, musst aber zuerst nachweisen, dass sie dir gehört. Ein sechsstelliger Code wird per SMS, per Anruf, der die Ziffern zweimal vorliest, oder per E-Mail zugestellt. Nachweisen und Veröffentlichen sind zwei getrennte Schalter, sodass eine verifizierte Nummer privat bleiben kann, und ein nicht nachgewiesener Wert bleibt wirkungslos. Unser Server führt keine Liste verifizierter Personen und keine Liste von Nummern: Eine Einladung wird an einen aus der Nummer selbst abgeleiteten Platz adressiert und angenommen, egal ob sie je jemand abholt — das Hinterlassen einer Einladung verrät also niemandem, ob eine Nummer zu einem CHANNEL-Nutzer gehört. Bei einer Nummer, die du veröffentlichst, ist es anders: Wer sie hat, kann fragen, ob sie veröffentlicht ist, und unser Server legt jeden Platz unter einem geschlüsselten Hash ab: Eine Kopie seiner Daten ohne diesen Schlüssel lässt sich an keiner Nummer prüfen, wer beides hält, kann jede mögliche Nummer prüfen.

Nachrichten

Verschwindende Nachrichten mit einem Timer, den beide Seiten sehen können, entfernt von beiden Telefonen, sobald sie gesehen wurden und die Zeit abgelaufen ist. Einmal ansehen für ein Bild, während es auf dem Bildschirm ist vor Screenshots geschützt. Fotos, aus der eigenen Bildauswahl deines Telefons oder der Kamera, mit einer Einstellung, die Bilder ganz vom Internet fernhält. Fotos und Videos werden neu gezeichnet, bevor sie das Telefon verlassen, sodass die Kopie weder Ort noch Aufnahmezeit noch Kameramodell trägt. Lesebestätigungen, in beide Richtungen oder gar nicht. Übersetzung durch den eigenen Übersetzer des Telefons, sodass der Text zum Übersetzen nie das Telefon verlässt. Eine Zwischenablagezeile über dem Nachrichtenfeld. Und Anrufbuttons, die an die Anruf-Apps übergeben, die du bereits nutzt, statt vorzugeben, CHANNEL würde den Anruf selbst durchführen.

Eine Nachricht an jemanden, der CHANNEL nicht nutzt, geht aus der Nachrichten-App deines eigenen Telefons, von deiner eigenen Nummer. Eine SMS ist nicht Ende-zu-Ende verschlüsselt, und sie läuft nie über unseren Server.

Standort

Sende eine einzelne Position, im Moment des Antippens erfasst und nie gespeichert, oder teile live für 15 Minuten, eine Stunde oder 12 Stunden, aktualisiert, solange die App offen ist, und endet von selbst. Zwischen zwei CHANNEL-Telefonen trägt die Nachricht Koordinaten statt eines Links, sodass die empfangende Person wählt, wie sie sie sieht. Ein Share kommt als eine einzelne Karte an, die sich an Ort und Stelle bewegt, statt die Unterhaltung mit neuen Zeilen zu füllen. Antippen öffnet eine Karte innerhalb von CHANNEL mit beiden Telefonen darauf, der Entfernung und einem Pfeil, der auf das andere Telefon zeigt, und von dort kannst du an jede auf deinem Telefon installierte Karten-App übergeben. Während ein Share läuft, sitzt eine Stecknadel oben in der Unterhaltung, und die teilende Person bekommt einen Countdown, den sie verlängern oder stoppen kann. Zu keinem anderen Zeitpunkt liest CHANNEL deinen Standort.

