Internxt auf GitHub: Verschlüsselte Cloud aus Europa — mit offenem Quellcode und CLI

“Zero Knowledge” steht heute auf jeder zweiten Website eines Cloud-Anbieters. Die Behauptung ist billig — prüfen lässt sie sich nur, wenn der Code offenliegt. Bei Internxt liegt er offen: Die GitHub-Organisation des Unternehmens enthält die Desktop-, Web- und Mobil-Clients, die CLI und weitere Bausteine der Plattform, größtenteils unter AGPL-3.0 oder MIT.

Das allein macht noch keinen guten Dienst. Aber es verschiebt die Diskussion von Marketingversprechen zu überprüfbaren Aussagen — und genau deshalb lohnt sich ein genauerer Blick.

Key Takeaways

• Internxt betreibt eine Suite verschlüsselter Dienste: Drive (Speicher), Send (Dateiübertragung), Meet (Videokonferenz, Jitsi-Fork), VPN, Antivirus, Photos, Mail und Cleaner.
• Dateien werden auf dem Gerät verschlüsselt, bevor sie hochgeladen werden. Der Anbieter gibt an, die Schlüssel nie zu erhalten — Zero-Knowledge-Architektur, AES-256 im Ruhezustand, TLS 1.3 auf dem Transportweg.
• Internxt bewirbt sich selbst als Cloud-Speicher mit Post-Quanten-Kryptografie (Kyber-512 kombiniert mit AES-256).
• Der Quellcode liegt auf GitHub: drive-desktop, drive-web, drive-mobile, cli und weitere, überwiegend TypeScript, Lizenzen AGPL-3.0 und MIT.
• Für Entwickler und Admins besonders relevant: die CLI mit WebDAV-Server und die Unterstützung für NAS und Rclone.
• Das Unternehmen sitzt in Europa und arbeitet unter DSGVO. Angegeben werden ISO 27001:2022, HIPAA-Konformität und ein unabhängiges Audit durch Securitum aus dem Jahr 2024.

Wer Internxt ist

Internxt beschreibt seine Mission auf GitHub knapp: “Securing the world’s data. Private by default, secure by design, and free as in freedom.” Die drei Teile dieses Satzes sind Programm — verschlüsselt ohne Zutun des Nutzers, offener Quellcode, europäischer Rechtsraum.

Anders als bei vielen Wettbewerbern, die einen Dienst anbieten und darum herum wachsen, ist das Produktportfolio breit angelegt. Es umfasst inzwischen:

Dazu kommen kostenlose Einzelwerkzeuge auf der Website: Passwortgenerator, Virenscanner, Metadaten-Entferner, Dateikomprimierung und Byte-Umrechner. Die sind ohne Konto nutzbar und dienen erkennbar der Reichweite — nützlich sind sie trotzdem.

Das Verschlüsselungsmodell

Der entscheidende Punkt bei verschlüsseltem Speicher ist immer: Wo wird verschlüsselt, und wer hält die Schlüssel?

Internxt verschlüsselt auf dem Endgerät, bevor Daten das Gerät verlassen. Der Anbieter gibt an, dass die Schlüssel die Kontrolle des Nutzers nie verlassen. Für die Daten selbst kommt AES-256 zum Einsatz, für den Transport TLS 1.3.

Die Konsequenz aus diesem Modell ist unbequem und wird oft übersehen: Wer das Passwort verliert, verliert die Daten. Ein Anbieter, der die Schlüssel nicht hat, kann auch nichts zurücksetzen. Das ist kein Mangel, sondern die logische Folge des Versprechens — man sollte es nur wissen, bevor man die Familienfotos hochlädt.

Post-Quanten-Kryptografie

Internxt hebt die Verwendung von Kyber-512 in Kombination mit AES-256 hervor und bewirbt sich als Cloud-Speicher, der Dateien automatisch mit Post-Quanten-Kryptografie schützt.

