Deine Fotos, deine Regeln.
Raus aus der Cloud, für immer.

Ein Raspberry Pi 5 (8 GB) mit einer microSD-Karte für das System und zwei USB-Laufwerken als Speicher, gespiegelt, sodass jedes eine vollständige Kopie deiner Dateien enthält: USB-Sticks, SSDs, Festplatten oder microSD-Karten in USB-Kartenlesern – alles funktioniert. Sie kommen an die zwei blauen USB-Anschlüsse des Pi (die schnellen; das Gerät sagt dir dann, welches du ersetzen musst, falls eines einmal ausfällt). Dazu ein Netzteil und ein aktiver Kühler: alles Standardteile. Der Pi und zwei USB-Sticks mit 512 GB kosten etwa 310 €, insgesamt rund 340 € für 512 GB geschützten Speicher. Die genaue empfohlene Teileliste steht im README. Ein Pi 5 mit 4 GB funktioniert auch, wenn Bilderkennung und Gesichtserkennung ausgeschaltet sind.

Ja – für einen Raspberry Pi 5 mit mindestens 8 GB RAM (einer mit 4 GB funktioniert nur, wenn Bilderkennung und Gesichtserkennung in den Einstellungen ausgeschaltet sind): Siehe den Tab Image für Raspberry Pi 5 oben. Schreib es auf die Karte, schalte den Pi ein und richte ihn über dein Handy ein: Tippe in der App für iOS oder Android auf „Neues Gerät einrichten“; sie findet den Pi über Bluetooth und führt dich durch den Rest. Für jeden anderen Rechner mit Debian/Ubuntu nutze das Installationsskript.

Ja. Das Installationsskript funktioniert auf jedem 64-Bit-Rechner, Intel/AMD oder ARM, mit Ubuntu, Debian oder einem anderen auf Debian basierenden Linux: ein alter PC oder Laptop, ein Mini-PC oder eine Platine wie ein Orange Pi mit einem Debian- oder Ubuntu-Image. Es baut die Software auf dem Rechner selbst, du bekommst also dieselbe App: Foto-Backup, Ordner-Synchronisierung, Bilderkennung, Gesichtserkennung, Freunde, Teilen und Updates über die Einstellungen. Gib ihm 8 GB Arbeitsspeicher, wie dem Raspberry Pi 5, für den es entwickelt wurde.

Ein paar Dinge hat nur der Raspberry Pi 5:

• Das fertige Image und die Einrichtung über dein Handy per Bluetooth. Anderswo führst du einen Befehl im Terminal aus, und das erste Passwort, das in das Gerät eingegeben wird, wird sein Passwort – öffne es also und wähle sofort eines.
• Zu wissen, welches Laufwerk zu ersetzen ist. Auf einem Pi nennt der Hinweis den USB-Anschluss, in dem das ausgefallene Laufwerk steckt; anderswo heißt es „eines der beiden Speicherlaufwerke“, mit Systemname und Seriennummer des Laufwerks.
• Die Statuslichter, die an die eigenen Pins des Pi angeschlossen werden (siehe unten).

Das Skript kann auch auf anderen Rechnern zwei Laufwerke spiegeln, aber nur, wenn du es ausdrücklich verlangst, denn dabei werden beide gelöscht. Findet es keine Laufwerke zum Spiegeln, hält es an und erklärt dir, wie du auf einem einzelnen Laufwerk installierst. Um dem Rechner eine Adresse unter off-the.cloud zu geben, füge den Namen zuerst auf deiner Kontoseite hinzu und kopiere die angezeigte Identität auf den Rechner, bevor du das Skript ausführst.

Die Lichter sind optional: eines pro Speicherlaufwerk, grün, wenn alles in Ordnung ist, und rot, wenn es dich braucht. Jedes Licht besteht aus einer roten und einer grünen LED nebeneinander (oder einer zweifarbigen LED mit drei Beinen), und jede Farbe wird über einen Widerstand mit 330 Ω mit einem Pin des Raspberry Pi verbunden. Verdrahte sie bei ausgeschaltetem Pi. Das Gerät steuert sie selbst; es gibt nichts einzurichten.

