Dezentral · vertraulich · nachprüfbar
Darin läuft Paperless-ngx, auf vertraulichen Knoten mehrerer Betreiber und mit Sicherungen bei mehreren unabhängigen Speicheranbietern: kein einzelnes Rechenzentrum. Die VM ist vertraulich (AMD SEV-SNP); bei jedem Start bestätigt der Prozessor Firmware, Kernel und Initrd, und die App prüft das, bevor sie einen Schlüssel herausgibt. Du wählst, wie es läuft: im Dauerbetrieb rund um die Uhr oder auf Abruf, wenn du es brauchst, etwa für die Buchhaltung.
Paperless anywhere starten →Mit Passkey, ohne Konto.
Paperless-ngx ist ein unabhängiges Open-Source-Projekt (GPL-3.0). Paperless anywhere ist ein Angebot von Le Space, nicht mit dem Projekt verbunden und wird von ihm weder unterstützt noch gesponsert.
Ausfallsicher
Kein einzelnes Rechenzentrum: Gerechnet wird auf Knoten mehrerer Betreiber, gesichert bei mehreren unabhängigen Speicheranbietern. Fällt ein Knoten aus, startest du auf einem anderen.
Vertraulich und nachprüfbar
Speicher und Platte der VM sind verschlüsselt; der Betreiber des Knotens kann sie nicht lesen. Was der Prozessor bestätigt, musst du uns nicht glauben: Du kannst es prüfen. Was noch offen ist, steht daneben, unter „Nachprüfbar“.
Rund um die Uhr oder nach Gebrauch
Ein Monatspaket, das zu deinem Betrieb passt: Dauerbetrieb rund um die Uhr, oder ein Stundenpaket zum Starten, Arbeiten und Stoppen.
Für wen?
Für alle, die ihr Dokumentenarchiv nicht einem einzelnen Rechenzentrum anvertrauen wollen:
- Wer nicht vom Ausfall eines Hosters oder Speicheranbieters abhängen will: Gerechnet wird auf Knoten mehrerer Betreiber, gesichert bei mehreren unabhängigen Speicheranbietern. Fällt einer aus, startest du auf einem anderen Knoten und spielst deine Sicherung ein.
- Wem die Vertraulichkeit seiner Dokumente wichtig ist: Der Prozessor verschlüsselt den Arbeitsspeicher der VM, und ihre Platte und die Sicherungen sind verschlüsselt. Der Betreiber des Knotens und seine Mitarbeiter sehen nur verschlüsselte Daten, ebenso, wer in ein Rechenzentrum einbricht. Was dabei noch offen ist, steht unter „Nachprüfbar“.
- Unternehmen, die ihr Archiv rund um die Uhr brauchen: Paperless anywhere läuft im Dauerbetrieb.
- Selbstständige und kleine Firmen, die es nur ab und zu brauchen: Die eigene VM ist in etwa einer Viertelstunde bereit, zum Beispiel einmal in der Woche oder zum Monatsabschluss für die Buchhaltung, und kostet dazwischen keine Rechenzeit.
So geht’s
- 01
Tresor anlegen
Ein Passkey auf deinem Gerät öffnet deinen Tresor. Dazu bekommst du 24 Wörter zum Aufschreiben: Damit kommst du auch ohne das Gerät wieder hinein. Für den Tresor brauchst du kein Konto und keine E-Mail-Adresse. Erst beim Kauf eines Pakets fragt der Zahlungsdienst Stripe nach einer E-Mail-Adresse, für Beleg und Abo.
- 02
Starten
Die App sucht einen freien TEE-Knoten, prüft dessen Hardware-Nachweis und gibt erst dann den Schlüssel für die Platte heraus. Die Sicherung wird eingespielt.
- 03
Arbeiten
Paperless-ngx wie gewohnt im Browser: hochladen, verschlagworten, suchen.
- 04
Sichern und beenden
Ein Klick: Die VM verschlüsselt eine Sicherung, legt sie dezentral ab und fährt herunter. Von da an fällt keine Rechenzeit mehr an.
Was ist ein TEE?
TEE heißt Trusted Execution Environment: ein abgeschirmter Bereich, den der Prozessor selbst schützt.
Vom Prozessor verschlüsselt
Mit AMD SEV-SNP verschlüsselt die CPU den Arbeitsspeicher der VM mit einem Schlüssel, den nur sie kennt. Der Rechner, auf dem die VM läuft, sieht nur verschlüsselte Daten.