Zur Einordnung: Kyber ist das Schlüsselkapselungsverfahren, das vom NIST als Standard für quantensichere Schlüsselaustausch-Verfahren ausgewählt wurde. Das dahinterstehende Bedrohungsszenario heißt “harvest now, decrypt later” — verschlüsselte Daten werden heute abgefangen und gespeichert, in der Erwartung, sie später mit einem hinreichend leistungsfähigen Quantencomputer entschlüsseln zu können. Für Daten mit langer Schutzdauer — Verträge, medizinische Unterlagen, Konstruktionsdaten — ist das ein realer Punkt, auch wenn niemand weiß, wann “später” ist.

Die Formulierung “der einzige Cloud-Speicher, der …” stammt vom Anbieter selbst und sollte als Marketingaussage gelesen werden. Dass Kyber-512 eingesetzt wird, ist davon unabhängig.

Der offene Teil: die GitHub-Organisation

Hier wird es für Entwickler interessant. Die wichtigsten öffentlichen Repositories:

Verwendet werden überwiegend TypeScript und JavaScript, daneben Python, Go und Swift. Die Lizenzen sind meist AGPL-3.0 oder MIT.

Was das praktisch bedeutet: Die Verschlüsselungslogik in den Clients ist einsehbar. Wer wissen will, ob wirklich lokal verschlüsselt wird, muss dem Anbieter nicht glauben, sondern kann im drive-desktop-Repository nachlesen. Für Sicherheitsforscher und für Unternehmen mit eigener Prüfpflicht ist das der eigentliche Unterschied zu einem geschlossenen Anbieter.

Die Sternzahlen sind allerdings ein ehrlicher Hinweis auf die Größenordnung. Das ist kein Projekt mit einer großen externen Entwicklergemeinde — es ist ein kommerzielles Produkt, dessen Quellcode offenliegt. Beides ist legitim, aber es sind verschiedene Dinge.

Die CLI: der praktischste Einstieg für Technikteams

Die @internxt/cli ist das Werkzeug, mit dem sich Internxt in bestehende Abläufe einbinden lässt. Installation über npm, benötigt Node ab Version 22.13.0:

npm i -g @internxt/cli

Die Anmeldung läuft entweder über einen webbasierten Ablauf oder klassisch:

internxt login
internxt login-legacy   # E-Mail/Passwort, optional mit 2FA

Die Dateioperationen decken ab, was man erwartet:

internxt upload-file
internxt upload-folder
internxt download-file
internxt list
internxt create-folder
internxt rename-file
internxt move-file
internxt trash-file
internxt trash-folder
internxt trash-clear

Der interessanteste Teil ist der eingebaute WebDAV-Server:

internxt webdav start       # ebenso: stop, restart, status
internxt webdav-config      # Port, HTTP/HTTPS, Authentifizierung

Damit lässt sich verschlüsselter Internxt-Speicher lokal als Laufwerk einhängen — und jedes Werkzeug, das WebDAV spricht, kann darauf zugreifen, ohne von Internxt zu wissen. In Kombination mit der angegebenen Rclone- und NAS-Unterstützung ergibt das eine brauchbare Grundlage für Sicherungsstrategien.

Eine Einschränkung nennt das Projekt selbst: Die maximale Dateigröße beim Hochladen hängt vom Tarif ab. Für CLI und WebDAV gilt im höchsten Tarif derzeit ein Limit von 100 GB pro Datei.

Anwendungsfälle

Verschlüsselte Sicherung ohne Zusatzsoftware. WebDAV-Server starten, mit Rclone oder dem Bordmittel des Betriebssystems einhängen, bestehendes Backup-Skript darauf zeigen lassen. Die Verschlüsselung passiert vor dem Upload, das Skript muss nichts davon wissen.

Automatisierte Ablage aus CI-Pipelines. internxt upload-file im Anschluss an einen Build legt Artefakte verschlüsselt ab, ohne dass ein S3-Bucket und dessen Rechtemodell dazukommen.

DSGVO-sensible Ablage. Für Unternehmen, die Auftragsverarbeitung im europäischen Rechtsraum brauchen, sind europäischer Sitz plus ISO 27001:2022 plus offener Client-Code eine Kombination, die sich einem Datenschutzbeauftragten leichter erklären lässt als eine US-Cloud mit Standardvertragsklauseln.