Dieselben Verbindungen in Worten:

• Licht 1, rot: Pin 11 (GPIO17) über einen Widerstand mit 330 Ω zum langen Bein der roten LED.
• Licht 1, grün: Pin 13 (GPIO27) über einen Widerstand mit 330 Ω zum langen Bein der grünen LED.
• Licht 1, beide kurzen Beine: Pin 9 (GND).
• Licht 2, rot: Pin 15 (GPIO22) über einen Widerstand mit 330 Ω zum langen Bein der roten LED.
• Licht 2, grün: Pin 16 (GPIO23) über einen Widerstand mit 330 Ω zum langen Bein der grünen LED.
• Licht 2, beide kurzen Beine: Pin 14 (GND).

Bei einer zweifarbigen LED kommt das gemeinsame Bein (meist das mittlere) an GND; es muss die Art mit gemeinsamem Minuspol sein, gemeinsame Kathode genannt. Was die Lichter bedeuten:

• Beide grün: Beide Laufwerke funktionieren und enthalten dieselben Dateien.
• Eines rot, eines grün: Das Laufwerk mit rotem Licht funktioniert nicht mehr oder wurde herausgenommen. Deine Dateien sind auf dem anderen sicher: Ersetze das rote bald.
• Eines blinkt rot, eines grün: Ein neues Laufwerk wird mit einer Kopie deiner Dateien befüllt. Nimm das grüne nicht heraus, bis beide wieder grün sind.
• Beide rot: Es läuft keine Spiegelung: Das Gerät wurde ohne zwei Laufwerke eingerichtet, oder keines der Laufwerke funktioniert.
• Beide aus: Das Gerät ist ausgeschaltet oder startet noch.

Jedes Licht gehört zu einem der beiden Laufwerke der Spiegelung, nicht zu einem USB-Anschluss – prüfe also den Hinweis in der App, um zu wissen, welches Laufwerk du herausziehen musst.

Ein Gerät reicht. Als Besitzer fügst du für jede Person unter Einstellungen › Benutzer ein Konto hinzu (in der Web-App, der iPhone-App oder der Android-App), und sie wählt beim ersten Anmelden ihr eigenes Passwort. Jedes Konto hat sein eigenes Foto-Backup und seine eigene Mediathek, und seine Fotos und Dateien sind mit dem Passwort dieser Person verschlüsselt, sodass du sie von deinem Konto aus nicht öffnen kannst. Alle teilen sich dasselbe Gerät und seine zwei gespiegelten Laufwerke; der Bildschirm „Benutzer“ zeigt, wie viel Platz jedes Konto belegt, und du kannst ein Konto jederzeit pausieren oder samt seinen Dateien entfernen.

Es gibt keine feste Obergrenze für die Zahl der Konten, aber jedes führt seine eigene Kopie der Gerätesoftware aus und belegt Arbeitsspeicher – je mehr es sind, desto langsamer wird das Gerät. Wir empfehlen höchstens fünf pro Gerät.

Um sein Konto unterwegs zu nutzen, braucht ein Familienmitglied eine eigene Adresse unter off-the.cloud, genau wie ein Gerät. Du gibst ihm eine, wenn du sein Konto in der Web-App hinzufügst: Lass unter Einstellungen › Benutzer Bridge-Zugang anfordern angehakt, dann erhält es <benutzername>.off-the.cloud (wenn diese Adresse vergeben ist, wähle einen anderen Benutzernamen). Entscheide das beim Hinzufügen des Kontos, denn es gibt keinen Schalter, um einem bestehenden Konto später eine Adresse zu geben. Die iPhone- und Android-Apps bieten das noch nicht an: Dort hinzugefügte Konten funktionieren nur in deinem Heimnetz.

Das Gerät registriert diese Adressen selbst, außerhalb deines Bridge-Kontos, daher zählen sie nicht zu dessen fünf Adressen und erscheinen nicht auf deiner Kontoseite. Mit einer solchen Adresse erreicht ein Familienmitglied sein Konto von überall, und ihr könnt im privaten Feed befreundet sein und dort Fotos teilen.