Die Sperre und der Notfallcode

Die App-Sperre ist ein eigener Code mit mindestens sechs Zeichen, der vor allem anderen abgefragt wird und sogar auf einem Telefon ohne jede Sperre funktioniert. Weder Gesicht noch Fingerabdruck öffnen CHANNEL. Der Code wird nie gespeichert: Wo der Sicherheitschip des Telefons ihn prüfen kann, tut der Chip es, sonst bleibt nur eine langsame Einwegberechnung davon, sodass niemand ihn zurücksetzen kann, auch wir nicht. Ein zweiter, anderer Code löscht alles, was CHANNEL auf dem Telefon hält: zuerst den Schlüssel, der die Speicher versiegelt, dann die Identitäten, dann jede Datei. Die App öffnet sich danach wie frisch installiert, und nichts auf dem Bildschirm verrät es. Gespräche und Kontakte liegen versiegelt auf dem Speicher, unter einem Schlüssel, der auf dem Telefon bleibt; auf Android auch Bilder, Videos und Dateien. Auf dem iPhone liegen diese unter der Dateiverschlüsselung von iOS und, solange der Sichere Modus an ist, zusätzlich versiegelt unter dem Schlüssel von CHANNEL.

AI

Wo die AI läuft, hängt vom Telefon ab. Auf einem iPhone oder Mac, der Apple Intelligence unterstützt, oder einem Android-Telefon, das Gemini Nano unterstützt, läuft sie auf dem Gerät selbst — kein Konto, kein Schlüssel, keine Kosten, und nichts verlässt das Telefon. Überall sonst, und als Ausweichlösung auf dem Telefon, fügst du dein eigenes Konto bei OpenAI, Anthropic oder xAI hinzu: Der Schlüssel bleibt auf deinem Telefon, unser Server sieht ihn nie, und du kannst mehr als eines hinzufügen. Zusammenfassungen, vorgeschlagene Antworten und Übersetzungen werden nur gesendet, wenn du darum bittest: keine Hintergrundabrufe, keine automatischen Zusammenfassungen. Jede zeigt dir genau, was das Telefon verlassen wird, einschließlich der Worte der anderen Person, wenn du dich entscheidest, sie einzuschließen, und der Button, den du drückst, ist die Zustimmung. Ausnahme sind Automatische Antworten: Für ein Profil eingeschaltet, beantwortet sie eingehende Einzelnachrichten selbst, und ihre Antworten gehen hinaus, ohne dass du sie vorher siehst. Die AI kann einen Entwurf schreiben oder überarbeiten, Rechtschreibung und Grammatik korrigieren, eine Nachricht kürzer, freundlicher oder förmlicher machen, Antworten vorschlagen, einen Thread zusammenfassen, eine einzelne Nachricht übersetzen oder eine Frage zu einem Bild beantworten. Du kannst ein Konto auch als Kontakt einschalten, sodass ChatGPT, Claude oder Grok in deiner Kontaktliste erscheint und du ihm schreibst wie jedem anderen.

Sicherung und Wiederherstellung

Aus, solange du es nicht nutzt, und nie unbemerkt. CHANNEL versiegelt deine Profile, Identitäten, Kontakte, Unterhaltungen und Einstellungen in einer Datei unter einer von dir gewählten Passphrase und übergibt sie der eigenen Dateiauswahl deines Telefons, sodass du entscheidest, wohin sie geht. Wir halten die Passphrase nie und können sie nicht wiederherstellen, und wir erhalten die Datei nie. Verschwindende Nachrichten und Einmal-ansehen-Nachrichten sind nie enthalten, und Anhänge bleiben aus Platzgründen weg. Wiederherstellen ersetzt alles auf dem Telefon, und so wechselst du auf ein neues.

Für andere übertragen

In den Einstellungen gibt es einen Schalter Relais für andere, aus, solange du ihn nicht einschaltest. Ist er an, bietet dieses Telefon an, versiegelte Post für Kontakte zu tragen, die ein anderes Telefon noch nicht erreichen kann, und sie später weiterzugeben; ein tragendes Telefon kann nicht lesen, was es trägt. Wir wollen das nicht übertreiben. Tragen zahlt sich nur aus, wenn genug Telefone mit CHANNEL an einem Ort sind, und das wurde noch nicht auf echter Hardware bei echter Dichte gemessen. Es steckt im Produkt und im Protokoll. Es ist kein Versprechen.

Hilfe, direkt in der App

Schlichte Hilfeseiten sind fest in CHANNEL eingebaut, in denselben fünf Sprachen wie die App. Die Hilfeseiten funktionieren ohne Netzwerk, kontaktieren niemanden, und nichts, was du darin liest, wird an irgendjemanden gemeldet.