Der Betreiber liest nicht mit
Wer den Knoten betreibt, kann den Speicher und die Platte der VM nicht lesen. Was deine VM schreibt, liegt zusätzlich in einem Bereich, den sie bei jedem Start mit einem eigenen Schlüssel versiegelt. Diesen Schlüssel gibt es nur im Speicher der VM.
Erst prüfen, dann entsperren
Bevor die App einen Schlüssel herausgibt, lässt sie sich von der Hardware bestätigen, was gestartet wurde: Firmware, Kernel und Initrd. Passt der Nachweis nicht, bleibt die Platte zu.
Ausfallsicher: kein einzelnes Rechenzentrum
Dein Paperless anywhere hängt an keinem bestimmten Rechner: Es kann auf jedem dieser vertraulichen Knoten starten. Fällt einer aus, startest du auf einem anderen und spielst deine Sicherung ein. Die Liste ist live.
Knotenliste wird geladen … hat Platz gerade voll
Die Sicherungen liegen dazu bei mehreren unabhängigen Speicheranbietern, in den Ländern, die du wählst.
Was noch an Le Space hängt: Guthaben und Abrechnung, der Relay, über den die App den Nachweis der VM prüft, und die Auslieferung der App.
Sicherungen, wo du willst
Die Sicherung wird in der VM verschlüsselt, bevor sie die VM verlässt, und bei unabhängigen Speicheranbietern abgelegt. Sie weisen regelmäßig nach, dass sie die Daten noch haben.
Du wählst selbst: Regionen oder Länder (zum Beispiel nur EU) und 1 bis 3 Kopien bei verschiedenen Anbietern.
Anbieter werden geladen …
Vertrauen ist gut. Nachprüfen ist besser.
Nachprüfbar: wer welchen Schlüssel hat · Noch nicht bestätigt ↓
Wo das Image entsteht, wie seine Platte verschlüsselt ist, wer welches Geheimnis kennt und was die Hardware bestätigt. Dazu steht hier, was noch offen ist und wo du jede Aussage selbst prüfen kannst.
Was die Hardware bestätigt
- Deine App prüft im Browser einen Bericht des AMD-Prozessors: von AMD signiert (mit Zertifikaten aus AMDs Schlüsseldienst), nicht widerrufen, mit ausreichendem Firmware-Stand.
- Der Messwert im Bericht passt zu Firmware, Kernel und Initrd der Laufzeit, die in der App fest eingetragen ist, und zu einer Startzeile, die deinen App-Schlüssel als Besitzer nennt. Die App rechnet ihn selbst aus.
- Im Bericht stehen ein frischer Zufallswert und der TLS-Schlüssel der VM: Die Verbindung endet in genau dieser VM. Erst dann gehen Passphrase und Geheimnisse hinaus, signiert von deinem App-Schlüssel; die VM nimmt sie nur mit dieser Unterschrift an.
- Der Relay dazwischen trägt nur verschlüsselte Bytes. Geprüft wird in deinem Browser, nicht dort.
Noch nicht bestätigt
- Der Inhalt des Images wird nicht mitgemessen. Dass in der VM das veröffentlichte Image läuft, stützt sich bisher darauf, dass sich seine Platte nur mit der Image-Passphrase öffnet, nicht auf einen Messwert der Hardware.
- Die Image-Passphrase ist für alle VMs eines Images gleich, und Le Space kennt sie. Darum liegt alles, was deine VM schreibt, im eigenen Datenbereich. Ein Image, dessen Passphrase nur dein Tresor kennt, ist in Vorbereitung.
- Der Bau ist nicht Bit für Bit wiederholbar, weil Debian-Pakete beim Bau geladen werden. Nachlesen lässt sich, was hineinkommt.
- Weitere Punkte aus dem laufenden Sicherheits-Audit sind noch offen.
Wer welches Geheimnis kennt
5 Geheimnisse
So sieht der Nachweis in der App aus
Beispiel, keine echte VM
Läuft deine VM, zeigt die App zu jeder Aussage den Wert, woher sie ihn hat und wo du ihn prüfen kannst. Hier mit erfundenen Werten, denn ohne gebuchte VM gibt es keine echten; nur die Laufzeit ist die echte, sie ist für alle gleich. In der App führen die Links zu deinen eigenen Nachrichten bei Aleph.