Tausche die beiden Karten nacheinander gegen größere aus, während das Gerät weiterläuft. Nimm eine Karte heraus und setze eine größere ein, mindestens so groß wie die entnommene: Das Gerät kopiert alles von selbst darauf (was bereits auf der neuen Karte ist, wird gelöscht). Du erhältst einen Hinweis, dass ein Laufwerk nicht mehr funktioniert – das ist hier zu erwarten –, und einen weiteren, „Beide Speicherlaufwerke funktionieren wieder“, wenn die Kopie fertig ist; bei einer großen Karte kann das einige Stunden dauern. Erst dann machst du dasselbe mit der anderen Karte. Sobald beide Karten größer sind, vergrößert das Gerät seinen Speicher von selbst auf die Größe der kleineren, innerhalb von etwa zehn Minuten und ohne anzuhalten. Deine Dateien bleiben die ganze Zeit verfügbar, aber während eine Kopie läuft, liegen sie nur auf einer Karte – nimm die zweite Karte also nie heraus, bevor die erste Kopie fertig ist.

Die beiden gespiegelten Laufwerke halten schon zwei Kopien von allem, aber beide stecken im selben Gehäuse: Sie schützen dich vor dem Ausfall eines Laufwerks, nicht vor Diebstahl, Feuer, dem Ausfall beider Laufwerke oder einer versehentlich gelöschten Datei. Für eine Kopie, die du woanders aufbewahrst, kannst du eines der Laufwerke im Wechsel austauschen:

1. Nimm eines der beiden Laufwerke heraus, während das Gerät läuft und nichts hochgeladen wird. Das Gerät arbeitet mit dem anderen weiter, und du erhältst einen Hinweis, dass ein Laufwerk nicht mehr funktioniert – das ist hier zu erwarten.
2. Setze an seiner Stelle ein Ersatzlaufwerk ein, das mindestens so groß ist wie das entnommene. Das Gerät löscht es und kopiert alles von selbst darauf. Wenn es fertig ist, erhältst du einen weiteren Hinweis, „Beide Speicherlaufwerke funktionieren wieder“; das kann einige Stunden dauern.
3. Bewahre das entnommene Laufwerk an einem sicheren Ort auf, entfernt vom Gerät. Um deine Kopie später zu aktualisieren, mach dasselbe noch einmal: Das Laufwerk, das herauskommt, ist deine neue Kopie, und das eingesetzte wird gelöscht und neu befüllt.

Bis eine Kopie fertig ist, liegen deine Dateien nur auf einem Laufwerk – nimm das andere Laufwerk also nie vorher heraus. Solange ein Laufwerk fehlt, nimmt das Gerät jedes ausreichend große Laufwerk, das du einsteckst, als Ersatz und löscht es; stecke in der Zwischenzeit also keine anderen Laufwerke ein.

Das Laufwerk, das du aufbewahrst, ist eine vollständige Kopie des Geräts zum Zeitpunkt der Entnahme: deine Dateien, seine Datenbank, seine Einstellungen und seine Adresse. Ein Computer kann es nicht direkt lesen. Um das Gerät zurückzuholen, richte einen Raspberry Pi mit dem Image ein, schließe dieses Laufwerk an und wähle bei der Einrichtung „Dieses Gerät wiederherstellen“: Alles kommt so zurück, wie es war, und sobald du ein zweites Laufwerk hinzufügst, füllt das Gerät es wieder. Du brauchst das Passwort des Geräts, wie es bei der Entnahme des Laufwerks war, denn die Dateien darauf sind damit verschlüsselt. Verwende es nur anstelle des ursprünglichen Geräts, nie gleichzeitig, denn beide würden auf dieselbe Adresse antworten. Die Dateien darauf sind verschlüsselt, ihre Namen, Tags und deine Beiträge aber nicht – bewahre es also so sicher auf wie das Gerät selbst.

