﻿KeinInternet - Sicherheitskonzept
=================================

GEHEIMNISSE (API-Schlüssel, eigener Push-Kanal, weitere Empfänger)
  - Liegen NIE im Klartext und NIE in config\benutzer.json.
  - Ablage: sicherheit\tresor\*.ki-geheim, verschlüsselt mit Windows-DPAPI (Bereich
    "aktueller Benutzer") plus Anwendungsschlüssel. Nur DEIN Windows-Konto auf DIESEM PC
    kann sie öffnen - eine Kopie (Sicherung, USB-Stick, gestohlene Datei) ist wertlos.
  - Eintragen/ändern:   SCHLUESSEL-EINTRAGEN.bat   (Eingabe bleibt unsichtbar;
                        gefragt wird nur, was in deiner Region etwas bringt)
  - Übersicht:          GEHEIMNISSE-VERWALTEN.bat  (zeigt nur "vorhanden"/"fehlt", nie Werte)
  - Push-Kanal:         benachrichtigung\PUSH-EINRICHTEN.bat (erzeugt ein eigenes, langes
                        Zufalls-Thema für die App ntfy)
  - Regel: Schlüssel und Push-Thema NIE per Chat, E-Mail, Foto oder in eine Datei schreiben -
    nur über diese Werkzeuge eingeben.
  - Den Ordner sicherheit\tresor und den Ordner config NICHT weitergeben.

NEUER PC / NEUES WINDOWS-KONTO / WIEDERHERSTELLUNG
  Die verschlüsselten Dateien lassen sich auf einem anderen PC oder Konto absichtlich NICHT öffnen.
  Dann einfach:
    1. SCHLUESSEL-EINTRAGEN.bat erneut ausführen (kostenlose Schlüssel ggf. neu beantragen).
    2. benachrichtigung\PUSH-EINRICHTEN.bat (neues Thema erzeugen und in der ntfy-App neu abonnieren).
    3. Weitere Empfänger mit benachrichtigung\EMPFAENGER-HINZUFUEGEN.bat neu anlegen.

WENN EIN SCHLÜSSEL BEKANNT GEWORDEN IST (z. B. versehentlich in einem Chat genannt)
  Beim Anbieter einen neuen Schlüssel erzeugen, den alten löschen/sperren und den neuen mit
  SCHLUESSEL-EINTRAGEN.bat eintragen. Ein bekannt gewordenes Push-Thema: PUSH-EINRICHTEN.bat ->
  neues Thema erzeugen, altes Thema in der App löschen.

DIESER PC
  - Links aus Nachrichten-Feeds werden nur als http/https übernommen.
  - Die Seiten laden keine fremden Skripte nach; Fremdtexte werden entschärft angezeigt.
  - SICHERHEIT-HAERTEN.bat (Rechtsklick -> "Als Administrator ausführen"):
    Firewall-Freigaben für Kiwix, Python, Node und Ollama nur noch aus dem eigenen Heimnetz,
    Autostart-Ordner gegen Änderungen durch andere Konten schützen.

EMPFEHLUNG (allgemein)
  - Laufwerksverschlüsselung einschalten (Windows: BitLocker bzw. "Geräteverschlüsselung";
    Windows-Suche "BitLocker verwalten"). Den Wiederherstellungsschlüssel AUSDRUCKEN und sicher
    aufbewahren - nicht nur im Online-Konto.
  - Regelmäßig eine Sicherung des KeinInternet-Ordners auf ein externes Laufwerk machen
    (die Geheimnisse darin sind ohnehin nur auf diesem PC lesbar).