Nachweis dieser VM Beispiel, keine echte VM 4 von der App geprüft · 3 gemeldet · 1 nicht bestätigt
Laufzeitvon der App geprüft
Firmware, Kernel und Initrd. Fest in der App eingetragen; liefert Aleph etwas anderes, startet die App nichts.
- Name
- snp-1.2
- Aleph-Nachricht
- 5cd480a138c5969b18d1f6850a5fe0176e6f22e65a323ad9593e71165fb687bc
- Paket (SHA-256)
- 083630b3b5e22a95ab8f48fdf8a67d80d03420a075ccef97a25d73f8a46378bf
- Startzeile
- console=ttyS0 luks=1 owner={owner}
Messwertvon der App geprüft
Von der App aus der Laufzeit und einer Startzeile berechnet, die deinen App-Schlüssel als Besitzer nennt, und in die INSTANCE-Nachricht geschrieben.
- berechnet
- example-measurement-0000000000000000
Instanzvon der App geprüft
Die INSTANCE-Nachricht bei Aleph, von deiner App signiert.
- Nachricht
- example-instance-0000000000000000
- bezahlt von
- 0xExample-0000000000000000
Knotengemeldet, nicht von der Hardware bestätigt
Der Aleph-Knoten, auf dem die VM läuft, und ihre Adresse.
- Knoten
- example-node-0000000000000000
- Adresse
- paperless.example
Attestierungvon der App geprüft
Der Bericht des AMD-Prozessors, in deinem Browser geprüft: von AMD signiert, sein Messwert einer der berechneten, mit frischem Zufallswert an den TLS-Schlüssel der VM gebunden.
- Messwert im Bericht
- example-measurement-0000000000000000
- Policy
- 0x30000
- Firmware-Stände
- bootloader 0 · tee 0 · snp 0 · microcode 0
- Zeitpunkt
- 2026-01-01T12:00:00.000Z
Imagenicht bestätigt
Die verschlüsselte Platte, von der die VM startet, benannt durch ihren STORE-Hash.
Der Inhalt des Images wird nicht mitgemessen. Dass die VM das veröffentlichte Image startet, stützt sich darauf, dass sich die Platte nur mit der Image-Passphrase öffnet.
- STORE-Hash
- example-image-0000000000000000
Datenbereichgemeldet, nicht von der Hardware bestätigt
Wohin die VM schreibt.
Die VM meldet: eigener Datenbereich, verschlüsselt mit einem Schlüssel dieses Starts, den nur sie hat.
Sicherungengemeldet, nicht von der Hardware bestätigt
Die letzte Sicherung, die bei Speicheranbietern angekommen ist.
In der VM mit age für deinen Schlüssel verschlüsselt; bei den Anbietern liegt nur Chiffrat.
- Zeitpunkt
- 2026-01-01T14:00:00.000Z
- Kopien
- 2
- Stück (Piece-CID)
- example-piece-0000000000000000
Selbst nachprüfen
8 Stellen mit Links
- Die Laufzeit der VM
Firmware, Kernel und Initrd: die Aleph-Nachricht, deren Hash in der App steht. Liefert Aleph etwas anderes, startet die App nichts.
- Deine VM und ihre Messwerte
Die INSTANCE-Nachricht deiner App-Adresse nennt die Messwerte, die die App eingetragen hat. Die App zeigt zu einer laufenden VM Instanz, Knoten, Messwerte und das Ergebnis der Prüfung unter „Nachweis dieser VM“, mit Links zu genau deinen Nachrichten.
- AMD SEV-SNP
Wie der Bericht aufgebaut ist und gegen welche Zertifikate er geprüft wird.
- Das Image
Den STORE-Hash zeigt die App in der Einrichtung. Gebaut wird es vom Workflow rootfs.yml aus rootfs/build-image.sh; die Zusammenfassung jedes Laufs nennt den Hash und den Quelltext-Stand.
- Der Datenbereich
Die App zeigt, ob eine laufende VM ihren Datenbereich versiegelt hat. Gelingt das nicht, startet Paperless-ngx nicht.
- Die Sicherungen
Datensätze und Stücke sind bei Filecoin öffentlich einsehbar, ihr Inhalt verschlüsselt. Beim Wiederherstellen prüft die VM jedes Stück gegen seine Inhaltsadresse (Piece-CID).