Deine Handys und Computer behalten außerdem ihre eigenen Kopien: Die Apps kopieren deine Fotos und Ordner auf das Gerät, sie verschieben sie nicht. Um eine Kopie von etwas auf dem Gerät auf einem Computer zu haben, markiere es in der Web-App in Dateien und wähle „ZIP herunterladen“, oder füge einen der Ordner des Geräts zur App für Mac, Windows oder Linux hinzu. Das ist eine Synchronisierung, kein Backup: Eine auf einer Seite gelöschte Datei wird auch auf der anderen gelöscht.

Es tut uns leid: nein. Dein Gerätepasswort ist das Einzige, was den Schlüssel entsperrt, mit dem deine Dateien verschlüsselt sind. Das Gerät speichert es nicht, wir auch nicht, und es gibt kein Zurücksetzen und keine Hintertür: Ohne dieses Passwort kann niemand die damit geschützten Fotos, Videos und Dateien öffnen – nicht du, niemand sonst auf dem Gerät und nicht wir. Genau das schützt sie, falls das Gerät einmal gestohlen wird.

Was du tun kannst:

• Ist eine deiner Apps noch angemeldet? Dann kann sie noch alles öffnen, weil sie das Passwort gespeichert hat. Melde dich dort nicht ab und kopiere damit, was du brauchst, bevor du weitermachst.
• Such nach deinen Originalen. Die Apps kopieren Fotos und Ordner auf das Gerät, ohne sie zu entfernen, daher ist das meiste davon vielleicht noch auf deinen Handys und Computern.
• Von vorn anfangen. Schreib das Image auf eine neue Karte und richte das Gerät erneut ein, wähle dabei „Neu beginnen“ (das löscht beide Laufwerke), lege ein neues Passwort fest und lass deine Apps alles erneut sichern.
• Ein Familienmitglied hat sein Passwort vergessen? Auch der Besitzer kann es nicht zurücksetzen. Der einzige Weg ist, sein Konto zu entfernen, wodurch seine Dateien gelöscht werden, und es neu anzulegen.

Das Passwort deines Kontos bei off-the.cloud ist ein anderes: Wenn du es vergisst, schickt dir die Kontoseite einen Link per E-Mail, um es zurückzusetzen, und dein Gerät und deine Dateien sind nicht betroffen. Um all das zu vermeiden, bewahre dein Gerätepasswort in einem Passwortmanager oder sicher aufgeschrieben auf. Du kannst es jederzeit in den Einstellungen ändern, solange du das aktuelle kennst, und deine Dateien bleiben, wie sie sind.

Ja: Stell ihn auf „Nur hochladen“, mit dem Schloss neben dem Ordner in Dateien (in der Web-App, der iPhone-App oder der Android-App). Ab dann kann nichts in diesem Ordner gelöscht werden, egal ob vom Handy, vom Computer oder im Web, und wenn eine Datei unter demselben Namen erneut hochgeladen wird, behält das Gerät auch die ältere Version – eine Bearbeitung überschreibt also nie dein Original. Die Sync-Apps für Mac und Windows/Linux machen das von selbst für einen Ordner, den du sichern möchtest. Du kannst es über dasselbe Schloss wieder aufheben; die bis dahin behaltenen Versionen bleiben.

Dein Gerät steht hinter deinem Router zu Hause, daher kann das Internet es nicht von selbst erreichen. Die Bridge ist unser Relay unter off-the.cloud: Sie gibt deinem Gerät eine Adresse wie casa.off-the.cloud und leitet Verbindungen deiner Apps und der Geräte deiner Freunde dorthin weiter. Du brauchst sie, um dein Gerät unterwegs zu erreichen, für Freunde und Beiträge, für Freigabelinks, die von überall funktionieren, und für Benachrichtigungen auf deinem Handy. Zu Hause brauchst du sie nicht: Dateien, das Foto-Backup von deinen Handys und Computern, die Galerie, Tags und Personen funktionieren alle über dein eigenes Netzwerk.

Um sie zu nutzen, erstelle ein Konto; die Einrichtung des Geräts fragt danach, du kannst diesen Schritt aber auch überspringen und dich später in den Einstellungen mit der Bridge verbinden. Ohne die Bridge kannst du dein Gerät von außerhalb trotzdem über Tailscale Funnel oder eine eigene Bridge erreichen (siehe nächste Frage).