Ablösung einer gewachsenen Werkzeugsammlung. Wer heute für Speicher, Videokonferenz, VPN und Passwortverwaltung vier Verträge hat, kann rechnerisch prüfen, ob ein Anbieter mit einer Suite günstiger kommt. Ob die Einzelprodukte jeweils mit dem Marktführer mithalten, ist eine andere Frage — und sollte einzeln geprüft werden.

Tarife und Rechtsraum

Es gibt eine kostenlose Stufe mit 1 GB Speicher, dauerhaft und ohne Zeitlimit, inklusive der Apps für Linux, Windows, macOS, iOS, Android und Web sowie Zwei-Faktor-Authentifizierung. Das reicht zum Ausprobieren, nicht für den Betrieb.

Die kostenpflichtigen Stufen heißen Essential (1 TB), Premium (3 TB) und Ultimate (5 TB) und werden jährlich, als Lifetime-Kauf oder als Geschäftstarif angeboten. Die Preise wechseln und werden auf der Website dynamisch geladen — sie sollten dort direkt nachgesehen werden. Angegeben sind für alle Bezahltarife: VPN-Zugang mit tarifabhängiger Serverauswahl, Antivirus, Dateiversionierung, passwortgeschütztes Teilen, Cleaner, Meet, Photos und Mail, dazu CLI-, WebDAV-, NAS- und Rclone-Anbindung. Die maximale Dateigröße steigt mit dem Tarif (10 GB → 50 GB → 100 GB), ebenso die Aufbewahrungsdauer im Papierkorb (7 → 14 → 30 Tage). Es gilt eine Geld-zurück-Garantie von 30 Tagen.

Rechtlich: Sitz in Europa, DSGVO. Als Nachweise nennt das Unternehmen ISO 27001:2022, HIPAA-Konformität und ein unabhängiges Audit durch Securitum aus dem Jahr 2024.

Was man realistisch erwarten sollte

Drei Punkte zur Einordnung.

Der offene Quellcode betrifft die Clients, nicht den Betrieb. Dass die Verschlüsselungslogik prüfbar ist, ist viel wert. Es sagt nichts darüber aus, wie die Serverinfrastruktur betrieben wird. Selbst hosten lässt sich das Ganze nicht.

Breite geht auf Kosten der Tiefe. Acht Produkte von einem Anbieter mit der Größe einer GitHub-Organisation dieses Zuschnitts — das bedeutet, dass nicht jedes einzelne den jeweiligen Spezialanbieter schlägt. Wer Meet mit Zoom oder den VPN-Dienst mit einem etablierten Anbieter vergleicht, sollte das nüchtern tun.

Zero Knowledge kostet Komfort. Kein Passwort-Reset über den Support, kein serverseitiges Durchsuchen von Dateiinhalten, keine Vorschau ohne lokale Entschlüsselung. Das ist der Preis des Modells, und er ist bei jedem ernsthaften Zero-Knowledge-Anbieter derselbe.

Fazit

Internxt ist kein Geheimtipp und kein Hype — es ist ein europäischer Anbieter, der das Naheliegende tut: auf dem Gerät verschlüsseln und den Quellcode dafür offenlegen. Das ist weniger spektakulär, als die Website nahelegt, und deutlich mehr, als die meisten Wettbewerber anbieten.

Für Entwickler und Technikteams ist die CLI mit ihrem WebDAV-Server der überzeugendste Teil. Sie macht den Dienst zu einem Baustein, der sich in bestehende Abläufe einfügt, statt eine weitere Oberfläche zu sein, die man öffnen muss.

Der pragmatische Einstieg: Kostenstufe anlegen, CLI installieren, WebDAV starten, ein Backup-Skript dagegen laufen lassen. Wenn das trägt, lohnt der Blick auf die Tarife. Und wer der Verschlüsselungsaussage nicht glaubt, liest im drive-desktop-Repository nach — dafür liegt der Code schließlich offen.

Quellen: internxt.com · GitHub: internxt · GitHub: internxt/cli · Tarifübersicht