- Diese Web-App
Sie liegt auf IPFS. Welche Version die Domain ausliefert, zeigt ihr DNSLink-Eintrag (dig TXT _dnslink.paperless.le-space.de); jedes Release nennt seine CID.
- Im Detail
Die Beschreibung, nach der diese Seite geschrieben ist.
SicherheitsmodellSchlüssel und WiederherstellungEigenes ImageAblaufVarianten vertraulicher VMs im Vergleich
Der Quelltext liegt offen bei GitHub: github.com/Le-Space/paperless-anywhere.
Als Nächstes: ein Image nur für dich
Noch nicht in Betrieb. Heute teilen alle VMs eines Images dessen Passphrase, und Le Space kennt sie (siehe „Nachprüfbar“). So soll es werden: Die Passphrase kommt aus deinem Tresor, und sonst hat sie niemand: nicht Le Space, nicht der Knoten, nicht GitHub.
In Vorbereitung
- 01
Öffentliches Image
Das System, in dem Paperless-ngx läuft, ist für alle gleich und enthält kein Geheimnis. Der Image-Workflow veröffentlicht es auf Wunsch schon unverschlüsselt, mit seinem Hash; jeder kann ihn nachrechnen.
- 02
Geprüfter Build-Dienst
Ein kleiner Dienst in einer vertraulichen VM, vollständig gemessen, samt dem Image, das er versiegelt. Die App wird sich von der Hardware bestätigen lassen, dass dort genau der veröffentlichte Code mit genau diesem Image läuft.
- 03
Dein Image
Erst dann schickt die App die Passphrase aus deinem Tresor. Der Dienst versiegelt das Image damit und vergisst sie wieder. Die App holt das versiegelte Image über denselben geprüften Kanal und legt es selbst bei Aleph ab.
- 04
Deine VM
Beim Start öffnet die VM die Platte mit deiner Passphrase. Eine Platte, die nicht damit versiegelt wurde, geht nicht auf, und es startet nichts.
Wer die Passphrase dann kennt
- Dein Tresor: ja
leitet sie ab - Der Build-Dienst: nur kurz
während des Baus, nur im Speicher - Deine VM: nur kurz
beim Start, nur im Speicher - Le Space: nein
- Der Betreiber des Knotens: nein
- GitHub: nein
Öffentlich vergleichen lassen sich dann der Hash des Images und der Messwert des Build-Dienstes. Das verschlüsselte Image sieht bei jeder Person anders aus. Stand: Der Build-Dienst ist gebaut. Zur Probe lief er bei Aleph als gemessene VM, bestand dort die Prüfung durch die Hardware und versiegelte das echte Image. In Betrieb ist er nicht: Es läuft kein Dienst auf Dauer, und die App nennt keinen; erst dann erscheint „Mein Image bauen“ in der Einrichtung.
Preise
Wähle ein Monatspaket: Dauerbetrieb rund um die Uhr, oder die Stunden, die du im Monat brauchst.
- 15 Stunden 4,90 € pro Monat
- 100 Stunden 14,90 € pro Monat
- Dauerbetrieb, rund um die Uhr 89 € pro Monat
Alle Preise inkl. 19 % USt.
In jedem Paket enthalten: bis 8 GB Dokumente.
Die verschlüsselte Sicherung in drei Kopien ist nicht im Paket enthalten: Sie kostet 1,50 € im Monat dazu. Du buchst sie beim Paket mit, als weitere Zeile deines Monatsabos. Du brauchst sie, damit deine Dokumente nach einem Stopp zurückkommen: Beim Stoppen wird die VM gelöscht, beim nächsten Start kommt alles aus der Sicherung.
Oder einmalig 18 € für ein Jahr Aufbewahrung, mit oder ohne Paket. Aufbewahren heißt nicht öffnen: Zum Wiederherstellen braucht es Rechenzeit, also ein Paket oder Zusatzstunden.
15 Stunden mit Sicherung: 4,90 € + 1,50 € = 6,40 € im Monat.
Nach dem Ende des bezahlten Zeitraums entstehen keine neuen Sicherungen; die vorhandenen bleiben noch mindestens 30 Tage abrufbar.
Beispiel: zwei Stunden pro Woche sind rund 8,7 Stunden im Monat und passen in das kleinste Paket.
Es gelten die AGB; dort steht auch die Widerrufsbelehrung (§ 9).