Ja. Off The Cloud ist vollständig freie Open-Source-Software unter der Lizenz GNU AGPL: das Gerät, die Apps und die Bridge. Zu Hause genutzt kostet es nichts außer deiner Hardware.

Die Bridge ist der einzige kostenpflichtige Teil, und sie ist optional. Dein Konto ist in den ersten zwei Jahren kostenlos; danach kostet es 9,99 € zuzüglich MwSt. pro Jahr, mit bis zu fünf Adressen unter off-the.cloud, und wir schreiben dir eine E-Mail, bevor der kostenlose Zeitraum endet. Jede Adresse über diese fünf hinaus kostet 2 € pro Jahr: Auf deiner Kontoseite registrierst du bis zu fünf; für mehr schreib uns an info@off-the.cloud oder über das Formular unten. Wenn du nicht mehr zahlst, werden deine Adressen freigegeben, und dein Gerät funktioniert zu Hause weiter.

Um dein Gerät ohne die Bridge von außerhalb zu erreichen:

• Tailscale Funnel ist eingebaut (Einstellungen › Tailscale Funnel) und veröffentlicht dein Gerät unter einer eigenen Adresse auf ts.net. Du brauchst ein Tailscale-Konto, Tailscale begrenzt die Datenmenge, die durchgeht, und Freunde, Beiträge und Familienkonten funktionieren dort nicht: Es eignet sich für ein Gerät, das du als deinen eigenen privaten Speicher nutzt.
• Eine eigene Bridge: Auch die Bridge ist Open Source, du kannst sie also auf deinem eigenen Server unter deiner eigenen Domain betreiben. Deine Freunde müssen dann dieselbe Bridge nutzen.
• Ein eigenes VPN in dein Heimnetz: Die Apps erreichen das Gerät dann so, als wärst du zu Hause.

Zu Hause ist es meist deutlich schneller. Die Apps für iPhone, Android, Mac und Windows/Linux verbinden sich über dein eigenes WLAN oder Netzwerk direkt mit deinem Gerät, sodass Backups, große Uploads und Videos mit der Geschwindigkeit des lokalen Netzwerks laufen. Ein Cloud-Dienst muss jede Datei durch deinen Internetanschluss zu Hause schieben, dessen Upload-Geschwindigkeit oft nur ein kleiner Bruchteil der deines WLANs ist. Unterwegs gehen die Apps wie gewohnt über die Bridge. Die Verbindung zu Hause ist verschlüsselt und wird mit dem eigenen Schlüssel deines Geräts geprüft, sodass nie etwas an einen Rechner gesendet wird, der sich als deiner ausgibt.

Deine Dateien werden im Ruhezustand mit einem Schlüssel verschlüsselt, den nur dein Passwort entsperrt, und das Passwort selbst wird nie auf dem Gerät gespeichert. Fotos und Videos, die du postest, und die Beiträge, die deine Freunde mit dir teilen, sind die Ausnahme: Sie werden unverschlüsselt aufbewahrt, damit die Geräte deiner Freunde sie jederzeit abrufen können. Dateinamen und Tags bleiben ebenfalls lesbar, damit die Suche funktioniert. Nichts wird verkauft, zum Training von KI-Modellen verwendet oder jemandem gezeigt, mit dem du es nicht teilen wolltest. Die nächsten beiden Fragen erklären, was die Bridge und andere Dienste sehen und wo deine Fotos analysiert werden.

Deine Fotos, Videos und Dateien bleiben auf deinem Gerät. Nichts wird verkauft, für Werbung verwendet oder zum Training von KI genutzt, und keine der Apps enthält Analysetools, Werbung oder Absturzberichte. Ein paar Dienste sind beteiligt, und das erhält jeder davon:

• Die Bridge (von uns betrieben, auf Servern von OVH in Frankreich), wenn du sie nutzt: dein Konto (E-Mail, Vorname, Nachname und Land), die Namen deiner Geräte (etwa casa.off-the.cloud), wann eine App jedes Gerät zuletzt erreicht hat, stündliche Summen des Datenverkehrs (nie die Inhalte) und, für 90 Tage, die Internetadresse fehlgeschlagener Versuche, sich als dein Gerät zu verbinden. Verbindungen zu ihr sind verschlüsselt, aber die Bridge entschlüsselt sie beim Durchleiten und verschlüsselt sie neu, sie sind also nicht Ende-zu-Ende-verschlüsselt; nichts, was durchgeleitet wird, wird gespeichert. Ein Gerät ohne die Bridge kontaktiert sie nur während der Einrichtung.
• Apple und Google stellen Benachrichtigungen auf iPhones und Android-Handys zu. Eine Benachrichtigung sagt nur, wer was getan hat („Anna gefällt dein Beitrag“) oder dass mit deinem Gerät etwas passiert ist (ein Laufwerk funktioniert nicht mehr, es ist offline gegangen), nie, was in einem Beitrag oder Kommentar steht, und nie ein Foto. Die Android-App nutzt dafür Googles Firebase und für nichts anderes. Benachrichtigungen im Browser laufen verschlüsselt über den Push-Dienst deines Browserherstellers.
• Proton versendet unsere E-Mails (Bestätigung deiner E-Mail-Adresse, Zurücksetzen des Passworts, die Warnung, bevor ein ungenutztes Konto entfernt wird) und stellt die Geräteprotokolle zu, die du uns senden möchtest.
• Die Anmeldung mit Apple oder Google, wenn du sie nutzt, teilt uns deine E-Mail-Adresse und deinen Namen mit.
• GitHub liefert die Software des Geräts und ihre Updates aus; beim Installieren oder Aktualisieren lädt das Gerät außerdem Bausteine vom Mirror der Programmiersprache Go, den Google betreibt, Pakete aus den Repositorys seines Betriebssystems und von Tailscale und beim ersten Mal seine KI-Modelle von Hugging Face und GitHub herunter. Wie jeder Download sehen diese die Internetadresse deines Zuhauses.
• Karten: Wenn du die Details eines Fotos öffnest, stammt seine Karte von OpenStreetMap (Web-App und Android) oder Apple Karten (iPhone), die den angezeigten Ort sehen.
• Tailscale, nur wenn du Tailscale Funnel einschaltest (die Software ist installiert, bleibt aber bis dahin ausgeschaltet).

Einen Zahlungsanbieter gibt es noch nicht. Die Details stehen in unserer Datenschutzerklärung.

Auf deinem Gerät. Das Modell für die Bilderkennung und die Gesichtsmodelle werden einmal bei der Installation der Software heruntergeladen und laufen auf dem eigenen Prozessor des Geräts; bei mehreren Familienkonten führt das Hauptkonto sie für alle aus. Kein Foto wird irgendwohin gesendet, um getaggt oder erkannt zu werden, und Ortsnamen stammen aus einer auf dem Gerät gespeicherten Städteliste – auch die Standorte deiner Fotos werden also nirgendwohin gesendet.

Die Gesichtserkennung ist ausgeschaltet, solange du sie nicht einschaltest – bei der Einrichtung oder in den Einstellungen –, denn Gesichter sind sensible personenbezogene Daten. Sie berücksichtigt die Fotos, die hinzukommen, während sie eingeschaltet ist, und die gespeicherten Gesichtsdaten werden wie deine Dateien mit deinem Passwort verschlüsselt; die Namen, die du Personen gibst, nicht. Die Bilderkennung ist von Anfang an eingeschaltet und lässt sich in den Einstellungen ausschalten.

Deine Fotos verlassen das Gerät nur, wenn du es willst: wenn du sie für deine Freunde postest, einen Freigabelink sendest oder sie unterwegs über die Bridge in deinen Apps öffnest.

Ja – das Gerät, die Bridge und alle Clients sind Open Source auf GitHub. Du kannst den Code prüfen, die Bridge selbst hosten oder dein eigenes Geräte-Image aus dem Quellcode bauen.

Das ist völlig optional. Nutze OTC einfach als NAS für Backup und Dateisynchronisierung, wenn du nur das willst – der soziale Feed zeigt nur Inhalte von Freunden, die du ausdrücklich angenommen hast.