Häufige Fragen
Gehört Paperless anywhere zum Projekt Paperless-ngx?
Paperless-ngx ist ein unabhängiges Open-Source-Projekt (GPL-3.0). Paperless anywhere ist ein Angebot von Le Space, nicht mit dem Projekt verbunden und wird von ihm weder unterstützt noch gesponsert.
Was ist Paperless-ngx?
Paperless-ngx ist die Open-Source-Software, die in deiner VM läuft: Sie liest Dokumente ein, erkennt den Text und macht sie durchsuchbar. Mit Paperless anywhere läuft sie in deiner eigenen vertraulichen VM, rund um die Uhr oder auf Abruf, und wird gesichert.
Bekommen alle dieselbe Software?
Ja. Das System ist für alle gleich. Heute öffnet eine Passphrase je Image die Platte; alle VMs dieses Images teilen sie, und Le Space kennt sie. Was deine VM schreibt, liegt deshalb in einem Datenbereich mit einem Schlüssel, den nur sie hat. In Vorbereitung ist, dass ein geprüfter Build-Dienst das Image für jede Person einzeln versiegelt, mit einer Passphrase aus ihrem Tresor. Wie man Image und Dienst dann nachprüft, beschreibt die Dokumentation.
Brauche ich ein Konto?
Für den Tresor nicht. Ein Passkey auf deinem Gerät öffnet ihn; die 24 Wörter sind der Weg zurück, falls das Gerät fehlt. Le Space kann den Tresor weder öffnen noch wiederherstellen. Beim Kauf eines Pakets fragt der Zahlungsdienst Stripe nach einer E-Mail-Adresse, für Beleg und Abo.
Kann ich die Anbieter auch selbst bezahlen?
Ja. Statt eines Pakets bezahlst du dann die Anbieter direkt aus deiner eigenen Wallet. Die VM bei Aleph und die Sicherungen bei Filecoin gehören in diesem Fall der Adresse deiner Wallet.
- Was du brauchst: eine Wallet (zum Beispiel MetaMask), Aleph-Credits für die VM und für die Sicherungen USDFC und etwas FIL.
- Was du freigibst: Deine Wallet erlaubt der App, VMs für dich zu starten und zu löschen, und einem Sitzungsschlüssel für begrenzte Zeit, Sicherungen abzulegen. Die Seed deiner Wallet bleibt bei dir.
- Was auch dann von Le Space kommt: die App, das Image samt seiner heutigen Image-Passphrase und der Relay, über den die App den Nachweis der VM prüft.
Einrichten kannst du das in der App unter „Einrichtung“.
Wie sicher ist mein eigenes Gerät dabei?
Deine Dokumente liegen verschlüsselt in der VM und in den Sicherungen, und die Schlüssel dazu entstehen nur bei dir, wenn du den Tresor öffnest. Die Grenze ist der Browser auf deinem Gerät, wie bei jeder Web-App und jedem Passwortmanager im Browser: Was dort offen liegt, kann eine Browser-Erweiterung mit Zugriff auf die Seite oder Schadsoftware mitlesen. An den Passkey selbst kommt sie nicht, und ohne deine Freigabe per Fingerabdruck oder PIN öffnet er nichts. Mit wenig Aufwand bist du auf der sicheren Seite:
- Nutze für Paperless anywhere ein eigenes Browser-Profil ohne Erweiterungen und installiere die App dort.
- Oder nimm ein privates Fenster, ein Telefon oder ein Tablet.
- Gib die 24 Wörter nur in der App auf paperless.le-space.de ein und bewahre sie auf Papier auf. Der Passkey gilt nur für diese Adresse; nach den Wörtern kann auch eine gefälschte Seite fragen.
- Sperre den Tresor nach der Arbeit mit „Sperren“.
Was kostet es, wenn Paperless anywhere nicht läuft?
Stunden verbraucht nur eine laufende Instanz. Dein Monatspaket läuft aber weiter und wird jeden Monat berechnet, bis du kündigst. Die Sicherung ist nicht im Paket enthalten: Sie kostet extra, monatlich zum Paket dazu oder einmalig für ein Jahr (siehe Preise). Nach dem Ende des bezahlten Zeitraums entstehen keine neuen Sicherungen; die vorhandenen bleiben noch mindestens 30 Tage abrufbar.
Bereit?
Den Tresor anzulegen dauert eine Minute. Kein Konto, kein Passwort.